Publié le 20/06/2023
Au premier plan de 2ème rendez-vous technologique de l’année, la cybersécurité des réseaux ! Un sujet sur le devant de la scène ces dernières années et ce pour divers acteurs, autant publics que privés. Cette thématique est également au cœur des préoccupations de l’Etat avec un investissement massif au travers de la stratégie d’accélération comme nous l’a présenté Florent Kirchner, coordinateur de la stratégie.
« A l’horizon 2025, l’objectif assigné à cette stratégie est l’atteinte d’un chiffre d’affaires de 25 Md€ pour la filière (soit un triplement du chiffre d’affaires actuel), le doublement des emplois dans le secteur en passant de 37 000 à 75 000 emplois et l’émergence de trois licornes françaises en cybersécurité. »
Les acteurs du numérique se sont ainsi réunis à l’IUT de Lannion ou en ligne pour explorer ensemble les enjeux portés par cette thématique, parlant autant aux académiques, qu’aux industriels.
Découvrez le replay 👇
Entre les réglementations et enjeux techniques, enjeux de la recherche, mais également pour les réseaux privés & publics, le sujet a été étudié sous bien des angles. Des cas d’usages appliqués à la santé ou encore à la mobilité dans le cadre de la validation et de la certification des équipements et réseaux, ont également pu être présentés pour terminer par la prise en main par l’Europe du sujet.
La recherche est nécessaire aux avancées en matière de cybersécurité. Cette nécessité a été bien comprise par l’Etat avec la mise en oeuvre du dispositif CIFRE qui vise à favoriser le développement de la recherche partenariale publique-privée et de placer les doctorants dans des conditions d’emploi. Un dispositif qui bénéficie de plus en plus à la cybersécurité avec la multiplication de thèses CIFRE ciblées sur cette thématique.
Les mécanismes mis en place pour soutenir la recherche sont également visibles dans le cadre de la stratégie nationale Cyber. Si le numérique est présent au quotidien, il présente évidemment des risques en matière de sécurité et de souveraineté économique. C’est pourquoi le gouvernement a lancé la stratégie nationale pour la cybersécurité financée par le plan France 2030. Le Programme et équipements prioritaires de recherche (PEPR) Cybersécurité est l’une des actions de cette stratégie qui vise à accompagner le développement d’une filière au potentiel économique important et de garantir in fine la maîtrise de technologies numériques souveraines et sûres.
Dans cette stratégie, le PEPR Cybersécurité soutient la recherche amont en cybersécurité en :
La cybersécurité des réseaux présente des risques mais est source de bien des opportunités. C’est ici que le rôle de la recherche académique a son importance comme le présente Gildas AVOINE, professeur à l’INSA de Rennes.
Comme tout domaine technologique, il est nécessaire de bien appréhender les enjeux de la règlementation selon le général de brigade aérienne Emmanuel NAEGELEN, directeur adjoint de l’ANSSI. De nombreuses problématiques demeurent, notamment la protection des algorithmes. Par exemple, les identités numériques entraînent largement des usurpations d’identité comme sur Ameli ou France Connect. Il s’agit donc d’évoluer et donc de réaliser de nouveaux choix technologiques, ce à quoi la loi de programmation (notification des vulnérabilités par les éditeurs de logiciel professionnels) tentera de répondre, en permettant un code de meilleure qualité. Il existe également de nombreuses discussions sur le cloud. Choisir d’imposer les certifications nationales ou européennes, les débats sont parfois complexes.
Si l’ambition (et la nécessité) de faire de la cybersécurité de masse est bien présenté, il est cependant important d’adapter le niveau de cybersécurité aux différentes typologies de structures. Ainsi, l’automatisation des solutions de cybersécurité devra donc être développée. La cybersécurité demeure un enjeu important et l’ANSSI va continuer à développer son réseau d’experts en lien avec les réglementation à venir. La dimension régulation va devenir de plus en plus forte pour faire respecter les exigences de sécurité.
