Cybersecurity: why we are all concerned

Chiffres tirés du Cyber Readiness Report 2021, publié par Hiscox Compagny

Cette interview a été réalisée pour la rubrique "Expert" du magazine Omalius #24 de mars 2022.

La question n’est en effet pas de savoir si on va être attaqué, mais quand ? Nos modes de vie et notre société globalement, font que nous développons de plus en plus d’outils, de services, d’actions en ligne envers lesquels nous sommes de plus en plus dépendants, pour des aspects parfois très intimes de nos vies. Désormais, chacun a recours à l’e-santé, à l’e-commerce, à l’e-économie, à l’e-travail, etc. Par ces différentes portes, notre exposition aux attaques informatiques est plus forte. Mais, nous pouvons tous agir. La cybersécurité n’est pas de l’unique responsabilité de l’informaticien, du technicien. Ces derniers vont principalement devoir veiller à ne pas laisser de vulnérabilités dans le dispositif informatique. C’est avant tout l’affaire de chaque personne à qui appartient une donnée à protéger. Que l’on soit une organisation, ou que l’on soit un citoyen. Aujourd’hui, plus personne ne peut dire qu’il n’a rien à protéger dans le cyberespace ; à défaut d’être la cible de l’attaque, on peut au moins être le vecteur.

Ils sont multiples et dépendent de différents métiers, du technicien à l’utilisateur en passant par le manager. Mais globalement, pour sécuriser une information, il faut travailler sur trois lignes d’action. Tout d’abord, il y a la prévention, c’est-à-dire qu’il faut mettre en place des mesures pour éviter qu’un problème ne surgisse. C’est par exemple l’installation d’un anti-virus ou la mise en œuvre d’une campagne de sensibilisation à la cybersécurité. Ensuite, il y a la détection : si une attaque survient, il faut avoir des moyens capables de la repérer très rapidement. Le troisième volet est celui de la récupération : après l’incident, il faut disposer d’un système capable de retrouver les données perdues ou de rendre un service à nouveau opérationnel. Individuellement, on peut déjà agir sur ces 3 volets. Par exemple, mettre un mot de passe pour accéder à mon ordinateur, c’est de la prévention. Signaler un mail qui semble frauduleux, c’est aussi de la détection et de la prévention. Dans la gestion de la sécurité, la notion de risque est centrale. Chacun doit identifier le risque en termes de confidentialité, d’intégrité, de disponibilité ou d’authenticité de ses données. Et en fonction de ce risque, des moyens tels qu’évoqués précédemment doivent être mis en œuvre pour le réduire au maximum.

Dans notre équipe à l’UNamur, nous travaillons entre autres sur la sécurité des réseaux et le développement de leurres. L’idée est d’avoir un leurre qui attire l’attention de l’attaquant. Celui-ci en scannant le réseau va identifier une machine vulnérable et va tenter d’entrer dessus. Cette machine, c’est la nôtre. Et nous essayons de capturer des informations sur la manière dont l’attaquant procède. On travaille aussi sur la sécurité des objets connectés ou sur l’évaluation de la sécurité de dispositif existant. Par exemple pour le moment, on travaille avec des collègues canadiens sur une machine agricole autonome, capable de détecter les brocolis murs, et de les récolter. C’est efficace, mais cela pose aussi des questions de sécurité informatique que nous analysons.

Oui en effet, cette complémentarité entre juristes et informaticiens est indispensable pour mener avec pertinence nos recherches. Le cadre légal et réglementaire a de plus en plus d’impact sur la conception et l’exploitation des systèmes d’information. Prenons par exemple le RGPD qui nous impose la protection de nos données dans une série de dispositifs informatiques.

Les cyberattaquants sont de plus en plus en plus organisés, structurés et sont de mieux en mieux outillés. Les attaques sont donc de plus en plus complexes. Et parallèlement à cela, les systèmes informatiques sont de plus en plus présents dans nos vies. Donc oui, le défi est de taille, avec des enjeux politiques, stratégiques et économiques qui vont bien au-delà de la seule sécurité des systèmes d'information. Là où nous pouvons agir, c’est en développant une véritable culture de la sécurité chez chacun : de l’utilisateur, au concepteur d’application, en passant par les opérateurs. C’est une des clés dans cette lutte : que chacun se sente concerné par la cybersécurité et agisse à son niveau, en connaissant de cause.

Dans la recherche

Au sein de l’Institut NaDI, les chercheurs de l’UNamur issus de différentes disciplines (informatique, droit, sciences économiques, sociales et de gestion) mènent des recherches de pointe sur la thématique de la cybersécurité. Deux exemples :

• Le projet SPARTA (Special Projects for Advanced Research and Technology in Europe), financé par le programme H2020 de l’UE. L’ objectif est de développer et implémenter des actions de recherche et d’innovation de haut niveau en matière de cybersécurité. Le professeur Jean-Marc Van Gyseghem et la chercheuse Manon Knockaert, tous deux faisant partie de l'UNamur (NaDI-CRIDS), y apportent leur expertise dans les aspects légaux de la protection des données.
• Le  projet CyberExcellence, financé par la Région wallonne, qui a pour objectif de positionner la Wallonie comme acteur majeur de la cybersécurité sur le territoire national et international. Plusieurs professeurs de la Faculté d’informatique y sont impliqués et de nouveaux chercheurs seront engagés à l’UNamur pour travailler sur ce projet.

La cybersécurité est aussi au cœur de plusieurs programmes d’enseignement à l’UNamur :

• Le Master 120 à finalité spécialisée (Co-diplomation avec l'Université catholique de Louvain, l'Université libre de Bruxelles, la Haute École de Bruxelles, la Haute École libre de Bruxelles - Ilya Prigogine et l'École Royale Militaire).
• Une option spécifique en cybersécurité au sein du master en Informatique.
• Le Master en Architecture des Systèmes Informatiques de l’Hénallux dans lequel la Faculté d’informatique est fortement impliquée.

Cet article est tiré du magazine Omalius #24 de mars 2022.