Cybersécurité dans le domaine maritime

Patrick CHAUMETTE

CDMO – Université de Nantes

Le colloque Human Sea – Marisk des 3 et 4 octobre 2016 Economic challenge and new maritime risks management: What blue growth? – Challenge économique et maîtrise des nouveaux risques maritimes: Quelle croissance bleue ?” s’est notamment intéressé à la cybersécurité, compte tenu du développement des systèmes d’information dans les ports et les navires. Les questions de sécurité sont anciennes, celles de sûreté sont à nouveau d’actualité. Les acteurs sont à la fois publics, les organisations internationales, les Etats et leurs administrations, les organisations régionales, les autorités portuaires, mais aussi privés, acteurs économiques, armements, gestionnaires des ports et installations portuaires, assureurs, sociétés de classification, experts et conseillers en sûretés. En matière de sécurité et de sûreté leurs interventions sont d’abord complémentaires, et peu concurrentielles, mais cette conciliation, articulation doit être réfléchie et organisée. Les actes de ce colloque sont en cours de publication à Gomylex Editorial, Bilbao.

Le terme cybersécurité est un néologisme désignant l’ensemble des lois, politiques, outils, dispositifs, concepts et mécanismes de sécurité, méthodes de gestion des risques, actions, formations, pratiques et technologies qui peuvent être utilisés pour protéger les personnes et les actifs informatiques matériels et immatériels (connectés directement ou indirectement à un réseau) des Etats et des organisations. Il ne s’agit pas seulement de la sécurité des systèmes d’information, mais aussi de l’informatique de gestion, de l’informatique embarquée, des objets connectés. Une approche holistique s’impose. Selon la Commission européenne, la cybercriminalité englobe trois catégories d’activités criminelles : les infractions propres aux réseaux électroniques (déni de service et piratage)‏, les formes traditionnelles de criminalité (escroquerie, vols de données, fraudes, fausses cartes de paiement, usurpation  d’identité en ligne) et la diffusion de contenus illicites (pédopornographie, racisme, xénophobie)‏.

Le Conseil de l’Europe a adopté la Convention sur la cybercriminalité de Budapest, le 23 novembre 2001. La Convention est le premier traité international sur les infractions pénales commises via l’Internet et d’autres réseaux informatiques, traitant en particulier des infractions portant atteinte aux droits d’auteurs, de la fraude liée à l’informatique, de la pornographie enfantine, ainsi que des infractions liées à la sécurité des réseaux. Il contient également une série de pouvoirs de procédures, tels que la perquisition de réseaux informatiques et l’interception. Son principal objectif, énoncé dans le préambule, est de poursuivre « une politique pénale commune destinée à protéger la société contre le cybercrime, notamment par l’adoption d’une législation appropriée et la stimulation de la coopération internationale »[1].

Derrière l’apparence mécanique des navires et opérations portuaires, les nouvelles technologies de l’information et de la communication ont automatisé les processus, permit de réduire les équipes, améliorer efficacité et productivité. Cela concerne les systèmes de navigation et de communication, les outils de gestion et de contrôle du trafic maritime et des cargaisons. Les systèmes d’information sont interconnectés, recourant à des outils très divers. Les vulnérabilités sont prises en compte dans le domaine de la défense navale, peu encore dans les activités économiques. « Maritime cyber security awareness is currently low, to non-existent ». C’est en ces termes alarmistes que l’European Union Agency for Network and Information Security (ENISA) qualifie en 2011, le niveau de cybersécurité dans le secteur maritime[2]. L’inquiétude de l’Agence se justifie par le caractère stratégique du secteur maritime pour l’économie européenne : 90% du commerce extérieur européen repose sur le trafic maritime, 22 pays membres disposent d’un littoral et se partagent 1200 ports commerciaux. L’ENISA constate que le secteur maritime est dorénavant totalement dépendant de l’ensemble des systèmes d’information et de traitement des données relatifs aux activités maritimes et portuaires. Navigation, propulsion des bateaux, gestion du fret, contrôle du trafic en mer… toutes ces activités sont maintenant largement automatisées et portées par des SI – dont des systèmes industriels comme des SCADA – n’intégrant que très rarement les problématiques de cybersécurité. La convention SOLAS a imposé la navigation électronique à travers la carte électronique ENC et le système de visualisation des cartes électroniques et d‘information ECDIS. L’Organisation Hydrographique Internationale (OHI) a défini des normes de sécurité (norme S-63)[3]. L’ECDIS rassemble des informations venant de divers capteurs, radars, système de navigation par satellite ou Automatic Identification System (AIS)[4]. Une recherche est en cours afin de pouvoir identifier les signaux AIS falsifiés. La norme technique IEC 61162-460, de l’International Electrotechnical Commission, recommande un pare-feu entre le navire et l’extérieur en 2018.

