Les systèmes de contrôle des centrales hydroélectriques sont exposés à des menaces cyber variées, pouvant entraîner des impacts opérationnels, électriques, voire hydrauliques ou sur la sûreté. Ces risques vont de la perte de supervision à la falsification de données, en passant par l’indisponibilité de la conduite ou la perturbation du réseau électrique.
Comprendre les systèmes de contrôle et le risque cyber
Une centrale hydroélectrique repose sur des systèmes de contrôle industriel (ICS/OT pour Industrial Control Systems/Operational Technology) qui assurent la surveillance et la commande de ses procédés physiques. Ces systèmes incluent notamment les automates programmables, les systèmes de supervision et d’acquisition (SCADA), les relais de protection électrique, les capteurs, les actionneurs, les réseaux industriels, ainsi que les postes d’ingénierie et de maintenance. Le risque cyber se définit comme la combinaison d’une menace, d’une vulnérabilité et de conséquences potentielles. Pour les systèmes de contrôle, l’intégrité des commandes et la disponibilité des opérations sont des priorités, car une falsification ou un arrêt imprévu peut perturber la production, le réseau ou la sûreté d’exploitation.
Il est essentiel de ne pas confondre un simple événement ou alerte (activité suspecte) avec un incident de sécurité (compromission potentielle ou avérée), une attaque réussie (action malveillante ayant produit un effet) et un impact industriel (conséquence réelle sur le procédé, la sécurité, l’environnement ou la fourniture d’électricité). La présence d’une vulnérabilité ne garantit pas son exploitabilité dans une installation donnée, car cela dépend de nombreux facteurs comme l’exposition, l’authentification ou le cloisonnement.
Les 5 types d’impacts concrets envisagés
Les cyberattaques sur les systèmes de contrôle des centrales hydroélectriques peuvent se manifester de plusieurs manières, chacune avec des conséquences spécifiques sur l’exploitation et la sûreté.
1. L’indisponibilité de la conduite
Une attaque peut viser à rendre inopérants la supervision, les communications avec les automates, les postes opérateurs, les systèmes de maintenance ou les fonctions de téléconduite ANSSI. Cela peut entraîner un fonctionnement en mode dégradé, un arrêt préventif, une perte de visibilité sur l’installation ou la nécessité de reprendre les opérations localement ANSSI. Il est important de noter qu’une indisponibilité informatique ne signifie pas automatiquement une perte de contrôle physique, car les installations industrielles disposent généralement de fonctions locales et de protections, dont le niveau d’indépendance varie selon l’architecture ANSSI.
2. La modification non autorisée de commandes ou de réglages
La compromission d’un poste d’ingénierie, d’un automate ou d’un système de supervision pourrait permettre de modifier des consignes, des seuils d’alarme, des programmes d’automates ou des paramètres de régulation ANSSI. Le risque principal est alors une divergence entre l’état réel de l’installation et l’état présenté à la conduite, ou l’exécution d’actions non prévues ANSSI.
3. La falsification des mesures et des alarmes
La manipulation des données peut cibler les mesures de niveau, de débit, de pression, de température, les états d’équipements, les journaux ou les alarmes ANSSI. Une telle falsification peut retarder la détection d’une anomalie ou induire les opérateurs en erreur, les conduisant à prendre des décisions inadaptées ANSSI.
4. La propagation depuis les systèmes bureautiques ou les prestataires
Bien que les réseaux informatiques et industriels soient conçus pour être séparés, des points de contact existent, tels que les passerelles réseau, les accès distants, les supports amovibles ou les mises à jour ANSSI. Un rançongiciel affectant la bureautique peut ainsi perturber l’exploitation en rendant indisponibles des documents, des moyens de communication ou des services de maintenance, même sans atteindre directement les automates ANSSI.
5. L’attaque contre l’environnement électrique
Une centrale hydroélectrique est connectée au système électrique global. Des attaques peuvent viser les systèmes de contrôle, de protection ou de communication liés à l’évacuation de la production, aux postes électriques ou à la conduite du réseau ENTSO-E. L’impact peut concerner une centrale isolée ou, selon les dépendances, contribuer à une perturbation plus large du réseau.
Menaces plausibles et particularités du risque hydroélectrique
Les infrastructures énergétiques sont des cibles pour diverses catégories de menaces cyber. La cybercriminalité (rançongiciel, extorsion), l’espionnage (collecte d’informations), le sabotage (recherche d’un effet opérationnel ou physique), le hacktivisme (perturbation symbolique), la menace interne (erreur ou acte malveillant) et la compromission de la chaîne d’approvisionnement (logiciel, équipement, prestataire) sont des risques reconnus en cybersécurité industrielle ANSSI.
Une installation hydroélectrique combine un procédé physique, des machines tournantes, des équipements électriques, des ouvrages hydrauliques et des dispositifs de protection ANSSI. Les conséquences d’une attaque doivent être distinguées : un impact informatique (perte de poste), un impact opérationnel (perte de conduite), un impact électrique (indisponibilité de production), un impact hydraulique ou matériel (si les fonctions pertinentes sont compromises et les protections inefficaces), et enfin un impact sur les personnes ou l’environnement, dépendant du scénario et des barrières de sûreté ANSSI. La seule compromission d’un ordinateur bureautique ne permet pas de conclure à un danger hydraulique ANSSI.
Cadre réglementaire et principes de défense
En France, le Code de la défense définit les opérateurs d’importance vitale (OIV) et les systèmes d’information d’importance vitale (SIIV), imposant des obligations de sécurité et de déclaration d’incidents Code de la défense. Le décret n° 2015-351 du 27 mars 2015 précise ce régime pour les SIIV Décret n° 2015-351. Au niveau européen, la directive NIS2 élargit ce cadre pour les secteurs critiques, dont l’énergie, sa mise en œuvre dépendant des textes nationaux d’application.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) élabore des doctrines, accompagne les acteurs critiques et coordonne la réponse nationale ANSSI. Les mesures de cybersécurité industrielle reposent sur des principes de défense en profondeur, incluant l’inventaire des actifs, la segmentation des réseaux, la réduction des accès distants, l’authentification forte, la gestion des vulnérabilités, la journalisation, les sauvegardes testées et les modes opératoires de repli ANSSI. En cas d’incident, les étapes clés sont la détection, la protection du procédé, le confinement, le maintien ou la reprise de l’exploitation, l’analyse technique, la notification aux autorités et la remédiation ANSSI.
En résumé
Les systèmes de contrôle des centrales hydroélectriques sont des cibles sensibles pour la cybercriminalité, l’espionnage ou le sabotage, avec des risques d’indisponibilité, de falsification ou de perturbation électrique. Bien que les incidents informatiques soient plus fréquents que les attaques ayant un impact physique démontré en France, les infrastructures énergétiques sont encadrées par des politiques de cybersécurité nationales et européennes. La protection repose sur une défense en profondeur et une gestion rigoureuse des incidents, impliquant de nombreux acteurs, de l’exploitant à l’ANSSI.
Quels sont les risques de panne électrique sur une centrale ?Question
Quels sont les systèmes de contrôle-commande pour une microcentrale ?Question
Quelles sont les méthodes de surveillance à distance d’une centrale ?Question
Toutes les questions-réponsesRéponses
hydroelectrique.fr est un média indépendant, non affilié au ministère de la Transition écologique. Les informations publiées ne constituent pas un conseil financier.