Trois exposés ont mis en lumière des aspects essentiels de la sécurité informatique et de la gestion des risques, chacun sous un angle différent.
Principes de base en matière de sécurité informatique et prescriptions réglementaires :
L’IFSN a tout d’abord présenté le cadre juridique et technique régissant la sécurité informatique dans les installations nucléaires, en se référant directement à la directive ENSI-G22 « Sécurité informatique dans les installations nucléaires », classée confidentielle. Les conclusions suivantes ont été tirées.
- Les stratégies de protection robustes en matière de sécurité informatique nécessitent la mise en œuvre de mesures de sécurité à plusieurs niveaux, combinant des mesures administratives, organisationnelles, humaines et techniques.
- L’humain est un facteur clé : aucune mesure prise isolément n’est insurmontable – ce qui est déterminant, c’est la synergie entre la technologie et la sensibilisation des collaborateurs.
- La menace liée aux cyberrisques évolue sans cesse. La directive de l’IFSN exige donc une vérification régulière des concepts de sécurité concernés.
Gestion des risques dans la pratique
Dans leurs exposés, la centrale nucléaire de Gösgen et la Nagra ont présenté la mise en œuvre des mesures de sécurité visant à atteindre les objectifs de protection fixés en matière de sécurité informatique. Cela concernait entre autres :
- La disponibilité
Des systèmes redondants et une surveillance 24 h/24, 7 j/7 assurée par un centre d’opérations de sécurité (Security Operations Center ou SOC) garantissent la disponibilité permanente des informations et des systèmes informatiques. - L’intégrité
Les données critiques sont stockées sur des supports WORM (« Write Once, Read Many »). Cette technologie rend plus difficile toute manipulation ultérieure et contribue à garantir l’intégrité des informations. - La confidentialité
Les données sensibles sont protégées par un système de cryptage et des droits d’accès à plusieurs niveaux. - Le caractère incontestable
Il est possible de prouver la survenue d’événements et d’actes, de sorte qu’ils ne puissent être contestés. - Le pilotage stratégique et les conditions-cadres
Des directives claires et des structures de gouvernance constituent la base d’une gestion efficace de la sécurité informatique. Les risques informatiques ne doivent pas être considérés isolément. Ils font partie intégrante de la gestion globale des risques. - La sensibilisation et la formation des collaborateurs
Des actions de formation régulières permettent de s’assurer que le personnel est sensibilisé aux cyberrisques actuels. Cela comprend des formations sur le phishing, l’ingénierie sociale et les méthodes de travail sécurisées. - Les mesures techniques de sécurité
- Le principe du « zéro confiance » : les accès aux systèmes et aux données sont vérifiés, quelle que soit leur source.
- Les postes de travail modernes sont à la pointe de la technologie.
- Une infrastructure résiliente
- Une utilisation maîtrisée de l’IA : l’utilisation de l’intelligence artificielle est soumise à des règles claires.
- Le zonage : les systèmes informatiques sont classés en différentes zones de sécurité informatique en fonction de leur importance pour la sûreté nucléaire.
- La suppression des composants et des fonctions superflus du système
- La renonciation à des fonctions de confort sans gain en matière de sécurité
Conclusion : la sécurité grâce à des mesures échelonnées
Les exposés ont mis en évidence que la cybersécurité n’est pas une question statique dans les installations nucléaires actuelles et qu’elle ne le sera pas non plus dans un futur dépôt en couches géologiques profondes. La cybersécurité, tout comme la sûreté nucléaire en général, est un processus continu. La combinaison de mesures de protection techniques, de formations régulières et d’une gestion claire des risques en constitue le fondement, conformément aux exigences légales et aux directives de l’IFSN. Le rôle de l’être humain a été particulièrement mis en avant : l’efficacité des meilleurs systèmes dépend en fin de compte des collaborateurs qui les utilisent.