En raison de la numérisation croissante des données liées au commerce maritime, la directive 2010/65/UE du Parlement Européen et du Conseil du 20 octobre 2010 concernant les formalités déclaratives applicables aux navires à l’entrée et/ou à la sortie des ports des États membres et abrogeant la directive 2002/6/CE, a imposé le projet de « Guichet unique » (NSW National Single Window), reliant SafeSeaNet, le système de douane électronique (« E-Customs ») et d’autres systèmes électroniques : tous les renseignements électroniques font l’objet d’une notification unique et sont mis à la disposition des Etats membres et des autorités compétentes[5]. La directive 2002/6/CE du Parlement européen et du Conseil du 18 février 2002 concernant les formalités déclaratives applicables aux navires à l’entrée et/ou à la sortie des ports des États membres de la Communauté, impose aux États membres d’accepter certains formulaires normalisés («formulaires FAL») en vue de faciliter le trafic, tels que définis par la convention de l’OMI visant à faciliter le trafic maritime international («convention FAL»), adoptée le 9 avril 1965, révisée régulièrement. L’OMI travaille sur un projet de Maritime Cloud, susceptible de faciliter les opérations administratives, commerciales et douanières, ainsi que la navigation et la sécurité maritime, une infrastructure de communication assurant le transfert autorisé d’informations[6]. Pour autant la Convention SOLAS ne fait aucune mention explicite à la cybersécurité, même si le code ISPS comporte des dispositions générales dans sa partie facultative. L’Organisation Mondiale des Douanes a émis depuis 2005 des recommandations.

En France, des dispositions ont été imposées aux opérateurs d’importance vitale (OIV) par la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 (art. 22), le décret n° 2015-351 du 27 mars 2015 relatif à la sécurité des systèmes d’information des opérateurs d’importance vitale, l’arrêté du 11 août 2016 fixant les règles de sécurité et les modalités de déclaration des systèmes d’information d’importance vitale et des incidents de sécurité relatives au sous-secteur d’activités d’importance vitale « Transports maritime et fluvial ». Pour les autres opérateurs, le guide « Cybersécurité, renforcer le niveau de protection du navire » a été publié en septembre 2016 par la Direction des Affaires Maritimes du Ministère de l’Environnement du Développement Durable et de la Mer et l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI)[7]. En janvier 217, a été mis à jour le Guide « Cybersécurité, renforcer la protection des systèmes industriels du navire ».

La directive 2016/1148/UE du Parlement européen et du Conseil du 6 juillet 2016 concerne les mesures destinées à assurer un niveau élevé commun de sécurité des réseaux et systèmes d’information dans l’Union. Dans le secteur des transports par voie d’eau, les exigences en matière de sécurité imposées par des actes juridiques de l’Union aux compagnies, aux navires, aux installations portuaires, aux ports et aux services de gestion du trafic maritime portent sur l’ensemble des activités, y compris les systèmes de radio et de télécommunications, les systèmes informatiques et les réseaux. Une partie des procédures auxquelles il est obligatoire de se conformer concerne le signalement de tous les incidents et devrait donc être considérée comme une lex specialis, dans la mesure où ces exigences sont au moins équivalentes aux dispositions correspondantes cette directive. Lors de l’identification des opérateurs dans le secteur des transports par voie d’eau, les États membres devraient prendre en compte les codes internationaux et les lignes directrices existants et futurs élaborés notamment par l’Organisation maritime internationale, en vue d’offrir une approche cohérente aux différents opérateurs maritimes. Chaque Etat membre doit adopter une stratégie nationale de sécurité des réseaux et des systèmes d’information (art. 7). Les États membres adoptent et publient, au plus tard le 9 mai 2018, les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive. Ils en informent immédiatement la Commission. Ils appliquent ces dispositions à partir du 10 mai 2018 (art. 25).

