Faut-il plus de cybersécurité, de cyberdéfense ou de cyber-renseignement ?


Image 20170306 20767 chdzgs
Exercice de cyber-défense à l’académie militaire de West Point en avril 2016.
Army Cyber/Flickr

Pierre Memheld, Université de Strasbourg

Aujourd’hui nous subissons, que ce soit dans le domaine économique/privé ou politique/public une quantité telle d’attaques qu’il est difficile de faire autrement que réagir. Les enjeux financiers ou électoraux, quand il ne s’agit pas des opérations extérieures, font que les autorités mobilisent des moyens de plus en plus importants, même s’il est parfois difficile d’attribuer la cyberattaque à telle ou telle partie. The Conversation

S’agit-il seulement de réagir, de se prémunir ou d’anticiper les attaques dans le domaine cyber, dans une dimension parfois perçue comme virtuelle, mais dont l’impact est concret dans les domaines économiques, militaires et diplomatiques ?

Les données personnelles, comme les codes d’accès bancaires, sont volées et revendues. Les données essentielles des entreprises, ou des hôpitaux, sont prises en otage puis libérées contre rançons payées en bitcoins. Les campagnes électorales sont influencées par la révélation d’informations compromettantes, sur un plan personnel ou financier.

La diffusion sans limite des localisations et matériels d’unités militaires en opération est facilitée par l’omniprésence et l’hyperréactivité des réseaux sociaux. Tout se passe, semble-t-il dans la dimension cyber, sans que les modes d’action soient réellement nouveaux, puisque les attaques de réseaux ou la désinformation sont des moyens anciens.

S’agit-il d’attaques hautement techniques ou de simples négligences humaines ? Selon les exemples cités : les emails des adhérents/soutiens d’un candidat français sont directement accessibles car le site Internet de sa campagne est mal sécurisé ; l’utilisation trop fréquente des mêmes mots de passe basés sur nos vies personnelles est une faille ; les méthodes de « social engineering » qui permettent d’initier un virement au profit du hacker sont méconnues ; la publication non sécurisée de données personnelles sur Facebook représente un risque de vol d’identité ou de « social engineering » ; un encore la cadeau/achat de clés USB piégées pour avoir accès à des réseaux sécurisés.

De la sécurité à l’action dans le domaine cyber

Face à ses menaces, l’État renforce ses moyens d’action, avec la création d’un Commandement de cyberdéfense par exemple pour les armées, mais aussi une action au niveau individuel avec la création d’un dispositif national d’assistance aux victimes créé par l’ANSSI (ACYMA).

Entre ces deux extrêmes, l’ANSSI, et les ministères concernés, accompagnent les Opérateurs d’intérêt vital (OIV), devant renforcer la sécurité de leurs systèmes d’informations, ou publient des guides d’hygiène information ou de bonnes pratiques dans les différents usages informatiques.

La tâche est sans fin puisque tous les aspects et secteurs utilisant le numérique sont concernés : des viticulteurs, des menuisiers ou des imprimeurs sont attaqués et perdent leurs données, la conséquence pouvant être la fermeture définitive de ces PMEs et donc la disparition d’emplois. L’Internet des objets démultiplie les brèches ouvertes aux hackers : caméras de surveillance, réfrigérateurs connectés ou robots (industriels, médicaux ou agricoles) et même jouets. Si les grandes entreprises, OIV ou non, ont les moyens de sécuriser leurs réseaux, elles sont tout autant ciblées et victimes.

D’après les chiffres d’une étude menée par l’Usine nouvelle et Orange Business Service en 2016, 56 % des entreprises industrielles interrogées reconnaissent avoir été victimes de cyberattaques, un chiffre en hausse de 5 % par rapport à 2015. Et ce malgré les mesures prises ou les sensibilisations effectuées en interne ou par les services habilités, dont par exemple la Gendarmerie Nationale. Une autre étude pointe les disparités de perception des responsabilités et de l’impact de la cybersécurité entre les responsables IT et les dirigeants d’entreprises, le management de la sécurité.

Quelle est la nature des menaces cyber ?

