Après avoir perdu une bataille juridique contre l’industrie et les États, l’EPA purge les règles de cybersécurité de l’approvisionnement

Les systèmes d’eau publics américains pourraient être à l’abri des criminels et des espions informatiques, mais nous ne le saurons peut-être pas avant qu’ils ne soient compromis, maintenant que l’Administration américaine de protection de l’environnement a mis fin à une règle exigeant que les États-Unis effectuent des évaluations de cybersécurité après avoir été poursuivie par des États républicains et des groupes industriels de l’eau. Cette semaine, l’EPA a envoyé un mémo [PDF] aux administrateurs d’eau potable des États disant qu’elle avait « choisi de révoquer » une règle de cybersécurité antérieure et cité une poursuite comme raison de sa décision. En mars, l’EPA a commencé à exiger que les États évaluent la cybersécurité de leurs environnements technologiques opérationnels de systèmes d’eau publics. L’EPA a cité les attaques informatiques croissantes contre les utilities d’eau dans plusieurs États, y compris la tentative d’empoisonnement d’Oldsmar en Floride, et a noté que de nombreux systèmes « n’ont pas adopté les meilleures pratiques de cybersécurité de base et sont par conséquent très vulnérables à une attaque informatique ». Un mois plus tard, les procureurs généraux des États d’Arkansas, d’Iowa et du Missouri ont poursuivi l’EPA pour mettre fin à la règle. L’American Water Works Association et la National Rural Water Association ont plus tard rejoint la poursuite, qui a argué que l’EPA n’avait pas le pouvoir d’émettre la nouvelle réglementation sans l’approbation du Congrès.