Affiches Parisiennes : En tant que spécialiste de la cybersécurité, comment êtes-vous arrivé dans ce secteur ? Quel a été votre parcours ?
David Guillaume Deniel-Azoulay : J’ai un master en Corporate Finance de l’ISG, mais j'ai toujours été très proche des Nouvelles Technologies et des leurs applications qui étaient, alors, en plein essor. Dans mon stage de troisième année chez General Electric, j'ai été employé par le département informatique pour participer aux projets Financiers, dont l’ERP pour les applications comptables. Comme j'avais une aisance d'élocution et de prise de parole en public, ils m'ont tout de suite impliqué pour faire la liaison entre les départements financier, légal et informatique. Pendant 3 ans, j’ai ensuite rejoint KPMG Audit afin de mettre en place les projets IT internes et externes, puis j’ai principalement travaillé chez des éditeurs américains. Ce n’est que depuis 2015 que je me suis rapproché de la thématique Cyber, après une discussion avec le responsable de la cybersécurité de l'OCDE. De nationalité Israélienne, il avait été mis en place lorsque son gouvernement y est rentré. A cette époque, en 2015, il souhaitait la quitter pour présenter en Europe les toutes dernières technologies de Cyber Sécurité Israéliennes, ce que je fis avec lui à partir de 2016. Moi-même franco-israélien, c’est lors d’un de mes allers-retours à Tel-Aviv qu’il m’a été proposé de présenter aussi des solutions spécifiquement pour le secteur Militaire et l’Antiterroriste.
A.- P. : La cybersécurité, c'est un peu le sujet du moment ?
D. G. D.-A. :Le sujet de Cyber Sécurité a réellement démarré depuis 2015-2016, et j'ai tout de suite voulu me rapprocher de cette thématique. Il s’agit d’un sujet important, critique quelque fois, qui ne va pas s'arrêter ce soir. Il y aura de plus en plus de demandes, de possibilités, tout simplement parce qu'il y aura de plus en plus de gens et d'objets connectés, notamment grâce à la 5G. Mais ces nouvelles possibilités et connectivités vont créer aussi de nouvelles et nombreuses failles, c’est-à-dire de nouvelles possibilités d’attaques Cyber. On va donc vers un monde de nouvelles technologies, de connectivités et de plus d'échanges mais aussi un monde avec de plus en plus de Cyber Attaques.
A.- P. : Les entreprises sont souvent les premières victimes de ces cyberattaques. Comment peuvent-elles se protéger de ce type d'intrusion ?
D. G. D.-A. : Il est important pour une entreprise de bien comprendre quel est son cœur de métier et son organisation interne afin d’organiser sa défense Cyber.Un cabinet d’avocats n’a pas les mêmes activités qu’un operateur d’importance vital - OIV – comme EDF, par exemple. Si les avocats travaillent plus avec des outils et des documents dématérialisés (Emails, Contrats, Documents légaux…), un OIV come EDF doit aussi protéger des sites industriels ou des centrales génératrices d’électricité. Les risques et les besoins en Cyber sont donc différents par la nature des activités des entreprises.
Mais pour répondre à votre question et si nous reprenons l’exemple d’un cabinet d’avocats, il est clair qu’une organisation autour de la protection des documents tout en garantissant leur accessibilité - Tout Lieu et Tout horaire - est essentielle. Le cabinet devra donc s’organiser autour d’une infrastructure technique agile et mobile tout en protégeant l’intégrité de l’architecture définie. Le choix des partenaires garantissant la protection des documents, de leur accès et leur transmission, mais aussi leur traçabilité d’utilisation est donc essentiel, voir primordial. Il n’y a pas de recette miracle, mais une bonne organisation en fonction de son activité principale est nécessaire.
Deux conseils sont cependant valables pour la majorité des entreprises : Suivre les recommandations de l’Anssi – Agence Nationale de la Sécurité des Systèmes d’Information, et une bonne formation continue des employés sur les risques et les conséquences des actes Cyber.
