- il y a 40 minutes
Ce mardi 15 septembre, Pascal Le Digol, directeur général France-WatchGuard Technologies, Benoît Grunenwald, expert en cybersécurité chez ESET, et Adrien Merveille, directeur technique Check Point France, se sont penchés sur le premier couac du Cyber Resilient Act deux ans après, le renforcement de l'ANSSI avec le dispositif REACTIV, la mise au point de Microsoft sur la cybersécurité, ainsi que sur la rançon du laxisme franco-européen face aux fuites de données en série, dans l'émission Tech&Co Business présentée par Frédéric Simottel. Tech&Co Business est à voir ou écouter le mardi sur BFM Business.
Catégorie
📺
TVTranscription
00:06BFM Business présente Tech & Co Business, le magazine de l'accélération digitale.
00:11Frédéric Simotel.
00:13Allez, on est parti pour une demi-heure de décryptage de l'actualité cyber et elle est très riche.
00:17On vient de parler cyber justement à l'instant avec le patron de Yes We Hack,
00:21mais là on va se projeter un peu dans l'actualité et surtout essayer de comprendre un peu comment
00:25résoudre un peu tous ces défis qui se dressent devant les entreprises avec nos trois experts.
00:30Bruno Grunemwald, expert en cybersécurité chez ISET, bonjour, Bruno à tes côtés,
00:34Adrien Merveille, directeur technique Checkpoint France, bonjour Adrien et puis Pascal Lediguel,
00:39DG France de WatchGuard, merci Pascal, bonjour d'être avec nous.
00:43On démarre, on est dans l'actualité, alors près de deux ans après son entrée en vigueur,
00:47le Cyber Resilient Act, le CRA, pour donner son acronyme, impose depuis vendredi
00:53là 10, 11 septembre, aux acteurs du numérique de notifier leur vulnérabilité,
00:58ça veut dire les éditeurs de logiciels, ça veut dire les fabricants d'équipements numériques,
01:02ceux qui font des objets connectés, ça peut aller du jouer à des choses beaucoup plus sérieuses,
01:06alors il y a juste le domaine automobile, domaine aéros, domaine des dispositifs médicaux,
01:11qui ne sont pas, enfin domaine aérien, qui ne sont pas totalement dans ce dispositif,
01:17mais en tout cas voilà, qui commence Pascal ?
01:20Oui, dispositif important, c'est s'assurer que tous les acteurs jouent le jeu de la divulgation,
01:28que ça soit fait dans les temps, donc 24 heures, il ne faut pas traîner.
01:33Donc très concrètement, je suis un vendeur de caméras, de petites caméras web, tout ça ?
01:39Je suis au courant qu'il y a une vulnérabilité qui est exploitée ou qui est sévère, il y a
01:43les deux cas,
01:45je dois la notifier en express à l'ENISA, sous 24 heures,
01:52et ensuite on doit...
01:54L'ENISA qui est la sorte de l'ANSI européenne ?
01:57C'est l'ANSI européenne, si on veut le dire comme ça,
01:59donc c'est elle qui va recueillir en fait toutes ces vulnérabilités et puis les mettre à disposition,
02:04on se rappelle d'ailleurs que l'ENISA a son portail de CVE,
02:07on en avait parlé dans des précédentes émissions.
02:10Donc c'est 24 heures la première notification,
02:12ensuite 72 heures pour en donner le détail,
02:15avoir un peu plus de temps pour donner l'ensemble,
02:17et puis 14 jours pour donner le rapport complet sur l'exploitation.
02:21Et en quoi c'est important tout ça, cette initiative ?
02:25Alors c'est important parce que sur ce marché,
02:28on avait plein d'éditeurs de logiciels qui se fichaient de ces vulnérabilités,
02:34qui pouvaient être au courant mais qui ne disaient rien,
02:37donc si on ne dit rien, on ne prévient pas les utilisateurs de ces mêmes logiciels
02:42qui sont tout de suite vulnérables sur des exploitations de ces vulnérabilités.
02:48Donc c'est vraiment la base de la cyber,
02:51s'il y a une vulnérabilité, il faut qu'elle soit patchée,
02:52si les gens ne sont pas au courant, ça va être compliqué de la patcher.
02:56Et pire, il y avait des éditeurs qui la patchaient un peu en sous-marin,
03:00ou la patchaient pas du tout d'ailleurs, il y avait les deux cas.
03:02Ça rappelle, Benoît, ce qui se passe dans l'alimentaire,
03:04on nous dit parfois, tiens, telle lot de peaux de confiture,
03:08de je ne sais quoi, de conserves, il ne faut pas les utiliser.
03:11L'idée, c'est un peu la même ?
03:13C'est la traçabilité, et c'est la traçabilité à la fois chez l'éditeur ou le fabricant,
03:19donc qui effectivement, en cas de sévérité, doit prendre conscience
03:22de ce qui se passe chez lui et corriger, et avertir.
03:25Et puis, c'est aussi, côté utilisateur, cette surveillance des vulnérabilités diverses et variées
03:32qui constituent son système d'information, ses équipements, mais aussi, pourquoi pas, des tiers.
03:37Donc, ça veut dire, ça intéresse à la fois les éditeurs, les constructeurs,
03:42mais aussi les clients utilisateurs, Adrien.
03:44Oui, en cybersécurité, on pousse le security by design.
03:47En fait, pour nous, éditeurs de cybersécurité, ça nous semble relativement évident ce que ça implique.
03:53Mais il y a plein de fabricants d'objets connectés, notamment.
03:56Oui, je pensais que je citer les jouets, parce que souvent, de plus en plus,
03:59on aime bien avoir des petits jouets connectés, mais le fabricant n'y pense pas forcément.
