Pour les entreprises d'aujourd'hui, une chose est sûre : les bouleversements ne sont jamais très loin. Si les bouleversements technologiques peuvent offrir des opportunités, ils amplifient également les risques.
C'est le thème d'une table ronde au titre astucieux proposée lors de la RSA Conference 2022 de cette année : « » (Les Jetsons sont là — Et maintenant ?) « The Jetsons Are Here—Now What Are the Security Implications » (Les Jetsons sont là — Quelles en sont les implications en matière de sécurité ?). La table ronde se tiendra dans le cadre de l' 6 juin, de 14:20 à 15:10 (heure du Pacifique), au Moscone Center de San Francisco.
Lisa Lee, modératrice de la table ronde, conseillère en chef en matière de sécurité et responsable mondiale des secteurs verticaux et de l’engagement chez Microsoft, ainsi que Diana Kelley, intervenante, directrice technique et cofondatrice du cabinet de conseil en cybersécurité SecurityCurve, ont donné à Endpoint un aperçu des thèmes qu’elles aborderont, des raisons pour lesquelles vous devriez y assister, et des mesures que les RSSI d’entreprise peuvent prendre pour rester à la pointe et réduire les risques à mesure que de nouvelles technologies d’entreprise sont mises en œuvre.
Ceux d'entre nous qui ont un certain âge se souviennent des promesses de voitures volantes dont on nous parlait quand nous étions enfants. Pourtant, ils ne sont toujours pas vraiment là. Selon vous deux, quelles technologies d'avenir auront, selon vous, l'impact le plus significatif au cours des cinq à 10 prochaines années ?
Lee : C'est drôle que vous parliez de voitures volantes. Lorsque j'ai commencé mes recherches pour cette session, il y a près de deux ans, on disait que les voitures volantes ne seraient disponibles que dans deux ou trois ans. Je me suis dit : « C'est impossible. » « Il faudra attendre au moins cinq à 10 ans. » Nous ne disposons tout simplement pas des infrastructures nécessaires pour accueillir des voitures volantes.
Aujourd'hui, les voitures volantes font la une de l'actualité tous les jours. Les entreprises réussissent leurs essais en vol, obtiennent des certifications de l' ainsi que des agréments réglementaires. Eh bien oui, les voitures volantes sont désormais une réalité. Ils sont ici, à différentes étapes, depuis deux ans. J'ai lu récemment sur qu'Uber prévoit que sa voiture volante soit opérationnelle d'ici 2023. Et, bien sûr, les voitures volantes — tout comme les voitures autonomes — poseront d'énormes défis en matière de cybersécurité, notamment en ce qui concerne la sécurité, la confidentialité des données et bien d'autres aspects.
Mis à part les voitures volantes, de quelles technologies d'entreprise allez-vous parler lors de la conférence RSA 2022 ? Et selon vous, quelle est la principale préoccupation des responsables de la sécurité des systèmes d'information (RSSI) ?
Lee : Pour cette table ronde, nous nous intéressons aux secteurs d'activité ou aux domaines où nous constatons les bouleversements les plus importants. Ainsi, lors de cette table ronde, Diana abordera le thème des mondes parallèles, tels que le métaverse « » () et
, ainsi que toutes les implications en matière de cybersécurité. Theresia Gouw, a founding partner at Acrew Capital, will discuss Web3. Patricia Titus, responsable de la
de la vie privée et de la sécurité de l'information chez Markel Corporation, interviendra sur le thème des transports. Je vais vous parler du secteur de l' , en particulier dans le domaine de la santé .
«Si votre entreprise envisage de se lancer à fond dans le métaverse, le RSSI doit prendre du recul et évaluer l’impact sur la sécurité. »Diana Kelley, directrice technique et cofondatrice de SecurityCurve
Kelley : Je peux vous dire que le métaverse fera partie de ces technologies de rupture qui poseront de nombreux défis en matière de cybersécurité. Aujourd'hui, les gens sont très attirés par les mondes virtuels, contrairement à il y a quelques années, lorsque Second Life existait déjà mais n'avait pas encore connu le succès. Cela fait des années que les gens ne travaillent plus au bureau, et nous reproduisons le monde réel en ligne. Dans le métaverse, il est beaucoup plus facile de se faire passer pour quelqu’un d’autre, surtout grâce aux « deep fakes ». Cela renforce les inquiétudes concernant l'usurpation d'identité.
