Voici le message que je viens d’adresser à mes utilisateurs. Si cela peut être utile à l’un de mes lecteurs, ou à ses utilisateurs…
++++ English version below
Bonjour,
Les pirates ne prennent pas de vacances, mais vous oui (enfin j’espère). Voici quelques consignes qui devraient vous permettre de partir en toute sécurité informatique :
L’emploi de smartphones, d’ordinateurs portables et de tablettes facilite et accélère le transport et l’échange de données. Parmi les informations stockées sur ces supports, certaines peuvent présenter une sensibilité importante, tant pour vous-mêmes que pour [l’entreprise]. Leur perte, leur saisie ou leur vol peut avoir des conséquences majeures sur vos activités et sur leur pérennité. Il vous faut donc, dans ce contexte de nomadisme, les protéger face aux risques et aux menaces qui pèsent sur elles, tout particulièrement lors de vos déplacements à l’étranger.
Sachez que les cybercafés, les hôtels, les lieux publics et les bureaux de passage n’offrent aucune garantie de confidentialité. Dans de nombreux pays étrangers, quel que soit leur régime politique, les centres d’affaires et les réseaux téléphoniques sont surveillés. Dans certains pays, les chambres d’hôtel peuvent être fouillées sans que vous vous en rendiez compte. Ces menaces ne sont pas inspirées de romans policiers ou d’un film d’espionnage, mais attestées régulièrement par l’actualité.
Vos appareils ne doivent contenir aucune information autre que celles dont vous avez besoin pour votre voyage. Y compris des photos, vidéos, ou des œuvres numériques qui pourraient vous placer en difficulté vis-à-vis de la législation ou des mœurs du pays visité.
Sauvegardez les données que vous emportez et laissez la sauvegarde en lieu sûr. Vous récupérerez ainsi vos informations à votre retour en cas de perte, de vol ou de saisie de vos équipements.
Évitez de partir avec des données sensibles. Privilégiez, si possible, la récupération de fichiers chiffrés sur votre lieu de mission en accédant au réseau de [l’entreprise] avec une liaison sécurisée (VPN de [l’entreprise]), sinon à une boîte de messagerie en ligne spécialement créée et dédiée au transfert de données chiffrées. Il faut supprimer les informations de cette boîte après lecture.
Utilisez un filtre de protection écran pour votre ordinateur. Cela vous permettra de travailler à vos dossiers pendant vos trajets sans que des curieux puissent lire ou photographier vos documents par-dessus votre épaule.
Marquez vos appareils d’un signe distinctif (comme une pastille de couleur). Cela vous permet de surveiller votre matériel et de vous assurer qu’il n’y a pas eu d’échange, notamment pendant le transport. Pensez à mettre un signe également sur la housse.
Pendant le voyage
Gardez vos appareils, support et fichiers avec vous. Prenez-les en cabine lors de votre voyage. Ne les laissez jamais dans un bureau ou dans la chambre d’hôtel (même dans un coffre). Protégez l’accès de vos appareils par des mots de passe forts. Ne communiquez pas d’information confidentielle en clair par téléphone ou tout autre moyen de transmission de la voix (services de VoIP comme Teams).
En cas d’inspection ou de saisie par les autorités, informez immédiatement [l’entreprise].
Fournissez les mots de passe et clés de chiffrement si vous y êtes contraint par les autorités locales puis alertez le support informatique de [l’entreprise].
En cas de perte ou de vol d’un équipement ou d’informations, informez immédiatement le support informatique de [l’entreprise]. Demandez conseil au consulat avant toute démarche auprès des autorités locales.
N’utilisez pas les équipements qui vous sont offerts (clés USB) ou que vous trouvez abandonnés. Ils peuvent contenir des logiciels malveillants. Les clés USB, de par leurs multiples vulnérabilités, sont un vecteur d’infection privilégié par des attaquants. Ne connectez pas vos équipements à des postes ou des périphériques informatiques qui ne sont pas de confiance. Attention aux échanges de documents (par exemple : par clé USB lors de présentations commerciales ou lors de colloques). Emportez une clé destinée à ces échanges et jetez-la après usage.
Ne rechargez pas vos équipements sur les bornes USB libre-service. Certaines de ces bornes peuvent avoir été conçues pour copier les documents à votre insu. Privilégiez les prises électriques avec un adaptateur ad hoc.
A votre retour de voyage
En cas de doute, analysez ou faites analyser vos équipements. Ne connectez pas les appareils à votre réseau avant d’avoir fait ou fait faire au minimum un test anti-virus et anti-malwares.
Je vous souhaite de passer de bonnes vacances en toute sécurité informatique.
