Alors qu’on sait très bien gérer des risques autrement plus redoutables dans d’autres secteurs, tels que l’aéronautique ou le nucléaire ?

Aujourd’hui consultant indépendant en cybersécurité, j’ai passé la première partie de ma carrière comme ingénieur dans l’aéronautique et dans l’armement. Dans l’aéronautique, dans l’armement, ou encore dans le nucléaire, la sécurité et la sûreté sont des fondamentaux. Le métier sait, depuis de nombreuses décennies, maîtriser les risques. Alors pourquoi le numérique, qui a également des décennies d’existence, échoue-t-il si souvent à maîtriser sa cybersécurité ? Pourquoi continue-t-il de connaître quotidiennement – et en fait cela s’accélère avec l’intelligence artificielle – des violations de données, des rançongiciels et des atteintes aux systèmes critiques ? Globalement, la sécurité des systèmes d’information est un échec collectif.

Certaines pratiques sont communes à ces différents domaines (parfois avec des appellations distinctes), telles qu’analyses de risques, défense en profondeur, tests / audits, redondances, contrôle d’accès, surveillance en temps réel, maintenance / maintien en condition de sécurité, formation et sensibilisation, plan de crise et d’urgence, normalisation, cloisonnement, etc. Et pourtant :

• Dans le nucléaire, on simule les accidents pour s’y préparer et éviter qu’ils surviennent.
• En aéronautique, on pousse les structures jusqu’à leurs limites pour connaître leur comportement avant de les mettre en service.
• Dans ces deux domaines, les autorités arrêtent les équipements (avions, centrales…) lorsqu’il y a doute ; les sinistres donnent lieu à de vraies sanctions, y compris pénales parfois ; chaque professionnel a la culture de sûreté/sécurité chevillée au corps.
• Dans ces deux domaines, on documente et on démontre, on procède à des retours d’expérience détaillés pour comprendre tout ce qui a pu dysfonctionner et s’améliorer (enquête, recommandations publiques, mesures correctives, modification des procédures…).
• Et même dans la sécurité routière, qui dépend pourtant des comportements du grand public, la société française a su progresser en 20 ans en divisant par deux le nombre de morts sur les routes.
• En cybersécurité, c’est plutôt +20 % par an (en accélération), et on attend trop souvent la catastrophe pour s’y intéresser (ou faire semblant).

Certes les conséquences d’une défaillance ne sont pas comparables entre le nucléaire, l’aéronautique et le numérique. Les défaillances et attaques informatiques font rarement des morts. Mais leur multiplication actuelle et à venir (avec l’intelligence artificielle) provoque de nombreux dégâts sur la société et les personnes. Il suffit de discuter avec un dirigeant d’organisation ayant été victime d’une cyberattaque lourde pour comprendre qu’il s’agit là d’événements traumatisants et lourds de conséquences. Ces constats justifient qu’on s’interroge sur ces abyssales différences de résultat entre sécurité nucléaire, sécurité aérienne et cybersécurité.

Commençons par évacuer quelques fausses idées simples sur ces différences :

• Elles ne sont pas dues à un manque de compétences : la France dispose de centaines de milliers de professionnels du numérique, bien davantage que l’aéronautique et le nucléaire réunis.
• Elles ne sont pas dues à la complexité du sujet : un système informatique est certes complexe, mais un avion et une centrale nucléaire le sont au moins autant.

Évoquons alors quelques facteurs explicatifs plus pertinents :

