Dans une société de plus en plus connectée, la sécurité de l’information publique influence directement la capacité d’une ville à continuer de fournir de l’eau et de l’électricité, à maintenir les transports, à assurer les services essentiels en situation d’urgence et à protéger la santé publique ainsi que la vie quotidienne. Les réseaux numériques ont rendu les services publics plus efficaces, mais ils ont aussi resserré les liens entre systèmes opérationnels, plateformes de contrôle et coordination des urgences. Une perturbation dans une partie de cet environnement peut rapidement affecter des services bien au-delà du point de défaillance initial.
Pour cette raison, la sécurité de l’information publique ne peut plus être considérée uniquement comme une question de prévention des fuites de données, de la défiguration de sites web ou des pannes de réseaux bureautiques. Elle doit être intégrée aux services publics avant qu’un incident ne survienne, les contrôles de sécurité, les procédures opérationnelles et les capacités de reprise faisant partie de la planification normale des infrastructures plutôt que d’être ajoutés uniquement après une défaillance grave.
Des informations publiques provenant d’autorités étatiques et du secteur de l’eau indiquaient qu’en août 2026, des installations d’eau potable ou d’eaux usées dans au moins sept États américains, dont le Minnesota et le Michigan, avaient été touchées par des cyberattaques. Bien que la Pennsylvanie n’ait alors confirmé aucune attaque locale similaire, son Département de la protection de l’environnement a tout de même publié un avis de sécurité invitant les organismes d’eau potable et d’eaux usées à réduire leur exposition inutile à l’Internet public et à mettre à jour les mots de passe des comptes. Cette réaction souligne un point important : l’absence d’incident confirmé ne signifie pas que les pratiques de sécurité existantes doivent rester inchangées.
La sécurité de l’information publique doit également dépasser le cadre des sites web gouvernementaux, des bases de données et des informations personnelles. Pour les services d’eau, les réseaux électriques, les transports, les infrastructures de communication, la santé et les services de gestion des urgences, les connexions réseau, les comptes d’équipements, les systèmes de contrôle opérationnel, les données de service et la continuité d’activité font tous partie du périmètre de sécurité. Lorsque ces systèmes sont perturbés, les conséquences peuvent dépasser la perte d’informations et aller jusqu’à l’interruption de services publics essentiels.
Pourquoi une cyberattaque contre un système d’eau devient-elle un problème de sécurité de l’information publique ?
Lorsqu’un réseau d’entreprise classique est attaqué, les conséquences immédiates peuvent inclure des fichiers inaccessibles, des comptes compromis, des applications indisponibles ou des données exposées. Les infrastructures publiques critiques sont différentes, car leurs systèmes numériques sont directement liés à la prestation de services dans le monde réel. Dès qu’une attaque atteint la couche opérationnelle, les actifs concernés ne se limitent plus aux serveurs et aux données. Les pompes, les procédés de traitement, les équipements de contrôle, les flux de dispatch et les opérateurs de terrain peuvent également être touchés.
Les services d’eau en sont un exemple clair. Les plateformes de supervision, les dispositifs de contrôle à distance, les stations de pompage, les installations de traitement et les terminaux opérateurs doivent assurer un fonctionnement continu. Si un incident cyber oblige les systèmes de contrôle automatisé à être mis hors ligne, les opérateurs peuvent devoir passer en mode local ou manuel. En 2023, un service des eaux d’Aliquippa, en Pennsylvanie, est passé en exploitation manuelle après une intrusion informatique et a temporairement interrompu une partie de ses opérations de pompage. Aucun impact majeur sur le service aux clients n’a été signalé, mais l’incident a montré qu’un problème de cybersécurité peut dépasser le réseau bureautique et affecter les opérations physiques.
Pour les infrastructures critiques, l’objectif de la sécurité de l’information publique ne peut donc pas se réduire à « empêcher les pirates d’entrer ». Un objectif plus réaliste consiste à empêcher les accès non autorisés tout en garantissant la continuité des services essentiels si une attaque réussit, puis à rétablir le fonctionnement normal aussi rapidement que possible. Cybersécurité, continuité d’activité, coordination des urgences et procédures d’exploitation sur le terrain doivent se soutenir mutuellement.