LaCybersécuritéest un vaste champ pour les entreprises, et beaucoup de ces sujets vont impacter les juristes, pas simplement les informaticiens... Un des sujets principaux pour les sociétés s’appelle l’Osint – Open Source INTelligence – Il s’agit de toutes les informations disponibles et en libre accès. En effet, ces informations sont accessibles sur internet ou via les réseaux sociaux, mais il n’est pas forcément légal que les internautes les connaissent, les possèdent ou les utilisent. Or, ces informations ou Documents ont été mises à disposition de tous soit par une erreur humaine, soit par l’acte volontaire d’un employé, soit par un vol lors d’actions Cyber malveillantes menées par des hackers.
A.- P. : La guerre en Ukraine est aussi une guerre cyber, même si on entend moins parler de cet aspect-là. Vous nous le confirmez ?
D. G. D.-A. : Oui, complètement. Nous sommes effectivement sur la première guerre hybride de haute intensité opposant deux pays d'une telle importance qui s'opposent avec l’aide de leurs alliés. C'est la première guerre associant tout le spectre des Armes Cyber et des Armes Conventionnelles sur le terrain. Mais les opérations et attaques Cyber en Ukraine coordonnées aux armes conventionnelles ont commencé dès 2014, c’est-à-dire depuis que les Russes sont intervenus en Crimée. Les opérations Cyber ont continué depuis dans le but d’influencer les décisions et les choix du gouvernement Ukrainien. Ces actions attribuées à la Russie ont été particulièrement visibles afin de faire plier le gouvernement Ukrainien dans les négociations, en 2015 et en 2017, via des attaques ciblées sur un opérateur d’Energie et sur le logiciel de comptabilité le plus utilisé par les sociétés ukrainiennes, le logiciel MeDoc. Cette dernière Cyber Attaque, Petya, au départ local, s'est développée au niveau international parce que ce logiciel de comptabilité était interfacé avec les autres systèmes comptables et financiers des groupes internationaux présents en Ukraine. Le but était de perturber économiquement et financièrement sa stabilité afin d’accélérer les négociations en cours, et cette attaque est venue impacter toutes les entreprises dans les pays dans le monde.
Cette guerre est riche d'enseignements. L’Otan a incorporé l'Ukraine dans son Cyber Command of Excellence et l’on se doute que l'Ukraine seule n’a pas la force pour résister à la puissance du Cyber Russe. En fait, l'organisation de la Cyber Défense Ukrainienne a été créée officiellement et organiquement à partir de 2020, et elle est devenue indépendante dans l'organisation de l'armée ukrainienne qu’à partir de janvier 2022. Face à la Russie, qui est organisée depuis des décennies en Cyber, il y a eu un choc frontal et la Crimée semble être l’exemple de la disproportion qu'il y a eu entre les deux les deux pays dans ce domaine.
A.- P. : Aujourd'hui, y-a-t-il des risques pour les logiciels de comptabilité en France ?
D. G. D.-A. : Il n’y a pas forcément de risques majeurs pour les logiciels de comptabilité en France. Il est cependant important, comme pour tout logiciel fournit par un éditeur, de modifier les mots de passe génériques qui ont été fournis. Cela parait très basic, mais de nombreux problèmes d’intrusions malveillantes sont dus à des mots de passe génériques non modifiés. D’autres failles peuvent exister, mais il s’agit de failles non connues jusqu’à ce qu’un hacker, ou les services internes de l’Editeur les découvrent. On appelle ces failles les “Zero Day”, car elles ne sont connues qu’à partir du moment où elles sont répertoriées.
A.- P. : Beaucoup d'informations confidentielles circulent dans les cabinets d'avocats, qui sont nombreux à encore utiliser une boite électronique Gmail. Est-ce dangereux ?
D. G. D.-A. : Google est une grande entreprise qui a des équipes de recherche et développement qui constamment et continuellement recherchent les failles de sécurité de leurs logiciels existant, puis envoient des mises à jour dès qu’ils trouvent et qu’ils ont corrigés ces failles “Zéro Day”. L'utilisation de Gmail, en elle-même, n'est donc pas un problème. Ce qui est un problème, c’est “l’Humain”. C’est-à-dire comment les courriels sont utilisés, les mots de passe sauvegardés, et si les documents sont envoyés aux bonnes personnes etc... Il y a beaucoup d'humain dans les problèmes de Cyber Sécurité. En effet, si un employé appuie sur un lien malveillant, ce n'est pas la faute de Google. On ne peut donc pas l’incriminer de ne pas essayer de rendre son outil propre à un aspect défensif de protection.
