Alors que tous les regards seront tournés ce dimanche vers la revanche historique du Super Bowl entre les San Francisco 49ers et les Kansas City Chiefs à Las Vegas, je ne peux m’empêcher de jeter un coup d’œil vers l’est, en direction du Massachusetts, où réside le célèbre entraîneur de la NFL Bill Belichick, qui a annoncé le mois dernier son départ des New England Patriots et dont les experts prédisaient qu’il serait rapidement recruté par une franchise impatiente de s’attacher ses services. Et pourtant, il est toujours, euh, sans emploi.
Pour une raison ou une autre, Belichick – le seul entraîneur à avoir remporté neuf titres de conférence et six trophées du Super Bowl, ce qui fait de lui sans doute le plus grand entraîneur de football américain de tous les temps – n’a trouvé aucun repreneur parmi les huit équipes qui recherchaient activement un nouvel entraîneur principal cette année. C'est vrai, il a 71 ans et les quatre dernières saisons des Patriots ont été désastreuses. Et pourtant, je ne suis pas un grand fan, alors que je viens d'une famille de supporters inconditionnels des Giants. (Allez les Big Blue !) Mais on ne peut nier que ce type a toujours du punch, qu’il est un stratège légendaire et une figure emblématique de la motivation. Parlez-nous de vos compétences transférables. En fait, je pourrais même imaginer que ce qui est une perte pour le football soit un gain pour la cybersécurité.
Belichick serait-il prêt à envisager de passer du monde du football américain à celui des pare-feu, des linebackers aux hackers « white hat » ? Car – aussi fou que cela puisse paraître – il existe des parallèles frappants entre les leçons qu’il dispense sur le terrain de football américain et les combats que nous menons dans l’arène numérique.
Accompagnez-moi dans ce paysage onirique (totalement invraisemblable) de « fantasy football sous champignons », où Belichick troque son sifflet d’entraîneur contre ce que portent autour du cou les responsables de la sécurité des systèmes d’information (RSSI) d’ . Le vaste univers du sport professionnel a connu quelques croisements inattendus :
- Michael Jordan – du basket-ball au baseball (pour une courte période).
- Bo Jackson – du baseball au football américain.
- Rosey Grier – Joueur de ligne défensive des « Fearsome Foursome » à , passionnée de broderie.
- Jesse Ventura – Ancienne star de la World Wrestling Federation devenue gouverneur.
Alors, pourquoi pas un septuagénaire, ancien joueur du Super Bowl devenu responsable de la sécurité des systèmes d'information ? Bien sûr, il devrait accepter une légère baisse de salaire . Et son penchant pour les sweats à capuche coupés « » pourrait bien repousser les limites du « Casual Friday » le plus décontracté qui soit. Mais il s'y sentirait comme chez lui. Les entraîneurs comme les RSSI doivent suivre les manœuvres offensives et défensives, perfectionner leurs compétences en matière de leadership et faire preuve d’une détermination sans faille lorsqu’ils sont confrontés à la presse ou au propriétaire de l’équipe. Et avec son attitude stoïque et sa détermination sans faille, Belichick est fait pour ce métier.
Écoutez simplement comment ses paroles pleines de sagesse trouvent un écho bien au-delà du vestiaire, jusque dans le domaine de la sécurité de l'information.
« Faites votre travail » : la devise d’une bonne hygiène informatique
La célèbre phrase fétiche de Belichick, qu’il ne cesse de répéter sur la ligne de touche de l’ et que l’on retrouve dans d’innombrables vidéos de NFL Films, n’est pas simplement un cliché de lieu de travail. Il s’agit d’une approche axée sur la concentration et le souci du détail, une attitude essentielle au maintien d’une bonne hygiène de sécurité informatique .
«Notre équipe, c’est un peu comme une voiture. » Certains peuvent être le moteur… D'autres peuvent se comparer aux écrous de roue ou à autre chose, mais la voiture ne roulera pas si vous ne mettez pas ces écrous en place. »Danny Amendola, ancien receveur et spécialiste des retours de coup de pied, des Patriots de la Nouvelle-Angleterre
En matière de cybersécurité, la moindre négligence peut entraîner une faille catastrophique. En d'autres termes : les détails comptent.
