la note thématique

La cyber-défense des PME
FB-YT 22/04/2015
Sources : B@seInfo CCI Toulouse, SGDSN, ANSSI,PwC
Vers l’émergence d’une cyber-résilience territoriale ?
La cybersécurité est au cœur des plus grands enjeux mondiaux car elle régit aujourd’hui, à notre insu
ou non, notre quotidien :
- elle conditionne l’accès à toutes nos données personnelles présentes en ligne, essentiellement
auprès des GAFA américains (Google, Apple, Facebook, Amazon) et de leur giron
- elle architecture l’échange et le stockage de toutes les données de l’entreprise- elle revêt un intérêt
géopolitique primordial pour les Etats et surveille le monde numérique afin de détecter les menaces
terroristes, financières ou politiques
De nos jours, les espaces urbains sont de plus structurés en « smart cities ». Ces villes intelligentes
sont des cyberespaces hyper connectés caractérisés d’une part par l’Internet des Objets, d’autre part
par la démultiplication des canaux de communication. Cette révolution digitale qui s’accompagne
d’une dématérialisation des échanges (Cloud, mobilité, Big Data, phénomène BYOD1…) questionne
le glissement vers une nouvelle gestion des risques et un nouveau paradigme de la
cyberdéfense.
D’après l’étude Netskope parue en janvier 2015, plus de 15% des données des utilisateurs
d’applications Cloud ont été dérobées en 2014.
La cyberdéfense est aujourd’hui plus que jamais un enjeu de sécurité nationale. Les cyberattaques
sont protéiformes et les objectifs tous plus différents les uns que les autres : espionnage politique,
économique et financier, terrorisme, sabotage, vol. Les pirates informatiques n’épargnent aucun
pays, ni aucune organisation, en passant par les services étatiques, les grands groupes et les
collectivités territoriales ; les menaces pèsent aussi bien sur les PME, les TPE que sur les
particuliers.
A la lumière des débats créés par la loi sur le renseignement, il paraît judicieux de se questionner sur
les modalités de l’émergence d’une culture de la cyberdéfense en adéquation avec les libertés
informatiques : si l’attaque de TV5 Monde le 8 avril a bouleversé les systèmes d’information de la
chaîne, quelles conséquences pourraient avoir des menaces visant les réseaux industriels des
grands fleurons de l’aéronautique, de l’aérospatial, du transport ou de l’énergie ? C’est pourquoi la Loi
du 18 décembre 2013 relative à la programmation militaire pour les années 2014-2019 comporte une
section imposant aux opérateurs d’infrastructures critiques de se doter des moyens de surveillance
de leurs réseaux industriels c’est-à-dire des systèmes ayant une prise directe avec le monde réel.
Les acteurs stratégiques du territoire se mobilisent face à la vulnérabilité des PME intégrées dans les
écosystèmes des grands groupes, une mutualisation des compétences est en marche, germe d’une
résilience. Cette dernière se retrouve dans la volonté des Etats Européens, France et Allemagne en
tête, de contester l’hyperpuissance et la volonté de domination américaine symbolisée dans les
propos de Barack Obama lors d’une interview le 13 février dernier : « Nous avons possédé Internet.
Nos entreprises l’ont créé, développé et amélioré de telle manière que l’Europe ne puisse pas lutter ».
Sécuriser nos entreprises, c’est donner à l’Etat tout entier les moyens de ne pas subir Internet.
1
« Bring your own device » est une pratique qui consiste à utiliser ses équipements personnels (smartphones, tablettes) dans un contexte
professionnel. Cette tendance pose des questions sociales, juridiques et sur la sécurité de l'information
Etat des lieux
La France et Midi-Pyrénées sont reconnues mondialement pour leur excellence industrielle et leur
concentration d’activités à fort PIB dans les domaines de l’aéronautique, du spatial, des systèmes
embarqués, de la pharmacie…De source ministérielle, Midi-Pyrénées est la troisième région la
plus espionnée d’Europe derrière Rhône-Alpes et l’Ile-de-France.
