Cybersécurité

La Donnée, cet agent de la transformation de la Cybersécurité

8 octobre 2018

author:

La Donnée, cet agent de la transformation de la Cybersécurité

De vilain petit canard, la cybersécurité serait-elle en passe de se transformer en cygne digital ? La question n’est pas si curieuse qu’il y paraît.

La cybersécurité, cette empêcheuse de tourner en rond

Longtemps, la cybersécurité a été perçue comme un obstacle au business, voire comme contre-productive. L’investissement supplémentaire qu’elle nécessite en développement, en maintenance et en gouvernance rallonge les délais d’opérationnalisation pour un retour difficilement quantifiable.

L’effort en cybersécurité, traditionnellement, ne produit pas de valeur. Au mieux, il évite d’en perdre, que ce soit en termes financiers ou d’image. Et dans un contexte économique faisant la part belle à l’innovation, il peut même être vu comme un frein à la compétitivité.

La cybersécurité, c’est aussi l’histoire d’une relation tripartite entre :

  • Des usagers (e.g. des business)
  • Des attaquants qui cherchent à nuire à leurs intérêts pour leur propre gain
  • Des défenseurs qui s’interposent pour protéger les dits intérêts

L’usage qu’ont les business des outils digitaux (ordinateurs, réseaux, smartphones, etc.) présente des vulnérabilités qui seront exploitées par les attaquants. Par exemple, un mot de passe faible sera facilement craqué par une attaque en « brute force », ce qui laissera l’attaquant pénétrer dans un SI pour y voler des documents sensibles.

En défense, la tâche consiste à protéger et à répondre aux attaques une fois celles-ci en cours ou passées, à coups d’anti-virus et de politiques de remédiation entre autres. Mais aussi de prévenir et de prémunir, quand cela est possible, notamment par une urbanisation des SI et un effort d’éducation et de vigilance à l’endroit des usagers.

Une entreprise qui disposerait ainsi d’une solution de détection comportementale (l’attaquant présente un comportement différent de l’utilisateur abusé) serait à même de détecter l’attaque et d’en parer les conséquences. En amont, elle aura pu mettre en place une politique de mots de passe forts et aura sensibilisé ses employés à la nécessité d’une bonne hygiène de sécurité.

Le rôle central de la donnée dans la Transformation Digitale

De nouveaux usages du digital vont provoquer de nouvelles vulnérabilités, qui nécessiteront en conséquence de nouvelles stratégies de sécurité. C’est ce à quoi l’on assiste avec la transformation digitale, à travers l’adoption de la mobilité et le recours au cloud pour déporter et centraliser l’information hors du périmètre de l’entreprise et en mutualiser les outils d’exploitation.

On le voit, la donnée revêt une importance première, et critique, dans cette transformation : la capacité d’une entreprise à se projeter dans le XXIe siècle et à améliorer sa productivité par une automatisation de ses procédés, dans un souci de simplification et d’efficience, va reposer, entre autres, sur l’exploitation de la donnée qu’elle produit. La donnée, auparavant, c’est un simple vecteur du business, utile à de la production ou à un service, puis oubliée. Aujourd’hui, à travers sa transformation grâce à l’IA et la Science de la Donnée, elle devient elle-même un enjeu business ; c’est elle que l’on va échanger, après l’avoir raffinée et croisée avec d’autres sources. En somme, l’automatisation de l’analyse « intelligente » de données devient centrale dans la capacité des entreprises à se positionner par rapport à la concurrence. Un exemple ? Dans le domaine de l’aéronautique, la récupération des données en vol des lignes commerciales, une fois centralisée, va permettre de produire des modèles de maintenance prédictive à même de fournir une nouvelle offre aux constructeurs.

