Résumé
La cybersécurité dans les écoles primaires est une affaire sérieuse. En 2021, des attaques Ransomware ont touché 73 districts scolaires, couvrant près de 1 000 établissements. Et ces incidents sont en hausse. Mais pas au district scolaire de Burnaby 41, en Colombie-Britannique, au Canada, qui adopte une stratégie cybernétique proactive pour protéger les opportunités d'apprentissage des 25 000 élèves de Burnaby. Écoutez et découvrez les fondements de la cyber-résilience de Burnaby.
ANIMATEUR : Doug Thompson, directeur des solutions techniques d'ingénierie et architecte principal en éducation, Tanium
INVITÉ : Aylwyn Ribeiro, responsable des réseaux et de la sécurité, district scolaire de Burnaby
41
Notes de l'épisode
Découvrez ces articles dans Focal Point, le nouveau magazine en ligne de Tanium dédié à l'actualité cyber.
- Les cybermenaces contre l'apprentissage à distance de la maternelle au lycée : un district scolaire contre-attaque
- Pour renforcer la cybersécurité, soutenons nos enseignants en technologie
Transcript
L'entretien suivant a été modifié pour plus de clarté.
Aylwyn Ribeiro : Les districts scolaires, au-delà des attaques réseau, étaient très vulnérables à l'ingénierie sociale, aux attaques de phishing et à ce type de menaces. Nous devons donc rester vigilants à cet égard, car c'est là que la plupart de nos problèmes trouvent leur origine. Et encore aujourd'hui, beaucoup de personnes se font piéger.
Doug Thompson : Imaginez que vous venez de prendre un nouveau job en tant que responsable des réseaux et de la sécurité au district scolaire de Burnaby 41. C'est l'un des plus grands districts scolaires de Colombie-Britannique. Et au moment où vous commencez à vous y habituer, tout part dans tous les sens.
Bonjour, je suis Doug Thompson, et aujourd'hui dans Let's Converge, nous parlons des écoles primaires, des cybermenaces et de la façon dont un district riposte.
Voici quelques chiffres : 4 000. C'est le nombre d'enseignants et de membres du personnel qui travaillent à Bern. 25 000. C'est le nombre d'élèves dont les données sensibles sont en jeu. Et 19, 19? Ohhh, la COVID-19. Cela a contraint l'ensemble des élèves et du personnel à rester chez eux pour suivre un enseignement à distance. Le défi : beaucoup de ces personnes ne disposaient pas d'ordinateurs personnels adaptés. Ainsi, 9 000 appareils scolaires supplémentaires ont été envoyés à leur domicile.
C'est le défi auquel Aylwyn Ribeiro a été confronté en 2020. Aylwyn a pris conscience de la situation difficile dans laquelle il se trouvait. Lui et son équipe manquaient de visibilité sur l'utilisation de ces appareils, sans parler de leur statut de Patch et de leurs logiciels antivirus. Et puis il y avait cette menace entièrement nouvelle qu'il n'avait jamais rencontrée auparavant :
Issu du monde des affaires, il avait l'habitude de contrer les cybercriminels, mais il devait désormais anticiper les stratagèmes et les manœuvres des étudiants aspirant au piratage, qui voyaient tous en cela une occasion d'infiltrer son réseau comme une plaisanterie, ou encore, un motif de fierté.
La cybersécurité dans les écoles primaires est une affaire sérieuse. En 2021, des attaques de Ransomware ont touché 73 districts scolaires couvrant près d'un millier d'écoles. Et ces attaques sont, malheureusement, en hausse. Mais pas à Burnaby, grâce en partie à une stratégie proactive qu'Aylwyn a contribué à deployer au cours des dernières années.
Bienvenue dans ce podcast, Aylwyn. Comment allez-vous ?
Ribeiro: Très bien, Doug. Et vous ?
Thompson: Je ne me plains pas. Ce qui m'intrigue dans votre parcours, c'est non seulement la façon dont vous avez pris ce nouveau job au début d'une crise, mais aussi le fait que vous l'ayez fait sans aucune expérience dans le domaine de l'éducation.