• La mémoire collective n’inclut pas de grande catastrophe informatique semblable aux catastrophes de Tchernobyl et de Fukushima, aux accidents aériens tels que les crashs de l’AF447 Rio de Janeiro / Paris ou du Concorde à Roissy. En France, on n’a pas (encore ?) vu d’attaque informatique ayant provoqué le détournement de moyens de transport, la paralysie d’un système bancaire, l’interruption de l’approvisionnement en énergie, des vagues de décès à l’hôpital ou des émeutes causées par la fuite d’informations ou l’interruption des services publics.
• Les conséquences d’une défaillance étant perçues comme moins dramatiques, la société est beaucoup plus tolérante aux risques du numérique. Contrairement à l’aéronautique et au nucléaire, quand un système informatique est vulnérable, on ne l’arrête pas, on ne renforce pas sa sécurité toutes affaires cessantes, on organise peu de retour d’expérience approfondi, on ne licencie ni n’inculpe les responsables (ceux qui ont pris ou omis de prendre les décisions, pas les lampistes).
• On n’apprend pas de ses erreurs de cybersécurité, d’abord parce qu’on les ignore ou les cache trop souvent, ensuite parce qu’il n’y a pas de dispositif organisé d’amélioration comme le sont les obligations de déclarations des incidents dans le nucléaire et des « air miss » dans l’aérien.
• Il n’y a pas, à ce jour, d’autorité de contrôle puissante pouvant autoriser, arrêter, sanctionner. L’ANSSI conseille et ne sanctionne pas (encore) ; la CNIL investigue et sanctionne, mais chacun sait que ce ne sont que des gouttes d’eau dans l’océan des violations, sans commune mesure avec le pouvoir de l’Autorité de sûreté nucléaire, de la Direction générale de l’aviation civile ou des autorités de certification.
• La sécurité / sûreté est un des principaux fondements de la conception des équipements aéronautiques et nucléaires, qui doit être démontrée avant mise en service, quand dans l’informatique elle vient généralement après coup – ou pas du tout.
• Dans l’aéronautique, l’aérien et le nucléaire, les dirigeants sont extrêmement sensibilisés à la sécurité / sûreté et, en raison du système industriel, réglementaire et culturel, intègrent la sûreté dans leurs décisions. Alors que pour les dirigeants d’organisations et responsables de traitement, la cybersécurité est bien souvent la dernière roue du carrosse.
• Dans l’aéronautique et le nucléaire, le périmètre du système à maîtriser est défini, contrôlé et soumis à une gestion de configuration rigoureuse ; les opérateurs sont identifiés et compétents. Dans le numérique, généralement ouvert et connecté à de nombreux utilisateurs locaux et distants, le périmètre de responsabilité est souvent flou, mouvant et dépendant d’une chaîne de fournisseurs et de logiciels que l’organisation ne maîtrise pas entièrement.
• Un système d’information évolue en permanence, soit par des évolutions de fonctionnalités, soit par des évolutions ou corrections du système et de ses nombreuses composantes, de manière souvent peu formalisée. Alors que des systèmes aéronautiques et nucléaires dont l’objet d’une gestion de configuration extrêmement réfléchie et formalisée.

Pour synthétiser, les cultures de cybersécurité dans le numérique et de sûreté / sécurité de l’aéronautique et du nucléaire sont radicalement différentes, et là réside sans doute le cœur de l’explication. Dans le numérique, trop souvent, les dirigeants ne prennent pas en compte la sécurité dans le pilotage des affaires, n’arbitrent pas les budgets et les opérations en sa faveur, n’évoquent pas ce sujet dans les conseils et comités de leur niveau. Dans le numérique, trop souvent, les salariés ne rejettent pas les mauvaises pratiques de cybersécurité, ne se comportent pas d’une façon pouvant réduire le risque.

Évidemment il y a des exceptions, je me garde bien de simplifier à l’excès. Les grandes entreprises ont généralement pris le problème au sérieux, certains dirigeants de PME aussi (ne serait-ce que mes clients !). Certains employés font très attention et remontent les incidents… mais environ 10 % se font plutôt connaître comme « serial clickeur » en tombant sans état d’âme dans les pièges des messages de phishing. Mais l’exception est loin d’être la règle !

Cela peut-il changer ? On peut l’espérer, en raison du caractère de plus en plus médiatique des violations de données ou des atteintes aux systèmes informatiques, en raison du renforcement de la législation avec des textes comme la directive NIS2, les règlements DORA ou CRA. On peut ainsi espérer que, dans les prochaines années, les dirigeants et utilisateurs prendront réellement conscience de l’ampleur des risques numériques, que les bonnes pratiques d’hygiène numérique se systématiseront, que les politiques de sécurité seront respectées, que le principe du moindre privilège et l’authentification forte des utilisateurs se généraliseront, que la cybersécurité sera systématiquement prise en compte dès le début des projets plutôt qu’après-coup…

Cependant, les changements culturels ne se décrètent pas, les textes ne font pas culture. Les dirigeants et employés prêteront réellement attention à la sécurité numérique et prendront les décisions pertinentes le jour où ce sera devenu un vrai enjeux business et métier, le jour où les mauvaises pratiques feront perdre son job ou ses clients. Le jour où chaque dirigeant, dans son organisation, prendra conscience de la réalité du risque et en imposera la maîtrise, parfois aux dépens d’autres priorités managériales.