Sécurité informatique : Danse avec les loups ?

"Il taille un morceau de bois. Et j'ai l'impression que quand il aura terminé, il se passera quelque chose".

Quand Jason Robards, sous les traits du Cheyenne, décrit ainsi un Charles Bronson concentré, mais peu pressé dans Il était une fois dans l'Ouest, on sent la tension, l'incertitude de l'action couplée à la certitude qu'elle va avoir lieu, inexorable, imparable. Harmonica va agir, on ne sait pas quand, on ne sait pas ce qu'il va faire, mais il va agir.

Le Far West, dans l'imaginaire collectif du moins, c'était un peu ça. Beaucoup d'incertitudes, énormément d'action, des parties prenantes motivées par différentes causes et forgées par des contextes singuliers, qui se retrouvent sur un terrain commun, tantôt fait de collaborations, tantôt menant inévitablement à des conflits.

La sécurité informatique, dans une certaine mesure, pourrait y ressembler plus qu'on ne le pense de prime abord. Dans le rôle de l'acteur régulateur, le shérif, l'institution, essaye autant que possible de faire respecter un équilibre global. Dans celui des hommes et des femmes de terrain, qui s'affrontent et se déchirent, ou s'entraident et se sauvent, les entreprises privées de tous horizons.

Prenons l'exemple des dernières résolutions européennes visant à instituer un cadre normatif pour protéger nos données. Elles ont mis plusieurs années à entrer en vigueur, on observe de façon systématique un décalage entre le rythme des institutions et celui des acteurs du digital. Ce décalage se matérialise autant par une forme de complémentarité que par des zones de frictions. Un vrai western.

Ainsi, dans ce Far West numérique, une réalité criante se dessine : l'environnement technologique, malgré son impact considérable sur notre société, reste étonnamment peu maîtrisé. Comme dans ces contrées sauvages d'antan, les règles et leur mise en application peinent à suivre le rythme effréné des avancées et des confrontations.

Le bon, la brute et le truand

On pourrait résumer le sujet de la cybersécurité à un enjeu moral : qui protège quoi, qui attaque qui, qui a de bonnes intentions et qui joue au shérif ? La réalité est évidemment plus nuancée. Le bon pourrait être l'institution, qui veille au grain, à l'intérêt général, à la justice.

La brute pourrait être l'entrepreneur ou l'entreprise qui, poussé par des impératifs économiques, repousse toutes les limites, et avance sans se retourner et sans regarder autour. Dans son propre et unique intérêt. Le truand serait alors le hackeur, qui profite du flou de l'un et des faiblesses de l'autre.

C'est évidemment réducteur, puisque tous les états ou institutions ne sont pas morales, que tous les hackeurs ne sont pas immoraux, tous les entrepreneurs ne sont pas amoraux. En outre, ce flou, cette frontière parfois ténue entre le rôle des uns et des autres, voire ces dépassements de fonction entre ces différents champs d'action, créent un environnement sans cesse mouvant, en perpétuel changement, qui donne à la réalité du jour une dimension fondamentalement éphémère.

Les enjeux géopolitiques, les accords internationaux, le progrès technologique, les levées de fonds, et autres perturbations sont autant de brouilleurs qui déstabilisent en permanence un état de fait.

Et pour quelques dollars de plus

Dans le numérique peut-être plus encore qu'ailleurs, l'enjeu financier est au coeur des questions, puisque c'est d'abord un investissement conséquent pour devenir ensuite une manne financière. Tous comprennent que l'investissement initial est intimement lié aux nouvelles contraintes réglementaires qui s'écrivent chaque jour. Comment ne pas constater que le risque est bien souvent assumé et garanti en grande partie par les institutions et que le profit, quant à lui, est beaucoup moins partagé ?

L'état se positionne sur des investissements à long terme, mais il n'est pas le seul à le faire. Les chercheurs subventionnés se tournent souvent vers le privé une fois leur formation achevée ou leurs recherches bien avancées.

Les institutions sont à la fois très en avance (la recherche fondamentale, les domaines d'exploration à long terme) et en retard, la recherche appliquée étant souvent l'apanage du secteur privé, à qui est majoritairement destinée la plus grande manne financière générée par le progrès technologique.

L'investissement financier est un moteur de l'innovation, et le retour sur investissement est une dimension clé de cette relation entre public et privé.

La horde sauvage

Le domaine technologique n'a évidemment pas le monopole du capharnaüm, mais dernièrement, on entend plus fréquemment parler de scandales que de vertus. Fuites de données, utilisations parfois à la limite de la moralité, la régulation est rendue nécessaire par un marasme qui rend les situations de plus en plus de plus en plus illisibles.

La morale n'est d'ailleurs qu'une dimension de cette équation complexe. La justice, le profit, la liberté sont autant de notions qui la complètent, la rendant chaque jour plus complexe. Le rapport entre les acteurs de la tech' n'est pas qu'une question de bien ou de mal, c'est aussi une question d'équilibre, de répartition, de durabilité...

Une régulation ne peut donc pas venir simplement de chacun des acteurs. Ils n'ont qu'une version parcellaire et intéressée du sujet. C'est logique, respectable, mais ne suffit pas à garantir un cadre commun. L'absence d'un cadre global adapté à l'ampleur de l'impact technologique sur notre société crée un vide dangereux. De même que la constitution encadre le pouvoir politique d'un état, la régulation du marché technologique s'impose à tous ses acteurs pour garantir sa pérennité.

Le défi qui se présente à nous est clair : comment mettre en place ce cadre réglementaire à la hauteur de l'impact colossal de la technologie sur notre société ? La réponse à cette question déterminera si notre Far West numérique évoluera vers une civilisation harmonieuse ou restera une terre de conflits perpétuels.

Les points de friction existants confirment la pertinence d'une diversité de points de vue pour créer un consensus entre le progrès tous azimuts et une organisation sociétale cohérente. Dans cette nouvelle réalité aux frontières mouvantes, l'articulation des intérêts complémentaires et des actions concertées nous permettra peut-être de passer du Western à un autre genre, plus équilibré et durable, encore à définir

Cyrille Duvivier - Prodware, VP Security and Compliance - Prodware.