La F1 : un guide pour les RSSI en quête d'excellence

Tout comme les entreprises, les équipes de F1 ne peuvent plus aujourd'hui se passer d'outils d'analyses de données rapides et efficaces si elles veulent prendre une longueur d'avance.

La saison 2024 de Formule 1™ vient de démarrer et les pronostics battent leur plein pour essayer de déterminer qui sera en mesure de détrôner Max Verstappen et le priver de son troisième titre de champion du monde. Tous les pilotes, quelle que soit leur aura, ont besoin de plus que du talent pour arriver à la première place, notamment l’accès à des données précises sur leur conduite, leur monoplace et l’environnement.

Tout comme les entreprises, les équipes de F1 ne peuvent plus aujourd’hui se passer d’outils d’analyses de données rapides et efficaces si elles veulent prendre une longueur d’avance. Elles disposent même d’ingénieurs spécialisés chargés de détecter les risques à éviter et les opportunités à saisir en temps réel. Les cadres dirigeants, en particulier ceux en charge de la cybersécurité, ont eux aussi la lourde responsabilité d’évaluer et de gérer les risques au sein de leur entreprise. La possibilité qu’un incident de sécurité fasse dérailler un projet stratégique est une source d’angoisse quotidienne pour un RSSI, tout comme une mauvaise décision suffit à faire dérailler les performances d’une équipe de F1.

Pas de performances optimales sans variables multiples

La gestion des risques et des performances dans des conditions qui évoluent constamment représente un enjeu bien connu de nombreux responsables de la cybersécurité. En F1, les équipes arrivent sur chaque circuit de la saison avec des plans sur mesure, élaborés en fonction du tracé de la piste, de la durée de la course et du climat. Toutefois, ces plans sont ensuite ajustés au fil du week-end, en particulier selon l’évolution des conditions météo, des pneus utilisés, de l’état de la piste, du comportement de la voiture, ainsi que d’autres facteurs comme le carburant et le poids. Chaque session d’essais, de qualifications et de courses est différente du fait de ces variables. L’équipe effectue donc constamment des relevés à l’aide de capteurs ultraprécis afin de procéder à des micro-modifications sur les réglages de la voiture en jouant sur des éléments tels que l’appui aérodynamique pour atteindre des performances optimales. En plus de ces variables internes et externes, l’équipe doit également prendre des décisions stratégiques basées sur les actions des autres équipes et pilotes. La F1 est ainsi sans aucun doute le meilleur exemple d’un sport axé sur les données.

Les professionnels de la cybersécurité sont confrontés à des problèmes très similaires, avec un flux constant de variables ayant un impact sur l’état de sécurité de leur entreprise. Par exemple, une opération simple, comme un employé se connectant à une application cloud : cette action comporte au moins sept variables qui doivent être prises en compte avant que la demande puisse être considérée comme sûre et l’accès accordé. Ces variables sont l’identité, l’appareil, la localisation, l’activité, l’application ou le service, l’instance de l’application ou du service, et le type de données. Ainsi, la complexité de l’enjeu que représente la conception d’une politique de gestion des risques devient claire puisque chaque action soulève un nombre important de questions à la fois pour la sécurité mais aussi pour la performance applicative. Les parallèles avec la F1 sont donc manifestes, puisque les équipes IT cherchent également à s’assurer que les employés puissent donner le meilleur d’eux-mêmes et obtenir des résultats aussi efficacement que possible, tout en faisant passer leur sécurité avant tout.

Trouver un juste équilibre

À l’instar d’un directeur d’écurie en F1, le RSSI doit trouver le juste équilibre dans le niveau de friction appliqué afin de permettre aux employés de travailler en toute sécurité. Si les choses ne sont pas assez fluides, le collaborateur aura du mal à s’acquitter de ses tâches et pourrait se plaindre de conditions de travail insatisfaisantes ou frustrantes, avec un œil envieux sur les équipes autorisées à travailler plus rapidement. Mais sans le moindre frein, les risques pour la cybersécurité de l’organisation sont importants. Il convient donc de trouver un équilibre entre performance et sécurité afin de maintenir la protection tout en n'interférant pas dans la productivité des équipes.

Celui-ci passe par une évaluation continue des variables. Par exemple, des solutions telles qu’une plateforme SASE (Secure Access Service Edge) permettent de combiner différents outils de télémétrie analytique à l’instar du mur de données présent dans les stands d’une équipe de F1. Ces informations peuvent être fournies aux collaborateurs, mais aussi à l’équipe d’exploitation du réseau et de la sécurité et au RSSI. Ceci permet une détection et une neutralisation précoces des variables problématiques pouvant impacter les performances ou la sécurité. Il est ainsi également possible d’ajuster en conséquence les stratégies et les processus afin de maintenir des performances optimales. Pour ce faire, il est possible d’appliquer des politiques dynamiques déclenchant automatiquement des actions (autoriser, bloquer, alerter, coacher/éduquer, rediriger) à partir d’une analyse combinée de toutes ces variables.

Au-delà du chrono

En F1, l’objectif est bien sûr de remporter les courses qui mènent au titre de champion du monde, ce qui implique non seulement de réaliser le meilleur chrono, mais aussi d’être performant tout au long de chaque course et, bien sûr, de la saison. Il en va de même pour la cybersécurité. Il ne suffit pas de s’assurer qu’un seul collaborateur, une seule application, ou un seul bureau bénéficie ponctuellement de bonnes conditions de travail. Cela doit être le cas en permanence pour l’ensemble de l’entreprise, mais sans engendrer de risques inacceptables.

En matière de cybersécurité, un luxe demeure : celui de pouvoir modifier le circuit ainsi que la voiture. Il est par exemple possible de supprimer des chicanes ou des virages en épingle dans le réseau (souvent présents dans les architectures plus anciennes sous forme de VPN, backhauling ou tunnelling fractionné), qui compliquent inutilement le routage des données. Ainsi, l’utilisation de multiples points d’application des politiques pour la sécurité, encore fréquente dans les entreprises de taille moyenne, revient à créer de multiples chicanes qui freinent le trafic. Or, une architecture SASE fournit un point unique d’application pour ces politiques, supprimant les arrêts au stand et les ralentissements inutiles. Les systèmes DRS d’ajustement de l’aérodynamisme en F1 est aussi une inspiration possible, en donnant les moyens aux employés d’atteindre une vitesse supplémentaire grâce au cloud peering (connexions réseau optimisées directement depuis l’architecture de sécurité vers des applications de référence, comme Microsoft 365) afin de permettre un accès rapide aux services par le biais de la même plateforme SASE.

"Tout ce que je fais, expliquait récemment le RSSI d’une équipe de F1, doit contribuer à l’objectif de l’équipe, qui est de remporter le championnat. Qu’il s’agisse de ne pas ralentir l’équipe dans son travail ou de protéger notre propriété intellectuelle contre la concurrence… notre travail s’inscrit pleinement dans les efforts de l’équipe pour remporter la coupe." Même si la course automobile et la cybersécurité sont des environnements aux objectifs plus complexes, il convient de garder à l’esprit la contribution apportée, par le travail, aux visées de l’entreprise dans son ensemble. Ainsi à chaque départ de course, les écuries et les pilotes démontrent une véritable adaptation au risque en temps réel.