Cyber : le mur de la sécurisation de la supply chain

(Article 100 % écrit par un humain)

Une attaque contre la chaîne du froid d’une enseigne de supermarchés. Une autre contre celle de plusieurs sites de l’Établissement français du sang (EFS). Une banque mutualiste piratée, sur laquelle très peu d’informations ont filtré, mais dont l’origine serait, sans confirmation à ce stade, la compromission d’un prestataire. En cyber, c’est comme dans le textile : il y a des modes.

Dans le premier cas, l’impact est financier : l’enseigne a dû jeter des quantités importantes de denrées. Dans le deuxième, aucun impact, selon la communication officielle de l’EFS : la hausse de température des réfrigérateurs où sont stockées les poches de sang, programmée par les attaquants, ne s’est pas déclenchée. Vu la pénurie chronique de sang dans ce pays, on respire. Pour la banque, le préjudice dépasserait les 100 millions d’euros.

Que la sécurisation des fournisseurs revienne sur le devant de la scène n’a donc rien de très étonnant. Les cibles habituelles (banques, assurances, santé) mènent depuis plus de dix ans de lourds chantiers de sécurisation de leur SI. Du coup, il devient plus simple de pirater l’un de leurs fournisseurs pour atteindre, par ricochet, le cœur du système.

Vous pensez que je délire ? Demandez à n’importe quel DSI combien sa direction compte de comptes administrateurs à pouvoir. Il vous donnera le chiffre en deux minutes, s’il ne le connaît pas déjà par cœur, avec en tête la liste nominative des personnes concernées. Demandez-lui ensuite le nom et le prénom du dernier agent d’entretien entré dans un local sensible pour y faire le ménage (une prestation le plus souvent sous-traitée). Qui peut répondre au pied levé ?

Une mosaïque de cas d’usage

La difficulté tient d’abord à la diversité des situations que recouvre la supply chain. Pour n’en citer que quelques-unes :

• le fournisseur qui intervient sur site avec son propre matériel. Inutile de répondre qu’il n’a qu’à travailler sur le matériel de l’établissement : c’est parfois tout simplement impossible ;
• le fournisseur qui intervient à distance depuis ses propres locaux. Avec un sous-cas : les plateaux de télémaintenance mutualisés, qui tournent 24 heures sur 24 et 365 jours par an en mode follow the sun. Bon courage pour leur imposer votre VPN ;
• le fournisseur dont les techniciens sont eux-mêmes en itinérance permanente ;
• le fournisseur qui supervise à distance sans pouvoir agir, en simple visualisation, sans commande/contrôle (C/C pour les intimes) ;
• le fournisseur qui supervise et agit en C/C, comme dans le cas de l’enseigne de supermarchés.

Et j’en oublie certainement.

Des parades qui ont leurs limites

Il existe bien sûr toute une batterie de mesures techniques : filtrage des IP entrantes, bastion avec authentification multifacteur (impossible avec les plateaux de télémaintenance), accès en zero trust (très compliqué pour des équipements supervisés en continu)… Mais elles butent toutes sur le même écueil : si le réseau du fournisseur est compromis, les attaquants passent au travers d’une bonne partie d’entre elles.

Restent les mesures organisationnelles : exiger du fournisseur qu’il ait lui-même déployé le MFA sur ses équipements, isolé ses VLAN de supervision ou de C/C, etc. On peut l’imposer par contrat. Après, on entre dans le registre de la confiance ou de l’audit, et auditer le millier de fournisseurs d’un CHU promet d’être rock’n’roll. Une confiance qui a d’ailleurs ses limites, puisque le fournisseur a lui-même des fournisseurs…

On peut toujours espérer que tout ce petit monde finira par voir la lumière de la Sainte Vierge Cyber et se sécurisera dare-dare. Mais près de dix ans après les premières grandes attaques (Saint-Gobain, 2017), certaines grandes entreprises publiques ou privées en sont encore à mettre en place les basiques, et tout le monde n’est même pas d’accord sur la liste de ces basiques. Je serai passé de l’autre côté du gazon que vous y serez encore.

Le signal-prix, faute de mieux

J’ai bien une solution : le signal-prix.
Tu es OSE ? Tu as mis en place NIS, ou tu te prends une prune.
Tu travailles pour un OSE ? Idem.
Tu travailles pour quelqu’un qui travaille pour un OSE ? Idem.
À ce compte-là, autant y soumettre directement les quelque 4 millions d’entreprises françaises, ça ira plus vite.

La directive NIS 1 date de 2016. NIS 2, adoptée par l’Union européenne fin 2022, attend toujours sa transposition en droit français. Ce serait une question de mois (comme disait le pote de saint Thomas). Dix ans, donc, et entre-temps l’IA est passée par là.

Note pour moi-même : lister tous les accès en mode C/C sur les équipements SCADA, GTB/GTC, etc.