#Atelier574 – « Les enjeux de la cybersécurité » par Guy-Philippe Goldstein.

Guy-Philippe Goldstein est intervenant à l’Ecole de Guerre Economique, spécialiste de la cyber-guerre.

Au 574, le siège parisien de SNCF Digital situé à Saint-Denis (93), soit à environ 9602 kilomètres de Shenzhen en Chine, où est situé le siège social de l’entreprise Huawei.

Mardi 29 septembre 2020, soit 118 ans jour pour jour après le décès d’Émile Zola, romancier et journaliste français.

La fin des années 2000 marque le grand début de l’âge des cyber-attaques, à la fois d’origine criminelle mais aussi étatique. « Le terrain de conflit aujourd’hui, c’est l’entreprise. Non seulement on a des groupes cyber-criminels en face de nous, mais on a aussi des états-nations » précise Guy-Philippe Goldstein. « À la fin des années 2000, la révolution est faite, nous sommes entrés dans l’ère digitale, c’est une grande transformation de l’aventure humaine. Dix ans plus tard, sept des dix plus grandes entreprises du monde appartiennent au secteur du numérique. La richesse à conquérir aujourd’hui, c’est le numérique. La bataille va donc se jouer là. Et la perspective ouverte ici ne va pas s’arrêter, elle va au contraire s’accélérer. L’expression de la violence dans cette civilisation numérique va être essentiellement digitale » ajoute-t-il.

En conséquence, la cybersécurité en 2020 représente un coût de 150 milliards de dollars, avec un taux de croissance moyen de 15% par an. Pourtant, il subsiste toujours plus de vulnérabilité, pourquoi alors n’arrive-t-on pas à contenir ce problème ?

Les facteurs de cette croissance des cyber-attaques s’expliquent sur plusieurs niveaux. Au niveau du collaborateur, il existe un problème de risque humain. « Nous sommes tous collaborateurs de l’entreprise, donc tous des cibles potentielles de cyber-attaques. Il faut donc tous faire attention à ne pas cliquer quand on a reçu un email, à ne pas utiliser des mots de passe trop simples, à savoir chiffrer des informations confidentielles… » explique-t-il.

Au niveau de l’IT, la question du patch management, – lorsque l’on met à jour des systèmes-, est primordiale. Par exemple, plus de 99% des attaques ont utilisé des vulnérabilités qui avaient plus de six mois. Cela veut dire que si l’utilisateur avait fait une bonne mise à jour, une grande partie de ces attaques auraient été inopérantes.

Enfin, au niveau de la Direction Générale, la réactivité en cas d’attaque doit être grande. Par exemple, lorsque Target a été attaqué en décembre 2013, l’entreprise a vu l’attaque en temps et en heure, sauf que la direction n’a pas réagi en temps et en heure. En conséquence, le CA a licencié le PDG et le Directeur informatique.

Au niveau global, une cyber-attaque peut coûter jusqu’à 10 milliards de dollars, c’est l’équivalent d’un ouragan de bonne taille aux États-Unis. Au niveau de l’entreprise, dans un tiers des cas il n’y a pas d’impact, mais dans deux tiers des cas, l’impact est très fort – au bout d’un mois, on constate une baisse de la valeur patrimoniale de l’entreprise d’environ 10%. 23% des entreprises arrivent à rebondir, 40% des entreprises sont non-résilientes et finissent à -20%. « Ce qui est en jeu, c’est aussi la réputation de l’entreprise auprès de ses clients et de ses employés, ce qui peut avoir un impact fort sur le cours en bourse », ajoute Guy-Philippe Goldstein.

« On parle souvent de solutions magiques, telles que l’intelligence artificielle, la blockchain, ou encore les ordinateurs quantiques. Pour moi, ce ne sont pas des solutions, car ces technologies peuvent aider à la défense, mais elles peuvent aussi aider l’attaque » explique-t-il. Comment faire face à la menace alors ? Une des approches est de comprendre pourquoi, malgré les initiatives prises, la menace évolue au même rythme que la défense. « Un point clé, c’est que les deux apprennent chacun l’un de l’autre. Il faut donc réfléchir à aller plus loin dans les techniques de détection. A côté de cela, il faut repenser notre capacité à dialoguer avec de multiples partenaires pour obtenir des informations, car la circulation des informations est nécessaire. Et puis, il faut également réfléchir à une organisation résiliente, qui puisse d’une part réagir pendant la crise, avoir des éléments de redondance quand le choc arrive, mais aussi avoir une capacité low-tech pour continuer à communiquer pendant la crise. Enfin, il faut aussi préparer la crise en amont, en se testant, en faisant des exercices de simulation par exemple », précise-t-il.

« SNCF, dans ses objectifs, a une ambition industrielle et commerciale. Pour cela, il faut de la confiance, peu importe le service s’il n’est pas sûr, il est déjà trop cher » explique Gilles Berthelot, RSSI Groupe SNCF.

Pour prévenir et contrer les cyber-attaques, la SNCF a mis en place une équipe, qui travaille sur des scénarios offensifs pour éprouver les vulnérabilités afin faite d’optimiser les temps de réaction à la résolution des attaques.

La SNCF est également dans une démarche de régénération des systèmes. Cela sera la clé de voûte pour avoir la sécurité fiable, mais aussi pour pouvoir saisir les opportunités du numérique.

«Il faut aussi absolument qu’au niveau comportemental, on accompagne les évolutions technologiques en formant les utilisateurs aux cybers menaces. Face à ces nouvelles menaces, il faut donc acquérir une cyber-vigilance» conclut-il.