La ville sûre – Anticiper la menace

La ville intelligente met en jeu des systèmes de type industriel, dont la sécurité présente souvent des lacunes. Le problème n’est plus uniquement informatique, et nécessite de la part des collectivités une nouvelle approche de la sécurité pour éviter les réactions en chaîne.

Avec le concept de smart city et les milliards d’objets connectés qu’il entraîne, de nouvelles menaces informatiques apparaissent. Chaque partie du système connecté peut présenter des failles, et les conséquences d’une attaque peuvent être plus graves que sur un système informatique traditionnel. Lorsque des infrastructures impliquées dans la gestion des eaux, ou la sécurité routière ou les transports en commun sont concernées, la sécurité physique des personnes peut alors être compromise. Cette nouvelle donne nécessite une approche, plus transversale, de la notion de sécurité.

Les systèmes anciens, de type industriel, n’ont pas été conçus pour les usages actuels. « La sécurité a souvent été le parent pauvre de ces réseaux », constate Philippe Rondel, responsable commercial chez Check Point Software Technologies. Mots de passe par défaut non modifiables, données non chiffrées, comptes de maintenance facilement accessibles, failles connues mais non sécurisées… Beaucoup d’erreurs ont été faites, mais les fournisseurs d’équipement commencent à en prendre conscience. « Les technologies utilisées par les villes intelligentes sont peu matures. On y voit des vulnérabilités que l’on rencontrait il y a une dizaine d’années dans le secteur informatique », constate Wilfrid Blanc, expert en cybersécurité pour le cabinet de conseil Lexsi.

Processus en amont et en aval

« Il ne s’agit plus de savoir si l’on va être attaqué, mais de savoir quand ! », prévient Paul Dominjon, responsable des stratégies d’information chez Symantec. « Beaucoup de services ont été ouverts pour des raisons pratiques, comme la maintenance, avec l’idée que personne ne les trouverait… Mais cela n’est plus vrai aujourd’hui », rappelle Gérôme Billois, expert en cybersécurité pour le cabinet de conseil Solucom. Le moteur de recherche Shodan, initialement créé pour répertorier les objets connectés à Internet, recense nombre de systèmes mal sécurisés et facilement accessibles… (lire son utilisation pour une enquête en Norvège…). 

Pourtant, les solutions de sécurité existent, bien que leur application puisse être compliquée par des contraintes économiques, de gouvernance, ou des difficultés techniques. « La sécurité est un ensemble de processus à mettre en place en amont et en aval du projet », précise Jérôme Farrouil, également expert en cybersécurité chez Lexsi. Il faut anticiper la menace : qui peut vouloir attaquer, avec quels moyens et quelles seraient les conséquences en termes de vie privée, de sûreté, de continuité du service ? Cette première étape permet de définir les solutions à adopter. « Ce sont les mêmes que celles des systèmes informatiques traditionnels, elles mettent en jeu des réseaux privés virtuels, le chiffrage, la gestion de droits et d’accès à partir d’annuaires, des antivirus, ou encore la gestion des mises à jour », résume Chékib Gharbi, directeur du Centre d’innovation des technologies sans contact EuraRFID, structure qui développe des projets numériques pour la Métropole de Lille.

« Le next generation firewall, pare-feu de nouvelle génération, intègre un maximum de sécurité, notamment la possibilité d’autoriser certaines communications et de bloquer les autres. Positionnés entre les différents systèmes, ils protègent contre différentes menaces, explique Philippe Rondel. C’est la brique de base à intégrer au réseau des villes intelligentes. » Ce cloisonnement évite qu’une faille ne donne accès à l’ensemble du réseau, tout en assurant que les ordres de pilotage d’un système donné proviennent bien d’une source autorisée. Mais mieux vaut ne pas s’en remettre entièrement aux fournisseurs de solutions de sécurité : « Certains installent une boîte noire et demandent de ne pas y toucher. Mais s’il y a un problème, c’est avant tout la ville qui en est responsable », prévient Jérôme Farrouil. Il est donc important de prévoir des audits des systèmes de sécurité en place par des entreprises indépendantes. 

Pour ajouter de nouveaux éléments au réseau, il faut veiller à ce que leur conception soit sécurisée, au contraire des systèmes anciens, mais de façon standardisée. « La sécurité peut être bloquante si les différents systèmes ne sont pas interopérables », indique Chékib Gharbi. Les fabricants mettent parfois au point leurs propres solutions, au détriment de la compatibilité. « Le secteur est encore balbutiant, les protocoles utilisés ne sont pas toujours les mêmes. Il y a des recommandations au niveau européen, comme celle de l’Enisa* », rappelle Wilfrid Blanc, qui conseille également de se référer aux mesures préconisées par l’Anssi. 

Pour Philippe Rondel, la prise en compte de ce problème avance : « Les constructeurs utilisent de plus en plus de solutions bien établies. »

Au-delà des solutions de sécurité elles-mêmes, la mise en place de systèmes interconnectés nécessite « une révolution en terme d’organisation », selon Chékib Gharbi. « La vision de la sécurité était jusqu’alors très verticale, centrée sur les métiers. Il faut maintenant passer à un mode transversal. La sécurité informatique ne doit plus être déconnectée de la sécurité globale de la ville. » Autrement dit, le RSSI n’est plus le seul concerné, les collectivités doivent avoir une vue d’ensemble, pour être capables de détecter une attaque sur l’un de leurs services, et agir en conséquence. C’est même l’ensemble du personnel qui doit être sensibilisé à ces questions. « La première faille, c’est l’homme. Quelqu’un qui utilise des codes d’accès trop simples, ou sort des documents, prévient Chékib Gharbi. Il faut faire comprendre les risques et leurs impacts. »

Pouvoir arrêter un projet

« Les experts chargés du pilotage de la ville intelligente doivent avoir un véritable pouvoir décisionnel, plaide Jérôme Farrouil. La sécurité ne doit pas être supplantée par des questions marketing ou stratégiques. Le RSSI doit pouvoir arrêter un projet s’il ne correspond pas aux bonnes pratiques. » Pour les collectivités n’ayant pas les moyens de mettre en place cette nouvelle organisation et acquérir les compétences nécessaires, la solution est généralement de mutualiser les ressources au niveau de l’intercommunalité. D’autant que le problème ne s’arrête pas une fois le système sécurisé : les menaces, comme les solutions, évoluent en continu. Pour cela, le système doit rester prêt en simulant régulièrement des attaques, afin de s’assurer de l’efficacité des procédures prévues. Mais la principale difficulté rencontrée lors de la maintenance ne concerne pas les éléments de sécurité eux-mêmes, dont la mise à jour peut être assurée de façon automatique, mais les systèmes déployés sur le terrain. Il est plus compliqué de déployer un correctif sur les systèmes disséminés (comme les capteurs), à plus forte raison si leur accès au réseau est limité. Ainsi, des failles ou des bugs sont parfois négligés.

Malgré le ton alarmiste qui se dégage des constats sur le niveau actuel de sécurité des infrastructures industrielles liées à la ville intelligente, Jérôme Farrouil se veut rassurant : « Il faut être prudent, se préparer aux risques, mais il est évident que la ville intelligente est le bon choix pour l’avenir. » 

* Agence de l’Union européenne pour la Sécurité des réseaux et de l’information

Les « smart cities » feront appel à plus de  2,6 milliards d’objets connectés en 2017 Nombre d’objets connectés dédiés au bon fonctionnement des villes intelligentes, en millions, de 2015 à 2017. (source : Gartner, mars 2015)