++++ English version
Hello,
Hackers don’t take vacations, but you do (I hope so). Here are a few instructions that should help you to travel in complete computer security:
The use of smartphones, laptops and tablets makes it easier and faster to transport and exchange data. Some of the information stored on these media may be highly sensitive, both for you and for [the enterprise]. Their loss, seizure or theft can have major consequences on your activities and on their sustainability. In this context of nomadism, you must therefore protect them from the risks and threats they face, especially when travelling abroad.
Please be aware that cybercafés, hotels, public places and temporary residence do not offer any guarantee of confidentiality. In many foreign countries, regardless of their political regime, business centres and telephone networks are monitored. In some countries, hotel rooms can be searched without your knowledge. These threats are not based on detective stories or a spy movie, but are regularly documented by current events.
Your devices must not contain any information other than the information you need for your trip. Including photos, videos, or digital artworks that could put you in difficulty with the legislation or morals of the country visited.
Back up the data you are carrying and leave the backup in a safe place. You will then recover your information upon your return in the event of loss, theft or seizure of your equipment.
Avoid leaving with sensitive data. If possible, you should prefer to recover encrypted files at your place of assignment by accessing the [enterprise] network with a secure connection ([enterprise] VPN), otherwise an online mailbox specially created and dedicated to the transfer of encrypted data. The information in this box must be deleted after reading.
Use a screen protection filter for your computer. This will allow you to work on your files during your travels without curious people being able to read or photograph your documents over your shoulder.
Mark your devices with a distinctive sign (such as a color sticker). This allows you to monitor your equipment and ensure that there has been no exchange, especially during transport. Remember to put a sign on the cover as well.
During the trip
Keep your devices, media and files with you. Take them in the cabin when you travel. Never leave them in an office or hotel room (even in a safe). Protect access to your devices with strong passwords. Do not communicate confidential information in plain text by telephone or any other means of voice transmission (VoIP services such as Teams).
In the event of inspection or seizure by the authorities, inform [the enterprise] immediately.
Provide passwords and encryption keys if required by local authorities and then alert [enterprise] IT support.
In the event of loss or theft of equipment or information, immediately inform [enterprise] IT support. Ask your consulate for advice before approaching local authorities.
Do not use the equipment offered to you (USB keys) or that you find abandoned. They may contain malicious software. USB keys, due to their multiple vulnerabilities, are a preferred infection vector for attackers. Do not connect your equipment to workstations or computer peripherals that are not trusted. Beware of document exchanges (for example: by USB key during commercial presentations or during conferences). Carry a key for these exchanges and discard it after use.
Do not charge your equipment at self-service USB terminals. Some of these terminals may have been designed to copy documents without your consent. Use electrical outlets with an appropriate adapter.
On your return from your trip
If in doubt, test or have your equipment tested. Do not connect devices to your network until you have performed or had performed at least one anti-virus and anti-malware test.
I wish you a pleasant holiday, in complete IT security.
Yours sincerely, Bien à vous, Zythom
Le blog va prendre quelques semaines de vacances. A bientôt
J’ai déjeuné avec un jeune RSSI dynamique et enthousiaste. Il s’agissait d’un repas professionnel, ce que j’évite en général tant les postures y sont artificielles.
La discussion était pourtant intéressante et nous en étions à échanger sur nos parcours respectifs quand le jeune me dit soudainement : « vous ne seriez pas Zythom par hasard ? »
Un peu interloqué, j’acquiesce puisque je ne me cache pas vraiment derrière ce pseudonyme, qui me sert plus de sas entre ma vie professionnelle et ma vie de blogueur. C’est alors qu’il me dit « Incroyable, j’ai choisi mes études et ce métier (de RSSI) grâce à votre blog ! »
Nous avons ensuite discuté jusqu’à une heure avancée de la nuit, partageant nos passions de l’informatique en général, et de la sécurité informatique en particulier. Mais sa remarque m’avait profondément ému.
Mes 10 années comme professeur d’informatique à plein temps dans une école d’ingénieurs m’ont appris ce plaisir de revoir des anciens étudiants aux détours de leur carrière et d’échanger sur leur jeunesse et mon impitoyable « UN ALGORITHME, CA DOIT TOUJOURS TENIR SUR UNE FEUILLE A4 ! », et sur les 1000 petites anecdotes qui rythment les amphis, les TD, les TP ou les salles informatiques en libre service. Mais c’est la première fois qu’un expert de la sécurité me dit que ce blog est à l’origine de sa passion et de son métier.
« Vous avez raconté la réalité des enquêtes informatiques que vous avez menées pour le compte de la justice, et vous l’avez expliqué dans des termes accessibles à l’adolescent que j’étais… »
Diantre, cela m’a touché beaucoup plus que je ne le pensais.