Comme le montre cette dernière étude, les entreprises considèrent que les menaces ont les origines suivantes : une erreur ou une imprudence humaine ; un employé corrompu ou démotivé ; un individu ou un groupe isolé, extérieurs à l’entreprise ; des concurrents ; des organisations criminelles ; des organisations idéologiques (Anonymous) ; des organisations étatiques. Que l’origine des menaces, ou des failles, soient internes ou externes, il s’agit avant tout d’une question de coordination de la sécurité au niveau de l’ensemble de l’entreprise, pas seulement du service IT.

Il ne s’agit plus simplement que les employés ou les cadres soient sensibilisés mais bien formés aux problématiques techniques (en fonction de leurs implications), aux menaces récurrentes ou émergentes (nécessité d’un plan de veille spécifique) et à la coordination interne : que les « approches » directes des personnes (par e-mail ou par téléphone) soient signalées ; que les bonnes pratiques soient appliquées à tout niveau ; que les personnels soient responsabilisés au vu des enjeux économiques et sociaux. Seule la formation, continue ou initiale, peut couvrir ces besoins.

Séminaire cyberconflictualite et forces armées à Saint-Cyr.
defense.gouv.fr

Or en France, même sur les profils de spécialistes la demande (emplois) est supérieure à l’offre (diplômés). Sciences Po Paris ou le Lycée Militaire de Saint-Cyr ont récemment annoncé la création de cursus dédiés à la sécurité et au cyber. Mais les écoles de commerce ou d’ingénieurs n’ont pas généralisé l’enseignement des principes de sécurité, sans même parler de cybersécurité, y compris dans les cursus où l’informatique (réseaux ou logiciels) est abordée. Comment donc former les futurs personnels, mais aussi et surtout les personnels en activités ?

Faut-il développer le renseignement d’origine cyber ?

La liste de l’origine des menaces est révélatrice : des individus, des concurrents, des groupes et des organisations. Il serait utile d’approfondir l’étude de l’emploi par les organisations criminelles de hackers réputés indépendants par nature. Celles-ci ont des modes de fonctionnement équivalent à ceux des entreprises, mais avec des modes d’action illégaux : objectifs de parts de marché, offres de service différenciées, diversification ou spécialisation des activités (production, transport, revente) mais aussi externalisation à des prestataires de services.

Le « marché » du rançonnage est en pleine croissance car il implique peu de risques physiques directs, contrairement à la production/distribution de drogues, des moyens limités (hackers et ordinateurs), des revenus moins élevés que d’autres activités mais un marché mondial. Tout comme pour le « cyber-djihadisme », l’analyse des modes de communications et d’actions des organisations criminelles améliorerait notre capacité de réaction voire d’anticipation. Il ne s’agit pas de se murer derrière des firewalls et des procédures mais de se renseigner sur un adversaire, la cyber intelligence.

Les entreprises mettent elles en place des solutions anti cyberattaques ?
Sekurigi

L’adversaire peut être économique (concurrents ou criminels), militaire (états ou mouvements terroristes) et politique (états ou concurrents). Pour en revenir aux failles humaines, le fait que des emails de responsables soient facilement accessibles, car non protégés, ou que nous ne soyons pas capables de répondre à de la propagande sur Internet, est une faute grave que ces adversaires ont tout loisir d’exploiter. Nous sommes responsables collectivement de ces manquements car les méthodes existent au niveau de la sécurité, de la formation ou de la vérification de l’information.

Il est possible de vérifier qui est l’émetteur d’un e-mail avant de cliquer sur un lien d’hameçonnage ou de renforcer nos mots de passe. Il est possible de cloisonner les droits d’administration et d’utilisation d’un réseau information, ou de le rendre inaccessible aux anciens employés. Il est possible, pour les services habilités mais aussi des hackers « noirs », d’avoir accès aux messageries sécurisées.

La diversité des menaces, des acteurs, donc des interactions peut être vue comme une série de cyber-conflictualités plutôt qu’une cyber-guerre, même si le concept est parlant.

Pierre Memheld, Responsable du Master Intelligence Economique et Gestion du Développement International, Université de Strasbourg

La version originale de cet article a été publiée sur The Conversation.

Loi Sapin II : impacts organisationnels et informationnels des dispositifs anticorruption

Pierre Memheld, Université de Strasbourg

Les sociétés souhaitant s’internationaliser sont confrontées à différents types de risques : instabilités internes, concurrence abusive, espionnage économique… mais aussi parfois la corruption.

