Protection, détection, réaction : protéger les pipelines contre le cybercrime

Le cybercrime est l’une des plus grandes menaces du 21e siècle. Tout le monde peut y être confronté, du fait que les malfaiteurs peuvent voler des identités, faire circuler des messages haineux ou encore inciter au terrorisme.

Le piratage informatique représente l’un des dangers les plus graves auxquels l’industrie pipelinière fait face. Les pirates peuvent bloquer des réseaux informatiques, qui sont essentiels au fonctionnement sécuritaire et à la surveillance des pipelines.

Les membres de CEPA prennent la cybersécurité très au sérieux. C’est pourquoi ils font appel à l’expertise d’entreprises extérieures pour instaurer les mesures de protection les plus efficaces.

Brian Masch, partenaire associé, Western Cybersecurity Leader à EY Canada (une firme mondiale d’experts-conseils) est l’un de ces experts. Il a auparavant fait partie de l’équipe nationale pour la cybersécurité de l’énergie aux États-Unis, et depuis peu, il fait bénéficier le Canada de sa vaste expérience.

« Nous travaillons généralement avec des entreprises pour évaluer leurs systèmes actuels, relever leurs forces et les lacunes, et les aider à trouver des façons d’améliorer ou de renforcer leurs systèmes afin de les protéger », a expliqué Masch.

« Nous travaillons avec les équipes pour comprendre la portée de leurs demandes cybernétiques et déterminer les protocoles de contrôle de sûreté en matière de gestion de données et de sûreté. »

Les menaces

Selon Masch, tout incident lié à la cybersécurité peut entraîner un effet critique sur les pipelines, surtout en ce qui concerne la sécurité et les interruptions de service.

« Il y a une perte de revenue, une perte de données et de biens, ainsi qu’une incapacité à répondre aux demandes des consommateurs, a-t-il affirmé. Mais par-dessus tout, les enjeux touchent la sécurité et l’environnement, surtout en raison des risques pour les membres du public et du personnel, ainsi que de dommages environnementaux à long terme. »

« Les pirates informatiques pourraient neutraliser des capteurs visant à détecter les augmentations de température, faire augmenter la température ou perturber l’ouverture et la fermeture des vannes, pour ne citer que quelques-uns des risques potentiels. »

L’approche

Lorsqu’elle conseille des sociétés pipelinières, EY fonde son approche en matière de cybersécurité sur trois principes :

Protection : créer les bons moyens de contrôle pour empêcher les pirates de pénétrer dans le système

Détection : détecter les tentatives de passer au travers de ces moyens de protection

Réaction : atténuer rapidement toute exposition, rétablir les systèmes et/ou récupérer les données, et minimiser les interruptions de service

« Ces dernières années, l’industrie pipelinière a été de plus en plus visée. Et malgré les preuves d’intrusions, il a été difficile de rassembler des données précises pour confirmer ces attaques, parce qu’il s’agit d’informations jugées confidentielles », a déclaré M. Masch.

« Les récentes améliorations réglementaires permettent aujourd’hui de communiquer ces informations plus efficacement. »

Le protocole de protection

Au moment d’établir des mécanismes de protection, EY se concentre sur trois domaines :

  • Les gens : des ressources humaines spécialisées dans la cybersécurité, capables de maintenir une longueur d’avance sur les pirates
  • Les processus : répétables et durables, pour gérer toute menace de façon efficace et efficiente
  • Technologie : disponibilité des technologies et des outils actuels, tels que des outils visant à prévenir les pertes de données, pour aider les organisations à ériger une défense solide

« Les organisations se dotent de nouvelles technologies pour accroître rapidement leurs affaires. Et chaque fois qu’elles introduisent une nouvelle technologie, elles augmentent le risque de cybermenace », a déclaré M. Masch.

Le facteur humain

Selon M. Masch, veiller à demeurer constamment attentif aux menaces dans l’ensemble de l’organisation entraîne l’incidence positive la plus importante.

« Cela signifie que la formation à la cybersécurité n’est pas juste une composante de votre orientation; c’est une partie intégrante du travail de tous les jours. »

« Certaines entreprises ont commencé à inclure des activités de sensibilisation dans leurs réunions de sécurité quotidiennes. Elles organisent des réunions dont le thème varie chaque mois ou posent des affiches contenant des informations utiles, comme le nombre de jours depuis le dernier cyberincident. »

Les entreprises doivent être conscientes du fait que des actes commis par inadvertance au sein de l’organisation, tout comme des gestes parfois intentionnels, peuvent également s’avérer dangereux.

« Sachant qu’il y a peu de chances d’empêcher complètement les gens de cliquer sur le mauvais lien, les entreprises doivent établir une liste de bons outils qui ne vont pas nécessairement empêcher les intrusions, mais également leur permettre de limiter ces dernières. Les gens représentent la principale mesure de sûreté, mais aussi le principal risque. »

Pour vous informer davantage au sujet de la cybersécurité et des pipelines sur le blogue de CEPA :