La cybersécurité doit s'inspirer de l'aéronautique

Les cyberattaques de ces dernières semaines ont été pour bon nombre d'acteurs de la cybersécurité l'occasion de se remettre en cause. Il est désormais clair que tout le monde peut être confronté à un cyber incident majeur et que, par conséquent, toute entité doit prendre les mesures pour prévenir, détecter, gérer et redémarrer au plus vite après un cyber incident.

Notre métier d'éditeur de logiciels de cybersécurité comporte une part d'analyse des malwares (analyse des codes malveillants) et une étude des scenarii des cyberattaques pour sans cesse améliorer nos produits pour contrer les menaces ou attaques les plus complexes.

Comme la plupart de nos confrères nous avons suivi de très près "l'affaire" SolarWinds. Comme c'est souvent le cas, ce qui a rendu l'attaque possible n'est pas un élément majeur particulier mais une succession d'erreurs qui ont rendu cette exploit possible. Dans le cas de SolarWinds, le très faible niveau de sécurité du mot de passe du serveur de mises à jour (solarwinds123) ; l'absence de contrôle des fichiers publiés ; l'absence de signature numérique avec un process sécurisé des codes publiés ; l'absence d'étude des logs de connexion au serveur ; et le fait que SolarWinds conseillait à ses clients de "de mettre le dossier des logiciels SolarWinds dans la liste des dossiers non surveillés de l'antivirus pour éviter tout problème", ont fortement contribué à rendre possible la compromission de leurs propres logiciels, avec les conséquences que l'on connait.

Nous intervenons régulièrement chez des grands comptes pour des missions d'expertise cyber ; soit en amont pour un audit de niveau III; soit après une suspicion d'attaque. Souvent, nous sommes effarés des négligences grossières qui peuvent être commisses et qui compromettent la sécurité de l'entreprise. Si on devait dresser une liste des principaux problèmes relevés on pourrait citer : le manque de rigueur, le peu ou l'absence de procédures, le manque de moyens financiers alloués, le manque de ressources réellement affectés et disponibles à la cybersécurité et le manque de compétence aussi.

Si le monde aérien fonctionnait comme l'informatique d'entreprise il y aurait des crashs absolument tous les jours. Moi qui suis à la croisée des deux mondes cyber et aéronautique (cyber pour notre activité d'éditeur de logiciels de cybersécurité depuis plus de 20 ans ; et aéronautique parce que je suis pilote privé) je suis convaincu que le monde de la cybersécurité doit s'inspirer du monde aéronautique. S'inspirer de sa rigueur, de sa précision, des procédures, de son niveau d'exigence, de l'ensemble des réflexions qui ont lien en amont. On n'imagine pas un instant l'équipage d'un avion de ligne improviser quand une défaillance majeure survient.

Le monde la cybersécurité manque de rigueur, de moyens, d'exigences, de niveau de formation, de suivi, d'entrainement, de procédures qui anticipent et définissent avec précision les actions à réaliser quand un incident survient.

Un sujet marronnier qui revient régulièrement dans la presse est "la pénurie de profils en cybersécurité". Il nous arrive de voir passer des annonces de recrutement pour des profils de type "Expert cybersécurité, ingénieur diplômé, 10 ans d'expérience en cyber" avec un liste de compétences et de technos à donner le tournis, pour une rémunération de 35-40K€ à négocier suivant profil. Magique.

RSSI est métier stratégique, complexe et très exigent humainement. La cybersécurité est un enjeu majeur pour les entreprises. Le coût des investissements nécessaires à la protection est sans commune mesure aux coûts d'une cyberattaque. Coûts financiers mais aussi surtout le coût de l'atteinte à l'image de l'entreprise et de la perte de confiance des clients et partenaires.

Le recrutement du RSSI doit donc se faire avec tout l'attention et les moyens que requiert un poste aussi vital. Charge de travail, charge mentale, stress vont immanquablement faire partie du quotidien de ce collaborateur. Aussi, il nous apparaît évident que, dans les grandes organisation, le RSSI doit pouvoir se reposer sur un "adjoint", un backup, un second pour le délester de la charge, lui libérer l'esprit pour qu'il reste concentré sur les fondamentaux et aussi et surtout pour avoir un capitaine aux commandes si par malheur un cyber incident se produit pendant l'absence du RSSI (congés, maladie, ...)

L'équipe sécurité de l'entreprise doit fonctionner comme l'équipage d'un avion de ligne.

Le monde de la cyber a tout à gagner à s'inspirer de l'expérience du monde aéronautique.

Gregory SNAUWAERT

CEO, AxBx