04:04Exactement. Donc, c'est pour mettre dans sa tête un référentiel cyber et le pousser à avoir cette approche.
04:10Est-ce que le produit que je vends a des risques cyber ?
04:13Et si oui, je dois les communiquer, je dois les patcher.
04:16Donc, c'est un engagement de sa part pour augmenter.
04:18Et côté utilisateur, le point important, je pense, c'est savoir ce qu'on a chez soi
04:22pour pouvoir mettre en parallèle ces alertes qui arrivent par rapport à
04:26est-ce que je suis concerné ou non, même si j'ai ce logiciel-là,
04:30est-ce que je suis dans la version concernée ou non ?
04:32Et c'est intéressant aussi, parce que ça veut aussi dire que le fabricant doit proposer
04:37des mises à jour, notamment de sécurité, pendant un certain temps.
04:41Ce qui, lorsque vous faites des investissements en cybersécurité,
04:44avec des investissements qui augmentent et donc une durée d'amortissement plus longue,
04:49à un moment, vous voulez vous assurer aussi que si vous achetez un matériel,
04:52au bout de deux jours, il n'est pas obsolète.
04:54Et ça, c'est très important. Ça marche pour le logiciel, ça marche pour le matériel.
04:58On veut pérenniser les investissements des entreprises.
05:01Pascal ?
05:01Oui, ça devrait faire un petit peu le ménage au niveau de la communauté européenne
05:06sur les logiciels qui sont fournis ou logiciels embarqués.
05:09Et puis d'aider un petit coup sur ce security by design aussi.
05:13Tout à fait.
05:14Après, il reste toujours la problématique de...
05:17Le patch est sorti, mais comment est-ce qu'on va patcher ?
05:19On parlera des patchs dans un instant, mon patch Microsoft.
05:23Deuxième sujet.
05:24Tiens, je vais démarrer avec toi, Adrien.
05:26L'ANSI, donc, l'ANSI, qu'on connaît bien,
05:29l'agence nationale de la sécurité et des systèmes d'information,
05:31et puis avec tout ce qui s'est passé cet été,
05:32on a entendu Sébastien Lecornu, Premier ministre,
05:34qui a un peu tapé du poing sur la table.
05:37Et l'ANSI, c'est vrai,
05:38beaucoup de gens lui sont tombés dessus,
05:39je trouvais un peu de façon un peu...
05:43pas très correcte,
05:44parce que l'ANSI, elle n'avait pas ce pouvoir de réactivité.
05:47Et donc, ils ont mis en place ce dispositif réactif
05:51qui consiste en quoi ?
05:52C'est-à-dire, l'ANSI, là, est dotée d'un peu plus de pouvoir,
05:54c'est ça l'idée ?
05:55Exactement.
05:55L'idée principale, c'est que l'ANSI arrive en tant que cellule de crise
05:59pour aider les entités interministérielles qui sont sous attaque.
06:02Donc, il y a un élément qui est très important en cyber,
06:05c'est la préparation.
06:06Quand on doit être préparé à une cyberattaque
06:10pour que, quand elle arrive,
06:11on sache qui va être en charge de la communication,
06:14qui fait quoi,
06:16quels sont les points les plus critiques à remettre en premier.
06:19Donc, si on ne prépare pas, ça va être la panique.
06:21Et les premières heures dans une cyberattaque sont hyper importantes.
06:26Donc là, on a une équipe de personnes
06:28qui va être mise à disposition des ministères,
06:31qui va gérer la crise, qui va gérer la communication.
06:33et ce sont des gens qui vont faire beaucoup de ça.
06:36Oui, et qui vont pouvoir agir.
06:37Ce que je disais, c'était ça.
06:39Je cherchais le terme, c'était...
06:40L'ANSI a été un peu moquée.
06:41Les gens la montrent un peu du nom,
06:43en disant « qu'est-ce que fait l'ANSI ? »
06:44Mais en fait, l'ANSI, elle faisait que le rôle pour lequel
06:47elle était dans ses prérogatives.
06:50Et aujourd'hui, on lui donne une petite couche de plus quand même.
06:53Exactement.
06:54Donc, ils vont pouvoir aller aider les gens
06:57dans les ministères qui sont sous attaque.
06:58Et ça, on en a besoin ?
07:00Parce que c'est quand même...
07:01Enfin, c'est des centaines d'experts qui sont en ANSI.
07:04Oui.
07:04La réponse à un incident, de mémoire quand même,
07:06l'ANSI le faisait déjà.
07:08Quand vous aviez des hôpitaux, par exemple, qui étaient attaqués,
07:10l'ANSI dépêchait des experts.
07:11Plutôt technique.
07:12Là, le volet communication, gestion de crise
07:15va venir apporter un élément supplémentaire.
07:17Dans le communiqué, il y a un mot pour moi
07:19qui est très important, c'est le terme d'autorité.
07:21L'ANSI a autorité maintenant dans différents secteurs.
07:25Certainement qu'on va pouvoir comme ça les écouter beaucoup plus,
07:29faire en sorte que ce qu'ils disent soit appliqué
07:32et qu'il n'y a pas juste un rôle de conseil.
07:35Conseil qui existe déjà depuis des années.
07:37Je relisais le guide des 42 mesures d'hygiène de l'ANSI.
07:41Il date de septembre 2017.
07:4442 mesures.
07:45Vous pouvez même le lire en biais
07:46et vous y mettez un peu d'IA
07:49et ça couvre quand même, pas totalement,
07:50mais ça couvre quand même un certain nombre des mesures.
07:53Et quand on reprend la feuille de route
07:55qui est adossée à cette annonce,
07:57il y a dix points
07:59qui sont quand même des points
08:01que l'on retrouve déjà dans ce guide d'hygiène
08:04qui date de 2017.
