Goulot d’étranglement hier, accélérateur aujourd’hui : le rôle stratégique des contrôles d’identité numérique pour les entreprises des secteurs des produits industriels et de l’énergie

L’environnement réglementaire des identités numériques dans les secteurs des produits industriels et de l’énergie connaît sa plus importante transformation depuis des décennies. Les normes NERC CIP (North American Electric Reliability Corporation Critical Infrastructure Protection), les directives de la Transportation Security Administration (TSA) sur les pipelines, la Loi sur la protection des cybersystèmes essentiels (LPCE) et les lois canadiennes sur la protection des renseignements personnels exigent toutes une gouvernance vérifiable de l’identité. Mais la nature des attentes réglementaires a fondamentalement changé. Les organismes de réglementation s’attendent de plus en plus à ce que la surveillance selon le principe de privilège minimal et la surveillance des sessions privilégiées puissent être démontrées en temps réel – non pas au moyen d’attestations annuelles, mais bien d’une démonstration continue du fonctionnement efficace des contrôles.

De récentes violations de données dans le secteur canadien de l’énergie accélèrent les efforts d’application des lois. Les organisations qui tardent à agir pourraient avoir des problèmes lors de la prochaine vague de mesures de lutte contre le manque de conformité. L’analyse de rentabilité des efforts pour rester à l’avant‑garde est simple : la conformité continue réduit les coûts liés aux vérifications, réduit les amendes et protège la capacité d’une organisation à exploiter ses activités sans interruption.

Projet de loi C‑8, Loi sur la protection des cybersystèmes essentiels

Le projet de loi C‑8 représente un virage fondamental dans la façon dont le Canada réglemente la cybersécurité des infrastructures essentielles. La LPCE impose des obligations en matière de cybersécurité aux exploitants désignés des secteurs des télécommunications, des finances, de l’énergie et des transports. Pour les organisations des secteurs des produits industriels et de l’énergie, ce n’est pas une préoccupation éloignée : il s’agit d’une obligation de conformité imminente, assortie d’importantes dispositions d’application.

La LPCE exige que les exploitants désignés établissent des programmes de cybersécurité comprenant des contrôles de gestion des identités et des accès. Les organisations doivent mettre en œuvre des mesures pour protéger les cybersystèmes essentiels contre les accès non autorisés, ce qui fait directement intervenir la gouvernance des identités, les mécanismes d’authentification et les politiques de contrôle des accès. La sécurité de la chaîne d’approvisionnement est explicitement visée : les organisations doivent atténuer les risques de cybersécurité liés aux produits et services de tiers en élargissant la gouvernance des identités au-delà des frontières organisationnelles.

Les exigences relatives au signalement des incidents créent de nouvelles obligations en matière d’identité. Les organisations doivent signaler les incidents de cybersécurité dans des délais prescrits, ce qui suppose une consignation intégrale des événements d’authentification, des activités d’accès et des changements d’identité. Les organisations qui n’ont pas de systèmes matures de surveillance des identités auront du mal à respecter leurs obligations en matière de signalement.

Le régime de sanctions mérite d’être souligné : les sanctions administratives pécuniaires peuvent atteindre 15 millions de dollars par organisation par jour en cas de récidive. Au‑delà des amendes, la non‑conformité peut donner lieu à des ordres de conformité, des injonctions judiciaires et des poursuites pénales.

Les normes NERC CIP

Pour les participants du secteur de l’électricité, les normes de protection des infrastructures critiques (CIP) de la North American Electric Reliability Corporation (NERC) imposent depuis longtemps des exigences de base en matière d’identité. La norme CIP‑004 traite de l’évaluation des risques liés aux membres du personnel et de la gestion des accès. La norme CIP‑005 régit les contrôles d’accès électroniques aux biens cybernétiques critiques. La norme CIP‑007 couvre les contrôles de sécurité du système, y compris l’authentification et la journalisation.

