Cybersécurité des infrastructures critiques africaines : quels défis pour le secteur minier ?
Les infrastructures minières font partie des piliers économiques de plusieurs pays africains. Pourtant, derrière les machines, les réseaux industriels et les systèmes de production, une autre réalité s’impose. Il s’agit de l’exposition croissante aux cybermenaces. Rançongiciels, intrusions ciblées, sabotage numérique… En réalité ces risques ne concernent plus seulement les systèmes informatiques classiques, mais également les environnements industriels eux-mêmes. Ainsi, la cybersécurité devient un enjeu opérationnel autant que stratégique. Comment protéger des sites parfois isolés, mais hautement connectés ? Quels arbitrages entre continuité de production et sécurité numérique ? Et, surtout comment les entreprises minières africaines s’adaptent-elles aux menaces actuelles?
Pour en parler, nous recevons un spécialiste de la cybersécurité des environnements industriels, avec une expérience des enjeux du secteur minier sur le continent. Il s’agit de M. Cédric Ndong, RSSI/CISO Zone Afrique pour un grand groupe minier et fondateur du cabinet d’audit et conseil CN consulting
Africa Cybersecurity Mag : Quand on parle d’infrastructures critiques dans le secteur minier, de quoi parle-t-on concrètement ?
Cédric Ndong : Dans le secteur minier, les infrastructures critiques regroupent l’ensemble des systèmes et équipements dont l’arrêt ou la compromission pourrait avoir un impact majeur sur la sécurité des personnes, la continuité de la production ou encore l’environnement. Cela inclut les systèmes industriels qui pilotent l’extraction et le traitement des minerais, les réseaux électriques, les centres de contrôle, les systèmes de communication, les infrastructures logistiques ainsi que les réseaux informatiques et industriels qui soutiennent les activités de la mine.
Une cyberattaque visant l’un de ces éléments peut entraîner des arrêts de production, avec des conséquences directes sur le chiffre d’affaires, l’emploi ou encore la chaîne d’approvisionnement.
Africa Cybersecurity Mag : Qu’est-ce qui rend aujourd’hui une entreprise minière plus vulnérable qu’il y a dix ans par exemple ?
Cédric Ndong : Depuis un peu plus de dix ans, nous sommes entrés dans ce que l’on appelle la quatrième révolution industrielle. La donnée est devenue centrale dans les activités des entreprises. Concrètement, de nombreux capteurs ont été ajoutés dans les usines, des caméras ont été déployées et les infrastructures industrielles ont été connectées à Internet.
Historiquement, ces environnements étaient isolés et fonctionnaient en vase clos. Avec la transformation numérique, ils se sont progressivement ouverts au monde extérieur. Cette évolution répond à une recherche de performance et d’efficacité opérationnelle. Cependant, cette ouverture augmente considérablement la surface d’attaque. Des infrastructures qui étaient autrefois relativement protégées par leur isolement sont désormais exposées à des menaces qu’elles ne connaissaient pas il y a quinze ou vingt ans. Les entreprises minières font donc face à de nouveaux risques liés à cette révolution numérique.
Africa Cybersecurity Mag : De votre position et de votre expérience dans le secteur, les entreprises minières africaines investissent-elles suffisamment dans la cybersécurité aujourd’hui ?
Cédric Ndong : Au-delà de l’industrie minière, c’est une problématique qui concerne l’ensemble des secteurs d’activité, voire les États eux-mêmes. Les budgets consacrés à la cybersécurité ne sont pas encore à la hauteur des enjeux. Il est essentiel que les dirigeants s’approprient pleinement les risques cyber afin de donner aux équipes les moyens nécessaires pour protéger efficacement l’entreprise.
Pendant longtemps, les directions des systèmes d’information étaient perçues comme de simples centres de coûts. Aujourd’hui, cette vision doit évoluer. L’informatique et la cybersécurité sont devenues des fonctions stratégiques qui soutiennent directement les opérations, la production et la continuité des activités. Il est donc indispensable d’investir davantage dans la protection de ces infrastructures critiques.