08:05Après, c'est que les contrôles, on les fait peut-être,
08:07mais personne n'y tient.
08:10Enfin, je sais qu'il y a des audits.
08:11Pour la DGFIP, il y avait évidemment des audits
08:13qui sont faits régulièrement,
08:13mais est-ce que quelqu'un a eu les rapports ?
08:15Pas sûr.
08:16Est-ce qu'on a les moyens de les corriger ?
08:17On peut auditer tout ce qu'on veut
08:19si on n'a pas les moyens de les corriger
08:20ou qu'on ne met pas la gouvernance qui dit
08:23« Ok, on a trouvé ça, maintenant on va les corriger ».
08:25Ça n'avance pas beaucoup.
08:27C'est surtout, est-ce qu'on a les moyens
08:28d'identifier les risques ?
08:29Parce que les dernières cyberattaques,
08:31c'était des logins de mot de passe qui avaient fuité,
08:32c'était une clé API qu'on avait oubliée.
08:35Oui, je l'ai dit tout à l'heure dans notre interview,
08:38c'était de l'hygiène.
08:39Ce n'était pas des choses très compliquées.
08:42C'était des basiques de la cybersécurité,
08:43mais tout le monde, je pense que dans n'importe quel ministère aujourd'hui,
08:46on sait qu'il faut mettre du MFA sur tous les portails.
08:50Donc du multifacteur, ce qu'on a tous.
08:53On nous dit maintenant, dès qu'on se connecte,
08:54est-ce qu'il y a un code qui arrive sur le smartphone ?
08:57Exactement.
08:59Pascal, cette initiative, ça lue évidemment,
09:02mais je vais faire mon ronchon.
09:05Alors oui, ils ont un pouvoir en plus et ça c'est bien.
09:08Ça c'est bien, c'est ça qui est bien.
09:10Mais sinon on est dans un monde cyber
09:12où les attaques vont très vite, de plus en plus vite.
09:14On va encore en parler après.
09:17Quand la fuite de données est faite
09:18et qu'on fait intervenir à l'Annecy,
09:20la fuite de données est faite.
09:21Donc je pense que Vincent Strouvel,
09:24il a bien donné le bon nom à son service,
09:27c'est Réactive.
09:28Ce qu'on a besoin, c'est la phase d'avant,
09:30c'est comment on les empêche,
09:31c'est comment on les bloque.
09:34C'est bien.
09:35Il faudrait une autre chose.
09:37Mais là aussi, le bas blesse,
09:39c'est qu'il n'y a pas de budget en plus.
09:41Comment l'Annecy va le faire ?
09:41Parce que proactif, ça voudrait dire des gens
09:43qui vont en amont dans les entreprises.
09:45Voilà, c'est la situation idéale.
09:48Mais des dispositifs comme Nice 2,
09:50ça n'entraîne pas ce...
09:51On se sera voté.
09:52Oui, c'est ça.
09:53On attend.
09:54Benoît.
09:55Oui, et l'Annecy a les moyens
09:57parce que si on prend le scope de la cybersécurité,
10:00prédire, prévenir, détecter, répondre
10:03et malheureusement, parfois on n'aimerait pas,
10:05mais reconstruire.
10:06Et en fait, le CERTFR et les éléments propres à l'Annecy
10:10font déjà prédire,
10:12ils font de l'analyse de la menace.
10:13Tous les ans, on a un excellent rapport
10:15sur le panorama de la menace
10:17qui analyse ce qui s'est passé,
10:18qui donne des éléments concrets
10:20pour comprendre contre quoi on doit se protéger,
10:22quels sont les risques.
10:22Et puis ensuite, vous avez prévenir, prédire.
10:25Et ça, c'est vraiment le guide d'hygiène de l'Annecy
10:29car en deux mesures, il existe.
10:31Prédire, prévenir, détecter, répondre.
10:33Peut-être qu'il faut encore améliorer,
10:34détecter, répondre.
10:35Ça, c'est évident avec des SOC,
10:37avec plus de supervision.
10:39C'est ça.
10:40On ne va pas mettre à l'amende,
10:41on ne va pas mettre à l'amende en plus des administrations
10:45parce qu'ils pourraient encore moins investir
10:47alors que le but, c'est d'investir.
10:49Mais peut-être parfois,
10:51taper un peu sur les doigts
10:52et des responsables.
10:53Moi, quand j'entendais la directrice de la DGFIP
10:55qui était un peu fataliste,
10:58j'ai envie de lui dire quand même,
10:59il y a un moment...
11:02L'amende revient au budget cyber ?
11:05Oui.
11:06Oui, non, mais pas une amende,
11:07mais qu'il y ait des responsables
11:09que l'on sanctionne,
11:11je ne sais pas s'il faut les sanctionner,
11:12mais qu'on leur dise,
11:13maintenant, ça fait partie de vos objectifs.
11:15L'objectif de la DGFIP,
11:17c'est récolter l'impôt,
11:19c'est que les datas soient bien gérées,
11:20les données financières soient bien gérées,
11:21ça doit être aussi que les données soient protégées.
11:24Ça doit faire partie.
11:24Si ce n'est pas fait,
11:26on passe à...
11:27Ce qui est la feuille de route
11:28du gouvernement de 2026-2027.
11:30Et tout ça, c'est noté dans les 10 points,
11:32dont le dixième, c'est le post-quantique.
11:35Alors, autre sujet,
11:36c'est Microsoft qui communique
11:38sur sa mise à jour de cyber-sécurité,
11:39le patch Tuesday,
11:40on en a l'habitude,
11:41mais bien que maintenant,
11:42on fera un patch Tuesday,
11:43un patch Monday,
11:43enfin voilà, un peu tous les jours.
