FIC 2019 : bilan de la seconde journée du Forum

2 tendances

Les différentes tables rondes ont permis de mettre en évidence les deux tendances majeures suivies et soutenues par les acteurs de la cybersécurité :

• Le renforcement de la régulation et de la coopération entre les différents acteurs (publiques et privées, politiques et judiciaires mais aussi inter-gouvernementales) ;
• L’innovation technologique et le développement des talents au niveau européen.

En cas de crise cyber, sommes-nous suffisamment préparés ?

Cette problématique qui concerne toutes les organisations a été abordée lors de différentes conférences et tables rondes de cette édition du FIC. Pour faire face à une crise ou un sinistre cyber, il est important d'une part, de faire de la prévention en réalisant des revues et analyses de sécurité ainsi que de réaliser régulièrement des exercices de gestion de crise. L’analyse de risques permettant d’identifier les menaces qui pèsent sur l’entreprise permettra également, le cas échéant, de souscrire à une police d’assurance cyber.

En effet, souscrire à cette dernière est incontournable afin de se préparer à un sinistre cyber. Bien entendu afin de dimensionner, au mieux, son contrat d’assurance, il convient pour les entreprises d’identifier au préalable les risques qui pèsent sur l’organisation.

Les assureurs peuvent, en fonction des garanties, couvrir par exemple les cyber-extorsions (ransomwares, menaces de divulgation d'informations confidentielles, etc.), les réclamations des Tiers, ainsi que les frais liés aux enquêtes ou le recours à des experts (informatique, avocats, réputation).

Vers une généralisation de la notation du risque cyber des entreprises ?

Cette édition du FIC a permis de voir l’émergence d’outils de notation du risque cyber des entreprises. Concrètement, ces outils vont exploiter toutes les informations publiques des entreprises, notamment les événements de sécurité, qui sont disponibles sur Internet.

Ces notations sont utilisées actuellement par des entreprises pour évaluer leur propre niveau de cybersécurité mais également celui de leurs fournisseurs. En exploitant ces informations, les entreprises peuvent demander aux fournisseurs de remédier aux manquements identifiés afin de limiter les risques.

Sécurité des systèmes industriels

La particularité des systèmes industriels est connue depuis de nombreuses années. Ces systèmes sont réputés pour leur stabilité mais également pour leurs faiblesses de cybersécurité comme par exemple l’obsolescence des systèmes d’exploitation utilisés.

Nous notons trois actions principales relevées par les intervenants pour la sécurisation de ces systèmes :

• Le renforcement des équipements industriels (limitation/interdiction du port USB, utilisation de supports amovibles certifiés, mises à jour et application des correctifs de sécurité, etc.) ;
• Le monitoring des équipements ;
• L’isolation de l’environnement industriel du reste du réseau de l’entreprise.

Ces bonnes pratiques sont des premiers axes permettant de limiter les risques cyber au sein de ces environnements sensibles.

Sécurité des objets connectés (IoT)

La sécurité des objets connectés n'est pas un sujet récent, cependant des avancées significatives pour protéger des composants sont réalisées, comme par exemple les travaux menés par les chercheurs et enseignants des écoles IMT, Mines de Saint-Etienne et TUM (Allemagne).

En effet, ces derniers ont présenté le résultat de leurs analyses qui consistent à trouver des solutions afin de permettre l’amélioration de la sécurité des objets connectés et plus particulièrement les applications industrielles, sur différents axes de recherche :

• Les nouvelles solutions pour la cyber protection de l'IoT afin de gérer l'authentification, les autorisations et le partage multi-utilisateurs ;
• Les nouvelles solutions pour la cyber défense de l'IoT concernant les aspects de supervision et réponse aux incidents ;
• Les nouvelles solutions pour la cyber résilience de l'IoT avec un focus sur la conception de solutions.

Ces travaux ont également eu pour but de trouver des solutions de renforcement de la résilience des objets connectés faces aux attaques. De façon plus concrète, la cyber résilience de l'IoT consiste à concevoir un système de manière à ce qu'il soit capable de résister à des cyber attaques.

Intervention de Mariya Gabriel, commissaire européen pour l’économie et à la société numérique

Outre l’entrée en vigueur de la directive NIS le 9 mai dernier, le commissaire européen a tenu à présenter les dernières initiatives proposées à la commission européenne.

En septembre 2017, la commission européenne a proposé une loi sur la cybersécurité mettant en avant :

• La nécessité d’avoir une agence européenne pour la cybersécurité différente de celle existante dont le mandat était temporaire. Cette agence devrait être dotée de réelles tâches opérationnelles et ses ressources seront augmentées de 50%.
• La mise en place d’un système de certification européen de la cybersécurité. L’objectif est que par la certification, le consommateur soit en mesure d’apprécier le niveau de sécurité des produits qu’il utilise. Puis, de permettre aux entreprises d’avoir une certification reconnue par tous les Etats membres de l’Union européenne.
• Le déploiement d’un mécanisme de coordination européen en cas d’attaque à large échelle (Blue Print).

En septembre 2018, un nouveau texte a été proposé afin de mettre en place un Centre européen de compétences industrielles, technologiques et de recherche en matière de cybersécurité.

La somme des investissements en cybersécurité des Etats membres est dix fois inférieure à celle des Etats-Unis. Il devient alors essentiel de mutualiser et coordonner les investissements entre les Etats membres.

Mariya Gabriel propose un programme appelé « L’Europe numérique » de 9 milliards d’euros visant à valoriser l’approche européenne en mettant en avant la cybersécurité, l’intelligence artificielle, le calcul à hautes performances, les compétences numériques avancées mais aussi les pôles d’innovation dans chaque région européenne. Le budget alloué à la cybersécurité serait à hauteur de 2 milliards d’euros.

En savoir plus sur la cybersécurité