Comment lutter efficacement face à la montée et à la puissance des cyberattaques qui menacent les Etats, les entreprises et les particuliers ?
Alors que la tendance actuelle est plutôt à l’ultra-indépendance, chacun tentant de trouver sa propre solution de sécurité informatique, il est grand temps de se rassembler et d’opposer un front commun aux hackers.
Le repli sur soi : une opportunité pour les pirates informatiques
Il ne se passe pas un jour sans que la cybersécurité des organisations publiques et privées, ainsi que des particuliers, soit menacée. Les révélations sur des attaques d’ampleur massive s’enchaînent à une vitesse folle.
A titre d’exemple :
- Près d’une entreprise française sur cinq a subi au moins une dizaine d’attaques en 2018 (source) et 92% en ont subi au moins une (source)
- Les fournisseurs et les prestataires des grands groupes sont devenus une cible privilégiée des hackers (source) :ils représentent au moins 50% des attaques selon l’Anssi, ce qui a notamment permis aux pirates du web de s’en prendre à Airbus
- Les informations personnelles de plus de 1000 personnalités politiques, journalistes et célébrités ont été dérobées puis publiées en Allemagne (source)
- Le secteur énergétique français a déjà subi plusieurs intrusions informatiques (source)
A l’occasion de la FIC 2019 à Lille, Guillaume Poupard, le directeur de l’ANSSI, n’a pas mâché ses mots puisqu’il a parlé d’un véritable « état d’urgence » et alerté contre les » attaquants de très haut niveau, probablement des Etats, qui rentrent dans les réseaux et prépositionnent des charges pour éventuellement faire la guerre demain ».
Face à ce constat, les solutions de sécurité nationales, censées éviter les fuites de données, apparaissent très fragilisées. Les attaques sont désormais mondiales, ultra-sophistiquées, et elles bénéficient de nombreux points d’entrée avec l’explosion spectaculaire du nombre d’objets connectés, l’avènement du cloud et la puissance indiscutable des GAFA (Google, Amazon, Facebook et Apple).
Plus que jamais, comme le dit le proverbe, « l’union fait la force » et les Etats ont tout à gagner à sortir de la logique du chacun pour soi.
Plusieurs initiatives intéressantes de coopération entre Etats sont d’ailleurs à saluer en matière de cybersécurité, comme l’adoption du Cybersecurity Act en Europe, qui va permettre aux Etats membres de l’Union Européenne d’être plus réactifs, ou encore l’annonce du maintien de la coopération avec le Royaume-Uni même après le Brexit. De nombreux protocoles d’entente voient également le jour dans le monde : Singapour a déjà signé plusieurs partenariats (avec le Canada tout récemment, mais aussi la France, le Royaume-Uni, l’Allemagne, les Pays-Bas, les Etats-Unis, le Japon, l’Australie et l’Inde), Israël et le Japon ont un accord de collaboration…
Les partenariats publics/privés : une solution d’avenir
Pour aller plus loin, il devient toutefois indispensable de solliciter l’expertise des acteurs du privé. A l’occasion de la conférence RSA, qui a eu lieu en mars dernier à San Francisco, le directeur du FBI Christopher Wray a souligné que « dans l’arène cybernétique, le besoin de partenariats avec le secteur privé est plus grand que partout ailleurs ».
Des précédents positifs, hélas marginaux, ont déjà été mis en place. En juillet 2016, « No More Ransom » a réussi à aider plus de 10 000 victimes de ransomware dans 14 langues grâce à la mise à disposition de 40 outils de déchiffrement gratuits. Un succès qui n’aurait pas pu voir le jour sans la collaboration de plus de 90 organisations publiques et privées !
Un autre exemple d’une collaboration fructueuse : la plateforme cybermalevillance.gouv.fr, chapeautée par l’Anssi et le ministère de l’Intérieur, qui regroupe 1600 prestataires. Plus de 25 000 personnes ont pu ainsi être accompagnées pour faire face à des menaces concernant la sécurité des données.
Zoom sur le secteur de la santé
Dans la ligne de mire des hackers, le secteur de la santé est probablement celui qui est le plus exposé aux attaques, car la valeur des données médicales peut être supérieure aux données bancaires. Or les hôpitaux, de plus en plus connectés, sont très vulnérables en matière de cybersécurité. Il suffit d’un simple virus comme Wannacry, qui a affecté des millions d’ordinateurs en 2017, pour bloquer l’accès aux dossiers médicaux, empêcher la réalisation de radios, imposer le report des examens non urgents, annuler des ambulances…
Autre problème majeur : la façon dont sont administrées et gérées les données médicales en France. Alors qu’une application « Carte Vitale » va être testée dès cette année (source), et peut-être généralisée en 2021, il devient capital de repenser notre façon de fonctionner. Le directeur du FBI estime que la solution viendra d’un chiffrement fort dans tous les pays du monde.
L’avis de Laurent Brault de MDK Solutions
L’Etat Français ne peut plus se permettre d’envisager la cybersécurité de façon isolée, en développant ses propres outils, sans tenir compte de l’apport considérable du privé.
Pour en revenir au domaine de la santé, il y a un exemple flagrant : le DMP (Dossier Médical Partagé). Ce carnet de santé numérique est destiné à conserver et à sécuriser toutes les informations de santé (traitements, résultats d’examens, allergies…) afin de pouvoir facilement les partager avec les professionnels de santé. Le DMP a coûté des centaines de millions d’euros à la collectivité, alors qu’en pratique il est très peu utilisé : seulement 13% des Français en ont un ! (source) Dès sa création, il a d’ailleurs présenté de nombreuses failles de sécurité (source), même si elles ont été résolues depuis.
Tout ce gaspillage aurait pu être évité en faisant appel à une solution privée opérationnelle et performante comme le PassCare® d’InnovHealth, le premier passeport international de santé numérique, sécurisé et hébergé sur un serveur agréé par le Ministère de la Santé. Déjà déployé à l’étranger, il a l’avantage d’être fonctionnel et d’apporter de vraies garanties en matières de sécurité des données.
Adnan El Bakri, le fondateur d’InnovHealth, a notamment déclaré : » PassCare dispose d’un système de double clé avec authentification passant par le téléphone et qui permet de sécuriser les échanges de façon très forte. Notre technologie hybride respecte les réglementations françaises, européennes et internationales. » Une bonne nouvelle pour cet outil « nouvelle génération » déjà plébiscité par les acteurs concernés : « 90% de nos investisseurs et de notre équipe sont des professionnels de santé, issus du terrain, alors que les médecins sont contre le DMP et presque unanimes au sujet de son dysfonctionnement et de son échec.(…) » (source)
A méditer !