Cette année marque le quart de siècle d'existence de Black Hat, la conférence sur la sécurité de l'information qui rassemble une joyeuse bande de hackers, de responsables de la sécurité des systèmes d'information, de responsables gouvernementaux et de gourous de la technologie.
Black Hat runs August 6-11 in Las Vegas. Fondé par Jeff Moss, consultant en sécurité, à l’origine de « 1997—before iPhones », « Twitter » ou encore « Matrix » () — cet événement a gagné en ampleur et en notoriété, passant d’une simple rencontre ponctuelle à un symposium spectaculaire de plusieurs jours organisé sur trois continents.
Contrairement au vieil adage « Ce qui se passe à Las Vegas reste à Las Vegas », vous pouvez être sûr que ce qui se passe à Black Hat fera parler de lui. Comme cette fois-là, en 2010 , lorsque Barnaby Jack, hacker et chercheur en sécurité néo-zélandais aujourd’hui décédé, avait démontré à quel point il était facile de faire en sorte qu’un distributeur automatique de billets crache de l’argent.
Or in 2012, when Moldovan computer scientist and professor of cybersecurity Andrei Costin demonstrated security flaws in the FAA’s air traffic control system that allowed him to reveal the location of Air Force One. Or in 2016, when security researchers hacked an internet-connected Jeep Cherokee with Wired reporter Andy Greenberg at the wheel.
Tout cela en direct, à Black Hat.
Alors, que nous réserve cette année ? , spécialiste des terminaux, a passé au crible le calendrier de Black Hat pour vous proposer cinq événements à ne pas manquer. Considérez-les comme des incontournables pour les responsables de la sécurité des systèmes d'information (RSSI), leurs équipes de sécurité et tout dirigeant d'entreprise qui prend la cybersécurité au sérieux.
1. Gros plan et photo sur le vif
Quoi : Black Hat CISO Summit
Quand : mardi, 9 août, 08 h à 18 h
Qui : Kirsten Bay, PDG de Cysurance ; Joanna Burkey, RSSI chez HP ; ainsi qu’un comité consultatif composé de RSSI de premier plan issus notamment de Cisco et de Salesforce.
Cet événement, qui se déroule sur toute la journée et est réservé aux personnes autorisées, propose des échanges confidentiels et des occasions de réseautage avec certains des plus hauts responsables de la sécurité des entreprises et des administrations publiques du pays. Parmi les interventions franches d’initiés, citons « Pourquoi la cybersécurité est un pilier essentiel de l’ESG : ce que cela signifie pour vous en tant que RSSI », animée par Burkey, un expert chevronné en cybersécurité qui a évolué tant du côté des produits que de celui des praticiens.
[À lire également : Les ransomwares mettent à mal le secteur de l'assurance cyber]
Dans « Cyberassurance : état des lieux et pistes pour façonner l'avenir », Bay s'appuie sur plus de 25 ans d'expérience dans les domaines de l'analyse des risques, de la gestion de l'information et des polices d'assurance cyber. Elle aborde la situation actuelle du marché de l'assurance cyber, un secteur qu'elle connaît bien, puisqu'elle a contribué à mettre en place une couverture complète et abordable pour les petites et moyennes entreprises.
« Les obstacles que nous imposons aux gens pour qu’ils souscrivent à des produits d’assurance cyber sont d’ e et ridicules », a-t-elle déclaré lors d’un récent podcast « Spot On Insurance » de l’ .
2. En phase avec le changement
Quand : mercredi, 10 août, 13:30 à 14:10
Qui : Robert Silvers, sous-secrétaire chargé de la stratégie, de la politique et de la planification au ministère américain de la Sécurité intérieure (DHS) ; Heather Adkins, vice-présidente chargée de l'ingénierie de la sécurité chez Google ; Jeff Moss, fondateur de Black Hat et DEF CON, et ancien directeur de la sécurité et vice-président de l'ICANN.
Le Comité d'examen de la cybersécurité (CSRB), très attendu, qui formule des recommandations sur les meilleures pratiques en matière de cybersécurité à l'intention des agences américaines et des entreprises privées, a récemment achevé ses premières délibérations concernant la vulnérabilité Log4j . M. Moss, fondateur de Black Hat, animera une discussion avec MM. Silvers et Adkins — respectivement président et vice-président du CSRB — sur les principales conclusions de leur rapport inaugural et sur la manière dont, selon eux, le CSRB va transformer le paysage.
M. Silvers a été nommé sous-secrétaire il y a un an, et il a la tâche peu enviable de tenter de coordonner les activités du DHS, dont la structure est très étendue, tout en dirigeant simultanément le nouveau conseil d'administration. Il soutient une loi controversée de l' qui oblige les organisations à signaler les incidents de cybersécurité. « Nous ne pouvons pas traiter un problème de manière adéquate », a-t-il déclaré devant le Congrès, « si nous n'en comprenons pas l'ampleur et la portée. »
3. La recherche de menaces simplifiée
Quand : mercredi, 10 août, 14:30 à 15 h
Qui : John Dwyer, responsable de la recherche ; Neil Wyler, responsable mondial des évaluations des menaces actives ; Sameer Koranne, responsable mondial des technologies opérationnelles (OT) : tous membres d'IBM Security X-Force
Les attaques par ransomware devraient gagner en rapidité et en efficacité : telle est la conclusion d'un rapport publié en juin par l'équipe Security X-Force d'IBM, qui analyse les attaques par ransomware visant les entreprises. Le rapport a révélé que la durée moyenne d'une attaque — c'est-à-dire le temps écoulé entre l'accès initial et le déploiement du rançongiciel — a diminué de 94,3 % entre 2019 et 2021.
M. Dwyer, M. Wylie et Mme Koranne présenteront leur nouveau cadre destiné à aider les organisations à mettre en place une équipe de recherche de menaces, ainsi que les moyens d'améliorer les opérations de recherche de menaces au sein des programmes existants. Ayant évalué des programmes au sein d’entreprises du classement Fortune 100 et d’organismes publics, ils comprennent le dilemme auquel sont confrontés les dirigeants d’entreprise : ils devraient se livrer à la recherche active de menaces, mais ils sont souvent incapables d’expliquer clairement en quoi consiste exactement cette activité.
4. Votre propre commission d'évaluation des activités en ligne
Qu’ : Personne n’a le droit d’avoir ses propres faits, sauf en matière de cybersécurité ? Présentation d'un manuel d'enquête visant à élaborer un récit commun des incidents cybernétiques majeurs
Quand : mercredi, 10 août, 15:20 à 16 h
Qui : Victoria Ontiveros, chercheuse à la Harvard Kennedy School ; Tarah Wheeler, PDG de Red Queen Dynamics.
Alors que le CSRB enquête sur des incidents informatiques de grande ampleur touchant plusieurs organisations, chacune d'entre elles commence à prendre conscience de l'intérêt de se doter de ses propres commissions d'examen. Mais comment en créer un ?
En juin, Ontiveros et Wheeler ont publié un guide intitulé « » (), rédigé en collaboration avec Adam Shostack, expert en modélisation des menaces, qui explique comment les organisations, grandes et petites, y compris les administrations régionales et locales, peuvent mettre en place de meilleurs mécanismes d'enquête. Ils accompagneront les dirigeants tout au long du processus de mise en place d'une commission d'enquête sur les incidents cybernétiques, en évaluant les compromis à faire et en analysant l'impact des décisions à long terme.
5. La cyberattaque prévisible
À lire : Avant Stuxnet, après Stuxnet : tout a changé, rien n'a changé
Quand : jeudi, 11 août, 09 h à 10 h
Qui : Kim Zetter, journaliste d'investigation au journal « »
Malgré les milliards que les entreprises consacrent à la sécurité et l'attention accrue que le gouvernement porte aux menaces, les dirigeants restent surpris lorsque les cybercriminels se tournent vers de nouveaux modes d'attaque, bien que tout à fait prévisibles.
La journaliste chevronnée Zetter, qui a écrit sur la cybersécurité et la sécurité nationale pour Wired, The New York Times, et The Washington Post, explore ce manque d’imagination dans son discours d’ouverture, qui examine les leçons en matière de cybersécurité que les dirigeants ont dû apprendre, puis réapprendre, ainsi que les moyens dont chacun dispose pour améliorer sa capacité à anticiper les « inconnues inconnues ».
Mme Zetter est l’auteure de * * (*Compte à rebours jusqu’au jour zéro : *), *Stuxnet* et *Le lancement de la première arme numérique au monde*. Elle a également révélé des informations exclusives concernant la surveillance exercée par la NSA et le FBI, le sabotage russe du réseau électrique ukrainien et l’utilisation de l’Ukraine comme terrain d’essai pour des cyberattaques. Les dernières attaques par ransomware sont inquiétantes, mais elles fournissent également de nombreux indices sur l'avenir de la cybercriminalité — à condition, bien sûr, d'y prêter attention.