Ce qui a changé, ce sont les attentes des vérificateurs. De récentes tendances montrent que les autorités accordent une importance accrue aux processus d’autorisation des accès, à la rapidité de révocation des accès et à l’application du principe de privilège minimal. Les organisations qui ont mis en place des contrôles « juste suffisants » pour réussir les vérifications antérieures constatent que la barre a été relevée. Les vérificateurs utilisent de plus en plus les preuves d’identité comme indicateur de la résilience organisationnelle, et traitent la gouvernance mature des identités comme un baromètre de la maturité globale de la sécurité.

Les directives de sécurité de la TSA sur les pipelines

À la suite d’une attaque récente contre un pipeline, la TSA des États‑Unis a publié des directives de sécurité portant spécifiquement sur la cybersécurité des pipelines. Bien qu’elles soient axées sur les États‑Unis, ces directives ont une influence sur les exploitants canadiens qui ont des activités transfrontalières. Elles signalent l’orientation réglementaire que les organismes de réglementation canadiens pourraient suivre. Les directives exigent des mécanismes de contrôle des accès, une surveillance continue et des capacités d’intervention en cas d’incident : tous des éléments fondamentaux de la gouvernance des identités.

Les lois sur la protection des renseignements personnels

La Loi sur la protection des renseignements personnels et les documents électroniques (LPRPDE) exige que les organisations prennent des mesures de sécurité adaptées à la sensibilité de l’information, ce qui donne lieu à des obligations en matière d’identité relatives à la limitation des accès, aux mécanismes d’authentification et aux pistes de vérification. La Loi 25 du Québec va plus loin : elle exige que les systèmes d’identité fassent l’objet d’une évaluation des facteurs relatifs à la vie privée et intègrent la protection des renseignements personnels par défaut. Les organisations qui ont des activités dans plus d’une province doivent composer avec un ensemble disparate d’exigences, qui ne feront que se complexifier.

Cadres internationaux

Aux États‑Unis, conformément à la version 2.0 du cadre de cybersécurité du National Institute of Standards and Technology (NIST), la gestion des identités est désormais un résultat de première importance au sein de la fonction Protection. La norme ISO 27001:2022 a restructuré les contrôles en y ajoutant de nouvelles exigences propres à l’identité. La loi Sarbanes‑Oxley (SOX) impose de nouvelles obligations en matière d’identité, par l’entremise d’exigences de contrôles internes applicables aux systèmes financiers. Pour les organisations qui exercent leurs activités à l’échelle internationale ou qui servent des clients ayant des exigences en matière de sécurité, l’harmonisation avec ces cadres est souvent une nécessité commerciale.

Le Cadre de confiance pancanadien (CCP) du Conseil d’identification et d’authentification numériques du Canada (CCIAN) reflète l’orientation actuelle des normes en matière d’identité. Bien qu’il soit volontaire pour l’instant, le CCP établit des critères de conformité pour la vérification des identités, l’authentification, les consentements et la gestion des justificatifs. Le CCIAN estime à 15 milliards de dollars par année la valeur de l’identité numérique de confiance pour l’économie canadienne. Pour les organisations en train d’élaborer des feuilles de route, l’alignement sur le CCP doit être perçu comme un positionnement stratégique face aux exigences émergentes.

Les tendances en matière d’application de la loi

Plusieurs tendances réglementaires sont claires. Les preuves d’identité deviennent un indicateur fondamental de la résilience organisationnelle. La réglementation commence à englober la gouvernance des identités machines. La conformité continue remplace les attestations ponctuelles. Les flux de données transfrontaliers font l’objet d’une surveillance accrue. Les organisations qui devancent ces tendances seront bien positionnées pour assurer leur conformité, et celles qui attendent devront assumer les coûts de modernisation.

Le projet de loi C‑8 prévoit des sanctions pouvant atteindre 15 millions de dollars par jour. Toutefois, le véritable risque n’est pas de recevoir une amende, mais bien les six à dix‑huit mois de contraintes opérationnelles pendant la mise à niveau.