Je me suis souvenu alors de mes années d’adolescent écartelé entre les filles et les bricolages électroniques, entre les filles et le club d’informatique, entre les filles et les revues scientifiques, entre les filles et les avancées de l’intelligence artificielle, entre les filles et le LISP, entre les filles et le calcul des prédicats…
Je me suis souvenu que dans le club d’informatique de mon école, il y avait un panneau à l’entrée de la salle sur lequel nous avions écrit « Hacker’s corner » et qu’à l’époque, « hacker » signifiait simplement « bidouilleur ». Nous étions à la fois des jeunes curieux et de curieux jeunes. Nous étions passionnés et nous avions envie de partager notre passion. Nous avions envie de montrer que l’informatique pouvait être facile, pouvait faciliter la vie des gens, pouvait offrir un monde meilleur.
Et puis le temps est passé, la réalité des adultes s’est imposée à moi. La vie a été une longue descente aux enfers : chercheur en IA, puis professeur d’informatique, puis DSI et expert judiciaire, puis enfin RSSI. De la tour d’ivoire, à la soute.
Alors quelles ont été mes motivations ? Qu’est-ce qui peut bien motiver le RSSI que je suis devenu ? Voici mon top 3 :
La première me semble être la soif d’apprendre. Bidouiller, démonter, comprendre, hacker restent mes moteurs principaux. En 1159, Jean de Salisbury prête à son maître Bernard de Chartres la citation suivante : « Nous sommes comme des nains assis sur des épaules de géants. Si nous voyons plus de choses et plus lointaines qu’eux, ce n’est pas à cause de la perspicacité de notre vue, ni de notre grandeur, c’est parce que nous sommes élevés par eux. » Le philosophe Francis Bacon ne nous enseigne-t-il pas également que « Nam et ipsa scientia potestas est » (Savoir, c’est pouvoir), lui qui a inventé en 1605 un système de stéganographie qu’il a appelé « alphabet bilitère« , basé sur un code binaire et un texte de couverture. Pour revenir à mon époque, je dirai plutôt que je me sens comme un homme de petite taille cherchant à escalader des géants.
Ma seconde motivation est sans doute plus pragmatique : dans un monde numérique qui va de plus en plus mal, il faut/faudra de plus en plus de soldats pour défendre le village global. J’ai envie d’être membre du bataillon d’exploration avec pour objectif de rendre à l’être humain la liberté qu’il a perdue lors de l’attaque des Titans (ne spoilez pas, je n’en suis qu’à la saison 2 !).
Enfin, ma troisième motivation vient de ma rencontre, certes (sans jeu de mot) brutale, avec le monde de la cyber lors des 10 ans du SSTIC en 2012. J’y ai découvert des intelligences hors normes (et hors diplômes), des techniciens hors pairs et une agitation cérébrale bon enfant. J’ai eu envie d’en rencontrer plus.
Mais vous, si un jour vous croisez quelqu’un qui a déclenché en vous le déclic, n’hésitez pas à le lui dire, cela l’emplira de bonheur.
J’ai été contacté via Twitter par @ddevpros, mentor d’étudiants d’une formation Openclassrooms consacrée au métier de RSSI. Je ne connais pas cette formation, ni n’ai d’intérêts dans Openclassrooms, mais je ne peux pas résister longtemps à une demande d’interview, surtout quand celle-ci est à destination d’étudiants et qu’en plus les interviewers m’autorisent à la publier sur ce blog (autorisation obligatoire car il s’agit d’une œuvre collective). Merci donc à @ddevpros (mentor) et à Zabre (pseudo du mentoré) qui m’ont posé les questions. Je publie l’ensemble ci-dessous, en espérant que cet échange puisse aussi servir à des étudiants qui passeraient par ici.
0] Petite présentation Cette interview étant amenée à être publiée sur votre blog, pourriez-vous vous présenter succinctement pour vos nouveaux lecteurs ?
Je suis informaticien, responsable de la sécurité des systèmes d’information dans une école de commerce, où j’exerce avec passion mon métier. Comme beaucoup de personnes, j’ai aussi un certain nombre d’activités en parallèle. Pour ma part, j’ai choisi de mettre mes compétences au service de la justice qui a accepté pendant 21 ans de m’inscrire sur la liste des experts de justice. J’ai été également conseiller municipal dans ma petite mais magnifique ville de 3500 habitants. Je suis marié à une merveilleuse avocate qui m’aide (et que j’aide aussi !) à essayer d’éduquer trois merveilleux enfants plein de vie et d’intelligence que j’aime.
J’aime la spéléologie, le parachutisme et l’aviron.
J’aime l’informatique et tout particulièrement l’intelligence artificielle (et les réseaux de neurones formels bouclés). J’aime bien aussi cracker les mots de passe.
