L'industrie face à la menace malveillante

L’industrie face à la menace malveillante

Préventica

Rennes – Jeudi 6 octobre 2016

1

David Kapp – Rédacteur en chef Face au Risque

L’industrie face à la menace malveillante – 6 octobre 2016 – Préventica Rennes

2


3

L’industrie face à la menace malveillante

1. Etat des lieux de la menace (Barpi)

2. Les menaces portées par l’actualité :

- Le terrorisme

- Le numérique


4

1. Etat des lieux de la menace

L’étude du Barpi consacrée aux

actes de malveillance

• Réalisée à partir de la base

Aria

• 850 sinistres

Téléchargeable sur Internet

http://www.aria.developpement-durable.gouv.fr


5

Source Barpi

Les phénomènes impliqués


6

Fréquence

+ souvent la nuit que le jour

Homogène sur l’année mais

+ courant en juillet et août (fermeture d’usine, arrêt annuel)

- fréquent en décembre

Source Barpi

Malveillance : 4 % des causes d’accident industriel

68 sinistres par an

5,6 par mois soit plus d’un par semaine !


7

Conséquences (échelle européenne des accidents)

Sociales potentiellement importantes (chômage, image…)

Humaines faibles

Environnementales (+ de la moitié des cas)

Economiquement très sérieuses (pertes outils de production, PE, …).


8

Source Barpi

Plus volontiers dans le secteur du tri et entreposage

de déchets (notamment pneus et liquides

inflammables ou dangereux)

Malveillance liée à la prédation et vol (casses auto et

déchetteries)

Zoom sur les secteurs d’activité


9

Production et commerces de biens manufacturés

- Beaucoup d’incendies

- Prévalence du vol d’opportunité mais aussi très ciblé (explosifs ou

composés)

- L’incendie peut être utilisé pour effacer les traces ou acquérir le bien

convoité.

Zoom sur les secteurs d’activité


10

Motivations

Contexte local de l’industrie (mécontentement, protestations…)Se débarrasser de produits ou liquides dangereux…VolConflits sociauxIdéologieNuisance pureSupprimer les tracesDérives accidentelles (jeux d’enfants…)Suicide ou meurtre

Tendance :

Prévalence de l’argent (opportunité liée à la faiblesse des défenses ou au contexte)Volonté de nuire


11

Passage à l’acte : exploitation de vulnérabilités connues

- Entretien des clôtures et contrôle d’accès défaillants

- Absence de surveillance des sites en dehors des périodes d’activité

- Implantation

- Absence de culture du retour d’expérience et de la prise en compte

d’alertes


12

Les préconisations du Barpi

• Création ou renforcement de la fonction sûreté• Mener une étude pour le site en prenant en compte les menaces particulières sur le

secteur d’activité• Déplacement des équipements sensibles et réorganisation des stockages• Mise en place de mesures préventives pour éviter les atteintes au milieu naturel (rétention)• Sensibilisation et formation du personnel• Ajout ou renforcement de protections mécaniques (clôtures, grillages, serrures…)• Ajout ou renforcement de la surveillance humaine• Ajout ou renforcement de la détection électronique anti-intrusion, télésurveillance,

vidéosurveillance…

Mais surtout• Lien avec les services de tutelles (municipalités, SDIS, Sécurité Civile, Police/ Gendarmerie)


13


14

REX : Les interventions suite à de la malveillance

Multiplicité des intervenants (pas de modèle type, différents en fonction du scénario)

Différents plans (Vigipirate, Etare, ORSEC, PPI, PRS, PSS, Orsan, …)

Tous ont des objectifs et des fonctionnements différents

Il est nécessaire de bien connaître les intervenants pour :La coordination des forcesLa connaissance des lieux

Présence possible du ou des attaquants (en cours ou fini) peut compliquer la sortie de crise


15

Quelles évolutions réglementaires prévoir ?

Réglementation industrie :

- Centrée sur la limitation des impacts sur l’environnement et la population+- Prévention des risques professionnels et protection des travailleurs

Prévu dans les APG (surtout contrôle d’accès).

Peu ou pas présent dans les études de danger contrairement aux ERP (ESSP)

Pourtant le sujet n’est pas neuf : des précédents (AZF) et loi Bachelot en 2003.

Jusqu’à présent OIV et PIV

Culture anglo-saxonne : Loss prevention (vision plus large et périphérique sur les enjeux)

Changement de culture : le SGDN mis à contribution

Sans doute moins de transparence à l’avenir…


16

2. Menaces portées par l’actualité :

Terrorisme : quelle analyse des risques ?

