Pense-bête pour sécuriser sa ville intelligente

La ville “intelligente”, définie comme une ville hyperconnectée, est un nid à problèmes potentiels liés à des défauts de sécurisation des systèmes d’information. A l’occasion du Forum international de la sécurité, qui se tient à Lille mardi 20 et mercredi 21 janvier, une table ronde a été l’occasion de rappeler quelques fondamentaux techniques mais aussi organisationnels, qui demandent aux décisionnaires de faire preuve de bon sens et de prudence, comme le résumait en conclusion Philippe Rondel, un des intervenants, directeur technique de Checkpoint, une société de conseil en sécurité :

Ne pas céder à la demande du citoyen et du politique pour que tout fonctionne tout de suite.

Le champ des risques est large et les enjeux variables, de l’accès à une base de données d’un site web à la fraude aux moyens de paiement en passant par les attaques contre les systèmes industriels.

Selon une étude de Symantec, citée par un de ses représentants, Paul Dominjon, on note “un changement sur les types de menaces : les attaques ciblées sont récentes et les administrations publiques arrivent en tête avec 31%.”

“Techniquement faisable, si on le pense dès le départ”

Un bon niveau de sécurité n’est pas un graal inaccessible. “Les différents SI sont gérés par des entreprises différentes et il faut les faire communiquer entre eux de façon sécurisée, souvent via IP. C’est techniquement faisable, si on le pense dès le départ. Les éditeurs de logiciels de systèmes industriels ont mis beaucoup de temps à prendre en compte la sécurité, les problèmes et les solutions sont connues depuis des années”, a indiqué Philippe Rondel.

Or les systèmes bâtis dè leur origine selon les standards de sécurité ne sont pas légions et la sécurisation a donc un coût supplémentaire quand elle intervient a posteriori. “La sécurité vient quand on passe au déploiement, parfois trop tard. Individuellement, les SI sont sécurisés, le problème concerne la sécurisation de l’interconnection”, a rajouté Chekib Gharbit, directeur général du Contactless Innovation Technology Center- EuraRFID (CITC-EuraRFID) et chargé des projets publics et innovants au sein du Technopole Lille Métropole-DigiPort.

“Nous sommes aptes à sécuriser, mais à quel prix ? Authentification, chiffrement, la plupart des systèmes ne permettent pas de mettre ça en place et il faut créer du cloisonnement. Qui a les moyens de mettre des protections contre les menaces, de les superviser et de les maintenir ?”, a encore rajouté Philippe Rondel.

L’échelle de prix du surcoût donne le vertige : “jusqu’à 15 fois plus cher”, a indiqué Paul Dominjon.

Mutualiser, avec une gouvernance globale

Pour faire face aux coûts, la piste de la mutualisation a été répétée : “les vulnérabilité arrivent par les petites communes, a détaillé Chekib Gharbit. Il faut penser la sécurité à l’échelle de l’intercommunalité, en la sortant de la DSI.

Cette gouvernance globale, dotée de moyens, n’est pas forcément aisée à mettre en place : “C’est une révolution qui a pris deux ans à Lille métropole. Nous avons réuni le patrimoine matériel et immatériel.”
Une mutualisation qui opère aussi “au niveau des prestataires externes”, a rajouté Sébastien Vinant, directeur offres et integration – Cofely Ineo, la filiale de GDF-Suez qui développe des solutions de “smart city”.

Dans la série des conseils de bon sens, soulevée dans le public, celle du degré d’interconnexion : “la pertinence du service rendu est le critère” a détaillé Chekib Gharbi.

Ce dernier prone aussi “l’éducation des élus et des citoyens”, une optique de long terme qui ne va pas forcément avec le fort aspect marketing qui teinte la smart city.

Les échanges ont été l’occasion de faire allusion au reportage d’Envoyé spécial, où l’on voyait Christian Estrosi affirmer que sa smart city était parfaitement sécurisée, avant qu’on ne lui montre comment un hacker avait pu récupérer facilement des données de carte bancaire et payer son parking avec ou éteindre les lampadaires à la luminosité modulable selon le passage et la lumière.
“Beaucoup ont tendance à dire la smart city est un pilote et ne s’occupe pas de sécurité” a déploré Sébastien Vinant.

Autre enjeu de moyen et long terme, encore soulevé par Sébastien Vinant : “Il ne faut pas recréer une fracture numérique et offrir des services accessibles à tous les territoires.” Et pour le moment, sécurisée ou pas, cette “smart city” hyperconnectée est plutôt l’affaire de territoires riches.