J’aime la science-fiction (surtout les auteurs classiques de l’âge d’or), l’espace, la cosmologie, les mathématiques et l’épistémologie. Le tout à un niveau débutant.
Je tiens depuis 2006 un blog sous le pseudonyme Zythom, d’abord à l’adresse zythom.blogspot.fr puis à l’adresse zythom.fr
I] Métier actuel et expériences utiles Pour ceux qui ne vous connaissent pas encore, quel est votre métier actuel ?En quoi consiste-t-il au quotidien ?Avez-vous des expériences passées qui vous ont été utiles pour ce métier ?
Je suis responsable de la sécurité des systèmes d’information. Mon rôle dans l’entreprise est de définir et mettre en œuvre la politique de sécurité du système d’information, diagnostiquer et analyser les risques numériques, choisir les mesures de sécurité et élaborer le plan de leur mise en œuvre, sensibiliser et former sur les enjeux de la sécurité informatique, auditer et contrôler l’application des règles de la politique de sécurité, et enfin effectuer une veille technologique et prospective.
Toutes mes expériences passées me sont utiles pour ce métier : j’ai été enseignant ce qui me sert pour la sensibilisation à la sécurité, j’ai été DSI ce qui me sert pour les aspects managériaux, budgétaires et de gestion de projets, j’ai été expert judiciaire ce qui me sert pour les aspects techniques, j’ai été chercheur ce qui me sert pour la veille technologique et l’envie d’apprendre et de toujours progresser.
II] Périmètre d’action/champ Vous travaillez dans une école de commerce. Quel est le périmètre ou champ d’action que vous avez à couvrir ?
Mon périmètre couvre l’ensemble des risques numériques de l’entreprise. Je suis aidé en cela par l’ensemble du personnel, puisque chacun est concerné par la sécurité informatique et a un rôle à jouer (la chaîne, le maillon, etc.).
Comment gérez-vous le matériel que l’on pourrait qualifier de “non maîtrisé » ? (ex : les ordinateurs personnels des étudiants)
Le plus simplement du monde : ne faire confiance à personne. Les concepts de BYOD ou de Zero Trust sont parfaitement implantés dans l’univers de l’enseignement supérieur, car consubstantiels à sa mission. Comme vous ne maîtrisez pas les éléments terminaux, il faut parfaitement maîtriser les réseaux et les serveurs. Tout est énormément segmenté.
Comment gérez-vous la donnée personnelle de manière générale ?
C’est une préoccupation majeure de l’école. J’assiste quotidiennement le DPO de l’entreprise dans cette mission où j’interviens sur la dimension sécurité. Nous sommes tous les deux associés très tôt aux projets pour aider, conseiller et nous assurer de la conformité vis à vis des lois et règles de l’art.
III] Environnement Disposez-vous de ressources matérielles et/ou humaines pour vous assister au quotidien ? Suffisamment ?
Je dispose de scanners de vulnérabilités, d’outils de gestion de parc, de parefeux très performants et de ressources matérielles très conséquentes. Mais surtout, l’école dispose d’une équipe d’informaticiens extrêmement compétents, qui n’ont pas besoin de moi, ce qui me permet de me concentrer sur la sensibilisation de la direction et des utilisateurs.
Pensez-vous que les autres employés sont sensibilisés à la sécurité informatique ? Faites-vous des exercices de sensibilisation ? Des formations en interne ? Ou même à l’usage des étudiants ?
Aujourd’hui, tout le monde est sensibilisé à la sécurité informatique. Néanmoins, les efforts des attaquants sont tels, et leurs astuces si déroutantes, qu’il faut toujours et toujours former les utilisateurs. Les emails de phishing sont quasi parfaits, les faux sites ressemblent de plus en plus aux vrais sites, les appels téléphoniques se faisant passer pour des services supports sont de plus en plus réalistes… Dans quelques années (mois?) les deepfakes vocaux permettront de se faire passer au téléphone pour une personne connue et de confiance !
Pour cela, j’utilise tous les outils de communication à ma disposition : emails d’alerte (avec au passage un rappel d’une règle de bonne pratique), site intranet, site de formation en ligne, chaîne vidéos… Le tout à destination des personnels, des professeurs et des étudiants. Si possible dans la bonne humeur, tout en restant professionnel.
IV] Démarches/Normes Dans votre manière de travailler, appliquez-vous des démarches comme ITIL ou des normes comme ISO27001 ? Si non, est-ce par choix ou par obligation ?
J’ai été formé à différentes méthodologies, que j’ai ensuite enseignées. J’en connais le formalisme, l’intérêt mais aussi les limites. J’ai suivi une formation ITIL lorsque j’étais DSI pour optimiser les processus du service informatique. J’ai suivi une formation de Risk Manager ISO/CEI 27005:2018 (c’est son nom complet). J’ai étudié EBIOS, je lis attentivement les différentes normes ISO27xxx et en particulier les documents de l’ANSSI (particulièrement bien faits). Tous ces documents donnent des règles très importantes et des idées qu’il faut suivre.
