Tendances, risques et stratégies de cybersécurité pour 2020 – Technologie

Alors, bonjour à toutes et à tous, bien sûr. Donc bienvenue dans l'atelier cyber tendance risque stratégie pour 2020. Donc finalement, on va prendre 24 heures au moins pour parler de tout ça.

Et non, nous n'avons que 50 minutes, puisqu'il reste quand même 10 minutes de questions pour vous, n'est-ce pas ? Je vais un peu vous expliquer, ça va aller assez vite, dans le sens où on a bien préparé ça avec Philippe, Alexis, Ali, Algis, Erwan. Et chacun va un peu commencer avec sa thématique.

Donc on a divisé la thématique en trois points. En trois points, voilà, je vais un peu reculer. On va commencer par les aspects management humain et de l'organisation.

Parce que voilà, forcément, à partir du moment où on est dans des risques, on est aussi lié aux humains. On parlera aussi de la connexion avec la réalité physique. Donc que ces menaces peuvent finalement amener des dommages physiques assez conséquents.

On parlera bien sûr de l'informatique et du monde virtuel. Et puis, on abordera finalement la symbiose des trois thématiques qu'on a mis, humain plus physique plus virtuel, qui composent un peu notre monde actuel et les menaces. Alors on va commencer avec Philippe.

Philippe, si tu peux te présenter en quelques mots. Et Philippe va nous parler des aspects management et notamment des socs et des alliances qui se font entre des secteurs qui, avant, ne travaillaient pas toujours ensemble. Oui, c'est à toi.

Voilà. Bonjour à toutes et à tous. J'espère que vous avez eu un bon lunch ce midi et que cet après-midi, on ne va pas dormir.

Voilà. Alors mon nom est Philippe Wanson. Je fais partie d'une entreprise basée à Liège qui s'appelle Network Research Belgium, NRB, et qui est active dans le domaine des managed services et du conseil.

Alors, en ce qui concerne le management, donc le contexte de la cyber sécurité et de tout ce qui tourne autour, je commencerai par dire qu'une citation de Jamie Shee de l'OTAN, à savoir que c'est la première fois dans l'histoire qu'un supplément de technologie ne nous rend pas plus sécurisés. Autrement dit, aujourd'hui, nous avons de plus en plus d'objets interconnectés et ces objets nous rendent de plus en plus insécurs, insécurisés. Donc c'est un point important et il faut le prendre en compte.

D'autre part, nous observons également que le nombre d'attaques augmente de jour en jour et que la complexité de ces attaques est aussi en augmentation. Donc par rapport à cela, je pense qu'on peut tous dire qu'effectivement, nous serons confrontés de plus en plus à des problèmes de sécurité dans le domaine de la gestion de l'information. Voilà, je ne sais pas, une petite question parmi vous.

Qui d'entre vous a déjà subi une attaque en pur et en dur, une attaque de sécurité ? Aujourd'hui ? Voilà.

Donc effectivement, quelques personnes. Et qui parmi vous pense que dans le futur, vous subirez sans doute une attaque dans les prochaines années ? Ah ben voilà, donc tout le monde est d'accord pour voir l'explosion, donc la croissance de la menace.

Et donc c'est effectivement un aspect à prendre en compte aujourd'hui, parce que ces attaques sont non seulement de plus en plus nombreuses et dangereuses, mais également de plus en plus massives et globales. Voilà, un dernier élément pour situer le contexte. C'est un élément mentionné par le CTO de Cisco, qui mentionne que nous estimons aujourd'hui à seulement 1% les objets qui pourraient avoir une adresse IP, qui en ont une, effectivement.

Alors, nous aimons dire que 99% du monde est aujourd'hui endormi. Alors qu'à vous d'imaginer ce qui pourrait se produire quand les 99% restants seront également réveillés, et donc seront équipés, seront interconnectés. Je pense que ça situe également le contexte de se dire qu'aujourd'hui, on n'est qu'au début, au balbutiement d'une croissance de la menace au niveau planétaire. — Alors justement, au niveau des menaces, on a un peu notre champion de la statistique, qui est Alexis, qui va un peu nous parler du rapport de Vérison, si tu veux bien rebondir. — Bonjour.

Alors mon nom est Alexis Rechorn. Je travaille dans la sécurité de l'information, dans le vie de la sécurité de l'information, depuis presque 25 ans maintenant. Je suis associé dans une entreprise qui s'appelle Abbey Advisor en Suisse.

On a consultance en sécurité en continuité pour les gouvernements, les différents gouvernements en Suisse, des entreprises privées, des banques. Et au niveau des chiffres, il y a pas mal d'informations qui sont assez intéressantes, parce qu'on a des fois une idée qui est peut-être préconçue de quels sont les réels problèmes de sécurité et les réels impacts. Le premier point...

On vient d'aller nous parler du rapport Vérison, qui est un rapport qui sort chaque année, qui nous donne un relevé des attaques qui ont eu lieu sur l'année précédente, qui nous permet de voir une évolution des tendances et comment elles se passent. La première chose qu'en dehors de tous ces chiffres, que je tiendrai à quand même rappeler, c'est que quand on fait la continuité de la sécurité, on pense toujours en termes de risques et en termes d'impact. Et la réalité des impacts, elle est souvent très, très différente de ce qu'on imagine.

Je veux dire par là que si vous regardez des grandes brèches comme on en a eu aux États-Unis, comme par exemple Target, vous verrez que pendant la brèche, pendant que l'attaque, quand on l'a réalisé, disons, quand l'impact est arrivé, on a eu une baisse du cours de l'action qui a amené à la démission du CIO et puis du CIO par la suite. Mais si vous regardez les chiffres, vous verrez que six mois plus tard, le cours de l'action remonte là où il était et continue de draper. Souvent, les impacts, même liés à des pertes importantes de données, ont en fin de compte un impact financier sur l'entreprise qui est beaucoup plus faible que ce qu'on peut imaginer.

En gardant ça en tête, ce qui est intéressant à voir, c'est les tendances actuelles. Et dans ces tendances, on voit une chose, c'est que la majorité des entreprises qui sont touchées aujourd'hui, ça n'a rien de très nouveau, ce sont toujours des PME. Probablement simplement par manque de moyens.