Ces risques peuvent parfois s’agencer dans un cas ultime où la société « visée » n’aura pas toujours les mêmes moyens d’action ou d’influence que ses concurrents. Actuellement, l’accroissement du risque « corruption » représente un décalage de compétitivité tant les lois varient d’un pays à l’autre, ce qui crée un nouveau défi. La bonne gouvernance interne, ainsi que l’audit des activités, et les « due diligence », méthodes associées au concept de conformité (compliance en anglais) sont de nouvelles façons de se prémunir contre ces menaces.

Des procédures anticorruption

La France va mettre en œuvre, dans le cadre de la loi Sapin II, votée à l’Assemblée nationale le 8 novembre dernier, de nouvelles dispositions anticorruption. Cette loi va créer l’obligation, pour toutes les entreprises réalisant plus de 100 millions d’Euros de chiffre d’affaires, et ayant au moins 500 salariés, de mettre en place des procédures anticorruption impliquant le développement d’un système d’information interne et externe.

Citation de Robert Reich.
Democracy Chronicles/Flickr, CC BY

Jusqu’à présent, les entreprises françaises pouvaient suivre les recommandations de l’OCDE à ce sujet, devaient suivre les obligations existantes dans certains pays, mais elles avaient généralement la possibilité de ne rien faire pour prévenir le risque corruptif ou criminel même si elles y étaient souvent exposée dans le cadre de leurs activités à l’international. Si un des principaux points de la loi est la création d’une Agence Française Anticorruption, elle aura également des impacts importants sur l’organisation des entreprises.

Les procédures à mettre en œuvre dans le cadre la future loi sont :

  • l’adoption d’un code de conduite décrivant les comportements à proscrire caractérisés par des faits de corruption ou de trafic d’influence ;
  • la mise en œuvre d’un dispositif d’alerte interne ;
  • l’établissement d’une cartographie des risques ;
  • la mise en œuvre d’une procédure de vérification de l’intégrité des clients, fournisseurs, partenaires et intermédiaires ;
  • la réalisation de contrôles comptables internes ou externes ;
  • l’organisation d’une formation dispensée aux cadres de la société et aux personnels les plus exposés ;
  • l’instauration de sanctions disciplinaires permettant de sanctionner les membres de la société en cas de violation du code de conduite de la société.

Outre les sanctions vis-à-vis des employés fautifs, une peine complémentaire de mise en conformité visera l’entreprise, et ses dirigeants, en cas d’absence de mise en place des procédures ci-dessus.

On le voit, sans parler des contraintes légales, de nouvelles contraintes managériales apparaissent.

Les enjeux managériaux de la compliance

Le principal facteur de variation des moyens à mettre en œuvre reste le cadre légal et réglementaire à appliquer. La plupart des pays ont des lois anticorruption, mais tous n’ont pas de cadre contraignant les entreprises à anticiper d’éventuels litiges par la vérification de l’identité, de la qualité, de la réputation et du casier judiciaire de leurs partenaires, fournisseurs, clients.

La mise en œuvre de multiples cadres légaux représente une autre contrainte managériale qui va s’appliquer aux entreprises concernées par la loi Sapin II. Elle nécessite aussi la mise en place d’une fonction transversale chargée de coordonner les actions à mener :

  • suivi de l’évolution du cadre légal et réglementaire ;
  • création de postes dédiés ;
  • coordination avec les fonctions financières et opérationnelles ;
  • formation interne de cadres venant d’horizons et cultures différentes ;
  • recherches nécessaires à la documentation interne opposable aux autorités (parfois privées ou associatives) ;
  • audits internes sur le fond et la forme ;
  • suivi de l’évolution des menaces internes et externes.

Le projet de loi Sapin II précise non seulement les procédures à mettre en œuvre, les sanctions envisagées, mais également la documentation à créer. Quand un groupe international peut créer une équipe dédiée comptant plusieurs dizaines d’employés spécialisés, quels seront les moyens disponibles pour une entreprise de 500 personnes, pourtant soumise aux mêmes obligations ?

