Cybersecurity as a Precondition for the Carbon-Neutral Grid: An Investment Framework for U.S. Utility Cybersecurity Capital Allocation

Le réseau électrique est le vaste système nerveux invisible qui alimente la vie moderne, mais il subit une transformation radicale. Pendant des décennies, l'électricité circulait dans une seule direction : des centrales électriques massives vers les foyers et les entreprises. Aujourd'hui, ce flux est en train de changer. Des millions de panneaux solaires sur les toits et des batteries dans les garages sont ajoutés au système, transformant les consommateurs en petits producteurs d'énergie. Ce changement est essentiel pour un avenir neutre en carbone, pourtant il crée une nouvelle vulnérabilité. Chaque nouveau panneau solaire et chaque batterie est un point d'entrée potentiel pour une cyberattaque. À mesure que ces dispositages se multiplient, la « surface d'attaque » — le nombre total d'endroits où un pirate pourrait tenter de s'introduire — croît plus vite que les règles conçues pour protéger le réseau.

Protéger ce système nécessite de dépenser de l'argent, mais les entreprises de services publics sont confrontées à un casse-tête difficile. Elles doivent respecter des règles fédérales strictes qui fixent un niveau de sécurité minimal, appelé « plancher de conformité ». Cependant, ces règles ne couvrent pas le réseau de panneaux solaires et de batteries sur les toits, qui croît rapidement. Pour ces parties du réseau, les entreprises doivent décider par elles-mêmes de combien elles doivent dépenser et quand. Elles n'ont pas de guide clair pour savoir si une proposition de mise à niveau de la sécurité vaut le coût, ou si elles doivent attendre de voir comment la technologie évolue. Sans méthode pour peser ces décisions, les services publics risquent soit de trop dépenser dans des protections inutiles, soit de sous-investir et de laisser le réseau exposé.

Une équipe de chercheurs de l'Université de Brandeis, de l'Université Emory et de l'Université de l'État de Géorgie a proposé une nouvelle façon de résoudre ce problème. Ils ont développé un cadre en quatre étapes pour aider les entreprises de services publics à décider comment allouer leurs budgets de cybersécurité. Leur travail ne repose pas sur de nouvelles données provenant d'une entreprise d'électricité spécifique ou d'une simulation informatique d'une attaque. Il s'agit plutôt d'un guide méthodologique qui rassemble quatre idées existantes qui n'ont jamais été utilisées ensemble auparavant : les règles obligatoires, les limites économiques, la flexibilité temporelle et les incitations financières. Les auteurs soutiennent qu'en combinant ces éléments, les services publics peuvent prendre des décisions plus intelligentes et plus défendables sur la manière de dépenser leur argent pour assurer la sécurité du réseau lors de sa transition vers les énergies renouvelables.

La première étape de leur cadre consiste à identifier les dépenses non négociables. Les régulateurs fédéraux ont établi des normes obligatoires que les services publics doivent respecter, comme la gestion des risques liés à la chaîne d'approvisionnement des composants informatiques et la surveillance de leurs réseaux informatiques internes. Les chercheurs appellent cela le « plancher de conformité ». C'est le montant de base qu'une entreprise de services publics doit dépenser, quel que soit le montant qu'elle estime pouvoir perdre lors d'une attaque. Cet argent n'est pas optionnel ; c'est le prix de l'activité. Cependant, ce plancher s'arrête à la limite des lignes électriques principales. Il ne couvre pas les millions de panneaux solaires et de batteries distribués qui se connectent désormais au réseau. Protéger ces nouveaux actifs est un choix discrétionnaire, et c'est là que le véritable défi commence.

Pour les dépenses qui dépassent les règles obligatoires, les chercheurs suggèrent d'appliquer une deuxième étape : un plafond économique. Ils s'appuient sur un modèle économique bien connu qui soutient que les organisations ne devraient jamais dépenser plus en sécurité que le montant qu'elles prévoient de perdre en cas de violation. Si une mise à niveau de la sécurité coûte plus cher que les dommages qu'elle prévient, l'investissement n'est pas judicieux. Cette étape agit comme un garde-fou, empêchant les entreprises de trop dépenser en sécurité par peur ou par habitude. Elle force les planificateurs à se poser une question difficile : cet investissement spécifique réduit-il réellement un risque de perte financière supérieure au coût de la réparation ?

