Quelle sécurité pour les OIV et Data Centers ?

Partager :

Les Organismes d'importance vitale font l'objet d'attentions particulières. Notamment les Data Centers. Quels sont les moyens pour les protéger ?

Définis par les articles R1332-1 et R1332-2 du code de la Défense, les Opérateurs d’importance vitale (OIV) sont des organisations identifiées par l’État qui ont trait à la production et la distribution de biens ou de services essentiels à la vie des populations (santé; gestion de l’eau; alimentation,) à l’exercice de l’autorité de l’État, au fonctionnement de l’économie ou au maintien du potentiel de Défense et sécurité de la Nation. Par ailleurs, les OIV sont également des établissements susceptibles de présenter un danger grave pour la population comme les centrales nucléaires, les dépôts d’armement, certaines usines… En réalité, la liste des OIV français est inconnue du grand public. Cependant, on en compterait 264 en France. En cette période d’intensification de la menace terroriste, quels sont les moyens de protéger ces OIV ainsi que les Data Centers ? Des experts réunis mercredi dernier par ExpoProtection ont tenté d’apporter leur analyse et des éléments de réponse.

Obligation de résultat. Tout d’abord, les OIV et les Data Centers n’ont pas attendu cette menace pour prendre des mesures de prévention et de protection de sorte à assurer leur continuité de service. « Selon les acteurs et les situations, les menaces et les solutions de sécurisation diffèrent, explique Guillaume Auffret, directeur général de HTDS France, une société spécialisée dans la lutte contre le terrorisme. Par exemple, nous avons remplacé chez un OIV tout un parc de scanners qui avait 12 ans d’âge. Tandis que, dans le secteur de l’aviation civile, les scanners sont capables de voir l’heure qu’affiche un réveil dans un bagage ! » L’idée, c’est alors d’identifier une horloge reliée à un système d’allumage différé d’explosif et d’anticiper l’heure de l’explosion. « Pour les ferries, les scanners de puissance sont capables de traiter des conteneurs entiers. Pour le cabinet du premier ministre, la demande portait sur des scanners à rayons X et à radioactivité, reprend Guillaume Auffret. Dans tous les cas, il s’agit de scanners mais de puissances et de technologies différentes. Parfois, ce sont les mêmes machines mais elles sont utilisées de façons spécifiques. Il n’y a pas de solutions toutes faites. Il y a obligation de résultat, pas de moyen. »

Analyse de risque par processus. Une réflexion que nourrissent, en particulier, les opérateurs de Data Centers qui peuvent apparaître comme Point d’intérêt vital (PIV) au sein d’OIV ou d’organisations non OIV. « En quelques années, nous sommes passés d’une simple liste sur Excel à une véritable méthode d’analyse du risque par processus », précise Eric Davoine, président du chapitre français de l’American Society for Industry Security (Asis). Cette méthodologie commence par la conception de l’architecture du système d’information qui doit disposer de toutes les redondances nécessaires et être pourvue d’un système capable de reconstituer les serveurs dans le cadre un Plan de continuité d’activité (PCA).
Ensuite, l’étude porte sur la pertinence de l’environnement d’implantation du Data Center. En effet, mieux éviter les zones sismiques, inondables, à proximité des autoroutes (à cause des accidents de transport de matières dangereuses) et sites Seveso. « Il faut savoir qu’il existe des cabinets d’architecture spécialisé dans la conception de Data Canters », rappelle Eric Davoine. Ensuite, le Data Center est susceptible de dépendre de la réglementation sur les Installations classées pour la protection de l’environnement (ICPE) en raison des quantités importantes de gaz réfrigérants employés pour refroidir les serveurs et de gazole pour alimenter les groupes électrogènes pour tenir au moins 72 h, sachant qu’un Data Center peut consommer autant d’électricité qu’une ville de 30.000 à 50.000 habitants !
En troisième position, viennent les risques techniques. A commencer par la défaillance de l’alimentation électrique du Data Center. Généralement, le constructeur prévoit une redondance des alimentations auprès de deux centrales électriques différentes ainsi qu’une batterie de groupes électrogènes. Autre point sensible : la climatisation. En effet, en cas de défaillance, la température peut monter de 1°C/mn dans une salle de serveurs de 750 m2. Le système Chorus de gestion de l’État est ainsi tombé en panne de climatisation pendant une journée. Résultat : une perte de 1 milliard d’euros !

