Les Assises 2020 : Guillaume Poupard positif, mais pas naïf

L’événement a commencé cette année encore par la traditionnelle conférence plénière du directeur général de l’Anssi, exceptionnellement venu seul pour cette 20^e édition puisque le stand de l’Agence n’était pas présent dans l’enceinte du Grimaldi Forum de Monaco. Le très attendu discours de Guillaume Poupard permet de faire un point de situation et donne le ton pour l’année à venir.

Guillaume Poupard n’a pas souhaité revenir sur les cyberattaques et les risques qu’il estime être connus des participants, mais délivrer un message positif malgré une menace toujours grandissante. L’incident vécu par le CHU de Rouen l’illustre bien.

« Toucher à nos hôpitaux est préoccupant, d’autant plus en ce moment. » La phase d’évangélisation arrive à son terme, nous entrons dans une phase de normalisation ; le Cybermois et le travail de cybermalveillance.gouv.fr sont dorénavant entrés dans les mœurs et indique « Restons modestes, les attaquants ont fait plus que nous pour la prise en compte de la menace. Autre point positif avec le fait d’être attaqué : les dirigeants ne peuvent plus dire “on ne savait pas”, j’y vois un message d’espoir. Les dirigeants veulent désormais comprendre ; à nous de nous élever pour leur expliquer. »

Il a ensuite rappelé que, même si nous disposons de belles solutions techniques, le côté humain a lui aussi son importance, avant d’annoncer la publication pour l’ouverture de cet événement d’un nouveau guide de l’Agence : Organiser un exercice de gestion de crise cyber [1].

« Il est important de s’exercer pour être efficace le jour où l’incident arrivera. » Puis le directeur de l’Anssi est revenu sur les travaux de qualification effectués « On peut être fier du travail de qualification des Pams (prestataires d’administration et de maintenance sécurisée). Le périmètre du référentiel est très large, la tâche n’était pas facile. »

 Il a par ailleurs annoncé que l’Agence allait continuer de travailler sur ces sujets, avec l’arrivée prochaine d’un référentiel pour les prestataires capables de développer des réseaux sécurisés. « Les prestataires capables de reconstruire un réseau après une attaque ou encore de reprendre le contrôle d’un AD compromis ne sont pas assez nombreux. »

Dans le domaine du Cloud, il a également prédit qu’un gros hébergeur du nord de la France (son nom commence peut-être par un O et se termine peut-être par H, allez savoir) allait rejoindre Oodrive et Outscale parmi les prestataires qualifiés SecNumCloud.

Guillaume Poupard a terminé son discours avec les quatre grandes directions pour 2021 :

1. L’humain : la formation est essentielle. Il existe de nombreux métiers dans le domaine de la sécurité, comme en témoigne l’édition 2020 du Panorama des métiers de la cybersécurité [2]. Les sujets de la cybersécurité doivent être abordés très tôt avec les enfants.

2. L’Europe : le morcellement européen joue contre nous. On voit qu’il y a encore des efforts à faire, mais ça progresse, avec notamment la création du réseau de coordination Cyclone lancé il y a quelques semaines, regroupant les différentes « Anssi européennes », ou encore le réseau des CERT.

3. Sécurité et souveraineté : « Je suis à l’aise sur la technique, sur la souveraineté, c’est plus politique. Tout ce qui est caricatural est mauvais, mais il ne faut pas être naïf. Notre souveraineté, notre sécurité doivent être optimales. On doit rester maître de notre destin, mais ça ne veut pas dire ne pas travailler avec des non-Européens. Le droit applicable devrait être le droit européen. Faire ça proprement n’est pas illusoire. »

4. « Notre force, c’est d’être capable de travailler ensemble, j’en suis convaincu, et nous en avons la preuve au quotidien. Se tirer la bourre ne profite qu’aux attaquants. »

Le sujet a été l’occasion d’introduire la présentation du projet Campus Cyber, aux côtés de son président récemment nommé par Cédric O, Michel Van Den Berghe, directeur général d’Orange Cyberdéfense.

[1] https://www.ssi.gouv.fr/administration/guide/organiser-un-exercice-de-gestion-de-crise-cyber/

[2] https://www.ssi.gouv.fr/particulier/formations/panorama-des-metiers-de-la-cybersecurite/