Le domaine de la santé qui est aussi très touché, principalement les hôpitaux, on a vu beaucoup d'attaques de type ransomware sur les hôpitaux, concerne à peu près 15% des attaques aujourd'hui. Et 16% des entités touchées viennent du secteur public, gouvernemental. Maintenant, en termes d'attaques, disons que les moyens utilisés changent.

Et les moyens utilisés changent parce que les acteurs changent. Il y a quelques années, on insistait énormément sur le fait que quelques personnes derrière leur ordinateur, avec quelques moyens techniques, l'image un peu d'épinal qu'on a du hacker, étaient capables de pénétrer dans un système et de commettre des dégâts réparables. En fait, on se rend compte aujourd'hui que non seulement, contrairement à ce que dit souvent l'adage, 70% ou 70% des attaques viennent de l'extérieur, ne viennent pas de l'intérieur, ça devient bien clair, et surtout sont en majorité constituées par des groupes criminelles.

Et c'est ça qui a énormément changé aujourd'hui. La majorité des attaques viennent d'organisations qui se sont dotées de moyens, qui ont des moyens financiers importants, qui se sont dotées de moyens techniques afin de pouvoir commettre des attaques qui, financièrement, sont intéressantes. Donc les motivations principales sont des motivations financières.

Et beaucoup de ces organisations mafieuses, une attaque vers une entreprise peut se révéler très, très juteuse. beaucoup plus intéressante d'ailleurs que les commerces de drogue ou les commerces traditionnels qu'ont les groupes criminels. D'abord parce qu'ils prennent beaucoup, beaucoup moins de risques et l'investissement est moindre.

Donc on se rend compte que sur la plupart des grandes attaques, il a fallu entre 5 et 7 mois de recherche par le groupe criminel avant de lancer l'attaque. Et qu'il faut malheureusement souvent entre 5 et 6 mois pour les entreprises qui sont touchées pour se rendre compte qu'elles ont été touchées. Ce qui est évidemment bien dramatique.

Donc il faut garder en tête que les chiffres que nous avons ici sont les chiffres qui viennent principalement des Etats-Unis qui imposent beaucoup de transparence. Comme c'est le cas maintenant aussi en Europe. Donc on aura probablement plus de chiffres intéressants.

Il reste encore beaucoup d'attaques qui ne sont pas connues ou qui ne sont pas révélées parce que évidemment les entreprises ou les gouvernements ne veulent pas transmettre ce type d'informations pour des questions d'image. Voilà. Je ne sais pas si...

Oui, alors on peut justement par rapport à toutes ces attaques rebondir sur les impacts. Et là, Ali nous a préparé quelque chose sur les cyber-risques et notamment liés à la sécurité physique. Merci.

Bonjour à toutes et à tous. Donc je me présente. Je suis Ali Laribi.

Je suis un ingénieur IT. Et je suis d'une expérience en fait variée entre la physical security, l'information security et la cyber security et tout ce qui est continuité des activités et gestion d'incidents. Donc actuellement, je me suis spécialiste vers la convergence entre l'information security et le physical security.

Donc, de point de vue cyber-menace, actuellement, la sécurité physique est une composante essentielle pour la sécurité de l'information si on parle de la déécité, disponibilité, intégrité, confidentialité et traçabilité. Mais aussi, c'est une composante essentielle aussi pour la sécurité des biens et la sécurité des personnes. Donc, si on parle des actes de malvaillance à titre d'exemple, donc vol, vandalisme, terrorisme, etc.

Donc, il y a deux tranchants, en fait, si on parle de la sécurité physique. Donc, aujourd'hui, il y a ce qu'on appelle sujet des objets connectés. On parle de confidentialité, intégrité, availability et aussi de safety parce qu'il y a un danger, en fait, sur la vie des personnes.

Donc, avec l'évolution technologique aussi, donc aujourd'hui, si on parle de la sécurité physique, donc on parle des systèmes intelligents, on parle de la vidéoprotection intelligente, on parle de PSIM, Physical Security Information Management, on parle de reconnaissance faciale, on parle de détection périmétrique via des caméras thermiques ou des caméras intelligentes. Donc, aussi, on parle de la virtualisation au niveau de la vidéosurveillance, on parle de l'enregistrement ou le stockage vidéo dans le cloud. Donc, il y a pas mal de sujets qui sont entre la cybersécurité et la sécurité physique, donc, en plein évolution et toujours, donc, comme il y a évolution en termes de évolution technologique, entre autres, il y a aussi des menaces qui sont nouvelles et des vulnérabilités aussi qui sont nouvelles.

Donc, pour aller plus loin, donc, je vais parler de PPS, Physical Protection System, qui englobe à la fois la technologie, l'humain et les procédures. Donc, il y a pas mal, en fait, des menaces et des vulnérabilités si on parle de, par exemple, l'humain. Donc, l'humain, aujourd'hui, par exemple, s'il y a des manques de sensibilisation ou des manques de montée en compétence, etc.

Donc, automatiquement, il y a des vulnérabilités. Aussi, pour les procédures, si, par exemple, il y a manque de procédures ou manque de l'application et le respect des procédures, automatiquement, aussi, donc, on ne connaît pas qui fait quoi et comment. Et aussi, la technologie.

Donc, il y a pas mal des failles. Donc, aujourd'hui, pour la sécurité physique et la sécurité de l'information, donc, presque, c'est un même principe. Donc, on parle de la protection en profondeur, par exemple, pour la sécurité physique.

Donc, il y a ce qu'on appelle la sécurité périphérique, périmétrique, volumétrique et ponctuelle. Donc, c'est la même des couches pour la sécurité de l'information. Donc, on parle des principaux, des principales fonctions de la sécurité physique.

On parle de les trois fonctions principales, détection, retardement et réponse. Donc, c'est pareil pour la sécurité de l'information. Donc, il y a pas mal, en fait, des sujets qui ont relation entre les deux.

Et aujourd'hui, les menaces, les cybermenaces, donc, impactent de près, donc, à la fois la sécurité de l'information et aussi la sécurité des personnes et des biens. Est-ce que tu peux un peu nous donner un exemple avec les ransomware liés aux caméras et ensuite de nous parler de l'OMEA, en fait ? Donc, je donne un exemple.

