Rationaliser et dédramatiser les cyberattaques.

AVIS D’EXPERT

Dans quelle mesure les cyberattaques font-elles l’objet d’un déni de la part de nos organisations ? À l’instar du défi climatique que nous peinons à relever, le défi de la cybersécurité serait ainsi assimilé à une fatalité. Or, il est possible d’agir ! Sorti au moment de Noël 2021, le film Don’t Look up : déni cosmique, évoque notre aveuglement collectif face au changement climatique. Don’t Look up évoque bien sûr la paralysie qui est la nôtre face à l’urgence environnementale – le fameux « notre maison brûle, et nous regardons ailleurs » énoncé à l’ONU par un ancien président de la République française. Mais ce film traite en réalité des réactions qui sont les nôtres dès lors qu’un problème majeur est posé. En cela, il nous renvoie aussi à l’inaction qui touche de nombreuses organisations, de la TPE au grand groupe, face aux défis majeurs. La cybersécurité en est un, et non des moindres. Comment (ré) agir dans un contexte de multiplication des cyberattaques sur nos entreprises et nos services publics ? Quelles actions mobiliser face à la paralysie de certains hôpitaux par exemple, ou face à la fuite importante de données d’une entreprise ?

Les neuroscientifiques traitent depuis quelques années de ces questions. C’est le cas de Sébastien Boher, docteur en neurosciences, qui nous explique de quelle manière les « bugs » de nos cerveaux interfèrent avec nos engagements sociétaux, économiques ou environnementaux. Confronté à un phénomène qui est tout à la fois prévisible et non immédiat, notre cerveau intervient de manière non rationnelle : le striatum, organe responsable de la molécule du plaisir, nous pousse à aller chercher des gratifications faciles et quotidiennes. Grâce à la dopamine qu’il sécrète, ce stratium entraînerait des réflexes bien éloignés de la raison… Des éléments de nature culturelle et technique sont également engagés dans ce phénomène qui voit certaines entreprises et certaines structures publiques demeurer sans approche de cyberdéfense aboutie. Ici, c’est un peu comme si la fatalité dominait : les attaques se multiplient comme une pluie d’orages, et il faut espérer que la foudre ne vienne pas à nous toucher…

Accepter le monde tel qu’il est, avec ses risques et ses dangers, ne veut certainement pas dire qu’il faut s’en remettre au hasard. Une stratégie de cyberdéfense se pense et se construit sur la base d’éléments rationnels et tangibles. En matière de cybersécurité, cette défense peut se concevoir sous deux angles complémentaires. Le premier angle convoque l’image du château fort ou de la muraille. Depuis l’apparition des virus il y a une quarantaine d’années, nos systèmes informatiques se protègent du monde extérieur en érigeant des barrières. L’antivirus, qui a longtemps suffi à nous aider, est typiquement l’outil adéquat pour cela.

Le second angle est plus récent, et convoque une autre image : celle de la caméra de surveillance. Depuis quelques années, les cybercriminels savent franchir les murailles que les entreprises érigent. Nous savons également que nos systèmes informatiques comportent très souvent des vulnérabilités qui, même infimes, ouvrent des brèches. C’est notamment ce qui est arrivé il y a quelques mois à la société de VTC Uber ainsi qu’à Microsoft. Pourtant, grâce à l’intelligence artificielle et au Machine Learning, il est possible de repérer un attaquant qui vient de franchir les portes d’un système informatique. En effectuant ses premiers pas au sein de notre territoire dans le but de prendre le contrôle via l’acquisition de droits de plus en plus étendus, celui-ci se croit furtif. Il ne l’est pas : à l’instar des caméras de vidéosurveillance, il est scruté dans ses mouvements latéraux par un puissant système de cyberdéfense. Jugés suspects par celui-ci, ses mouvements font l’objet d’alertes auprès des équipes techniques et du DSSI : avant même d’être conclue, l’attaque est stoppée net.