Le Centre canadien pour la cybersécurité (le Centre pour la cybersécurité) a publié « La cybermenace pour l'aviation », une évaluation non classifiée des cybermenaces auxquelles est exposé le secteur de l'aviation au Canada. Ce document fait partie d'une série d'évaluations des cybermenaces axées sur les infrastructures essentielles du pays. Il porte la mention Non classifié//TLP:CLEAR, que le Centre pour la cybersécurité explique être utilisée lorsque l'information présente un risque minimal, voire nul, d'utilisation abusive. En termes simples : vous pouvez le transmettre, l'imprimer et le déposer devant votre conseil d'administration sans demander la permission de quiconque, sous réserve des règles habituelles en matière de droits d'auteur.

L'évaluation complète est disponible sur le site du Centre pour la cybersécurité à l'adresse cyber.gc.ca.

Le Centre pour la cybersécurité désigne trois groupes cibles pour ce rapport :

• les dirigeants du secteur de l'aviation
• les professionnels de la cybersécurité chargés de protéger les infrastructures aéronautiques
• le lecteur général qui s'intéresse à la cybersécurité du secteur de l'aviation

C'est un filet très large. Un seul document est censé répondre aux besoins d'un CISO d'une compagnie aérienne, d'un ingénieur responsable des systèmes aéroportuaires et d'une personne qui prend simplement beaucoup l'avion et lit les nouvelles. Les lecteurs appartenant au deuxième groupe devraient ajuster leurs attentes en conséquence.

Ce que l'évaluation ne contient pas, c'est des conseils techniques sur les mesures d'atténuation. Le document l'indique explicitement : pour obtenir des orientations sur l'atténuation technique de ces menaces, les lecteurs sont invités à communiquer avec le Centre pour la cybersécurité. Le contact publié pour les questions de suivi ou les problèmes est contact@cyber.gc.ca. Un rapport de menace non classifié qui se termine par « appelez-nous pour la solution » ressemble un peu à un détecteur de fumée qui émet un signal sonore, puis vous tend un numéro de téléphone. Le signal sonore reste utile. C'est la partie que la plupart des organisations n'obtiennent jamais.

Sur le plan méthodologique, le Centre pour la cybersécurité indique que ses jugements clés s'appuient sur des rapports provenant de sources multiples, classifiées et non classifiées, et que ces jugements reposent sur les propres connaissances et l'expertise du Centre en matière de cybersécurité. Deux éléments alimentent cette expertise, selon le document. Premièrement, le Centre pour la cybersécurité défend les systèmes d'information du gouvernement du Canada, ce qui lui confère, selon lui, une perspective unique sur les tendances de l'environnement des cybermenaces. Deuxièmement, le mandat de renseignement étranger du Centre de la sécurité des télécommunications Canada fournit ce que le Centre pour la cybersécurité qualifie d'informations précieuses sur le comportement des adversaires dans le cyberespace.

Cette combinaison est importante. La plupart des renseignements sur les menaces qui atterrissent sur le bureau d'une équipe de sécurité proviennent de fournisseurs qui ont un produit à vendre à la fin du PDF. Celui-ci provient d'un organisme qui surveille les réseaux gouvernementaux et qui a accès au renseignement étranger, et il publie les conclusions expurgées gratuitement. Vous n'obtiendrez pas les sources classifiées. Vous obtiendrez des jugements façonnés par elles. Pour un secteur dont le volet opérationnel repose sur des systèmes qui n'ont pas été conçus avec des réseaux hostiles à l'esprit, c'est un meilleur point de départ que la plupart des autres sources.

Ce que ce rapport ne couvre pas encore, c'est la substance de ces jugements clés. La partie de l'évaluation examinée pour cet article décrit la finalité du document, ses destinataires, sa classification, les coordonnées de contact et la base d'évaluation. Elle ne comprend pas les noms des acteurs de la menace, les modes d'attaque spécifiques ni les données chiffrées que le Centre pour la cybersécurité pourrait présenter dans le corps du rapport. Les lecteurs ne devraient rien déduire des conclusions à partir de ce seul résumé, et cette publication ne va pas combler le vide par des suppositions. Lisez le document complet. Il est coté TLP:CLEAR pour une raison.

L'évaluation ne mentionne pas non plus d'obligation réglementaire, d'échéance ou de sanction. Il s'agit d'une évaluation des menaces, non d'un instrument de conformité. Les exploitants du secteur aéronautique qui recherchent des contrôles imposés devront se tourner vers leurs véritables autorités de réglementation. Ce que le Centre pour la cybersécurité offre ici, c'est un portrait de qui pourrait s'en prendre à eux et pourquoi, ainsi qu'une porte ouverte pour demander de l'aide sur le comment.

Les équipes chargées de l'identité et de la sécurité au sein des compagnies aériennes, des aéroports, des fournisseurs de services de navigation aérienne et des organismes de maintenance devraient commencer par lire l'évaluation dans son intégralité et mettre en correspondance ses destinataires et sa portée avec leur propre environnement. Elles devraient ensuite faire l'inventaire de chaque compte, humain ou de service, pouvant accéder aux systèmes opérationnels et liés à la sécurité, et confirmer que l'accès à distance et l'accès des tiers à ces systèmes sont protégés par une authentification multifacteur sans aucun privilège permanent hérité du dernier engagement avec un fournisseur. Enfin, prenez le Centre pour la cybersécurité au mot : si les conseils d'atténuation ne figurent pas dans le document, écrivez à contact@cyber.gc.ca pour les demander, car une évaluation gratuite des menaces que vous ne faites jamais suivre n'est qu'une histoire bien documentée pour s'endormir.