Résumé
Chercheur de renommée mondiale et l'un des architectes de la politique nationale américaine en matière de cybersécurité, Richard J. Harknett conseille des leaders gouvernementaux, tant aux États-Unis qu'à l'étranger, sur les cybermenaces que les nations doivent placer au premier rang de leurs priorités. Dans notre précédent épisode, il a présenté la nouvelle approche proactive de la cybersécurité et la façon dont les entreprises peuvent en tirer parti.
Cet échange se poursuit ici avec des conseils concrets à l'intention des dirigeants d'entreprise sur certaines des cybermenaces les plus pressantes d'aujourd'hui. Ce qui suit est une discussion franche sur ce sur quoi les marques doivent véritablement concentrer leurs efforts – et sur les problématiques qui méritent moins d'inquiétude qu'elles ne le pensent. Sa vision de l'actualité cybernétique qui fait les gros titres pourrait vous surprendre.
Animateur : Mike Curran, VP des talents mondiaux, Tanium Invité : Richard J. Harknett, directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute, Université de Cincinnati
Notes de l'épisode
Pour en savoir plus sur les politiques américaines en matière de cybersécurité et sur la façon dont la gestion autonome des endpoints peut vous permettre d'agir plutôt que de réagir, consultez nos articles dans Focal Point, le magazine en ligne primé de Tanium dédié à la cybersécurité, ainsi que ces autres ressources utiles.
- Ce que les entreprises doivent savoir sur la nouvelle stratégie américaine en matière de cybersécurité | Focal Point
- Les idées reçues sur l'Engage persistant et leur impact sur les entreprises | Focal Point
- Les mises en garde du Surgeon General sur les réseaux sociaux suscitent la controverse – et une opportunité pour les dirigeants d'entreprise | Focal Point
- Comment se préparer à la loi européenne sur l'IA : commencer par évaluer votre niveau de risque | Focal Point
- Comment l'automatisation et l'IA protègent votre chaîne d'approvisionnement logicielle | Focal Point
- Ces conseils du Mois de la cybersécurité restent précieux tout au long de l'année | Tanium
- La prochaine évolution de la gestion des endpoints est autonome | Tanium
- Les avantages de l'Endpoint Management en continu (et en quoi il diffère des logiciels antivirus) | Tanium
- Présentation de Tanium Automate : une orchestration et une automatisation à grande échelle, simples à mettre en place | Tanium
L'entretien suivant a été modifié pour plus de clarté.
"La plupart des Américains acceptent d'être la cible de campagnes marketing, n'est-ce pas ? Mais nous n'apprécions pas d'être manipulés ni contrôlés. Dans le cyberespace, la frontière est très mince, Mike, entre être la cible d'une campagne marketing, être manipulé et être contrôlé."Richard J. Harknett, directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute, Université de Cincinnati
Mike Curran : Bonjour, je suis Mike Curran, vice-président des talents mondiaux chez Tanium, et aujourd'hui dans Let's Converge, nous abordons le thème « défendre votre entreprise de manière proactive ».
Il s'agit du second volet de notre conversation en deux parties avec Richard Harknett, qui a contribué à l'élaboration de la stratégie nationale américaine en matière de cybersécurité.
Notre politique nationale en matière de cybersécurité, axée sur la « défense proactive », s'appuie sur la doctrine de l'engagement persistant, une posture proactive qui ne s'adresse pas uniquement aux États. Les entreprises peuvent, elles aussi, adopter une approche persistante et proactive.
Dans notre premier épisode, Richard et moi avons discuté de la façon dont les entreprises peuvent adopter cette stratégie et l'utiliser comme argument de poids dans les négociations contractuelles et dans les décisions relatives aux fournisseurs tiers. Richard est directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute à l'Université de Cincinnati. Il a été le premier chercheur en résidence au U.S. Cyber Command et à la National Security Agency, et il a co-écrit un livre qui mérite d'être lu, intitulé Cyber Persistence Theory: Redefining National Security in Cyberspace, publié par Oxford University Press.
Reprenons là où nous en étions. Lorsque nous nous sommes arrêtés, Richard expliquait en quoi la cybersécurité ressemble, en fait, à l'entraînement d'une équipe de football féminin, un domaine qu'il connaît de première main.