Le risque ne se limite plus à la fuite de données
Les programmes traditionnels de sécurité de l’information commencent souvent par les serveurs, les bases de données, les systèmes de messagerie et les réseaux d’entreprise. Ces actifs restent importants, mais la transformation numérique a considérablement élargi la surface d’attaque des services publics. Un attaquant n’a pas forcément besoin d’accéder immédiatement à un système de contrôle central. Une interface d’administration à distance oubliée, un ancien compte ou un équipement exposé à Internet et insuffisamment protégé peuvent offrir un accès suffisant pour progresser plus loin dans l’environnement.
Un organisme de service public peut exploiter simultanément des réseaux informatiques d’entreprise, des applications métiers, des connexions de maintenance à distance, des réseaux de technologies opérationnelles, de la vidéosurveillance, des systèmes de communication et un grand nombre d’équipements de terrain connectés. Ces systèmes peuvent échanger des données ou dépendre les uns des autres, tandis que leurs contrôles de sécurité peuvent varier fortement. La compromission d’un équipement périphérique peut devenir beaucoup plus grave si les relations de confiance internes permettent à un attaquant de se déplacer vers des systèmes plus sensibles.
C’est pourquoi la cybersécurité moderne des infrastructures critiques s’intéresse de plus en plus à l’ensemble de la surface d’attaque, plutôt que de se limiter à savoir si un serveur particulier possède un logiciel de sécurité. Les opérateurs de l’eau, de l’énergie et d’autres services essentiels doivent envisager au moins trois types de conséquences :
Des données sensibles ou des configurations système pourraient-elles être consultées, modifiées ou supprimées ?
Des équipements critiques ou des plateformes opérationnelles pourraient-ils perdre le contrôle ou devenir indisponibles ?
Si les systèmes numériques sont perturbés, les opérateurs peuvent-ils continuer à fournir des services publics essentiels ?
La troisième question est souvent la moins abordée, mais elle illustre l’une des différences les plus nettes entre l’informatique d’entreprise classique et les infrastructures publiques critiques. L’exigence finale n’est pas simplement que chaque système d’information reste en ligne. Elle est que les services essentiels restent accessibles au public même lorsque certains systèmes numériques fonctionnent en mode dégradé.
Pourquoi l’exposition à Internet et la sécurité des comptes restent-elles des risques prioritaires ?
La réduction des expositions inutiles à l’Internet public et la mise à jour des mots de passe figuraient parmi les précautions de base mises en avant dans les récentes recommandations de sécurité. Ces conseils ne sont pas nouveaux, mais ils restent pertinents car de nombreuses attaques réussies commencent par des faiblesses relativement simples plutôt que par des techniques très sophistiquées.
Les attaquants recherchent régulièrement les interfaces d’administration exposées à Internet, les vulnérabilités connues, les identifiants par défaut et les services d’accès à distance insuffisamment protégés. Les services publics peuvent être particulièrement exposés lorsque les équipements sont en service depuis de nombreuses années et que les méthodes de maintenance à distance se sont accumulées au fil du temps.
Une page d’administration web, une passerelle VPN, un service de bureau à distance ou un port de maintenance d’équipement peut avoir été ouvert à l’origine pour une mise en service ou une assistance temporaire. Des années plus tard, il peut encore être accessible depuis Internet simplement parce que personne n’a pensé à le retirer de l’architecture réseau.
La gestion des comptes crée un risque similaire. Les mots de passe par défaut, les comptes administrateur partagés, les identifiants d’anciens employés encore actifs ou la réutilisation d’un même mot de passe dans plusieurs systèmes peuvent neutraliser des contrôles de sécurité réseau pourtant beaucoup plus robustes.
Pour cette raison, un examen de la sécurité de l’information publique devrait commencer par répondre à deux questions apparemment simples :
Quels systèmes sont réellement accessibles depuis l’Internet public ?