11:45Mais là, ce qu'on remarquait,
11:47c'est un record 960 failles
11:49corrigées dans deux 0D.
11:52Et là, c'est la mise à jour
11:55de cyber-sécurité la plus importante à ce jour.
11:57Je ne sais pas qui l'avait heureux.
11:59C'est toi qui l'avait heureux, Pascal ?
12:01Oui, parce que c'est un mouvement
12:02qu'on ne voit pas que chez Microsoft.
12:04Microsoft, c'est le...
12:06Là, c'est parce qu'on est habitué.
12:07Chaque mardi, on a tous ces patchs.
12:09Mais en fait, ils sont passés depuis mai
12:11à une technique qui devient, à mon sens,
12:14et ça, ça rejoint un peu le sujet d'avant,
12:17l'état de la cyber,
12:18si on veut se protéger soi-même,
12:20c'est utiliser l'IA agentique
12:22pour se tester,
12:23pour trouver les vulnérabilités,
12:24pour les vérifier,
12:25pour voir si c'est exploitable.
12:26C'est ce que fait Microsoft.
12:27Ils en déduisent comme conséquence
12:30énormément plus de vulnérabilités.
12:31Et c'est très bien.
12:33Je pense qu'on est un paquet d'éditeurs
12:35à le faire et à générer,
12:38à connaître plus de vulnérabilités,
12:40à les patcher plus, etc.
12:41Donc, c'est vraiment un gros virage
12:43de la cyber cette année.
12:45Je crois que Microsoft...
12:46C'est-à-dire, c'est l'IA...
12:46Sur le rythme, c'est 3,4.
12:48Non seulement, il y a de plus en plus de failles.
12:49Mais avec l'IA, on en découvre encore plus.
12:51Non, il n'y a pas plus de failles.
12:52On en découvre plus
12:53parce que les IA qui vont tester
12:55les vulnérabilités vont beaucoup plus loin.
12:57Donc, effectivement,
12:58la croissance du nombre
12:59de vulnérabilités découvertes
13:00ne explose pas parce qu'il y a plus de trous,
13:02juste parce qu'on les trouve plus.
13:04Mais pour le coup, c'est important
13:06parce que ça veut dire
13:07que c'est des choses qu'on ne voyait pas avant,
13:09qui, potentiellement,
13:09étaient des zérodés pour les pirates,
13:11qui allaient les trouver et les exploiter.
13:12Donc, les trouver avant,
13:13c'est ça l'intérêt.
13:15Parce que ce qu'il faut savoir,
13:16c'est que les pirates...
13:16Donc, l'impact, il est colossal.
13:18Il doit renforcer la cyber-résilience du monde
13:22à condition...
13:23Pardon, ça va être ma phrase un peu leitmotiv,
13:25à condition qu'on patche.
13:27Et ça, c'est la grosse problématique.
13:30Et qu'on patche rapidement aussi.
13:32Et qu'on patche rapidement.
13:33J'avais encore un client récemment
13:35qui disait, il est hors de question
13:36d'imposer à un utilisateur
13:37de le faire au bouté pour patcher.
13:40Il faut attendre qu'il soit d'accord.
13:42On n'est pas prêts...
13:44C'est vrai qu'on a parfois ce message
13:45qui s'affiche en tant qu'utilisateur.
13:47On fait rembourser, rembourser, rembourser.
13:49Et puis, il y a un moment,
13:50il faut quand même...
13:52Et on a le pendant aussi,
13:53chez les pirates,
13:54le temps d'exploitation
13:56de ce qui était découvert,
13:58aujourd'hui...
13:59Oui, c'est immédiat, presque.
14:00C'est 48 heures.
14:01Alors qu'avant...
14:03Donc, un utilisateur qui repousse
14:04pendant trois semaines...
14:06C'est vrai qu'on se souvient encore,
14:07il y a plus de 18 mois,
14:10où on disait, voilà,
14:11une faille qui existait,
14:12mais qui a été découverte.
14:14Et il mettait un temps fou.
14:15Maintenant, c'est ça, Adrien ?
14:16En 2018, la moyenne était autour
14:18de un peu plus de deux ans,
14:20entre le moment où on découvrait
14:21la vulnérabilité,
14:22le moment où elle était référencée,
14:24et le moment où on voyait
14:24des traces d'exploitation réelle.
14:28Aujourd'hui, on est passé en négatif,
14:29c'est-à-dire qu'elles sont exploitées
14:30avant même qu'elles soient documentées.
14:32Donc, on est réellement dans l'urgence,
14:34et je pense qu'il faut absolument
14:37trouver des moyens de réduire...
14:38Donc, ce que dit Pascal,
14:39c'est primordial.
14:40C'est le côté de patcher...
14:42Le plus vite possible.
14:43Et d'être un peu plus...
14:45Parfois sévère avec les utilisateurs,
14:46enfin, direct avec les utilisateurs,
14:48en tout cas.
14:48Tout à fait.
14:48Après, il y a les patchs,
14:50mais il y a aussi peut-être
14:51des contre-mesures
14:51qu'on peut mettre en place
14:52pour éviter d'aller patcher
14:54dans l'urgence.
14:55Parce qu'un patch,
14:56si on doit patcher
14:56toute sa ferme de serveurs,
14:58par exemple,
14:59potentiellement,
14:59ce serait bien qu'on regarde
15:00s'il n'y a pas des impacts avant.
15:02Donc, peut-être que ces serveurs
15:05sont protégés par les équipements.
15:05On patch...
15:06Dis-nous juste un...
