Cybersécurité des Centres de contrôle unifiés nucléaires et des plateformes de gestion des données OT/IT en Afrique

Pourquoi ce sujet est prioritaire

Les installations nucléaires dépendent de systèmes de contrôle déterministes et à haute disponibilité. Un incident cyber qui dégrade la disponibilité, l'intégrité ou la confiance des opérateurs peut se transformer en risque pour la sûreté, en perte de production et en non-conformité réglementaire. En Afrique, les exploitants et les entreprises d'ingénierie, d'approvisionnement et de construction modernisent leurs environnements OT, prolongent la durée de vie des installations et préparent de nouvelles capacités. Les programmes étant souvent progressifs et répartis sur plusieurs sites, des architectures hybrides résilientes et des partenaires locaux de confiance sont aussi importants que les contrôles de cybersécurité.

Le paysage réglementaire et normatif en Afrique et en Afrique du Sud

• National Nuclear Regulator (NNR, Afrique du Sud) : le cadre réglementaire de la NNR répertorie le guide RG-0014, Guidance on implementation of Cyber or Computer Security for Nuclear Facilities.
• Sécurité nucléaire de l'AIEA : le document Computer Security Techniques for Nuclear Facilities décrit des politiques et programmes fondés sur les risques, leur intégration au système de management et la protection des actifs numériques sensibles.
• IEC 62443 : cette série de normes traite de la cybersécurité des systèmes d'automatisation et de contrôle industriels. Les zones, les conduits et les niveaux de sécurité offrent une structure d'ingénierie pertinente.
• ANSSI (France) : ses guides sur la cybersécurité des systèmes industriels proposent une méthode de déploiement concrète, l'engagement du management et des pratiques de sécurité propres à l'OT.

Sources principales : cadre réglementaire de la NNR et référence RG-0014 · techniques de cybersécurité de l'AIEA · cybersécurité IEC et IEC 62443 · guides ANSSI pour les systèmes industriels

Ressources associées : Sommet Africa Forward à Nairobi · entretien Bpifrance

Ce qui distingue les applications SCADA nucléaires

1. La sûreté reste prioritaire : les mesures de sécurité ne doivent pas compromettre le fonctionnement déterministe, les seuils de déclenchement ni la fiabilité des interfaces homme-machine.
2. Des cycles de vie longs et des environnements hétérogènes : la coexistence de plusieurs générations d'automates programmables, de DCS et de SIS, les contraintes de mise à jour et les protocoles historiques imposent des mesures compensatoires efficaces.
3. L'assurance réglementaire : les exploitants doivent disposer d'un programme documenté et fondé sur les risques, ainsi que d'éléments de preuve adaptés à l'autorité de sûreté, aux conditions de licence et à l'importance des actifs numériques pour la sûreté.

Les menaces OT les plus courantes

• Propagation d'un rançongiciel de l'IT vers l'OT par des services partagés ou des accès à distance non maîtrisés.
• Risques liés à la chaîne d'approvisionnement et aux postes de maintenance, notamment lorsque les stations d'ingénierie ou les supports amovibles deviennent le point d'entrée.
• Détournement des protocoles, en particulier les protocoles de terrain historiques dépourvus d'authentification native.
• Exposition interne et tierce, liée aux comptes de prestataires et à des processus insuffisants d'arrivée ou de départ.

Une architecture de référence alignée sur l'IEC 62443

12 mesures de cybersécurité concrètes pour les applications SCADA nucléaires

1. Inventorier les actifs et identifier les actifs numériques critiques
2. Définir des référentiels de durcissement pour les serveurs, interfaces homme-machine, automates et stations d'ingénierie
3. Appliquer un contrôle d'accès strict fondé sur les rôles et le moindre privilège, avec authentification multifacteur pour les tâches sensibles et distantes
4. Mettre en place des listes d'autorisation applicatives et maîtriser les supports amovibles
5. Gérer les correctifs et les vulnérabilités avec des fenêtres de maintenance et des mesures compensatoires
6. Segmenter le réseau selon les zones et conduits IEC 62443, avec des pare-feu capables d'inspection approfondie des paquets
7. Sécuriser les accès à distance grâce à des serveurs de rebond et à l'enregistrement des sessions
8. Maîtriser les changements et les configurations des logiques, synoptiques et seuils
9. Conserver des sauvegardes et des images de référence hors ligne, testées et capables de révéler toute altération
10. Détecter les anomalies OT et intégrer les alertes à un centre opérationnel de sécurité
11. Préparer des procédures de réponse aux incidents coordonnées avec les procédures de sûreté selon une approche graduée
12. Développer les compétences et organiser des exercices pour les opérateurs, mainteneurs et tiers

Programme, gouvernance et éléments de preuve

• Un programme de cybersécurité des systèmes informatiques porté par la direction de l'installation et couvrant tous les actifs numériques critiques, leurs interfaces et les prestataires.
• Une approche graduée et fondée sur les risques, reliée à l'importance des équipements pour la sûreté.
• Des revues et éléments de preuve périodiques, notamment audits, tests et exercices, intégrés au management de la sûreté de l'installation.

L'apport des guides ANSSI aux programmes africains de cybersécurité nucléaire

Les guides de l'ANSSI sur la cybersécurité des systèmes industriels constituent des références pratiques pour les exploitants et les constructeurs. Ils soulignent l'importance du soutien de la direction, d'une méthode de déploiement structurée et de mesures compensatoires propres à l'OT. Cette démarche est particulièrement pertinente pour les exploitants africains qui modernisent des installations historiques ou préparent de nouveaux projets.

Pour aller plus loin : ANSSI : La cybersécurité des systèmes industriels

Une feuille de route opérationnelle sur 90 jours

Pour compléter ce guide par un modèle opérationnel destiné aux équipes des services essentiels et de l'industrie, consultez Construire un Centre de contrôle unifié en Afrique du Sud avec CODRA Panorama Suite, qui couvre l'architecture, le déploiement et la préparation de l'écosystème de partenaires.

Questions fréquentes