Le CISO OT d'EDF veut entraîner la France à un black-out géant

Simuler une France privée d'électricité pour découvrir, avant un attaquant, où cèdent nos défenses, c'est l'idée qu'a défendue Jean-Marc Autret, CISO OT du groupe EDF, ce mardi 10 novembre. Il intervenait lors du premier webinaire du programme Cyber 2027, lancé par Hexatrust et le Forum InCyber, aux côtés d'Olivier Morel, directeur général de Snowpack et trésorier d'Hexatrust. La veille, la France avait attribué à une unité des Gardiens de la révolution iraniens l'attaque qui a déréglé les frigos de 700 supermarchés en octobre.

“Il faut faire un exercice de grande échelle sur ce que représenterait une France plongée dans le noir”, a plaidé le responsable d'EDF. Selon lui, “si on ne teste pas la chaîne de bout en bout, on ne saura jamais à quel point on est résilient.” De son côté, Olivier Morel a regretté qu’aujourd’hui“on subit des attaques qu'on aurait pu éviter, parce que les solutions existent depuis des années.”

Des failles connues

L'offensive contre les contrôleurs frigorifiques en offre une illustration presque caricaturale, puisqu'elle a exploité, sans prouesse technique, des équipements exposés sur internet. Elle a prospéré dans un maquis où exploitants, frigoristes et fabricants peinent à savoir qui sécurise et qui paie. Pour le dirigeant de Snowpack, dont la technologie rend les actifs sensibles invisibles aux scanners tout en les laissant accessibles aux mainteneurs, il faut d'abord connaître son exposition avant de la réduire, faute de pouvoir toujours corriger des machines trop anciennes.

Chez EDF, qui gère un millier de sites industriels, chaque système est classé selon son impact, dans une logique héritée de la sûreté nucléaire, sur un patrimoine qui s'étend des années 2000 à 2025. “Dans le domaine industriel, on ne revient pas au papier”, a rappelé Jean-Marc Autret, dont les équipes ont étudié le black-out ibérique de 2025 et durci certaines protections en conséquence. En cas d'attaque, le groupe établit un diagnostic de ses lignes de défense, puis un pronostic qui permet de décider s'il faut isoler un équipement, couper un flux ou arrêter une machine. “Je n'hésiterais pas à faire arrêter un système s'il est extrêmement exposé à des menaces identifiées”, a assuré le CISO OT.

“Des déclarations aux preuves”

Olivier Morel a préféré, quant à lui, parler de maîtrise des dépendances plutôt que de souveraineté, et a invité chaque acheteur à se demander qui contrôle ses accès ou ce qu'il advient si un fournisseur disparaît. Il a appelé à “passer des déclarations aux preuves”, par des audits indépendants et des tests de réversibilité. Pour éclairer ces choix, Hexatrust a publié en septembre une cartographie des solutions françaises et européennes de cybersécurité industrielle, que l'association déclinera dès janvier vers d'autres secteurs, comme la santé.

Alors que le projet de loi résilience est débattu cette semaine à l'Assemblée, les deux experts ont adressé aux futurs candidats à la présidentielle un double message. Il faut agir avec des solutions françaises et européennes “dès lors qu'elles font le job”, a insisté Olivier Morel, tandis que Jean-Marc Autret a martelé que “se préparer au pire, c'est s'entraîner.”