Le premier défi de cybersécurité : un succès pour tous et des étudiants ravis

 
Philippe Leroy, directeur du développement de l'offre cybersécurité pour les activités systèmes d’information critiques et cybersécurité de Thales et Vincent Mattei, responsable recrutement et mobilité France, reviennent sur les opportunités qu’offre un tel challenge pour les étudiants d’une part mais également pour le groupe Thales.
 
Retour sur le déroulement du challenge
Le challenge a démarré le 21 octobre par une série d’épreuves techniques à résoudre individuellement en ligne.  Lors de cette première phase, les étudiants ont été évalués sur leur compétence et leur réactivité face à des problématiques variées en cybersécurité.

A l’issue des épreuves en ligne qui se sont clôturées le 6 novembre, s’est tenue la phase finale à Rennes le 24 novembre où les 48 étudiants sélectionnés se sont affrontés par équipes de trois. Après plus de 5 heures d’épreuves, trois équipes se sont démarquées parmi les seize formations finalistes. Face aux cyberattaques d’une « organisation internationale », les vainqueurs ont minimisé avec succès les pertes des infrastructures critiques dans le secteur de l’énergie (fossile, nucléaire ou gaz) dont ils avaient la charge. Les neuf participants primés repartent chacun avec une offre de stage au sein de Thales et d’Airbus Defence and Space et des lots technologiques (ordinateurs, smartphones, montres connectées, etc.).
 

Pourquoi participer à ce challenge ?

Philippe : Pour faire découvrir nos activités dans le domaine de la cybersécurité, mais également démontrer notre capacité à organiser des challenges techniques qui passionnent les jeunes, futurs spécialistes du domaine.

Ainsi 14 épreuves de difficulté technique croissante ont été conçues, réalisées et mises en ligne afin de mesurer les capacités des candidats et sélectionner les meilleurs pour une finale en présentiel. Les challenges portaient sur les vulnérabilités de serveur et d’applications web (recherche et exploitation de vulnérabilités), la cryptologie au cœur de la majorité des fonctions de sécurité actuelles (qualité de l’implémentation, recherche de contournement, complexité et protection des clés etc…), et les épreuves d’investigation numérique consistant à rechercher et analyser des traces d’attaques pour en comprendre le cheminement technique.

En effet, la conception des épreuves techniques de présélection associe imagination et logiques techniques, retour d’expérience de cas concrets issus de pentests ou d’audits tels que réalisés dans les entreprises. La complétude des domaines de la cybersécurité proposés couvre le plus large éventail des compétences attendues chez Thales dans ce domaine très porteur. De telles capacités sont régulièrement mises en pratique pour assurer les missions des secteurs du conseil évaluation, voire celles des autres secteurs, telles que la conception et la production d’architectures résilientes au sein de nos différents services où de nombreux postes restent à pourvoir pour répondre à un besoin croissant.

Vincent : En effet, notre participation à cet évènement et les échanges riches que nous avons eus avec les étudiants nous ont permis de faire le constat suivant : il y a un manque de connaissances de nos activités cybersécurité chez Thales, le pentest par exemple. Les étudiants semblaient surpris de voir que nous proposions des opportunités très techniques. Nous avons une réelle expertise et un savoir-faire d’excellence dans ce domaine, nous recrutons donc des profils de haut-niveau !
Participer à ce type d’évènement, c’est assoir l’image de Thales comme un acteur important dans la cybersécurité et surtout, nous permettre de recruter !
D’ailleurs, nous sommes ravis de voir que notre présence au challenge ECW porte ses fruits : nous avons reçu de nombreux CV.
 

Le recrutement en cybersécurité chez Thales, un enjeu majeur ?

Philippe : Oui pour livrer à nos clients des équipements et systèmes cybersécurisés, nous nous devons de nous maintenir à l’état de l’art. Le domaine a beaucoup évolué ces dernières années, avec des attaques puissantes et orchestrées face auxquelles la grande majorité des entreprises et des opérateurs d’importance vitale est mal préparée. A la capacité de protection de haut niveau, telle qu’offerte aux ministères de la défense par exemple, s’ajoute désormais le développement de capacités de détection souveraine, c’est-à-dire auxquelles on peut accorder le plus haut niveau de confiance et d’efficience. Mais ces nouvelles capacités, actives en continu, imposent des compétences identiques à celles d’agresseurs toujours plus imaginatifs et organisés. Ainsi l’Etat a décidé de qualifier les compétences des acteurs offrant des services de confiance pour l’audit, la détection ou encore la réponse sur incident et l’investigation numérique. Nos effectifs cybersécurité sont en croissance régulière.. La formation en cybersécurité constitue donc à la fois l’un des objectifs en support des thèmes ciblés du développement de nos activités, mais également un vecteur de promotion de nos capacités vers de nouveaux clients, complétant les activités de conseil.

Vincent : En termes de chiffres, à fin 2016 chez Thales, ce sont 400 recrutements dans le domaine de la cybersécurité dont la moitié en France. Nous recherchons des profils tels que des consultants intrusion et ingénieurs cybersécurité, des architectes sécurité IT et sécurité des SI, des ingénieurs sécurité/analyse de risque ou encore des bid & project managers dans le domaine de la cybersécurité.
Nous avons d’importants besoins sur des profils variés, de quoi adresser tous les profils orientés cybersécurité.
 

