Retour à la liste
Analyse des risques cyber maritime et portuaire : 3 questions à Didier DAOULAS
Bessé a dévoilé en juin 2022 la synthèse de la dernière étude Cyber du secteur maritime français réalisée par M. Ian Frens (Etudiant du Mastère spécialisé en cybersécurité des secteurs maritimes et portuaires français), pilotée par notre expert avec la contribution de l’ANSSI et de l’ENSM.
Parole d'experts
Présentation de l'étude et de sa méthodologie de l'analyse de risques.
L’objectif de cette étude est de réaliser une analyse de risques macroscopique du secteur maritime Français vis-à-vis de la menace cyber. Il s’agit d’identifier les risques les plus significatifs pour le secteur maritime et portuaire français et de proposer des recommandations pour les réduire.
L’analyse a été menée pendant 6 mois de manière méthodique en s’appuyant sur la connaissance de l’écosystème maritime français, en recensant les évènements redoutés par domaine d’activités tout en en s’attachant à rester macroscopique afin d’en tirer les enseignements majeurs pour le secteur. Elle intègre l’état de la menace et les sources de risques connus, elle tient compte également des avis des compagnies maritimes et des ports que nous avons pu consulter.
Par construction, elle met l’accent sur les vulnérabilités plutôt que sur les forces afin d’identifier et retenir les scénarios dont l’impact serait significatif sur le secteur. Nous avons donc fait le choix d’utiliser la méthode EBIOS Risk Manager pour mener cette analyse de risques.
Cette méthode adopte une approche de management du risque qui part du plus haut niveau (grandes missions de l’entreprise / organisme étudié, actifs à protéger) pour aboutir progressivement à l’identification de scénarios d’attaque réalistes et proposer un plan de traitement du risque adapté.
L’étude menée par Bessé recense une hausse importante du nombre d’incidents de cybersécurité maritime rendus publics à partir de 2019. Comment analysez-vous cette tendance ?
Les statistiques s'appuient sur les données publiques au cours des 40 dernières années. L'augmentation notée depuis 2019 est essentiellement liée à deux facteurs : d'une part, à l’instar d’autres industries modernes, la numérisation forte du secteur maritime et portuaire au cours des dernières années qui augmente la surface d'attaque et, d'autre part, l'augmentation du nombre de cyberattaques par rançongiciel de la part d'acteurs cybercriminels.
Ces chiffres ne doivent cependant pas faire oublier les sources de menace de type étatiques, qui restent souvent plus discrètes mais non moins dangereuses.
La France est le deuxième pays le plus impacté par les cybermenaces visant le secteur maritime, avec 10,4% des attaques reportées dans le monde. Les acteurs français sont-ils plus particulièrement ciblés ? Si, oui pourquoi ?
Non, la France n'est pas plus ciblée que les autres pays. D'ailleurs, de manière générale, les attaquants de type cybercriminels fonctionnent par opportunité : ils cherchent des portes ouvertes plutôt que des cibles sectorielles spécifiques. Cependant, la richesse de l'écosystème maritime français, l'importance du secteur maritime et portuaire pour notre économie, et certains caractères géopolitiques et stratégiques font que, bien entendu, c'est un secteur qui peut attirer l'attention et l'intérêt de la part de certains acteurs : l'ignorer serait se voiler la face.
Vous décrivez, dans l’étude, 11 scénarios d’attaque. Quel-est selon le plus actuel pour les armateurs français ? Quel est le plus critique ? Quelles recommandations feriez-vous aux compagnies pour prévenir ces risques ?
Les scénarios ne sont pas rendus publics pour des raisons évidentes de discrétion. Mais, comme nous l'avons évoqué précédemment, le risque lié à une attaque par rançongiciel et son impact opérationnel pour un port ou un armateur restent particulièrement d'actualité.
L'idée, bien sûr, est de réduire au mieux l'impact opérationnel pour les acteurs du monde maritime. Quant aux recommandations, effectivement des solutions existent aujourd'hui pour réduire ces risques. Ces solutions, elles doivent être à la fois organisationnelles (rendre l'organisation apte à traiter une cyberattaque, par exemple grâce à la connaissance de ses systèmes d’information et à l'entrainement), techniques (détection, réaction), opérationnelles (assurer la résilience des opérations) et humaines (sensibilisation, formation).
Je souligne qu’aujourd’hui, France Cyber Maritime est l'association qui a pour but de catalyser ces actions cyber et maritime en France, donc nous ne pouvons que recommander aux compagnies et ports de participer à cette dynamique pour gagner en maturité et en efficacité, collectivement, sur le principe de la solidarité des gens de mer.
Découvrez l'intégralité de la synthèse de l'étude
L’occasion pour nous de remercier les autres contributeurs principaux de la version intégrale de l’étude à savoir, Sylvie Andraud de l’ANSSI - Agence nationale de la sécurité des systèmes d'information, Pedro MERINO de l’ENSM, Ecole nationale supérieure maritime.
