Cybersécurité et monde d'après : l'urgence de penser supervision IT souveraine et sécurisée

Alors que la criticité de l'IT dans l'atteinte des objectifs stratégiques de l'entreprise et dans sa capacité d'adaptation permanente n'est plus à démontrer, se pose la question de la mise en place des bonnes pratiques et de la responsabilité des acteurs de la chaîne numérique.

Digitalisation accélérée et télétravail généralisé :  un cocktail explosif pour la cybersécurité

Avec la pandémie du Covid-19 et des conditions sanitaires contraignantes, la digitalisation des processus métiers a pris une autre dimension. E-commerce, click and collect, paiement sans contact, télétravail… La chaîne de valeur numérique est devenue essentielle pour faire du chiffre d’affaires, maintenir les activités, bref travailler... Toutes les entreprises et organisations, quelle que soit leur taille ou leur secteur d’activité, du commerçant en zone touristique à l’Éducation Nationale en passant par l’agence événementielle, dépendent aujourd’hui de l’IT. Pas d’IT, pas de business.

Cette digitalisation quelque peu forcée couplée à la généralisation du télétravail est devenue un cocktail explosif en matière de cybersécurité. Et l’actualité a donné raison aux Cassandre qui prédisaient l’augmentation des failles de sécurité, car les attaques se sont multipliées récemment : hôpitaux, éducation, institutions publiques, entreprises du secteur privé, personne n’y a échappé.

La supervision IT, brique indispensable d’une gouvernance IT sécurisée et durable

Ces récents événements posent clairement la question des bonnes pratiques et du “security by design”. La sécurité doit être au cœur des projets, depuis la phase de conception jusqu’au déploiement final. Cela pose aussi la question de la responsabilité de tous les acteurs de la chaîne numérique face aux enjeux de la cyber sécurité.

Comme le cloud et la cybersécurité, la supervision des systèmes d’information est devenue une fonction critique. Il n’est pas surprenant qu’elle devienne la cible de compromissions de sécurité. Des événements récents liés à une solution américaine, d’une part, et à une version open source d’une solution française non mise à jour par des utilisateurs, d’autre part, ont renforcé la prise de conscience qu’opter pour des solutions déployées et maintenues de manière sécurisées et respectant les standards de cybersécurité, n’est pas une option pour les entreprises. D’ailleurs les organisations ne s’y trompent pas : la supervision se place en tête des priorités des directions des systèmes d’informations dans le secteur privé comme dans les services publics. Une raison de plus pour encourager une action concertée et souveraine entre tous les acteurs de l’IT et les pouvoirs publics.

Un appel au renforcement des bonnes pratiques : prévenir plutôt que guérir

Il devient donc urgent de se recentrer sur les bonnes pratiques en matière de sécurité en dépassant le stade des bonnes intentions. 

A l’instar de la démarche DevSecOps qui intègre et aligne, dès le début d’un projet IT, la sécurité au même titre que le développement et les opérations, il est primordial d’encourager vigoureusement les intégrateurs et prestataires de services IT ainsi que tous les utilisateurs de solutions de supervision à respecter les bonnes pratiques préconisées par les éditeurs de solutions et l’ANSSI, y compris quand il s’agit d’open source.

Outre les fondamentaux - mise à jour régulière et sécurisation des logiciels, utilisation d’une politique forte de gestion des mots de passe, prise en compte des guides techniques des entreprises spécialisées dans la supervision et de l’ANSSI – les professionnels de l’IT et de la supervision doivent aller plus loin avec un véritable devoir de conseil et d’éducation auprès de leurs clients et utilisateurs finaux.

Côté open source, les communautés d’utilisateurs ont tout intérêt à contribuer à la sécurisation des solutions : participer à la détection et la correction des failles de sécurité, participer aux tests de nouvelles fonctionnalités et améliorations de socle communautaire, enrichir les logiciels en proposant des développements complémentaires réalisés dans le cadre privé ou professionnel.

Limiter les vulnérabilités de ce type de logiciels critiques est un enjeu décisif qui appelle la mobilisation d’expertises spécialisées. Le meilleur moyen pour garantir une exploitation pérenne, sécurisée et souveraine reste donc l’accompagnement par les entreprises spécialisées dans la supervision des systèmes d’informations : éditeurs et/ou partenaires certifiés.

Souveraineté et made in France : l’ingrédient indispensable d’une supervision sécurisée

La sécurité est une composante essentielle de la gouvernance IT des entreprises et des services publics, et à ce titre, le "made in France " si plébiscitée sur les marchés, ne relève pas seulement du patriotisme économique mais bien de la souveraineté. L’État français a d’ailleurs prévu plus de 136 millions d’euros dédiés à la cybersécurité dans le plan France Relance et la question d’acheter français en matière de solutions numériques va se poser chaque jour de façon de plus en plus pressante.

Dans une période où la souveraineté numérique est également une priorité, utiliser une solution locale indépendante dont les concepteurs et intégrateurs peuvent intervenir rapidement en mode circuit court est également un gage supplémentaire de maîtrise et de sécurité pour l’ensemble des utilisateurs. Parce que la cybersouveraineté n’est pas une question technologique et encore moins idéologique mais bien une question stratégique qui conditionne autant l’indépendance des entreprises que leur performance.