Ribeiro: Oui, c'est une histoire assez particulière. Mon parcours en IT est en réalité dans l'IT pour l'hôtellerie. Et, vous savez, pendant le COVID, l'hôtellerie a malheureusement subi un coup dur. Beaucoup d'organisations hôtelières ont réduit leurs équipes, leurs équipes en contact avec la clientèle, leurs équipes IT, et leurs équipes dans l'ensemble, ce qui m'a conduit à rejoindre le district scolaire de Burnaby [Rires.]. Un changement de cap vraiment intéressant, et un changement de secteur complet. C'est un changement remarquable jusqu'à présent. [Rires.]
Thompson: Vous savez, quand j'envisageais de quitter Microsoft et que l'opportunité de rejoindre Tanium s'est présentée, je n'étais pas particulièrement en recherche à ce moment-là, mais je constate que si vous êtes croyant, Dieu ou une force supérieure place parfois des choses sur votre chemin pour vous faire changer de direction dans des domaines que vous n'auriez pas envisagés auparavant. Qu'est-ce qui vous a attiré vers le district scolaire ?
Ribeiro: Principalement, la nature du poste. Mon rôle au sein du district scolaire est celui de responsable des réseaux et de la sécurité, ce qui englobe l'ensemble de l'infrastructure et la sécurité de l'organisation, qui constituent mon cœur de métier. J'adore ce type de missions. J'adore expérimenter, j'adore la sécurité, j'adore les réseaux et l'infrastructure. C'était donc une voie naturelle pour moi que d'assumer ce rôle. [Rires.].
Thompson: Eh bien, … bienvenue dans le feu de l'action, car je constate que le secteur de l'éducation est une cible de choix pour tous les acteurs malveillants qui cherchent à s'infiltrer. Et en tant que professionnel de la sécurité, vous êtes en quelque sorte en première ligne. Dans l'hôtellerie, il y a certainement les problèmes habituels, et plus les entreprises sont grandes, plus elles attirent l'attention. Je constate que l'éducation, en particulier l'enseignement primaire, K-through-12 est une cible de choix pour les cybercriminels, surtout à la rentrée scolaire, car ils savent que votre charge de travail est à son maximum, et ils en profitent pour lancer des attaques. Je suis donc certain que vous êtes en première ligne en ce moment. Je ne sais pas si vous l'avez remarqué ou non.
Ribeiro: [Rires.] Tout à fait. Les districts scolaires, en dehors des attaques réseau, sont très vulnérables à l'ingénierie sociale, aux attaques de phishing et à ce type de menaces. Nous devons donc être vigilants sur ce point, car c'est là que la plupart de nos problèmes trouvent leur origine. Et encore aujourd'hui, beaucoup de personnes se font piéger. C'est une situation difficile. Nous devons vraiment rester sur nos gardes [Rires.].
Thompson: Absolument. C'est courant, je veux dire. Vous n'êtes pas le seul dans cette situation. Je sais qu'ici, aux États-Unis, de août à octobre, les réseaux sont [touchés] — les e-mails de phishing connaissent une forte recrudescence, car [les hackers] savent que le personnel informatique est occupé à réinitialiser les mots de passe et à s'assurer que tout fonctionne pour le semestre, sans vraiment avoir le temps de surveiller les éléments habituels qu'ils auraient normalement pu contrôler.
Et, de façon notoire, dans l'éducation — je plaisante avec mes collègues du secteur des entreprises — je leur dis : regardez, l'éducation dispose de la moitié du personnel et de trois fois plus d'utilisateurs qu'une entreprise classique. Vous êtes vraiment en première ligne — je vous comparerais presque à une équipe de forces spéciales : des effectifs réduits, mais une grande efficacité dans l'exécution.
