{"id":78721,"date":"2018-10-02T09:59:27","date_gmt":"2018-10-02T07:59:27","guid":{"rendered":"https:\/\/www.voyages-d-affaires.com\/?p=78721"},"modified":"2024-02-01T11:55:50","modified_gmt":"2024-02-01T10:55:50","slug":"cyber-security-travel-risks","status":"publish","type":"post","link":"https:\/\/www.voyages-d-affaires.com\/en\/cybersecurite-voyage-risques","title":{"rendered":"Cybersecurity: risk-proofing travel"},"content":{"rendered":"

Depuis le 25 mai<\/strong> et l\u2019entr\u00e9e en vigueur du R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD<\/strong>)<\/a>, l\u2019Europe a mis un peu d\u2019ordre dans le traitement de l\u2019information, fixant une sorte de code de conduite pour encadrer un trafic toujours plus dense. Est-ce \u00e0 dire que les donn\u00e9es des voyageurs d\u2019affaires sont d\u00e9sormais \u00e0 l\u2019abri\u00a0de toute intrusion ? La r\u00e9ponse est \u00e9videmment non, et ce pour plusieurs raisons. Car les auteurs de ce r\u00e8glement n\u2019ont pas pu, ou pas voulu, codifier dans le d\u00e9tail tous les aspects li\u00e9s \u00e0 la cybers\u00e9curit\u00e9<\/strong>.<\/p>\n

\u201cSi l\u2019on examine le RGPD de plus pr\u00e8s, il n\u2019y a finalement qu\u2019une page et demie consacr\u00e9e v\u00e9ritablement \u00e0 la s\u00e9curit\u00e9. Et encore est-elle dilu\u00e9e dans une approche tr\u00e8s vaste<\/em>, souligne Diane Rambaldini<\/strong>, fondatrice de Crossing Skills, cabinet de conseil sp\u00e9cialis\u00e9 dans la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information. Le r\u00e8glement n\u2019explique pas v\u00e9ritablement comment prot\u00e9ger une donn\u00e9e, il ne d\u00e9finit pas les secrets de la sensibilisation, il ne dit pas grand-chose finalement\u2026 Le RGPD donne de grands axes de r\u00e9flexion, confie aux entreprises la question de la protection de la vie priv\u00e9e et de la data<\/strong>. Il les pousse \u00e0 faire des analyses de risques, \u00e0 se mettre autour d\u2019une table pour r\u00e9fl\u00e9chir aux incidents potentiels. Mais ce n\u2019est pas parce que le RGPD est arriv\u00e9 que le RSSI<\/strong> [Responsable de la s\u00e9curit\u00e9 des syst\u00e8mes d\u2019information] va arr\u00eater de faire son travail pour s\u00e9curiser, g\u00e9rer le nomadisme, les terminaux des employ\u00e9s\u2026 Le RGPD ne remet pas en cause cette mission. Au contraire, il la met en lumi\u00e8re<\/em>.\u201d En outre, il faudra du temps \u2013 et des sanctions \u2013 pour que le texte soit progressivement affin\u00e9 au gr\u00e9 des jurisprudences. Et que les entreprises les moins z\u00e9l\u00e9es prennent v\u00e9ritablement les mesures n\u00e9cessaires.<\/p>\n

Pour les voyageurs d\u2019affaires, la menace n\u2019a donc pas v\u00e9ritablement recul\u00e9. D\u2019ailleurs, les acteurs de la cybercriminalit\u00e9 n\u2019ont pas pr\u00e9vu de se mettre en conformit\u00e9 avec le RGPD\u2026 Par nature, le salari\u00e9 nomade est plus expos\u00e9 que son coll\u00e8gue s\u00e9dentaire, et \u00e0 plus d\u2019un titre. \u201cLes voyageurs d\u2019affaires sont \u00e0 la fois des producteurs, des consommateurs et des partageurs de donn\u00e9es<\/strong>. Et qui vont, en plus, se connecter dans des environnements disparates comme le WiFi des h\u00f4tels ou des a\u00e9roports<\/em>\u201d, rappelle Nicolas Arpagian<\/strong>, directeur de la strat\u00e9gie et des affaires publiques d\u2019Orange Cyberdefense.<\/p>\n

Les responsables d\u2019International SOS<\/strong> confirment\u00a0: \u201cqu\u2019ils soient en transit ou sur le lieu de leur destination, les voyageurs d\u2019affaires \u2013 et par extension les r\u00e9seaux de leur entreprise \u2013 sont potentiellement plus vuln\u00e9rables aux cyber-attaques comme aux menaces physiques sur la s\u00e9curit\u00e9. Celles-ci deviennent de plus en plus sophistiqu\u00e9es et audacieuses dans leurs m\u00e9thodes d\u2019acc\u00e8s aux informations confidentielles<\/strong> des voyageurs d\u2019affaires<\/em>.\u201d<\/p>\n

\n

la cybercriminalit\u00e9 devrait co\u00fbter aux entreprises entre 2,1\u00a0milliards de dollars en 2019 et 6 milliards de dollars d\u2019ici 2021<\/p>\n<\/blockquote>\n

