On Oz
Comment l’acceptation et la normalisation du risque cyber ont conduit à une mutation opérationnelle à tous les échelons ?
18/01/2018

Comment l’acceptation et la normalisation du risque cyber ont conduit à une mutation opérationnelle à tous les échelons ?

S’il est indéniable que les trois dernières années ont contribué à réveiller les consciences des médias, des entreprises et commencé à interpeller le grand public sur toutes les questions de protection des systèmes, des réseaux et des données, s’organiser pour en tirer les leçons et produire des résultats ne se fait pas en un claquement de doigts. Néanmoins, les conditions d’introduction du risque cyber à tous les échelons sont aujourd’hui connues mais pas toujours faciles à mettre en place.

La France, dont la position pro active en cybersécurité est désormais connue, s’est consacrée à graver dans le marbre les règles de sécurité nécessaires au bon fonctionnement et à la sécurité de sa Nation. Concernés, les opérateurs d’importance vitale du secteur public comme du secteur privé ont poursuivi ou débuté leurs investissements en cybersécurité. Ce « placage » législatif a propulsé le sujet dans les hautes sphères des directions générales. Mais, le sujet reste tabou. La transparence exigée par la loi et la façon dont les organisations ont à rendre des comptes est parfois sources de réserves de leur part. Pourtant alors que les cybercriminels ne se gênent pas pour apprendre des uns et des autres, les entreprises auraient tout intérêt à collaborer, et à se communiquer des informations essentielles. Facile à dire, mais ce n’est pas si simple d’étaler ses vulnérabilités au grand jour.

Une première solution a été trouvée grâce à l’ANSSI, en concevant un modèle pyramidal d’échanges d’informations où les entreprises peuvent faire remonter en toute confidentialité des éléments à l’ANSSI et réciproquement, et où l’Agence se charge d’agréger les indices de compromission pour les repartager aux cibles potentielles.

La remontée et l’échange d’informations, le partage des tâches en cyber sécurité est une problématique dont les enjeux ne cessent de croître, y compris au niveau européen où les États-membres sentent bien la nécessité de collaborer.

Voilà la grande équation à laquelle la profession tente de faire face : alors que le secteur accuse une pénurie de profils surtout techniques, comment l’entreprise peut au mieux s’organiser ? Comment automatiser, comment faire faire des tâches à des systèmes intelligents ? Comment décortiquer la menace grâce à des intelligences artificielles pour mieux les comprendre, les devancer et libérer du temps aux analystes et aux travaux que seuls les humains peuvent assurer ? Comment aussi, aujourd’hui, le RSSI peut-il s’organiser ? Comment peut-il rendre les chantiers sécurité qui le nécessitent les plus collaboratifs possibles avec les métiers, les juristes, les RH, le marketing pour gagner en temps et en efficacité ? Comment inscrire dans les gestions de projet des processus de security by design et de méthodologie DevSecOps pour que ne soit plus jamais développé un service ou un produit sans sécurité dès sa conception et sans une collaboration des équipes de développement avec les métiers ?

C’est à toutes ces questions que fait face le monde de la cybersécurité, dont les acteurs doivent avancer main dans la main. Sans R&D réelle et appuyée, soutenue économiquement par l’État pour développer des technologies utiles, les organisations ne pourront pas optimiser le travail des individus, inscrire des processus pérennes. De la même façon, si les entreprises ne déroulent pas de stratégie globale pour leur transformation numérique incluant de fait la cybersécurité, il sera difficile d’intégrer des technologies de pointe qui exigeront une organisation parfaite pour tirer le meilleur d’elles-mêmes. Les pessimistes diront que c’est peine perdue, les optimistes diront que nous vivons une période charnière où les pions de l’échiquier sont en train de se mettre en place, avec l’émergence de solutions de Threat intelligence et de solutions qui font la part belle notamment au machine learning, à l’analyse comportementale, ou encore au renseignement humain valorisé. Échec et mat.

Nos autres billets d'humeur...
19/01/2018

L’Europe, le nouvel échiquier de la sécurité numérique

L’action cyber sécurité européenne sur un plan opérationnel a longtemps consisté en la tenue d’exercices et de simulations de crise cyber. Aujourd’hui, portée par les politiques...

17/01/2018

Du collaborateur à l’individu… Comment la façon de sensibiliser et de former à la sécurité numérique a complètement muté ?

Il y a encore une dizaine d’années, former ses collaborateurs à la cybersécurité, revenait pour l’entreprise à faire une présentation Powerpoint des normes ISO 27001 et 27002. C...

13/10/2017

Start-up, Scale-up, Sec-up ?

En ce Mois Européen de la Cybersécurité, 4 grandes actions ont été retenues et la première d’entre elles est « Participez à la sécurité du numérique de votre entreprise ». Vaste...

05/10/2017

Le Top management et les administrateurs : Je t’aime moi non plus

> La protection du patrimoine informationnel d’une entreprise dépend largement du facteur humain bien plus que de potentielles défaillances technologiques. > D’origine acciden...

05/10/2017

Portrait-robot du cybercriminel dans le deep web

> Le renseignement impose de connaître les individus, les groupes, leurs relations, leurs connaissance et leurs objectifs et cibles. > Le niveau 0 regroupe les vantards ininté...

05/10/2017

Comment gagner du temps au quotidien ?

> L’automatisation grâce à des logiciels autonomes permet un traitement de données, en continu, sans erreur de traitement. > Elle permet de gagner du temps et de libérer des t...

05/10/2017

La sensibilisation par l’exemple : CQFD

> L’ANSSI a réalisé un guide de règles de sécurité, à l’attention des PME, fait en partenariat avec la CPME. > La Hack Academy, le MOOC #SecNumacadémie sont des exemples de se...

05/10/2017

L'Internet de demain, un monde d'applications ?

> Qu’il s’agisse de se connecter à sa banque en ligne ou de faire des achats sur Internet, l’accès aux applications et aux données confidentielles est aujourd’hui indispensable...