Africa Cybersecurity Mag : L’humain reste souvent le maillon faible. Comment renforcer la culture cyber dans des environnements industriels ?
Cédric Ndong : Oui, et il est même préférable de ne pas parler de “maillon faible”, mais plutôt de considérer l’humain comme un maillon central, voire un maillon fort. La cybersécurité n’est pas uniquement une question technique, mais avant tout une question de changement de comportements et d’habitudes.
Trois quarts des attaques cyber résultent de la méconnaissance ou de l’ignorance. Il est donc essentiel de renforcer les messages et les actions de sensibilisation sur le terrain, afin d’obtenir l’adhésion de l’ensemble des collaborateurs, y compris dans les métiers industriels qui, historiquement, n’étaient pas concernés par ces enjeux.
Il s’agit de leur faire prendre conscience des nouveaux risques liés à l’évolution de leurs métiers et de maintenir un effort constant de sensibilisation jusqu’à obtenir un réel changement de comportement. Le bon format doit être trouvé pour intégrer tous les employés, notamment ceux qui n’étaient pas initialement exposés aux environnements numériques, afin qu’ils comprennent leur nouvelle exposition aux risques. La sensibilisation doit rester au centre, car le risque est avant tout humain.
Africa Cybersecurity Mag : Lorsqu’une attaque survient, comment concilier continuité de production et gestion de crise cyber ?
Cédric Ndong : La réponse repose principalement sur un élément clé : la préparation.
Il faut être capable d’isoler rapidement les systèmes affectés afin d’éviter la propagation de l’attaque, tout en maintenant les activités critiques grâce à des plans de continuité et des modes de fonctionnement dégradés. À titre d’exemple, si un système informatique permettant de mesurer le transport de minerais devient indisponible, il faut pouvoir basculer vers des méthodes manuelles, comme l’enregistrement sur papier, ou encore utiliser des moyens de communication alternatifs tels que les talkies-walkies, lorsque cela est possible. Ces dispositifs doivent être anticipés et testés. Des exercices de gestion de crise permettent de définir précisément les rôles et les actions à mener : qui contacter, comment réagir et quelles procédures appliquer. En situation de crise, ces éléments deviennent essentiels.
Dans le domaine de la cybersécurité, l’objectif n’est plus de savoir si une attaque surviendra, mais quand elle surviendra. Cette approche impose une préparation en amont afin de limiter au maximum l’impact sur la chaîne de production et sur l’activité globale de l’entreprise. L’objectif final est de protéger l’entreprise tout en évitant un arrêt total des opérations, ou en le réduisant au strict minimum.
Africa Cybersecurity Mag : Enfin, pour conclure cette interview, quel conseil donneriez-vous aux décideurs et responsables industriels africains pour anticiper les cyberrisques ?
Cédric Ndong : La réponse repose sur trois piliers : People, Process, Tools.
Le premier pilier concerne les personnes. La sensibilisation doit être au cœur de la stratégie afin que l’ensemble des collaborateurs comprenne les risques et adopte les bons comportements. Cela passe également par le recrutement de profils spécialisés, tels que les RSSI, responsables cybersécurité ou SOC, afin de structurer une véritable expertise interne. Le deuxième pilier concerne les processus. Il est nécessaire de mettre en place des procédures claires pour encadrer les activités liées à la cybersécurité, notamment la gestion de crise, les plans de reprise et de continuité d’activité. Ces procédures doivent être documentées, validées et connues du top management, puis diffusées à l’ensemble des employés. Le troisième pilier concerne les outils. Les investissements technologiques sont indispensables pour protéger les actifs de l’entreprise. Toutefois, même les meilleurs outils ne suffisent pas sans une culture de sécurité solide.
Un personnel non sensibilisé équivaut à une maison équipée d’alarmes et de caméras, mais dont les fenêtres resteraient ouvertes. Ces trois piliers doivent fonctionner ensemble, avec un engagement fort de la direction générale, afin de donner l’impulsion nécessaire à l’ensemble des équipes.