Tout comme le « blocking and tackling », la gestion courante des correctifs, l'authentification multifactorielle, ainsi que le simple fait de ne pas cliquer sur des liens suspects sont autant de gestes banals mais essentiels à la réalisation de cet objectif. Belichick exhorte ses joueurs à accepter la routine et à trouver de la beauté dans la régularité. En matière de cybersécurité, cela se traduit par la mise à jour régulière des logiciels antivirus, l'application de pratiques rigoureuses en matière d' et de gestion des mots de passe , ainsi que par la promotion d'une culture où la sécurité relève de la responsabilité de chacun.
« Notre équipe, c'est un peu comme une voiture », a déclaré Danny Amendola , receveur et spécialiste des retours de coup de pied des Patriots, à CBS News peu avant leur quatrième victoire au Super Bowl (face aux Seahawks de Seattle) en 2015. « Certains joueurs peuvent être le moteur de l'équipe. » Pour certains, ce sont peut-être les essuie-glaces, les phares ou le volant. D'autres éléments peuvent être comparés aux écrous de roue ou à autre chose, mais la voiture ne fonctionnera pas si vous n'avez pas mis les écrous de roue en place. « Quoi qu’il arrive, vous devez faire votre travail. »
« Ce n’est pas la stratégie qui compte, mais sa mise en œuvre » – un appel à une gestion rapide des correctifs
Toutes les quelques semaines, les éditeurs de logiciels publient des mises à jour afin de corriger les failles de sécurité récemment découvertes qui, sans cela, pourraient exposer leurs clients à des menaces. Plus ces correctifs sont installés rapidement, moins un cybercriminel a de chances d'exploiter une faille de sécurité. La philosophie de Belichick en matière d'exécution met en évidence une évidence qui s'applique à de nombreux domaines : un bon plan ne vaut pas grand-chose s'il n'est pas mis en œuvre efficacement et rapidement.
Aujourd'hui, alors que de nouvelles vulnérabilités apparaissent de plus en plus fréquemment, une gestion rapide et efficace des correctifs nécessite une automatisation . Par En automatisant toutes les fonctions de mise à jour auparavant effectuées manuellement par l'équipe opérationnelle, les responsables de la sécurité peuvent simplifier et accélérer le processus, et permettre à leur personnel de se consacrer à d'autres tâches plus complexes.
« Savoir que l’on dispose d’un bon long snapper de réserve permet de bien dormir la nuit » – mais attendez, les RSSI dorment-ils donc ?
Le joueur en question – , salué par Belichick lors de la cérémonie de départ à la retraite de ce dernier en 2017 – était Rob Ninkovich, des Patriots, qui avait été écarté à quatre reprises par ses équipes précédentes, jugé trop lent pour jouer au poste de linebacker et trop petit pour celui de defensive end. Mais lorsqu'il est arrivé en Nouvelle-Angleterre, il s'est épanoui sous la houlette de Belichick, évoluant au sein des équipes spéciales et devenant l'un des joueurs les plus précieux et les plus appréciés de l'équipe.
Un « long snapper » est le joueur qui entre souvent en jeu lorsque la situation est critique, pour effectuer la remise en jeu vers le punter lorsque l'équipe ne parvient pas à progresser, ou vers le botteur de field goal lorsqu'un touchdown semble peu probable.
En matière de cybersécurité, les entreprises doivent disposer de stratégies de sauvegarde solides en cas de fuites de données, de pannes de système et d'autres incidents imprévus. Des sauvegardes de données effectuées à des moments stratégiques et des plans de reprise fiables constituent les fonctions essentielles qui entrent en action en cas de défaillance des systèmes principaux, permettant ainsi de réduire au minimum les temps d'arrêt et les pertes de données.
La mise en place de plusieurs niveaux de solutions de sauvegarde, tels que le stockage hors site, les sauvegardes dans le cloud et des tests réguliers, garantit que, même si un système est compromis, d’autres peuvent prendre le relais afin de préserver l’intégrité et la disponibilité des données critiques.
« Je ne suis pas sur Twitter, ni sur MyFace, ni sur Yearbook » – une mise en garde concernant les réseaux sociaux
Voici la réponse de l'entraîneur en 2011 à une question de la presse concernant la présence d'un joueur sur les réseaux sociaux . Belichick, généralement avisé mais déconcerté par les réseaux sociaux, était réputé pour ses malapropismes : il n'utilisait pas non plus « YourFace », « SnapFace » ni « InstaFace ».