Donc, un ransomware sur les caméras de surveillance de la ville de Washington. Donc, une semaine avant l'investiture de Trump qui a eu lieu le 20 janvier 2017. Donc, ici, à part la disponibilité de l'information et la disponibilité de des vidéos, on peut parler de la sécurité même des villes.

Donc, si on parle de la vidéoprotection urbaine, on connaît ce qu'on appelle les CSU, les centres de supervision urbains. Donc, il y a un pacte en fait sur la malveillance. Donc, s'il y en a, par exemple, un acte de malveillance.

Donc, et on connaît l'importance, par exemple, des CSU. en termes de coordination, en termes de commandement, etc. Surtout avec les forces spéciales, avec les polices, avec les pompiers, etc.

Avec les cellules de crise, en cas des plans d'urgence, un déclenchement des plans d'urgence, etc. Donc, avec aussi les impacts liés à la disponibilité de l'information. Voilà.

Merci beaucoup. Tu as notamment parlé de la formation. J'ai entendu aussi les procédures.

Et là, j'aurais voulu demander à Agis qui nous parle un petit peu des normes qui peuvent finalement nous aider à se préparer pour contrer ce genre de menaces. Bonjour. Je m'appelle Agis Kibirixis.

Donc, pour ceux qui se posent la question, c'est d'origine lituanienne. Je suis basé au Québec, à Montréal. Et je suis consultant et généraliste dans le domaine de la sécurité informatique, de l'information et de la cybersécurité.

Donc, bon, tout le monde connaît PECB. On a le logo sur chaque un de nos petits cartons qui sont accrochés autour de notre coup. Donc, on connaît bien que PECB permet autre chose ou primairement ils sont impliqués au niveau des normes ISO.

Donc, certainement au niveau de la cybersécurité, le 17-0-32, les 0-34-001 pour le système de management, on le connaît, on le connaît bien ou on est en mode d'apprentissage. Moi, je suis toujours en mode d'apprentissage. Mais voilà.

Donc, on a une norme ISO généralement, habituellement, ça vient des initiatives individuelles, souvent gouvernementales, parfois marchées. La norme ISO 27001 et son copain 27002 qui est le contrôle ont les humbles origines de l'Angleterre, du Royaume-Uni ou de plus ou moins unis ces jours-ci. mais voilà, donc, du British Standards Institute qui avait leur propre norme et ça grandit en consensus avec les gens qui étaient intéressés et se réunissent.

Il y a les gros débats, les projets d'unification ou de standardisation, ça peut être parfois très intéressant au niveau des débats d'experts qui doivent être faits pour finalement aboutir avec quelque chose que, sur lequel on rejouit le consensus. Tout le monde doit être plus ou moins d'accord ou quelqu'un doit gagner le débat et au bout de la ligne on introduit ces informations-là dans les normes. Et c'est un bel exercice, c'est quelque chose qui aide à unifier les efforts et tout ça.

Mais il y en a d'autres. Donc, à part des initiatives qui sont faites par des organisations mondiales comme ISO, il y en a d'autres qui sont effectuées au niveau légal puis on connaît très bien ce qui se passe maintenant au niveau du respect de la vie privée ici en Europe. Il y a aussi les cadres réglementaires qui sont en place et peut-être un bon exemple c'est celui du PCI donc au niveau de comment doivent être traités les numéros de carte de crédit et aussi il y a les autres initiatives sur lesquelles je toucherai dans une seconde donc celles qui sont sectorielles. et chacune de ces initiatives-là pousse les autres à améliorer leur sort et à prendre un pas de recul et de regarder voir si on couvre l'entièreté de ce qu'on devrait couvrir et ce qui se passe dans le domaine sectoriel est très intéressant ces jours-ci.