15:06Pour ceux qui nous suivent,
15:07qui imaginent ce que c'est
15:08qu'un patch,
15:09mais pour ceux qui sont
15:10moins avertis sur la cyber,
15:13voilà, on découvre une faille,
15:14on dit, voilà, l'éditeur...
15:15Là, c'est Microsoft,
15:16en l'occurrence.
15:17Il dit, voilà, le patch.
15:18Donc, on doit...
15:18Typiquement, tout le monde
15:20le fait sur son téléphone
15:21quand vous recevez une notification
15:23mise à jour
15:23avec des correctifs de sécurité.
15:26La mise à jour
15:26va inclure des patchs.
15:28Parfois aussi, bien sûr,
15:29des nouvelles fonctionnalités,
15:29mais aussi des correctifs de sécurité
15:31qui viennent protéger
15:33l'exploitation de ces vulnérables.
15:35Et donc, ça, il faut voir l'impact
15:36que ça peut avoir aussi
15:37sur d'autres applications.
15:39Exactement.
15:40Exactement.
15:40Donc, sur l'application,
15:41surtout si on patch
15:42un serveur qui est critique.
15:43Imaginez, c'est le site web
15:44principal de l'entreprise.
15:46Si on le patch
15:46et qu'il ne repart pas,
15:47si c'est un site d'e-commerce,
15:49il va plus...
15:50Il va plus faire entrer d'argent.
15:51Et on a connu ça aussi
15:52dans le passé.
15:53Benoît ?
15:53Oui.
15:54Alors, moi, il y a deux éléments.
15:55Le premier élément,
15:56je vais mettre un peu de positif.
15:57C'est que, effectivement,
15:59ça permet aux cybercriminels
16:01de trouver plus de failles.
16:02Mais normalement, nous aussi,
16:05éditeurs, on va utiliser...
16:06On utilise déjà l'IA
16:07et on fait en sorte
16:08d'avoir du security by design.
16:11On teste avant de mettre en production.
16:14Chez les éditeurs de sécurité,
16:15on peut mettre à jour nos solutions
16:17peut-être cinq, six fois par jour.
16:19Effectivement, des fois,
16:19avec des patchs mineurs,
16:20avec des patchs majeurs,
16:21des nouvelles fonctionnalités.
16:22Donc, cette possibilité
16:25de faire évoluer rapidement
16:28les solutions
16:29comprenant des patchs de sécurité,
16:31c'est toujours le jeu
16:32du chat et de la souris.
16:32Mais en tout cas,
16:34on tient la route.
16:36Ça, c'est la première chose.
16:37Et la deuxième chose,
16:37c'est qu'effectivement,
16:39quand on patch,
16:41on patch avec des tests souvent.
16:44C'est-à-dire que si vous mettez
16:45à jour un ordinateur,
16:47bon, si l'ordinateur ne fonctionne plus,
16:49c'est compliqué.
16:50Si on en avait beaucoup.
16:51Mais effectivement,
16:52si vous avez des serveurs
16:53qui ne fonctionnent plus,
16:53c'est encore plus compliqué.
16:54C'est une chaîne de production.
16:56Vous avez en plus des fenêtres.
16:57Vous n'intervenez pas.
16:58Vous ne faites pas rebooter
16:59une machine sur une chaîne
16:59de production juste la nuit
17:01parce que vous dites
17:02que c'est le bon moment.
17:03Et il y a des métiers,
17:05des activités
17:06où on frise
17:07tout le système d'information.
17:08C'est-à-dire qu'on dit,
17:10notamment pour des caisses,
17:11des systèmes de grand public
17:14où on va avoir
17:14beaucoup de ventes
17:15au moment des soldes
17:16ou au moment des fêtes
17:17de fin d'année,
17:18on dit qu'on n'y touche plus.
17:20Ça fonctionne.
17:21L'objectif,
17:21c'est opérationnel.
17:23il ne faut pas
17:24qu'on loupe
17:24cette période-là.
17:25Donc, il y a aussi
17:25cette question
17:26de comment est-ce
17:27qu'on va adapter
17:28la réalité
17:29de l'opérationnel
17:31avec la nécessité,
17:32je ne vais pas dire
17:33de patcher toutes les heures,
17:34mais presque.
17:35C'est particulièrement vrai
17:36dans l'industrie
17:37où on n'arrête pas
17:38une chaîne de montage
17:39pour patcher une machine.
17:40Si on arrête la chaîne,
17:42c'est toute l'usine
17:43qui s'arrête.
17:44alors qu'on sait
17:46que la surface d'attaque,
17:47est-ce qu'on connecte
17:48de plus en plus, Pascal ?
17:50Moi, c'est ma grande inquiétude
17:51des mois à venir.
17:55Benoît est positif,
17:56c'est bien,
17:56mais il faut aussi
17:58que nos logiciels,
17:59il faut aussi
18:00qu'ils soient patchés,
18:01les logiciels de sécurité.
18:02Donc, on est dans la problématique.
18:04La référence à laquelle
18:05je faisais tout à l'heure
18:06de l'utilisateur,
18:07c'est bien pour patcher
18:07des solutions chez moi,
18:09des solutions
18:10qui vont protéger.
18:12Donc, il va falloir trouver
18:13effectivement une façon
18:14de faire du patch à la volée
18:17sans qu'il y ait
18:18ces impacts de production.
18:20Et puis, je trouve que
18:21maintenant,
18:21on commence à...
18:22Enfin, davantage,
18:23on se sensibilise
18:24depuis des années,
18:25mais encore plus,
18:27enfin aujourd'hui,
18:27je trouve que
18:28les alertes
18:29sont quand même
18:30assez rudes.
18:32En fait,
18:33on a une conjonction
18:34de choses en ce moment
18:37entre le nombre
18:40de vulnérabilités,
18:41le rythme de vulnérabilité,
18:43le rythme de l'exploitation.
