Pour les entreprises d’aujourd’hui, une chose est sûre : la perturbation est toujours au coin de la rue. Bien que les perturbations technologiques puissent offrir des opportunités, elles amplifient également les risques.
C’est le thème d’un panel intelligemment intitulé lors de la conférence RSA 2022 de cette année : Les jetons sont là, maintenant quelles sont les implications de la sécurité. Le panel se tiendra le 6 juin, de 14:20 à 15:10 PT, au Moscone Center de San Francisco.
Lisa Lee, modérateur du panel, qui est conseillère en sécurité et responsable mondiale pour les secteurs verticaux et l’engagement chez Microsoft, et Diana Kelley, membre de la direction technique et cofondatrice du conseil en cybersécurité SecurityCurve, ont offert à Endpoint un aperçu de ce dont ils discuteront, pourquoi vous devriez y assister et ce que les RSSI d’entreprise peuvent faire pour rester pertinents et réduire les risques à mesure que de nouvelles technologies d’entreprise entrent en œuvre.
Ceux d’entre nous d’un certain âge se souviennent de la promesse de voler des voitures lorsque nous étions enfants. Pourtant, ils ne sont toujours pas vraiment là. Selon vous, quelles technologies futures auront l’impact le plus significatif au cours des cinq à 10 prochaines années ?
Lee : C’est drôle que vous parliez de voitures volantes. Lorsque j’ai commencé l’exploration pour cette session, il y a près de deux ans, on m’a dit que les voitures volantes avaient deux ou trois ans. Je me suis dit : « Il n’y a aucun moyen. Il y a au moins cinq à 10 ans. » Nous n’avons tout simplement pas l’infrastructure nécessaire pour gérer les voitures volantes.
Aujourd’hui, les voitures volantes font la une des journaux tous les jours. Les entreprises réussissent les tests de vol, obtiennent des certifications et des notations réglementaires. Donc, oui, les voitures volantes sont là. Ils sont ici, à différents stades, depuis deux ans. J’ai récemment lu qu’ Uber s’attend à ce que sa voiture volante soit opérationnelle d’ici 2023. Et, bien sûr, les voitures volantes, tout comme les voitures autonomes, seront confrontées à d’énormes défis en matière de cybersécurité en termes de sécurité, de confidentialité des données et de nombreux autres problèmes.
À l’exception des voitures volantes, de quelles technologies d’entreprise allez-vous discuter lors du RSA 2022 ? Selon vous, quelle est la plus grande préoccupation pour les RSSI ?
Lee : Pour cette table ronde, nous réfléchissons en termes de secteurs d’activité ou d’endroits où les plus grandes perturbations se produisent. Donc, pour ce panel, Diana parlera de mondes alternatifs, tels que le métavers, et de
toutes les implications en matière de cybersécurité. Theresia Gouw, partenaire fondateur d’Acrew Capital, discutera de Web3. Patricia Titus, directrice de la confidentialité
et de la sécurité de l’information chez Markel Corporation, parlera du transport. Je vais parler du secteur de la santé .
« Si votre entreprise prévoit d’aller à fond dans le métavers, le RSSI doit prendre un grand recul et prendre en compte l’impact sur la sécurité. »Diana Kelley, directrice technique et cofondatrice de SecurityCurve
Kelley : Je peux vous dire que le métavers sera l’une de ces technologies perturbatrices qui posent de nombreux défis en matière de cybersécurité. Aujourd’hui, les gens ont un appétit pour les mondes virtuels, contrairement à il y a des années lorsque nous avions Second Life, mais cela n’a pas décollé. Les gens sont absents du bureau depuis des années, et nous répliquons le monde réel en ligne. Dans la version métavers, il est beaucoup plus facile d’être quelqu’un d’autre, en particulier avec des faux profonds. Cela crée des préoccupations accrues concernant l’usurpation d’identité.
Les personnes ont même été attaquées dans le métavers, ce qui peut avoir un impact émotionnel important sur les personnes.
