Cybersécurité : priorité nationale

Cybersécurité : priorité nationale

Pour Nicolas Glady ,directeur général de Telecom Paris ,la cyber sécurité constitue un enjeu majeur qui participe de la souveraineté industrielle et politique. Un secteur qui manque cruellement d’effectifs et de formation. (Dans l’Opinion, extrait,).

 

 

Fréquemment réduite dans le débat public à une question technique, réservée aux initiés, la cybersécurité est pourtant l’affaire de tous. C’est une problématique globale, dont les implications, toujours plus nombreuses, conditionnent notre avenir numérique, notre intégrité nationale et notre souveraineté industrielle et politique. Pour protéger notre espace collectif, il est urgent d’augmenter nos systèmes de formation, pour que les citoyens, les entreprises et l’Etat, puissent faire face à cet enjeu stratégique.

Avant d’être la victime de malveillances en tout genre, notre cybersécurité est victime du débat public. Elle n’est souvent abordée qu’à l’occasion de grandes failles de sécurité, comme celle survenue il y a peu à l’AP-HP, et est présentée avec une sophistication technique qui n’incite pas à la mobilisation collective ! Car, de tous les maillons de la cybersécurité, c’est bien souvent le maillon humain, celui des usages et des fragilisations induites par des conduites dangereuses ou inconscientes qui est négligé. La sécurité doit pourtant être pensée sur toute la « verticale » du numérique. Concevoir un fort imprenable sans penser à ses usages et ses matériaux, c’est reproduire en matière numérique les mêmes erreurs militaires qui ont vu s’effondrer tant de défenses prétendument invulnérables.

En matière numérique comme en matière militaire, la question n’est pas de savoir comment ériger des murs infranchissables, mais comment former une nation entière ! La cyberdéfense n’est qu’une partie de notre cybersécurité. Or, nous acceptons d’évoluer dans un monde numérique sans éducation systématique, sur ce sujet clé du XX^e siècle. Nous ne devons pas nous contenter de déléguer à des spécialistes, privés ou publics, le soin de notre cybersécurité. Nous devons et pouvons tous y participer activement. La formation à la cybersécurité devrait être une priorité nationale !

Souvent occultée des plans nationaux de cybersécurité, c’est pourtant bien la formation qui devrait en être le préalable. Mais une telle action requiert quelques évolutions de nos modèles. Nos besoins nationaux et internationaux en la matière sont colossaux. Selon le consortium (ISC) ², il manquerait quatre millions d’experts cybersécurité dans le monde. En France, la pénurie d’experts est telle qu’il nous faudrait au minimum doubler les effectifs actuels dès aujourd’hui pour garantir notre sécurité nationale.

Nous n’atteindrons pas cet objectif uniquement par la formation initiale, c’est-à-dire en ne formant que des jeunes ingénieurs. Les écoles pourraient augmenter leurs capacités de formation grâce à la formation tout au long de la vie, pourvu qu’elles soient soutenues : le coût total, pour l’Etat, du doublement de formation en cybersécurité ne représenterait même pas le dixième des recettes fiscales exceptionnelles et imprévues de cette année… Dans les faits, ce coût pourrait être optimisé en s’appuyant sur des formations certifiantes. Elles pourraient prendre la forme de modules dédiés et apporter des compétences spécifiques à des professionnels actifs ou en reconversion. Ces formations pourraient également s’adresser à des organisations.

Cela implique de remettre en cause notre modèle du « tout Master 2 » et construire des formations de quelques jours à plusieurs mois, adaptées à tous les publics et à tous les âges. Il faut former tous les collaborateurs de l’organisation, quel que soit leur niveau d’expérience ou de technicité. Un tel changement doit être collectif. Il implique que de nombreux acteurs se mobilisent pour réformer durablement la formation professionnelle qui doit être envisagée tout au long de la vie : les acteurs publics, les écoles, les entreprises et toutes les parties prenantes doivent échanger pour élaborer cette offre de formation.

Cybersécurité : un manque d’investissement dans les PME

C’est la conclusion d’une étude menée par l’Ifop pour la société de conseil en cybersécurité F-Secure*, et qu’Europe 1 révèle en exclusivité. Concrètement, neuf entreprises sur dix estiment qu’il est essentiel de se prémunir contre les attaques informatiques. Sauf qu’il y a un décalage, notamment chez les TPE-PME, entre la réflexion et le passage à l’acte : une entreprise sur deux ne sécurise pas ses postes de travail et une sur trois n’utilise même pas d’antivirus.

 

Cette insuffisance résulte d’abord d’un choix financier. Selon cette étude, pour 60% des PME, le budget pour la protection de leur système informatique ne doit pas dépasser 1.000 euros par an. « Avec cette somme, on est capable de protéger une petite infrastructure, une TPE de moins de dix salariés. Un antivirus c’est environ 50 euros par an et un pare-feu pour une petite entreprise c’est 300 euros par an. Si on ajoute les interventions du prestataire de service informatiques, on arrive à 1.000 euros », détaille Guillaume Gamelin, vice-président de F-Secure France. 