Des personnes ont même été agressées dans le métaverse, ce qui peut avoir un impact émotionnel considérable sur les individus.
Réfléchissez-y en tant que RSSI. Si votre entreprise envisage de se lancer à fond dans le métaverse, notamment en y organisant des réunions d'entreprise, en y réalisant des ventes, etc., le RSSI doit prendre du recul et réfléchir à l'impact de tout cela sur la sécurité. Dans ces univers, l'entreprise n'a pratiquement aucun contrôle sur la manière dont la société fonctionne en ce qui concerne les relations entre les individus. Comment les gens vont-ils réagir dans le métaverse ? Vont-ils se comporter différemment ? Les entreprises n'ont par ailleurs que peu de contrôle sur les données au sein de cet univers. Que se passe-t-il si vos données venaient à disparaître ?
Lee : Des inquiétudes similaires concernent la robotique. Vous pourriez disposer d'un robot installé dans n'importe quelle ville, comme Tokyo, et vous n'auriez plus jamais besoin de vous y rendre en avion pour des réunions. Le robot assisterait à toutes vos réunions sur place. Vous pouvez prendre le contrôle du robot et même enfiler une combinaison haptique « » qui vous permet de serrer la main à travers le robot. Il existe de nombreuses façons d'interagir. Mais qui vous dit que, si vous avez des réunions qui se chevauchent, vous ne pourriez pas demander à quelqu’un d’autre d’y assister à votre place sans que personne ne s’en aperçoive ? Tout à coup, la situation est bien différente, surtout si l'on tient compte du risque d'usurpation d'identité.
Le thème de RSA 2022 est « transformer ». Pensez-vous que les difficultés liées à la mise en place de ces technologies transformatrices seront similaires à celles que nous avons connues au cours de l'année 1990s et au début de l'année 2000s , avec l'essor des ordinateurs personnels, des réseaux locaux, d'Internet et du commerce électronique ?
Kelley : Ce sera à peu près la même chose. Et ce qui est préoccupant, c'est l'ampleur de l'utilisation de cette technologie dans des domaines où son impact est considérable. Lorsque nous avons commencé à utiliser des PC, je me souviens avoir trouvé qu'un virus qui empêchait quelqu'un de taper un document était terrible. Puis le sujet a évolué vers Et si votre compte bancaire était vidé ?
Aujourd'hui, certaines villes intelligentes utilisent ces technologies émergentes. Ces villes sont incroyables : elles exploitent d'énormes quantités de données pour améliorer considérablement notre quotidien, notamment en fluidifiant la circulation. Ces systèmes permettent de garantir que l'ambulance parvienne à temps jusqu'à la personne qui a besoin d'aide et que vous puissiez trouver une place de stationnement. Mais à présent, si vous constatez que des assaillants commencent à s'en prendre à ce système, vous courez le risque de perdre des vies humaines.
À mesure que de nouvelles technologies seront mises en œuvre, la surface d'attaque des entreprises s'étendra. Allons-nous continuer à être confrontés à ce problème de déficit de compétences techniques ?
Lee : Je m'inquiète de la nécessité de sensibiliser un nombre bien plus important de personnes à la culture de la sécurité et de leur transmettre les compétences nécessaires en la matière. Nous avons tous entendu parler de cette affaire. Mais je m'inquiète également du fait que nous essayons parfois de donner l'impression que la sécurité n'est pas si difficile à mettre en œuvre, afin d'attirer des personnes vers ce domaine. C'est difficile. Je trouve ça vraiment très difficile. Mais je pense que c'est justement ce qui rend la chose intéressante, car c'est un véritable défi.
«C’est difficile. » Je trouve ça vraiment très difficile. Mais c’est justement ce qui rend la chose intéressante, car c’est un véritable défi. »Lisa Lee, conseillère en chef en matière de sécurité et responsable mondiale des secteurs d'activité et de l'engagement, chez Microsoft
Kelley : À mesure que les technologies évoluent et changent rapidement, nous aurons besoin d'experts chevronnés dans ces domaines pour concevoir et mettre en œuvre les solutions. Mais si toutes les personnes qui développent un nouveau système ou qui en adoptent un pouvaient au moins adopter une approche axée sur la sécurité et prendre en compte la sécurité et la confidentialité dès le départ, voire réaliser une analyse des menaces, nous pourrions améliorer considérablement la sécurité. Sinon, nous allons nous retrouver dans une situation où nous ne renforçons la sécurité qu’après coup, une fois qu’un événement grave s’est produit.
