CYBERSECURITY
New Security Magazine 159 – juillet 2021
Mythes sur la cybersécurité dans le secteur de la sécurité
« Ne croyez pas tout ce que vous lisez, et certainement pas sur un sujet aussi important que la cybersécurité. C’est pour cette raison que nous avons décidé de démystifier quelques mythes courants sur la cybersécurité afin que vous – les fabricants d’appareils – puissiez poser un choix sur base de faits concrets et non de perceptions », a déclaré Fred Streefland, Director Cybersecurity chez Hikvision EMEA.
Aujourd’hui, n’importe qui peut publier ses points de vue, ses opinions et sa version de ‘la vérité’ sur les réseaux sociaux et autre plateformes en ligne. Dans le même temps, les entreprises média s’alignent de plus en plus sur d’autres parties concernées et points de vue, ce qui biaise quelque peu leur rapport aux individus et aux événements.
On entend souvent dire que nous vivons aujourd’hui dans une ère post-factuelle, où ‘les individus sont plus susceptibles d’accepter un argument basé sur leurs émotions et leurs croyances qu’un argument basé sur les faits’.
Mais ceci n’est pas un cours de sociologie, c’est un blog sur la cybersécurité. Voilà donc une opportunité de réfléchir à l’impact qu’une information erronée et des ‘fausses nouvelles’ peuvent avoir dans notre secteur.
Examinons quelques mythes courants sur la cybersécurité qui sont plus motivés par des réactions émotionnelles que par des faits, et la manière dont ils peuvent être déroutants voire dangereux dans certains cas.
Démystification de trois mythes courants sur la cybersécurité
Mythe 1: Les vulnérabilités dans le domaine de la sécurité sont similaires aux ‘portes dérobées’
Chaque fois qu’une faille de sécurité est découverte dans une caméra ou un produit connecté à un réseau, les médias aiment la qualifier de ‘backdoors’, ou portes dérobées.
Mais les vulnérabilités et les portes dérobées sont deux choses totalement différentes.
Les vulnérabilités peuvent se produire dans n’importe quel système informatique et donc aussi dans chaque appareil connecté à un réseau, comme une caméra de sécurité, qui contient à la fois du hardware et du software. Les vulnérabilités sont inévitables et surviennent par accident ; des études montrent que même les logiciels les mieux programmés et testés contiennent encore 2 à 3 bugs par 1.000 lignes de code.
Les fabricants d’équipement soucieux de la sécurité minimisent les vulnérabilités là où c’est possible et appliquent des processus de production ‘secure-by-design’. Quand on sait que certaines applications d’entreprise (les caméras de sécurité par exemple) contiennent plusieurs millions de lignes de code, et les voitures modernes plus de 100 millions, on peut aisément s’imaginer pourquoi les vulnérabilités sont pratiquement inévitables.
Les backdoors, en revanche, sont des portes dérobées dans la sécurité qui sont ajoutées intentionnellement au logiciel d’un appareil dans le but de donner aux fabricants ou autres un accès aux appareils et aux données qui y sont stockées. Ces portes dérobées sont une manière non documentée d’accéder à un système informatique et sont généralement créées pendant le processus de production. Mais une porte dérobée qui n’est pas supprimée à l’issue du processus de production présente un risque potentiel pour la sécurité.
Mythe 2: Les fabricants ajoutent des portes dérobées aux dispositifs pour des raisons commerciales
Voici un autre mythe à démystifier, d’autant plus parce que les fabricants qui ajoutent des portes dérobées à leurs produits ont absolument tout à perdre.
L’histoire montre que la vérité sur les scandales d’entreprise médiatisés et les fuites de données est toujours mise en lumière. S’il s’avère qu’une entreprise a intentionnellement intégré une porte dérobée dans un produit, sa réputation et son activité seront anéanties du jour au lendemain.
Toutes les entreprises et en particulier les grandes entreprises disposant de leurs propres capacités de propriété intellectuelle et de R&D disposent donc de toute une série de contrôles et de contrepoids pour garantir qu’aucune porte dérobée n’est ajoutée intentionnellement à un produit. C’est surtout le cas dans l’industrie de la sécurité où l’on attend des fabricants qu’ils protègent les données et les activités des clients 24h/24 et 7j/7.
Mythe 3: Les fabricants de caméras traitent les images vidéo pour des raisons non autorisées
Ce dernier mythe est le plus facile à réfuter parce que ces ‘raisons non autorisées’ (comme l’espionnage) ne sont tout simplement pas possibles. Une fois que les dispositifs de sécurité comme les caméras sont intégrés dans les réseaux des clients, ils sont effectivement ‘clôturés’ car généralement placés dans un réseau autonome souvent protégé par des pare-feu et autres systèmes de sécurité. Même si l’utilisateur final décide de stocker les données sur le cloud, les fournisseurs de cloud ont des Service License Agreements (SLA’s) sécurisés qui préservent la confidentialité des données et veillent à ce que les entreprises externes comme les fabricants d’appareils n’aient pas accès.
La principale raison de démystifier ce mythe est que les utilisateurs finaux qui achètent ces caméras sont responsables des données/images vidéo qu’ils génèrent. En d’autres termes, ce sont les dépositaires qui traitent les données et ils sont responsables des images vidéo, comme décrit dans le RGPD. Le fabricant de caméras est un fournisseur d’appareils (le hardware et software par exemple) qui n’a aucune intention ni aucun intérêt à manipuler/traiter les images de données. Un accès secret aux images vidéo d’un appareil est d’ailleurs impossible sans l’autorisation de l’utilisateur final.
Si on considère que les appareils ayant des portes dérobées ne peuvent pas être utilisés pour espionner des entreprises, des individus ou des pays, alors ce dernier mythe s’effondre. Les fonctionnalités de sécurité intégrées dans les appareils, les réseaux et les centres de données – associées à la responsabilité des utilisateurs finaux pour la protection des données – rendent l’espionnage et autres utilisations abusives des portes dérobées littéralement impossible.