Le Centre canadien pour la cybersécurité a publié ITSP.20.001, Considérations en matière de cybersécurité pour les câbles sous-marins, dans le cadre de sa série destinée aux praticiens. Le document est daté d'octobre 2026 et est disponible sur le site du Centre à l'adresse cyber.gc.ca.

La publication expose les menaces et les vulnérabilités auxquelles font face les réseaux de câbles sous-marins et propose des mesures d'atténuation visant à soutenir une infrastructure sécurisée et résiliente pour les flux de données nationaux et internationaux. Il s'agit d'un guide, non d'une loi. Le document source ne contient aucune échéance, aucune amende ni aucun seuil de conformité, et il ne faut pas en inférer l'existence de tels éléments.

Le cadrage du Centre canadien pour la cybersécurité est direct. Au Canada, les câbles de télécommunications sous-marins relient les côtes et les îles, desservent les régions éloignées et acheminent les communications internationales. Ils transmettent de nombreuses formes de données et jouent, selon les termes du Centre, un rôle important dans le soutien des intérêts culturels, économiques, technologiques et en matière de sécurité nationale du pays. La demande devrait croître à mesure que de nouvelles technologies permettent de connecter des endroits qui étaient auparavant hors de portée, notamment les régions arctiques.

Le document désigne également le problème qui rend ce guide nécessaire. Des redondances sont intégrées dans les tracés de câbles, mais l'infrastructure câblée et les points de concentration de la distribution demeurent des points de défaillance potentiels aux conséquences importantes, et des cibles attrayantes pour les adversaires. Pour le dire sans détour : un câble posé sur le fond marin est un élément d'infrastructure nationale long, coûteux et remarquablement peu surveillé, et les stations d'atterrissage ainsi que les points de distribution à chaque extrémité sont les endroits où les acteurs malveillants ont tendance à se manifester. Le Centre conclut que garantir la sécurité, la résilience et l'intégrité de cette infrastructure est essentiel au maintien de la stabilité et de la confiance.

D'après la table des matières, la publication s'ouvre sur une introduction et une description de la surface d'attaque, puis aborde une section sur les menaces et les mesures d'atténuation organisée en trois groupes :

• Les menaces liées aux politiques et aux normes, couvrant les politiques et les réglementations ainsi que leurs mesures d'atténuation associées
• Les menaces liées à l'architecture, divisées en architecture cyber et architecture physique
• Les menaces liées à la chaîne d'approvisionnement et leurs mesures d'atténuation

Cette structure est importante, car elle indique aux lecteurs où le Centre estime que le risque se situe réellement. Il ne traite pas les câbles sous-marins comme un problème purement physique d'ancres et de chalutiers. L'architecture cyber dispose de sa propre sous-section aux côtés de l'architecture physique, et la chaîne d'approvisionnement est traitée comme une catégorie de menace à part entière plutôt que comme une note de bas de page.

Le public visé est également clairement indiqué par l'étiquette de la série. Il s'agit d'un document de la série destinée aux praticiens, visant les personnes qui conçoivent, exploitent et défendent les systèmes câblés et les réseaux qui en dépendent, plutôt que les cadres dirigeants ou le grand public. Les exploitants de stations d'atterrissage de câbles, les transporteurs qui louent de la capacité, les fournisseurs de services infonuagiques et de contenu dont le trafic transite par ces liaisons, ainsi que les fournisseurs qui approvisionnent et entretiennent l'équipement constituent le lectorat naturel. Les organisations canadiennes qui considèrent que leur connectivité internationale est le problème de quelqu'un d'autre pourraient trouver dans ce document un rappel utile qu'elle est, à tout le moins en partie, aussi la leur.

Ce qui n'est pas encore clair d'après le document source, c'est le détail des mesures d'atténuation individuelles. L'extrait disponible pour Identity at the Core couvre l'introduction et la table des matières, et non le corps des chapitres sur les menaces et les mesures d'atténuation. Les praticiens devraient lire le texte intégral sur le site du Centre canadien pour la cybersécurité plutôt que de se fier à des résumés, y compris celui-ci.

L'aspect encourageant, et il en existe un, est que le modèle de menace a été rédigé à votre intention par l'autorité nationale, gratuitement, avec un intitulé de section pour chaque conversation que vous tentiez d'amorcer avec votre équipe réseau. Les équipes d'identité et de sécurité n'ont pas besoin d'attendre les mesures d'atténuation détaillées pour agir. Commencez par l'angle de l'architecture cyber : faites l'inventaire de chaque compte, identité de service et chemin d'accès distant de fournisseur pouvant atteindre le plan de gestion des équipements de station d'atterrissage de câbles, des systèmes de transport optique et des outils de surveillance associés, et confirmez que chacun exige un MFA résistant à l'hameçonnage et est consigné dans un endroit que vous consultez réellement. Vérifiez que le contrôle d'accès physique aux stations d'atterrissage est lié au même cycle de vie des identités que votre accès logique, de sorte qu'un sous-traitant qui quitte l'organisation perd son badge et son accès informatique le même jour. Enfin, utilisez la section sur la chaîne d'approvisionnement comme incitation à vérifier quels tiers détiennent des identifiants permanents donnant accès à cette infrastructure, et si vous seriez en mesure de les révoquer en une heure si vous le deviez.