La loi australienne de 2018 sur la sécurité des infrastructures essentielles (SOCI) est la pierre angulaire de la stratégie du gouvernement pour gérer les risques liés aux infrastructures essentielles. Ses objectifs sont de s’assurer que les opérateurs d’infrastructures essentielles prennent des mesures de sécurité appropriées et de donner au gouvernement les informations et les pouvoirs nécessaires pour répondre aux menaces.
Ciblant à l’origine quatre secteurs seulement (électricité, gaz, eau et ports), l’initiative SOCI a depuis été étendue à 11 secteurs de l’économie. La loi vise à protéger les infrastructures et les services essentiels de ces 11 secteurs et à les rendre résilients face aux perturbations affectant la sécurité, l’économie et la société australiennes.
Pour ce faire, la loi impose des obligations aux détenteurs d’actifs critiques, sous la forme d’obligations de sécurité positive (OSP), d’obligations de cybersécurité renforcées (OCSR) et de mesures d’aide gouvernementale.
Par exemple, les entités responsables doivent enregistrer les détails des actifs et peuvent être tenues de signaler les cyberincidents à l’Australian Cyber Security Centre (ACSC) et de mettre en place un programme formel de gestion des risques, connu sous le nom de Critical Infrastructure Risk Management Program (CIRMP). Les actifs considérés comme des systèmes d’importance nationale pourraient être soumis à des exigences encore plus strictes, notamment des plans obligatoires de réponse aux incidents, des exercices de cybersécurité et des évaluations de vulnérabilité. L’initiative SOCI codifie essentiellement ce qui était autrefois considéré comme les meilleures pratiques du secteur en une loi applicable. La loi SOCI transpose essentiellement ce qui était autrefois considéré comme les meilleures pratiques du secteur en une loi applicable.
Deux catégories concernées : les secteurs traditionnels et les nouveaux entrants
Les secteurs initialement réglementés considèrent probablement les OSC comme une extension des cadres existants. Depuis des décennies, les secteurs de l’énergie et des services publics fonctionnent selon des normes rigoureuses de fiabilité et de sécurité (telles que les codes NEM ou les lois sur la sécurité de l’eau), de sorte que la formalisation de ces pratiques au sein de l’OSC peut être perçue comme une continuation de la gouvernance existante.
En revanche, les organisations des secteurs intégrés plus récemment, tels que les communications, le stockage et le traitement des données, la santé, l’enseignement supérieur et les transports, doivent s’adapter à un nouveau cadre réglementaire. Ces secteurs ne disposent souvent pas d’une tradition de réglementation des infrastructures, ce qui signifie que la conformité SOCI nécessite la mise en place de nombreux processus à partir de zéro. Cela inclut notamment la création de registres d’actifs, la rédaction de plans CIRMP, la mise en œuvre de contrôles et la formation des équipes aux procédures de signalement des incidents.
Par exemple, un réseau universitaire ou hospitalier peut désormais être considéré comme un opérateur d’infrastructure critique, ce qui l’oblige à identifier les actifs concernés, à évaluer les dépendances et à mettre en œuvre un plan de gestion des risques et des vulnérabilités (CIRMP) conforme.
Cela implique souvent de mettre en place dès le départ une gouvernance formelle de la sécurité – en s’alignant sur des cadres tels que les huit éléments essentiels de la DSA, la norme ISO 27001 ou le cadre de cybersécurité du NIST – et d’établir des mécanismes de détection des incidents, de réaction et de notification au CCSC en temps opportun.
En revanche, les opérateurs des secteurs traditionnellement réglementés peuvent déjà disposer de programmes de gestion des risques aboutis et être en mesure d’adapter les contrôles existants pour répondre aux exigences de l’OSSI. Quel que soit le secteur, toutes les organisations doivent désormais intégrer la gestion des cyberrisques dans leurs processus opérationnels de base et ne pas la traiter comme une activité parallèle ou isolée.
L’OT et le défi de la convergence des technologies de l’information
L’un des principaux défis posés par l’initiative SOCI réside dans la sécurisation des environnements de technologie opérationnelle (OT) : les systèmes de contrôle industriel qui sous-tendent de nombreux actifs critiques. La technologie opérationnelle comporte son propre ensemble de risques.
De nombreux appareils n’ont jamais été conçus en tenant compte de la cybersécurité. Ils utilisent souvent des systèmes d’exploitation ou des micrologiciels obsolètes qui ne peuvent pas être facilement corrigés et recourent à des protocoles propriétaires ou anciens, tels que Modbus, DNP3 ou Profibus, qui ne disposent pas d’une authentification ni d’un chiffrement de base.
Parallèlement, la convergence des réseaux informatiques (IT) et des réseaux opérationnels (OT) a élargi la surface d’attaque. Des environnements auparavant isolés sont désormais de plus en plus connectés aux systèmes informatiques de l’entreprise et à Internet pour permettre la surveillance à distance, l’analyse et l’automatisation. Cela ouvre de nouvelles voies aux attaquants, qui peuvent se déplacer latéralement d’un environnement à l’autre, et introduit le risque d’une perturbation opérationnelle due aux cyberattaques.
