Panne des technologies de l'information et de la communication

Transcription

1 Panne des technologies de l'information et de la communication Définition On parle de panne informatique lorsque des moyens techniques de traitement ou de diffusion de l information sont temporairement indisponibles. Eu égard au recours massif à l informatique, une défaillance peut avoir de graves conséquences. Le dommage est fonction de la durée de la panne, de la nature des technologies concernées, du nombre et de l importance des services et utilisateurs touchés, et des dégâts aux données. La défaillance de systèmes spécifiques peut également occasionner des dommages considérables si les systèmes informatisés de contrôle d infrastructures critiques (centrales, transports, etc.) sont touchés. Une défaillance peut ainsi générer d autres dangers, parce que de nombreuses infrastructures dépendent du bon fonctionnement de l informatique et que ces technologies sont interreliées. Une panne informatique peut avoir diverses origines, par exemple les perturbations ou les défaillances de composants, des erreurs humaines, des événements naturels (par ex. des tremblements de terre), des actes criminels (cybercriminalité, cyberterrorisme) ou des pannes techniques (coupure d électricité). Le présent dossier se focalise sur le cas de panne. 30 juin 2015 Office fédéral de la protection de la population OFPP

2 Exemples d événements 30 octobre 2013 Etats-Unis Défaillance du Microsoft Azure Storage Cloud En voulant actualiser un certificat SSL échu, nécessaire à la transmission de données, le Microsoft Azure Storage Cloud (plateforme de stockage dématérialisée de Microsoft) tombe en panne. Les conséquences se font sentir à l échelle planétaire. L interruption d une vingtaine d heures dure du vendredi au samedi : plus aucune donnée cryptée ne peut être échangée entre les clients et la plateforme. Le trafic http normal n est pas concerné. La plupart des clients sont touchés durant 12 heures environ, certains jusqu à 24 heures ; 52 services de Microsoft connaissent des problèmes et des défaillances, dont Xbox Live. Les clients lésés sont indemnisés ou bénéficient de notes de crédits. 21 octobre 2013 Suisse Défaillance de l accès internet de Swisscom Une panne d origine inconnue empêche dans toute la Suisse les clients de Swisscom d accéder à l internet. La liaison est soit très lente, soit impossible. Tous les particuliers et PME clients de Swisscom sont touchés. Le problème est résolu après une demi-journée d interruption. 26 décembre 2006 Taïwan Rupture d un câble sous-marin Le 26 décembre 2006, un tremblement de terre endommage au large de Taïwan un câble sous-marin assurant les liaisons téléphoniques et internet. Plusieurs millions d internautes d Asie de l Est ne disposent plus que d un accès restreint à l internet et les conversations téléphoniques sont sporadiquement impossibles. Les banques se plaignent d une perturbation massive de leurs affaires. 2/10

3 Facteurs d influence Les facteurs suivants peuvent influer sur la survenance, l évolution et les conséquences d un événement. Sources de danger Défaillance d infrastructures (par ex. par dangers naturels ou sabotage) Défauts techniques (défaillance du matériel, logiciels dommageables, etc.) Manipulation fautive lors de l exploitation ou de la maintenance Autres dysfonctionnements Importance du système : - importance des services dépendants - nombre d utilisateurs du système concerné Systèmes propriétaires : absence de système ou de plateforme de rechange Occurrence temporelle Lieu / étendue Déroulement de l événement Durant les heures de travail ou la nuit Jour ouvrable, ou fin de semaine, jours fériés, période de vacances ; saison Degré de diffusion du système concerné Degré d interconnexion du système concerné (effet de cascade) Services concernés Utilisateurs et clients concernés Secteurs concernés Ampleur de la perte de données Délai de préalerte de la défaillance Portée de la défaillance Disponibilité de systèmes de rechange Durée de la défaillance Comportement des organisations concernées Réaction des clients et des utilisateurs 3/10

4 Interdépendances Ci-après les événements et développements, tirés de l inventaire des dangers potentiels de l Office fédéral de la protection de la population (OFPP), pouvant être à l origine ou la conséquence de la défaillance des infrastructures informatiques. Causes possibles Dangers naturels hydrologiques ou météorologiques Crue Tempête Intempéries / orage Fortes chutes de neige Pannes affectant l approvisionnement, les transports publics et l information Approvisionnement électrique Dommages à des ouvrages Incendie Criminalité / terrorisme Attaque conventionnelle Cybercriminalité Cyberattaque Dangers naturels gravitationnels Glissement de terrain Dangers naturels sismiques Tremblement de terre Pannes affectant l approvisionnement, les transports publics et l information Infrastructure d information et de communication Conséquences possibles Pannes affectant l approvisionnement, les transports publics et l information Centre logistique Infrastructure d information et de communication Approvisionnement électrique Distribution de produits pétroliers Distribution de gaz Distribution d eau Système GPS Infrastructure aéronautique Infrastructure ferroviaire Difficultés d approvisionnement Denrées alimentaires Criminalité / terrorisme Criminalité économique, espionnage Cybercriminalité Cyberattaque 4/10

