Il existe de nombreux guides de recommandations pour la mise en œuvre de mesures cyber dans le monde maritime. Un peu trop, et inégaux en qualité, ce qui rend parfois les choses un peu illisibles (mettons-nous à la place du marin, de l’armateur, qui doivent les comprendre et les mettre en œuvre…).
Parmi ces guides, un fait malgré tout référence, notamment par le nombre d’associations et d’acteurs d’importance qui y ont participé (21) mais aussi parce qu’il parle correctement au monde maritime et du monde maritime, en adaptant les menaces cyber à ce secteur si particulier. Ce guide, “The Guidelines on Cyber Security Onboard Ships”, vient de paraître sous sa 3ème édition.
Il est le fruit d’un travail au longs cours entre associations d’armateurs et d’industriels du secteurs, notamment BIMCO, CLIA, ICS, INTERCARGO, INTERMANAGER, INTERTANKO, l’IUMI, l’OCIMF et le WORLD SHIPPING COUNCIL.
Au-delà des recommandations classiques que l’on trouve dans ce type d’ouvrage, deux points de lecture méritent une attention particulière : la publication de nouveaux incidents ayant touché le secteur maritime, et la bonne prise en compte des spécificités du secteur.
Concernant les incidents, le guide liste un certain nombre d’évènements ayant touché le secteur maritime, essentiellement à titre d’exemple. Au-delà des incidents publics déjà connus pour lesquels j’avais déjà rédigé une première liste j’en ai retenu quelques évocateurs…
Deux incidents liés directement à des supports USB, qui sont fréquemment utilisés pour mettre à jour des systèmes, réaliser des opérations de maintenance, ou transférer des fichiers de ou vers des systèmes marétiques “hors réseau” :
- l’infection de navires par un, voire deux (!) rançongiciels, mais dont l’origine provenait de partenaires (industriels ou commerciaux), et non d’une négligence due à l’équipage : ce point montre bien l’importance de mesures de protection bilatérales avec l’ensemble des intervenants extérieurs à l’entreprise et au navire. Il est intéressant de noter que, dans un des cas, le propriétaire a payé la rançon. A l’origine de ces infections, le rapport indique notamment l’absence / la faiblesse de mots de passe sur les outils de télémaintenance des navires, voire l’existence de comptes non documentés.
- le second concerne un avitailleur, qui a demandé à accéder à la salle des machines pour imprimer des documents à signer. Sa clé USB, infectée, a compromis une partie du réseau “bureautique” du navire sans toucher aux systèmes de contrôle commande, probablement isolés au niveau réseau (ouf). Le second concerne la découverte, lors d’un test d’intrusion, de l’existence d’un code malveillant sur un système non connecté à Internet mais qui était conçu pour l’être. Le code, qui avait été introduit par support USB, était présent dans le système depuis… 875 jours (infection lors de l’installation du logiciel) ! Amis pentesteurs : vous avez de l’avenir dans la marétique !
Et un joli chapelet d’incidents sur les ECDIS (Electronic Chart Display and Information System). Cela fait partie des évènements redoutés que j’avais cité, donc c’est tout sauf une surprise. Par contre, on voit qu’une confiance exagérée dans le numérique (l’ECDIS) sans disposer d’un système éprouvé en secours (les cartes papiers) peut engager la résilience et la disponibilité du navire :
- l’infection virale d’un système ECDIS qui a retardé la mise à l’eau d’un nouveau navire (le navire n’avait pas de carte papier de secours…). Le guide précise aussi que ni le capitaine ni l’équipage du navire n’avaient identifié le problème comme ayant une origine cyber. Il a fallu un temps important à un technicien dépêché sur place pour identifier que les deux réseaux ECDIS du navire étaient corrompus. Le coût de l’incident est estimé à plusieurs centaines de milliers de dollars (aux US).
- Dans une zone maritime particulièrement dense, un navire a perdu tous ses moyens de navigation à la mer, qui plus est en conditions météos dégradées (mauvaise visibilité). Il a dû se limiter à la navigation au radar et à la carte papier pendant deux jours avant d’arriver au port. La défaillance de l’ECDIS est due à un système d’exploitation antédiluvien. Durant l’escale suivante, un intervenant a réalisé la mise à jour du système de navigation ECDIS. Mais, en raison de l’obsolescence avancée de l’OS, le nouveau logiciel n’a pas pu fonctionner : le navire a dû rester à quai jusqu’à ce que de nouvelles consoles ECDIS puissent être déployées, entraînant un retard et un impact financier important.
- Toujours de l’ECDIS : en présence d’un pilote à bord, l’ECDIS et le VDR (Voyage Data Recorder, la “boite noire” du navire) dysfonctionnent, entraînant une certaine désorganisation de la passerelle. Heureusement, le capitaine et le pilote, expérimentés, ont pu ramener l’équipage sur une navigation par moyens dégradés (radar, veille optique). Quand les ordinateurs ont redémarré, clairement là-aussi obsolètes, le capitaine a fait savoir au pilote que ces problèmes étaient fréquents et que ses demandes d’intervention avaient été refusées par le propriétaire du navire.
Le reste du document commence à afficher une bien meilleure maturité que les éditions précédentes, que ce soit dans la gestion des risques, les relations entre les différents acteurs (propriétaire, armateur, équipage, sous-traitants, services logistiques en escale…), BYOD, la séparation IT/OT… Deux petites déceptions seulement :
- une certaine vision “yaka” : mettre des pare-feux et des NIDS à bord, c’est sympa, mais encore faut-il que quelqu’un puisse les exploiter;
- conséquence, ou cause, le secteur n’affiche pas encore une ambition suffisante sur la cybersurveillance maritime (désolé, c’est mon dada).
Bref, un “must read” !