Richard J. Harknett: J'entraîne une équipe féminine de football au lycée, et il y a quelques années, j'ai eu la chance de contribuer à l'obtention d'un titre de champion d'État. Si je leur avais remis un livre en disant : voici un guide pour apprendre à jouer au football. Retrouvez-moi au moment du tournoi et voyons si nous pouvons décrocher le titre d'État. Ça n'aurait jamais fonctionné. N'est-ce pas ?
Curran: Tout à fait.
Harknett: Cela s'apprend en pratiquant le jeu, en y jouant. Et le cyber, c'est avant tout une question de pratique. Ainsi, si votre organisation ne dispose pas d'un protocole de sécurité continu visant à sensibiliser vos collaborateurs aux risques d'exploitation, ils seront dépassés par un adversaire qui consacre la totalité de son temps à réfléchir à ces mêmes risques.
L'un de mes objectifs, Mike, est donc de mettre fin au mois de la cybersécurité. Et en tant que spécialiste de la cybersécurité, vous vous demanderiez pourquoi se débarrasser de cette priorité ? Nous avons besoin de cybersécurité heure. Je veux dire, si vous adhérez à ma théorie selon laquelle tout repose sur la persistance, vous ne pouvez pas vous contenter d'un mois par an et demander aux employés de regarder une vidéo de 20 minutes qu'ils ont déjà vue l'année précédente en vous disant que c'est suffisant.
Curran: J'imagine qu'avec une surface d'attaque en constante expansion, les États-nations et les acteurs malveillants s'en prennent aux entreprises avec la même intensité qu'il y a quelques années. Comment le gouvernement répartit-il ses ressources pour faire face à ces deux aspects ?
Harknett: Je vais simplement faire preuve de prudence sur ce point. Je ne travaille pas pour le gouvernement américain. Je les conseille. J'interviens quand le signal d'alarme est lancé. Je tiens donc à rester prudent. Je ne fais pas partie de l'équipe, et je ne m'exprime pas au nom d'une agence gouvernementale américaine. Écoutez, il y a un flux et un reflux dans tout cela. Je ne veux pas placer nos adversaires sur un piédestal. Tout le monde a des contraintes en matière de ressources. Bien sûr, ceux qui cherchent à avoir un Impact sur les élections s'activent pendant les périodes électorales, puis se font discrets.
L'une des choses que beaucoup de vos auditeurs envisageraient en premier lieu, du point de vue de la sécurité électorale, c'est de savoir s'ils peuvent s'introduire dans le système et modifier les votes. Peuvent-ils manipuler les votes ? On pourrait consacrer un podcast entier à ce sujet, mais la réponse rapide est non, et pas de manière significative. Il existe de nombreuses raisons pour lesquelles cela ne se produit pas. Et nous avons accompli des choses remarquables depuis 2020 et depuis 2016 pour améliorer encore la situation.
Nos adversaires le savent. C'est pourquoi ils concentrent leurs efforts sur ce que nous appelons les campagnes d'information divisives à dimension cyber. Les médias parlent beaucoup de désinformation et de mésinformation. Ce que nos adversaires font réellement, c'est ce que nous appelons l'information divisive. Ils cherchent ce qui nous divise.
Malheureusement, aujourd'hui, la plupart d'entre nous consomment les réseaux sociaux et les médias traditionnels en s'entourant uniquement de personnes qui partagent leurs opinions. Ils ne font qu'amplifier cette division.
Prenons un exemple : si vous et moi étions de la même famille, des frères, nous pourrions avoir un désaccord sur quelque chose d'important, mais si quelqu'un venait de l'extérieur s'immiscer dans notre débat, nous nous retournerions tous les deux vers lui en disant : « Hé, mêle-toi de tes affaires. On n'est peut-être pas d'accord, mais on est de la même famille. Ça ne te regarde pas. »
L'argument que je défends est que nous devons nous protéger contre ces campagnes avec le même état d'esprit.
Ces acteurs sont d'une grande sophistication, et il existe un courant souterrain que l'utilisateur moyen des réseaux sociaux ne perçoit pas. C'est pourquoi TikTok nous préoccupe. Car cette plateforme est liée à un acteur étatique particulier, la Chine, dont le système de gouvernement est très différent et dont la vision de sa population l'est tout autant. Il ne s'agit pas d'émancipation individuelle, mais de la façon dont l'individu sert l'État, et ce modèle est en opposition avec notre mode de vie. Disposer ainsi d'un porte-voix vers nous….