Qui est actuellement autorisé à y accéder ?
Si une organisation ne peut pas répondre précisément à ces questions, il est probable qu’elle présente également des angles morts ailleurs. Une connaissance fiable de l’exposition à Internet et des droits d’accès constitue la base de la segmentation réseau, de l’accès distant contrôlé, de la supervision et de la réponse aux incidents.
Que faut-il examiner en priorité lors d’un audit de sécurité de l’information publique ?
Améliorer la sécurité d’une infrastructure critique ne commence pas toujours par l’achat de nouveaux équipements de sécurité. Dans de nombreux environnements, la tâche la plus urgente consiste à comprendre les actifs existants, les comptes, les relations réseau et les procédures d’urgence. Si une organisation ne peut pas identifier clairement quels systèmes existent, qui peut y accéder et qui est responsable lorsque quelque chose se passe mal, des outils supplémentaires ne résoudront pas automatiquement le problème.
Les services exposés à Internet et la gestion des identités doivent être examinés en premier. Les interfaces d’administration, les équipements de terrain et les services d’accès distant peuvent rester directement exposés pour des raisons historiques, même lorsque cette exposition n’est plus nécessaire. Les mots de passe par défaut, les comptes administrateur partagés et les identifiants qui n’ont pas été renouvelés depuis des années peuvent créer une faiblesse tout aussi grave. Les organisations doivent donc confirmer que chaque service accessible de l’extérieur répond à un besoin opérationnel légitime, supprimer les expositions inutiles, utiliser des comptes individuels, renforcer l’authentification, appliquer le principe du moindre privilège et révoquer rapidement les accès lorsque des personnes changent de rôle ou quittent l’organisation.
Les frontières réseau et la gestion des actifs sont tout aussi importantes. Si les réseaux informatiques d’entreprise et les réseaux de contrôle opérationnel ne sont pas correctement séparés, une attaque de phishing contre un poste bureautique ordinaire peut ouvrir un chemin vers des systèmes opérationnels plus sensibles. Un inventaire incomplet des actifs crée un autre problème : serveurs, contrôleurs et terminaux de terrain peuvent rester en ligne sans propriétaire clairement identifié ni état de maintenance à jour. Segmenter les réseaux selon la fonction métier et le niveau de sécurité, tout en conservant un inventaire actualisé du matériel et des logiciels, permet de mieux comprendre comment les systèmes sont connectés et quels chemins doivent être isolés en priorité lors d’un incident.
Enfin, la journalisation, les sauvegardes et la réponse aux incidents déterminent la capacité d’une organisation à agir efficacement dès qu’une activité suspecte est détectée. Sans journaux suffisants, les enquêteurs peuvent ne pas savoir comment un attaquant est entré, ce qui a été modifié ou si une activité malveillante est toujours présente. Sans sauvegardes testées, la restauration des systèmes endommagés peut prendre beaucoup plus de temps. Une autre faiblesse fréquente est organisationnelle plutôt que technique : les équipes peuvent ignorer qui a l’autorité pour enquêter, isoler un équipement, déclarer un incident ou lancer la reprise. Il faut donc mettre en place avant toute urgence des enregistrements centralisés des connexions, des changements de configuration, des alarmes et de l’activité réseau anormale, associés à des tests réguliers de restauration des sauvegardes et à des responsabilités de réponse clairement attribuées.
Aucune de ces mesures ne paraît particulièrement avancée, mais elles déterminent en grande partie la capacité d’une organisation à détecter tôt un incident, à le contenir et à reprendre ses activités sans interruption prolongée. Elles constituent également la base sur laquelle des technologies de cybersécurité plus sophistiquées pourront ensuite être déployées efficacement.
Pourquoi les infrastructures critiques doivent-elles associer cybersécurité et continuité opérationnelle ?
L’une des idées reçues les plus fréquentes en matière de sécurité de l’information publique consiste à penser qu’un système sécurisé est un système qui ne peut jamais être compromis. Aucun environnement connecté ne peut garantir que des vulnérabilités, des identifiants volés, des erreurs de configuration ou des attaques auparavant inconnues ne se produiront jamais.