Mais il faut rester pragmatique. Les méthodologies s’appuient sur des modèles d’entreprise, sur des modèles de comportement, sur des vulnérabilités documentées, sur des retours d’expériences. Les normes sont le langage de la formalisation des connaissances sur un sujet donné au moment de sa rédaction. Mais le monde bouge, les modèles sont imparfaits, les méthodologies évoluent, les référentiels également.
Il faut savoir se détacher de la norme. Par exemple, dans ma politique de gestion des mots de passe, j’ai écris noir sur blanc qu’il ne fallait pas changer son mot de passe régulièrement. S’il est bon, complexe, différent pour chaque compte, non compromis, pourquoi en changer ? Parce que « c’est plus sûr » ? Vous en êtes certain ? Les utilisateurs n’ont-ils pas un nombre impressionnant de solutions de contournement des politiques de gestion des mots de passe qui impose d’en changer tous les x jours ?
Avez-vous des règles spécifiques liées au domaine d’activité (éducation)
Les règles spécifiques au domaine d’activité de mon entreprise sont décrites dans le référentiel général de sécurité (RGS) puisque l’école à une mission de service public.
Les règles du RGS sont par ailleurs durcies par celles du CNRS puisque l’école héberge un laboratoire du CNRS.
V] Travail au quotidien Suivez-vous une méthodologie de travail comme l’agilité ?
La méthode Agile a été initialement conçue pour le domaine du développement logiciel. J’ai eu l’occasion d’étudier en détail la méthode agile dite « Scrum » dans le cadre d’une de mes expertises judiciaires. Ce que j’en ai retenu est qu’il n’est pas nécessaire de disposer d’un cahier des charges complet et très détaillé, pour ensuite faire un long travail de développement qui finalement est présenté au client qui trouvera souvent à redire, voire à exiger des modifications qui s’avéreront très coûteuses car trop tardives dans le cycle de développement en cascade, en V ou en spirale. La méthode agile nous propose d’avancer par petites touches concentrées sur l’essentiel, et faire beaucoup d’allers-retours avec le client. C’est un dérivé des méthodes itératives. J’utilise ce principe le plus souvent possible.
Mais ma méthode de travail (mon hygiène de vie ?) est surtout de suivre les accords toltèques et en particulier les n°3 et n°5 :
– Accord n°3 : Ne faites pas de suppositions. Ayez le courage de poser des questions et d’exprimer ce que vous voulez vraiment. Communiquez le plus clairement possible avec les autres, afin d’éviter les malentendus.
– Accord n°5 : Soyez sceptique, mais apprenez à écouter. Ne vous croyez pas vous-même, ni personne d’autre. Utilisez la force du doute pour remettre en question tout ce que vous entendez. Écoutez l’intention que sous-tendent les mots et vous comprendrez le véritable message.
Etes-vous en contact avec des organismes tel que l’ANSSI ? Si oui, est-ce une obligation ou une volonté ?
Je suis abonné aux flux RSS de toutes les rubriques du site de l’ANSSI, et je dévore leurs guides et recommandations. J’aimerais beaucoup travailler avec eux (en dehors des contacts ponctuels que j’entretiens avec eux), mais mon entreprise n’est pas OIV…
J’ai donc un contrat avec une entreprise privée qui stipule les termes de mise à disposition d’ingénieurs spécialisés en crises cybers pour nous aider en cas de blackout.
Comment gérez-vous la communication auprès de l’école ? De la même manière, comment gérez-vous la documentation des process de la sécurité ?
J’interviens beaucoup à l’oral avec des présentations des enjeux et des risques, soit auprès du conseil d’administration, du comité de direction, des différents services de l’école ou association d’étudiants. C’est mon côté « ancien professeur » qui aime faire des présentations et aime faire un « one man show » adapté à son public pour faire passer les messages. C’est parfois très difficile car j’ai un trac incroyable pour parler devant des personnes que je ne connais pas dont je crains le jugement. Mais souvent les gens sont bienveillants.
La documentation des process de la sécurité est faite à travers les différents documents que j’écris et que je révise, ainsi que leurs annexes : PSSI, politique de gestion des mots de passe, politique des règles de parefeux, analyses de risques, mise en place de la cellule de crise cyber, comité sécurité, etc. Les travaux que je mène avec les différents acteurs de la sécurité sont également documentés : appels d’offres du service achat intégrant un volet sécurité, dépôts de plainte du service juridique à chaque attaque numérique, etc.
Avez-vous de l’astreinte au niveau sécurité ?