En Amérique du Nord donc j'ai mis du Québec du Canada ça fait longtemps qu'on voit ce qui est des initiatives qui sont effectuées par le le Big Four dans le domaine financier comptabilité donc les Ernst & Young et les Deloitte et je n'oublierai pas les autres les cas PMG et le PricewaterhouseCoopers pour ceux qui seraient ici qui viennent d'une de ces quatre-là je ne vais pas vous oublier eux autres ils ont un cadre et ils ont des normes aussi pour faire des des audits au niveau de la sécurité de l'information qui est orienté un peu différemment eux autres sont très évolutifs ce qui a commencé les humbles au début avec le SAS 70 maintenant on est rendu dans le IS AE 3402 donc les les normes de lesquelles les audits doivent être effectués donc je dirais peut-être sur la dimension X ensuite sur la dimension Y qu'on a les capacités de de pouvoir démontrer notre niveau de de de de de conformité ça c'est avec des rapports de type comme on appelle les SOC 1 SOC 2 SOC 3 donc qui ressemblent énormément à ce qui se passe avec comment on effectue un Audi ISO 270001 ou d'autres audits qui sont sur des systèmes de management montrez dites ce que vous faites donc avec votre documentation qui équivaut au SOC 1 ou un snapshot une photo dans le temps et ensuite le SOC 2 faites ce que vous dites et démontrez-nous pendant une période de temps que vous rencontrez les objectifs qui sont décrits dans la documentation ensuite bien là le SOC 3 c'est peut-être un peu plus réduit et c'est de la documentation qui est communiquée ouvertement à leur clientèle donc ce qui est intéressant avec ce cadre-là qui est effectué par le Big Four et leurs copains dans le domaine d'Audi financier c'est que ça a évolué au-delà d'une vérification de contrôle et maintenant c'est rendu avec la méthode AT101 qu'ils prennent un pas de recul ou deux pas de recul et ils effectuent des tests de vraisemblance dans les Audis de type ISO 27001 ou 9001 ou autre il n'y a pas de direction très claire qui est communiquée de prendre ces pas de recul-là et de voir et de déterminer que l'auditeur est obligé de regarder pour dire voici l'ensemble des contrôles voici votre système de gestion est-ce qu'il est complet avec le modèle qui est utilisé dans les boîtes comptables ils ont fait cette évolution-là et elle est très intéressante merci je voudrais qu'on retourne avant d'aller à 2020 donc ça va bientôt être ton tour je voudrais qu'on retourne avec Philippe dans ce qu'il a appelé la trip LX justement sur un phénomène qui est peut-être un peu nouveau chez nous mais qui existait déjà sûrement dans les pays anglo-saxons oui alors effectivement j'ai eu l'occasion cette année d'analyser d'étudier un aspect de la cyber-sécurité à savoir comment organiser la réaction je dirais par rapport à la menace qui est croissante alors on a parlé d'initiatives sectorielles ici Algis a mentionné oui il existe des initiatives sectorielles importantes qui génèrent des solutions ici je me suis penché sur un autre aspect des choses qui touche à justement l'initiative intersectorielle et internationale l'objectif étant de réunir les trois composantes principales que sont le public donc les gouvernements les états le privé qui sont l'industrie et la production d'outils et de méthodologie et l'académique qui est en général la source de la recherche et de la création de nouvelles méthodologies et donc c'est par une association de ces trois secteurs public gouvernement privé donc industrie et académique pour la recherche que l'on va pouvoir réellement anticiper et dépasser je dirais enfin espérer dépasser la menace et donc les attaques en matière de maturité sur le marché pour contrer ces menaces il faut savoir qu'aujourd'hui en général on est dans une situation j'ai l'impression plus de réaction de réactivité et donc on a toujours une guerre de retard par rapport aux attaquants les attaquants aujourd'hui ne sont plus des étudiants dans leur garage ou dans le sous-sol de la maison qui passent un peu de leur temps libre pour lancer des attaques non ce sont des organisations bien équipées ayant les moyens financiers et qui même parfois sont supportées par des états donc je pense que à ce niveau là une réaction proportionnée est importante et donc ce n'est pas une entreprise ce n'est pas chacun pour soi qui doit pouvoir lancer une réaction par rapport à cela mais c'est une initiative conjointe de différents secteurs qui doit pouvoir amener des solutions sur le marché on en trouve aujourd'hui des embryons un peu partout j'ai pu voir notamment dans les pays qui entourent la Belgique donc en France aux Pays-Bas certains exemples concrets d'initiatives ici en Belgique nous avons une organisation également qui s'appelle la Cyber Security Coalition Alliance qui certes touche principalement aujourd'hui au niveau de la sensibilisation et la compréhension des enjeux mais qui agit dans ce sens là donc la Cyber Security Coalition Alliance est formée de plus d'une cinquantaine d'acteurs qui proviennent des trois secteurs donc du gouvernement en réunissant des entités telles que la Défense telles que le Cyber Security Belgique mais aussi des entreprises privées et donc NRB nous y sommes présents via ETIAS notre pouvoir contrôleur et également via le secteur académique donc différentes universités en font partie alors l'intérêt c'est que les différents acteurs se réunissent discutent se mettent d'accord sur des plans et des solutions qui permettent d'aller plus loin que chacun pour soi chacun dans son domaine selon ses objectifs donc voilà je pense que c'est un élément qui a son intérêt dans le domaine de ce qu'on appelle la triple helix triple helix qui en fait est une perspective une approche qui n'est pas récente qui n'est pas nouvelle et qui a déjà été étudiée qui a démarré dans les années 2000 par deux universitaires un hollandais je pense et un anglais qui se sont réunis pour mettre au point cette approche dans un secteur particulier je pense que dans le domaine de la cybersécurité c'est tout à fait approprié et on retrouve ici et là des associations entre universités entreprises et le gouvernement qui finalement lui est le client final de ces solutions donc notamment le centre cybersécurité belgique et la défense sont aussi typiquement les entités qui vont pouvoir bénéficier de cette alliance triple helix alors juste avant de passer la parole à Erwan pour le futur mais le futur proche puisque c'est 2020 Alexis veut intervenir juste une petite note qui est assez intéressante juste pour parler de la Suisse comme vous savez en Suisse on est assez retranché d'ailleurs nos montagnes