Le tissu industriel est composé majoritairement de petites et moyennes entreprises, qui sont les plus
vulnérables aux cyberattaques. Les PME sont intégrées dans l’écosystème des chaînes d’activités à
forte valeur ajoutée puisqu’elles sont le plus souvent des sous-traitants de grands groupes. En étant
en étroite connexion avec les systèmes d’informations des grands acteurs stratégiques, mais en ne
disposant pas d’une sécurité conforme en termes de système d’information et de communication, les
PME sont les appâts de choix pour les cybercriminels.
Les APT (Advanced Persistant Threats) ou « menaces persistantes avancées » sont l’outil
d’espionnage en vogue dans le piratage informatique. Les cybercriminels usent de malwares (virus)
introduits dans un email via une pièce-jointe pour pirater le système informatique des entreprises,
accéder aux bases de données et ainsi dérober des datas stratégiques en termes de R&D par
exemple. L’espionnage informatique est par conséquent utilisé à des fins économiques et financières.
Les cyberspirates peuvent également mener des attaques visant à saboter un site internet ou bloquer
le système informatique d'une entreprise : dans le jargon ces tactiques sont nommées défaçage et
rançonnage.
D’après l’enquête du cabinet d’audit PwC, les attaques au niveau mondial sont recensées au
nombre de 42,8 millions, soit l’équivalent de 120 000 attaques par jour, elles ont augmenté de
48% à travers le monde en 2014. C’est en Europe que les incidents de cybersécurité augmentent le
plus fortement, avec une hausse de +41% des incidents détectés en 2014. En Amérique du Nord,
l’augmentation est de +11% et de +5% pour la région Asie-Pacifique.
L’étude menée par PwC évalue le coût annuel moyen des incidents de la cybersécurité à 2,7 millions
de dollars en 2014, soit +34% par rapport à 2013.
Depuis 2013, la cyberdéfense est un enjeu de sécurité nationale via la loi de programmation militaire,
le ministère de la Défense consacrera 1 milliard d’Euros à la lutte contre les cybers menaces d’ici
2019, et ce chiffre pourrait être revu à la hausse.
Définitions
Cybersécurité : état recherché pour un système d’information lui permettant de résister à des
événements issus du cyberespace susceptibles de compromettre la disponibilité, l’intégrité ou la
confidentialité des données stockées, traitées ou transmises et des services connexes que ces
systèmes offrent ou qu’ils rendent accessibles. La cybersécurité fait appel à des techniques de sécurité
des systèmes d’information et s’appuie sur la lutte contre la cybercriminalité et sur la mise en place
d’une cyberdéfense.
Cybercriminalité : actes contrevenants aux traités internationaux ou aux lois nationales, utilisant les
réseaux ou les systèmes d’information comme moyens de réalisation d’un délit ou d’un crime, ou les
ayant pour cible.
Cyberdéfense : ensemble des mesures techniques et non techniques permettant à un État de
défendre dans le cyberespace les systèmes d’information jugés essentiels.
De manière générale on peut retenir qu’il existe trois domaines de la cybersécurité :
la sécurité des systèmes d’information (connaissance scientifiques et techniques des protocoles et
des systèmes d’exploitation…). Il s’agit de la mise en place d’outils opérationnels pour la prévention,
la lutte contre la cybercriminalité,
la cyber-défense, c’est-à-dire défendre un système attaqué en temps réel.
Actualités locales et entreprises
Partenariats
Sopra Steria et le Commissariat à l’énergie atomique (CEA)
Le CEA Tech et SOPRA STERIA, leader européen de la transformation numérique ont signés un
partenariat dans le domaine de la cyber-sécurité à l’occasion du 7ème forum international de la cybersécurité (FIC). Ce partenariat de R&D de 3 ans s’inscrit dans la stratégie globale du programme
Fédérateur Albatros1 (programme labellisé par le pôle de compétitivité mondial Aerospace Valley).
Création d’un Label France Cyber Security
Lancé à l’occasion du FIC 2015, le Label France Cybersecurity a pour ambition d’être le garant de
produits et de prestations de qualité en matière d’audit et de sécurité des systèmes d’information. Cette
norme en harmonie avec les obligations légales (définies par l’ANSSI) veut constituer un gage de
confiance pour les utilisateurs et vise l’émergence d’un panel de leaders français de la sécurité des
systèmes d’information. Le label est décerné par un jury composé d’industriel du secteur, de l’Etat
(ANSSI, DGE, DGA) et des utilisateurs membres du CESIN, du Cigref et du GitSy.