Ribeiro: Oui, tout à fait. Septembre est notre période la plus chargée, avec nos techniciens en support informatique qui se déplacent sur le terrain. Ils préparent les établissements et mettent en place toute la technologie nécessaire. Mon équipe, quant à elle, gère tout le travail en arrière-plan : la préparation des réseaux, la mise en place des serveurs. Il est vraiment difficile de trouver le bon équilibre entre la facilité d'utilisation du réseau et la sécurité, et de parvenir à exploiter les deux simultanément. Nous avons eu la chance de trouver cet équilibre. J'ai une excellente équipe qui me soutient, et nous nous soutenons mutuellement avec beaucoup d'efficacité. Tout repose sur les personnes : il s'agit de bien les traiter tout en atteignant les objectifs, et c'est tout ce qu'on peut leur demander, n'est-ce pas ? Fournissez-leur les outils, donnez-leur la formation, et ils feront le reste.
Thompson: C'est une approche remarquable. Cela semble être du bon sens, mais c'est une excellente façon de procéder. Et en tant que personne extérieure, nouvelle dans le domaine de l'éducation, comment avez-vous été accueilli ?
Ribeiro: C'est une question intéressante, en effet. À mon arrivée, j'ai été très bien accueilli, notamment pour mon expérience dans le secteur privé et l'hôtellerie. En analysant ce que j'appellerais le profil technologique du district, j'ai constaté que les services, le matériel et l'ensemble des activités étaient en grande partie définis par les fournisseurs, et que l'équipe n'avait pas vraiment son mot à dire sur ce qui se passait. Ces fournisseurs proposaient des solutions clés en main, des solutions universelles, qui en réalité ne fonctionnent pas. Mon approche a donc consisté à comparer tous les fournisseurs côte à côte en me demandant : avons-nous réellement besoin de ce service ? Avez-vous besoin de ce service ? Est-ce redondant ? Si c'est le cas, supprimez-le. Et vraiment, que peut faire mon équipe qu'elle n'a pas déjà fait ? Et, vous savez, les mettre sur la voie pour qu'ils l'apprennent et y réussissent.
Thompson: Avoir le courage d'aller de l'avant et de le faire, c'est quelque chose que je tiens à saluer, car les gens détestent le changement en général. Nous, les êtres humains, nous détestons le changement. Nous aimons ce qui est confortable, nous aimons ce que nous faisons depuis toujours. Et je pense que parfois, plus nous travaillons dans l'informatique ou dans un domaine similaire, plus nous nous habituons aux outils que nous utilisons, et ils ont tendance à devenir — j'ai entendu quelqu'un le décrire comme une boîte à outils que l'on transporte d'un endroit à l'autre, parce que c'est ce que nous connaissons.
Et ce n'est pas toujours la meilleure approche. Parce qu'il existe de nouvelles façons de faire les choses, souvent meilleures, et que d'un point de vue organisationnel, nous sommes en quelque sorte enfermés dans cet ancien modèle où nous avons cet outil pour faire X, cet outil pour faire Y, et cet outil pour faire Z, alors qu'il existe désormais des options permettant de tout faire de manière plus fluide et de façon cohérente.
Et il semble que vous ayez adopté cette vision en vous demandant comment sortir du domaine des outils pour entrer dans celui du faire fonctionner la technologie ? Et la rendre sécurisée.
Ribeiro: Exactement. Souvent, les ensembles d'outils sont redondants et personne ne les utilise, car les utilisateurs ne sont pas formés ou ne souhaitent pas apprendre à s'en servir. C'est ma plus grande source d'agacement [Laugh.]. J'ai donc repensé l'intégralité de notre ensemble d'outils et j'ai amené l'équipe à les apprendre et à les utiliser, et ils réalisent que cela renforce leurs capacités et en fait des acteurs plus performants [Laugh.], n'est-ce pas ?
Thompson: Cela leur libère probablement du temps. Ainsi, lorsque vous pouvez intervenir, Automate les tâches et rationaliser les processus, cela vous laisse davantage de temps pour vous concentrer sur l'essentiel.
