Agriculture de précision : attention aux cybermenaces !

Lorsqu’on m’a demandé de contribuer à cet article sur la cybersécurité et l’agriculture, mon séjour dans les petites fermes familiales de ma jeunesse m’a immédiatement traversé l’esprit. J’avais notamment pour tâche d’aider des membres de la famille à s’occuper de la fenaison et du bétail. À l’époque, la technologie employée n’allait pas plus loin qu’un vieux tracteur et des ballots carrés ― des outils certes efficaces, mais qui ne ressemblent en rien aux technologies utilisées aujourd’hui.

Cet article se concentrera sur l’utilisation de technologies de pointe dans le monde agricole et les cyberrisques présentés par cet emploi pour les exploitations agricoles modernes. L’agriculture et l’élevage de précision ne sont vraiment pas si différents de la plupart des processus modernes utilisés dans le monde de l’industrie ― ils utilisent tous deux des technologies avancées pour améliorer l’efficacité des intrants et recueillir des données de sortie pour faciliter les décisions relatives à la production.

Les changements technologiques sont inévitables dans toutes les industries, mais l’emploi de technologies avancées dans l’agriculture ne crée pas moins des vulnérabilités et des risques pour les opérations agricoles. La croissance exponentielle enregistrée dans l’utilisation de technologies comme les réseaux, le GPS, l’Internet des objets (IdO) et les systèmes automatisés a par exemple contribué à une augmentation considérable des « terrains » d’attaque. Le fait que des données numériques doivent être recueilles en grand nombre et analysées et stockées à l’aide de réseaux, de systèmes sans fil, de satellites, d’ordinateurs de bord et du nuage est aussi un sujet d’inquiétude.

L’utilisation de réseaux multiples et de données en temps réel crée notamment des vulnérabilités qui peuvent ─ et le seront vraisemblablement ─ être exploitées par des cyberacteurs malveillants. Et les risques sont considérables, tant sur le plan financier que sur le plan humain.

Les menaces

La cybercriminalité paie (!) et elle est maintenant prête à s’attaquer au monde agricole. L’utilisation croissante de technologies et d’appareils intelligents dans cette industrie ne fera ainsi qu’accroître les risques de telles attaques. Les cybercriminels sont à la recherche d’industries qui sont exposées au monde numérique et qui n’ont pas de solides moyens de défense dans ce secteur. En réponse à ces menaces, HSBC Grande-Bretagne a lancé plus tôt cette année cet avertissement sévère aux agriculteurs britanniques : « Soyez vigilants, car les tentatives de fraude et les attaques de nature informatique contre l’industrie agricole sont en train de devenir de plus en plus avancées »¹.

Le gouvernement canadien s’est rendu compte que les risques posés à l’agriculture, l’agroalimentaire et la chaîne logistique par le phénomène font partie des dix défis infrastructurels les plus critiques. Agriculture et Agroalimentaire Canada a de ce fait commencé, et dès 2018, à glaner des informations sur les mesures de protection en vigueur dans ces secteurs vitaux en matière de cybersécurité afin d’atténuer les risques et les menaces auxquels ceux-ci sont confrontés.

Il existe littéralement des centaines de scénarios qui pourraient avoir un impact sérieux sur l’agriculture de précision. Prenons comme exemple ces cas qui ont été observés dans le secteur agricole ou qui ont une grande chance de s’y produire :

• Attaques contre l’intégrité de données
  
  Un cybercriminel militant contre l’utilisation d’antibiotiques dans la viande prend pour cible une grande exploitation bovine et modifie les données relatives à l’état de santé du troupeau pour donner l’impression que le bétail est atteint d’une maladie. Le cybercriminel publie ensuite ces fausses données sur Internet
  
  Il faudra vraisemblablement attendre plusieurs semaines pour infirmer, grâce à des tests en laboratoire, l’existence de cette épidémie et encore plus pour convaincre les gens de la fiabilité de ces résultats. Entretemps, le mal aura déjà été fait : le produit et les actions de la société auront perdu de la valeur, ses relations commerciales se seront détériorées et la confiance du public en cette dernière aura souffert.
   
• Piratage de capteurs
  
  Un cybercriminel pirate un réseau d’irrigation et introduit de fausses données dans l’un de ses réseaux de capteurs afin de faire croire au système que les plantes doivent être continuellement arrosées. Les capteurs étant reliés à un SAD (système d’aide à la décision) automatisé dédié à l’irrigation, les champs sont inondés et les cultures sont sérieusement endommagées.  
   
