Le secteur de l'énergie relève de la catégorie la plus exposée : ses systèmes commandent des infrastructures physiques interconnectées à l'échelle européenne, et l'interruption de service a des conséquences qui dépassent largement l'entreprise concernée. L'authentification y poursuit donc un objectif inhabituel : garantir qu'une commande engageante provient bien d'un humain habilité, sans jamais devenir un obstacle en situation d'incident.
Ce qu'il faut réellement protéger
- Les systèmes de conduite et de télécommande : dispatching, postes de transformation, vannes, compteurs pilotables. Une commande illégitime a un effet physique.
- Les accès distants d'astreinte, utilisés la nuit, depuis un domicile, dans l'urgence.
- Les accès des prestataires et équipementiers, indispensables à la maintenance et rarement limités dans le temps.
- Les données de marché et de comptage, dont la manipulation a une valeur économique directe.
- Les comptes à privilèges sur les systèmes de supervision et les infrastructures de gestion.
- Les données d'exploitation à longue durée de sensibilité : plans de réseau, schémas d'implantation, études de vulnérabilité.
Les contraintes qui font échouer les dispositifs génériques
La disponibilité prime sur tout. Un opérateur qui ne peut pas agir sur un incident réseau constitue un risque supérieur à celui que le contrôle prétend traiter. Toute mesure doit prévoir un mode dégradé explicite et tracé.
Les sites sont isolés. Postes électriques, stations, sites de production éloignés : la couverture mobile y est souvent nulle. Un facteur reposant sur la réception d'un message externe est inutilisable — indépendamment du fait que l'OTP par SMS soit classé « restricted » par le NIST.
L'astreinte crée un contexte propice à la manipulation. Appel nocturne, urgence réelle ou prétendue, pression hiérarchique : c'est exactement le terrain de l'ingénierie sociale, désormais crédibilisée par le clonage vocal.
Les cycles matériels sont très longs. Les équipements de conduite restent en service pendant des décennies, avec des piles logicielles figées et des fenêtres de maintenance rares.
La chaîne de sous-traitance est étendue : intégrateurs, équipementiers, prestataires d'exploitation. Leur niveau de sécurité devient le vôtre.
La durée de confidentialité des données techniques est longue, ce qui rend le secteur particulièrement concerné par la stratégie de captation de flux chiffrés en vue d'un déchiffrement ultérieur.
Le cadre réglementaire applicable
| Texte | Portée pour le secteur | Exigence en matière d'authentification |
|---|---|---|
| NIS2 — directive (UE) 2022/2555 | énergie, secteur hautement critique | mesures de gestion des risques citant l'authentification multifacteur ou continue, sécurité de la chaîne d'approvisionnement, notification d'incident |
| SecNumCloud (qualification ANSSI) | hébergement de données et services sensibles | exigences de sécurité et de maîtrise du prestataire |
| Cyber Resilience Act — règlement (UE) 2024/2847 | équipements comportant des éléments numériques | sécurité dès la conception, pas de mot de passe par défaut ; obligations principales à horizon fin 2027 |
| RGPD | données des salariés et des clients | proportionnalité, encadrement strict de la biométrie |
| ISO/IEC 27001 | démarche volontaire | gestion des identités et contrôle d'accès |
NIS2 introduit une exigence structurante souvent sous-estimée : la sécurité de la chaîne d'approvisionnement. Concrètement, la manière dont un équipementier authentifie ses propres intervenants devient un sujet contractuel et auditable.
Les parcours sensibles à traiter en priorité
- Prise de main sur un système de conduite, avec une preuve individuelle et une traçabilité exploitable, y compris en salle de conduite où les postes sont partagés.
- Connexion d'astreinte à distance, de nuit, depuis un réseau non maîtrisé et parfois sans couverture mobile.
- Modification de consigne ou de paramètre d'exploitation, où la preuve doit porter sur l'action plutôt que sur la session.
- Ouverture d'un accès de télémaintenance, à déclencher à la demande, pour une durée limitée, avec un compte nominatif.
- Procédure d'urgence, qui doit exister formellement, être tracée et faire l'objet d'une revue systématique — sans quoi elle sera improvisée au pire moment.
- Validation des opérations financières et des paiements fournisseurs, cible classique de la fraude au changement de coordonnées bancaires.
Pour les commandes à effet physique, la garantie recherchée est qu'un humain a décidé en conscience. Le 4ᵉ facteur cognitif répond à ce besoin sans dépendre d'un réseau mobile ni d'un matériel supplémentaire : l'enrôlement s'effectue hors ligne et dote l'intervenant d'une méthode de résolution personnelle. La solution est par ailleurs conçue, développée et hébergée en France, avec une qualification SecNumCloud en cours.
Menaces et conformité : les ressources du secteur
Menaces : hameçonnage dans l'énergie · réutilisation d'identifiants · interception en temps réel (AiTM) · deepfake vocal · fatigue MFA · détournement de session
Conformité : NIS2 et énergie · SecNumCloud
FAQ
Comment authentifier sur un site sans couverture réseau ?
En excluant dès le cahier des charges les facteurs dépendant d'un message entrant, et en privilégiant un mécanisme fonctionnant sans dépendance à un service externe au moment de l'authentification.
La menace quantique concerne-t-elle vraiment l'énergie ?
Oui, davantage que d'autres secteurs. Les données techniques et les schémas d'infrastructure gardent leur sensibilité pendant des décennies, et les équipements déployés aujourd'hui seront encore en service très longtemps. La durée de confidentialité requise est le bon critère d'évaluation.
Comment traiter les accès des équipementiers ?
Par des comptes nominatifs, une ouverture à la demande, une durée limitée et une journalisation exploitable. NIS2 fait de la sécurité de la chaîne d'approvisionnement une exigence explicite, donc un point de contrôle.
Un mode dégradé est-il acceptable ?
Il est indispensable, à condition d'être formalisé : périmètre défini, durée limitée, traçabilité complète et revue a posteriori. Un mode dégradé non prévu devient un contournement permanent.
Aller plus loin : pilier : authentification cognitive · panorama NIS2, DORA, DSP3 et CRA · cryptographie post-quantique · MFA résistante au phishing