Faut-il plus de cybersécurité, de cyberdéfense ou de cyber-renseignement ?


Image 20170306 20767 chdzgs
Exercice de cyber-défense à l’académie militaire de West Point en avril 2016.
Army Cyber/Flickr

Pierre Memheld, Université de Strasbourg

Aujourd’hui nous subissons, que ce soit dans le domaine économique/privé ou politique/public une quantité telle d’attaques qu’il est difficile de faire autrement que réagir. Les enjeux financiers ou électoraux, quand il ne s’agit pas des opérations extérieures, font que les autorités mobilisent des moyens de plus en plus importants, même s’il est parfois difficile d’attribuer la cyberattaque à telle ou telle partie. The Conversation

S’agit-il seulement de réagir, de se prémunir ou d’anticiper les attaques dans le domaine cyber, dans une dimension parfois perçue comme virtuelle, mais dont l’impact est concret dans les domaines économiques, militaires et diplomatiques ?

Les données personnelles, comme les codes d’accès bancaires, sont volées et revendues. Les données essentielles des entreprises, ou des hôpitaux, sont prises en otage puis libérées contre rançons payées en bitcoins. Les campagnes électorales sont influencées par la révélation d’informations compromettantes, sur un plan personnel ou financier.

La diffusion sans limite des localisations et matériels d’unités militaires en opération est facilitée par l’omniprésence et l’hyperréactivité des réseaux sociaux. Tout se passe, semble-t-il dans la dimension cyber, sans que les modes d’action soient réellement nouveaux, puisque les attaques de réseaux ou la désinformation sont des moyens anciens.

S’agit-il d’attaques hautement techniques ou de simples négligences humaines ? Selon les exemples cités : les emails des adhérents/soutiens d’un candidat français sont directement accessibles car le site Internet de sa campagne est mal sécurisé ; l’utilisation trop fréquente des mêmes mots de passe basés sur nos vies personnelles est une faille ; les méthodes de « social engineering » qui permettent d’initier un virement au profit du hacker sont méconnues ; la publication non sécurisée de données personnelles sur Facebook représente un risque de vol d’identité ou de « social engineering » ; un encore la cadeau/achat de clés USB piégées pour avoir accès à des réseaux sécurisés.

De la sécurité à l’action dans le domaine cyber

Face à ses menaces, l’État renforce ses moyens d’action, avec la création d’un Commandement de cyberdéfense par exemple pour les armées, mais aussi une action au niveau individuel avec la création d’un dispositif national d’assistance aux victimes créé par l’ANSSI (ACYMA).

Entre ces deux extrêmes, l’ANSSI, et les ministères concernés, accompagnent les Opérateurs d’intérêt vital (OIV), devant renforcer la sécurité de leurs systèmes d’informations, ou publient des guides d’hygiène information ou de bonnes pratiques dans les différents usages informatiques.

La tâche est sans fin puisque tous les aspects et secteurs utilisant le numérique sont concernés : des viticulteurs, des menuisiers ou des imprimeurs sont attaqués et perdent leurs données, la conséquence pouvant être la fermeture définitive de ces PMEs et donc la disparition d’emplois. L’Internet des objets démultiplie les brèches ouvertes aux hackers : caméras de surveillance, réfrigérateurs connectés ou robots (industriels, médicaux ou agricoles) et même jouets. Si les grandes entreprises, OIV ou non, ont les moyens de sécuriser leurs réseaux, elles sont tout autant ciblées et victimes.

D’après les chiffres d’une étude menée par l’Usine nouvelle et Orange Business Service en 2016, 56 % des entreprises industrielles interrogées reconnaissent avoir été victimes de cyberattaques, un chiffre en hausse de 5 % par rapport à 2015. Et ce malgré les mesures prises ou les sensibilisations effectuées en interne ou par les services habilités, dont par exemple la Gendarmerie Nationale. Une autre étude pointe les disparités de perception des responsabilités et de l’impact de la cybersécurité entre les responsables IT et les dirigeants d’entreprises, le management de la sécurité.

Quelle est la nature des menaces cyber ?

Comme le montre cette dernière étude, les entreprises considèrent que les menaces ont les origines suivantes : une erreur ou une imprudence humaine ; un employé corrompu ou démotivé ; un individu ou un groupe isolé, extérieurs à l’entreprise ; des concurrents ; des organisations criminelles ; des organisations idéologiques (Anonymous) ; des organisations étatiques. Que l’origine des menaces, ou des failles, soient internes ou externes, il s’agit avant tout d’une question de coordination de la sécurité au niveau de l’ensemble de l’entreprise, pas seulement du service IT.

Il ne s’agit plus simplement que les employés ou les cadres soient sensibilisés mais bien formés aux problématiques techniques (en fonction de leurs implications), aux menaces récurrentes ou émergentes (nécessité d’un plan de veille spécifique) et à la coordination interne : que les « approches » directes des personnes (par e-mail ou par téléphone) soient signalées ; que les bonnes pratiques soient appliquées à tout niveau ; que les personnels soient responsabilisés au vu des enjeux économiques et sociaux. Seule la formation, continue ou initiale, peut couvrir ces besoins.