5 Scénario Intensité Divers événements d intensité variable peuvent se produire en fonction des facteurs d influence. Les scénarios ci-après sont une sélection, parmi de nombreux développements envisageables, et non pas une prévision. Ils permettent de présager les conséquences d événements afin de s y préparer. 1 importante Défaillances auprès d un seul fournisseur Répercussions limitées au secteur informatique Aucun service critique touché Evénement et mesures connus Durée limitée (moins d un jour) 2 - majeure Défaillances auprès de plusieurs fournisseurs Répercussions sur d autres secteurs critiques Evénement inconnu, mais mesures dictées par l expérience Services critiques touchés Durée moyenne (deux à trois jours) 3 - extrême Défaillances auprès de pratiquement tous les fournisseurs Répercussions sur des infrastructures critiques dans les secteurs de l énergie, des télécommunications et du trafic Dommages aux systèmes de gestion de l énergie et du trafic, perturbations majeures des services de télécommunication Services critiques touchés (par ex. authentification altérée) Contre-mesures non disponibles, développement nécessitant plusieurs semaines Public touché indirectement, mais sensiblement au quotidien Longue durée (plus d une semaine) Choix du scénario Le scénario décrit ci-après se fonde sur une intensité «majeure». Il est en principe imaginable pour la Suisse, mais sa probabilité est faible. 5/10

6 Evénement Situation initiale / Phase préliminaire Un exploitant de centres de données dispose de serveurs de stockage en plusieurs lieux géographiques ; ces serveurs fonctionnent de façon redondante. Pour optimiser la circulation des données entre les serveurs, l exploitant veut introduire un nouveau logiciel de gestion. Phase de l événement En raison d une erreur de configuration, la migration vers le nouveau logiciel provoque une panne totale des serveurs car le trafic des données n est pas réparti de façon régulière, de sorte que le centre de données concerné est surchargé. L exploitant tente sans succès de corriger l erreur par une configuration différente. Par la suite, il isole le serveur du réseau et annule la migration. Etant donné que par redondance, les données du serveur défaillant sont également conservées dans les autres lieux de stockage, ces derniers assurent momentanément l échange des données avec les clients. A la remise en route du serveur défaillant, les données des autres serveurs sont automatiquement partagées : le cas se produisant pour la première fois, il apparaît rapidement que le transfert des données occupe énormément de bande passante, que le serveur réactivé doit traiter une quantité extrême de données et que le processus de restauration dure par conséquent beaucoup plus longtemps que prévu. D une part, des données corrompues sont générées durant la restauration (et devront être rectifiées par la suite), et d autre part l exploitant reste impuissant car le logiciel de gestion ne permet aucune interruption du processus de restauration. Il en résulte des heures durant un fort trafic sur le réseau, qui se répercute sensiblement sur les services travaillant avec l exploitant. La plupart des services basés sur l internet sont très perturbés ou ne fonctionnent plus du tout. Les premiers touchés sont les services tributaires d une forte latence, notamment ceux qui dépendent de la synchronisation de grandes banques de données et de la diffusion en flux continu, par exemple les fournisseurs de contenus multimédias. Mais les accès web, le courrier électronique, les accès à distance, l accès des appareils mobiles et une partie de la téléphonie sont également touchés. Les services d urgence fonctionnent. Deux des plus grandes boutiques en ligne de Suisse, PME, une grande entreprise de logistique, certains secteurs administratifs d une ville et de nombreux petits hébergeurs sont directement frappés par l événement en tant que clients de l exploitant. Deux jours durant, ils n ont qu un accès limité à leur environnement virtuel et doivent faire face à des séries de données corrompues. En raison du processus erroné de restauration et de l absence de copies de sauvegarde, nombre de clients perdent des données. Un hôpital de 500 lits et 2000 PME perdent une partie de leurs données, et 500 PME même la totalité. L administration fiscale d une ville perd également une partie de ses données. Ne sont que peu ou pas touchés les utilisateurs bénéficiant de liaisons dédiées, de leurs propres réseaux ou de systèmes de rechange sous la forme par exemple de communication par ondes ou par satellite, et les fournisseurs dis- 6/10

