La cybersécurité industrielle : un équilibre fragile entre bugs et résilience

La cybersécurité industrielle ne se résume pas à des pare-feux ou des SIEM. Elle exige une combinaison de solutions techniques et d'adaptation humaine, comme le prouve le déploiement chaotique du Dossier de Santé Numérique (DSN) du Québec. Entre bugs critiques et formation insuffisante, ce projet illustre une lacune fondamentale : la résilience des systèmes repose autant sur des sauvegardes automatisées que sur la curiosité et la pédagogie des utilisateurs. Pourtant, dans un environnement où chaque seconde compte, ces éléments semblent souvent négligés au profit d'une approche purement techniciste.

Un environnement hybride où chaque couche est un joueur de défense

Le DSN du Québec, déployé en urgence le 12 mai 2026, révèle une faille fondamentale : son architecture repose sur des solutions américaines (Microsoft USA/Epic), une traduction coûteuse et un manque criant de formation. Selon les professionnels de santé interrogés, seulement 3 × 4 heures sur les 1 500 heures annoncées ont été dispensées, un ratio qui rappelle celui d'un joueur de football qui apprend les règles du jeu en regardant des matchs plutôt qu'en s'entraînant. Pire : des bugs critiques ont été détectés après le déploiement, comme l'affichage incorrect des horaires de prise de sang, où le système proposait des intervalles erronés (ex. : "12 août huit" au lieu de "quatre heures").

Ces dysfonctionnements ne sont pas anodins. Ils exposent les données sensibles des patients à des risques de faux positifs ou de lateral movement mal détecté par les outils de sécurité. Pire encore, la plateforme, conçue pour des hôpitaux américains, impose une adaptation forcée des processus métiers québécois, sans garantie que les préférences locales (comme les horaires de soins) soient respectées. Un environnement cloud hybride, comme celui d'Airbus, doit avoir une defense-in-depth où chaque couche (pare-feu, WAF, EDR) agit comme un joueur de défense en équipe. Or, le DSN semble avoir privilégié la réactivité à la pédagogie : une approche qui transforme les utilisateurs en cibles potentielles, comme un gardien de but qui ne s'entraîne pas à anticiper les counterattacks adverses.

La pédagogie : le vrai rempart contre les cybermenaces

Contrairement aux discours technocratiques qui minimisent les risques humains, les experts du CEA insistent sur un principe simple : la cybersécurité ne se limite pas aux outils. Une ingénieure en cybersécurité du CEA, citée dans les sources, explique que son rôle consiste à :

• Concevoir des règles de sécurité adaptées aux besoins métiers,
• Paramétrer des outils pour minimiser les vulnérabilités,
• Former les équipes à une utilisation responsable des systèmes.

Son approche repose sur trois piliers :

1. La pédagogie : expliquer les enjeux aux utilisateurs, qu'ils soient ingénieurs ou infirmières. Sans compréhension, les solutions techniques restent des armatures vides.
2. La rigueur : appliquer des bonnes pratiques (ex. : gestion centralisée des mots de passe, utilisation d'outils comme Hashicorp Vault).
3. La curiosité : s'adapter aux innovations industrielles, comme la réalité virtuelle utilisée pour simuler des environnements complexes.

Le DSN du Québec, lui, a échoué sur ces trois fronts. Les professionnels de santé dénoncent un manque de consultation avec les utilisateurs finaux, une formation insuffisante (3 × 4 heures sur 1 500 heures annoncées) et une adaptation forcée des processus métiers. Résultat : une adhésion faible aux contraintes techniques, comme si les utilisateurs étaient traités comme des enfants plutôt que des experts.

Les APT et les bugs : une arme de guerre transformée

Les cybermenaces modernes ne se contentent plus de ransomware ou de phishing. Elles exploitent les failles humaines et techniques pour mener des attaques sophistiquées. Prenons l'exemple des APT Lazarus, liés à des groupes comme APT31 : ces acteurs utilisent une combinaison de :

• Zero-day exploités via des emails phishing (92 % des attaques commencent par un lien malveillant),
• Lateral movement pour contourner les défenses perçues,
• Des cibles critiques (infrastructures industrielles, hôpitaux).

Le DSN du Québec, avec ses bugs et son manque de formation, devient une cible idéale pour ces groupes. Une attaque réussie pourrait compromettre des données sensibles (médicaments, dossiers patients) ou paralyser des processus critiques (ex. : gestion des urgences). Pire encore, les solutions américaines (Microsoft USA/Epic) introduisent un risque supplémentaire : la propriété des données reste en dehors du contrôle du Québec, comme si les données des patients étaient stockées dans un cloud américain, accessible sans autorisation.

Vers une résilience hybride : l'exemple du CEA

Le CEA, lui, a su concilier innovation et rigueur. Son approche repose sur :

• Des audits réguliers pour identifier les vulnérabilités,
• Des sauvegardes automatisées (comme celles de Backblaze B2 pour les données critiques),
• Une formation continue des utilisateurs, adaptée à leurs métiers.

Contrairement au DSN, le CEA ne se contente pas de déployer des outils : il anticipe les menaces. Par exemple, lors d'une visite sur site, l'équipe de cybersécurité analyse :

• Qui a accès aux systèmes industriels,
• Comment sont partagés les mots de passe,
• Quelles sont les bonnes pratiques à adopter (ex. : utilisation d'un gestionnaire de mots de passe comme Bitwarden).

Cette approche proactive permet de réduire les risques avant qu'ils ne deviennent critiques. Le DSN, lui, a opté pour une réactivité qui a échoué : les bugs ont été détectés après le déploiement, et les formations ont été dispensées en urgence, sans garantie d'efficacité.

Conclusion : la résilience ne se décrète pas, elle se construit

La cybersécurité industrielle ne peut plus se contenter d'outils techniques. Elle exige une combinaison de solutions hybrides :

• Des sauvegardes automatisées (comme celles du CEA),
• Une formation continue des utilisateurs,
• Une pédagogie adaptée aux métiers.

Le DSN du Québec illustre les risques d'une approche purement techniciste : bugs critiques, formation insuffisante et une résilience fragilisée. Pourtant, des solutions existent. Comme le montre le CEA, la clé réside dans une approche proactive, où la cybersécurité est intégrée dès la conception des systèmes, et où les utilisateurs sont formés à une utilisation responsable.

La question n'est plus si une cyberattaque va se produire, mais quand. La résilience doit donc passer du reactif au proactif : comme un joueur de tennis qui anticipe le service adverse plutôt que de réagir après coup. Sinon, les APT continueront à jouer la partition... et à gagner.