Les infrastructures critiques ont donc besoin d’un deuxième niveau de protection : si une partie du réseau, de l’environnement serveur ou du système de contrôle automatisé devient indisponible, les opérations essentielles doivent disposer d’un moyen viable de continuer.
Cela peut prendre de nombreuses formes. Les configurations critiques sont-elles stockées dans une sauvegarde hors ligne ? Une plateforme secondaire peut-elle prendre le relais si le système principal devient indisponible ? Les opérateurs de terrain peuvent-ils continuer à utiliser des commandes locales si le contrôle à distance est perdu ? Existe-t-il un moyen de communication indépendant en cas de panne du réseau principal ? Les dispatchers, personnels d’astreinte et équipes d’urgence savent-ils comment passer en mode d’exploitation dégradé ?
Il ne s’agit pas de supposer que tous les systèmes finiront forcément par être compromis. Il s’agit simplement de reconnaître que des infrastructures complexes connaîtront des conditions anormales. Les systèmes publics résilients sont conçus de manière à ce qu’une défaillance technologique ne se transforme pas immédiatement en défaillance de service.
Pour un service d’eau, la possibilité de passer en exploitation manuelle constitue en elle-même une mesure importante de résilience. Mais cette capacité a peu de valeur si elle n’existe que dans un manuel de procédures. Le personnel doit savoir l’utiliser, les flux de travail alternatifs doivent être testés et les équipes critiques doivent encore pouvoir communiquer lorsque les systèmes numériques habituels sont indisponibles.
Pourquoi la surveillance continue est-elle plus importante qu’une enquête après une interruption ?
Les autorités de Pennsylvanie ont continué à surveiller d’éventuelles attaques même si aucun incident local confirmé n’avait été signalé à ce moment-là, tout en maintenant leur coordination avec des partenaires de sécurité fédéraux, étatiques et locaux. Cette approche reflète un autre principe important de la sécurité de l’information publique : le renseignement sur les menaces ne peut pas rester enfermé au sein d’une seule organisation.
Les mêmes équipements de traitement de l’eau, contrôleurs industriels, logiciels d’administration à distance ou produits réseau peuvent être utilisés par des services publics dans de nombreuses villes et régions. Si un opérateur détecte une activité de connexion inhabituelle, un scan malveillant ou une nouvelle technique d’attaque et partage rapidement cette information, d’autres organisations ont la possibilité de vérifier leurs propres systèmes avant d’être ciblées de la même manière.
La sécurité de l’information publique ne doit donc pas relever uniquement du service informatique. Le personnel d’exploitation, les équipes de cybersécurité, les techniciens de maintenance, les responsables des urgences et les partenaires externes ont tous besoin d’un processus clair pour signaler et partager les informations de sécurité.
La surveillance continue doit également aller au-delà du simple état en ligne ou hors ligne d’un équipement. Des connexions à des heures inhabituelles, des échecs d’authentification répétés, des changements de configuration inattendus, des équipements inconnus apparaissant sur le réseau, des connexions sortantes anormales et des opérations à distance qui ne correspondent pas aux habitudes de travail peuvent constituer des indicateurs précoces d’un problème.
Passer de l’enquête après incident à une connaissance continue de la situation donne aux opérateurs davantage de chances de détecter une activité suspecte pendant qu’elle se développe encore, plutôt que de ne découvrir le problème qu’après l’interruption d’un service public.
Que doit réellement mettre en place un programme efficace de sécurité de l’information publique ?
Les cyberattaques contre les systèmes d’eau constituent un point d’entrée vers un problème beaucoup plus vaste. À mesure que davantage de services publics dépendent de réseaux IP, de plateformes cloud et de l’administration à distance, la sécurité de l’information publique devient indissociable de la fiabilité des services.