on est au coeur de l'Europe et puis on ne l'est pas vraiment on a des accords mais et donc la Suisse qui est un peu un paradoxe c'est un fédéral parce que comme vous le savez il y a différents cantons donc différents gouvernements et puis il y a un état fédéral à qui on confie certaines choses mais une chose auquel on a confié à l'état fédéral c'est la cyber défense donc pour rebondir là dessus il y a un effort très important qui a été mis en place et qui fonctionne assez bien qui est un effort d'échange d'informations autour de brèches autour de vulnérabilité et surtout autour de la proactivité donc ce système qui s'appelle Mélanie en fait a pour but de recenser les incidents et de prévenir les entreprises des tendances actuelles donc si on voit qu'il y a par exemple un ransomware ou un malware qui est en train de se déployer et que certaines entreprises ou des entités gouvernementales sont touchées Mélanie prévient l'ensemble des différents états différents cantons ou des entreprises ils vont jusqu'à réaliser aujourd'hui des scans de vulnérabilité et de prévenir les entreprises si certaines de leurs applications ou de leurs sites sont vulnérables j'ai échangé avec des responsables évidemment de Mélanie il y a des échanges qui se font au niveau européen probablement pas encore assez aujourd'hui on aimerait pouvoir voir certaines dans un futur une tendance qui est de partager ce type d'informations afin de pouvoir prévenir un maximum et donc d'utiliser la triple list comme vous le décrivez à pleine propulsion Oui Et par rapport à ces menaces justement Erwan quelles sont vraiment les tendances 2020 en sachant qu'il y a des menaces on sait pas encore peut-être qu'elles existent et finalement comment on peut se faire comment on peut mettre en place des défenses Bonjour à tous donc Erwan Brouder donc moi je travaille depuis une vingtaine d'années en fait dans la sécurité des systèmes d'information d'abord sur une partie plutôt offensive et j'ai basculé dans la partie défensive il y a quelques temps au sein d'un cabinet que j'ai monté qui s'appelle BSSI donc un cabinet parisien avec quelques antennes à l'international Aujourd'hui en fait avant de se projeter totalement en 2020 on s'aperçoit certaines tendances depuis 2017 le nombre d'attaques réussies a assez peu augmenté en fait par contre en face on a des moyens de défense parce qu'on a on a quand même des entreprises et de plus en plus d'entreprises qui sont sensibilisées aux faits sécurité ça veut dire que on peut expliquer ça de deux manières soit les défenses et les engagements financiers n'ont servi à rien soit la sophistication des attaques est de plus en plus importante ça rejoint ce que disait Alexis on constate quand on analyse quand on regarde la manière dont les attaques sont passées que les groupes sont de plus en plus organisés pour pouvoir voler ces informations ou attaquer les entreprises donc sur 2020 on peut imaginer on imagine que la tendance va continuer donc des attaques de plus en plus sophistiquées on verra également en fait et ça avait été annoncé par l'ANSI donc l'agence nationale de la sécurité des systèmes d'information en France que de plus en plus d'attaques passeront par des sous-traitants on l'a vu dans l'actualité ne serait-ce que la semaine dernière via Airbus qui s'est fait je dirais intrudé via tout un réseau de sous-traitants on l'a vu aussi assez récemment avec Deloitte avec des attaques qui ont eu lieu et qui ont permis de prendre le contrôle du système de messagerie de façon invisible pendant quelques mois ce qu'on sait un petit peu moins c'est finalement l'impact quelles données a été volées et surtout à quoi elles ont servi derrière ces données volées maintenant les sources les sources les sources de menaces en fait vont rester un petit peu identiques peut-être on accentue un petit peu le shadow IT parce qu'on sait que la barrière entre le monde personnel et le monde d'entreprise est de plus en plus étroite mais on gardera quand même des systèmes vulnérables des vulnérabilités qui sont soit patchées enfin soit non patchées pardon mais des vulnérabilités plutôt connues ou des vulnérabilités qui ne sont pas connues on va continuer voilà du coup sur cette partie là donc la NSA et avec tous les outils en fait qui ont été divulgués autour de la NSA on s'aperçoit que ça alimente beaucoup en fait le marché de la criminalité et des attaques ces attaques sophistiquées en fait sont vendues maintenant dans les méandres d'internet certains ont parlé de dark web ou autre chose comme ça mais en tout cas ils sont revendus comme des services d'attaque un petit peu à la demande du hack à the service ce qui fait qu'on n'a plus ce jeune étudiant qui va attaquer les services du premier ministre parce que dans son garage il aura inventé quelque chose on va avoir en fait des attaques où il aura juste à mettre son numéro de carte bleue pour mettre pour attaquer une cible et ensuite l'erreur humaine l'erreur humaine sur ces on parlait de on parlait de statistiques tout à l'heure voilà en 2019 on sait que 10 entreprises enfin sur 10 entreprises il y en a 8 qui subiront une cyberattaque et sur ces cyberattaques on sait que 50% viendront du phishing ça va commencer comme ça et ça c'est une tendance qui va continuer parce qu'elle est très lucrative parce qu'on prend très peu de risques et finalement on peut faire du volume assez rapidement qu'en termes de sensibilisation on peut faire des choses on a fait une chose enfin on peut faire des campagnes de sensibilisation pour essayer de montrer aux personnes d'être plutôt vigilants mais on a toujours voilà le maillon faible d'une chaîne des gens qui vont soit parce qu'à un moment donné sont un peu fatigués et vont pas faire attention vont permettre à un attaquant de rentrer j'ai une petite anecdote dans une de ces campagnes qui est assez drôle mais on a attaqué une entreprise comme ça en essayant de trouver des numéros pardon des adresses mail sur internet cette entreprise on a trouvé à peu près une cinquantaine d'adresses mail donc on a envoyé et on a fait cette campagne sur ces personnes là et on a eu des réponses en fait de personnes qui nous ont dit c'est pas normal parce que c'était un faux mail de CE c'est pas normal j'ai pas reçu le mail du CE donc la personne nous demandait le mail de phishing ça c'était assez drôle ou alors des gens qui se sont plaints parce qu'il y avait des fautes d'orthographe dans le mail on avait fait un truc bien ensuite ce qui est important de noter c'est que les mesures de sécurité en fait autour de ça elles sont elles sont relativement simples