Les opérateurs industriels doivent trouver un équilibre entre la disponibilité des systèmes et la cybersécurité. La mise hors ligne des systèmes pour des mises à jour ou la segmentation peut perturber les opérations, mais le fait de les laisser exposés augmente les risques.
La SOCI encourage les organisations à adopter des stratégies spécifiques aux technologies de l’information et de la communication. Celles-ci peuvent inclure une segmentation stricte du réseau, un principe du moindre privilège, une surveillance hors bande et des conceptions à sécurité intégrée pour sécuriser ces environnements.
Fournisseurs de services de données et obligations de notification
L’un des aspects de la norme SOCI dont on parle peu, mais qui revêt une importance capitale, est l’obligation d’informer les prestataires de services de données. Si un tiers stocke ou traite des données stratégiques liées à votre actif réglementé, vous êtes tenu de l’informer que la norme SOCI s’applique. Cela permet de s’assurer que vos prestataires de services comprennent leur rôle dans la protection des données stratégiques et sont prêts à vous apporter leur soutien en cas d’incident ou d’audit.
En outre, la notification des incidents est une exigence centrale de l’initiative SOCI. Un incident de cybersécurité ayant un impact significatif ou pertinent sur vos services essentiels doit être signalé à l’ACSC dans des délais stricts. Si l’impact est important, la notification doit avoir lieu dans les 12 heures. Pour les incidents pertinents mais de moindre gravité, la notification doit se faire dans les 72 heures.
Il ne s’agit pas d’un effort ou d’une activité volontaire. Il s’agit d’une obligation légale. La notification en temps utile donne à l’ACSC une visibilité sur les menaces qui pèsent sur les systèmes nationaux, ce qui lui permet de coordonner des réponses opportunes et efficaces. Elle renforce également le principe selon lequel la protection des infrastructures critiques est une responsabilité partagée entre le secteur privé et le gouvernement.
Au-delà de la prévention : la véritable signification de la résilience
De nombreuses organisations continuent de considérer la résilience comme la capacité à bloquer ou à prévenir les menaces. Or, la véritable résilience va au-delà de la prévention. Il s’agit de la capacité à absorber les chocs, à se remettre rapidement et à poursuivre ses activités, même dans des conditions défavorables. SOCI encourage les organisations à adopter cette définition plus large.
La résilience implique de disposer de plans de reprise testés, de sauvegardes hors ligne fiables, de systèmes redondants et d’une procédure de remise en service pendant ou après un incident. Cela implique également une amélioration continue, l’apprentissage tiré de chaque événement, l’adaptation des défenses et la correction des failles avant la prochaine attaque.
Cela est d’autant plus important que ces tendances sont récentes. Les rapports de l’Australian Signals Directorate (ASD) et d’autres organismes gouvernementaux montrent que les cyberincidents touchant des secteurs tels que l’eau, l’énergie et les transports sont en augmentation.
Même des événements relativement mineurs peuvent avoir des répercussions sur des systèmes interdépendants, affectant les chaînes d’approvisionnement, la sécurité publique et les services essentiels. Ces tendances soulignent l’urgence d’une approche axée sur la reprise.
Les RSSI doivent prendre l’initiative de faire de la résilience cybernétique bien plus qu’une simple case à cocher. Cela signifie que la résilience doit être considérée comme une capacité dynamique, de bout en bout, qui implique que les personnes, les processus et la technologie travaillent de concert.
Un changement réglementaire aux implications stratégiques
L’initiative SOCI a marqué un tournant majeur dans l’approche australienne de la cyberréglementation. Elle dépasse les approches fragmentées et volontaires pour créer un cadre national cohérent pour la protection des infrastructures critiques. Bien qu’elle ait certainement introduit une nouvelle complexité, des obligations de déclaration et des coûts de mise en conformité, elle offre également aux organisations la possibilité d’élever leur niveau de maturité en matière de sécurité et d’intégrer la résilience au cœur de leurs opérations.
Plutôt que de considérer la SOCI comme une simple obligation de conformité, les RSSI avant-gardistes peuvent la voir comme un catalyseur stratégique. Elle permet d’obtenir le soutien du conseil d’administration pour les investissements, formalise les pratiques en matière de gestion des risques et renforce l’alignement entre les activités de l’entreprise et la sécurité. L’intégration de mesures d’aide gouvernementales et de mécanismes de partage d’informations sur les menaces renforce encore davantage le rôle de la SOCI en tant qu’outil collaboratif, et non pas seulement comme une obligation.
À mesure que les menaces évoluent et que les infrastructures numériques s’intègrent de plus en plus dans la vie du pays, la résilience doit devenir une priorité. La SOCI prépare le terrain. C’est maintenant à nous de passer à l’action.
Pour en savoir plus sur vos obligations, consultez le Guide de la loi SOCI.