Séminaire cyberconflictualite et forces armées à Saint-Cyr.
defense.gouv.fr

Or en France, même sur les profils de spécialistes la demande (emplois) est supérieure à l’offre (diplômés). Sciences Po Paris ou le Lycée Militaire de Saint-Cyr ont récemment annoncé la création de cursus dédiés à la sécurité et au cyber. Mais les écoles de commerce ou d’ingénieurs n’ont pas généralisé l’enseignement des principes de sécurité, sans même parler de cybersécurité, y compris dans les cursus où l’informatique (réseaux ou logiciels) est abordée. Comment donc former les futurs personnels, mais aussi et surtout les personnels en activités ?

Faut-il développer le renseignement d’origine cyber ?

La liste de l’origine des menaces est révélatrice : des individus, des concurrents, des groupes et des organisations. Il serait utile d’approfondir l’étude de l’emploi par les organisations criminelles de hackers réputés indépendants par nature. Celles-ci ont des modes de fonctionnement équivalent à ceux des entreprises, mais avec des modes d’action illégaux : objectifs de parts de marché, offres de service différenciées, diversification ou spécialisation des activités (production, transport, revente) mais aussi externalisation à des prestataires de services.

Le « marché » du rançonnage est en pleine croissance car il implique peu de risques physiques directs, contrairement à la production/distribution de drogues, des moyens limités (hackers et ordinateurs), des revenus moins élevés que d’autres activités mais un marché mondial. Tout comme pour le « cyber-djihadisme », l’analyse des modes de communications et d’actions des organisations criminelles améliorerait notre capacité de réaction voire d’anticipation. Il ne s’agit pas de se murer derrière des firewalls et des procédures mais de se renseigner sur un adversaire, la cyber intelligence.

Les entreprises mettent elles en place des solutions anti cyberattaques ?
Sekurigi

L’adversaire peut être économique (concurrents ou criminels), militaire (états ou mouvements terroristes) et politique (états ou concurrents). Pour en revenir aux failles humaines, le fait que des emails de responsables soient facilement accessibles, car non protégés, ou que nous ne soyons pas capables de répondre à de la propagande sur Internet, est une faute grave que ces adversaires ont tout loisir d’exploiter. Nous sommes responsables collectivement de ces manquements car les méthodes existent au niveau de la sécurité, de la formation ou de la vérification de l’information.

Il est possible de vérifier qui est l’émetteur d’un e-mail avant de cliquer sur un lien d’hameçonnage ou de renforcer nos mots de passe. Il est possible de cloisonner les droits d’administration et d’utilisation d’un réseau information, ou de le rendre inaccessible aux anciens employés. Il est possible, pour les services habilités mais aussi des hackers « noirs », d’avoir accès aux messageries sécurisées.

La diversité des menaces, des acteurs, donc des interactions peut être vue comme une série de cyber-conflictualités plutôt qu’une cyber-guerre, même si le concept est parlant.

Pierre Memheld, Responsable du Master Intelligence Economique et Gestion du Développement International, Université de Strasbourg

La version originale de cet article a été publiée sur The Conversation.

« Comment enseigner les méthodes d’analyse du renseignement » au #FIC2017 Stand D24

Pierre Memheld, Université de Strasbourg

L’analyse du renseignement est avant tout un ensemble de méthodes, et de connaissances, avant d’être des outils. L’évolution des moyens de communication, de commandement ou de collection entraîner une explosion des volumes d’informations à traiter ou des environnements logiciels à maîtriser.

De la méthode et des méthodes

Connaître les méthodes d’analyse est nécessaire pour ne pas être dépendant des solutions logicielles proposées, pouvoir mieux comprendre leurs fonctionnements et leurs avantages, et pouvoir continuer à analyse en environnement dégradé ou en absence de moyens.

Mais les méthodes d’analyse elles-mêmes ont une histoire, un contexte de création, une logique propre ou des limites d’utilisation. Une méthode d’analyse est avant tout une manière de représenter un ensemble d’informations, en les reliant ou en les comparant entre elles.

Si une méthode d’origine civile ne peut être utilisée en principe dans un contexte militaire par exemple, des adaptations sont possibles et chaque méthode peut être essayée dans un contexte différent que le sien d’origine : les méthodes sont alors des cadres de référence. Enfin, une méthode d’analyse ne vaut que par son application : l’enseigner sans donner de cas réel d’application ou sans mener des exercices avec n’est pas pertinent car l’objectif de l’analyse est d’aider à la décision.

Planifier collecte, analyse, communication…

Les méthodes ont besoin d’informations pour être utilisées. La bonne planification de la recherche du renseignement est donc une étape essentielle du cycle éponyme. La nature et le fonctionnement des « capteurs » (humains, électroniques, logiciels) peuvent influencer sur la qualité de l’information en « entrée » dans les méthodes, sans même parler de la qualité des sources.

