Cybersécurité et conformité : Sécuriser une centrale nucléaire

La centrale nucléaire EPZ de Borssele, aux Pays-Bas, a collaboré avec CGI pour remédier aux vulnérabilités en matière de cybersécurité et améliorer son efficacité opérationnelle. Exploitée dans un secteur hautement réglementé, cette centrale construite dans les années 1970 est confrontée à des préoccupations considérables en matière de sécurité.

Afin de garantir la sécurité nucléaire, la centrale procède actuellement à la mise à niveau de ses protocoles de cybersécurité pour faire face aux menaces modernes, tout en respectant des exigences réglementaires complexes et en surmontant les défis liés aux technologies existantes.

Le défie

La centrale a été confrontée à un défi majeur de la part de l’autorité de régulation néerlandaise, qui a exigé des analyses de risques complètes de l’ensemble de son système. Celles-ci incluaient non seulement les systèmes informatiques, mais aussi les technologies opérationnelles telles que les extincteurs et les systèmes de ventilation. L’objectif de l’analyse des risques était de mettre en évidence les vulnérabilités, en particulier le risque que des acteurs malveillants exploitent ces systèmes, ce qui pourrait avoir des conséquences matérielles importantes.

Compte tenu de l’âge de la centrale et de son détachement du réseau numérique plus large, les risques de cybersécurité étaient principalement gérés par l’isolement physique des systèmes. Cependant, avec l’émergence de nouvelles menaces pour la sécurité, il était urgent d’adopter une approche plus efficace, évolutive et pratique de l’analyse des risques. Cette approche devrait se concentrer sur l’identification et le traitement des vulnérabilités les plus critiques sans être submergée par des risques moins importants.

La solution

Pour répondre aux besoins de la centrale, CGI a collaboré avec le client pour développer un cadre d’analyse des risques pratique et ciblé en utilisant la méthodologie de l’arbre d’attaque. Cette méthode a permis à CGI d’identifier efficacement les vulnérabilités critiques en commençant par le pire scénario et en remontant pour découvrir les exploitations potentielles. En se concentrant uniquement sur les risques les plus importants, CGI a pu évaluer rapidement les menaces prioritaires tout en évitant les processus longs et trop compliqués.

La solution a été conçue pour être rapide, efficace et compréhensible, fournissant au client une analyse des risques claire et exploitable. Pour ce faire, le processus a été simplifié et aligné sur les connaissances et l’expérience d’EPZ en matière de sécurité nucléaire. En outre, l’équipe a travaillé en étroite collaboration avec les propriétaires de systèmes d’EPZ pour s’assurer que chaque menace identifiée correspondait aux stratégies de contrôle ou d’atténuation appropriées.

En réponse à une nouvelle exigence réglementaire, CGI a également développé un outil qui a permis de mettre en correspondance l’analyse des risques avec le cadre MITRE ATT&CK, une norme de cybersécurité mondialement reconnue pour catégoriser les techniques d’attaque utilisées par des acteurs malveillants. L’outil aide le client à suivre et à évaluer les risques de manière plus concrète, en veillant à ce que les mesures d’atténuation soient conformes aux attentes de l’autorité de régulation.

L’outil a été encore amélioré par l’intégration des contrôles du Center for Internet Security (CIS), qui fournissent des mesures d’atténuation encore plus détaillées et particulières au système pour renforcer la cybersécurité. Cette intégration a permis à la centrale de mieux se préparer et de mieux réagir aux menaces, tout en restant conforme aux normes de l’industrie.

Principaux résultats

1. Évaluation des risques plus rapide – En utilisant la méthodologie de l’arbre d’attaque, le processus d’identification et de hiérarchisation des risques a été rationalisé, en se concentrant sur les vulnérabilités les plus critiques plutôt que sur les menaces moindres.
2. Amélioration de la sécurité – TL’intégration du cadre MITRE ATT&CK et des contrôles du CIS a permis une sélection plus précise et plus détaillée des contrôles, pour mieux suivre les progrès en matière d’atténuation et assurer une couverture complète.
3. Conformité réglementaire – Le nouvel outil d’analyse des risques a aidé le client à se conformer à l’exigence de l’autorité de sûreté nucléaire néerlandaise de cartographier les évaluations des risques selon le cadre MITRE ATT&CK.
4. Perspectives stratégiques – Grâce à la cartographie de l’outil et à la boucle de rétroaction continue avec les propriétaires du système, la centrale a pu mettre en œuvre des contrôles compensatoires là où c’était nécessaire, ce qui a permis de renforcer le cadre de sécurité et de le rendre plus proactif.
5. Modernisation des systèmes existants – Bien que la centrale fonctionne encore sur des systèmes isolés, les travaux en cours jettent les bases de futures mises à niveau numériques, aidant le client à s’adapter aux défis évolutifs de la cybersécurité.

La voie à suivre : assurer un avenir plus sécuritaire

Cette collaboration représente la première étape d’un parcours à long terme en matière de cybersécurité. À mesure que de nouvelles centrales numériques seront construites, les leçons tirées de cet engagement seront essentielles pour faire face aux risques accrus de connectivité et de sécurité associés aux installations nucléaires modernes. Le travail de CGI avec EPZ continue de faire partie intégrante des efforts de l’organisation pour sécuriser les systèmes existants et préparer la prochaine génération de centrales nucléaires.