Par Christophe Jolly, Directeur Régional Europe du Sud, Chez Vectra AI
Dans quelle mesure les cyberattaques font-elles l’objet d’un déni de la part de nos organisations ? À l’instar du défi climatique que nous peinons à relever, le défi de la cybersécurité serait ainsi assimilé à une fatalité. Or, il est possible d’agir !
Sorti au moment de Noël 2021, le film Don’t Look up : déni cosmique, évoque notre aveuglement collectif face au changement climatique. Réalisée par Adam Mc Kay (avec notamment Jennifer Lawrence et Leonardo DiCaprio), cette comédie aux accents catastrophiques met en scène deux astronomes lancés dans une tournée médiatique mondiale visant à prévenir l’humanité qu’une comète qui se dirige vers la planète s’apprête à la détruire. Face à une telle urgence, les réactions sont multiples et surtout grégaires. Les personnages, loin d’agir sur le problème qui leur est présenté, se perdent dans la quête effrénée de plaisirs instantanés, liés à leur statut social ou à la préservation de leur pouvoir.
Le stratium contre la cybersécurité ?
Don’t Look up évoque bien sûr la paralysie qui est la nôtre face à l’urgence environnementale - le fameux « notre maison brûle, et nous regardons ailleurs » énoncé à l’ONU par un ancien président de la République française. Mais ce film traite en réalité des réactions qui sont les nôtres dès lors qu’un problème majeur est posé. En cela, il nous renvoie aussi à l’inaction qui touche de nombreuses organisations, de la TPE au grand groupe, face aux défis majeurs. La cybersécurité en est un, et non des moindres. Comment (ré)agir dans un contexte de multiplication des cyber-attaques sur nos entreprises et nos services publics ? Quelles actions mobiliser face à la paralysie de certains hôpitaux par exemple, ou face à la fuite importante de données d’une entreprise pourtant en charge de la préservation de celles-ci ?
Les neuroscientifiques traitent depuis quelques années de ces questions. C’est le cas de Sébastien Boher, docteur en neurosciences, qui nous explique de quelle manière les « bugs » de nos cerveaux interfèrent avec nos engagements sociétaux, économiques ou environnementaux. Confronté à un phénomène qui est tout à la fois prévisible et non immédiat, notre cerveau intervient de manière non rationnelle : le striatum, organe responsable de la molécule du plaisir, nous pousse à aller chercher des gratifications faciles et quotidiennes. Grâce à la dopamine qu’il sécrète, ce stratium entraînerait des réflexes bien éloignés de la raison…
Comprendre les ressorts de la cyberdéfense
Les neurosciences peuvent-elles expliquer, au moins en partie, l’attentisme dont font preuve certaines organisations en matière de cybersécurité ? Peut-être. Des éléments de nature culturelle et technique sont également engagés dans ce phénomène qui voit certaines entreprises et certaines structures publiques demeurer sans approche de cyberdéfense aboutie. Ici, c’est un peu comme si la fatalité dominait : les attaques se multiplient comme une pluie d’orages, et il faut espérer que la foudre ne vienne pas à nous toucher…
Accepter le monde tel qu’il est, avec ses risques et ses dangers, ne veut certainement pas dire qu’il faut s’en remettre au hasard. Une stratégie de cyberdéfense se pense et se construit sur la base d’éléments rationnels et tangibles. En matière de cybersécurité, cette défense peut se concevoir sous deux angles complémentaires.
Le premier angle convoque l’image du château-fort ou de la muraille. Depuis l’apparition des virus il y a une quarantaine d’années, nos systèmes informatiques se protègent du monde extérieur en érigeant des barrières. L’antivirus, qui a longtemps suffi à nous aider, est typiquement l’outil adéquat pour cela.
Le second angle est plus récent, et convoque une autre image : celle de la caméra de surveillance. Depuis quelques années, les cybercriminels savent franchir les murailles que les entreprises érigent. Nous savons également que nos systèmes informatiques comportent très souvent des vulnérabilités qui, même infimes, ouvrent des brèches. C’est notamment ce qui est arrivé il y a quelques mois à la société de VTC Uber ainsi qu’à Microsoft. Pourtant, grâce à l’intelligence artificielle et au Machine Learning, il est possible de repérer un attaquant qui vient de franchir les portes d’un système informatique. En effectuant ses premiers pas au sein de notre territoire dans le but de prendre le contrôle via l’acquisition de droits de plus en plus étendus, celui-ci se croit furtif. Il ne l’est pas : à l’instar des caméras de vidéosurveillance, il est scruté dans ses mouvements latéraux par un puissant système de cyberdéfense. Jugés suspects par celui-ci, ses mouvements font l’objet d’alertes auprès des équipes techniques et du DSSI : avant même d’être conclue, l’attaque est stoppée net.
Les cyberattaques qui touchent aujourd’hui nos organisations et qui vont parfois jusqu’à mettre à mal nos politiques publiques (de santé par exemple) ne relèvent ni d’une catastrophe annoncée, ni d’une fatalité. Elles peuvent être combattues à partir de la compréhension des phénomènes qui se jouent, et qui appellent à déployer quelques moyens simples de cyberdéfense. Reposant sur l’IA et le Machine Learning, ceux-ci se révèlent d’une redoutable efficacité.
Ne partons surtout pas battus d’avance !