Pensez-y en tant que RSSI. Si votre entreprise prévoit d’aller à fond dans le métavers, y compris d’y tenir des réunions d’entreprise, d’y effectuer des ventes, etc., le RSSI doit prendre un grand recul et examiner l’impact de tout cela sur la sécurité. Dans ces mondes, l’entreprise a très peu de contrôle sur la société concernant qui peut parler avec qui. Comment les gens vont-ils réagir dans le métavers ? Se comporteront-ils différemment ? Les entreprises ont également peu de contrôle sur les données dans ce monde. Que se passe-t-il si vos données sont manquantes ?
Lee : Il existe des préoccupations similaires concernant la robotique. Vous pourriez avoir un robot qui se trouve dans n’importe quelle ville, comme Tokyo, et vous n’auriez jamais besoin d’y prendre l’avion pour des réunions. Le robot y assisterait à toutes vos réunions. Vous pouvez prendre le contrôle du robot et même porter une combinaison haptique qui vous permet de serrer la main à travers le robot. Il existe de nombreuses façons d’interagir. Mais qu’est-ce qui dit que si vous avez des réunions conflictuelles, vous ne pouvez pas avoir quelqu’un d’autre assis et personne ne le saura ? Soudain, il s’agit d’une situation très différente, en particulier compte tenu du risque d’usurpation d’identité.
Le thème de RSA 2022 est « transformer ». Pensez-vous que les difficultés croissantes pour ces technologies transformationnelles seront similaires à ce que nous avons vécu en 1990s et début 2000s avec la croissance des PC, des réseaux locaux, d’Internet et du commerce électronique ?
Kelley : Cela va être similaire. Et ce qui est préoccupant, c’est la quantité que nous utilisons cette technologie dans des domaines où l’impact est énorme. Lorsque nous avons commencé sur des PC, je me souviens que je pensais qu’un virus qui empêchait quelqu’un de saisir un document était terrible. Et puis il est passé à Et si votre compte bancaire était nettoyé ?
Aujourd’hui, il existe des villes intelligentes qui utilisent ces technologies émergentes. Ces villes sont incroyables, en utilisant de grandes quantités de données pour améliorer notre vie, par exemple en allégeant le flux de trafic. Ces systèmes peuvent garantir que l’ambulance arrive à la personne qui a besoin d’aide à temps et que vous pouvez trouver une place de stationnement. Mais maintenant, si vous voyez des attaquants commencer à s’en occuper, vous risquez de perdre des vies.
À mesure que de nouvelles technologies s’intègrent, la surface d’attaque de l’entreprise s’étendra. Allons-nous continuer à relever ce défi des lacunes en matière de compétences technologiques ?
Lee : Je m’inquiète de la nécessité d’amener tellement plus de personnes dans l’état d’esprit de la sécurité et les compétences en matière de sécurité. Nous avons tous vu les histoires à ce sujet. Mais je m’inquiète également de la manière dont nous essayons parfois de donner l’impression qu’il n’est pas si difficile de faire de la sécurité, afin que les gens entrent sur le terrain. C’est difficile. Je pense que c’est très difficile. Mais je pense que c’est ce qui le rend intéressant, car c’est tellement difficile.
« C’est difficile. Je pense que c’est très difficile. Mais c’est ce qui le rend intéressant, car c’est tellement difficile. »Lisa Lee, conseillère en sécurité et responsable mondiale pour les secteurs verticaux et l’engagement, Microsoft
Kelley : À mesure que les technologies changent et évoluent rapidement, nous aurons besoin d’experts approfondis dans ces domaines pour concevoir et mettre en œuvre les solutions. Mais si tous ceux qui construisent un nouveau système ou adoptent un système pouvaient au moins avoir un état d’esprit de sécurité et prendre en compte la sécurité et la confidentialité dès le début, peut-être effectuer une modélisation des menaces, nous pourrions améliorer considérablement la sécurité. Sinon, nous allons finir là où nous veillons toujours sur la sécurité après le fait, car quelque chose de terrible s’est produit.