Identifier les cibles possibles

Élaborer des scénarios probables à partir du retour d’expérience

Définir et mettre en œuvre des stratégies de dissuasion et protection

Les mettre à jour et les adapter dans le temps


17

Typologie de l’agresseur

- NF EN 1627 : Blocs-portes pour piétons, fenêtre, façades rideaux, grilles et fermetures - Résistance à l'effraction (novembre 2011)- Règlement particulier T64 (A2P H64 : Blocs-portes de bâtiment - juillet 2015)

Terroriste

Crime organisé

Criminel Expérimenté

Criminel organisé

Criminel occasionnel

Opportuniste

Tout le mondeSource schéma TPSM CNPP Editions

Triangle de l’agresseur


18

Risque attentat dans les installations industrielles

Qu’est-ce qu’un terroriste ?

Attention à la définition et à la classification qui peuvent être très subjectives

L’article 421-1 du code pénal donne une définition des actes :« Constituent des actes de terrorisme, lorsqu'elles sont intentionnellement en relation avec une entreprise individuelle ou collective ayant pour but de troubler gravement l'ordre public par l'intimidation ou la terreur, les infractions : » Atteintes volontaires à la vie, vols, extorsions, destructions, dégradations et détériorations, mouvements dissous, armes, explosifs, nucléaires, recel, blanchiment, délits d'initié…


19

Triangle de la menace

Source schéma TPSM CNPP Editions

Face au terrorisme :Au niveau d’une entreprise, on ne peut pas agir sur l’agresseur et peu ou pas sur les méthodes et les moyens d’actions. En revanche, on peut agir sur l’objectif :- Informations sur l’actualité de la menace- Durcissement de la cible, complexification

du cheminement, limitation de l’accès…Exemple ERP


20

Attentats en industrie, quels objectifs ?

Ce qui est visé :Atteinte aux biensAtteinte aux personnes (employés, fournisseurs…)Atteinte à l’image (symboles ?)Vol ou détournement de valeursChantage Attaque de la population

Tout dépend du secteur d’activité : agroalimentaire, industrie chimique, pharmaceutique…

Difficile de prévoir : tout est une cible, toute arme peut être utilisée


21

Industrie pétrochimique : impact limite mais attention…

Exemple industrie pétrochimique : explosion et destruction, peu probable en cas d’actions volontaires car l’impact meurtrier est faible :

AZF > entre 120 et 300 t de nitrate d’ammoniumun cratère ovale de 65 x 45 et de 7 à 10 mètres de profondeur3,4 sur l’échelle de Richter32 morts, des milliers de blessés

Tianjin > 700 t de produits chimiquesUn cratère de 80 m2,3 et 2,9 sur l’échelle de Richter2nd vague d’explosions173 morts (104 pompiers)

// 11 septembre 2001 (343 pompiers morts)Attention aux attaques qui pourraient viser la sécurité civile, les pompiers ou les forces de police (méthodologie très souvent utilisée dans des attaques en Irak et au Liban)

Cible de prédation (matière première explosive)-> Élément de surprise fait partie de la terreur


22


23

Source schéma TPSM CNPP Editions

2. Menaces portées par l’actualité : le numérique

Possibilité de frapper à distancePotentiel de destruction importantPossibilité d’impunitéDes cibles multiples et variées et toujours disponibles !Mais…Nécessite des méthodes et des moyens d’actions élaborés voire très élaborésFonctionnement en groupe généralement(exception : complicité interne, très mauvaise capacité défensive)


24

15 ans de retours d’expérience sur des cyber-attaques dans l’industrie

2000 : Un ancien employé s’introduit sur le réseau de la station d’épuration de Maroochy Shire (Australie) et provoque des dommages environnementaux.2003 : Le ver Slammer infecte des industries et la centrale nucléaire de Davis Besse (États-Unis). Pendant 5 heures, les équipes de la centrale n’ont plus accès au monitoring de la centrale.2008 : Un adolescent fait dérailler un tramway à Lodz (Pologne). 12 blessés.2009-2010 : Le ver Stuxnet détruit des centrifugeuses du projet de centrale

nucléaire de Natanz (Iran).

2012 : Représailles possibles au ver Stuxnet. Le ver Shamoon s’attaque aux installations gazières du Qatar, détruisant 30 000 ordinateurs et paralysant les services pendant plus de 2 semaines.2013 : L’attaque des caméras de vidéosurveillance des tunnels routiers de Carmel (Israël) provoque des milliers de dollars de perte.2013 : Target. Détournement des données bancaires de plusieurs dizaines de millions de clients du groupe américain de distribution.2014 : Sony Pictures2015 : TV5 Monde


25

Des pistes de réflexion

Connaissance de son environnement

Actualité des menaces

Sensibilisation et formation des personnels (mots de passe, …)

Des outils à jour

Intégrer la sécurité dans tous les projets IT

Établir des règles (bon usage et bonnes pratiques)


26

Merci

David Kapp – Rédacteur en chef - Face au Risque

[email protected]

Tel. : 02 32 53 73 87

www.faceaurisque.com

Data & Analytics

L'industrie face à la menace malveillante