Non, mais en cas de crise cyber, je suis sur le pont 24/7 auprès de l’équipe informatique qui a mis en place une astreinte.
VI] Challenge technique Avez-vous des backups de données ?Si oui, comment les gérez-vous ? Avec des méthodologies telles que “3 2 1” ?
Les données de l’entreprise sont sauvegardées dans les règles de l’art, telles que rappelées par la méthodologie « 3 2 1 ». Par contre, il ne faut pas oublier que vos sauvegardes ne servent à rien si elles ne sont pas vérifiées régulièrement et si vous ne disposez pas de serveurs pour les exploiter rapidement en cas d’incident majeur. Ces aspects sont décrits dans le plan de reprise d’activité (PRA) qui est le complément du plan de continuité d’activité (PCA).
Comment gérez-vous les mises à jour des logiciels ? Sont-elles faites automatiquement dès qu’une nouvelle version est disponible ou attendez-vous plusieurs jours ? Pourquoi ?
Parfois les éditeurs nous font l’honneur de séparer les mises à jour de leurs logiciels en deux parties : mises à jour de sécurité et mises à jour fonctionnelles. Dans ce cas les mises à jour fonctionnelles sont mises en attente et étudiées par un processus sérialisé classique tests – pré prod – prod. Les mises à jour de sécurité sont quant à elles appliquées immédiatement.
Si les mises à jour intègrent une partie sécurité, elles sont appliquées immédiatement.
Si l’on ne sait pas, ou si l’on n’a pas le temps d’analyser les mises à jour, elles sont appliquées immédiatement.
Si une mise à jour casse un serveur (ce qui est de plus en plus rare), le PCA entre en action.
Avez-vous un plan d’urgence en cas d’attaque informatique ?
Oui, il y a un plan détaillé de réactions face aux attaques. Le premier chapitre est consacré aux défaillances de base (panne matérielle d’un ordinateur, etc.), puis le niveau de criticité des problèmes augmente jusqu’à déclencher les PCA, PRA et cellule de crise cyber.
Avez-vous déjà vu ou fait face à une attaque ?
Oui, toutes les semaines, mais pas encore du niveau DEFCON 1…
Lors de problématiques de sécurité, vous et vos équipes faites vous des post mortems ?
Oui, dans tous les cas, mais de manière plus ou moins détaillée. L’analyse post incident est versée « au dossier » (par exemple dans le cas de l’instruction d’une plainte) mais surtout vient modifier si nécessaire les différentes procédures de sécurité et plans associés. C’est le principe de la roue de Deming en qualité (ou PDCA).
Comment faites vous pour rester toujours au fait des dernières actualités et évolutions ? En d’autres termes, avez-vous une veille technique et comment vous formez-vous ?
Je suis très curieux par nature, donc je lis beaucoup. Mais ce que je trouve de loin le plus efficace est l’échange avec mes pairs, et en particulier les retours d’expérience. Je suis membre du CESIN et de différents groupements de RSSI, de DSI, d’experts judiciaires. C’est plus difficile d’en parler publiquement, mais je m’attache depuis 2006 à partager mes expériences sur mon blog. Cela ne m’a pas valu que des amis.
Les blogs, les réseaux sociaux et les forums sont des lieux d’échange extraordinaires. J’ai un lecteur de flux RSS qui totalise des centaines de flux que je lis scrupuleusement.
Disposez-vous d’outils de monitoring de sécurité ? De remontées d’alertes ? Exemple : un nouveau port est ouvert.
Je ne suis pas rattaché à l’équipe de production. Les administrateurs réseaux disposent heureusement de tous les outils d’alerte et de supervision de leurs équipements. Je n’en ai pas les compétences ni le savoir faire. Ils constituent le cœur du dispositif de défense temps-réel. Ce sont les soutiers de l’entreprise qui assurent son fonctionnement et sa sécurité.
Les outils que j’utilise sont les suivants : – une distribution Kali sur mon poste de travail et sur une machine dans « le Cloud » – des scanners Nessus, OpenVAS etc. – l’accès au logiciel de patch management des admins réseaux – un tableur pour les indicateurs de sécurité…
VII] Audit interne/externe Réalisez-vous des audits ? Si oui, sont-ils réalisés en interne ou par le biais de prestations externes ?
Je réalise quelques audits de sécurité à l’aide des outils cités ci-dessus, mais l’essentiel des audits est réalisé par des sociétés spécialisées à travers des prestations que je supervise.
Comment abordez-vous le côté législatif de ces audits ? Le côté humain ?
L’aspect juridique est extrêmement important. Je m’appuie sur mes connaissances, sur ma capacité à aller me renseigner sur la jurisprudence (qui fait partie de la veille à faire dans le métier de RSSI). Je n’ai pas encore audité l’aspect humain de la sécurité informatique, car je préfère défendre les utilisateurs plutôt que de leur tendre des pièges.