Sont définis comme opérateurs de service essentiels les sociétés de transport terrestre, maritime et côtier de passagers et de fret au sens de l’annexe I du règlement (CE) n° 725/2004 du Parlement européen et du Conseil du 31 mars 2004 relatif à l’amélioration de la sûreté des navires et des installations portuaires, à l’exclusion des navires exploités à titre individuel par ces sociétés, les entités gestionnaires des ports au sens de l’article 3, point 1), de la directive 2005/65/CE du Parlement européen et du Conseil du 26 octobre 2005 relative à l’amélioration de la sûreté des ports, y compris les installations portuaires au sens de l’article 2, point 11), du règlement (CE) n° 725/2004, ainsi que les entités exploitant des ateliers et des équipements à l’intérieur des ports, les exploitants de services de trafic maritime au sens de l’article 3, point o), de la directive 2002/59/CE du Parlement européen et du Conseil du 27 juin 2002 relative à la mise en place d’un système communautaire de suivi du trafic des navires et d’information, et abrogeant la directive 93/75/CEE du Conseil (art. 4 point 4).

En juin 2016, le Comité de la sécurité maritime de l’OMI a publié une circulaire fixant des « directives intérimaires sur la gestion des cyber-risques maritimes (MSC.1/Circ. 1526, 1er juin 2016). Il conviendra de sécuriser les navires, les architectures numériques et les équipements, de maintenir en condition de sécurité les équipements numériques embarqués. A bord, des consignes simples doivent permettre aux capitaines et aux équipages de détecter les incidents. Il convient donc de former les personnels, chaque navire devant sans tarder disposer d’un référent informatique. La convention STCW devrait à terme imposer un certificat de cybersécurité.

[1] QUEMENER M., Cybersociété, entre espoirs et risques”, L’Harmattan, 2013 – QUEMENER M. et PINTE J.M., Cybersécurité des acteurs économiques : Risques, réponses stratégiques et juridiques, Hermes Science Publications, coll. « Cyberconflits et cybercriminalité », Lavoisier, Paris, 2012 – QUEMENER M. & CHARPENEL Y., Cybercriminalité – Droit pénal appliqué, coll. Pratique du Droit, Economica, Paris, 2010.

[2] https://www.enisa.europa.eu/topics/critical-information-infrastructures-and-services/dependencies-of-maritime-transport-to-icts

[3] http://www.shom.fr/les-produits/produits-nautiques/information-sur-les-cartes-electroniques-de-navigation/

[4] LEBOEUF C., De la surveillance des activités humaines en mer. Essai sur les rapports du droit et de la Technique, Thèse Droit, université de Nantes, 2013,  https://tel.archives-ouvertes.fr/tel-01150617 – SERRY A. & LEVEQUE L., « Le système d’identification automatique (AIS) Une source de données pour étudier la circulation maritime » NETCOM, 2015, pp. 177-202 https://netcom.revues.org/1943?lang=en

[5] Ordonnance n° 2013-139, 13 février 2013, relative aux formalités déclaratives applicables aux navires à l’entrée et à la sortie des ports maritimes, JORF n°39, 15 février 2013, p. 2604.

[6] “An overview of the Maritime Cloud – input to the IMO e-navigation CG by DENMARK”,

https://www.iho.int/mtg_docs/com_wg/SNPWG/SNPWG17/SNPWG17-9.3_An%20overview%20of%20the%20Maritime%20Cloud%20-%20input%20to%20IMO%20e-nav%20CG.PDF – CEIS – Note stratégique « Cybersécurité dans le milieu maritime » – 7 février 2017

https://ceis.eu/fr/note-strategique-cybersecurite-dans-le-milieu-maritime/

[7] https://www.ssi.gouv.fr/actualite/guide-des-bonnes-pratiques-de-securite-informatique-a-bord-des-navires/

http://www.developpement-durable.gouv.fr/surete-maritime-0


Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *