Pendant que vous développez votre boîte à outils de cybersécurité, ne négligez pas vos amitiés.
Il s’agissait d’un conseil clé de Dan Jones (à droite) lors de la récente conférence sur le gouvernement et la cybersécurité organisée par iBestuur, une publication néerlandaise de premier plan couvrant le secteur public et populaire auprès des décideurs politiques européens. Jones, conseiller en cybersécurité chez Tanium, a participé à un panel avec Frank van Beem, RSSI adjoint au ministère néerlandais de la Défense.
« Comme Frank l’a dit, et je suis fier de faire glisser la phrase « Vous ne créez pas d’amitiés pendant une crise », a déclaré Jones après l’événement, qui s’est tenu juste à l’extérieur d’Amsterdam fin octobre.
Jones est un grand défenseur de la collaboration et de l’établissement de relations, et de la manière dont ils doivent faire partie du calcul continu de cybersécurité dans n’importe quelle organisation.
Il a passé près de 30 ans au ministère de la Défense du Royaume-Uni, travaillant à diverses fonctions, y compris celle de responsable informatique, de chef de portefeuille des services de communication d’information (un séjour de quatre ans en Arabie Saoudite, où il était basé à Riyad) et, enfin, dans les cyberopérations défensives. Pendant ce temps, il a joué un rôle essentiel dans le développement de stratégies pour atténuer les risques de la chaîne d’approvisionnement numérique et a adopté une approche holistique de la résilience en matière de cybersécurité, en intégrant les personnes, les processus et la technologie.
Cette année, il a rejoint le secteur privé, où il est conseiller en sécurité senior pour la région EMEA chez Tanium, un fournisseur de solutions de cybersécurité de premier plan (et éditeur de ce magazine).
Nous avons discuté avec Jones peu de temps après la conférence pour obtenir son avis sur la collaboration (les contrats à court terme l’encouragent, dit-il), l’ intelligence artificielle (ne passez pas directement à la Formule 1, explique-t-il) et les prochaines réglementations européennes NIS2 et DORA, qui visent à renforcer la sécurité numérique (et ont déjà de nombreux dirigeants d’entreprise, en particulier en Europe et aux États-Unis, soucieux de la conformité).
(L’entretien suivant a été modifié pour plus de clarté et de longueur. Il a été publié pour la première fois dans iBestuur le mois dernier. Vous pouvez lire l’article original en néerlandais ici.)
Vous aimez participer à des conférences vous-même, non seulement en raison de l’amerballen* par la suite, mais également pour rencontrer de nouvelles personnes. Pourquoi est-ce si important pour vous ?
En cas de crise, vous avez besoin d’amis. Et comme Frank van Beem vient de le dire : vous ne créez pas d’amitiés pendant une crise. Vous devez établir des liens et acquérir des connaissances en échangeant des expériences avec d’autres spécialistes.
Je dis depuis des années que la cybersécurité est un problème humain, même si nous aimons la conclure dans le jargon technologique. Les cybermenaces sont multifacettes, et souvent aucune personne ou équipe n’a toutes les réponses.
Avoir les bons alliés peut faire la différence pendant une crise. Les connexions que vous faites maintenant peuvent être la ligne de vie dont vous avez besoin plus tard. Et il n’y a pas de meilleur endroit pour que les employés des services publics établissent ces nouvelles connexions que lors d’un événement comme celui-ci, où tout le monde peut parler ouvertement et honnêtement.
Comment pensez-vous que les organisations devraient hiérarchiser la technologie, les personnes et les processus lors de la gestion de la cybersécurité ?
Je dirais qu’il est essentiel de considérer la cybersécurité comme un triangle composé de technologies, de personnes et de processus.
« La technologie est aussi efficace que les personnes qui la gèrent, et leurs processus doivent être solides. »
Une technologie solide seule ne peut pas protéger une organisation. La technologie n’est aussi efficace que les personnes qui la gèrent, et leurs processus doivent être solides. Une cybersécurité efficace dépend d’un équilibre entre ces trois facteurs. Vous avez besoin de la bonne technologie, de personnes qualifiées pour l’exploiter et de processus pour tout connecter. Souvent, les incidents de cybersécurité exposent des faiblesses dans cet équilibre.
De plus, n’oubliez pas qu’aucune organisation ne vit sur une île. Un service gouvernemental échange non seulement des données avec d’autres services gouvernementaux, mais dépend également de différents fournisseurs. Toutes ces connexions doivent fonctionner sans faille.
Les risques dans la chaîne d’approvisionnement ne sont-ils pas souvent sous-estimés ?
C’est en effet un gros problème. Les risques de la chaîne d’approvisionnement sont l’un des plus grands défis d’aujourd’hui. Une violation ou un dysfonctionnement du système d’un fournisseur peut provoquer une réaction en chaîne et affecter d’innombrables services. Les organisations du secteur public ont besoin de transparence avec leurs fournisseurs et vice versa. C’est là que les contrats à court terme peuvent parfois aider ; ils permettent aux deux parties de mesurer l’efficacité de la relation au fil du temps.
Dans le secteur public, les contrats à court terme avec des attentes claires encouragent la responsabilité continue et maintiennent l’engagement de chacun de manière productive et transparente.
De nos jours, vous voyez une tendance vers les contrats à long terme. Mais vous n’êtes pas en faveur de cela vous-même ? Ils créent certainement une stabilité dans la relation entre le client et le fournisseur.
