CYBERSECURITE : l’oxygène de la transformation digitale

La cybersécurité est la clé de voûte de toute transformation digitale : c’est sur elle que repose le capital-confiance numérique de nos entreprises et de nos institutions. Et c’est grâce à elle que nous pourrons tirer profit des incroyables possibilités qui s’offrent à nous et inventer sans crainte le monde de demain.

Bienvenue dans le monde « cyber-physique ». 

Des équipements de production industriels aux systèmes financiers, des systèmes d’armes aux militaires en opération, des produits de grande consommation à nos maisons, des véhicules jusqu’aux jouets de nos enfants, est-il encore possible de séparer pleinement le numérique du physique ? Le « Digital », parfois encore traité comme un univers à part, irrigue de nombreux aspects de nos vies personnelles, du monde économique et du fonctionnement même de nos sociétés. Il est au cœur des services publics, entreprises et grandes infrastructures dont nous dépendons : banques, aéroports, gares, hôpitaux, centrales électriques, usines, forces armées ou de sécurité.

Cette incroyable convergence cyber-physique est une réalité toujours plus forte, qui permet aux entreprises de proposer des produits et services plus performants, aux industries d’optimiser leur production, aux clients de bénéficier de nouvelles expériences, aux salariés de gagner en mobilité, aux services publics de mieux répondre aux besoins des citoyens.

Cette révolution s’accompagne néanmoins de nouvelles menaces. Les ignorer, consciemment ou non, serait une grave erreur pour nos sociétés et leur avenir.

Dans le digital comme dans la vie, s’ouvrir, c’est s’exposer.

Hier clos et hermétiques, les systèmes d’information sur lesquels nous nous reposons quotidiennement se sont interconnectés, ouverts, enrichis de données émanant de multiples environnements : cloud, communications mobiles, internet des objets, etc. Chaque interconnexion, chaque point de collecte, de stockage ou de traitement de données constitue une porte d’entrée potentielle aux cyberattaques. De plus en plus nombreuses et sophistiquées, elles sont désormais capables de se propager par capillarité d’un objet à un système d’information tout entier, d’une organisation à une autre, comme un polluant déversé dans un ruisseau remonterait jusqu’à la mer. L’internet des objets illustre parfaitement ces interconnexions multiples et massives. Dès lors, la sécurité de l’ensemble du réseau devient une responsabilité collective.

Si l’on poursuivait cette comparaison et que les systèmes d’information d’aujourd’hui s’apparentaient à de grands lacs, ceux d’hier ressembleraient plutôt… à des piscines couvertes ! Là où il suffisait de contrôler quelques points d’entrée, il faut aujourd’hui superviser et protéger d’innombrables échanges et données dont la valeur va croissant, face à des cybermenaces d’autant plus inquiétantes qu’elles sont en constante évolution et difficiles à détecter et à contrer.

Sans confiance, pas de transformation digitale. Sans cybersécurité, pas de confiance.

Dès lors, comment avoir confiance ? Confiance dans l’usage qui est fait de nos données. Dans les systèmes qui les produisent, les hébergent ou les diffusent. Ultimement, dans tous les acteurs, entreprises, partenaires, fournisseurs, services publics, Etats, etc. dont l’existence numérique a un impact bien réel sur nos vies. Ne nous trompons pas : ce sont nos sociétés toutes entières qui sont exposées, comme l’illustrent par exemple les influences sur certaines récentes élections politiques.

Contre les Cassandre qui prêchent le repli pour se prémunir du risque, je crois au contraire que le devenir de nos sociétés se joue dans notre capacité à accompagner le développement du numérique. Dans notre volonté de créer un environnement de confiance, de l’Internet des Objets au cloud. Dans notre conviction qu’il est impératif de sécuriser le devenir digital de nos concitoyens. Dans notre engagement à apporter la valeur « confiance » par la cybersécurité.

La confiance ne se décrète pas ; elle se mérite. 