La question essentielle n’est plus de savoir si une organisation a acheté suffisamment de produits de sécurité. Il faut savoir si elle comprend réellement comment ses systèmes sont connectés, qui est autorisé à y accéder, comment les activités suspectes seront détectées, comment une attaque sera contenue et si les opérations essentielles pourront se poursuivre pendant la restauration des systèmes numériques.
Pour les infrastructures critiques, un programme mature de sécurité de l’information publique doit offrir au moins six capacités : réduire les expositions inutiles, contrôler les accès, surveiller en continu l’activité, limiter la propagation d’une intrusion, maintenir les opérations essentielles et rétablir rapidement les services.
La technologie soutient ces capacités, mais elle ne suffit pas à elle seule. Les politiques, la sensibilisation du personnel, les procédures opérationnelles, la formation et la coordination entre services déterminent si les mesures de sécurité fonctionneront lorsqu’un incident réel se produira.
Fonctionner pendant des années sans cyberattaque majeure est une situation normale, et non une preuve qu’il est possible de relâcher la protection. Une grande partie de la valeur de la cybersécurité est difficile à percevoir en fonctionnement normal. Son importance devient évidente lorsqu’un événement anormal survient et que l’organisation parvient à limiter l’impact, à préserver les services essentiels et à rétablir le fonctionnement normal sans retard inutile.
C’est le véritable objectif de la sécurité de l’information publique : non pas prétendre que les systèmes publics ne tomberont jamais en panne, mais faire en sorte que, lorsqu’un problème survient, les services essentiels pour la ville et la population puissent continuer.
FAQ
En quoi la sécurité de l’information publique diffère-t-elle de la cybersécurité d’entreprise classique ?
Une grande partie des technologies sous-jacentes sont identiques, mais la sécurité de l’information publique met davantage l’accent sur la continuité des services essentiels. Si un système d’eau, de transport, d’énergie ou de gestion des urgences cesse de fonctionner, les conséquences peuvent dépasser largement les employés d’une seule organisation. La planification de la sécurité doit donc considérer ensemble la protection du réseau, les opérations physiques et la reprise d’urgence. Une entreprise peut principalement mesurer le risque cyber en termes de pertes de données et financières, tandis que les infrastructures publiques critiques doivent également tenir compte de la sécurité publique et de l’impact social.
L’absence de cyberattaque actuelle signifie-t-elle qu’une région est sûre ?
Non. L’absence d’incident confirmé signifie uniquement qu’aucune attaque précise n’a été confirmée à ce moment-là. Elle ne prouve pas l’absence de services exposés à Internet, de mots de passe faibles, de systèmes obsolètes ou de risques de configuration. Les examens de sécurité doivent se poursuivre en fonction des actifs et du profil de risque de l’organisation, plutôt que de commencer uniquement après la détection d’une attaque. Certaines intrusions peuvent également rester inaperçues pendant longtemps avant de produire des effets opérationnels visibles.
Pourquoi les services publics doivent-ils réduire leur exposition directe à Internet ?
Chaque interface d’administration ou équipement exposé à Internet augmente le nombre de systèmes que des acteurs externes peuvent découvrir, scanner et tester. Lorsque l’accès à distance est nécessaire à l’exploitation, il doit passer par des chemins d’accès contrôlés avec une authentification et une autorisation appropriées, plutôt que de laisser en permanence des services d’administration inutiles exposés. Réduire l’exposition directe élimine des opportunités pour les attaquants avant même d’envisager des contrôles de sécurité plus complexes.
Pourquoi les installations critiques ont-elles encore besoin de capacités d’exploitation manuelle ou locale ?
Si un réseau, un serveur ou une plateforme de contrôle à distance est perturbé par un incident cyber ou une panne technique, des commandes locales et manuelles peuvent fournir un mode d’exploitation dégradé pour les services essentiels. Ces capacités ne remplacent pas la cybersécurité, mais elles réduisent le risque qu’une défaillance d’un seul système numérique arrête toute l’exploitation. Pour les infrastructures critiques, les systèmes numériques doivent améliorer l’efficacité et la visibilité sans devenir le seul moyen possible de maintenir un processus essentiel en fonctionnement.