18:45En fait,
18:45tout s'accélère en même temps,
18:47sauf les fenêtres de patch.
18:49Donc, voilà.
18:51Et le nombre de personnes
18:52qui les déploient.
18:54Oui, parce que ça aussi,
18:55c'est un des soucis.
18:57Alors, justement,
18:58on va rebondir
18:59vers notre dernier sujet.
19:01Il nous reste un peu
19:01moins de 10 minutes.
19:02J'avais dit très moins
19:03ça,
19:04« Fuite de deux en série,
19:04la France et l'Europe
19:05paient le prix de leur légèreté ».
19:06C'était...
19:07Les uns, les autres,
19:08vous aviez remonté
19:08plusieurs choses.
19:09C'est un hôpital privé
19:10de la Loire
19:10qui a eu une amende
19:11de 500 000 euros
19:12par Acnil
19:13parce que pas de VPN
19:15ni d'autorification
19:16multifacteur.
19:18Bon,
19:19il y a un...
19:22Un cyberlin
19:22qui a été touché,
19:24qui a été touché,
19:25qui a refusé
19:25de payer une rançon
19:27et qui, donc,
19:28a été attaqué.
19:29L'Association des maires
19:29de France.
19:31Voilà, là,
19:32on est encore
19:32dans ce côté
19:33de notre légèreté
19:34face à la cyber.
19:37Oui, oui, oui.
19:37Alors, le sujet
19:38est grave.
19:39Si j'osais
19:40un ton humoristique,
19:42je leur dirais
19:42de télécharger
19:43le fameux guide
19:43de l'Annecy
19:44des 42 mesures.
19:45Mais quand on voit
19:46les données de santé
19:48qui ont fuité
19:48de cet hôpital,
19:50on ne peut pas
19:51avoir cette légèreté.
19:52Et effectivement...
19:53Mais surtout que les hôpitaux,
19:53ça fait quand même
19:54un moment qu'on en parle.
19:55Enfin,
19:56il y a bien 3-4 ans
19:57qu'on voit
19:57ces hôpitaux attaqués
19:58avec des hôpitaux
19:59qui ont,
19:59je pensais,
20:00à Mignot,
20:00à Versailles,
20:01qui ont été
20:01complètement stoppés.
20:03Enfin,
20:03on a repris
20:03les crayons,
20:04les papiers,
20:05il n'y avait pas
20:05d'opération.
20:06Enfin,
20:06on était vraiment
20:07dans le côté
20:07opérationnel de l'hôpital.
20:09On l'oublie un peu vite.
20:09Et là,
20:10on voit que la CNIL
20:12a quand même
20:12fait son travail.
20:13Ils ont listé
20:14les éléments manquants
20:15et à partir de là,
20:16ils ont dressé
20:17une amende.
20:18Donc,
20:18on est dans
20:19un constat
20:20qui certainement
20:22a été
20:23entre guillemets
20:24déclenché.
20:25Il y a une sorte
20:25d'électrochoc
20:26avec la fuite
20:27des impôts
20:28où on pouvait se dire
20:29avant,
20:29bon,
20:30mon état civil
20:31fuitait.
20:31Ce n'est pas si grave,
20:33on avait un peu
20:33de défaitisme.
20:35Mais là,
20:35avec des données
20:36aussi sensibles
20:37et qui nous touchent
20:38personnellement,
20:39la santé,
20:40les finances,
20:41le sexe,
20:41c'est vraiment
20:42les trois éléments
20:43que l'on n'a pas envie
20:44de voir fuiter.
20:44Et donc,
20:46avec un hôpital,
20:47on est clairement
20:47dans la santé
20:48et la récréation
20:49doit se terminer.
20:52Oui,
20:52effectivement,
20:53il y avait eu
20:54un petit calme,
20:54moi je trouve,
20:55sur les hôpitaux
20:55depuis quelques années.
20:58Mais je ne suis pas certain
21:00qu'il y ait une explication
21:01Il fallait déclencer
21:01un plan blanc.
21:02Le programme CARE,
21:03quand même,
21:04il n'y a eu plus de mémoire,
21:06c'était dans les 300 millions
21:06d'euros,
21:07avec un objectif
21:08jusqu'à 700.
21:08Je ne suis pas sûr
21:09qu'il ait été atteint
21:09jusqu'à 700,
21:10mais en tout cas,
21:10il y a eu un effort financier.
21:12Je pense que personne
21:13n'est à l'abri aujourd'hui.
21:14On a tous,
21:15à la fois à titre individuel
21:17et à l'échelle
21:18d'une entreprise,
21:19on a tous des points faibles
21:21et on est tous
21:23sujets au phishing
21:24qui est de plus en plus
21:26réaliste,
21:27de mieux en mieux
21:29fait.
21:29On a des vraies arnaques
21:31qui arrivent
21:32dans nos téléphones.
21:33C'était le soir
21:33dans l'émission
21:34Tech & Call
21:35la quotidienne
21:35qui passe le soir.
21:36L'un des invités,
21:37il est venu
21:38nous montrer un courrier,
21:39un courrier papier
21:41envoyé par Ledger
21:42qui disait
21:43qu'il faut mettre à jour
21:44son portefeuille Ledger.
21:45C'était le fake complet.
21:47Par contre,
21:47le papier,
21:48il a dit
21:49j'ai failli me faire avoir.
21:50C'est-à-dire
21:50au moment où j'allais
21:52sur le code bar,
21:53je disais
21:54c'est quand même bizarre
21:54qu'il communique par courrier papier
21:56dans un monde aujourd'hui.
21:58C'est ça qui l'a alerté
22:00mais il a failli
22:01comme souvent
22:02on ouvre un papier,
22:03on voit une facture,
22:04QR code
22:05pour aller voir le montant.
