Protection des infrastructures critiques : du théâtre d'opérations au réseau électrique

Pendant des décennies, la cyberdéfense et la protection des infrastructures critiques ont été traitées comme des disciplines distinctes, avec des budgets distincts, des équipes distinctes et des doctrines distinctes. Cette séparation ne tient plus. Au XXIe siècle, une attaque contre un poste électrique, une usine de traitement des eaux ou une dorsale de télécommunications produit des effets stratégiques comparables à ceux d'une action militaire conventionnelle — et, dans certains scénarios, plus durables. La question qui importe n'est plus de savoir si la défense doit opérer sur des infrastructures civiles, mais comment le faire avec la même rigueur, la même discipline et les mêmes preuves qu'exige toute opération militaire.

Zendrix est né de cette convergence. La plateforme a été conçue pour opérer là où les conséquences sont réelles : dans le théâtre d'opérations et sur le réseau électrique, à la frontière et dans le centre de données qui soutient les services essentiels. Cet article décrit comment une même fondation technologique sert la défense et les infrastructures critiques civiles, et pourquoi il s'agit d'un choix d'ingénierie — non d'une commodité commerciale.

Quand les conséquences quittent le domaine numérique

Dans la cybersécurité traditionnelle, le pire résultat tend à être la perte de données, une indisponibilité temporaire ou un dommage réputationnel. Dans les infrastructures critiques, le pire résultat est physique : équipements détruits, approvisionnement interrompu, vies en danger. Cette différence change tout dans la conception d'un système autonome.

La plateforme opère avec des invariants de sécurité physique : des bornes explicites décrivant ce qui ne doit pas se produire dans le monde réel — plages de fonctionnement des équipements, contraintes de procédé et conditions limites des installations sensibles. Aucune action cyber dont l'effet physique ne peut être modélisé et contenu n'est exécutée. Si l'effet d'une action ne peut être prédit avec une confiance suffisante, l'action n'est ni déclarée réussie ni autorisée à se poursuivre. Cette règle est structurelle, non configurable : elle ne dépend pas d'un jugement au cas par cas dans le feu de l'action.

Cette discipline protège aussi l'opérateur. Dans des environnements où une commande erronée peut endommager des équipements coûteux ou interrompre des services essentiels, la capacité de refuser une action vaut autant que la capacité de l'exécuter. L'autonomie responsable n'est pas un frein : c'est ce qui permet d'opérer près de la limite sans franchir la ligne.

Quatre secteurs, quatre grammaires du risque

L'énergie, l'eau, les télécommunications et les services financiers partagent la caractéristique d'être des systèmes cyber-physiques à effets en cascade, mais chacun possède sa propre grammaire du risque. La plateforme répond à cette diversité par des profils sectoriels.

Dans le secteur de l'énergie, les invariants s'articulent autour de la stabilité et de l'intégrité : fréquence, tension, limites des transformateurs et séquences de commutation qui ne doivent pas être violées. Dans l'eau et l'assainissement, l'accent porte sur la pression, la qualité et la continuité des procédés, avec une marge d'erreur très réduite. Dans les télécommunications, ce qui est protégé, c'est la disponibilité des chemins critiques et l'intégrité de la signalisation qui maintient la cohérence du réseau. Dans la finance, les invariants concernent le règlement et l'intégrité : des opérations irréversibles exigent des garanties qui vont au-delà de la disponibilité.

Dans tous les cas, le principe est le même : le profil sectoriel définit l'enveloppe à l'intérieur de laquelle l'autonomie peut opérer. Hors de cette enveloppe, la décision est escaladée vers l'autorité humaine. Le système n'improvise pas sur ce qu'il ne comprend pas, et il ne traite pas des secteurs distincts comme s'ils parlaient la même langue.

Le double usage comme principe, non comme commodité

La capacité de double usage de Zendrix n'est pas un sous-produit : c'est la conception elle-même. La même plateforme qui accompagne les agences gouvernementales et les institutions alliées dans la défense de réseaux et de systèmes sensibles soutient les opérateurs d'infrastructures critiques qui doivent maintenir les services essentiels en fonctionnement sous pression — y compris sous attaque.

Cela inclut l'opération dans des environnements isolés où aucun cloud n'atteint : installations sensibles, navires, frontières et sites industriels soumis à des exigences de souveraineté. La plateforme maintient localement la cognition, l'état et la vérification d'intégrité, avec des exercices périodiques qui démontrent la capacité d'opérer sans connectivité externe. La souveraineté, dans ce contexte, n'est pas une rhétorique : c'est la différence entre continuer d'opérer et dépendre d'une connexion qui pourrait ne pas exister.

Preuves, contrôle humain et interopérabilité

Aucune capacité n'est déclarée sans preuve. La plateforme tient une piste d'audit inviolable, signe cryptographiquement les artefacts qu'elle produit et vérifie l'intégrité de ce qu'elle exécute. Les opérateurs peuvent reconstituer ce qui s'est passé, pourquoi cela s'est passé et sous quelle autorité — une exigence à la fois pour la défense et pour les régulateurs sectoriels.

Les décisions impliquant un risque pour la vie exigent toujours une autorité humaine. Le reste s'écoule à la vitesse de la machine, car la paralysie est aussi un échec. Et l'interopérabilité est native : des standards ouverts tels que STIX 2.1 et TAXII 2.1 permettent à différentes institutions — nationales et alliées — de partager du renseignement sans renoncer à la souveraineté sur leurs données. Collaborer sans s'exposer est une exigence opérationnelle, non un luxe diplomatique.

Avant d'introduire l'autonomie dans tout environnement cyber-physique, nous appliquons un ensemble de questions dont la valeur réside dans le fait qu'elles appellent des preuves plutôt que des opinions :

• Quel est le pire effet physique possible d'une action erronée — et comment est-il contenu avant qu'il ne se produise ?
• Qui est responsable de la décision lorsque le système n'est pas suffisamment confiant pour agir seul ?
• Comment un auditeur reconstitue-t-il, des mois plus tard, ce qui a été fait, pourquoi cela a été fait et sous quelle autorité ?
• L'institution peut-elle continuer d'opérer si la connectivité externe disparaît entièrement ?

Aucune de ces questions n'est exclusive à la défense. Toutes sont tout aussi pertinentes pour l'opérateur qui exploite un poste électrique, l'opérateur qui soutient un réseau d'urgence et l'institution financière qui règle des transactions à l'échelle nationale. C'est pourquoi nous traitons les infrastructures critiques et la défense comme un seul domaine d'ingénierie : les exigences sont les mêmes ; seules les conséquences changent de nom.

La même technologie qui défend la nation maintient les lumières allumées — et le critère pour lui faire confiance est identique dans les deux cas : des preuves vérifiables, un contrôle humain là où cela compte et la souveraineté de bout en bout.