Suivez-vous un calendrier d’audits ? (ex : audit tous les ans de l’application abc)
Je mène des campagnes d’audits adaptées en fonction de la criticité des services : tous les jours, tous les mois, tous les trimestres, tous les ans. Beaucoup d’audits sont automatisés. Les audits externes sont menés sur une base annuelle. Les outils tiers sont audités sous la responsabilité contractuelle des prestataires, avec communication des conclusions d’audit.
VIII) Blacklist (OS – technologies) Dans votre environnement de travail actuel, avez-vous des restrictions sur des OS ou technologies interdites ?Si oui, est-ce de votre volonté ou une obligation de vos supérieurs ?
Les postes de travail des salariés de l’entreprise sont supervisés et administrés. L’utilisateur n’est pas administrateur de son poste de travail, sauf exceptions tracées. Dans le contexte d’une grande école, il n’est pas souhaitable de durcir de manière excessive le poste de travail (verrouillage des ports USB, etc.). La sécurité doit donc se faire également du côté de l’anticipation et la remédiation : sauvegarde des postes de travail, chiffrement des disques durs pour les vols/pertes, accompagnement des utilisateurs dans le choix des applications dont ils ont besoin, dans les problèmes qu’ils rencontrent.
Le support informatique est essentiel, et est l’un des facteurs clefs de la sécurité informatique. Changer un mot de passe peut s’avérer compliqué, créer un mot de passe d’application quand on est en authentification multifacteur également.
IX] Point de vue humain Comment décririez-vous votre sentiment au quotidien ? Le métier de RSSI est-il stressant ou prenant mentalement ?
Je travaille 9h pleines par jour mais sans stress, en tout cas avec beaucoup moins de pression que l’équipe de production en charge des serveurs et des réseaux. Je suis quelqu’un de réservé a priori, mais très bavard quand je suis avec d’autres passionnés. J’aime beaucoup mon métier et l’informatique de manière générale. Donc, le soir quand j’arrive chez moi après 9h devant mes écrans, j’allume mon ordinateur pour tester « des trucs », bidouiller « des machins » ou démonter « des bidules ». J’aime bien comprendre comment fonctionnent les systèmes informatiques, comment est stockée l’information sur un disque dur, comment fonctionne l’apprentissage d’un réseau de neurones bouclés (donc à états), comment mettre au point une sonde Suricata avec un Raspberry Pi…
Professionnellement, je suis donc un peu pareil : j’aime bien comprendre, apprendre, aider, enseigner, communiquer en confiance et avec bienveillance.
Au début, j’étais en attente de la catastrophe, du grand blackout, du méga cryptolocker de la mort, et je dormais très mal. Maintenant je dors mieux car j’ai expliqué à tout le monde que la catastrophe arrivera de toutes manières, quoi que l’on fasse, que nous nous y préparons, que le risque zéro n’existe pas, que ce n’est pas la sécurité informatique qui coûte cher, mais l’absence de sécurité informatique.
Mais je suis encore puceau en matière de grande crise cyber, donc je ne sais pas encore comment ça se passera et si mon poste servira de fusible… Je ne suis pas pressé d’être dépucelé.
Quelles sont vos horaires types, s’il y en a ?
8h30 – 18h30 avec une pause d’une heure. J’ai 20mn de marche dans la forêt pour aller au travail. Idem pour rentrer le soir. Je suis un homme heureux.
Qu’est-ce que la COVID a changé dans votre manière de travailler ? Le contact avec les équipes est-il plus compliqué ?Une fois la crise sanitaire “finie”, allez-vous faire perdurer le télé-travail ?
Je n’aborderai pas ici l’aspect terrible de cette crise sanitaire avec sa cohorte de morts et les souffrances engendrées dans l’ensemble de la population.
J’habite à 450 km de mon lieu de travail. Je fais donc un A/R de 900 km en train chaque semaine pour aller travailler (je loue un logement près de mon entreprise). Mon entreprise étant à la pointe en matière de vie au travail, j’ai pu bénéficier dès mon embauche de deux jours de télétravail par semaine. La crise sanitaire liée à la COVID-19 m’a simplement fait basculer en 100 % de télétravail, comme beaucoup des collaborateurs de l’entreprise.
Personnellement, j’ai très bien vécu cette période : j’avais les codes du télétravail (bureau réservé, équipement adapté, isolement domestique, liaison fibre, liaison de secours, etc.) et l’habitude des réunions en visioconférence. Et puis cela m’évite 900 km de train par semaine.