7 posant de leurs propres liaisons. Phase de rétablissement Après un peu plus de deux jours, la charge du réseau se normalise. Lorsque les clients n étaient pas suffisamment prêts à affronter ce type de panne (absence de copies de sauvegarde des données ou d une configuration adéquate par ex.), la remise en état dure bien plus longtemps, notamment en ce qui concerne le rétablissement de séries de données cohérentes, la saisie a posteriori de transactions et d autres opérations semblables. Déroulement temporel L événement se produit soudainement, les répercussions sont immédiates et perdurent deux jours environ. Effets Durée Phase préliminaire: aucune Phase de l événement: 2 jours Phase de rétablissement: 5 jours Etendue spatiale Aucune délimitation précise possible. Une région est la plus fortement touchée, mais les répercussions se font sentir partout en Suisse, de même qu en Europe. Conséquences Population En raison de la perte de données de patients dans l hôpital touché et dans certains cabinets médicaux, des malades ne peuvent être soignés ou subissent des traitements erronés : il en résulte des dommages à la santé des patients, voire le décès de certains d entre eux. La perte de tous leurs moyens économiques pousse quelques personnes au suicide. Les possibilités retreintes de communication peuvent provoquer des retards dans les prestations d assistance aux personnes handicapées ou nécessitant une aide. Au total, plus de 100 personnes subissent des dommages à la santé ou sont blessées ; douze perdent indirectement la vie. 7/10

8 Environnement L événement n a aucune répercussion environnementale. S il devait avoir des conséquences sur la gestion d installations et de systèmes présentant des risques pour l environnement, ce dernier pourrait subir des dommages, par exemple en raison de la dissémination incontrôlée de substances dangereuses dans le sol, l eau et l air. Economie Les clients de l exploitant du centre de données directement concernés de même que ceux des revendeurs doivent fournir un effort supplémentaire en ressources humaines et techniques pour préserver leurs services ou se voient contraints de cesser le travail dans les secteurs touchés : PME sont déjà concernées. Les chiffres d affaires des deux boutiques en ligne directement touchées chutent fortement durant les deux jours de la perturbation. L entreprise logistique encourt des charges supplémentaires considérables pour maintenir son offre. Les secteurs décentralisés de l administration municipale ne sont que difficilement, voire pas du tout, atteignables en ligne ou par téléphone durant ces deux jours. Lorsque des clients des revendeurs sont directement concernés, ou lorsque les prestations en ligne sont fortement réduites à cause de la saturation du réseau, l activité commerciale ralentit durant deux jours. L administration fiscale et la police des habitants d une ville de moyenne importance, de même que 2000 PME, perdent une partie de leurs données, y compris des données fiscales et personnelles importantes. Par ailleurs, 500 PME perdent la totalité de leurs données stockées auprès de l exploitant et doivent en supporter les conséquences. Les dommages patrimoniaux et les coûts de gestion de l événement s élèvent à 1 milliard de francs environ et l événement réduit les capacités économiques de quelque 350 millions de francs. Société La panne a épargné les services vitaux ou particulièrement importants. Néanmoins, elle a provoqué des difficultés et des ruptures d approvisionnement en raison de la défaillance de la logistique de grands distributeurs. Les cercles d utilisateurs concernés n ont qu un accès retreint à l internet ou n en ont plus (défaillance de services utilisant l internet, par ex. courrier électronique, réseaux sociaux, achats en ligne, diffusion en flux continu). L échange de données est limité entre, par exemple, les soins à domicile, les hôpitaux, la police des habitants, etc. A la suite de la défaillance, les critiques pleuvent sur l exploitant, accusé de ne pas être en mesure d offrir un service fiable et de paralyser la moitié de la Suisse à cause de ses problèmes. On s en prend également à la dépendance généralisée de l économie et de la société vis-à-vis de l informatique. 8/10

9 Diagramme des conséquences Illustration de l ampleur des dégâts dans le scénario décrit, en fonction des indicateurs de dommage. Le dommage augmente du facteur 3 par classe d ampleur. Diagramme des risques Illustration du risque lié au scénario décrit, conjointement avec les autres mises en danger qui ont été analysées. Plus un scénario se situe en haut à droite, plus le risque qu il simule est élevé. Les événements occasionnés volontairement sont attribués aux classes de plausibilité, les autres aux classes de fréquence. Les dommages sont agrégés et monétarisés. 9/10

10 Bases légales et références Constitution Art. 13, Protection de la sphère privée Art. 92, Services postaux et télécommunications Art. 173, Autres tâches et compétences Lois Loi fédérale du 19 juin 1992 sur la protection des données (LPD) ; RS Loi du 8 octobre 1982 sur l approvisionnement du pays (LAP) ; RS 531. Loi fédérale du 6 octobre 2000 sur la surveillance de la correspondance par poste et télécommunication (LSCPT) ; RS Loi fédérale du 21 mars 1997 instituant des mesures visant au maintien de la sûreté intérieure (LMSI) ; RS 120. Ordonnance Autres documents et sources Ordonnance du 14 juin 1993 relative à la loi fédérale sur la protection des données (OLPD) ; RS Conseil fédéral, 2012 : Stratégie nationale pour la protection des infrastructures critiques. Conseil fédéral suisse, 27 juin Conseil fédéral, 2012 : Stratégie nationale de protection de la Suisse contre les cyberrisques. Conseil fédéral suisse, 27 juin MELANI : Rapports semestriels. Centrale d enregistrement et d analyse pour la sûreté de l information (MELANI) Swiss Internet Exchange (SwissIX): Source de la photo Keystone 10/10