Le FIC, rendez-vous incontournable de la cybersécurité

Un argument battu en brèche lors de ces deux jours. Ivan Kwiatowski est chercheur au sein du GReAT (Global research and analyst team) du Kaspersky Lab. Ils sont, comme lui, une quarantaine dans le monde à enquêter sur les grandes menaces et à observer les méthodologies d’attaques des cybercriminels.

De plus en plus organisés, de plus en plus nombreux, ils peuvent emprunter toutes sortes de voies pour parvenir à leurs fins.

Quelques fois en s’installant et en pré-positionnant des entrées plusieurs mois avant le déclenchement d’une opération.

Les calculs traditionnels du risque font appel à des grandeurs exprimées en termes de fréquence et de gravité de l’événement redouté. Comment prévenir (et parfois indemniser) un événement dont l’entreprise serait victime par rebonds ou simplement par utilisation de ses ressources ?

Les attaques WannaCry et NotPetya en 2017 ont été des illustrations. Dans certains cas, l’attaque n’a été qu’anecdotique et a touché quelques postes. Dans d’autres, elle a été estimée à plusieurs centaines de millions d’euros. Saint-Gobain aurait perdu 250 millions d’euros sur ses ventes et 80 millions d’euros en perte d’exploitation. Et il n’était même pas visé !

Le cabinet Bessé, conseil en assurance, fondé dans les années 1960, compte 400 personnes et 900 millions euros de prime placés sur le marché. Il s’est particulièrement intéressé au risque numérique. Pour ses dirigeants, il s’agit d’un risque complexe qu’il faut d’abord aborder du point de vue du client et non forcément sous l’angle statistique – car le recul et les données manquent cruellement.

Le marché de la gestion d’incidents est particulièrement florissant. Il s’agit de vendre des procédures, de la matière grise et du conseil. Voire dans certains cas de l’ « incentive ».

IBM, poids-lourd de l’informatique tire son épingle du jeu avec de gros moyens destinés à des grandes entreprises. Hugo Madeux est directeur des activités cybersécurité d’IBM. L’année dernière l’entreprise a inauguré à Lille un centre de réponse à incident qui à terme devrait accueillir 100 personnes.

En plus de services de détection et de renseignements sur les menaces avancées, l’entreprise propose aux COMEX de grandes entreprises l’immersion dans son centre de crise installé à son siège de Boston (États-Unis).

Là peut y être reproduite à l’échelle 1 une attaque cyber réaliste (voire reproduire une attaque passée) afin de sensibiliser les différents intervenants. Et les entraîner. La modélisation plus vraie que nature permet de former les équipes dirigeantes sur des scénarios réels développés par la plateforme Resilient (lien en anglais).

Aussi faut-il évangéliser, car toutes les entreprises ne peuvent pas se permettre le voyage. La solution réside pour partie dans l’application des bonnes pratiques et la formation des utilisateurs, répètent de concert l’Anssi et le ministère de la Défense.

Ce dernier voit dans la sécurité numérique un enjeu de souveraineté nationale. Ainsi la semaine précédant l’événement, Florence Parly annonçait le recrutement de 1 000 cybers combattants supplémentaires. Ils viendront s’ajouter aux quelques 3 000 que l’institution compte déjà.

Son stand sur place était l’occasion de réaffirmer son ambition, quitte à entrer en concurrence avec ses homologues de l’Anssi, eux aussi à la recherche de nouveaux talents.

Dans cette course, l’armée a mis en avant son partenariat avec la plateforme de Bug Bounty YesWeHack qui organisait pour la première fois sur le FIC un événement dédié au hacking. En 2017, nous avions rencontré le fondateur de la plateforme YesWeHack.

Les autorités sont parfois sommées de s’expliquer vis-à-vis de risque avéré ou non. « L’affaire des antennes 5G »  du chinois Huawei étaient sur toutes les lèvres.

Le constructeur avait d’ailleurs un stand où il proposait ses smartphones au marché professionnel. « Difficile pour un constructeur de se défendre d’accusations gratuites. Comment voulez-vous prouver que vous n’espionnez pas ? Si vous ne collectez rien, vous n’avez rien à produire ? » confiait en aparté un industriel qui a connu les mêmes revers par le passé.

Le fabricant chinois a toujours nié ces accusations et les intimidations américaines sur le sujet laissent planer un doute sur la réalité de la menace (lien en anglais).

La confiance est au cœur de l’économie numérique si bien que plusieurs acteurs accentuent cet aspect pour tirer leur épingle du jeu.

Depuis plusieurs années, l’association Hexatrust rassemble des PME et ETI autour de la bannière tricolore et depuis peu sur l’idée qu’il faut préserver la souveraineté européenne en la matière. 51 entreprises sont adhérentes et depuis peu l’association propose un guichet unique pour accéder à l’écosystème.

Plusieurs administrations s’inquiètent de l’omniprésence de géants américains. Mais rares sont les champions logiciels et encore moins les leaders matériels. En France comme en Europe. Quelques exceptions existent pourtant. Qwant, le moteur de recherche qui veut concurrencer Google et respecter la vie privée des internautes fait exception.

Il était présent notamment sur une Tesla sérigraphiée à son nom et qui pouvait être hackée (notre photo).

Pour beaucoup, le Cloud Act a été perçu comme une réponse au RGPD. Le texte (dont l’acronyme signifie Clarifyng Lawful Overseas Use of Data Act) permet ainsi aux agences américaines d’accéder aux données stockées sur des serveurs ou par des entreprises américaines dans le cadre d’une procédure pénale.

La gendarmerie nationale annonçait ainsi, pendant le FIC, le déploiement de 77 000 PC sous système d’exploitation Linux Ubuntu. Une solution ouverte qui a été adaptée aux contraintes terrain. Dans le panel de fournisseurs, on retrouve l’éditeur européen de solutions logicielles Eset qui sécurise l’ensemble des postes.

Benoît Gunemwald, expert en cybersécurité Eset France, explique la bascule progressive du marché vers des offres centrées sur le renseignement et l’anticipation de la menace. « Nous déployons une Threat Intelligence à travers quatre volets : stratégique, tactique, opérationnel et technique. La tactique, c’est identifier les groupes d’attaquants et leurs modes opératoires. La technique, c’est l’analyse de flux et la recherche de données. Notamment dans les remontées de notre antivirus. L’opérationnel est un mix entre l’anticipation et la préparation aux attaques (Early warning system). Enfin la stratégie, c’est comment faire le lien entre ces différents domaines pour qu’ils soient pertinents pour l’entreprise. »

Si le sujet gagne en popularité, il est encore loin d’être clos.