L’impact de la Transformation Digitale sur la Cybersécurité ? L’explosion du périmètre traditionnel…

La conséquence directe de ces nouveaux usages sur la cybersécurité est l’explosion de la traditionnelle défense périmétrique qu’elle a eu historiquement à définir pour défendre les usagers des outils digitaux. Une première ligne de défense a été créée à ses débuts, via des pare-feu typiquement, afin de contrôler les accès non-désirés au SI (défense en château).

Puis, au vu de la complexification des attaques et des modes opératoires, on a rajouté des couches supplémentaires de défense, plus uniquement techniques : contrôles de conformité, gestion des identités et des accès, sécurité applicative, etc.

Aujourd’hui, le périmètre n’est plus simplement limité à celui de l’entreprise; de fait, il a explosé car il est devenu global. En pratique, la donnée utile va se retrouver en des endroits très divers : sur le terminal d’un café Internet sur une plage de Thaïlande ou sur le serveur d’un fournisseur offrant le même type de service à une entreprise concurrente, dans un pays étranger échappant possiblement aux réglementations en cours dans le pays d’origine de l’organisation.

Si l’on n’abandonne pas pour autant des stratégies fondatrices indispensables à la défense d’une organisation sur son périmètre, ces nouveaux usages imposent une nouvelle stratégie, centrée sur la donnée, qui permette d’en adresser les enjeux.

…et la mutation en garant de la valeur des business

Pour résumer, la donnée prend une place centrale dans la stratégie d’entreprise, pour s’adapter non seulement aux nouveaux usages mais aussi aux nouvelles économies, par la production d’une valeur ajoutée spécifique à son métier. Pour s’adapter, la Cybersécurité va elle aussi devoir lui accorder une place centrale.

Les business veulent pouvoir accéder à une information ou un service n’importe quand, n’importe où, notamment grâce au cloud, et sur n’importe quel support connecté à Internet ; c’est l’heure de l’ATAWAD (« AnyTime, AnyWhere, Any Device »). 

La Cybersécurité va donc devoir :

  • S’assurer que ma donnée soit et reste disponible en toutes circonstances;
  • Faire en sorte que seules les personnes autorisées puissent accéder à un certain type de données (droits d’accès) ;
  • Tracer l’historique de la donnée pour s’assurer du bien-fondé de ses modifications
  • S’assurer que la donnée correspond bien à la réalité qu’elle décrit, et ce tout le long de sa chaîne d’exploitation

Des quatre piliers de la cybersécurité – disponibilité, confidentialité, traçabilité, intégrité – c’est bien ce dernier qui doit attirer l’attention, car cet aspect a le potentiel de transformer la cybersécurité elle-même, du moins de changer sa place dans la stratégie.

En faisant de la donnée une force, les entreprises développent une faiblesse : une donnée modifiée malicieusement, même noyée dans un flot de données correctes, a le potentiel de changer radicalement une prédiction, à tel point qu’elle perturberait, voire briserait, un business. Pire que de ne plus fournir le service que l’on vend, on peut se retrouver en position de fournir un service faux, aux conséquences aussi critiques que le service délivré. Si telle pièce d’un avion de ligne doit être modifiée urgemment, et que le système de maintenance prédit un RAS, quelle(s) conséquence(s) ?

Au vu de l’évolution des enjeux et des usages impliquant de nouveaux risques qui appellent de nouvelles solutions de sécurité, les entreprises ne vont plus pouvoir se permettre de faire l’économie de l’effort de cybersécurité. La donnée et sa protection n’occupent-t-elles pas une place centrale dans une stratégie d’entreprise ?

Le changement du paradigme digital va engendrer une prise de conscience des métiers, et une mutation profonde de la Cybersécurité. Une évolution est en marche, surtout à l’heure où se mettent en place des réglementations pour la protection des données personnelles telles que le RGPD.  De vilain petit canard, il apparaît que la cybersécurité soit en passe de devenir un cygne blanc.

Computational Neurosciences PhD, Rudy Guyonneau joined Sopra Steria to lead the Data Science effort in cybersecurity and co-animate Sopra Steria’s innovation projects.
Leave a comment

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *