Est-ce que le Canada est prêt pour la protection de ses infrastructures critiques?

Why cyber attacks on critical infrastructure are crucial in Canada today

Le paysage numérique mondial contient de plus en plus des cybermenaces sophistiquées et persistantes visant les infrastructures critiques et le Canada n’y échappe guère. Ces menaces peuvent paralyser les hôpitaux (CHUL, etc.), cibler les compagnies d’électricité (HydroQuébec, etc.), infiltrer les réseaux de transport (RTC, STM, etc.), etc., pour engendrer des conséquences massives comme:

• L’interruption des services
• Les pertes économiques
• Les atteintes de la vie privée
• Gravité sur la vie humaine
• Etc.

Tendances et Statistiques Canadiennes

Ces dernières années, le Canada par une transformation numérique marquable ne cesse de fournir des efforts en matière de cybersécurité:

–En 2022, le gouvernement a introduit le projet de Loi C-26 (encours d’adoption), visant à renforcer la résilience des systèmes informatiques dans des secteurs essentiels: Télécommunication, énergie, transport, finance, etc.

Ce projet oblige de désigner et signaler les incidents de cybersécurité et de se conformer aux exigences strictes

• Selon une source credible comme le CCC (Centre Canadien pour la Cybersécurité):

Nous notons entre 2021 et 2024 une croissance de 23% des incidents majeurs sur les infrastructures critiques, et en 2023 plus de 60% des hôpitaux et fournisseurs de services publics ont eu des tentatives d’intrusion ou de rançongiciel.

Étant donné que la menace ne vient pas seulement des cybercriminels et selon un rapport d’évaluation des menaces nationales publié en 2024, certains acteurs étatiques sont également une menace stratégique pour les systèmes canadiens à savoir: Chine, Russie, Iran et Corée du Nord.

Risques, cas réels, conséquences

Plusieurs scénarios s’offrent à nous:

1- Une attaque du réseau électrique peut compromettre de manière critique les activités hospitalières

2- Une brèche dans un système municipal peut affecter les services d’eau ou de transport

3- Etc.

Quelques Exemples Concrets et conséquences

Nous avons de manière concrète quelques cas:

1- Système de santé de Terre-Neuve-et-Labrador (2021) : Paralysé pendant des semaines par une attaque de Rançongiciel. Nous avons enregistré des dossiers médicaux supprimés, des traitements reportés et des coûts énormes
(https://ici.radio-canada.ca/nouvelle/1963328/groupe-hive-cyberattaque-2021-systeme-sante-terre-neuve-labrador );

2- Hydro-Québec (tentative en 2023) : Nous notons en 2023 une tentative d’intrusion par un groupe affilié à un État. Bien que déjoué, elle a mis en lumière des vulnérabilités importantes dans le processus de détection (https://www.lapresse.ca/actualites/2023-04-13/cyberattaque/le-site-web-d-hydro-quebec-paralyse.php )

3- Aéroport de Toronto Pearson (2024) : Nous relevons en cette année des attaques par déni de service (DDoS) qui ont temporairement perturbé les systèmes de billetterie et les affichages horaires.

Ces incidents observés montrent que nul n’est à l’abri, et la surface d’attaque ne cesse de s’élargir chaque jour avec l’extension numérique.

Recommandations clés

Pour les grandes infrastructures (exemple: énergie, transport, hopitaux, télécommunication, etc.) :

• Mettre en place un centre de surveillance de la sécurité (SOC 2 Type 2) actif 24/7
• Réaliser régulièrement des audits de Cybersécurité basés sur les standards du marché à l’instar de ISO 27001, NIST, PCI-DSS, etc.
• Appliquer la segmentation des réseaux pour limiter la propagation facile des attaques

Pour les PME ou fournisseurs:

• Sensibiliser permanemment le personnel aux risques d’ingénierie sociale (phishing, appels frauduleux, etc.)
• Implanter les solutions EDR/MDR accessibles (pour la surveillance des Endpoints).
• Disposer d’un plan de reponse d’incident simple et stucturé (Testé minimalement une fois par année)

Pour le secteur public:

• Collaborer étroitement avec le CCC (Centre Canadien pour la Cybersécurité)
• Établir des partenaires régionaux pour partager les alertes et des bonnes pratiques
• Intégrer la Cybersécurité dans tous les projets de la transformation numérique

In fine, il faut noter que la préparation, la résilience et la réactivité face aux attaques potentielles des infrastructures critiques ne sont pas des options mais des obligations tant pour le gouvernement que pour les entreprises privés.

Mesures pour la protection des Infrastructures critiques