En effet, outre le code de déontologie, il faut créer de toutes pièces les procédures recommandées, prévoir des audits supplémentaires des contrats, des comptes et des relations commerciales mêmes non formalisées, faire réaliser des investigations sur les « tierces parties » (due diligence), désigner des responsables internes voire créer des postes dédiés, lister et formes les salariés « à risque » et mener une veille juridique sur les marchés visés, l’environnement concurrentiel.

La mise en œuvre de ces différents processus, et cadres légaux, fait appel à toutes les fonctions de l’entreprise : juridique, financière, opérationnelle (marketing, production, export), communication ou ressources humaines et sécurité.

Les enjeux informationnels de la compliance

L’intelligence économique, comme outil de management de l’information et de coordination des actions, peut elle également servir dans ce cadre ?

Ses fonctions sont une connaissance approfondie des compétences internes et des risques éventuels ou du jeu des acteurs de l’environnement concurrentiel ce qui lui confère un rôle stratégique. En effet, si certaines tâches, comme la veille juridique ou certaines investigations, peuvent être externalisées, il n’en va pas de même pour l’interface avec les fonctions opérationnelles ou financières, ou la préservation de la confidentialité des objectifs stratégiques ou technologiques de l’entreprise.

D’autres fonctions, nécessairement liées à la conformité, sont externalisées comme l’audit des comptes, leur certification, ou la formation continue des personnels. Sans parler de moyens financiers, une entreprise ne peut pas tout internaliser.

S’il est facile d’identifier un concurrent, un groupe criminel est moins visible d’autant que les plus organisés investissent dans des affaires légales voire dans le lobbying politique à haut niveau. Il s’agit de la fonction « anticipation » de l’intelligence économique, compréhension des évolutions de l’environnement passant par la mise en œuvre de méthodes d’analyse.

En combinant ces approches, chaque entreprise peut concevoir sa propre grille d’évaluation des risques, en fonction de son industrie, de ses pays d’activités, des lois applicables, des analyses de risque disponibles et du principe de pertinence des sources sur la qualité de l’information.

The Conversation

Pierre Memheld, Responsable du Master Intelligence Economique et Gestion du Développement International, Université de Strasbourg

La version originale de cet article a été publiée sur The Conversation.

SME / SMI : mitigate the legal risk internationally

SME and SMI can be exposed to various criminal risks in their international operations: funds’ extorsion, corruption’s request, money laundering, hostile takeover.

Management de la lutte anti-corruption et gestion du risque criminel

Les conventions internationales de l’ONU, les recommandations de l’OCDE, les lois nationales – dont l’application est globale – votées par les Etats Unis, les pays Européens et leur propres cadres réglementaires, les lois supranationales dans le domaine bancaire, sont autant de « canevas », de cadres de référence que les entreprises doivent appliquer pour lutter contre la corruption[i]. Cette multiplication nécessaire des cadres de référence crée des enjeux pour le management des entreprises, qu’elles soient présentes à l’international ou simplement exportatrices. Cela accroit le nombre de contraintes de déclaration, et documentation, pour être « conforme » à ces canevas. Les entreprises doivent avoir un outil à même d’être adapté à son environnement d’emploi, aux contraintes de chaque cadre d’action et apportant des méthodologies opérationnelles. Cet outil doit-il être normé, pour être reconnu officiellement, ou plus simplement conforme aux cadres de référence afin de pouvoir être accepté par les autorités officielles le cas échéant ? L’Observatoire du Crime Organisé (OCO)[ii] propose un système de management répondant à ces différents enjeux.

Lire la suite

Business intelligence, ethics, compliance and risk anticipation

Business intelligence, ethics, compliance and risk anticipation. Companies willing to develop their activities internationally are facing several kind of risks: political instability, unfair competition, economic espionage but also sometimes corruption existing in public call for offers or industrial projects. These risks can combine in an extreme case when the company won’t have the same responsive or influence tools than its competitors. As of now, the corruption risk rising can be considered as a competition distortion since the laws are different in each country. These hyper-competition changing forms development, linked to the emergence of players which don’t have to follow the same rules, creates a new challenge. The good internal governance, as processes audit, and preventive investigation, methods grouped in the compliance concept are new ways to protect itself against these threats.

Business intelligence, ethics, compliance and risk anticipation

%d blogueurs aiment cette page :