c'est à dire que c'est de la sensibilisation mais on atteindra peut-être 80% des personnes 90% des personnes et ensuite des mesures techniques de double contrôle c'est à dire que quand on doit faire une opération notamment par exemple dans le monde bancaire qui engage la société il faut un contrôle une validation un contrôle cas dur ensuite évidemment la sauvegarde on parle des cryptolockers on parle de toutes sortes de choses comme ça les autorités vous diront qu'il faut jamais payer parce que vous êtes pas sûr de récupérer votre donnée enfin si vous aviez une sauvegarde c'est quand même beaucoup plus simple maintenant le monde est compliqué c'est vrai que si vous avez vous êtes fait cryptolocker toute une partie de vos données la tentation est quand même assez forte de pouvoir d'essayer de la récupérer donc là on a vu des services des services criminels qui se sont qui se sont interposés en fait en tant que tiers de confiance en disant nous on vous demande 100 dollars pour déchiffrer vos données ne transigez pas ne traitez pas plutôt avec les criminels nous pour 200 dollars on vous décrypte vos données on s'est aperçu que derrière en fait ce qui se passait c'est que eux payaient les criminels en fait ils faisaient un petit bénef au passage c'était aussi assez drôle mais il y a eu pas mal de plateformes qui ont commencé à faire ça évidemment pour la mise à jour des systèmes donc ça va nous protéger contre des attaques connues mais pas contre des attaques inconnues et ensuite la dernière mesure mais qui est peut-être la plus complexe à mettre en place pour des PME c'est l'analyse comportementale comment est-ce que notre système doit fonctionner fonctionne dans un état normal ce qui permet de détecter les anomalies ou les comportements anormaux mais c'est quelque chose de complexe à mettre en place et là ce sont des socs avec certains scénarios qui vont permettre de les détecter alors après on peut se projeter sur le système d'information un petit peu finalement de demain est-ce que ce serait pas un système d'information plutôt fermé un petit peu en contradiction d'internet mais est-ce que finalement c'est parce que nous sommes en train de vivre avec des Microsoft qui font leur écosystème cloud et qui pourraient être autonomes d'une certaine manière ou un Google qui pourrait faire la même chose ou un AWS il faut se poser aussi ces questions là en termes de finalement de souveraineté est-ce que c'est est-ce que c'est pas une solution la Chine la Chine finalement c'est ce qu'elle fait aussi et en termes d'attaque d'essayer d'anticiper d'anticiper un petit peu ce qui pourrait arriver la multiplication des objets connectés devient évidemment une source d'attaque dans tous les domaines d'activité si vous prenez le BIM management d'une certaine manière je ne sais pas si vous connaissez c'est tout ce qui va permettre de faire de gérer de l'obsolescence programmée dans un immeuble donc on parle de smart city on parle de mais en fait tout ça ça va permettre d'avoir des capteurs donc de l'IoT un petit peu partout et ces capteurs si on ne s'assure pas du niveau de sécurité on va t'être autant de portes en fait sur notre immeuble notre maison notre cité de manière générale et justement ces IoT alors comment tu tu conçois leur sécurité leur sécurité alors aujourd'hui on a un gros problème en fait sur ces composants c'est que on en a besoin d'énormément en fait pour pouvoir notamment sur des sondes pour pouvoir collecter de l'information et dans le cycle de vie dans le cycle de développement en fait de ces outils la sécurité a rarement été intégrée donc on arrive nous experts experts de sécurité un petit peu un petit peu à la fin donc on est en train de recalibrer un certain nombre de choses et les états s'organisent en Angleterre vous voyez par exemple on n'a pas le droit en fait d'utiliser ce type de d'équipement sans qu'il y ait une validation en fait du niveau de sécurité en France on ne l'a pas encore lancé mais ça va évidemment venir autour de ça on voit les premières les premières attaques j'en discutais tout à l'heure en souriant un petit peu mais on a vu par exemple en Allemagne des poupées connectées pour les enfants qui collectaient énormément de données donc les conversations des petites filles qui discutaient avec leurs poupées tout ça s'était envoyé dans un cloud c'était traité pour pouvoir répondre l'idée c'était quand même qu'il y ait une espèce d'intelligence artificielle de learning de machine learning pour pouvoir répondre aux petites filles bon par derrière les données étaient traitées comme ça on savait ce que les petites filles aimaient bien on savait quoi leur proposer quelle publicité leur proposer et cette plateforme s'est fait intruder donc toute cette donnée a été divulguée sur internet donc madame Merkel a un peu réagi en prenant le micro et en disant qu'il fallait que les pères de famille prennent leurs responsabilités c'est ce qu'ils ont fait ils ont arraché en fait les têtes des poupées et on a vu en fait tout un tas de médecins de psychologues qui ont vu des petites filles arriver qui étaient traumatisées par ces gestes là mais c'est bon c'est une petite anecdote un peu rigolote mais on voit que l'IoT en fait quand la cybersécurité et la sécurité de la donnée qu'elle va collecter n'est pas n'est pas fiable on a des impacts importants et voilà c'était sur des petites filles allemandes et justement quel est l'impact et là je reprends un peu le panel donc celui qui a envie de prendre la parole maintenant le fait quels sont finalement les impacts de menaces et les risques sur nos modes de vie finalement qui c'est qui veut intervenir pour cela moi je peux intervenir sur cette partie c'est vrai qu'à partir du moment où on va connecter collecter de la donnée la traiter et orienter certains certains produits certains un marketing un petit peu ciblé ça peut être gênant en fait c'est à dire qu'on nous enlève un petit peu notre libre arbitre et alors par rapport à différents donc il faut savoir qu'on a quand même pas mal échangé par email et ainsi de suite alors on parle toujours de technologie quantique d'intelligence artificielle d'internet des objets là on en a un petit peu parlé mais finalement est-ce que cette technologie c'est pas du fantasme ou c'est que ça existe vraiment ? donc tout ce qui est technologie quantique intelligence artificielle parce qu'on parle souvent d'intelligence artificielle mais j'en ai discuté tout à l'heure on utilise encore des algos qui existent depuis 40 ans alors on vous vend ça comme la panacée mais on en est où là ? qui peut intervenir ?