La troisième étape introduit l'élément du temps. Le monde des cybermenaces et de la technologie des énergies renouvelables change rapidement. Une décision prise aujourd'hui pourrait être obsolète dans deux ans. Les chercheurs proposent d'utiliser une méthode appelée « options réelles » pour gérer cette incertitude. Au lieu d'engager tout l'argent d'un coup, un service public pourrait choisir de dépenser par étapes. Ils pourraient commencer par un petit projet pilote pour tester la technologie. Si le paysage des menaces change ou si la technologie s'améliore, ils peuvent étendre l'investissement. Si la situation évolue dans une direction différente, ils peuvent faire une pause ou arrêter. Cette flexibilité apporte de la valeur, permettant aux entreprises d'attendre d'avoir plus d'informations avant de bloquer des sommes importantes.

La dernière étape du cadre examine les incitations financières créées par les récentes réglementations fédérales. Un nouvel ordre de la Federal Energy Regulatory Commission permet aux services publics de récupérer plus facilement les coûts de certains investissements avancés en cybersécurité que d'autres projets. Cela crée un avantage financier pour les dépenses de sécurité qui vont au-delà des exigences minimales. Les chercheurs suggèrent que les services publics intègrent cet avantage dans leurs calculs. Lorsqu'ils comparent un projet de sécurité à d'autres besoins, comme la mise à niveau des lignes électriques ou la construction de nouvelles sous-stations, le projet de sécurité doit être évalué avec ce coût effectif plus bas à l'esprit. Cela garantit que les mises à niveau de sécurité précieuses ne soient pas négligées simplement parce qu'elles paraissent coûteuses sur le papier.

Pour tester le fonctionnement de ce cadre dans le monde réel, les auteurs ont examiné un exemple historique de la Californie. Au début des années 2010, un programme appelé CES-21 a financé la recherche sur la cybersécurité du réseau et l'intégration des énergies renouvelables. Le budget du programme a finalement été réduit d'environ 77 % après que les législateurs ont décidé que la demande initiale manquait d'une justification claire quant à sa taille. Les chercheurs utilisent cet événement pour illustrer le danger de réaliser de gros investissements de sécurité sans une méthode structurée pour déterminer le montant approprié. Ils soutiennent que si le cadre qu'ils proposent avait été disponible à l'époque, le service public aurait pu justifier plus clairement les dépenses, ou peut-être aurait réalisé qu'une approche plus petite et échelonnée était plus appropriée.

L'article précise que ce cadre est un outil de réflexion, et non un produit fini prêt à une utilisation immédiate. Les auteurs soulignent des lacunes importantes dans les données nécessaires pour faire fonctionner le système parfaitement. Par exemple, il n'existe pas d'estimations précises du montant qu'une cyberattaque sur une ferme solaire ou un agrégateur de batteries coûterait réellement. Les services publics ont également du mal à partager des informations sensibles sur leurs risques, ce qui rend difficile le calcul de la « perte attendue » qui régit la deuxième étape du cadre. De plus, aucun service public n'a encore profité du nouveau programme d'incitation fédérale, il n'y a donc aucune donnée réelle sur la manière dont cette partie de l'équation se traduit concrètement.

Malgré ces limites, les chercheurs pensent que leur travail comble un vide critique. Pendant des années, la conversation autour de la sécurité du réseau a été divisée entre ceux qui se concentrent sur le respect des règles et ceux qui se concentrent sur l'économie du risque. Ce document suggère que l'avenir d'un réseau sûr et neutre en carbone dépend de l'entrelacement de ces fils. En fournissant un moyen structuré de combiner les règles obligatoires, les limites économiques, la flexibilité temporelle et les incitations financières, le cadre offre une voie à suivre pour les planificateurs des services publics. Il ne promet pas d'éliminer les cybermenaces, mais il offre une manière plus claire et plus logique de décider comment dépenser l'argent nécessaire pour les combattre. Alors que le réseau continue de changer, disposer d'une méthode pour naviguer dans ces choix complexes peut s'avérer aussi important que la technologie elle-même.