Oui et non. Les contrats à long terme peuvent fournir un sentiment de sécurité, mais ils peuvent entraîner la complaisance s’ils ne sont pas gérés correctement. J’ai vu des cas où les contrats à long terme deviennent « comment obtenons-nous ce contrat ? » au lieu de créer une valeur mutuelle.
Avec des contrats plus courts et faciles à renouveler, il existe un besoin continu de gagner la confiance de l’autre partie, ce qui aide à être responsable et réactif. Les contrats gouvernementaux s’orientent souvent vers le long terme, mais je pense qu’il vaut la peine d’évaluer cette approche pour encourager la flexibilité et l’adaptabilité, en particulier à mesure que les cybermenaces évoluent.
Dans mon précédent emploi au ministère britannique de la Défense, j’ai hérité d’un contrat de 10 ans avec un fournisseur. Nous n’avons rien pu faire de leur part. Lorsque je suis parti, j’avais remplacé ce contrat par plus de 60 contrats à court terme. Nous avons été beaucoup plus efficaces de cette manière. Je me rends compte que renouveler plus de contrats à chaque fois est également un défi. Vous devez trouver le bon équilibre. Chaque équipe doit évaluer ce dont elle est capable. Mais d’après mon expérience, plus de contrats à court terme sont la meilleure chose à faire.
De nombreux participants à votre session souffrent clairement de NIS2. Est-ce un fardeau ou un plaisir ?
NIS2 est l’un de ces cadres qui sont essentiels pour les entités du secteur public. Il est conçu pour améliorer la cybersécurité des services essentiels en Europe.
Je vois des réactions mixtes : parfois, NIS2 est considéré comme « juste une autre exigence ». Mais j’encourage les organisations à considérer la réglementation comme un guide qui met l’accent sur les pratiques critiques, telles que la visibilité des actifs et la gestion des risques tiers. En fait, NIS2 impose principalement ce que les organisations auraient ou auraient dû faire de toute façon.
Et ne vous y trompez pas : il y a un 2 après NIS, vous pouvez donc parier qu’il y aura également un NIS3, qui relèvera à nouveau la barre.
Il reste surprenant que de nombreuses organisations n’aient pas encore les bases en ordre.
C’est en effet une cause d’inquiétude. J’ai entendu des questions sur des techniques avancées telles que la chasse aux menaces, le rôle de l’ analyse et ce que l’ intelligence artificielle peut signifier. Mais en même temps, de nombreuses organisations ne savent pas encore exactement ce qu’il y a dans leur réseau et dans quelle mesure tous les endpoints sont protégés.
« De nombreux spécialistes de la cybersécurité souhaitent tirer pleinement parti de l’IA en ce moment. Mais c’est comme vouloir devenir pilote de Formule 1 dès que vous obtenez un permis de conduire. »
Je remarque également que les organisations ne sont pas suffisamment préparées. Un plan de continuité des activités peut avoir été élaboré à un moment donné de ce qui doit être fait en cas de crise, mais ces plans ne sont pas suffisamment mis en pratique. Lorsqu’il s’agit de cybersécurité, trop d’organisations négligent le besoin de pratique. L’approche de l’armée britannique est un bon exemple : elle s’entraîne jusqu’à ce que les procédures deviennent de deuxième nature. En cas d’incident réel, il n’y a pas d’hésitation.
Les agences gouvernementales bénéficieraient grandement d’exercices similaires, tels que des scénarios de table ou des cyber-incidents simulés. Ces exercices révèlent les lacunes dans les plans et identifient les rôles. Souvent, lors d’une attaque, vous découvrez des défauts, non pas dans la technologie, mais dans les processus et la coordination. La pratique de ces scénarios renforce la confiance et prépare les équipes à réagir efficacement.
Mais d’abord, assurez-vous que les bases sont correctes. L’utilisation de l’IA, par exemple, pour automatiser et orchestrer les tâches manuelles répétitives peut réguler la cadence des processus essentiels et réduire les erreurs.
Bien sûr, de nombreux spécialistes de la cybersécurité souhaitent tirer pleinement parti de l’IA en ce moment. Mais c’est comme vouloir devenir pilote de Formule 1 dès que vous obtenez un permis de conduire. Vous devez d’abord passer par la série inférieure avant de pouvoir vous aventurer dans la Formule 1.
Vous êtes resté aux Pays-Bas ces derniers temps. Comment pensez-vous que les organisations gouvernementales aux Pays-Bas et sur d’autres marchés en Europe se comportent en termes de cybersécurité ?
Je dirais qu’il y a une forte sensibilisation, mais que l’exécution cohérente peut varier. Le secteur public néerlandais, par exemple, s’est rendu compte que pour être réellement sécurisé, ils doivent non seulement renforcer leurs propres systèmes, mais également prendre en compte les dépendances vis-à-vis des tiers.
Des réglementations telles que NIS2 mettent l’accent sur cette interdépendance, mais il est possible d’en faire plus. Chez Tanium, nous encourageons les clients à tester, tester et tester à nouveau. Certaines équipes sont plus à même d’appliquer ces principes fondamentaux que d’autres, mais globalement, je pense qu’il est de plus en plus compris que l’exécution des principes fondamentaux fait la différence entre la résilience et la vulnérabilité.