Au‑delà de la conformité réglementaire, la maturité des systèmes d’identité détermine de plus en plus l’accès aux marchés financiers et aux marchés de l’assurance. Les assureurs et les vérificateurs des facteurs environnementaux, sociaux et de gouvernance (ESG) ont découvert ce que les professionnels de la sécurité savent depuis longtemps : la maturité des systèmes d’identité est un indicateur fiable de cyberrésilience.

Une gestion des accès privilégiés (GAP) rigoureuse, une surveillance continue et des systèmes d’identité décentralisés et de vérification des identités réduisent le cyberrisque perçu et déterminent de plus en plus si une couverture d’assurance est carrément envisageable. Les chiffres sont frappants. Au Canada, les coûts liés aux brèches de sécurité informatique s’élèvent en moyenne à près de 7 millions de dollars par incident. Les sociétés d’assurance haussent les primes ou refusent carrément d’offrir une couverture s’il n’y a pas de contrôles d’identité démontrables.

Les investisseurs en matière de facteurs ESG s’attendent à ce que les entreprises de services publics protègent bien les données des collectivités et les données essentielles, et ils posent des questions précises sur la gouvernance des identités. Les systèmes d’identité numérique matures réduisent les primes d’assurance, évitent les exclusions coûteuses et renforcent la confiance des investisseurs en intégrant l’identité dans les rapports ESG. Pour les chefs des finances qui évaluent les investissements en sécurité, l’analyse de rentabilité n’a jamais été aussi claire.

Ce que les leaders font différemment

Les organisations en tête du peloton règlent les questions de gouvernance avant les questions technologiques. Elles établissent des comités directeurs, des cadres de politiques et des modèles opérationnels sur la GIA avant de prendre des décisions liées aux plateformes. Elles unifient la gouvernance des identités pour les TI et les TO – pas nécessairement sur une plateforme unique, mais selon un cadre de gouvernance unique avec une responsabilité claire quant à la délimitation entre les environnements.

Dès le départ, leur approche tient compte des identités machines, et elles traitent la gouvernance de celles‑ci comme une préoccupation de premier ordre plutôt que comme une mise à niveau de processus axés sur l’humain. Elles investissent dans l’analyse des identités pour détecter les anomalies répétées et révéler les écarts en matière de gouvernance avant que les vérificateurs ne les découvrent. Enfin, elles associent les contrôles à plusieurs cadres simultanément, en concevant des processus qui répondent aux exigences de la loi SOX, des normes NERC CIP et de la norme ISO 27001 d’un seul coup.

Pièges courants

L’erreur la plus fréquente est de sauter les étapes et de sélectionner des technologies sans établir le niveau de base. Certaines organisations sautent l’étape fondamentale consistant à déterminer quelles sont les identités existantes, quels sont les accès dont elles disposent et quelles sont les lacunes à combler, s’exposant à des refontes coûteuses lorsque la mise en œuvre révèle leurs suppositions erronées.

Une deuxième tendance consiste à traiter l’identité comme un projet de TI plutôt que comme une initiative d’entreprise. Les systèmes d’identité touchent les RH, les services juridiques, l’exploitation, l’approvisionnement et les finances. Les organisations dont les programmes d’identité sont composés uniquement de professionnels de TI sous-estiment constamment le travail que cela suppose en matière de gestion du changement.

Troisièmement, les organisations concentrent souvent leurs efforts dans les mauvaises phases en accordant une attention excessive à la mise en œuvre initiale, suivie d’un investissement insuffisant dans les phases ultérieures de l’assurance automatisée et de la gouvernance adaptative. Ce sont ces dernières phases qui séparent les organisations dotées de capacités matures de celles qui possèdent des plateformes coûteuses mais sous‑utilisées.