S’agissant de la protection des documents, de plus en plus de sociétés sont intéressées par suivre et tracer les documents eux-mêmes, des solutions qui commencent pour répondre à ce besoin. La blockchain est une réponse et elle commence aussi à être de plus en plus utilisée. Même s’il s’agit d’un outil perfectible, la BlockChain permet de tracer et sauvegarder toutes les actions qui ont été réalisées et validées sur une chaîne de décision. Ainsi toutes les personnes qui émettent une action, une certification ou une validation sur le processus d’un document par exemple sont enregistrés et sauvegardés. C’est une certification et une sécurité sur le cheminement d'une opération avec plusieurs interlocuteurs internes ou externes à une organisation.
A.- P. : Vous qui avez travaillé sur des sujets de cyber armes et d’antiterrorisme, qu’en est-il aujourd’hui du logiciel Pegasus, qui a défrayé la chronique en Europe ?A-t-il été rangé dans son écurie ?
D. G. D.-A. : Oui – Pour reprendre votre expression Pegasus a été ramené à son écurie. Dans cette affaire il y a deux aspects : l’Aspect Politique et l’Aspect Technique. Pour l'aspect politique, Pegasus est une arme duale, c'est à dire qu'elle peut être utilisée aussi bien dans le civil que dans le militaire. Le processus légal de ventes d'armes duales lui est donc maintenant appliqué plus restrictivement. Donc, le sujet n'est plus d'actualité. Mais il faut comprendre que toutes les agences de renseignements, ou la police plus simplement, ont besoin de ce type d'outil parce qu'il répond à un besoin très particulier, celui de savoir en instantané ce qui se passe sur des personnes ciblées. Cet outil est donc essentiel pour la police et les services de lutte antiterroriste. Pour l’aspect technique, Pegassus est un outil qui a été développé spécifiquement pour les besoins de contrôle des informations situées sur des appareils mobiles, il est très performant et était unique dans son genre. Maintenant, ce qui est important c’est de savoir qui utilise cet outil et comment. Encore une fois le risque est humain… Les personnes qui accèdent à ce type de logiciel doivent être accréditées, mais on ne peut pas toujours contrôler ce que fait un opérateur devant l’écran d’un outil aussi puissant... Il peut toujours y avoir un problème humain…
A.- P. : Y a-t-il d’autres logiciels qui peuvent être vendus à des gouvernements et utilisés par des services de sécurité, qui serviraient en fait à des hackers ?
D. G. D.-A. : Effectivement d’autres outils, services ou techniques existent et sont utilisés par les gouvernements, mais vous me permettrez de rester discret sur ce sujet. Il y a effectivement des outils qui se sont retrouvés vendus sur le darkweb aux hackers, on peut citer des logiciels issus de la NSA et même de NSO, car un de ses ex employé a essayé de revendre le logiciel Pégasus, mais ces cas sont aujourd’hui vite repérés, et circonscrits. Cependant ce type de logiciel demande un tel investissement financier qu'on ne peut pas imaginer qu'un petit groupe terroriste ou que quelques personnes seules aient la capacité, les connaissances, les moyens financiers et le temps de les créer. Donc ces technologies sont utilisées seulement par des gouvernements, et naturellement plusieurs pays ont aussi leurs propres technologies.
A.- P. : C’est un type de logiciel qui se rapproche de l'intelligence artificielle ?
D. G. D.-A. : On peut imaginer que, dans sa façon de fonctionner et / ou par “Machine Learning”, Pegasus se rend compte de son environnement et s’adapte, il paraîtrait d’ailleurs que lorsqu'on essaye de le rechercher sur un téléphone, il s'autodétruit. On pourrait penser que, si cela est vrai, il s’agit aussi d’une forme d'intelligence artificielle, puisqu’il sait s’autodétruire. Mais plus généralement, on va retrouver de l'intelligence artificielle plutôt sur des actions malveillantes lors d’attaques de systèmes informatiques. L'intelligence artificielle, généralement par Machine Learning, va être utilisée pour accélérer les processus d'attaque, dans le but de comprendre l'environnement dans lequel l’attaque est réalisée et modeler celle-ci pour s'adapter à la défense... Et arriver à son but… Dans le sens inverse, les défenses vont aussi utiliser l’intelligence Artificielle afin de s’adapter et contrer l’attaque… Tout un programme…