L’aspect des discussions informelles me manque, mais j’arrive à le susciter avec une partie des collègues avec lesquels je peux faire une discussion en « off » par exemple après une réunion. Finalement, avec un peu de bonne volonté, on a réussi à numériser « radio moquette » 😉
Une fois la crise sanitaire finie, je vais enfin pouvoir aller remanger avec mes collègues 3 fois par semaine, croiser des étudiants souriants et dynamiques, et surtout prendre une bière avec les copains.
Enfin le retour en présentiel…
FIN] Evolution ? Avez-vous des envies d’évolutions pour la suite ? Si oui, lesquelles ?
J’ai énormément d’envie d’évolutions pour la suite : j’aimerais travailler avec un SOC, j’aimerais apprendre, comprendre et enseigner les bonnes pratiques en perpétuelle évolution, j’aimerais arriver à faire admettre naturellement que la personne qui clique sur un lien de phishing n’est pas fautive, mais une victime, j’aimerais que les analyses de risque que je produis arrivent jusqu’à la direction, j’aimerais avoir une équipe de passionnés à manager…
J’aimerais surtout être jeune à nouveau pour avoir le temps de mener à bien mes envies d’évolution.
Merci pour toutes vos réponses.
Merci pour toutes vos question. Et préparez bien la relève : dans 10 ans, j’aurai 100 ans…
L’ANSSI a publié un panorama des métiers de la cybersécurité 2020. Assez naturellement, je suis allé lire la fiche consacrée au RSSI (pages 10 à 13). A la partie « formation recommandée », il est écrit : « Bac + 5 avec une spécialisation en cybersécurité ».
Je disconviens respectueusement.
Premier point : il manque une connaissance approfondie des rouages de l’entreprise. En discutant aux Assises de la Cybersécurité 2020 avec Mathieu Rigotto (qui m’autorise à le citer), celui-ci me faisait remarquer qu’un bon RSSI devrait aussi avoir un MBA. En effet, la maîtrise en administration des affaires est le diplôme international d’études supérieures du plus haut niveau dans le domaine de la conduite globale des affaires : stratégie, marketing, finances, ressources humaines et management (source Wikipédia).
Je rencontre souvent deux types de RSSI : un expert technique pour qui les challenges sécurité n’ont aucun secret, ou un diplomate fin négociateur pour qui les exigences métiers n’ont aucun secret. Deux profils assez différents.
Le premier est un Snipper, le deuxième est un Général.
Pour être un bon Général, il n’est pas nécessaire d’être un bon Snipper (mais c’est un cheminement possible). Et pour être un bon Snipper, il n’est pas nécessaire d’être un bon Général (mais c’est un cheminement également possible).
Les deux profils cohabitent donc, et à mon avis, la meilleure formation, c’est la somme des deux : le meilleur RSSI doit donc avoir une solide formation technique, complétée par une bonne vision méthodologique, mais aussi une solide formation orientée sur les besoins des métiers de l’entreprise. Un ingénieur informatique avec spécialisation en cybersécurité ayant complété sa formation par un MBA.
Un RSSI ne doit pas produire une analyse de risque basée uniquement sur l’aspect technique, comme par exemple, « cette application est trouée de toute part, je m’oppose à ce qu’elle soit utilisée ». Il doit aussi intégrer le besoin métier, voire le besoin stratégique de l’entreprise. Ainsi, par exemple : « notre percée sur ce marché dépend de la rapidité avec laquelle nous allons pouvoir le conquérir, au besoin avec une application trouée de toute part ».
Et ça, c’est BEAUCOUP plus difficile à assumer.
Deuxième point de désaccord : bac + 5. En effet, beaucoup de jeunes arrêtent les études supérieures avant, pour un tas de raisons. Ils commencent à travailler dés le bac (ou avant), ou à bac+2 ou +3. Pourtant, la connaissance ne s’acquière pas uniquement sur les bancs de l’école, fut-elle supérieure, ou de l’université. Vous pouvez apprendre dans l’entreprise, avec l’aide des collègues, des anciens, sur le tas confronté aux projets, dans les livres, ou tout simplement en faisant de la veille.
Cela peut paraître contradictoire avec mon premier point, où j’évoquais le diplôme d’ingénieur et le MBA, mais pas du tout : il y a une équivalence naturelle avec l’expérience acquise en entreprise (enfin qui devrait être naturelle si les recruteurs étaient moins fermés). Il y aurait tellement à écrire sur le problème des diplômes en France…
Bref, il y a longtemps, mes professeurs vantaient les avantages des formations technico-commerciales, de même aujourd’hui, je conseille une solide expérience technique, assortie à une très bonne connaissance de la conduite des affaires. L’une complète l’autre, pour envisager être un bon RSSI. Savoir capturer le drapeau n’est pas forcément nécessaire, ni suffisant.