Incendie : vers l’extinction silencieuse. Malgré les processus de maintenance prédictive et les opérations de maintenance pour remplacer les équipements avant qu’ils ne tombent en panne, si l’incendie survient, pas question de l’éteindre avec des sprinklers à eau. « Bien sûr, il faut éteindre le départ de feu dès qu’il survient… sans endommager les ordinateurs qui contiennent les précieuses données informatiques, remarque Philippe Charlot, directeur des solutions d’extinction chez Siemens Building Technologies. A cet effet, nous utilisons des solutions à gaz. En revanche, avec la miniaturisation croissante des technologies électroniques, nous nous sommes rendu compte que les disques durs risquaient d’être endommagés par le bruit de l’émission du gaz. Du coup, nous avons élaboré une buse qui réduit le bruit de 20 dB sans changer les temps d’émission et de répartition des gaz dans les locaux. »

Qui doit faire quoi et quand ? Une chose est sûre, les méthodologies de conception et de gestion de la sécurité réclament une amélioration continue. « Détection d’intrusion, alerte incendie… qui doit faire quoi, à quel moment, selon quelles consignes ? interroge Olivier Hautbois, responsable commercial d’Osgrim qui édite une suite logicielle dédiée au suivi des événements liés à la sécurité et à la sûreté des environnements du type OIV et ERP (Établissements recevant du public). Lorsque nous réalisons l’audit, nous regardons si les personnels sont formés, quelles sont les consignes de sécurité et de sûreté, et mettons en place les processus pour que les personnels aient un suivi et qu’ils soient disponibles si un événement survient. Comme l’historique s’enrichit, on est en permanence dans l’analyse. »

La menace djihadiste change-t-elle la donne ? « La menace djihadiste a commencé avec les attentats du 11 septembre 2001. Elle n’est donc pas nouvelle. Par rapport aux récents événements, je n’ai rien changé à ma manière de travailler. Le cœur du problème reste l’homme, en particulier les infiltrés. Il faut contrôler en amont qui on emploie, souligne Eric Davoine qui renvoie à l’Instruction générale interministérielle relative à la sécurité des activités d’importance vitale n°6600/SGDSN/PSE/PSN du 7 janvier 2014 . On peut ainsi diligenter des enquêtes administratives sur une liste de personnes pour lesquelles la préfecture indiquera qu’elles présentent ou non des  »contre-indications ». Dans la banque, le risque ne porte pas que sur les djihadistes. On compte aussi sur les altermondialistes, les Anonymous ainsi que les cyber-terroristes. La liste est longue. »
Outre le risque d’employer des infiltrés, les OIV ainsi que les les Data Centers s’équipent de systèmes performants de détection d’intrusion, de contrôle d’accès, de système de gestion des clés et de vidéosurveillance. Sur ce dernier point, OIV et Data Center multiplient les caméras en intérieur et en extérieur. « Aujourd’hui, on arrive à définir de façon très précise le rôle que chaque caméra doit avoir entre la HD et le thermique, etc, analyse Pascal Bouvignies, responsable commercial en France chez Bosh Security Systems. Plus que les caméras elles-mêmes, ce qui compte, c’est l’exploitation des images qui évolue vers le temps réel. Dans ce contexte, les caméras IP participent à une cohérence globale. »

Technologies de plus en plus sophistiquées. Côté contrôle d’accès des OIV, la biométrie commence à s’imposer. Sans que ce soit le grand rush. « La difficulté que pose le contrôle d’accès par badge, c’est que l’on est jamais sûr de l’identité réelle de la personne qui porte le badge, soulève Pascal Lentes, gérant Abiova, une société spécialisée dans le contrôle d’accès et la biométrie. D’où l’intérêt de la biométrie. Pas forcément à toutes les entrées mais au moins pour accéder aux parties sensibles. En revanche, en France, nous n’avons le droit qu’à trois technologies biométriques : les empreintes digitales, empreinte de la forme de la main ou la reconnaissance du système veineux de la main. Aucune de ces technologies n’est universelle. Par exemple, les empreintes digitales ne conviennent pas dans les situations où l’on salit les doigts (alimentaire, béton, mécanique…). »
Sur le terrain, certains accès ne sont toujours pas protégés par badge ou biométrie mais par ces clés. Grâce aux progrès de l’électronique, les armoires à clés ainsi que les clés évoluent vers une véritable notion de de contrôle d’accès qui vient en complément des systèmes à badge. « Les clés embarquent une puce électronique qui les tracent et fonctionnent en relation avec un système de déverrouillage électronique des serrures. Pour délivrer les clés, nous utilisons la même base de données que celle du contrôle d’accès par badge afin de définir les droits d’utilisation (plages horaires, zonage…). Le tout est couplé à un système de main courante électronique, décrit Daniel Terry, gérant de Traka, filiale d’Assa Abloy, le leader mondial de la sécurisation des accès, spécialisée dans les systèmes de gestion des clés. Quant aux armoires à clés, elles deviennent de véritables automates intégrant un contrôle d’accès par badge ainsi qu’un lecteur biométrique pour s’assurer de l’identité de la personne à qui la clé sera délivrée. » Avec ce système de gestion globale des clés, le contrôle d’accès ne laissera pas une personne sortir avant qu’elle n’ait restitué la clé. Un mail sera envoyé. Au pire, la clé sera désactivée à distance.

Erick Haehnsen