Certains de vos auditeurs plus âgés se souviennent peut-être de Voice of America pendant la Guerre froide. Nous diffusions des émissions radio derrière le Rideau de fer pour convaincre les populations que la démocratie était une meilleure idée que ce qu'elles connaissaient. Pendant 70 ans, nous avons poursuivi cet effort, tandis que les Russes et les Soviétiques tentaient de brouiller ces signaux. Ils confisquaient les radios et compliquaient l'accès à ces émissions, mais nous continuions à leur transmettre ces informations. Quand est-ce que cela a fait une différence ? Cela a fait une différence que, lors de l'effondrement de l'Union soviétique, les gens ne se soient pas retrouvés dans un vide. Ils se sont dit : oh, il existe une alternative, comme cette démocratie. Pourquoi ne pas essayer ?
Si je suis le président Xi [Jinping], si je dirige le Parti communiste chinois, et que quelqu'un vient me voir en disant : Monsieur le président, nous sommes dans 150 millions de poches d'Américains, sur un appareil sur lequel ils passent, pour certains, plus de 10 heures par jour. Ce serait le comble de l'irresponsabilité, en tant que leader, de ne pas utiliser cet appareil, si je considère que le mode de vie américain va à l'encontre des intérêts chinois. Il s'agit donc d'un appareil bidirectionnel capable de détecter le temps que je passe à survoler une vidéo — non pas si je clique dessus, mais si je la survole — et d'un algorithme qui adapte ensuite ce qui m'est envoyé et commence à façonner ce que je… regarde.
La plupart des Américains acceptent d'être ciblés par des publicités, n'est-ce pas ? Mais nous n'apprécions pas d'être manipulés ni contrôlés. Dans le cyberespace, la frontière est très mince, Mike, entre être ciblé par des publicités, être manipulé et être contrôlé.
Curran: Personne n'admettra qu'il est manipulé, même si c'est le cas. J'imagine que cela nous amène à la grande question : faut-il l'interdire, faut-il interdire TikTok ? Quelles sont vos réflexions à ce sujet ?
Harknett: Oui, souvenez-vous, je coache des lycéennes. Ce n'est donc pas une opinion très populaire de leur côté. Les preuves sont trop nombreuses pour suggérer qu'il s'agit d'un dispositif similaire à un outil de propagande comme Voice of America, mais nous n'avons pas les moyens d'y faire obstacle. Nous n'allons pas confisquer les téléphones des gens. Nous n'allons pas faire tout cela. Ce n'est pas que nous voulions priver les Américains de quoi que ce soit — ceux d'entre nous qui estiment que cette plateforme doit être restructurée. Nous transmettons beaucoup trop de données à quelqu'un qui n'apprécie pas vraiment notre façon d'organiser notre société.
Je suis convaincu qu'il existe un entrepreneur de talent capable de développer une application offrant des fonctionnalités similaires — capture de courtes vidéos et partage de contenus — avec davantage de transparence sur le code utilisé, [et] une meilleure protection des libertés civiles que ce dispositif.
Ce qui a été adopté au Congrès, c'est l'idée que le gouvernement américain serait favorable à ce que TikTok modifie certaines choses, comme la transparence sur son code, l'endroit où ces données sont stockées, qui peut y accéder, et ainsi de suite. La balle a donc été renvoyée dans le camp de ByteDance, la société parent. Cela peut sembler excessif et relever d'une intervention gouvernementale poussée à l'extrême. Mais il existe bel et bien quelque chose qui s'appelle la géopolitique, et malheureusement les pays entrent en conflit les uns avec les autres pour diverses raisons — il faut donc protéger le public américain de ce que l'on voit se produire.
Certes, la transition pourrait être difficile pour certains adolescents de 14 ans, mais je pense que l'esprit entrepreneurial nous permettrait de surmonter cela.
Curran: Très bien. En changeant de sujet, il me semblerait regrettable de ne pas mentionner l'IA. C'est devenu très répandu au cours des derniers 18 mois. Comment cela a-t-il influencé la stratégie, la stratégie de défense proactive ?
Harknett: Il y a un point sur lequel je rejoins le président Poutine. Il a déclaré que celui qui dominera l'intelligence artificielle dominera la seconde moitié du XXIe siècle, et je pense qu'il a raison.