Etat français et CISCO
Partenariat entre l’Etat français et l’américain CISCO. Cette collaboration de nature financière (100
millions de dollars d’investissement dans les start-up françaises) vise également à mutualiser les
compétences : ainsi CISCO pourrait mettre à disposition ses connaissances sur la cybersécurité par
l’ouverture de centres de formation d’excellence sur le domaine. D’après le communiqué du Premier
ministre CISCO a pour ambition de former 200 000 personnes en trois ans.
Les programmes de recherche en Midi-Pyrénées
Programme fédérateur ALBATROS
ALBATROS est un programme de recherche dédié à la lutte contre la cybercriminalité et à l’amélioration
de la sécurité de la filière aéronautique, soutenu par Airbus et mis en œuvre par Sopra Steria.
Labellisé en 2013 par le pôle de compétitivité Aerospace Valley, le programme a été financé en 2014
dans le cadre du FUI18 (Fonds Unique Interministériel).
Le programme se divise en trois axes :
- un axe dédié aux PME : c’est Box@PME. Le projet fédère Airbus et quatre PME et ETI de sa supply
chain, dont CGX Aero. Leur objectif est de faire émerger une culture de la résistance face aux cyberattaques par le développement des solutions produits et technologies.
- le 2ème est une veille informationnelle fédérant plusieurs laboratoires de recherche haut-garonnais.
- le 3ème axe est la structuration de l’offre de formation dans le secteur de la cyber-sécurité. En ce sens,
des formations ont étés pensées par l’IRIS, l’Université Toulouse 1 –Capitole, et l’Université Paul
Sabatier qui met en place des modules de formations à destination des entreprises. L’objectif est d’une
part de mutualiser les connaissances, d’autre part de soutenir la recherche, l’innovation et le
développement de nouvelles solutions pour répondre aux besoins des professionnels de la sécurité.
Think-tank PRISSM (Professionnels de l’industrie de la sûreté et de la sécurité du numérique du Midi)
Le Think-tank toulousain PRISSM réunit des professionnels régionaux de la sécurité informatique.
Cette initiative est soutenue par MPI (Midi-Pyrénées Innovation), l’Aerospace Valley et le Cluster Digital
Place. L’objectif est de sensibiliser les PME, ainsi que les ingénieurs aéronautiques aux problèmes de
la sécurité.
Quelques entreprises en Haute-Garonne
SOPRA STERIA (Colomiers)
Leader européen de services numériques pour les entreprises. Sopra Steria propose aux grands acteurs
institutionnels et économiques des solutions et des services sécurisés pour accompagner leur
transformation numérique en toute confiance, dans une démarche continue d’innovation. Sopra Steria
dispose par ailleurs d’un centre de veille de cyber-sécurité unique au monde.
Depuis le lancement d’Albatros, Sopra Steria a investi 1,2 million d’euros dans le développement du
projet, dont un tiers du financement est pris en charge par l’Etat.
D’autre part, la société a signé un partenariat de 3 ans avec le Commissariat à l’énergie atomique (CEA)
pour la cyber-sécurité. Une war-room devait voir le jour : une salle de gestion de crises avec des tables
tactiles qui vise à analyser les attaques informatiques.
ITRUST (Labège)
La société toulousaine créée en 2007 est un acteur majeur de la sécurité informatique avec IKare, un
outil pour détecter les failles informatiques. La société connaît un fort développement et s’ouvre vers
l’international notamment en Suisse, en Angleterre, au Bénélux et aux Etats-Unis. En 2014, elle a réalisé
1,3 milliards d’euros de chiffre d’affaires. Cette année, la société toulousaine a proposé un nouveau
programme capable d’intercepter les virus les plus élaborés : l’IT-Tude. Cet outil est le premier « made
in Europe » (la seule technologie du même type est américaine), le lancement est prévu pour avril.
IMS NETWORK (Labège) (partenaire du colloque du 29/04)
IMS NETWORK est un acteur engage dans la cybersécurité et spécialisé dans la conception et la
gestion des réseaux de télécommunication de haute criticité.