Philippe ? oui justement donc tout évolue effectivement quand on parle des technologies quantum ou quantiques effectivement le mode de vie d'aujourd'hui qui est resté basé par exemple pour les accès sur l'utilisation de codes utilisateurs et de mots de passe est amené à disparaître incessamment sous peu les technologies quantum permettront d'aller de traiter à une telle vitesse les systèmes de décryptage de mots de passe qu'aucun mot de passe même complexe ne sera suffisant pour protéger les accès donc il faudra passer à autre chose autre chose c'est quoi ? c'est du biométrique c'est d'autres éléments qu'on va mettre en place qui permettront également de reconnaître des personnes à travers l'utilisation notamment d'intelligence artificielle pour ces méthodes biométriques aussi alors on a vu qu'au niveau des méthodes biométriques les belges avaient fait un malheur notamment avec je pense c'est des empreintes donc en fait le téléphone prend une partie de l'empreinte pas tout et puis on a réussi à se faire des bases de données de pouces comment on fait oui ça c'est malheureux effectivement et c'est là que tout cela nous ramène à un sujet également qui nous occupe pendant ces deux jours c'est la gestion du risque je pense qu'on doit en revenir aujourd'hui à une gestion proportionnée des risques à savoir pour chaque événement pour chaque type de contexte à analyser ou chaque changement de technologie pouvoir réfléchir à des solutions proportionnées par rapport aux risques introduits par ces nouvelles technologies ou ces nouvelles actions voilà on ne vit pas dans internet notamment puisqu'on parle de cybersécurité internet est un monde ouvert où tout le monde peut intervenir il y a des différences dans le monde entre par exemple l'Europe et les Etats-Unis les Etats-Unis on peut tout le monde peut tout se permettre a priori et on intervient après pour limiter quand ça ça dérape en Europe on ferme tout on a tendance plutôt à verrouiller l'ensemble et donc on ne peut rien faire sauf quand on a une procuration ou quand on a pu prouver avec une accréditation une homologation particulière qu'on pouvait faire quelque chose d'un peu plus loin que ce qui est interdit pour tout le monde Alexis tu veux rebondir je veux juste rebondir sur une chose et ramener les choses sur le risque et puis la réalité et puis comme mon collègue à droite l'a très bien dit il y a des choses aujourd'hui c'est vrai qu'on peut penser toutes les nouvelles technologies tous les risques qui existent mais aujourd'hui le phishing a toujours des boujours devant lui et en fin de compte c'est des choses assez simples la plus grande majorité là on parle de 54% des attaques ont été liées sur des attachements d'email sur du phishing ou du vishing donc par téléphone donc en fin de compte sur de l'ingénierie sociale qui est aussi vieille que Mitnick dans les années 80 qui avait fait ses premiers actes en fin de compte c'est de l'arnaque comme elle a toujours existé d'accord c'est toujours la même chose donc la technologie augmente mais on se rend compte que les acteurs aujourd'hui et les cas qu'on a la source est toujours là donc elle est sur le fait que j'arrive à obtenir une information et deuxièmement sur le fait que cette information qui sont souvent les informations d'identification et d'authentification je vais pouvoir les utiliser exploiter gagner des privilèges et pouvoir arriver à impacter soit des entreprises soit des particuliers on parle pas mal d'entreprise mais pour dire nous l'impact au niveau du risque aujourd'hui beaucoup beaucoup de gens sont impactés par le vol de leurs données privées de leur identité c'est souvent dramatique parce qu'on a très peu de systèmes en place pour s'en sortir j'ai rencontré des personnes qui après 5 ans se battent toujours pour démontrer que leur identité avait été volée que des crédits ont été fait en leur nom et c'est des impacts humains qui sont terribles voilà donc c'est vrai qu'on augmente nos risques avec les technologies c'est vrai que le big data est certainement un problème on le deviendra un jour brutalement le jour où un gouvernement on va dire totalitaire prend possession de ces données là on sera en danger mais aujourd'hui la réalité est que par des simples vulnérabilités par des simples problèmes humains humains nos entreprises sont en danger et une partie de la population alors Ali avant de revenir une précision sur la biométrie parce qu'on en parle beaucoup mais il y a un risque qu'on oublie souvent avec la biométrie c'est comment est-ce qu'on gère la compromission sur un mot de passe c'est très simple on le change sur un doigt on fait comment ? on les change le vice on en a dix on a dix on a dix il y a pas les orteils et c'est quand même quelque chose il y a un faux semblant en fait de sécurité avec la biométrie c'est que pour moi c'est pas la solution la solution elle reste cryptographique et et la l'habilitation en fait qu'on va donner et la sécurité qu'on va donner à un système il faut qu'elle reste mathématique et qu'elle soit sécurité pour un temps donné le temps que l'algorithme soit cassé et on n'a pas vu de meilleure solution pour l'instant Algier si tu voulais dire mais autant qu'il faut regarder au niveau de l'algorithme il faut certainement aussi regarder les implantations oui bien sûr malheureusement dans le domaine de la téléphonie ça existe toujours le cas où est-ce qu'on dit ah ok on chiffre avec du AES 256 bits oui mais souvent c'est une option d'utiliser toute la longueur ou bien on utilise seulement les 128 bits pour aller un peu plus technique sont les moins significatifs donc on fait par exprès pour affaiblir dans l'implantation qu'est-ce qui est décrit au niveau protocolaire mais ça Algis ça c'est standard civil mais Ali parle-nous un petit peu des états voyous qui peuvent décrypter tout ça juste avant sur le sujet de contrôle d'accès biométrique donc il y a eu une attaque de 14-8-2019 qui a attaqué en fait 27,8 millions de données par le leader mondial en EMEA de contrôle d'accès c'est le Suprema donc qualité donc ici il y a une vulnérabilité côté un impact côté GDPR et un impact aussi côté confidentialité intégrité des informations côté sécurité et de l'information et si on parle de la partie sûreté donc ici il y a atteinte sur le zonage donc on parle des zones semi-publiques des zones accès contrôlées des zones accès restreintes etc si on prend l'exemple l'exemple d'un data center aujourd'hui si on n'a pas donc des habilitations d'accès ou des atteintes aux habilitations des accès donc il y a un impact sur donc la partie sûreté et la sécurité de l'information au même temps donc si j'ai un peu de temps je vais donner en fait on doit passer aux questions réponses donc la définition classique du cyber-guerre consiste à l'utilisation d'ordinateurs et d'internet pour mener une guerre dans le cyber-espace donc il y a pas mal en fait types d'attaques donc il y a l'espionnage politique il y a l'espionnage industriel il y a aussi l'arrêt et le sabotage des équipements il y a l'attaque d'infras sensibles donc je vous cite un exemple sur la sécurité physique après on passe aux questions Ali donc vas-y l'exemple donc rapidement donc il y a un exemple sur les les caméras donc aux Etats-Unis donc il y a une loi d'interdiction de l'achat des caméras de surveillance sont deux leaders mondiales selon la SMAG le ranking 50 des équipements de sécurité donc deux équipements ou deux solutions chinoises donc Daoa et Vision et ça se concrétise en fait le fait des espionnages pour les sites quels que soient sensibles les bureaux fédéraux etc donc c'est la cause de pourquoi ils ont donc interdit ces équipements là malgré que ces équipements là sont presque à 40% qui sont installés actuellement aux Etats-Unis et ça ça peut ouvrir le débat sur notamment les guerres commerciales mais je vais passer la parole à monsieur une question s'il vous plaît une simple question après vous avoir félicité pour les biens d'intervention un jour mon fils a codé son téléphone par le codage facial et