Alors commençons à l’intégrer, surtout maintenant que beaucoup de ces nouvelles technologies et leur impact sur l’humanité sont beaucoup plus importants. Nous en avons déjà vu quelques-unes, comme l’attaque Colonial Pipeline et les personnes qui ne peuvent pas faire le plein de leurs voitures sur la côte Est.
En amenant cette maison pragmatiquement pour les RSSI, quels types de choses doivent-ils garder à l’esprit pour pérenniser leur programme de sécurité ?
Lee : Une approche dont nous parlons pendant la session, et qui s’applique au type de technologie, est un aspect différent que l’on doit prendre en compte pour les nouvelles technologies. Par exemple, il faut penser aux données : quelle est la menace potentielle pour les données dans les dernières technologies ? Nous parlerons des nouvelles technologies liées aux risques.
« Le marketing va probablement vouloir adopter le métavers afin qu’ils puissent s’engager auprès de vos clients. »Kelley
Nous devons également demander aux RSSI de stimuler ce type de réflexion concernant les nouvelles technologies. Ils doivent examiner ce qui arrive six mois et ce qui arrive trois ans. Et ils doivent essayer de déterminer la vitesse à laquelle la technologie évolue.
Kelley : Lorsqu’il s’agit de nouvelles technologies, au lieu de dire que nous n’avons pas encore besoin de nous inquiéter, parlez aux dirigeants de votre entreprise, dans tous les domaines, car le marketing va probablement vouloir adopter le métavers afin qu’ils puissent s’engager auprès de vos clients là-bas. Par conséquent, parlez aux parties prenantes clés potentielles et comprenez comment l’entreprise pense qu’elle peut tirer profit de l’utilisation du métavers.
Par exemple, les RH peuvent même vouloir commencer à y recruter. Et une fois que vous savez comment l’entreprise a l’intention de l’utiliser, vous pouvez maintenant identifier les risques potentiels. Prenez également en compte les cas d’utilisation de l’entreprise. Par exemple, si les RH souhaitent recruter sur le métavers, publieront-elles simplement un avis public sur de nombreux sites différents et prendront-elles peut-être le contact initial avec des recrues potentielles ? Et après le contact, les communications passeront-elles au processus d’examen standard ? Si oui, il s’agit d’un risque relativement faible. Cependant, si vous constatez que le PDG mène des conversations de fusions et acquisitions dans le métavers, cela pourrait être un risque très élevé.
Lee : Selon Diana, il est essentiel de parler aux principaux dirigeants de votre organisation qui pourraient vouloir tirer parti des nouvelles technologies. Vous voudrez peut-être également avoir une équipe ou un comité qui examine constamment différentes technologies, parle de la manière dont l’organisation pourrait les utiliser, et examine les avantages pour l’entreprise et les risques pour l’entreprise. Qui avons-nous dans l’entreprise qui sait quelque chose à ce sujet ? Vous constaterez peut-être que certains de vos experts les plus expérimentés font partie de vos employés les plus débutants. Cela dépend de ce qu’est la technologie et de la manière dont elle est utilisée.
[Lire également : Le besoin croissant d’unifier l’informatique et la sécurité
Repensez aux tout premiers jours d’Internet. Certaines des jeunes de votre entreprise [alors] exploraient probablement partout. C’est probablement vrai avec le métavers aujourd’hui. Certaines des jeunes membres de votre personnel sont probablement bien engagés dans le métavers. Cependant, ce n’est pas toujours une chose vieille. Parfois, il s’agit juste de ce que l’on aime et de ce que l’on n’aime pas.
Mais il est essentiel d’avoir la conversation et d’en apprendre davantage sur ces expériences en interne. Quelles sont les mauvaises expériences qu’ils ont vécues ? Quels sont les éléments positifs ? Où voient-ils la valeur ? De telles conversations contribueront grandement à comprendre comment l’organisation abordera les nouvelles technologies et obtiendra des informations sur les risques potentiels.