Quelles sont les autres actions que vous menez pour faire connaitre les activités cybersécurité, attirer des talents et les recruter ?

Vincent : Nous menons de nombreuses autres actions en interne et en externe.
Nous communiquons sur les médias spécialisés grâce à des insertions presse dédiées recrutement qui viennent souvent compléter du contenu technique. Nous participons à des évènements comme l’ECW, des hackathons divers auxquels nous invitons souvent nos collaborateurs à participer. Nous serons d’ailleurs très présents au Forum International de la Cybersécurité qui se tiendra à Lille les 24 et 25 janvier 2017.
Nous menons un plan de communication online pour mettre en avant des témoignages de nos collaborateurs pour inciter les potentiels candidats à contacter leurs homologues chez Thales et faciliter les échanges sur les projets, les technologies, …

Et enfin, en interne, nous mettons en place des actions pour promouvoir la cybersécurité et les parcours de formation existants pour que celles et ceux qui souhaiteraient se diriger vers ces métiers puissent le faire aisément.

Philippe : Un exemple qui illustre parfaitement le renforcement des actions de formation, c’est la création de la formation en cybersécurité (FORCYS). Celle-ci délivrera à court terme un titre d’ingénieur RNCP*, effectuée en apprentissage durant un an, alternant sur 120 jours des cours en salle et surtout des travaux pratiques et projets, le reste étant effectué en entreprise, ce qui correspond à un projet professionnel individuel et un investissement personnel. La promotion est constituée pour partie d’ingénieurs experts dans leur domaine mais souhaitant acquérir une compétence pointue dans le domaine de la cybersécurité désormais nécessaire pour leurs activités, et pour partie d’étudiants issus de master réseaux ou informatique.
 
Thales privilégie un autre axe d’investissement pour former les experts sur les domaines les plus avancés de la cybersécurité. C’est celui des chaires démontrant le niveau d’excellence atteint par ce domaine qui allie des compétences en mathématiques pour son volet cryptologie et en informatique pour sa sécurisation. L’intérêt pour Thales face à ce nouvel enjeu de société se traduit par un soutien financier et un support technique (ingénieurs Thales assurant un relais avec les encadrants académiques auprès des thésards).

Thales, participe au rayonnement de colloques à thèmes, à l’animation d’enseignements auprès des écoles de St Cyr Coëtquidan, telle que la création d’un mastère de gestion de crise cyber. Ensuite pour alimenter les réflexions les plus avancées en matière de recherche et développement, la chaire cyber navale accueille une dizaine de thésards, dont le fil rouge des travaux vise à sécuriser les navires des marines nationales et marchandes, après un constat sans complaisance des principaux thèmes de sécurisation à développer.
* Répertoire National des Certifications Professionnelles

Philippe : Je souhaiterais en complément souligner deux points, l’un technique que suppose l’organisation d’un tel challenge, à savoir la sécurisation et la surveillance du site web face aux tentatives d’intrusion :
En effet, la mise en ligne de challenges de sécurité informatique attire régulièrement des hackers, non éthiques, qui tentent et réussissent le plus souvent à perturber la disponibilité du serveur, voire à s’y introduire pour modifier des épreuves. Par ailleurs, des candidats peuvent tenter de s’approprier indument des « flags », c’est-à-dire les certificats attestant de leur réussite à une épreuve. Pour ces raisons, le paramétrage à l’état de l’art de la sécurité du serveur, cette fois hébergé chez un prestataire, le cloisonnement entre les épreuves et enfin leur surveillance continue, ont représenté pour les organisateurs un « challenge dans le challenge ».

Il s’agit de la plus importante épreuve réalisée à ce jour en France, ayant résisté à toute tentative depuis sa mise en ligne fin octobre, soulignant l’excellence technique, l’assiduité et la clairvoyance de l’administrateur de l’épreuve.

L’autre point est lui relatif à l’appréciation de la valeur des candidats via leur comportement (technique, persévérance, contexte opérationnel).

Un challenge technique reflète en effet la compétence, la perspicacité et, sur la durée, l’assiduité des candidats. Ceux-ci continuent à suivre leur cursus universitaire ou d’élève ingénieur et leur assiduité en est d’autant plus méritoire. Cette édition permettait de visualiser en instantané le classement auquel chacun avait accès en ligne, afin d’attiser la compétition. Mais le challenge visait également à apprécier le travail en équipe et le comportent sous contraintes.

En effet, l’appréciation de la valeur technique individuelle des candidats pour cette présélection en ligne ne constituait qu’un premier jalon. Le regroupement en finale pour les meilleurs, constitués en équipes, a permis de mesurer leur capacité de travail coopératif pour faire face à un nouveau challenge ajoutant stress et coordination. Il s’agissait par exemple de reconstituer la cartographie d’une architecture d’un SI industriel, gage préalable à sa bonne défense. Puis les attaques sont rapidement apparues, entamant les ressources de l’entreprise et accroissant le stress de chaque équipe, qui voyait en temps réel son classement relatif. L’organisation interne reflétait là encore leur endurance et leur esprit de compétition, avec la résolution de challenges techniques palliant pour partie les tentatives de perturbations des attaquants.