• Attaques par l’intermédiaire de l’Internet des objets
  
  Un cybercriminel ajuste à distance les conditions de fonctionnement d’un capteur IdO assigné à la gestion de l’environnement d’une grande installation avicole afin de manipuler les lectures envoyées aux contrôleurs programmables. L’ingérence a pour résultat de provoquer des changements désastreux à la température et aux conditions d’alimentation et d’affecter la santé des animaux ainsi que la production.
   
• Rançongiciels
  
  Un employé ouvre une pièce jointe à un courriel, causant la propagation d’un rançongiciel dans le réseau de sa société. Le rançongiciel provoque le chiffrement des informations contenues sur le réseau et interrompt, en se faisant, la production. Il n’existe à l’heure actuelle aucun moyen de contrecarrer les chiffrements causés par ce genre de programme. Les entreprises de plus petite envergure sont de plus nombreuses à ne pouvoir payer les rançons demandées. Mais si vous ne payez pas, vous ne récupérez pas vos données. Dans certains cas récents, les données ont été retenues même après le paiement de la rançon.

​Des mesures de protection de base

Pour protéger vos systèmes et atténuer vos risques, pensez à ces mesures :

1. Évaluez les risques et instaurez des contrôles de sécurité et de performance. Instaurez des contrôles de sécurité critiques et reconnus dans le domaine de la protection des informations afin de pouvoir assurer la sécurité et la bonne marche des outils intégrés et des outils numériques utilisés dans votre agriculture de précision. Certains de ces contrôles sont fournis par des prestataires d’équipements et de services logiciels.
    
2. Employez également des pratiques de sécurité dans vos réseaux agricoles locaux. Les contrôles de base du Center for Internet Security (CIS) sont un modèle efficace. Alliés aux autres mesures de protection utilisées dans l’agriculture de précision, ils offrent une défense efficace et en profondeur contre les menaces et atténuent l’impact des incidents quand ceux-ci arrivent inévitablement. Les contrôles de base du CIS comprennent :

• Le recensement des équipements et des logiciels ;
• La gestion continue des vulnérabilités ;
• L’usage contrôlé des privilèges administratifs ;
• L’emploi de configurations sécurisées ;
• Le suivi, l’analyse et l’entretien des registres.

3. Développez la résilience et la redondance de vos systèmes afin de pouvoir contrecarrer leur affaiblissement et la dégradation de vos réseaux. Pour se faire, commencez à utiliser de multiples voies de communication et de traitement informatique, dont la 5 G cellulaire, le Wi-Fi, les services par satellite, les services infonuagiques et le calcul informatisé en périphérie de réseau. Les technologies alternatives comme le lidar (radar optique) et les caméras montées sur équipement peuvent aussi être employées pour créer de nouveaux moyens de navigation et de guidage.
    
4. La sensibilisation à la sécurité et la formation du personnel sont essentielles. Les attaques sont nombreuses à commencer par l’ouverture d’une pièce jointe, le clic d’une souris ou la visite d’un site Web. Le personnel doit être formé pour comprendre les risques associés à de tels gestes et agir d’une manière sécuritaire lorsqu’ils sont connectés à vos systèmes.
    
5. Les polices d’assurance utilisées contre les cyberrisques dans le secteur agricole sont généralement en retard sur celles que l’on retrouve dans d’autres industries. Néanmoins, elles peuvent contribuer efficacement au transfert d’une partie des risques et au financement des dépenses suscitées par les cyberattaques. Ces polices sont aussi nombreuses à fournir une assistance immédiate et intelligente pour l’identification et la gestion de cyberévénements et à financer les mesures de recouvrement employées. Et elles contiennent souvent des dispositions pour compenser des pertes de revenu.

Cet article ne fait qu’effleurer les questions relevant du domaine des cybermenaces et j’en suis conscient. J’espère quand même qu’il a été en mesure de susciter des réflexions sur les risques et les retombées potentiels du phénomène sur le secteur agricole et qu’il vous encouragera à revoir votre propre niveau de protection en compagnie de votre personnel informatique ou de votre fournisseur de services d’infogérance.

Pour une évaluation plus détaillée de votre niveau de sécurité et pour développer des solutions de sécurité de réseau adaptées à votre environnement, n’hésitez pas à contacter Baker Tilly, le partenaire qu’il vous faut pour la gestion de vos cyberrisques !