Elle se fonde tout d’abord sur des preuves concrètes et la capacité de chaque organisation à mettre en place les actions nécessaires, au-delà du cadre légal, pour se prémunir de cyberattaques dont personne ne peut plus se déclarer parfaitement à l’abri. Ces actions reposent, à mon sens, sur 4 grands piliers :

• L’intégration de la cybersécurité dès la conception des systèmes informatiques (« cybersecure by design »), à l’instar de l’architecte intégrant des portes coupe-feu sur les plans du bâtiment qu’il s’apprête à construire. L’expérience montre en effet qu’il est bien plus difficile de sécuriser un système a posteriori, quand il n’a pas été conçu pour cela. Cette cybersécurité « native » doit englober tout l’écosystème et pas simplement quelques produits, de manière séparée. Face à une menace globale, on ne peut raisonner point à point.
• Un cyber check-up régulier, avec une analyse rationnelle de la situation informatique permettant d’identifier les vulnérabilités potentielles et de mettre en place les mesures de bonne hygiène informatique.
• Le déploiement de solutions de cyber-surveillance (centres de supervision de cybersécurité, sondes de détection d’attaques…), enrichies d’une parfaite connaissance technique des menaces pour les détecter avant qu’elles ne sévissent.
• Enfin, la capacité à être cyber-résilient : en cas de crise, être en mesure de travailler en mode dégradé et de mettre fin de manière rapide et totale à une attaque, en déterminant précisément ce qui s’est produit et en reconstruisant le système de sorte que l’incident ne se reproduise plus.

Ces quatre grands domaines, associé au chiffrement des données, constituent un des métiers de Thales, qui accompagne et sécurise la transformation des systèmes d’information les plus critiques et protège tout le cycle de vie de la donnée, de sa création à son exploitation. Avec une ambition : mettre le numérique au service d’un monde meilleur et plus sûr.

Ces piliers technologiques de confiance ne seraient rien sans l’expertise humaine, absolument cruciale dans le domaine de la cybersécurité. Le vivier de talents est aujourd’hui largement insuffisant et nous devons mettre tous nos efforts pour le faire grandir, et attirer davantage de talents vers ces professions dont la valeur sociétale et l’intérêt technologique doivent être rappelés.

Nourrir la confiance numérique d’engagements forts.

Néanmoins, la confiance n’est pas uniquement le résultat de compétences techniques ou d’une check-list dans laquelle toutes les cases seraient cochées : elle va bien au-delà.

Dans un environnement numérique, la confiance exige non seulement des preuves factuelles et tangibles, mais également un engagement fort des organisations publiques ou privées à protéger leurs propres systèmes et par conséquent les données de leurs usagers.  A cet égard, l’entrée en vigueur du règlement général sur la protection des données a fait beaucoup – mais il faut sans doute aller plus loin.

Je suis convaincu que cet engagement  doit être porté de manière visible par l’ensemble des parties prenantes des organisations et en tout premier lieu les membres des comités de direction, qui doivent avoir la responsabilité de mettre en place une véritable gouvernance de la cybersécurité. De nombreux dirigeants en sont déjà conscients et dessinent les contours d’une vraie culture cyber interne. Est-il encore besoin de rappeler que la première des vulnérabilités aux cyberattaques est… humaine ? La cybersécurité n’est pas l’affaire de quelques ingénieurs informatiques : nous sommes tous concernés. Effectuer régulièrement les mises à jour informatiques demandées, ne pas cliquer sur des liens suspects, choisir un mot de passe robuste… Toutes ces règles de bonne conduite informatique, largement diffusées par l’ANSSI, sont autant de protections simples à mettre en place, à l’instar d’un vaccin individuel au service de la sécurité sanitaire de tous.

Conserver un temps d’avance.

Cet engagement des organisations et de tous ceux qui les composent se doit d’être toujours renouvelé, dans la durée. Sur la route du digital, nous avançons à grande vitesse, et les attaques informatiques ont trop souvent un temps d’avance. Par exemple, les attaquants commencent à utiliser des technologies d’Intelligence Artificielle pour augmenter leur potentiel de nuisance à moindre coût. Nous pensons qu’assez rapidement ils utiliseront l’IA pour sélectionner leurs cibles, optimiser leurs capacités d’intrusion, déterminer les meilleures failles à exploiter, ou passer autant que possible sous le radar des systèmes de détection. Ces nouvelles techniques nécessiteront à leur tour de nouvelles défenses. C’est pour cette raison que le déploiement de technologies d’Intelligence Artificielle et de Big Data que nous effectuons chez Thales, au service de la cybersécurité de nos clients, est nécessaire et important.

En la matière, la veille doit être permanente ; les technologies, de pointe ; les talents, d’excellence. La cybersécurité est l’oxygène de toute transformation numérique : c’est grâce à elle que le digital restera une source d’opportunités et un espace de liberté, dans lequel nous pouvons avoir pleinement confiance.

Source : APO Group pour JMI