Commençons donc à intégrer cette approche, d’autant plus qu’aujourd’hui, bon nombre de ces nouvelles technologies et leur impact sur l’humanité sont bien plus importants. Nous en avons déjà eu quelques aperçus, comme l'attaque contre le Colonial Pipeline et le fait que les gens ne pouvaient plus faire le plein de leur voiture sur la côte Est.
Concrètement, quels sont les éléments que les RSSI doivent garder à l'esprit pour pérenniser leur programme de sécurité ?
Lee : L'une des approches dont nous parlons au cours de cette session, et qui s'applique à ce type de technologie, concerne les différents aspects à prendre en compte lorsqu'on aborde les nouvelles technologies. Par exemple, il faut réfléchir à la question des données : quelle menace potentielle pèse sur les données dans le cadre des technologies les plus récentes ? Nous aborderons les nouvelles technologies liées aux risques.
«Les services marketing vont probablement vouloir adopter le métaverse afin de pouvoir interagir avec vos clients dans cet espace. »Kelley
Nous devons également demander aux responsables de la sécurité des systèmes d'information (RSSI) de promouvoir ce type de réflexion concernant les nouvelles technologies. Ils doivent se projeter dans six mois et dans trois ans. Et ils doivent s'efforcer de déterminer à quel rythme cette technologie évolue.
Kelley : En matière de nouvelles technologies, au lieu de dire « Nous n’avons pas encore besoin de nous en préoccuper », discutez-en avec les dirigeants de votre entreprise, tous secteurs confondus, car le service marketing voudra probablement adopter le métaverse afin de pouvoir interagir avec vos clients sur cette plateforme. Ainsi, discutez avec les principales parties prenantes potentielles, et cherchez à comprendre en quoi l'entreprise estime pouvoir tirer profit de l'utilisation du métaverse.
Par exemple, le service des ressources humaines pourrait même envisager de commencer à recruter dans cette région. Et une fois que vous savez comment l'entreprise compte l'utiliser, vous pouvez alors identifier les risques potentiels. Pensez également aux cas d'utilisation en entreprise. Par exemple, si les RH souhaitent recruter dans le métaverse, se contenteront-elles de publier une annonce publique sur de nombreux sites différents et, éventuellement, d'établir un premier contact avec des candidats potentiels ? Et une fois le contact établi, les échanges passeront-ils alors au processus d'examen standard ? Si tel est le cas, le risque est relativement faible. Toutefois, si vous constatez que le PDG mène des négociations de fusions-acquisitions dans le métaverse, cela pourrait représenter un risque très élevé.
Lee : Comme l’a souligné Diana, il est essentiel de dialoguer avec les principaux responsables de votre organisation susceptibles de vouloir tirer parti des nouvelles technologies. Vous pourriez également envisager de mettre en place une équipe ou un comité chargé d'étudier en permanence les différentes technologies, de réfléchir à la manière dont l'organisation pourrait les utiliser et d'analyser les avantages et les risques qu'elles présentent pour l'entreprise. Qui, au sein de l'entreprise, s'y connaît un tant soit peu dans ce domaine ? Vous constaterez peut-être que certains de vos experts les plus chevronnés comptent parmi vos collaborateurs les moins expérimentés. Cela dépend de la nature de la technologie et de la manière dont elle est utilisée.
[Lire également : La nécessité croissante d'harmoniser l'informatique et la sécurité
Repensez aux débuts d'Internet. Certains des plus jeunes de votre entreprise [à l'époque] étaient sans doute en train de faire toutes sortes de découvertes. C'est sans doute le cas aujourd'hui pour le métaverse. Certains des plus jeunes membres de votre équipe sont sans doute très actifs dans le métaverse. Ce n'est toutefois pas toujours une question d'âge. Parfois, c'est simplement une question de goûts personnels.
Mais il est essentiel d'avoir cette discussion et de s'informer sur ces expériences en interne. Quelles sont les mauvaises expériences qu'ils ont vécues ? Quels en sont les aspects positifs ? En quoi voient-ils l'intérêt ? Des échanges de ce type vous aideront grandement à comprendre comment l'organisation abordera les nouvelles technologies et à mieux cerner les risques potentiels.