Selon la version du cycle appliquée, on peut ou non distinguer les phases « exploitation » et « analyse » ; viennent ensuite les phases « communication » (savoir exprimer ou représenter une analyse de façon claire) et « retour sur expérience » (savoir si l’on a correctement, et à temps, collecter les informations nécessaires).

On le voit, toutes les phases sont essentielles car mal organiser ou mal transmettre le renseignement revient à rendre la manœuvre inutile : le décideur (qu’il soit économique, politique ou militaire) n’a pas les éléments pour prendre sa décision.

Mais la phase exploitation/analyse est au cœur du processus car elle est le « goulet d’étranglement » du cycle. Le décideur ne peut pas utiliser toutes les informations collectées et les informations souvent brutes doivent être raffinées, puis reliées et comparées entre elles, avant de devenir un « renseignement utilisable ». Au-delà de la décision à prendre, il s’agit d’anticiper les actions futures des concurrents ou des ennemis.

Les risques de biais cognitifs

Le principal risque de la phase « analyse » est l’analyste lui-même car il peut commettre des erreurs d’analyse, de façon volontaire ou inconsciente. Il s’agit du vaste sujet d’études des « biais cognitifs ». « L’expression « biais cognitifs » est généralement assimilée de manière erronée à la notion commune de « biais ». C’est-à-dire la tendance de certains à présenter plus ou moins « involontairement les informations, idées ou évènements d’une façon altérée par un a priori ou une conviction ». Il n’en est rien : un biais cognitif est la conséquence involontaire, automatique et systématique d’une opération de simplification conduisant à une erreur de jugement, que réalise en permanence le cerveau de n’importe quel individu. Celui-ci ne perçoit pas son action mentale comme simplifiée et est persuadé d’avoir suivi un chemin logique et rationnel. L’officier de renseignement comme tout autre individu est donc lui aussi exposé à ces biais, quelle que soit son expérience.

La seule manière de lutter contre les biais est de les connaître, de se connaître, d’utiliser des processus pour les contrer et de travailler en équipe. Il est avéré qu’une équipe aux compétences diversifiées (tant par les parcours personnels que les compétences rassemblées ou les langues/cultures maîtrisées) a une meilleure efficacité dans l’analyse et un moindre risque d’exposition aux biais.

Organisation du travail

Le cycle du renseignement est parfois remis en cause car il est dépendant de chaque phase pour produire du renseignement et donc des décisions. L’ancien analyste du renseignement américain Robert M. Clark a cherché à développer une méthode alternative en 2003 en proposant une « approche centrée sur les cibles » (target-centric approach).

Il reste néanmoins une méthode d’organisation du travail appliquée avec une attention particulière portée sur les points ci-dessus, grâce à la connaissance des blocages possibles, grâce à l’utilisation de l’évaluation continue de la « production » et grâce aux outils collaboratifs qui permettent le travail en réseaux et non plus de façon autonome, voire isolée (chacun gérant sa phase ou spécialité).

Dans la même logique, on peut essayer d’utiliser une méthode d’analyse issue d’un autre champ d’application à condition de garder en tête ses limites, contraintes et raison d’être. Certaines méthodes, comme la SWOT, sont utilisées pour analyser toutes sortes de situations alors que son rôle est de représenter de façon synthétique les forces, faiblesses, menaces et opportunités d’une organisation seule. La MEDO décrit un processus d’analyse d’un environnement militaire confrontant différentes hypothèses ami/ennemi afin de prendre une décision : est-elle utilisable dans une entreprise ?

Combien de méthodes ?

En dehors de ces différentes problématiques, il reste une barrière inhérente aux méthodes : leur nombre. Certains auteurs en recensent 5 « essentielles », d’autres 50 ou même plus de 150. Quel qu’en soit le nombre il est rare que l’on ait le temps de toutes les appliquer car chacune requiert une manière de formater et structurer les données, et parfois un logiciel.

Une entreprise, un gouvernement ou un état-major sont des organisations contraintes par le temps car elles doivent produire une décision selon un rythme imposé par les actionnaires, les électeurs ou les ennemis. Bien évidemment il existe des cellules d’expérimentation de nouvelles méthodes (par l’étude de la production scientifique) et la transcription de celles-ci dans les processus de décision en cours.

Cette fonction « études et prospectives » peut évidemment être assurée par la recherche universitaire telle que nous l’avons déjà évoquée. Les menaces émergentes, comme le cyber, est un des champs d’exploration des méthodes d’analyse, alliant outils de diagnostic pour identifier les acteurs et réactivité pour les dispositifs d’alertes/défense, tant les attaques sont rapides, brèves, efficaces. Les rencontres, comme le FIC, permettent de suivre l’état de l’art/menace en la matière et de connaître les méthodes applicables, les outils existants et donc de développer une intelligence collective.

The Conversation

Pierre Memheld, Responsable du Master Intelligence Economique et Gestion du Développement International, Université de Strasbourg

La version originale de cet article a été publiée sur The Conversation.

%d blogueurs aiment cette page :