Global Security Mag : Quelle sera votre actualité lors du Forum International de la Cybersécurité 2020 ?

Roland Atoui : RED ALERT LABS présentera deux actualités principales lors du salon du FIC 2020 :

La première est la sortie mondiale de sa nouvelle offre d’évaluation indépendante et de certification des objets connectés appuyée par Eurosmart, une organisation d’industriels renommés connue comme la voix de l’industrie de la sécurité numérique, qui a développé un schéma de certification adapté aux contraintes techniques et commerciales des objets connectés et basé sur la loi de l’UE sur la cybersécurité (EU Cybersecurity Act). Ces offres s’appuient notamment sur les derniers travaux de l’ETSI et la CEN-CENELEC qui ont récemment publié une norme de cybersécurité pour les objets connectés destinée au grand public/consommateur (ETSI EN 303 645).

La deuxième est la sortie en version "Early Adopters" du premier modèle de la plateforme de sécurité unique dans son genre et qui consiste à guider les utilisateurs dans tous les processus de cybersécurité, depuis les spécifications des exigences (qui incluent un questionnaire métiers, des profils de sécurité, la catégorisation des Objets Connectés (IoT) et l’évaluation des risques) jusqu’à la sélection des contre-mesures, la génération de preuves, l’évaluation et la certification du niveau de sécurité. Ses objectifs seront de :
• garantir le niveau de sécurité requis par conception,
• gérer les risques système et,
• garantir une certification avec succès.

Global Security Mag : Selon-vous, comment l’humain peut-il être acteur de la cybersécurité, alors qu’il est essentiellement regardé aujourd’hui comme victime ou comme auteur ?

Roland Atoui :La sécurité est à la fois un sentiment et une réalité, et ces deux aspects sont différents.

La sécurité par conception est aujourd’hui une très bonne approche et rentre complètement dans la philosophie de RED ALERT LABS mais on ne doit pas oublier les aspects psychologiques de l’humain qui y prend rôle. Mais c’est malheureusement le cas, le fait d’oublier de prendre en compte le critère psychologique conduit souvent les gens à mal évaluer le risque. Par exemple, un joli label de sécurité sur une Caméra IP ou un site web a un effet de sentiment positif de sécurité sur la plupart des humains alors qu’ils ne le sont pas forcément en réalité, tandis que les gens se sentent beaucoup moins en sécurité en avion qu’ils ne le sont réellement. En effet, les problèmes de sécurité sont liés aux risques et à l’incertitude, ainsi qu’à la façon dont nous réagissons à ceux-ci et nous gérons le risque.

Finalement, pour que l’humain soit acteur de la cybersécurité, les fonctionnalités de sécurités doivent faire partie de la technologie et surtout facilement utilisables - non seulement par les geeks, mais aussi par vos grands-parents.

Global Security Mag : Quels conseils pourriez-vous donner aux organisations pour qu’elles parviennent à impliquer les décideurs et sensibiliser leurs utilisateurs ?

Roland Atoui : La cybersécurité devient rapidement l’un des principaux piliers d’organisations florissantes, mais assurer la protection contre les cybercriminels reste une tâche semée d’embûches. Pour les décideurs d’une organisation, il est essentiel d’exercer une surveillance de la gestion des risques de cybersécurité pour éviter les problèmes légaux et les litiges qui peuvent avoir des conséquences graves.

Très peu d’experts en cybersécurité savent communiquer avec les décideurs et les décideurs. La présentation d’un argument commercial implique non seulement des considérations économiques, mais également la nécessité d’utilisation d’une terminologie cohérente, des mesures et d’un contexte dans lequel on peut prendre des décisions éclairées.

Les décideurs sont informés par notre compréhension de la technologie, mais cette information doit être formulée dans un langage et des concepts commerciaux afin qu’elle puisse être facilement comparée à des choix non liés à la sécurité.

Donc, pour faire de la cybersécurité un argument commercial convaincant,RED ALERT LABS conseil et propose des outils de communication intelligents permettant de collecter de manière efficace des données sur les risques et les coûts des incidents de sécurité. Ces outils sont là pour aider les parties prenantes à construire des modèles, à décider du budget et à faire des projections.

Global Security Mag : Comment les technologies doivent-elles évoluer pour une sécurité au plus près de l’utilisateur ?

Roland Atoui : Comme mentionné ci-dessus, il faudrait prendre en compte les aspects psychologiques et de perception de sécurité lors de la conception d’une nouvelle technologie. Ce qui doit évoluer en général serait les aspects ergonomiques, la mise en place d’une configuration sécurisé par défaut ou automatique, des mises à jour sécurisées transparentes où la transparence des fabricants sur le niveau de sécurité fournit par exemple.