Ribeiro: Tout à fait. Nous sommes dans le domaine de l'éducation ; nous devons nous concentrer sur les enfants. Alors, récupérer tout ce temps pour les accompagner ? Honnêtement, ça me semble une bonne chose.
Thompson: Avez-vous modifié certaines structures hiérarchiques ? Avez-vous en quelque sorte revu l'organisation pour la rendre plus horizontale et éviter ces silos ?
Ribeiro: Je n'ai pas vraiment aplati l'organisation à proprement parler, mais j'ai permis à deux équipes distinctes de fonctionner comme une seule. Notre équipe des services réseau, par instance : nous l'avions séparée entre une partie WAN et une partie LAN, et j'ai progressivement entrepris de les fusionner.
Thompson: D'accord, Aylwyn, nous sommes ici dans une zone sans acronymes, donc je dois faire un peu de Cyber Jargon 101 : lorsque nous parlons de WAN et de LAN, ce sont des acronymes désignant différents types de réseaux. Par exemple, un LAN est un « réseau local » qui connecte des utilisateurs dans un espace restreint, comme une salle de classe, un bâtiment ou un environnement similaire. Et un WAN, « réseau étendu », relie ces réseaux locaux sur une zone géographique plus large. Imaginez une connexion entre différents sites d'une même ville, ou encore entre plusieurs campus. Les entreprises présentes sur plusieurs sites doivent désormais maîtriser la sécurité pour ces deux environnements. Et souvent, c'est une équipe distincte qui s'en charge. Ce sont des experts pointus qui maîtrisent vraiment les aspects techniques et savent comment les données circulent à travers le monde. Est-ce là une autre façon dont vous cherchiez à rationaliser et à simplifier la sécurité chez Burnaby ?
Ribeiro: Au bout du compte, cette séparation n'est pas nécessaire [Rires.]. Cela leur a permis de collaborer de façon bien plus efficace, car ils n'ont plus besoin de solliciter d'autres équipes pour obtenir des informations qu'ils peuvent trouver eux-mêmes sans difficulté.
Thompson: Vous supprimez donc les silos qui existaient.
Ribeiro: Tout à fait.
Thompson: Où, là encore, vous travaillez tous à partir des mêmes données. Surtout depuis que les collaborateurs travaillent depuis chez eux, le LAN et le WAN se confondent désormais, et la frontière se situe là où se trouve l'utilisateur. Et pour gérer cela, les outils—comme vous l'avez constaté—qui fonctionnaient très bien lorsque vous aviez des remparts et que tout y résidait ne fonctionnent plus aussi bien quand tout le monde prend ses affaires et rentre chez soi. [Rires.].
Vous supprimez donc les silos et rationalisez les outils. Je comprends. Burnaby a également mis en place des programmes de sécurité intéressants. Vous menez des campagnes de sensibilisation à la cybersécurité, des attaques de phishing simulées—pas avec un bateau et une canne à pêche, mais des e-mails de phishing—et des formations individuelles, lorsque vous repérez des membres du personnel qui tombent à répétition dans ces pièges cybernétiques. Comment convainquez-vous la direction, qui, soit dit en passant, compte probablement parmi les victimes de ces arnaques ?
Thompson: J'ai vraiment cherché à montrer comment nous pouvions réaliser des économies, améliorer l'organisation, la rendre plus agile et plus performante en identifiant les bons outils. En mobilisant les bonnes personnes et les bonnes ressources, nous pouvons y parvenir. Définir cet objectif et tracer la voie à suivre, c'est la meilleure façon de procéder. La direction apprécie particulièrement quand on est en mesure de formaliser tout cela, d'y associer des valeurs financières et de démontrer les économies concrètes à la clé. N'est-ce pas ? C'est ainsi que j'ai pu obtenir ce dont j'avais besoin, dans les meilleurs délais.
Thompson: J'aime votre façon d'envisager cela comme une approche globale. Il y a la question de savoir comment dépenser l'argent des contribuables de manière judicieuse—c'est quelque chose que j'apprécie—mais nous pouvons aussi partager de nouvelles possibilités rendues accessibles grâce aux ressources que nous avons libérées, qu'il s'agisse d'Assets humains ou financiers.
