Brochure-Referentiel-6.pdf — page 38

Pôle d’excellence cyber
74 - référentiel CYBER V6.1 - Février 2021
Février 2021 - référentiel cyber V6.1 - 75
L’état de l’art cyber : 
Menaces
Les menaces sont au nombre de quatre. Malveillance crapuleuse, comme les 
rancongitiel, qui engendre désordre, coût mais aussi suspicion du citoyen en-
vers les services publics numériques. Les actions de déstabilisation, comme 
l’effacement de page web ou les fake news, peuvent impacter l’image des 
autorités vis-à-vis des citoyens. Le sabotage, comme l’interruption de service 
essentiel tel que l’eau, peut créer le chaos. Enfin, dans une moindre mesure 
l’espionnage ne doit pas être oublié comme à l’occasion de préparation d’ap-
pel d’offre majeur. 
Vulnérabilités 
Au regard de la surface d’attaque, elles sont légion. On peut noter en outre 
que les IoT basiques, les systèmes industriels hors d’âge ou encore la multi-
plicité des interconnexions rendent d’autant plus vulnérables les smart city. 
En effet, un système peu critique investissant pour cette raison moins dans sa 
protection cyber (y compris pour ce qui est de la formation et la sensibilisation 
de ses personnels) peut devenir une porte d’entrée vers d’autres systèmes in-
terconnectés avec lui. Ceci est renforcé par la multitude des intervenants trop 
souvent insuffisamment sensibilisés à défaut d’être formés à la cybersécurité.
Risques et Impacts opérationnels associés
Les principaux impacts opérationnels concernent, d’une part, les désordres 
voire le chaos suite à l’attaque d’un rancongiciel ou à un sabotage et, d’autre 
part, la méfiance du citoyen vis-à-vis des services publics numériques après 
des dysfonctionnements ou la compromission de données personnelles.
Il est à noter que l’ampleur des conséquences est sans doute trop souvent 
sous-estimée. Ainsi, contrairement à un sabotage classique qui nécessite une 
intervention physique sur que chaque site et qui, pour des raisons de 
moyens, peut se limiter à un seul, un sabotage «cyber» peut impacter sans 
trop de surcout concomitamment l’ensemble des installations.
Approches adoptées :
Approche pour répondre à ces menaces et traiter ces vulnérabilités
À ce jour, chaque opérateur de la smart city appréhende ces menaces 
individuellement. Cependant commencent à émerger des approches plus 
systémiques comme celle menée par Rennes Métropole sur la mobilité en 
partenariat avec les acteurs de la filière de cybersécurité et les opérateurs 
concernés par la mobilité comme Kéolis, Enedis ou Citidia. 
Il ressort de ces travaux que, la mise en œuvre d’une mobilité intelligente 
reposant grandement sur l’interconnexion des infrastructures et l’échange 
de données dont certaines sont personnelles, on ne peut s’affranchir pour 
la mobilité d’une approche systémique de la cyber-sécurité sur la Métro-
pole mais aussi de peser la plus-value des interconnections au regard des 
risques supplémentaires qu’ils induisent. 
Il ne s’agit pas de se substituer aux acteurs opérationnels mais de mettre 
en place, d’une part, un ensemble de procédures, de normes et de bonnes 
pratiques, en particulier relatives à des tests avant déploiement, qui as-
surent a minima la résilience de l’ensemble aux attaques cybers, et, d’autre 
part, un monitoring agrégé pour une détection rapide et des procédures 
efficaces de remédiation. 
Ces travaux s’inscrivent dans ceux du comité stratégique de filières des 
industries de sécurité23 et plus particulièrement dans le grand projet terri-
toire de confiance ou encore ceux du Pôle d’Excellence Cyber. 
La réglementation, les outils, la RH ?
Il ressort également de ces travaux l’impérieuse nécessité de disposer de 
plateformes représentatives permettant de s’assurer de la résilience des 
systèmes avant déploiement dans une configuration représentative de la 
smart city, y compris pour ce qui concerne la protection des données. 
C’est là que, concrètement, les opérateurs et les acteurs de la cybersécuri-
té pourront confronter la bonne prise en compte par les systèmes des exi-
gences de cybersécurité versus les risques résiduels acceptables ou non.
Mais de tels moyens ne permettront cependant pas de s’affranchir d’en-
trainement à la crise cyber ni un monitoring consolidé de l’ensemble des 
composantes de la smart city et encore moins de sensibilisation et forma-
tion de l’ensemble du personnel.
Enfin, il est à noter que, et ce n’est pas le moindre, la frugalité énergé-
tique voulue pour les smart city est un allier de poids pour la protection 
des données. En effet, cette exigence nécessite une maîtrise des données 
(quantité, qualité, durée de vie) qui, de fait moins nombreuses et mieux 
gérées, seront d’autant moins vulnérables, y compris à des dé-anonymisa-
tions par recoupement.
23 https://www.conseil-national-industrie.gouv.fr/comites-strategiques-de-filiere/industries-de-securite