Global Security Mag : Quelles actions les acteurs de la cybersécurité peuvent-ils mettre en place pour attirer de nouveaux talents ?

Roland Atoui : Les acteurs de la cybersécurité doivent instaurer une culture d’apprentissage, de valorisation humaine et d’accompagnement sur mesure. Il ne faut surtout pas oublier aussi le caractère d’innovation qui attire souvent les nouveaux talents.

Global Security Mag : Selon vous, à quoi pouvons-nous nous attendre en termes d’attaques et de défense pour 2020 ?

Roland Atoui : Une nouvelle année et une nouvelle décennie commencent, si on fait un zoom sur la sécurité de l’IoT qui continue de changer et d’évoluer d’une manière exponentielle, on doit s’attendre aux attaques et défenses liés aux faits suivants :

• La 5G est beaucoup plus proche que nous ne le pensons

Il y a seulement un an, la 5G n’existait qu’en théorie. Cependant, alors que 2019 se termine, nous savons maintenant comment ça fonctionne et à quel point elle est révolutionnaire, et nous savons également qu’il existe déjà une poignée de villes 5G à travers le monde.

La 5G devrait être déployée dans plusieurs pays en 2020, comme aux États-Unis et en Corée du Sud, il est donc déjà temps de penser à la sécurité 5G et à l’IoT.

• La sécurité des bâtiments intelligents/connectés - une préoccupation croissante

Selon Gartner, huit objets connectés sur dix en 2020 seront utilisés dans ces bâtiments. Cela fait des bâtiments intelligents la chose la plus importante dont nous avons besoin pour rester en sécurité dans un avenir proche.

Il n’est pas certain qu’il y aurait de nombreuses attaques contre les bâtiments intelligents, mais cela ne signifie pas que leur sécurité n’est pas de plus en plus importante. Ce qui est également certain, c’est que les cybercriminels peuvent utiliser le système de gestion du bâtiment comme point pivot pour obtenir des données ou manipuler des contrôles.

• La blockchain pourrait amplifier la sécurité de l’IoT

La technologie blockchain est apparue avec le Bitcoin, mais plusieurs années plus tard, même si beaucoup ne pensent pas que Bitcoin est important, personne ne dit la même chose pour la blockchain.

Déjà, les gouvernements et les organisations du monde entier mettent en œuvre ou tentent d’appliquer la technologie de la blockchain pour améliorer leur sécurité. La même chose est susceptible de suivre dans le monde de l’IoT.

Global Security Mag : Quel message souhaitez-vous transmettre aux RSSI ?

Roland Atoui : Tout devient Sécurisé “By Design” – Est-ce un rêve ?

La seule bonne chose qui résulte de l’augmentation du nombre d’attaques et des fraudes est le fait que de plus en plus de fabricants sécurisent leurs produits dès leur conception avec le support des acteurs spécialisés comme RED ALERT LABS .

L’attention que la sécurité de l’IoT continue à recevoir oblige les fabricants à s’assurer que leurs produits ou solutions IoT sont aussi sécurisés que possible.

Nous notons qu’afin d’assurer la sécurité des objets connectés, le RSSI n’est pas le seul responsable. En effet, d’autres acteurs majeurs tels que l’IT et les métiers interviennent dans le cycle de sécurisation. Aujourd’hui, il est important de savoir que les cas d’usages IoT sont purement métiers et nécessitent une adaptation de la gouvernance interne afin de prendre en compte entre autres les contraintes environnementales applicables, les données utilisées, et les besoins de sécurité métiers. RED ALERT LABS intervient régulièrement dans l’accompagnement de ses clients afin de définir des schémas de gouvernance adaptés au contexte de chaque entreprise et son périmètre d’activité dans le cadre des objets connectés.

En ce qui concerne les RSSI, ils doivent désormais instaurer des cadres de sécurités adaptés aux contraintes techniques et commerciales de l’IoT et finalement faire évaluer et certifier leurs solutions afin de fournir encore une meilleure transparence sur le niveau de sécurité et contribuer à l’amélioration de la perception et la gestion du risque par l’utilisateur. Ces cadres de sécurité, contribuerons également à l’établissement d’un nouveau tunnel de communication avec les métiers afin de s’assurer de la prise en compte des besoins de sécurité réels tout en garantissant une la prise de décisions en toute connaissance de cause.

La prise de conscience croissante de l’importance de la sécurité de l’IoT ne peut que signifier que les fabricants accorderont encore plus d’attention à la sécurisation de leurs produits ou solutions. Si cet effort continue à progresser rapidement dans ce sens et que les règlementations de cybersécurité s’appliquent, nous pourrions peut-être voir un jour un nombre inférieur d’attaques et de défenses.

Contact :

– Contacter RED ALERT LABS :
– +33 (0)9 53 55 51 11
– contact@redalertlabs.com