Ribeiro: Tout à fait. Les Assets financiers sont particulièrement importants car nous sommes une organisation du secteur public. Nous rendons compte, en substance, aux contribuables. Ainsi, l'argent que nous économisons peut être utilisé de façon plus efficace et alloué là où il est vraiment nécessaire en priorité.
Thompson: Mm-hmm. C'est dans les salles de classe que va une grande partie de cet argent.
Ribeiro: Exactement.
Thompson: Est-ce que la direction — le superintendant et autres — a une expérience ou des connaissances en informatique ? Qu'est-ce qui vous a valu d'être choisi pour ce poste plutôt que d'autres personnes ayant une solide expérience en informatique dans le domaine de l'éducation ?
Ribeiro: Je pense qu'ils m'ont choisi en raison de mon expérience. Mais aussi pour ma capacité à travailler avec les gens, à expliquer les concepts de façon claire et à communiquer avec eux. Ce serait mon principal atout. Beaucoup de professionnels en informatique utilisent le jargon technique, et les gens ne comprennent pas vraiment. Et au niveau de la direction, ils détestent ça. Ils veulent juste des ABCs simples, du langage naturel. [Rires.]
Thompson: Je sais, c'est une excellente chose. J'appelle ça le « techsplaining ». Tout ce charabia—j'appelle ça le techsplaining.
Pensez-vous que l'industrie de l'hôtellerie vous a appris ces compétences pour être en mesure de faire cela ? Parce que vous êtes en contact avec des gens en permanence—vous voulez qu'ils dépensent leur argent dans votre complexe hôtelier ou des choses de ce genre. Est-ce que cela a contribué à développer cette aptitude ?
Ribeiro: Eh bien, je suis une personne de contact, donc l'hôtellerie m'est venue naturellement. Je pense que cela a enrichi mes compétences et les a améliorées. Avant, j'étais en contact avec le public, dans l'hôtellerie. Je pense que ça m'a aidé dans ce domaine. Oui. [Rires.].
Thompson: C'est une compétence précieuse, et davantage de personnes devraient la posséder. L'une des compétences que j'ai acquises au début de ma carrière commerciale — j'ai suivi un cours d'improvisation sur lequel je me suis appuyé. Ce que cela m'a appris, c'est d'écouter ce que le client — dans ce cas, vos utilisateurs finaux — me disait, puis d'assimiler ces informations. De cette façon, je savais, car j'ai découvert que les clients vous disent ce dont ils ont besoin si vous prenez le temps de les écouter.
Ribeiro: [Rires.]. Tout à fait. Tout repose en grande partie sur l'écoute. Beaucoup de professionnels de l'IT ont ce défaut de ne pas écouter — ça rentre d'un côté et ça ressort de l'autre, n'est-ce pas ? Il faut donc faire l'effort d'écouter et de comprendre ce qui se passe réellement.
Thompson: Ensuite, vous pouvez absorber ces informations et ajuster votre plan en conséquence. Alors, quelle est la prochaine étape, si vous pouvez le dire, dans un an environ ? Où souhaitez-vous en être et qu'aimeriez-vous faire pour avoir un Impact encore plus fort sur ce que vous faites ?
Ribeiro: C'est une excellente question. Vous savez, pour faire avancer le district, mon objectif principal est de renforcer la sécurité de l'organisation. J'envisage la mise en place de services de détection des menaces gérées pour mieux comprendre la situation et son impact sur nous. Et il est possible que nous devions également intensifier la formation de nos utilisateurs et de notre personnel afin de réduire ces attaques d'ingénierie sociale. C'est donc clairement ma priorité numéro un. N'est-ce pas ? Car, vous savez, vous pouvez avoir la meilleure sécurité du monde, mais si votre personnel n'est pas formé, c'est la porte d'entrée la plus facile [pour les acteurs malveillants].
