Pour une cybersécurité moins anxiogène et plus positive

« La politique de la terreur a trouvé ses limites ! Nous devons aller vers une sécurité numérique toujours plus ambitieuse, à la hauteur des menaces, mais également plus positive, en phase avec les usages numériques modernes. Nous devons collectivement prioriser l’accompagnement et le conseil au plus près des projets, en associant tous les décideurs et responsables, dont les préoccupations naturelles ne sont pas encore la cybersécurité », a déclaré Guillaume Poupard, directeur général de l’ANSSI (Agence nationale de la sécurité des systèmes d’information), lors de la conférence plénière des Assises de la sécurité 2019. « Aujourd’hui, nous avons davantage besoin de faire de la pédagogie et de travailler avec ceux qui construisent de nouveaux outils et systèmes. Personne n’a envie d’entendre parler de sécurité anxiogène et ce nouveau discours, c’est à nous de l’inventer. » Il milite pour une cybersécurité positive et, côté entreprises, il demande aux RSSI de ne pas être anxiogènes. « Les RSSI doivent devenir des alliés des métiers, des personnes de confiance dans les différents projets. Il faut parler aux dirigeants, convaincre. Il faut vendre la cybersécurité. » Pour autant, tout n’est pas rose dans le domaine de la cybersécurité, et l’ANSSI en est bien consciente. Derrière cette politique d’ouverture et de confiance, Guillaume Poupard ne peut s’empêcher de glisser une ou deux notes angoissantes. Sur l’intelligence artificielle d’abord, en rappelant lors de la conférence plénière : « J’essaie de faire attention aux déclarations sur ces sujets, et je vois rarement les dirigeants qui se lancent sur l’IA prendre le temps de parler de sécurité. » Sur les nouvelles formes de cybercriminalité ensuite, en constatant durant la conférence de presse : « Nous sommes dans un cercle vicieux aujourd’hui. Nous constatons que des groupes sophistiqués se préparent pour l’avenir, s’installent dans des réseaux afin de conserver des accès sur le long terme. » Il ne s’agirait alors plus simplement de voler ponctuellement des données ou de détourner des fonds, mais de garder la main sur le système d’information pendant plusieurs mois, voire des années. Si l’on pense immédiatement à des applications militaires ou politiques, ce type de groupe peut également s’occuper d’espionnage industriel ou de détournements plus discrets, mais plus longs.