00:00sur cette menace-là et moins potentiellement sur d'autres menaces.
00:03Pour finir sur l'affaire des frigos, petite précision, l'alerte qui a été publiée par l'Annecy le 12
00:12octobre
00:13est renouvelée le 13 octobre pour l'étendre à d'autres éléments.
00:17Ne signalez pas une vulnérabilité spécifique, ce n'est pas le but d'une alerte de l'Annecy,
00:20c'est de signaler une campagne d'attaque en cours.
00:23Nous le faisons une vingtaine de fois par an pour signaler des mesures urgentes
00:26qui doivent être prises par l'ensemble de l'écosystème en réaction à une attaque en cours.
00:31La vulnérabilité spécifique qui a été employée pour mener cette attaque, il faut être très prudent.
00:37J'ai vu circuler, mais là encore ça renvoie à cet enjeu de rigueur et d'objectivité dans la description
00:41des choses,
00:43j'ai vu circuler différentes analyses tierces disant, moi je sais que c'est l'attaque, la CVE 2025 quelque
00:49chose,
00:49ou 2026 quelque chose, c'est-à-dire des vulnérabilités rendues publiques par différents chercheurs en cybersécurité
00:54au cours des deux années précédentes.
00:55Notre analyse aujourd'hui est que ce ne sont pas ces vulnérabilités-là qui ont été exploitées.
00:59Ce sont des défauts de sécurisation élémentaire, à commencer par l'exposition directe sur Internet
01:04d'équipements frigorifiques et leur administration sans sécurisation particulière,
01:08des mots de passe faibles, ce genre de choses.
01:10Donc là encore des vulnérabilités assez classiques.
01:14Je ne peux m'empêcher de signaler qu'elles font l'objet de recommandations depuis 2014.
01:19Depuis 2014, l'ANSI publie et met à jour un guide sur la sécurisation des systèmes industriels,
01:25dont la première recommandation n'est pas les exposer directement sur Internet.
01:28Mais à l'évidence, nos recommandations ne sont pas systématiquement respectées.
01:34Ce qui est l'occasion pour moi de rappeler, comme vous l'avez appelé de vos voeux,
01:37M. le secrétaire général, la répartition des responsabilités.
01:42L'ANSI ne va pas contraindre, n'a pas de pouvoir aujourd'hui,
01:45de contrainte des supermarchés dans le déploiement de leurs frigos.
01:50Nous édictons des règles, nous édictons des recommandations,
01:55nous édictons aussi ou publions des alertes quand il y a une attaque,
01:58mais à chacun ensuite d'appliquer ses règles,
02:03de respecter les alertes, de prendre en compte les mesures d'urgence.
02:07Pour le dire, à l'échelle de l'État, l'ANSI édicte des règles,
02:11les ministères homologuent leur système d'information
02:14et font l'état de lieu des vulnérabilités résiduelles,
02:19décident de mettre en service des systèmes d'information,
02:22peuvent faire appel à l'ANSI si besoin pour auditer,
02:26tester la sécurité des systèmes d'information qu'ils mettent en œuvre,
02:30mais sont responsables de leur mise en œuvre.
02:32Et à plus forte raison, dans le secteur privé,
02:34hors cadre réglementaire très spécifique des opérateurs d'importance vitale
02:37qui concernent environ 300 entreprises
02:40et un petit millier de systèmes d'information au sein de ces entreprises,
02:43ce ne sont pas l'ensemble des systèmes d'information,
02:46nous n'avons pas de pouvoir de contrôle aujourd'hui
02:48et la responsabilité fondamentale d'une entreprise,
02:50c'est de déployer ces systèmes de manière sécurisée
02:52en appliquant ou pas les règles de l'ANSI,
02:55mais en faisant en sorte qu'ils soient sécurisés.
02:59Merci beaucoup, je vous ai laissé développer,
03:01mais vous aurez compris que le temps nous est compté.
03:05Je vais laisser la parole à Uxori pour les deux rapporteurs
03:07de la commission sur la résilience, rapidement.