22:06C'est vrai qu'on se laisse
22:07facilement avoir.
22:08Pascal ?
22:09À moins d'être positif,
22:10pour le coup,
22:11il n'y a pas que nous,
22:11il n'y a pas que la France,
22:12il y a Berlin,
22:14il y a eu aussi les Etats-Unis,
22:15il y a eu 4 millions.
22:16Il y a d'autres pays européens
22:17qui sont...
22:18On voit que le problème
22:20il est un peu
22:20le même partout
22:21avec certains endroits
22:23où le manque d'investissement
22:25se ressent un peu plus.
22:26Mais globalement,
22:27la tendance est la même,
22:27c'est que cette courte de cyber là,
22:29on est en train un peu
22:30de la perdre.
22:31Il va falloir pousser un peu
22:32sur les jambes
22:33pour aller plus vite.
22:36à part utiliser de l'IA
22:37massivement
22:38pour se défendre,
22:41tester,
22:41s'assurer.
22:43Benoît le dit souvent
22:44et c'est important,
22:45c'est cet état de l'art
22:46de la cyber
22:47qui est mis
22:48dans les documents
22:51de l'ANSI,
22:52c'est le minimum.
22:54Ce n'est même pas
22:55le maximum,
22:55c'est le minimum.
22:57Et on n'est pas au minimum.
22:58En fait,
22:58il ne faut pas qu'on s'étonne.
22:59Déjà qu'on soit au minimum
23:00et on va se rendre compte
23:01que ce minimum,
23:02il bouge
23:02et il augmente
23:03en permanence.
23:05Donc,
23:05il faut se mettre au minimum
23:06et suivre la cadence.
23:07Et on n'y est pas.
23:08Et puis surtout,
23:09c'est toi Adrien
23:09qui l'a souligné,
23:11c'est ces risques cyber
23:12liés à la facturation électronique.
23:14C'était Michel Juvin
23:15qui était là
23:16l'autre jour avec nous
23:16qui disait
23:17qu'il y a 160 plateformes
23:18de facturation électronique.
23:19Bon,
23:20le contrôle est fait
23:20par la DGFIP.
23:21Donc,
23:21c'était un petit peu
23:24érodique
23:25de noter ça.
23:26Mais effectivement,
23:27ça y est,
23:28tout le monde doit y être
23:29sur cette facturation électronique
23:31depuis le 1er septembre.
23:32Et là,
23:32ça fait autant
23:33de surface d'attaque.
23:34Et plutôt que faire le choix
23:35d'avoir 2-3 plateformes,
23:37le choix a été fait
23:37de la diversité,
23:39160 plateformes.
23:40Et là,
23:40il y a de nouveau
23:41de vrais risques, Adrien.
23:43Tout à fait.
23:43Les pirates suivent l'argent
23:45de toute façon.
23:46Donc,
23:46la facturation électronique.
23:47On peut trouver
23:48des scénarios d'arnaques
23:50qui vont plaire aux pirates.
23:53Par exemple,
23:54vous recevez un message
23:55en vous disant
23:56que votre compte
23:56sur la plateforme agréée
23:57n'est plus aux normes
23:59et que les paiements
24:00ne seront plus processés.
24:02Vous allez cliquer sur le lien,
24:03rentrer vos identifiants,
24:05changer de risque,
24:05peu importe.
24:06Mais voilà.
24:07Et puis,
24:08on est à la fois
24:08dans une architecture
24:09qui est très décentralisée.
24:11Vous l'avez dit,
24:11il y a plus de 160
24:12plateformes agréées.
24:14Mais on a quand même
24:15la PFF
24:16qui est la DGFIP
24:17qui est centralisée.
24:18C'est-à-dire que
24:19chaque plateforme
24:20va communiquer
24:20avec la plateforme
24:22de la DGFIP
24:22pour savoir
24:23à quel autre organisme
24:25envoyer les factures.
24:26Donc,
24:26il y a à la fois
24:27ce côté décentralisé
24:28qui permet d'avoir
24:29une surface d'attaque
24:30très grande.
24:31Mais d'un autre côté,
24:32ça va diluer
24:32un petit peu le risque.
24:33Et vous avez aussi
24:34cette plateforme centrale
24:35qui, elle,
24:36contiendra toutes les informations
24:37de toutes les plateformes agréées.
24:38Oui.
24:39Là, quand on voit
24:39ce qui s'est passé
24:40avec la DGFIP,
24:40on peut faire un petit peu
24:42le noir.
24:43Oui.
24:44Moi, je vois effectivement
24:45un problème de supply chain.
24:46On en parle énormément.
24:48Je me souviens notamment
24:49de Jaguar Land Rover.
24:51L'arrêt total de la...
24:526 à 8 mois,
24:53l'arrêt total
24:53des échelles de production.
24:54Et l'impact global
24:56que ça a eu,
24:57même sur le PIB
24:58du Royaume-Uni.
24:59Oui, parce que je crois
25:00que le même gouvernement britannique
25:01avait remis 2 millions de livres.
25:02En fait, ils ont cautionné,
25:03ils se sont portés caution
25:04pour des prêts
25:05qui étaient, elles,
25:06dans des banques privées.
25:07Donc, c'est vraiment
25:07aller très loin.
25:08Et donc,
25:10cet environnement
25:11où nous sommes tous connectés,
25:13au-delà des logiciels
25:13avec le CRA
25:14et les patches
25:15que l'on doit faire,
25:16on est tous connectés
25:18avec soit des API,
25:19soit avec ce qu'on appelait
25:20avant l'EDI,
25:22l'échange électronique.
25:23Il faut déinformatiser.
