D’après un expert en cybersécurité, les normes actuelles de certification sont insuffisantes pour protéger les infrastructures critiques dans les Maritimes, par exemple les usines de traitement d’eau potable. L’Association francophone des municipalités du Nouveau-Brunswick explore des solutions pour mieux outiller ses membres.

Le 23 juillet, une usine d'eau potable de la municipalité régionale de Halton, à l'ouest de Toronto en Ontario, a été la cible d'une cyberattaque de pirates pro-russes. Le même jour, une attaque semblable s’est déroulée contre la station de traitement de l'eau de Saint-Noël, dans l'Est-du-Québec.

Selon Steve Waterhouse, un expert en cybersécurité, les usines de traitement des eaux situées dans les Maritimes utilisent souvent des systèmes de contrôle industriel. Dans ce contexte, il estime que des cyberattaques pourraient également avoir lieu ici.

Les cybercriminels voient des automates qui sont accessibles. Ils [veulent] démontrer [...] comment est-ce que les systèmes industriels, surtout pour l’assainissement et le traitement des eaux, ne sont pas sécuritaires, alors que la classe politique dit que tout est sécuritaire, lance l’expert.

Steve Waterhouse est expert en cybersécurité. Il a été officier de sécurité des systèmes d'information au ministère de la Défense nationale et sous-ministre adjoint au ministère de la Cybersécurité et du Numérique du Québec. (Photo d'archives)

Photo : Radio-Canada

Le Nouveau-Brunswick à l’affût

M. Waterhouse considère toutefois que les autorités néo-brunswickoises sont bien conscientes des risques. Selon l’expert, Fredericton a adopté des mesures de prévention efficaces pour aider les municipalités.

Au Nouveau-Brunswick, le gouvernement a mis en place de bons moyens pour venir en aide à la population et aux municipalités, pour faire ce genre de prévention. Ce qui n’est pas le cas ailleurs au pays, alors qu’on voit beaucoup de systèmes de contrôle industriels qui sont exposés à Internet, alors que ça ne devrait jamais être le cas, fait-il valoir.

Les acteurs du Nouveau-Brunswick [en cybersécurité] sont à l'œuvre pour faire de la prévention. Ils ont la situation en main. C’est rassurant.

L'Assemblée législative du Nouveau-Brunswick, à Fredericton.

Photo : Radio-Canada / Charles-Étienne Drouin

La Nouvelle-Écosse s’améliore

Steve Waterhouse rappelle qu’en mars 2025, Nova Scotia Power, le fournisseur d’électricité de la Nouvelle-Écosse, a été la cible d’une attaque de rançongiciel.

L’expert est d’avis qu’après ces événements, le gouvernement néo-écossais a rehaussé grandement sa vigilance en matière de cybersécurité.

Le quartier général de Nova Scotia Power sur la rue Lower Water, à Halifax. (Photo d'archives)

Photo : Radio-Canada / Jonathan Villeneuve

Après l’épisode de cyberattaque, la Nouvelle-Écosse a appliqué des mesures préventives de cybersécurité, partout en province. En Nouvelle-Écosse, il y a des gens qui sont à l'œuvre. Leur tâche, c'est de faire de la prévention de la cybersécurité. Ils appellent les municipalités, même les entreprises privées, qui se voient être assaillies par des cybercriminels, explique M. Waterhouse.

D’ailleurs, Halifax Water considère les cyberattaques comme un risque permanent pour les organismes qui fournissent des services essentiels.

Ces menaces sont réelles, peuvent évoluer rapidement et provenir de n’importe où. Halifax Water prend ce risque très au sérieux. Nous continuons à renforcer nos systèmes et avons mis en place des plans, des outils et des mesures de protection pour aider à protéger nos infrastructures, déclare par écrit une porte-parole d’Halifax Water, Brittany Smith.

Moncton et Saint-Jean aux aguets

La Ville de Moncton a déjà été confrontée à un incident de cybersécurité, soit une campagne d’hameçonnage généralisée, mais ne souhaite pas offrir plus de détails par mesure de sécurité.

L’incident a été rapidement détecté et n’a eu aucune incidence sur les services de la Ville, déclare par écrit une porte-parole de la Municipalité, Melissa Hachey.