Les nouvelles architectures réseaux permises par la 5G, et demain la 6G, modifient de façon importante les surfaces d’attaques cyber. L’enjeu est donc crucial pour les opérateurs publics et leurs équipementiers. Une table ronde animée par Gérard LE BIHAN, coordinateur du CSV, et réunissant des acteurs des deux mondes (Orange avec Tangi LAVANANT, NOKIA avec Sébastien KERROS) a permis d’aborder les contraintes cyber liées aux réseaux mobiles publics 5G et la façon dont d’un côté les équipementiers les prennent en compte dans leur design radio et cœur de réseau et de l’autre les opérateur organisent leurs équipes de design et de maintenance en condition opérationnelle.
La 5G est synonyme de progrès conséquent pour la cybersécurité. Cependant, selon Sébastien KERROS, pour fournir un équipement sécurisé, il est important de comprendre l’écosystème ENISA / 3GPP. Des process se mettent en place : analyse de risque / spécification d’architectures / tests spécifiques (scans vulnérabilité), un process permettant d’aboutir à un produit sécurisé et qui devra le rester durant toute sa période d’utilisation. Une évolution visible également chez Orange dans le déploiement des produits avec un dispositif d’intégration et de déploiement continu.
En 2021, Nokia ouvre son Centre Européen d’Excellence en Cybersécurité pour accompagner le développement de la 5G et la virtualisation des réseaux. L’objectif de ces travaux de recherche est à la fois l’amélioration et la sécurisation des réseaux d’infrastructures critiques et les actifs de ses clients opérateurs et entreprises, mais aussi l’accompagnement de ces derniers dans la mise en œuvre effective de stratégies opérationnelles visant à améliorer leurs capacités de prévention, détection et réponses aux menaces.
Après les réseaux d’infrastructures publiques, côté privé, les enjeux sont également présents.
Plusieurs modèles de déploiement existent, nous explique Alain POULIQUEN, 5G security architect, chez b<>com ; cloud privé ou public / services hébergés. La 5G amplifie les enjeux de souveraineté numérique : aujourd’hui, la France exporte des données, en particulier aux États-Unis. Or les entreprises [et leurs données] ont un besoin important de sécurité, d’intégrité et de confidentialité. Le contrôle des données et la souveraineté sont des enjeux 5G privés majeurs pour les entreprises. D’autres enjeux existent ; des enjeux de gouvernance (quelle réglementation doit-on appliquer, questions de certification et homologation en 5G) mais aussi de maîtrise des technologies ou encore la protection des données.
Pour les réseaux privés, l’exploitation de ces derniers est encadré par une réglementation très précise. Il est ainsi indispensable d’intégrer le risque 5G dans la politique de sécurité de l’entreprise. Une intégration permise notamment par le cadre de la PSSI (Politiques de Sécurité des Systèmes d’Information). Le dispositif 5G industriel n’est en effet pas une simple boîte noire, mais un “système” qui peut faire peser un risque non géré si le SI n’est pas correctement évalué. L’intégration de la 5G doit se faire dès la chaine de détection et de réponse à incident. Les enjeux sont variés ;
La mise en place d’une chaîne d’outils est donc indispensable à la sécurité de la chaîne logistique logicielle 5G pour une intégration optimale.
Cette question réseaux des infrastructures privées concerne également le Ministère des Armées. Le MinArm se caractérise, comme beaucoup d’autres entités de taille importante, par une organisation complexe de son domaine « Lutte Informatique Défensive » (LID) impliquant de nombreux acteurs, étant avant tout une activité humaine. La démarche de Fédération LID « FEDELID », présentée par Sébastien GAY, Architecte de Cohérence Technique LID, a été mise en place à partir de 2017, et vise via une approche « de bout en bout » à mettre en cohérence les capacités LID des SOCs et du CERT du ministère pour assurer un pilotage global du domaine, favoriser la collaboration et le partage d’information en les acteurs, et limiter l’hétérogénéité des solutions techniques déployées.
Mobilité, santé, Europe, la question de la cybersécurité des réseaux se pose.
