Comprendre la cybersécurité

Travailler dans la cybersécurité est frustrant, surtout si vous travaillez dans la sécurité des applications ou la sécurité du cloud. Malgré tout le travail acharné pour essayer de sécuriser nos systèmes, nous sommes constamment rappelés à nos failles de sécurité par des histoires de plus de violations de données, plus de cyberattaques telles que les ransomwares et les pertes croissantes des systèmes non sécurisés. Pourquoi la cybersécurité est-elle si difficile ?

Ma première réponse à cette question est : les attaquants n'ont besoin de réussir qu'une seule fois, les défenseurs doivent réussir tout le temps. Ainsi, lorsque nous nous trompons une seule fois, nous créons de multiples opportunités pour les pirates d'exploiter nos faiblesses. Le phishing en est un bon exemple. Il suffit d'une seule personne pour être victime d'une attaque de phishing et toute l'organisation est compromise.

Ma deuxième réponse à cette question est la suivante : nos systèmes sont très complexes, ce qui les rend très difficiles à protéger. En plus des complexités techniques de nos systèmes, il existe également des niveaux de complexité socioculturelle. Les individus et les groupes viennent avec leurs propres valeurs et idées de « meilleures pratiques » qui entrent en conflit avec celles d'autres individus et groupes et avec les cultures de l'organisation.

Une troisième réponse à cette question est la suivante : le développement de logiciels est une industrie relativement nouvelle. Il est volatil, ce qui crée une incertitude quant à la manière de créer des systèmes sécurisés tout en offrant de la valeur aux clients et en restant rentable. Il y a un flux constant de nouvelles technologies qui prétendent résoudre une pléthore de problèmes de sécurité auxquels les organisations sont confrontées. Comparé à d'autres industries, telles que la construction, la santé et les transports, le développement de logiciels n'est pas aussi mature.

À mon avis, nous devons comprendre ce qu'est la cybersécurité et ce qu'elle peut apprendre des industries plus matures. Nos idées sur ce qu'est la cybersécurité relèvent d'une notion très simple ou de la protection de la confidentialité des données, du maintien de l' intégrité des données et de la garantie que les données ne sont accessibles qu'à ceux qui ont une raison légitime d'y accéder lorsqu'ils en ont besoin. Nous appelons cela la triade de la CIA. L'apparente simplicité de cet acronyme occulte la complexité nécessaire à la sécurisation de nos systèmes.

Pour certains, la sécurité est une composante de la qualité. Si nous intégrons la qualité dans nos systèmes, nous y intégrons implicitement la sécurité. Mais mesurer la qualité et donc la sécurité n'est pas une mince affaire. Une autre façon d'aborder la sécurité est à travers le prisme de la sécurité : nous gardons les données « sûres » tout en maintenant un endroit « sûr » au sein de nos organisations pour les données et les personnes responsables du « bien-être » des données (telles que le développement et les opérations ingénieurs, analystes de données et utilisateurs de systèmes). Dans cet esprit, il existe un argument selon lequel la cybersécurité devrait apprendre des recherches menées depuis de nombreuses années sur la qualité et la sécurité des produits et services fournis par l'industrie.

Par exemple, Toyota a investi massivement dans la qualité, devenant une organisation apprenante, n'ayant pas peur de remettre en question les traditions actuelles de construction de voitures et de développer des voitures abordables et de haute qualité qui répondent aux exigences de leurs clients. Toyota a remis en question l'ancien paradigme de la production de masse de voitures en grandes quantités de styles similaires comme méthode de réduction des coûts. Au lieu de cela, ils se sont concentrés sur la qualité et la variété, nécessitant de nouveaux paradigmes, de nouvelles technologies et de nouvelles normes de sécurité et de conformité pour y arriver. De même, la sécurité est une priorité pour de nombreuses industries, notamment la construction et l'exploitation d'aéronefs, l'énergie nucléaire, l'exploitation minière et les vols spatiaux. Dans ces industries, les systèmes critiques ne peuvent pas tolérer une réduction de la conformité à la sécurité ou de la qualité.

La recherche sur la qualité et la sécurité par les institutions académiques est immense. Pourtant, il y a eu très peu de recherches universitaires sur la cybersécurité en comparaison. Ma propre recherche d'articles universitaires sur la cybersécurité me suggère qu'il doit y avoir beaucoup plus de recherches sur certaines des pratiques que nous tenons pour acquises en matière de cybersécurité. Souvent, la notion de recherche d'une organisation est basée sur des études de marché et des recherches quantitatives qui semblent valider la nécessité d'utiliser une pratique de sécurité particulière plutôt qu'une autre. La gestion des vulnérabilités devient une façon normale de travailler - imaginez sauter dans un avion pour que le commandant de bord dise "nous attendons que le responsable des défauts vienne à bord pour gérer les défauts de cet avion pendant le vol". Mais c'est ce qui se passe avec la cybersécurité : nous attendons de nos clients qu'ils acceptent les risques que nous prenons avec leurs données. Lorsque les développeurs découvrent plusieurs problèmes après avoir exécuté une analyse de sécurité des applications, ils normalisent le processus en acceptant que tous ne puissent pas être résolus et que leurs produits restent vulnérables. Diane Vaughn a appelé cette « normalisation de la déviance » à la suite de ses recherches sur la catastrophe de la navette spatiale Challenger dans laquelle un composant défectueux a été laissé en place parce que le défaut était acceptable.

Alors, comment comprendre la cybersécurité ? Je postule que nous devrions examiner la recherche dans d'autres domaines de la sécurité et de la qualité pour trouver des parallèles avec l'industrie de la cybersécurité. Les organisations devraient encourager et travailler aux côtés des institutions universitaires pour effectuer davantage de recherches sur la cybersécurité, en particulier des recherches qui remettent en question les paradigmes actuels, qui nous permettent de faire progresser de nouvelles façons de travailler avec des théories éprouvées. Nous ne comprendrons jamais complètement la cybersécurité, dans la mesure où nous ne pouvons pas comprendre la qualité et la sécurité. Il y aura toujours des conjectures et des théories qui remettent en question ou font progresser la pratique actuelle. À mon avis, l'industrie de la cybersécurité semble s'appuyer sur les paradigmes existants sans vraiment comprendre leur efficacité à rendre les organisations plus sûres. Comprendre la cybersécurité, c'est remettre en question cette norme.