Les pirates informatiques du secteur maritime ont-ils le champ libre ?

À l'heure où des bandes armées attaquent les navires naviguant en mer Rouge et où la mer Noire est de facto une zone de guerre, il peut sembler exagéré d'affirmer que le piratage informatique constitue sans doute la plus grande menace actuelle pour la continuité des activités dans le secteur maritime.

Cependant, la transformation du secteur maritime, qui est passé d’une activité de niche, isolée par une faible bande passante et des applications sur mesure, à une cible de grande valeur revêtant une importance politique et économique, lui a valu une attention indésirable.

Bien sûr, des contre-mesures existent et une combinaison de directives réglementaires et de normes industrielles a contribué à rééquilibrer les chances, mais c'est un jeu qui penche toujours en faveur des attaquants plutôt que des défenseurs.

Il existe un écart important entre les leaders, les suiveurs et les retardataires, et c'est parmi ce dernier groupe que l'inquiétude devrait être la plus grande.

Jusqu'à récemment, ces derniers comptaient sur des logiciels antivirus et croisaient les doigts, mais les chances penchant désormais en faveur des pirates, une combinaison de protection proactive et de réglementation entre en jeu.

La conformité aux réglementations en matière de cybersécurité reste une expérience nouvelle pour la plupart des compagnies maritimes. Cela a commencé avec les ajouts de l’OMI de 2021 au Code ISM, qui constituaient en réalité un guide des meilleures pratiques plutôt qu’une base réglementaire. Les normes TMSA et SIRE imposent des charges de la preuve plus élevées, mais celles-ci sont spécifiques à chaque secteur du marché.

La Garde côtière américaine s'apprête à introduire des mesures régionales et l'OMI a inscrit la cybersécurité à son agenda pour une future réglementation, mais en attendant, les règles les plus récentes sont les exigences unifiées E26 et E27 de l'IACS.

L'UR E26, qui fournit des exigences de base obligatoires en matière de cybersécurité pour les navires neufs – avec une réglementation complémentaire E27 pour les systèmes embarqués –, constitue sans doute le premier exemple de normes concrètes en matière de cybersécurité, mais ne représente néanmoins qu'un seuil relativement bas en termes d'exigences de conformité.

Leur application aux navires neufs soulève à elle seule une question importante : pourquoi les armateurs appliqueraient-ils les réglementations en matière de cyberprotection uniquement à ces navires, alors qu'ils possèdent des actifs âgés d'un ou deux ans, d'une valeur similaire, qui naviguent actuellement et présentent vraisemblablement des profils de risque similaires ?

Bien sûr, des organismes tels que les sociétés de classification proposent des notations et des recommandations pour les navires existants, mais le problème restera que les éléments non obligatoires ne sont pas considérés comme prioritaires.

Pourquoi ne protègent-ils pas leurs actifs existants dans la même mesure, voire davantage ? La valeur des actifs sera similaire, le risque lié à la cargaison identique ou supérieur, et l’impact sur le bilan et la continuité des activités en cas d’attaque réussie serait identique ou plus important.

Comme le dit le vieux proverbe andorran des bergers : « Un homme qui possède deux maisons n’en laisse pas une ouverte pour protéger l’autre. »

En n'appliquant les normes minimales de l'IACS qu'aux navires neufs et non à leurs navires existants, les armateurs prennent un risque supplémentaire au lieu de réduire leur profil de risque global.

La capacité des rebelles houthis à cibler des navires qu’ils estiment directement liés à leurs ennemis illustre la facilité d’accès aux données sur la propriété et le déploiement de la flotte. Il y a de moins en moins d’endroits où se cacher.

La pression en faveur de l’adoption de mesures similaires pour les navires existants devrait s’intensifier, les affréteurs et les assureurs étant les mieux placés pour faire pression sur les armateurs afin de garantir une conformité uniforme au sein de la flotte.

En réalité, ils devront aller plus loin. Les dispositions des UR de l’IACS ne sont pas sans susciter des critiques, certains craignant que la conformité ne repose davantage sur le simple fait de cocher des cases que sur des actions concrètes. Cela néglige le fait que parvenir à un consensus au sein de l’IACS, comme dans de nombreuses organisations similaires, repose sur des compromis.

La pression croissante en matière de cybersécurité permet aux compagnies maritimes de respecter les normes de base et leur donne la liberté d’aller plus loin, en adoptant des approches plus rigoureuses en termes de technologie, de formation, de procédures et de sensibilisation.

Les normes industrielles éprouvées démontrent qu’elles peuvent ancrer la sensibilisation aux risques cybernétiques au sein de la chaîne d’approvisionnement et en faire une condition sine qua non pour exercer une activité.

Les armateurs devront se rendre à l'évidence : pour conserver leur statut d'opérateurs réputés et attractifs pour les investisseurs, ils devront mettre en œuvre un audit cybernétique approfondi sur l'ensemble de leurs flottes, en utilisant la norme UR E26 comme point de départ, mais pas comme point d'arrivée.