SACEF 2024| Cyber Aware Digital Transformation

Valeur des informations & solidité de l’argumentation

La valeur informative tient d’abord à la structuration du propos autour d’une typologie d’attaques : l’intervenant distingue les incidents à conséquences physiques des simples vols de données ou quasi-accidents, ce qui clarifie l’enjeu réel pour les exploitants. L’observation la plus utile est que deux tiers des attaques documentées à cause connue ont impacté l’OT de manière indirecte — arrêts préventifs par précaution, dépendance à des systèmes informatiques ou à des connexions tierces — ce qui déplace le centre de gravité de la défense au-delà du seul périmètre industriel. L’argumentation reste toutefois essentiellement descriptive : les chiffres sont énoncés sans détail méthodologique dans le corps de l’exposé, et la causalité entre digitalisation et hausse des incidents est affirmée plus que démontrée. Le raisonnement sur la sécurité by design, développé dans le panel, est cohérent et opérationnel (intégrer les contrôles dès la conception, vérifier leur implémentation, surveiller les points d’intégration), mais il relève du retour d’expérience plutôt que d’une démonstration empirique. La présentation de l’outil d’auto-évaluation expose une logique défendable — hiérarchiser les questions pour ne pas décourager les utilities peu matures — sans fournir d’éléments de validation, de métriques de résultat ou de comparaison chiffrée avec les référentiels existants. L’ensemble constitue donc un apport de cadrage et de sensibilisation solide, mais peu étayé sur le plan probatoire.

Rigueur scientifique, qualité des sources, adéquation du titre

La rigueur méthodologique est explicitée pour le rapport de menaces : seuls les incidents du domaine public sont retenus, avec publication du jeu de données complet en annexe, ce qui est un gage de transparence et de reproductibilité appréciable. Les référentiels cités (C2M2, cadre NIST, outil du NERC, programme Cyber-Informed Engineering du département de l’Énergie américain) sont des sources institutionnelles identifiables, et l’orateur renvoie à des ressources librement accessibles. En revanche, aucune URL n’est fournie dans la description de la vidéo, qui est vide, et la transcription ne contient pas de liens exploitables ; les sources citées ci-dessous sont donc reconstituées à partir des seules mentions orales, sans garantie d’adresse exacte. L’attribution de certaines attaques (Volt Typhoon, Sandworm, BlackEnergy) est conforme à la littérature publique connue. L’adéquation titre/contenu est bonne : la session traite bien de la transformation numérique et de la conscience des cybermenaces dans les utilities électriques. Aucun commentaire n’étant fourni, aucune analyse des tendances du public n’est formulée.

Le titre annonce une session sur la transformation numérique consciente des cybermenaces dans les utilities électriques ; le contenu y répond directement (keynote sur les menaces OT, présentation d'un outil d'auto-évaluation, panel sur la sécurité by design).

6/10

Le contenu repose sur des intervenants identifiés et crédibles (chercheur principal du rapport annuel de Waterfall, experts de utilities indiennes, régulateurs), et sur des références à des cadres reconnus (C2M2, NIST, programme CIE du DOE). Les affirmations sur la croissance exponentielle des incidents OT s'appuient sur un rapport dont la méthodologie est explicitée (incidents à conséquences physiques, sources publiques uniquement, jeu de données publié en annexe). Toutefois, la transcription est partielle et s'interrompt en pleine phrase, la description YouTube est vide, et plusieurs chiffres avancés (doublement annuel, deux tiers d'impacts indirects) ne sont pas vérifiables dans le corps du texte fourni. Le format panel limite la profondeur des démonstrations.

Repères établis par PSI à partir de la transcription : le créateur n'a pas défini de chapitres.

• 00:00Accueil et introduction par l'animateur : spécificité de la cybersécurité des systèmes électriques comme infrastructure critique.
• 01:00Allocution de bienvenue : digitalisation accélérée des utilities, exposition accrue aux cybermenaces, initiatives réglementaires en Asie du Sud.
• 05:00Présentation de l'intervenant de Waterfall et de son rôle de chercheur principal du rapport annuel sur les menaces.
• 07:00Méthodologie du rapport : incidents délibérés à conséquences physiques, sources publiques uniquement, jeu de données publié en annexe.
• 09:00Croissance exponentielle des incidents depuis 2019 et adoption par le ransomware de tactiques de niveau étatique.
• 11:00Typologie des attaques : deux tiers des incidents à cause connue impactent l'OT de façon indirecte (arrêts préventifs, dépendance informatique et tierce).
• 13:00Recommandations : examiner chaque nouvelle connexion réseau, s'inspirer du programme Cyber-Informed Engineering du DOE américain.
• 15:00Dévoilement de l'outil d'auto-évaluation de la posture cyber développé par SAREP.
• 17:00Explication de l'outil par l'expert : hiérarchie à deux niveaux, combinaison de C2M2, NIST et autres référentiels, adapté aux utilities sud-asiatiques.
• 20:00Début du panel : sécurité by design, risques liés à l'IoT et à l'intégration de systèmes lors des projets de transformation numérique.

• Rapport annuel sur les menaces ICS/OT de Waterfall Security Solutions — Rapport de référence de l'intervenant principal, fondé sur les incidents à conséquences physiques du domaine public ; édition 2024, mise à jour annoncée pour le premier trimestre 2025.
• Cadre de cybersécurité du NIST — Cité comme l'un des référentiels existants que l'outil d'auto-évaluation cherche à combiner.
• C2M2 (Cybersecurity Capability Maturity Model) — Référentiel de maturité cité comme l'un des plus répandus, intégré à l'approche de l'outil présenté.
• Programme Cyber-Informed Engineering du département de l'Énergie américain (Idaho National Laboratory) — Recommandé comme source de ressources libres pour intégrer la cybersécurité dès la conception des infrastructures.
• Cadre du ministère de l'Énergie indien et lignes directrices de la Central Electricity Authority — Mentionnés comme exemples d'initiatives réglementaires en faveur de la cybersécurité du secteur électrique en Inde.

• CISA — avis sur les menaces contre les systèmes de contrôle industriel — Confirme la réalité et la persistance des menaces étatiques et criminelles contre les infrastructures critiques, en cohérence avec les constats du rapport cité.
• Agence internationale de l'énergie — cybersécurité du secteur électrique — Documente la digitalisation croissante du secteur électrique et l'augmentation de la surface d'exposition, en accord avec le cadrage de la session.