Un ex-chef responsable de la sécurité, du partage d'informations et de la résilience

Le Sommet Kaspersky CyberSecurity de cette année à San Francisco a été de loin le plus important que j'ai connu. Je ne comptais pas, mais la salle pouvait contenir au moins 100 personnes de différents pays. La journée a commencé par un discours de Tom Ridge. Vous vous souviendrez de lui en tant qu'ancien secrétaire du département américain de la Sécurité intérieure (entre autres rôles).

"Ce sujet m'a donné l'occasion de réfléchir à ce que j'ai fait", a commencé Ridge. "À l'époque où j'étais sergent-chef d'infanterie au Vietnam, dans les années 60, nous avons mené une guerre traditionnelle, violente, instrumentale et imputable. C'est une guerre cinétique, avec des moyens de destruction meurtriers sur terre, sur mer et dans les airs. La notion de la cybersécurité n'était préoccupante pour personne."

"Flash forward to 2014", a poursuivi Ridge, "C'est un monde nouveau et courageux, un monde interconnecté et interdépendant. Ce monde connaît deux conditions globales permanentes auxquelles nous serons confrontés en tant qu'individus, entreprises et pays. L'un est le fléau de le terrorisme, mais c'est pour une autre discussion. L'autre est ce que j'appelle à jamais le numérique."

Numérique à jamais

"Nous ne serons jamais moins connectés que nous le sommes maintenant", a déclaré Ridge. "Le texte que nous utilisons aujourd'hui sera bientôt obsolète. C'est un environnement dynamique. Le numérique est toujours un nouvel environnement. Dans les années soixante, nous étions préoccupés par la terre, la mer et l'air. Maintenant, nous ajoutons le cyber".

"Les promesses et les dangers du numérique pour toujours apportent de nouvelles capacités, de nouvelles incertitudes et de nouveaux risques, non seulement au combattant, mais également à l'entreprise", a déclaré Ridge. "Pour le combattant, il s'agit d'une cyberguerre mondiale. Nous savons aujourd'hui que les États-nations ont intégré une cyber-stratégie. Cela figure dans leurs documents de politique. Cela fait partie de la doctrine de la guerre et a été utilisé. Oubliez la cyberguerre à l'avenir.; le futur c'est maintenant."

Manque d'attention des entreprises

"Je dirais que les combattants sont concentrés au laser sur les risques inhérents au cyber-monde", a déclaré Ridge. "Je ne suis pas sûr que le secteur privé apporte la même acuité à ce risque, qui se développe de plus en plus dans le numérique." "Il est essentiel de comprendre que la sécurité nationale et la sécurité économique sont liées. Lorsque les États-nations peuvent perturber les actifs informatiques, c'est l'affaire de tous."

Ridge a fait remarquer que dans le DHS, ils avaient un dicton: "Vous ne pouvez pas sécuriser le pays de l'intérieur du périphérique." Tout le monde a un rôle à jouer dans la sécurité. "Les secrets commerciaux, le développement de produits, les tests, les stratégies, les prix, etc.", a déclaré Ridge. "Les attaquants et les pirates informatiques le recherchent. Mais pour le secteur privé, le monde virtuel est un monde vague. Le C-suite n'a pas d'expérience. Nous devons les convaincre que l'impact n'est pas virtuel, il est réel."

Gérable, non évitable

"L'Amérique est un environnement riche en cibles", a noté Ridge. "Nous n'avons pas besoin d'être à bout de souffle, mais nous devons être intelligents. Cyberattaque n'est pas un problème évitable, mais c'est un problème gérable. Au XXe siècle, le mot d'ordre pour les entreprises était la qualité. Dans notre siècle, le mot est élasticité."

Ridge, cité par un analyste financier de Kleiner Perkins, aurait déclaré: "Il existe deux types de sociétés: celles qui ont fait l'objet d'une violation et qui le savent, et celles qui le sont sans le savoir." "L'armée sait sans aucun doute que la cyberattaque est un risque", a déclaré Ridge. "Entreprise? Ils y verront peut-être un problème informatique, pas un problème commercial. Cela devrait inquiéter les actionnaires, les clients et les partenaires."

Le partage est la clé

"Le partage de l'information est l'un des défis du secteur privé", a déclaré Ridge. "Au cours des trois dernières années, j'ai eu le privilège de travailler avec un groupe de travail sur la sécurité intérieure. Nous sommes allés au Congrès pour leur demander un moyen protégé pour le gouvernement et le secteur privé de partager des informations sur la sécurité. Il y a beaucoup à apprendre et à partager. de chaque secteur. Malheureusement, nous n’avons pas réussi."

"Vous devez passer de" besoin de savoir "à" besoin de partager ", a déclaré Ridge. "Par exemple, un client a évoqué le piratage d’une grande entreprise. Quand ils sont allés partager des activités avec un organisme gouvernemental, celui-ci a déclaré:" Nous savons. " Quand alliez-vous nous dire? Ce genre de posture inhibe notre capacité à faire de la cyberguerre."

Rester résilient

"Les combattants ont accepté le nouveau cyber-domaine", a conclu Ridge. "Le secteur privé tarde à rattraper son retard. Nous sommes dans le même bateau, le combattant. Nous n'avons pas besoin d'être essoufflés, mais intelligents. La cyberattaque n'est pas évitable, mais elle est gérable. Nous devons continuer à nous concentrer sur la qualité., mais une culture de conscience et de résilience doit être à l'épicentre."