L’essor rapide de l’énergie solaire en Europe expose davantage le système électrique aux risques de cybersécurité liés aux installations photovoltaïques connectées à Internet. Plus les onduleurs sont surveillés, configurés et mis à jour à distance, plus le risque d’attaques coordonnées susceptibles d’affecter un volume important de production augmente. Shane Barney, Chief Information Security Officer de Keeper Security, alerte sur ce point. Selon lui, la gouvernance des identités et des accès détermine le niveau de protection réel des opérateurs, au-delà des exigences réglementaires.
« L’avertissement du Smart Energy Expert Group (SEEG) de la Commission européenne concernant le risque de déstabilisation du réseau énergétique tombe à point nommé, au vu de l’incident de cybersécurité largement relayé qui a visé les systèmes de réfrigération de distributeurs français. Dans son rapport, le SEEG met en garde contre les risques liés à la prise de contrôle par des attaquants d’un grand nombre d’installations solaires connectées à Internet.
Remplacez les contrôleurs détournés lors de l’incident des systèmes de réfrigération français par des onduleurs solaires, et le schéma reste le même. Les recommandations les plus concrètes du rapport portent sur la manière dont les onduleurs communiquent avec Internet. Pour les centrales de grande envergure, il préconise que le trafic soit documenté, chiffré et authentifié, que les connexions sortantes soient limitées à des serveurs approuvés situés dans l’UE ou dans des juridictions offrant un niveau de sécurité équivalent, que les communications entrantes provenant de l’extérieur du réseau local soient bloquées et que l’authentification des accès à distance soit renforcée.
Danfoss, dont les contrôleurs ont été visés lors de l’incident en France, recommande désormais à ses clients de prendre des mesures comparables, notamment de supprimer toute exposition directe à Internet. Or, les mesures correctives s’avèrent presque toujours plus coûteuses que les mesures proactives.
La réglementation mettra du temps à rattraper son retard, et les normes qui s’appliqueront aux produits mis sur le marché à l’avenir ne remédieront pas aux vulnérabilités des équipements déjà installés et connectés. Les opérateurs ne doivent pas rester inactifs dans l’attente de nouvelles règles. Ils doivent inventorier chaque actif connecté et vérifier son statut de support, bloquer tout accès entrant depuis Internet, encadrer l’accès des fournisseurs via une plateforme de gestion des accès privilégiés (PAM), puis renouveler chaque identifiant utilisé par ces systèmes en désignant un responsable pour chacun d’eux. La réglementation fixe un socle minimal, mais c’est la gouvernance des identités et des accès qui détermine le niveau de protection réel des opérateurs. »
