« Il faut des cyber-gestes barrières contre les cyberattaques »

Après avoir diri­gé l’é­quipe en charge de la Pros­pec­tive pen­dant plus de 5 ans, Cécile Wend­ling est aujourd’­hui Direc­trice de la stra­té­gie de Sécu­ri­té, de l’An­ti­ci­pa­tion des menaces et de la Recherche pour le groupe AXA. Venue de l’ho­ri­zon des Sciences Humaines et Sociales (SHS), elle par­ti­cipe à de nom­breuses ins­tances de conseil et de réflexion dans des domaines aus­si variés que la pro­tec­tion des don­nées per­son­nelles, l’in­tel­li­gence arti­fi­cielle ou la cybersécurité.

Pen­sez-vous qu’une cyber-pan­dé­mie soit de l’ordre du possible ?

Cécile Wend­ling. Oui, c’est tout à fait cré­dible. Un cyber-évè­ne­ment majeur pour­rait avoir un impact mon­dial, éco­no­mique et phy­sique dans le monde réel tout comme la pan­dé­mie de Covid-19. Cela dit, il fau­drait trou­ver un voca­bu­laire com­mun, car pour l’ins­tant, lors­qu’on parle de cyber-évè­ne­ment, on mélange dif­fé­rents types d’é­vé­ne­ments et d’at­ta­quants. Il convient de dis­tin­guer les attaques ciblées, inten­tion­nelles, et les évé­ne­ments non inten­tion­nels, comme un ser­veur qui plante ou une tem­pête ! De même, les attaques peuvent être le fait d’in­di­vi­dus iso­lés, du crime orga­ni­sé, de groupes idéo­lo­giques ou d’États.

Un assu­reur doit com­prendre le risque réel pour pou­voir pro­po­ser la cou­ver­ture adé­quate. D’où l’im­por­tance de dis­po­ser d’un lan­gage com­mun, d’une ter­mi­no­lo­gie qui per­mette de clas­ser les évé­ne­ments dans dif­fé­rentes caté­go­ries, de com­pa­rer les menaces et leur évo­lu­tion dans le temps, afin d’en avoir une vision historique.

Cela per­met­trait à l’as­su­rance des risques cyber de se développer ?

Oui, à condi­tion de les connaître, de pou­voir les clas­si­fier afin de savoir quelle par­tie est cou­verte par une assu­rance. Le vrai enjeu ici est celui de l’é­du­ca­tion au risque et sa pré­ven­tion. Si l’on pour­suit l’ana­lo­gie avec la pan­dé­mie de Covid-19, on voit que l’on a appris aux gens des règles sani­taires, des gestes de base pour se pro­té­ger du coro­na­vi­rus et en limi­ter la pro­pa­ga­tion. La cyber­sé­cu­ri­té est encore un domaine rela­ti­ve­ment secret. Seules cer­taines per­sonnes connaissent les infor­ma­tions sur les attaques qui sont menées contre des entre­prises, ce n’est pas très visible du grand public. Un public non aver­ti ne peut pas faire de pré­ven­tion sur ses appa­reils connec­tés car il n’a pas « l’hy­giène de base », il ne sait pas quels gestes faire pour se pro­té­ger, par exemple, faire des sau­ve­gardes régu­lières. Ils ne peuvent donc pas s’as­su­rer contre des risques qu’ils ignorent.

Pour assu­rer ces risques, il fau­drait des déci­sions règle­men­taires et juri­diques comme cela a été fait pour l’au­to­mo­bile : pour cir­cu­ler, il est obli­ga­toire d’as­su­rer son véhi­cule contre les dom­mages poten­tiel­le­ment cau­sés aux tiers. Dans le cas d’une cyber-pan­dé­mie, il fau­drait aus­si se poser la ques­tion de la mutua­li­sa­tion du risque et créer un pool public–privé comme c’est le cas pour une catas­trophe natu­relle majeure ou pour l’é­pi­dé­mie de Covid-19. Concrè­te­ment, en cas de crise, il fau­drait créer un conti­nuum de pro­tec­tion, qui aille de l’é­du­ca­tion et de la pré­ven­tion à l’as­sis­tance technique.

Com­ment peut-on anti­ci­per le risque d’une cyber-pandémie ?

C’est très dif­fi­cile, parce que, comme pour la crise sani­taire, une cyber-pan­dé­mie entraî­ne­rait des risques mul­tiples. Cela crée­rait en fait une inter­con­nexion de crises et donc de risques. Pour anti­ci­per un tel cyber-évé­ne­ment, il faut com­prendre des scé­na­rios mul­ti­risques comme, par exemple, ce qui s’est pas­sé au Liban où il y a eu une crise éco­no­mique en même temps que la pan­dé­mie de Covid-19 et l’ex­plo­sion dans le port de Beyrouth…

Pour anti­ci­per une menace, il faut se poser la ques­tion de sa tem­po­ra­li­té et de son évo­lu­tion pos­sible au fil du temps. On ne peut pas avoir un scé­na­rio stable dans le temps, il faut régu­liè­re­ment le reprendre. Pour être rési­lient, il faut conti­nuer à anti­ci­per en mode pré­vi­sion­nel et pros­pec­tif à plus long terme.

En fait, l’an­ti­ci­pa­tion repose sur deux types d’exer­cices dif­fé­rents. D’une part, une tour de contrôle fait de la veille pros­pec­tive au quo­ti­dien sur de nom­breux sujets, par exemple dans le cas d’une cybe­rat­taque, quel rôle pour­rait jouer l’or­di­na­teur quan­tique. D’autre part, sur le plan pra­tique, on anti­cipe des scé­na­rios de crise, par exemple, com­ment gérer une cybe­rat­taque en confi­ne­ment, a‑t-on anti­ci­pé le tra­vail en mode papier-crayon ? L’an­ti­ci­pa­tion repose des cel­lules et des tem­po­ra­li­tés dif­fé­rentes. Si je cari­ca­ture, il faut, des « geeks » qui font de la threat intel­li­gence à un hori­zon de temps de 2 mois et des actuaires qui éva­luent le risque à long terme. Toute la dif­fi­cul­té consiste à connec­ter ces deux mondes, qui ont des échelles de temps dif­fé­rentes, en ayant des tem­po­ra­li­tés intermédiaires !