Alain RIBAULT, directeur technique chez Kereval, est revenu sur le projet KERSEVECO financé par la Région Bretagne, Rennes Métropole et l’Union Européenne dans le cadre des fonds Feder (Fonds européen de développement régional). Ce projet collaboratif entre Kereval, Mobility Tech Green et l’ENSTA Bretagne avait pour objectif d’améliorer la cybersécurité des véhicules connectés, répondant ainsi aux enjeux autour de la cybersécurité de l’embarqué. Un projet inscrit dans l’European Cyber Resilient Act pour répondre aux exigences essentielles de cybersécurité et en apporter la preuve. Face à l’avènement du véhicule communicant et à l’augmentation des cyberattaques, les constructeurs et leurs sous-traitants doivent développer de nouvelles solutions pour renforcer la sécurité de leurs véhicules. Le proket KERSEVECO a ainsi permis de développer des équipements, des moyens et une méthodologie de tests permettant d’assurer la cybersécurité du véhicule communicant, ainsi que la création du premier Cyberlab dédié aux tests de cybersécurité sur véhicules. Une méthodologie expliqué par Alain RIBAULT à travers un exemple de système vulnérable.
La santé requiert également l’utilisation de systèmes sécurisés. Frédéric GUIHERY, responsable R&D chez Amossys, nous a ainsi présenté le projet Cyber Range Santé, financé par la Région Bretagne, Rennes Métropole et Brest Métropole, co-labellisé par les Pôles Images & Réseaux et Atlanpole Biothérapies, permettant de challenger les entreprises sur le déploiement d’équipements de santé sur la partie cybersécurité. dans le but de réduire le risque d’occurrence des cyberattaques sur les SI de santé par une approche préventive
Cette démarche de validation et certification des réseaux se déroule également à l’échelle européenne. Dans le contexte du Cyber Security Act, l’Union Européenne a demandé à l’ENISA (agence européenne de cybersécurité basée à Athènes) de créer des schémas de certification permettant d’améliorer la sécurité des réseaux 5G. Cette évolution règlementaire aura un impact fort sur les activités des fournisseurs d’équipements et les opérateurs de réseaux 5G, et permettra aux clients de bénéficier de réseaux 5G de confiance nous explique Tangi LAVANANT, Ingénieur Sécurité, Orange Labs. Ces 10 dernières années, les régulations nationales et UE ont été développées face à l’importance croissante des services numériques et à l’augmentation des menaces cyber et géopolitiques. Le chemin est cependant long entre la demande de l’Union Européenne et l’adoption de la norme.
Tangi LAVANANT a notamment développé ici la certification GSMA-NESAS, certification qui va être poussée pour les événements 5G. En novembre, sera notamment présentée la proposition du groupe ENISA à la Commission Européenne afin que les vendeurs puissent faire certifier leurs produits. Les certifications européennes garantiront un niveau de sécurité pour les terminaux, services et réseaux ; elles doivent réutiliser l’existant dans la mesure du possible. Les Etats ne pourront pas utiliser d’autres certifications si une certification EU existe. En revanche, la certification ne doit pas brider l’innovation !
Dans le cadre de France 2030, le Gouvernement a lancé une stratégie d’accélération Cybersécurité, une stratégie qui se veut à dimension nationale mais également européenne face aux enjeux critiques de la cybersécurité ; économiques, sociétaux, scientifiques et technologiques. Via cette stratégie, le gouvernement souhaite accompagner le développement de la filière française de la cybersécurité. A ce titre, elle visera à faire émerger des champions français de la cybersécurité, tant pour accompagner le développement d’une filière au potentiel économique important, que pour garantir à notre pays la maitrise des technologies essentielles à la garantie de sa souveraineté à travers une série de mesures.
Au niveau européen, Florent KIRCHNER a présenté la création récente du Centre de compétences Cyber européen, situé à Bucarest, pour définir la stratégie européenne sur cette thématique, piloté au niveau national par l’ANSSI. D’autres initiatives sont développées, notamment à travers une action transverse sur les données cyber et plus particulièrement la plateforme de données d’intérêt cyber à vocation européenne.
Des évolutions structurelles cumulatives (connectivité, IA, quantique, réglementation, géopolitique,…) génèrent de nouveaux défis, impactant toutes les activités cyber. La réflexion est ainsi lancée pour identifier les impacts et les questions plus large sur ces sujets :
Une matinée qui s’est poursuivie sur le temps du déjeuner, afin de poursuivre les discussions autour de la cyber des réseaux avec notamment la présence de Malizen et EDIH Bretagne ! ️
Un évènement soutenu par l’IUT de Lannion, Anticipa et EDIH Bretagne
La prochaine Techno conférence se tiendra le 5 octobre à Nantes sur la thématique Numérique & Maritime. 🔎 Stay tuned…