25:23Exactement.
25:24Et donc, forcément,
25:26on s'envoie
25:26et on reçoit des éléments.
25:28Il y a un moment,
25:28au-delà des hameçonnages
25:30qui sont clairement
25:31l'apanage des cybercriminels
25:33et qui suivent les tendances,
25:35on a une surface attaque
25:36qui s'est ouverte
25:39potentiellement assez importante.
25:40Qu'est-ce qu'il faut faire,
25:41Pascal, là, encore ?
25:42Enfin, rappeler,
25:43évidemment,
25:44les conditions,
25:45toute la liste d'hygiène
25:47de l'ANSI,
25:48mais il n'y a pas un moment,
25:50il faut un peu plus
25:52sanctionner ?
25:52Alors, pour sanctionner,
25:55il faut déjà qu'il y ait...
25:55Pour le domaine public,
25:56c'est compliqué.
25:57Encore une fois,
25:57je dis,
25:57ils ont besoin de cet argent,
25:58mais pour les entreprises,
25:59parfois, on voit...
26:00Pour le domaine public,
26:02c'est compliqué de sanctionner,
26:03mais par contre,
26:04réussir à isoler
26:05les responsabilités,
26:06ce serait déjà
26:07un bon début.
26:08Là, ça s'en renvoie
26:09un peu la balle,
26:10quand même,
26:10sur les responsabilités.
26:11Et après,
26:13les sanctions,
26:14elles sont prévues.
26:16quand on aura transposé
26:17Nice 2,
26:18il y a des sanctions dedans,
26:20le CRA,
26:20il y a des sanctions dedans,
26:22donc il faut que ça soit
26:23mis en place,
26:24que ça soit contrôlé.
26:26Et surtout,
26:27pour moi,
26:27le plus important,
26:28c'est qu'il faut que
26:28le rythme de ces lois
26:30et de ces contrôles
26:31et de ces sanctions
26:32suive le monde
26:33de la cyber.
26:34C'est-à-dire que
26:34si on a toujours
26:35un wagon de retard,
26:36on aura toujours
26:36un wagon de retard.
26:38Est-ce que ça veut dire,
26:39parfois,
26:39je me souviens,
26:40il y a quelques années,
26:41c'était avant Covid,
26:43c'était genre
26:43le CTLM américain
26:44qui s'était fait pirater,
26:45le nom m'échappe,
26:46c'est X à la fin.
26:47Et Qifax ?
26:48Oui,
26:49c'était...
26:50Et eux,
26:51le DG,
26:51il a sauté.
26:52Il n'y a pas que le DSI,
26:53le RSSI qui ont sauté,
26:54il y a le DG qui a sauté.
26:55Question de gouvernance.
26:56Et nous,
26:57aujourd'hui,
26:59je ne souhaite pas
27:00au PDG piraté
27:01de sauter,
27:02mais parfois,
27:03quand on voit
27:04la façon
27:05dont ils ont été piratés,
27:07la facilité
27:07avec laquelle
27:08ils sont rentrés,
27:08il y a peut-être
27:09un moment
27:09où il faut aussi
27:10sanctionner au plus haut.
27:11J'en connais
27:12qu'on se sauté
27:12chez les clients,
27:13mais je ne sais pas
27:14si c'est ça qui va...
27:15Enfin,
27:16il faut qu'il y ait
27:17les différents volets.
27:18La sanction,
27:19c'est une chose.
27:20La sanction,
27:21une fois que tout est fait
27:22et que de toute manière
27:22ça s'est passé,
27:23c'est comme
27:24piller un enfant.
27:26C'est trop tard.
27:28Ça a été fait.
27:29Donc,
27:29il faut vraiment
27:30que tous les axes
27:30soient solides.
27:32L'axe légal,
27:33l'axe de l'audit,
27:34se donner les moyens
27:35d'auditer,
27:36se donner les moyens
27:37de vérifier.
27:38Et je pense que là-dessus,
27:38il y a une grosse faiblesse.
27:39Souvent,
27:40on met des choses en place
27:40et puis c'est fait,
27:42ce n'est pas fait.
27:43Je pense que c'était...
27:43Moi,
27:43pour la DGFIP,
27:45c'est Michel Juvin
27:46qui était avec nous
27:47l'autre jour.
27:47Vous pouvez voir
27:48l'émission en replay.
27:49Il avait listé un peu
27:49tous les organismes
27:50de contrôle,
27:51internes,
27:52cours des comptes,
27:53etc.
27:53Et sans doute,
27:54ils ont tous sorti
27:55des rapports,
27:56mais personne ne les a lus,
27:56personne ne les a appliqués.
27:59Messieurs,
27:59merci.
28:00Alors,
28:00on va rester positifs
28:02pour tout ça,
28:03se dire,
28:04voilà,
28:04on est en train d'avancer.
28:05la sensibilisation
28:06de ton part.
28:06Ça y est,
28:07tout le monde s'y met.
28:08En tout cas,
28:08merci à tous les trois.
28:09Benoît Grinemba,
28:09l'expérience en cybersécurité
28:10chez IZ,
28:11Pascal Lediguel,
28:12DG France de WatchGuard
28:13et Adrien Merveille,
28:15directeur technique
28:15Cheikh Pond France.
28:16Et puis donc,
28:17voilà,
28:17c'est continuer cette hygiène.
28:19On rappelle,
28:20aller sur le site de l'Annecy,
28:21tout cet ensemble d'hygiène
28:22à voir.
28:23Et comme le disait Pascal,
28:24c'est déjà le minimum.
28:26Mais déjà,
28:27si vous faites ça,
28:28c'est déjà un premier pas.
28:29Allez,
28:30merci à tous les trois.
Commentaires