Le secteur de la vente d’énergie fait face à des cybermenaces croissantes

Une thèse de doctorat de Mikko Suorsa, qui sera soutenue à l’Université de Vaasa, en Finlande, révèle que le secteur de la vente d’énergie est une partie essentielle mais vulnérable de la chaîne de valeur de l’industrie énergétique et des infrastructures critiques. Ayant reçu relativement peu d’attention dans les efforts de cybersécurité, le secteur nécessite une résilience renforcée, et l’étude introduit des méthodes concrètes pour y parvenir. C’est l’une des premières études à se concentrer spécifiquement sur les organisations de vente d’énergie.

Alors que les réseaux de production et de transport d’énergie ont traditionnellement été strictement protégés en tant qu’infrastructures critiques, la cybersécurité du secteur de la vente d’énergie a reçu beaucoup moins d’attention. Cette thèse, dans le domaine du management industriel, montre que le secteur est de plus en plus ciblé par des menaces hybrides et des cyberattaques : les organisations de vente traitent des données personnelles, de consommation et de localisation sensibles de millions d’Européens et sont étroitement interconnectées avec des systèmes énergétiques plus larges, essentiels à la continuité des fonctions sociétales.

« Les lacunes dans la résilience en cybersécurité peuvent offrir aux attaquants une voie d’accès à l’ensemble de la chaîne de valeur énergétique, car les organisations de vente sont étroitement liées aux systèmes critiques. De telles violations peuvent entraîner un vol d’identité, perturber les opérations commerciales et causer des pertes financières importantes, ainsi qu’affaiblir les infrastructures critiques et la résilience des fonctions sociétales essentielles. Les cyber-opérations pendant la guerre en Ukraine ont montré que les attaques ciblant les systèmes informatiques peuvent également permettre l’accès aux systèmes de technologie opérationnelle contrôlant la production et le transport d’énergie », prévient Suorsa.

La résilience se construit sur la culture d’entreprise, les contrôles de sécurité et la gestion des risques

Comme solution, Suorsa propose une approche globale de la gestion de la cybersécurité qui renforce la capacité d’une entreprise à résister aux perturbations et à se rétablir rapidement dans le cadre du maintien des infrastructures critiques. L’étude fournit également aux hauts dirigeants des outils pour répondre aux exigences réglementaires de plus en plus strictes, telles que la directive NIS2 de l’UE.

« La cybersécurité est un facteur stratégique pour la continuité des activités, pas seulement une préoccupation du service informatique. Une culture de sécurité forte se développe lorsque la cybersécurité est intégrée aux objectifs de gestion et que les comportements positifs des employés sont systématiquement reconnus. Le personnel doit également être activement encouragé à signaler les risques et les incidents de sécurité », souligne Suorsa.

La recherche fournit trois outils clés pour renforcer la résilience cyber :

1. Engagement de la direction et implication des employés – des responsabilités claires, un rôle actif de la direction et l’encouragement du personnel à signaler les incidents de sécurité renforcent la résilience dans toute l’organisation.
2. Contrôles critiques de cybersécurité – gestion des accès, gouvernance des droits d’accès, gestion des changements, tests, protection contre les logiciels malveillants et formation des employés protègent les opérations essentielles.
3. Gestion des risques et analyse proactive – les risques cyber identifiés sont gérés via des contrôles en couches et une modélisation attaque-défense, améliorant la connaissance de la situation et les capacités de réponse.

« Sans résilience cyber, même un incident de sécurité mineur peut dégénérer en une perturbation majeure, interrompre les opérations commerciales, compromettre les données des clients et nuire à la réputation et à la continuité des activités d’une entreprise. Du point de vue des infrastructures critiques, ces impacts peuvent s’étendre à l’ensemble de la société. Inversement, une forte résilience cyber permet à une entreprise énergétique de résister aux cyberattaques et de se rétablir relativement rapidement avec un impact minimal », conclut Suorsa.

Suorsa, Mikko (2026) Strengthening Information Security Resilience in the European Energy Retail Sector: A Multi-Method Study of Cultural Factors, Critical Controls, and Key Risks. Acta Wasaensia 582. Thèse de doctorat. Université de Vaasa. Publication PDF

Source : Vaasa U.