Quant aux traitements des eaux, Mme Hachey indique que le service est assuré par un tiers, Veolia, et que des mesures de sécurité sont en place pour protéger les systèmes.

L'usine de traitement des eaux de Moncton, située à 15 kilomètres du centre-ville.

Photo : Radio-Canada / Shane Fowler/CBC

La Ville de Saint-Jean, au Nouveau-Brunswick, considère la protection de ses systèmes et de son infrastructure comme une priorité absolue.

Pour des raisons de sécurité, la Ville ne communique pas publiquement de détails spécifiques concernant ses outils de cybersécurité, ses systèmes, ses capacités d'intervention en cas d'incident ou ses mesures de protection, déclare par écrit la Municipalité de Saint-Jean.

Des outils de protections pour les municipalités

Kassim Doumbia est le président de l’Association francophone des municipalités du Nouveau-Brunswick (AFMNB).

Il convient que les infrastructures municipales automatisées peuvent devenir des cibles pour les puissances étrangères.

Le Nouveau-Brunswick n’est pas à l'abri de ce genre [d’attaque] qui pourrait survenir. Si une municipalité n’a pas les paramètres optimaux de sécurité, c’est certain qu’elle peut être la proie de cyberattaques.

Le maire de Shippagan, Kassim Doumbia, est le nouveau président de l’AFMNB.

Photo : Radio-Canada / René Landry

Il ignore combien de municipalités néo-brunswickoises francophones sont prêtes à intervenir adéquatement. Chaque municipalité opère différemment ses systèmes informatiques, explique M. Doumbia.

Dans ce contexte, le président de l’AFMNB juge primordial de fournir de nouvelles formations aux élus et employés municipaux sur les vulnérabilités informatiques.

L’Association compte proposer des outils de protection pour sécuriser les infrastructures essentielles, y compris les usines d’eau potable.

L’AFMNB prévoit offrir prochainement un atelier à ses membres sur ce sujet.

On veut en discuter lors de notre congrès annuel de l’Association cet automne. Il y aura un atelier dédié à toute la question de la cybersécurité, promet M. Doumbia.

La cybersécurité demeure une question de prévention avant tout.

Photo : iStock

Une norme de certification

D’après Steve Waterhouse, les provinces canadiennes ne disposent pas de réglementation obligeant les opérateurs d’usine de traitement des eaux à sécuriser leurs infrastructures informatiques.

Le traitement des eaux est de compétence provinciale. Dans les provinces, il n’y a pas d’obligation, à savoir s’ils appliquent les meilleures pratiques de cybersécurité. C’est ça qui fait mal, déplore-t-il.

L'usine de traitement des eaux usées de Campbellton, dans le nord du Nouveau-Brunswick.

Photo : Radio-Canada / Charles-Étienne Drouin

L’expert suggère donc, aux différentes municipalités, d’adhérer à certains programmes, incluant le CAN/DGSI 104. Il s’agit d’une norme canadienne sur les meilleures pratiques en cybersécurité.

Le programme est sorti il y a six ou sept ans. Une fois que les gens vont suivre la recette pour sécuriser leurs systèmes et après avoir démontré qu’ils appliquent les meilleures pratiques, avec audit à l'appui, ils ont une reconnaissance. Ils sont certifiés d’avoir été vérifiés. Ça donnerait une base bien meilleure que ce qu’il y a actuellement, [c’est-à-dire] rien, conclut-il.

Au moment d'écrire ces lignes, le gouvernement du Nouveau-Brunswick n'a pas répondu aux questions de Radio-Canada quant à la cybersécurité.

De son côté, le gouvernement de la Nouvelle-Écosse indique avoir investi, pour la période de 2026-2027, 18 millions de dollars pour renforcer la protection de ses systèmes gouvernementaux et de santé.

Ce financement contribuera à protéger les informations sensibles et à améliorer notre capacité à prévenir, détecter, répondre aux cybermenaces et à nous en remettre. La Nouvelle-Écosse continue de renforcer ses mesures de cybersécurité et de collaborer avec ses partenaires fédéraux, provinciaux et territoriaux afin de partager des renseignements sur les menaces et de coordonner les réponses, déclare par écrit une porte-parole du gouvernement néo-écossais, Sue McKeage.