Vous êtes dans : Accueil > Tribunes libres >

En direct du feu : panne majeure Crowdstrike

Cédric Cartau, VENDREDI 19 JUILLET 2024

Est-on dans une nième édition du « fat fingers » (le gars avec des gros doigts qui appuie sur la mauvaise touche dans l’urgence et balance un ordre bash ou sql qui pête tout) ou une limite du système des plaques de Reason (toutes les sécurités successives ont échoué devant un dysfonctionnement jamais modélisé) ou encore autre chose ?

Toujours est-il que des pannes de cette ampleur on n’en voit pas tous les jours : aéroports, fournisseurs de solution SaaS, hôpitaux, fournisseurs de la chaîne logistique, etc. Tout cela à cause du dysfonctionnement d’un acteur cyber, commun à toute une partie des éléments de la chaîne IT et cyber.

D’une part il faut noter que tous les éditeurs de solution cyber ont connu des catastrophes de ce genre : Trend Micro, Symantec, etc. Ce qui les distingue c'est leur capacité à en analyser les causes, à corriger les root cause et surtout leur transparence totale. Dit autrement, d'arrêter de focaliser exclusivement sur le Plan et le Do, mais mettre de la ressource sur le Check et le Act.

D’autre part, au risque de me répéter, la massification, la centralisation sur quelques acteurs de toute une partie du fonctionnement du secteur de l’IT mène irrémédiablement à ce genre d’incidents systémiques, qui seront forcément pas moins rares mais de plus en plus impactants, à la fois en conséquences et en étendue. Si les assureurs martèlent que le Cloud hyper centralisé n’est pas assurable, c’est peut-être qu’il y a une raison.

Évènement qui passera aux oubliettes de l’info quand une autre info le chassera, ou début d’une remise en cause du paradigme général d’hyper centralisation : cela va se jouer dans les prochains jours ou les prochaines semaines.

Ce qui est certain c’est que l’on n’a manifestement pas besoin de Vladimir pour se mettre nous-même dans une belle mouise.

L'auteur

Responsable Sécurité des systèmes d’information et correspondant Informatique et Libertés au CHU de Nantes, Cédric Cartau est également chargé de cours à l’École des hautes études en santé publique (EHESP). On lui doit aussi plusieurs ouvrages spécialisés publiés par les Presses de l’EHESP, dont La Sécurité du système d’information des établissements de santé.

#sécurité