Selon moi, nous devons cesser de la considérer comme du code et des outils, et l'aborder sous l'angle d'un modèle de prise de décision. Ainsi, d'un point de vue commercial, comment la déployer dans le contexte de mon organisation ?
Quel rôle et quelles responsabilités vais-je lui confier ? Va-t-elle simplement collecter des données pour moi ? Va-t-elle collecter des données et analyser ces données pour moi ? Va-t-elle collecter, analyser et organiser ces données pour me permettre de prendre une décision, ou vais-je lui donner la capacité de prendre cette décision ? Ce sont des options qui s'offrent à vous si vous l'envisagez sous l'angle des rôles et des responsabilités plutôt que sous celui du code [et] des outils techniques. Je pense donc que, tout autant que j'espère que le travail auquel j'ai contribué a opéré un changement de paradigme, passant de la dissuasion à une cybersécurité proactive, c'est mon prochain combat, Mike : nous devons cesser de considérer l'IA sous l'angle des outils et l'appréhender sous celui des rôles et des responsabilités en matière de prise de décision.
Curran: Oui, je suis d'accord. Je crois que nous pouvons tous convenir que nous devons remporter cette guerre. Et je pense toujours, en y réfléchissant aujourd'hui, que nous ne pouvons pas surréguler l'IA — même si nous ignorons quels en seront les résultats potentiels — nous ne pouvons pas réguler des résultats hypothétiques. Nous devons en quelque sorte laisser l'IA se développer, puis intervenir pour la recadrer ici ou là, plutôt que de tenter de la réguler en amont.
Harknett : Oui, deux réflexions rapides à ce sujet : d'une part, nous allons très vite faire face à un problème énergétique avec l'adoption massive de l'IA. Nous ne disposons pas du réseau électrique nécessaire pour supporter la puissance de traitement requise. C'est donc un enjeu sur lequel nous devons réellement nous pencher, et que les gouvernements comme les entreprises doivent prendre en main sans tarder.
Et ce qui me préoccupe dans l'argument du « laisser courir les chevaux », c'est que certains environnements d'entraînement vont aller beaucoup trop loin. Et une fois qu'ils sont allés trop loin, comment les ramène-t-on en arrière ?
Je fais partie d'un groupe en ce moment. Je suis censé jouer le rôle de l'élément perturbateur dans la salle, avec des dirigeants de niveau VP issus d'entreprises de médias sociaux et de télécommunications, et je cherche à les faire sortir de cette vision binaire selon laquelle la réglementation est ipso facto une contrainte. Les réglementations ne sont que des paramètres. Ce sont les règles du jeu. Pour reprendre ma vieille métaphore du football, ce sont les règles qui définissent la façon dont on joue.
Je comprends que l'argument soit : les Chinois vont jouer à un jeu différent, avec un ensemble de règles différent. Les Russes vont jouer selon un ensemble de règles différent, et ainsi de suite. Je réponds : tant mieux – celui qui trouvera le juste équilibre entre la protection des libertés civiles et la maximisation des opportunités économiques, c'est l'IA que nous devons développer. Nous n'avons pas besoin de développer l'IA pour les régimes autoritaires. Nous devons développer l'IA pour les États démocratiques libéraux à travers [le monde], car c'est là que se trouvent les économies de marché, et que se trouvent celles qui aspirent à l'être. Alors pourquoi ne pas viser l'excellence ? Les régimes autoritaires ne développeront pas cela.
Ne nous mesurons donc pas à eux sur cette version erronée des choses. Tout le monde maîtrise les mathématiques, tout le monde dispose du supercalcul, ou du moins ceux qui seront les leaders dans ce domaine. C'est la qualité des données et ce que vous souhaitez qu'elles produisent dans l'environnement d'entraînement qui compte. Leur avantage réside dans le fait qu'ils absorbent tout, car ils n'ont aucune contrainte liée aux libertés civiles. Mais cela leur donnera un algorithme entraîné d'une certaine façon, qui restera entièrement orienté vers la protection du pouvoir de l'État, et non vers l'autonomisation des individus.