Problème : c’est une somme insuffisante pour des PME de 20 ou 50 salariés. Or, « plus l’entreprise est grosse et plus elle est numérisée, plus elle est concernée par les cyberattaques », rappelle Guillaume Gamelin. Et les temps ont changé. « Hier, il suffisait d’un logiciel antivirus qu’on activait sur demande. Aujourd’hui, avec la complexité des nouvelles attaques, ce n’est plus suffisant. Il faut investir dans des ressources humaines pour vérifier et entretenir les systèmes informatiques au quotidien », souligne ce spécialiste de la cybersécurité.

Une prise de conscience pendant la crise du Covid

L’étude menée pour F-Secure met en évidence un décalage entre la perception, par les entreprises, des risques liés aux cyberattaques et les actions menées pour s’en protéger. « On observe une prise de conscience liée à la cybersécurité, grâce ou à cause de l’actualité et de la médiatisation des attaques visant des hôpitaux et des mairies« , assure Guillaume Gamelin. « Il y a eu une bascule lors de la crise du Covid-19. Les patrons sont aujourd’hui mieux informés des risques. L’inquiétude est partagée autant par les PME que par les grands groupes. Tout le monde réalise qu’une attaque informatique peut avoir des effets très concrets et très néfastes. »

Malgré l’inquiétude, deux tiers des dirigeants interrogés estiment que leurs salariés sont suffisamment protégés. Ce qui, au vu des montants investis, est loin d’être toujours le cas. « Il y a parfois un décalage entre le sentiment de sécurité des entreprises et leur niveau réel de protection, qu’il soit géré en interne ou par un prestataire de services », prévient le vice-président de F-Secure France. D’autant que le risque augmente. « Il y a une professionnalisation des hackers qui sont aujourd’hui regroupés comme des organisations criminelles. »

*Étude quantitative réalisée en ligne auprès d’un échantillon national représentatif de 500 « professionnels » âgés de 18 ans et plus, entre le 31 mars et le 2 avril 2021. 75% des entreprises interrogées ont moins de 10 salariés.

Cybersécurité: les données européennes confiées aux Américains

Cybersécurité: les données européennes confiées aux Américains

La souveraineté numérique est sérieusement mise en cause notamment depuis que le Conseil d’État a autorisé que les données sanitaires françaises puissent être confiées aux grands du numérique américain tout en exigeant des garanties de sécurité et de confidentialité. Reste que l’autorisation a été donnée.

On attend un débat et des dispositions européennes à propos de notre sécurité et de la souveraineté numérique.

Plus  de 70% des données européennes sont aujourd’hui stockées dans des clouds non-européens, rappelle OVHcloud. «Les politiques de souveraineté numérique se renforcent avec la crise du Covid-19. Nous nous sommes encore plus rendu compte de notre dépendance à tous ces outils» observe Julien Nocetti, spécialiste des questions numériques et professeur à Saint-Cyr/Coëtquidan.

Or la nouvelle bataille qui se joue est celle des données industrielles des entreprises européennes. «Nous ne pouvons pas faire l’économie d’un traitement conjoint de notre sécurité et de notre souveraineté numérique. Nous devons rester maîtres de notre destin, insistait Guillaume Poupard, le directeur général de l’Anssi .

Renforcer la cybersécurité (Valls)

« Il y a des attaques puissantes tous les quinze jours sur les grands groupes, qui sont signalées à l’ANSSI » (Agence nationale de la sécurité des systèmes d’information), a estimé Guillaume Poupard, directeur général de cette agence rattachée à Matignon. Ces attaques sont moins visibles que sur TV5 car il s’agit d’espionnage et pas de sabotage, a-t-il précisé. Pour leur faire face, les moyens de l’ANSSI vont être renforcés.  L’Etat cherche également à apporter son aide aux petites et moyennes entreprises (PME) et aux particuliers, alors que son attention se portait pour l’instant plutôt sur les opérateurs d’importance vitale (OIV), ces groupes appartenant à douze secteurs stratégiques comme l’énergie, la sécurité ou les télécoms. Un document qui détaille la stratégie nationale évoque le développement d’un « écosystème favorable » pour encourager l’investissement dans l’industrie de la cybersécurité de la part des grands groupes comme des PME. L’Etat fera également un travail d’éducation. « La France est en retard, il faut une sensibilisation de tous aux dangers », a expliqué le Premier ministre. Manuel Valls veut également « faire du modèle européen des protections de données personnelles un motif d’attractivité ». Pour faire face aux grands groupes comme Google ou Microsoft, il faut prendre des mesures législatives au niveau français et européen, estime Guillaume Poupard. « Ces géants du Net respectent la loi », a-t-il rappelé. Le directeur général de l’ANSSI a également évoqué les liens commerciaux qui peuvent unir la France à des groupes comme Microsoft ou Cisco. « Nous avons besoin d’eux, il ne faut pas pour autant être naïfs. Certains cœurs stratégiques ne leur sont pas ouverts », a-t-il tranché. Cisco emploie 1.200 personnes en France, et son président a annoncé début octobre s’apprêter à doubler ses investissements dans les start-up françaises.