THALES (Labège) (partenaire du colloque du 29/04)
Spécialiste français de la cyber-sécurité doté d’une expertise en matière de cryptographie, THALES est
un acteur majeur de la sécurisation des communications pour les banques, les Etats ou les armées. Son
chiffre d’affaires dans le secteur de la cybersécurité atteint 500 millions d’euros pour un effectif de 1 500
experts en sécurité informatique.
SCASSI (Labège) (partenaire du colloque du 29/04)
SCASSI est une société d’ingénierie, de conseil et d’audit en sécurité des systèmes d’information et des
systèmes embarqués. SCASSI travaille pour des grands donneurs d'ordre du secteur aéronautique et
spatial ainsi que pour des établissements bancaires. La société a développé un outil d’e-learning :
Phosforea, une plateforme de formation à distance axée sur les problématiques de sécurité de
l'information à destination des PME et des grandes entreprises via une offre de formation en ligne.
CGI (Toulouse)
Multinationale canadienne spécialisée dans les services informatiques rendus aux entreprises. Le
domaine d'activité de CGI concerne le business consulting, l'intégration de système, le Cloud et la cybersécurité. Implantée à Toulouse, elle y emploie 500 personnes. L'aéronautique représente 60% du chiffre
d'affaires de CGI dans la région, mais l'entreprise souhaite diversifier son activité.
Société CS-Information (Toulouse)
La société CS-Information est concepteur, intégrateur et opérateur de systèmes critiques pour les
entreprises du domaine de l’aéronautique, de l’aérospatial, de l’énergie, du secteur public et de la
finance. Elle est un acteur de l’ingénierie des grands projets stratégiques complexes tels que les
systèmes embarqués et sensibilise les chefs d’entreprise à la sécurité des systèmes d’information et de
communication. Sa filiale DIGINEXT assure notamment le développement, l’industrialisation et la
commercialisation des produits dans les systèmes d’information critiques. CS-Information a reçu le tout
nouveau label France Cybersecurity à l’occasion du FIC 2015.
Freemindtronic (Ariège)
En Ariège (Tourtrol), la TPE Freemindtronic a développé une technologie sui generis en matière de
cybersécurité : la première clé USB sans contact, géo localisable et dont le piratage est impossible
(déverrouillage grâce à la technologie NFC), elle a été nommée Evikey. On présage un futur prometteur
pour la start-up puisqu’elle va continuer sur sa lancée et commercialiser un disque SSD de la même
technologie ainsi qu’un ordinateur incluent un Evidisk. La TPE ariégeoise Freemindtronic entend bien
conquérir de nouveaux marchés au niveau mondial.
Evènements récents autour de la cyberdéfense
Forum International de la Cybersécurité (21/01/2015 et 22/01/2015)
Le FIC 2015 a réuni plus de 50 tables rondes et 120 exposants. Le FIC fait intervenir à la fois des
entreprises, des laboratoires de recherche, tous acteurs de la lutte contre la cybercriminalité (érigée au
rang de priorité du programme européen de Stockholm de 2010-2015).
Conférence organisée par l’Aerospace Valley (9/03/2015)
Cette conférence pour comprendre l’enjeu de l’espionnage et de la cyber-sécurité s’est déroulée à
Toulouse dans les locaux du Cluster Aerospace Valley au Campus IAS 23 avenue Edouard Belin.
Colloque Cyber-sécurité et territoires (10/04/2015)
Colloque intitulé « Cyber-sécurité et territoires » (en présence des meilleurs experts français, notamment
ceux de l’Agence nationale de la sécurité des systèmes d’information, de la Gendarmerie, de la réserve
citoyenne cyber-défense…). Ce Colloque s’est déroulé dans le Gers, à Fleurance le 10/04/2015, pour
permettre de sensibiliser les élus, les chefs d’entreprises ainsi que les particuliers aux cybers-menaces qui
occultent les frontières entre le rural et l’urbain et qui n’épargnent personne.
Deuxième édition du forum Cyber@Hack (10/04/2015)
Organisé par la société iTrust en collaboration avec Epitech Toulouse (école spécialisée en informatique),
la deuxième édition du forum Cyber@Hack qui s’est déroulée dans les locaux de l’école avait pour objectif
de présenter les enjeux de la cybersécurité.