À mon sens, il s'agit de concevoir l'entraînement d'une manière différente. Dans une économie de marché, comment positionner et autonomiser les individus au sein de la société ? C'est un algorithme bien différent de ce que sera l'algorithme autoritaire. Et cela va nous obliger à vivre et à travailler dans le respect de certains paramètres. Il existe des niveaux de données auxquels nous n'aurons pas accès. C'est simplement un défi de formation technique. Et je pense que nous devrions relever ce défi et dire : « Nous pouvons avoir des agents algorithmiques très performants qui protègent les libertés civiles et fixent une limite en matière de libertés civiles. »
Et nous avons un exemple concret de cela. Nous avons mis en place HIPAA [la loi sur la portabilité et la responsabilité en matière d'assurance maladie], la loi sur les soins de santé, qui stipule que nous n'autoriserons pas la monétisation des données médicales. Tout le monde s'est mis d'accord sur le fait que ce n'est pas une bonne idée : nous ne voulons pas que les médicaments que nous prenons pour telle ou telle maladie soient vendus à des annonceurs et autres. Ainsi, le gouvernement est intervenu avec une réglementation modérée qui a établi une protection des données médicales des individus. Et le monde ne s'est pas effondré.
Je pense que nous pouvons concilier les deux. Je pense que nous pouvons faire preuve d'une grande innovation dans le domaine de l'IA tout en y intégrant la sûreté et la sécurité.
Curran: Ce serait l'idéal, comme on dit. Mais…
Harknett : Oui. Eh bien, je suis plutôt optimiste sur la plupart de ces points.
Curran: Oui, j'adore ça. J'adore ça. Alors, pour conclure aujourd'hui, Richard, vous avez conseillé des États-nations, nos alliés et le gouvernement des États-Unis en matière de stratégie cyber. Si vous deviez vous adresser à une entreprise – plus précisément, parlons non pas des grandes sociétés qui disposent de toutes les ressources. Disons qu'il s'agit d'un détaillant régional de taille moyenne, pas une entreprise de l'envergure de Target.
Quelles seraient les premières étapes d'une stratégie proactive qu'ils pourraient mettre en place pour avancer d'un ou deux pas dans la bonne direction ?
Harknett: Je dirais qu'il faut accorder à votre DSI et à votre responsable de la sécurité des systèmes d'information autant d'importance qu'à votre vice-président en charge du marketing et du développement produit. Ils doivent avoir leur place à la table des décisions, et il ne faut pas se contenter de les reléguer au fond du couloir en leur demandant de faire des économies grâce à l'efficience, sans leur donner les ressources nécessaires pour protéger l'ensemble de vos actifs et de votre propriété intellectuelle. Je pourrais vous dresser une liste exhaustive de mesures techniques à adopter, mais d'un point de vue organisationnel et stratégique, l'essentiel est de s'assurer que les personnes à qui vous confiez la responsabilité du portefeuille de cybersécurité font partie intégrante de vos pratiques commerciales.
Il faut également reconnaître, au niveau de la direction et du management, que ce n'est pas un problème informatique.
La cybersécurité est un défi économique, organisationnel et comportemental dans un environnement technique en constante évolution. C'est ma formule. Elle ne tient pas en une formule, elle est trop longue. Mais si vous la traitez comme un problème technique, vous passez à côté de l'essentiel. Il s'agit d'organisation, il s'agit de comportement. Vous devez donc revoir vos processus organisationnels.
Et si vous, en tant que CEO, ignorez quel est votre plan d'anticipation et de résilience face à une attaque Ransomware, vous devez vous en informer sans tarder.
Curran: Optez pour une longue durée, au moins suffisante. Oui. Très bon conseil, Richard. J'ai beaucoup apprécié la conversation…
Harknett: Oui, moi aussi.
Curran: Je me suis entretenu avec Richard Harknett, directeur du Center for Cyber Strategy and Policy et co-directeur de l'Ohio Cyber Range Institute à l'Université de Cincinnati.
Si vous souhaitez en savoir plus sur les stratégies de cybersécurité proactives, consultez Focal Point, le magazine en ligne primé de Tanium dédié à l'actualité cyber. Des liens vers des articles sont disponibles dans les notes de l'émission, ou rendez-vous sur tanium.com/p pour accéder aux publications.
Pour découvrir d'autres conversations avec les grands leaders du monde des affaires et les experts en sécurité, abonnez-vous à Let's Converge sur votre application de podcast préférée. Si cet épisode vous a plu, n'hésitez pas à nous attribuer une note de cinq étoiles.
Merci de votre écoute. Nous avons hâte de partager d'autres perspectives sur la cybersécurité lors du prochain épisode de Let's Converge.