bizarrement quand ma fille a pris le téléphone ça s'est couvert je voudrais comprendre qu'est-ce qui se passe parce que ça me dit que nous ne sommes pas du tout en sécurité alors qui prend Philippe à nouveau donc cette question rejoint le point soulevé ici de que faire quitte quand l'empreinte digitale est compromise et donc que la reconnaissance biométrique ne fonctionne pas correctement je veux quand même rappeler que je préconise en général un ensemble de mesures de sécurité pour résoudre un problème donc le système biométrique n'est qu'un maillon d'une chaîne de sécurité quand on parle de gouvernance de sécurité de la formation on considère un ensemble d'éléments pour protéger ce qui représente la valeur et donc si le système biométrique est défaillant j'ose espérer qu'il y a d'autres systèmes derrière qui vont intervenir qui vont permettre de resserrer les mailles du filet et de bloquer quand même l'accès non autorisé donc en gros plusieurs techniques pour le même accès oui tout à fait une autre question ah Jean-Luc je me souviens que Philippe a dit au début du panel qu'en termes de défense nous avions une guerre de retard sur les attaquants j'irais beaucoup plus loin pour dire qu'on a deux à trois si pas quatre guerres de retard mais en fait nous sommes habitués à à essayer de contrer les techniques et les tactiques des hackers quelle que soit l'entité qui se trouve derrière alors qu'un certain Sun Tzu il y a de ça plus de deux siècles disait que pour vaincre il fallait attaquer la stratégie de l'adversaire que faisons-nous à ce niveau-là pour attaquer la stratégie de l'adversaire je vais me permettre de répondre par rapport à ça je ne suis pas tout à fait d'accord avec vous quand vous dites qu'on a trois au cas de guerre de retard en fait je reprends les chiffres parce que j'aime bien les chiffres mais on sait que 20% des attaqueurs aujourd'hui sont des gouvernements donc en fait ces mêmes gouvernements qui nous défendent qui ont les moyens de nous défendre sont des gouvernements qui attaquent aussi d'accord donc les armes utilisées aujourd'hui nous les connaissons là on est en retard c'est vrai c'est peut-être nous le public c'est nous les entreprises parce que on a pris en retard mais les gouvernements ne le sont pas maintenant quels sont les moyens qui sont réellement mis en oeuvre pour nous protéger et protéger nos entreprises on voit que les russes font énormément de choses pour ça les chinois aussi on parlait d'isolation tout à l'heure on parlait de se dire tiens on utilise uniquement Azure que Microsoft fait les entreprises commerciales aussi qui le font mais je pense que le le futur est dans les deux côtés dans l'équilibre qu'on va trouver des deux côtés entre les armes que nous fabriquons pour attaquer et les armes que nous fabriquons pour nous défendre alors là je parle en tant qu'état et peut-être une précision aussi c'est que la réponse des états elle est aussi probablement parce qu'on n'écoute pas à leurs oreilles mais elle est probablement diplomatique quand on prend l'attaque enfin la surveillance en fait les écoutes téléphoniques qui ont eu lieu toujours sur madame Merkel quelle a été la réponse de l'Allemagne par rapport à ça sinon diplomatique en fait sinon le fait que l'Allemagne est le seul pays qui fait opérer les data centers de Microsoft par Dutch Telecom ça a été on peut imaginer que c'est la seule réponse qu'il y a pu avoir en France quand Macron pendant la campagne présidentielle président Macron pardon se fait écouter sa boîte de messagerie quelle a été la réponse de la France par rapport à ça sinon diplomatique de la même manière et quand les russes en fait de la même manière sont intervenus massivement via des campagnes à travers Facebook notamment pour discréditer le candidat qui était en face Madame Clinton qui était en face de Trump et qui a ouvertement mis Trump au pouvoir quelle a été la réponse des Etats-Unis sinon diplomatique et c'est c'est vrai que tout ça on le voit pas mais il y a toute une machinerie qui s'est mis en place Merci Je pense également que pour répondre à la question ici des principes de base qui datent de plusieurs milliers d'années restent vrais l'art de la guerre de Tunzu je crois que d'ailleurs Jean-Luc qui pose la question ici connaît très bien cet ensemble est là pour mentionner les principes de base qui restent toujours valables connaître son ennemi quand on parle d'attaque comment contrer les attaques étudier son ennemi le connaître ce sont partie des éléments de base aujourd'hui les attaques cyber je dirais un autre élément important est que ces attaques cyber génèrent des dégâts physiques également on a connu des attaques massives Petya Notpetya il y a quelques années qui ont mis par terre des centaines de milliers d'ordinateurs d'individus on a vu aussi des attaques de type Stuxnet qui ont ciblé des centrales nucléaires en Iran la riposte a eu lieu malheureusement et certaines centrales aux Pays-Bas notamment ont été impactées par la suite donc on ne peut malheureusement pas tout faire en termes de contre-mesure lancer des attaques aujourd'hui ou des offensives sur internet peuvent générer des dégâts collatéraux importants et donc à ce niveau là aujourd'hui on n'est quand même pas mature suffisamment que pour pouvoir lancer ce type de riposte on va prendre une dernière question ici avec monsieur ma question s'adresse plus à Ewa puisqu'il a dit il était de l'autre côté de la défense et plutôt de l'attaque chapeau noir et aujourd'hui chapeau blanc voilà j'allais dire ceci puisque les attaques continuent à nous surprendre à avoir un taux plus élevé par rapport aux défenses est-ce avec la technique des honnipotes le système de peau de miel c'est une technique aussi de protection donc le défenseur donne comme si il ouvre la porte à l'attaquant de venir vers moi et je le prends est-ce avec cette technique vous le défenseur vous ne pouvez pas développer de plus en plus cette technique pour permettre à ce que d'anticiper les attaques à venir comme on l'a dit tantôt les menaces qui sont projectées à 2020 c'est évidemment une solution mais ça ne résout pas le problème en fait le problème aujourd'hui c'est qu'on est dans une ère où on assiste à la mort du génie logiciel c'est à dire qu'on donne des primes à des développeurs de génie pour trouver des failles de sécurité et on ne donne plus je dirais de perspective à ces développeurs là de développer des outils sécurisés vous voyez ce que je veux dire c'est à dire qu'en fait le système de prime au bug fait qu'on a des bugs en permanence et de plus en plus nombreux en fait et on n'a plus assez de personnes pour corriger donc oui les nouvelles attaques qu'on pourrait détecter avec un honnepote ça peut être intéressant mais le problème c'est pas ça c'est qu'on n'a plus personne on n'a pas assez de personnes formées pour sécuriser de manière efficace le code c'est aussi parce qu'on a le business qui met une pression sur le développement commercial et qu'on n'a pas le temps de faire les choses condablement bien sûr on pourrait développer de façon propre bien sûr mais quand un développeur on lui donne une prime de 20 000 dollars 30 000 dollars pour un bug basique il ne s'embête pas à développer quelque chose c'est motivant c'est motivant quand vous voyez en fait je prends l'Inde parce que du coup j'avais regardé un petit peu de cette partie là mais des gens qui sont au niveau mathématique au niveau développement des gens qui sont très bien formés et plutôt compétents alors le graal c'est de trouver un bug pour Google c'est pas de développer un nouveau Facebook vous voyez ce que je veux dire et ça c'est un drame merci beaucoup alors on va clôturer puisque là les chocolats arrivent et je ne voudrais pas qu'on ait un risque de fonte des chocolats donc merci en tout cas à tous les cinq ravi de vous avoir rencontré puis on va quand même faire la fête ce soir et aussi boire un café là maintenant je vais laisser madame vous offrir ces bonnes pralines de chez nous merci à tous les deux merci à tous les deux