Cybersécurité : que nous réserve 2015 ?

Andy Settle, consultant en cybersécurité chez Thales UK, nous explique comment, selon lui, le paysage de la cybersécurité va évoluer en 2015.

Le mot « cybersécurité » est aujourd’hui sur toutes les lèvres. Le codage a fait son entrée, pour la première fois cette année, dans le cursus informatique des établissements scolaires britanniques, l’Internet des objets (IoT) a transformé la domotique et des actes de piratage, comme par exemple celui dont a récemment été victime la firme Sony, ne cessent d’émailler la presse. La nouvelle campagne «  Cyber Street Wise », mise en place par le gouvernement britannique pour encourager la population à sécuriser plus que jamais ses données, est un exemple, parmi tant d’autres, de la volonté du gouvernement britannique de placer la cybersécurité dans le carré de tête de ses priorités.

En 2014, la cybersécurité a fait l’objet d’une large prise de conscience. Mais que nous réserve 2015 ? Comment transformer cette prise de conscience en action face aux diverses problématiques qui touchent le secteur ?

Internet des objets : une éducation sera essentielle

L’Internet des objets (IoT) a ouvert la porte à des perspectives et opportunités particulièrement intéressantes. Toutefois, celui-ci s’accompagne d’un degré inévitable de complexité auquel nous allons devoir faire face au cours des 12 prochains mois. Entreprises et particuliers vont devoir prendre des mesures pour sécuriser chaque appareil au sein du réseau IoT, mais également éduquer ceux qui sont amenés à se servir de ces appareils. Ces appareils connectés finiront un jour par devenir nos yeux et nos oreilles, impactant la plupart des infrastructures critiques dont nous dépendons : services publics, transports, villes intelligentes, etc.

L’envergure de ces réseaux IoT et l’énorme quantité de données qui leur permettent de fonctionner les rendent extrêmement vulnérables et font d’eux des cibles privilégiées pour les cybercriminels. Le moindre maillon faible au sein du réseau pourrait avoir des conséquences dramatiques sans précédent.

Développer des compétences en cybersécurité

Cette année, le ministère britannique de l’Education s’est activement employé à revoir son approche en matière de formation à la cybersécurité. Après des années et des années de sous investissement, un nouveau virage vient enfin d’être pris avec la reconnaissance du rôle crucial que l’industrie de la cybersécurité est amenée à jouer dans l’avenir de l’économie britannique. L’introduction des TIC dans le programme scolaire national a été une étape importante : elle permettra le développement de compétences spécifiques en science et ingénierie informatiques, des compétences nécessaires pour combattre les futures cyber-menaces. Notre incapacité, par le passé, à enseigner correctement l’informatique et la sécurité dans les écoles nous fait aujourd’hui accuser un retard de 6 à 8 ans par rapport à des pays comme les Etats-Unis. Rattraper ce retard va nécessairement impliquer un investissement continu dans la formation à la cybersécurité et la création d’emplois dans ce domaine. Il en va de même au sein des entreprises, où l’accent devra être mis sur le perfectionnement de nos cyber-spécialistes. Une collaboration entre les ressources humaines et les services informatiques afin de former de manière continue le personnel aux bonnes pratiques de la cybersécurité pourrait être une solution.

Au cours de l’année à venir, la cybersécurité pourrait devenir un important marché d’exportation pour le Royaume-Uni, offrant une formidable occasion de partager nos capacités en cyber-défense partout dans le monde. L’an passé, le ministère britannique du commerce et de l’investissement avait d’ailleurs détaillé, dans sa stratégie d’exportation, les opportunités offertes à notre pays dans ce domaine, faisant état de la capacité de celui-ci à pénétrer le marché émergent mondial de la cybersécurité. En 2015, le gouvernement doit continuer à soutenir les entreprises dans cette voie en les encourageant à tirer profit de leur réputation internationale pour gagner des parts sur ce marché. En diffusant nos compétences en cybersécurité partout dans le monde, nous pouvons aider d’autres Etats à protéger leurs infrastructures numériques.

Mieux vaut prévenir que guérir

Les entreprises de toute taille, y compris celles qui ont déjà investi massivement dans les procédures et les systèmes de cybersécurité, doivent partir du principe que leurs systèmes de protection informatiques sont à tout moment vulnérables. En d’autres termes, elles ne doivent pas attendre d’être victimes d’une cyber-attaque pour réparer les vulnérabilités de leurs réseaux. Aujourd'hui, les cyber-attaques externes ne cessent de se multiplier, prenant de vitesse les solutions de sécurité informatique existantes. Aussi, tout doit être mis en œuvre pour garder une longueur d’avance sur la menace. C’est dans cette logique que le gouvernement a mis en place le programme Cyber Essentials, une certification que chaque entreprise devra repasser chaque année pour prouver sa conformité par rapport aux règles.

Une mesure que pourraient prendre les entreprises au cours de l’année à venir serait de mettre en œuvre un solide plan de lutte contre les incidents en faisant appel à un partenaire externe qui, par le biais d’un processus d’audit méthodique, pourrait identifier les éventuelles vulnérabilités de leurs systèmes. Pour le dire différemment : on ne saurait envisager une entreprise sans au moins un spécialiste en hygiène et sécurité. Il en va de même en matière de cybersécurité. Des employés doivent être chargés de surveiller la « cyber santé » de l’entreprise et doivent savoir avec qui s’associer pour atténuer les menaces externes.

Maintenir le dialogue

L’établissement d’un dialogue entre les Etats est crucial pour lutter contre les cyber-menaces internationales qui visent les infrastructures nationales critiques. Des coopérations internationales commencent d’ailleurs à se former dans ce domaine. Par exemple, l’an passé, la Russie et les Etats-Unis ont signé un accord visant à réduire le risque de conflit dans le « cyberespace ». Cette annonce (qui n’est pas sans rappeler l’accord conclu sur le nucléaire pendant la guerre froide) a été la première du genre, reconnaissant l'échelle internationale de la cyber-menace et la nécessité de renforcer la collaboration entre les États. L’attaque pirate récemment menée par la Corée du Nord à l’encontre de Sony Pictures prouve la nature globale et politique de cette cyber-menace.

Même si le phénomène n’est pas encore prêt de s’arrêter, il existe plusieurs mesures que les entreprises peuvent prendre pour mettre en œuvre les procédures de lutte nécessaires face à l'évolution des menaces. Par ailleurs, la maîtrise de la complexité de l'Internet des objets et le développement de compétences spécifiques en cybersécurité seront la clé du combat contre les futures cyber-attaques.