Thompson: Oui, vous l'avez mentionné plus tôt, et j'avais l'intention d'aborder ce point. C'est un équilibre entre la facilité d'utilisation et la sécurité. Car vous pouvez créer l'environnement le plus sécurisé au monde, et personne ne l'utilise. [Rires.] Parce que personne ne peut rien en faire. Et d'un autre côté, donner aux personnes accès à ce dont elles ont besoin implique un état d'esprit différent, et c'est un compromis. Amener vos utilisateurs à comprendre que l'AMF, l'authentification multifacteur, est une bonne chose.
Je constate que les utilisateurs plus âgés ont plus de mal avec le changement que ceux qui sont plus jeunes, qui ont grandi avec la technologie et comprennent que l'authentification multifacteur n'est qu'une contrainte mineure, mais qu'au bout du compte, elle renforce considérablement la sécurité.
Ribeiro: Oh, tout à fait. Avec l'avènement de l'AMF, il a été possible de réduire les compromissions de comptes. Et c'est justement quelque chose que nous sommes en train de déployer dans le district en ce moment. Il s'agit vraiment de trouver le bon équilibre, car, vous savez, les enfants de la maternelle au lycée, peuvent-ils vraiment utiliser l'AMF ? Disposent-ils d'un appareil capable de le faire ? Ou devons-nous séparer les groupes ? Les élèves plus âgés et le personnel en bénéficient-ils, tandis que nous laissons les K-4s tranquilles ? Il s'agit donc de trouver l'équilibre et de déterminer les risques que nous sommes prêts à accepter.
Thompson: J'apprécie vraiment ce que vous faites. La raison pour laquelle je voulais vous avoir dans le podcast, c'est que vous prouvez que c'est possible. Et peut-être que le fait de venir de l'extérieur signifiait que vous ne saviez pas que vous ne pouviez pas le faire [Rires.]. Parfois, nous supposons que cela ne peut pas être fait. Mais vous semblez être au bon [moment], ou à la crête de la vague de ces changements qui témoignent d'un vrai leadership éclairé sur la façon dont vous pouvez transformer un système éducatif, même sans une grande connaissance du domaine éducatif.
Ribeiro: Oui, tout à fait. La persistance, c'est la persévérance. Il suffit de traverser les épreuves. Aucun défi n'est insurmontable, n'est-ce pas ? [Rires.]
Thompson: Vous avez donc votre mantra, comme vous l'appelez, sur votre profil LinkedIn : « Votre succès se définit par votre persistance à persévérer lorsque tout est contre vous. » Et malheureusement, dans le secteur de l'éducation et de l'IR, ce besoin est omniprésent.
Comme je l'ai mentionné, la moitié des utilisateurs tentent de pirater vos systèmes, car ce sont des enfants ; c'est un jeu pour eux. C'est ce qu'ils font. C'est donc un défi supplémentaire auquel nous devons faire face.
Aylwyn, merci de m'avoir accordé de votre temps. Je suis impatient de voir ce que vous accomplirez au cours de la prochaine année ou des deux prochaines années. Merci d'être en première ligne pour protéger nos enfants.
Ribeiro: Merci, Doug. C'est très apprécié. Merci.
Thompson: Je me suis entretenu avec Aylwyn Ribeiro, responsable de la sécurité des réseaux au sein du district scolaire de Burnaby, au Canada.
Si vous souhaitez en savoir plus sur la stratégie de cybersécurité de Burnaby et sur la menace croissante qui pèse sur les établissements scolaires de la maternelle au lycée, consultez le nouveau magazine en ligne de Tanium sur la cybersécurité à l'adresse Tanium.com.
Pour découvrir d'autres conversations avec les grands leaders du monde des affaires et les experts en sécurité, abonnez-vous à Let's Converge sur votre application de podcast préférée. Si cet épisode vous a plu, ce dont je suis convaincu, merci de nous attribuer une note de cinq étoiles et de le recommander à votre entourage.
Merci de votre écoute. Nous avons hâte de partager de nouvelles perspectives en matière de cybersécurité lors du prochain épisode de Let's Converge.