«Je ne suis pas sur SnapFace, et je ne m'inquiète pas trop de ce qu'ils publient sur InstaChat. »Belichick, qui a toujours eu du mal avec les réseaux sociaux, en 2016
C'est certes drôle, mais cela nous rappelle aussi de manière frappante les risques que ces plateformes peuvent faire peser sur la vie privée et la sécurité. En réalité, la réaction de Belichick, qui a levé les yeux au ciel face à ce que faisaient ses joueurs sur Internet, était peut-être un peu naïve. Dans le milieu de la cybersécurité, cependant, cette réticence à s'engager sur les réseaux sociaux constitue un élément essentiel de la gestion de son empreinte numérique.
Les professionnels de la cybersécurité peuvent promouvoir cet état d'esprit en mettant en place des politiques claires concernant le partage d'informations sensibles en ligne et en sensibilisant les employés aux risques potentiels. Les réseaux sociaux regorgent d'informations personnelles pouvant être exploitées dans le cadre d'attaques de type « », de hameçonnage, , de compromission des e-mails professionnels (s'ouvre dans un nouvel onglet), ainsi que d'autres attaques d'ingénierie sociale.
Il convient de rappeler aux membres du personnel que chaque publication peut être scrutée et exploitée par des cybercriminels, tout comme les entraîneurs adverses scrutent leurs communications publiques respectives. Ce n'est pas pour rien que les entraîneurs se couvrent la bouche avec leur bloc-notes lorsqu'ils aboyent des ordres depuis la ligne de touche. Les employés doivent faire preuve de la même prudence dans leurs publications en ligne.
« Nous partons pour Cincinnati » – concentration, concentration, concentration
Les Patriots avaient touché le fond au cours du premier mois de la saison 2014 . Ils n'avaient plus remporté de Super Bowl depuis 10 ans et affichaient un bilan désastreux de 2-2 à l'issue de leur quatrième match (lorsqu'ils ont été battus à plate couture par les Chiefs). L'époque glorieuse de Tom Brady en tant que quarterback était révolue, la dynastie avait pris fin, se plaignaient les critiques.
Belichick est resté inébranlable, concentré sur l'adversaire de la 5 e semaine : les Bengals de Cincinnati. Accablé de questions brûlantes lors d'une conférence de presse en milieu de semaine, Belichick n'a cessé de répéter ces quatre mots : « Nous nous concentrons désormais sur Cincinnati. » Cela est devenu un cri de ralliement « », notamment après que les Patriots eurent écrasé les Bengals (43-17) et remporté le Super Bowl. Encore une fois.
Si « Faites votre travail » est le mot d’ordre des journées tranquilles d’une équipe de cybersécurité, cet hymne à la persévérance est destiné aux jours où les crises surviennent. Les cyberattaques, il convient de le rappeler, sont inévitables. La question n'est pas de savoir si cela va arriver, mais quand. Et lorsque ce jour viendra, les équipes de cybersécurité devront se concentrer sur les défis immédiats qui les attendent, en suivant leurs procédures d’intervention en cas d’ sans se laisser freiner ni distraire par les échecs passés. (Il en va de même pour les lauriers du passé.)
En matière de cyberdéfense, s'attarder sur les erreurs ou se reposer sur ses lauriers quant aux mesures de sécurité actuelles peut exposer une organisation à des menaces informatiques en constante évolution .
« Nous nous attaquons à Cincinnati » témoigne d'une approche proactive en matière de cybersécurité. Il est essentiel de mettre à jour et d'affiner en permanence les cyberdéfenses, de se tenir informé des dernières tendances et innovations en matière de cybersécurité, de les intégrer dans la pratique et de former les équipes à faire face aux nouvelles menaces. En mettant l'accent sur l'évolution et l'adaptation, les équipes de cybersécurité peuvent incarner l'engagement sans faille de Belichick en faveur de l'amélioration.
Compte tenu de toute sa sagesse en matière de cyber, Belichick semble être la personne idéale pour le monde de l'informatique. À tout le moins, un RSSI avisé pourrait envisager de passer un coup de fil exploratoire à , l’entraîneur qui occupe la deuxième place au classement des entraîneurs ayant remporté le plus de victoires dans l’histoire de la NFL, selon le site . (Tout d'abord, si l'on parle de ceux qui sont encore en vie.)
Je veux dire, bon, ce type est libre.