Phase 3 : Intégration des TO, surveillance et amélioration des TI

Objectif : Étendre les contrôles aux TO, élargir les usines‑modèles, intégrer la surveillance et adopter des contrôles adaptatifs

Cette phase cible la séparation critique entre les TI et les TO. Il s’agit souvent du travail le plus complexe, mais qui apporte le plus de valeur aux organisations des secteurs des produits industriels et de l’énergie. Les activités comprennent la mise en place de contrôles d’accès vérifiant les identités pour les systèmes SCADA et les systèmes de contrôle industriel, l’établissement d’une surveillance couvrant les écosystèmes de TI et TO, la mise en œuvre de systèmes d’authentification adaptatifs et l’expansion des usines-modèles aux exigences propres aux TO. Cette phase va au‑delà des exigences ponctuelles en matière de conformité et est axée sur l’assurance continue.

Phase 4 : Modernisation des activités de l’assurance et mise à l’échelle

Objectif : Automatiser les activités de l’assurance, mettre à l’échelle les processus avancés d’authentification et développer les usines jusqu’à maturité

Grâce aux capacités fondamentales et à l’intégration précédente des TO, cette phase consiste à faire progresser la maturité par l’automatisation de la surveillance en matière de conformité, par la mise en œuvre à grande échelle de systèmes d’authentification avancés (p. ex., sans mot de passe, fondés sur le risque, biométriques), par des systèmes matures d’analyse des identités et par l’optimisation des usines‑modèles. Cette phase consiste à transformer les exigences de conformité en matière d’identité, perçues comme un fardeau, en une capacité opérationnelle qui propulse l’entreprise.

Phase 5 : Préparation pour l’avenir et résilience

Objectif : Établir des capacités d’adaptation et assurer la conformité transfrontalière ainsi que la résilience des fournisseurs

La gouvernance des identités n’est pas un projet à durée déterminée. Cette phase consiste à établir un modèle opérationnel et les fondements architecturaux pour une transformation continue qui s’adapte à des exigences changeantes, aux menaces émergentes et aux besoins d’affaires évolutifs. Cette phase consiste aussi à examiner les complexités de la conformité transfrontalière et la résilience des fournisseurs, dans le but de réduire la dépendance à l’égard de fournisseurs uniques. Les organisations qui atteignent cette phase ont transformé leurs systèmes d’identité en une capacité stratégique qui favorise la transformation numérique et les positionne pour l’avenir.

La stratégie en matière d’identité doit découler de la stratégie d’affaires, et non l’inverse. Nous avons élaboré des cadres et des méthodologies visant spécifiquement les écosystèmes des secteurs des produits industriels et de l’énergie, c’est‑à‑dire des approches conçues à cette fin qui tiennent compte de la convergence des TI et des TO, de la prolifération des identités machines et des exigences réglementaires propres au secteur.

Nos équipes comprennent des professionnels qui ont travaillé dans les secteurs des produits industriels et de l’énergie, et qui comprennent les contraintes pratiques liées à la mise en place de contrôles d’identité lorsque le temps utilisable n’est pas négociable et que la sécurité est primordiale. Cette perspective opérationnelle façonne notre conception de solutions : nous ne voulons pas de solutions seulement techniquement correctes, nous voulons des solutions qui sont aussi viables sur le plan opérationnel.

Pour chaque mandat, nous apportons notre connaissance approfondie de la réglementation. Nos équipes comprennent les exigences de conformité liées au projet de loi C‑8, les attentes en matière de vérification selon les normes NERC CIP, les directives de la TSA sur les pipelines, les exigences provinciales de protection des renseignements personnels et les cadres internationaux. Nous pouvons vous aider à mettre en place des cadres de contrôle qui répondent efficacement à des exigences multiples de conformité grâce à une conception intégrée plutôt que par des flux de travail distincts.

Nous travaillons avec vous du début jusqu’à la maturité des systèmes. Si vous ne faites que commencer votre parcours, nous pouvons établir des bases, c’est‑à‑dire les évaluations, les cadres de gouvernance et les feuilles de route. Si vous êtes plus avancé, nous nous concentrerons sur des capacités avancées comme l’analyse des identités, l’intégration de l’IA et l’assurance continue. Si vous faites face à des pressions immédiates en matière de conformité, nous vous offrons un soutien ciblé tout en jetant les bases d’une maturité à plus long terme.