2018 : une présence renforcée

Les acteurs du numérique évoluent désormais au sein d’un cyberespace vaste et complexe à défendre, dénué de frontières géographiques, politiques et même parfois techniques. Cette réalité nous confronte à un phénomène de perte de notion du périmètre du système d’information.

En grande partie liée à l’apparition ou au renforcement de certains usages, cette tendance s’explique notamment par le développement de l’externalisation des données (exemple : Cloud), une plus grande ouverture des systèmes sur Internet, un essor du nomadisme (exemple : télétravail) ou encore l’interconnexion quasi-systématique des systèmes (exemple : objets connectés).

Au coeur de cette mutation se pose la question de la confiance. Plus difficile à évaluer que la seule sécurité, la confiance dans des infrastructures de type Cloud ne peut s’envisager que dans la durée. Les réponses actuellement apportées consistent essentiellement en l’isolation des systèmes les plus sensibles. Cette approche atteint ses limites et doit conduire à la mise en oeuvre d’initiatives qui ne seront porteuses de sens et de résultats qu’à l’échelle européenne.

L’instauration de la confiance en ces solutions doit, selon l’ANSSI, s’attacher à instruire plusieurs champs d’action :

• réduire les risques liés à la migration des données dans le Cloud par une attention renforcée à l’égard des processus critiques et l’intervention du législateur européen ;
• accompagner le phénomène de « dépérimétrisation » du système par la recherche d’un équilibre entre fonctionnalité et fermeté ;
• s’adapter au déplacement de la sécurité des systèmes vers la sécurité de l’information et des services numériques par un accompagnement au changement à la fois culturel et opérationnel.

Si le concept ne vous dit rien, vous en avez certainement déjà croisés. On appelle systèmes « cyber-physiques » les systèmes qui créent une convergence entre les mondes physique et immatériel. De nombreux pans de l’économie (industrie, transports, santé, etc.) et de nos sociétés recourent désormais à ces technologies devenues, dans certains cas, indispensables.

L’une des premières conséquences de l’apparition massive des objets connectés est leur propension à accroître très fortement la surface d’exposition aux attaques. Celles-ci peuvent être dirigées vers l’objet lui-même, quand il ne s’agit pas tout bonnement d’en détourner la finalité pour les transformer en vecteurs d’actions malveillantes. Bien que très développé, le domaine des objets connectés est encore jeune et souffre d’un manque de maturité qui se traduit par une insuffisance de normes et l’absence de sécurité by design.

Si l’application de bonnes pratiques et de principes de sécurité tout au long du cycle de développement de ces systèmes participe à réduire les risques, cela ne suffira pas à protéger les environnements les plus sensibles tels que les systèmes industriels. De plus, les enjeux liés à la disponibilité de ses systèmes priment souvent sur la confidentialité ou l’authenticité. Cet aspect induit un changement de paradigme générateur de véritables défis techniques.

L’intelligence artificielle (IA) se donne comme objectif de doter un système de la faculté d’apprendre par lui-même des tâches complexes et potentiellement difficiles à programmer. Le champ des possibles est gigantesque et touchera tous les domaines des activités humaines et techniques allant du transport autonome jusqu’aux interactions « en langage naturel » avec des outils technologiques.

Par sa capacité inédite de traitement d’énormes volumes de données, l’IA va bouleverser des secteurs entiers de l’économie. Même si les limites et les capacités de cette technologie sont encore imprécises et non maîtrisées, il est d’ores et déjà possible d’envisager certains risques (apparition de nouvelles vulnérabilités, utilisation de l’IA des fins malveillantes) et opportunités (aide à la détection des attaques informatiques) du point de vue de la sécurité des systèmes d’information et du cyberespace en général. Enfin, si l’IA laisse entrevoir de nouvelles possibilités, se pose également la question de savoir comment évaluer cette technologie.

Au-delà des questions éthiques liées au développement de l’IA, la prise en compte de la sécurité dès la conception des nombreux projets ayant recours à ces nouvelles technologies apparait donc comme une condition sine qua non de son acceptation sociale.