D\u2019apr\u00e8s International SOS, il faut m\u00eame s\u2019attendre \u00e0 une hausse spectaculaire des intrusions pour les ann\u00e9es \u00e0 venir\u00a0: \u201cles vols de donn\u00e9es et d\u2019informations d\u2019entreprise continuent d\u2019augmenter et la cybercriminalit\u00e9 devrait co\u00fbter aux entreprises entre 2,1\u00a0milliards de dollars en 2019 et 6 milliards de dollars d\u2019ici 2021<\/strong><\/em>.\u201d Diane Rambaldini \u00e9voque m\u00eame \u201cune course folle<\/em>\u201d, et explique que \u201cle monde num\u00e9rique est de plus en plus important, les objets connect\u00e9s<\/strong> explosent. Parall\u00e8lement, la cybercriminalit\u00e9 se professionnalise et cro\u00eet de mani\u00e8re exponentielle.<\/em>\u201d<\/p>\n

L\u2019augmentation de la menace s\u2019explique notamment par la multiplication et la d\u00e9mocratisation des outils de piratage. Nul besoin d\u2019\u00eatre un flibustier informatique aguerri\u00a0: une rapide recherche sur Internet permet par exemple de se procurer un \u201ckey logger\u201d<\/strong> \u00e0 moindre co\u00fbt. Une fois branch\u00e9 sur un ordinateur partag\u00e9 \u2013 dans le business center d\u2019un h\u00f4tel par exemple \u2013, ce petit p\u00e9riph\u00e9rique enregistrera la frappe clavier de chaque utilisateur. En ciblant une client\u00e8le d\u2019hommes et de femmes d\u2019affaires, il est alors probable que les informations ainsi collect\u00e9es soient de nature sensible. S\u2019ils ne transmettent pas d\u2019informations strat\u00e9giques d\u2019un point de vue professionnel, leur utilisation concernera probablement leur r\u00e9servation d\u2019avion, leurs donn\u00e9es personnelles pour une demande de visa ou encore la consultation de leur compte bancaire. Autant de \u201cdatas\u201d pr\u00e9cieuses pour toutes sortes d\u2019exploitations frauduleuses.\"\u00a9<\/a><\/p>\n

Cadeaux empoisonn\u00e9s<\/h2>\n

Autre cas de figure fr\u00e9quent pour les professionnels nomades : les cadeaux d\u2019affaires<\/strong>. Lors de la signature d\u2019un contrat avec un interlocuteur \u00e9tranger, comment se m\u00e9fier d\u2019une lampe connect\u00e9e, d\u2019un lecteur de carte m\u00e9moire ou d\u2019une horloge 2.0 ? Comment refuser \u00e0 un partenaire potentiel un simple transfert de donn\u00e9es via sa cl\u00e9 USB ? \u201cLa recharge d\u2019un appareil via un port USB est m\u00eame potentiellement une menace<\/em>\u201d, rappelle Nicolas Arpagian chez Orange Cyberdefense<\/strong>. En juin dernier par exemple, \u00e0 l\u2019occasion du sommet organis\u00e9 \u00e0 Singapour<\/a> entre Donald Trump et Kim Jong-un, les journalistes se sont vus remettre un media kit int\u00e9grant diff\u00e9rents objets pratiques, comme de coutume. Parmi eux, un petit ventilateur USB<\/strong> a attir\u00e9 l\u2019attention des sp\u00e9cialistes \u00e8s cybercriminalit\u00e9. \u00c9tant donn\u00e9 les forces en pr\u00e9sence, certains observateurs y ont vu une grossi\u00e8re tentative de piratage. Si les exemples de ce genre se limitaient aux rencontres entre pr\u00e9sidents am\u00e9ricain et nord-cor\u00e9en, leur fr\u00e9quence serait finalement tr\u00e8s ponctuelle. Ce n\u2019est malheureusement pas le cas.<\/p>\n

Et que dire des WiFi publics<\/strong>, dont l\u2019usage est d\u2019autant plus irr\u00e9sistible qu\u2019ils sont maintenant partout, et le plus souvent gratuits. Beaucoup parmi leurs utilisateurs pestent sans doute contre les protocoles d\u2019inscription requis pour acc\u00e9der \u00e0 ces r\u00e9seaux. Voil\u00e0 pourtant le strict minimum pour assurer un semblant de s\u00e9curit\u00e9 durant leur navigation. Qu\u2019il s\u2019agisse du WiFi effectivement propos\u00e9 par un a\u00e9roport ou par un centre des congr\u00e8s ou d\u2019un r\u00e9seau pirate dont la d\u00e9nomination lui donnera un air tr\u00e8s officiel, les voyageurs d\u2019affaires ont tout int\u00e9r\u00eat \u00e0 prendre les mesures de pr\u00e9caution n\u00e9cessaires. Prudence qui, en revanche, risque de s\u2019av\u00e9rer insuffisante dans le cas d\u2019une intrusion institutionnalis\u00e9e\u00a0<\/strong>: sous couvert de s\u00e9curit\u00e9 nationale, les contr\u00f4les en a\u00e9roport peuvent en effet donner lieu \u00e0 une fouille num\u00e9rique pouss\u00e9e. \u201cDans un certain nombre de pays, les services de douane<\/strong> peuvent essayer de r\u00e9cup\u00e9rer le contenu du terminal<\/em>\u201d, confirme Raphael Basset<\/strong>, vice-pr\u00e9sident Business Development chez Ercom<\/strong>, entreprise fran\u00e7aise sp\u00e9cialis\u00e9e dans la s\u00e9curit\u00e9 num\u00e9rique.<\/p>\n

L\u2019accroissement du risque et sa m\u00e9diatisation ont le m\u00e9rite de r\u00e9veiller les consciences\u00a0: les voyageurs d\u2019affaires ont d\u00e9sormais clairement identifi\u00e9 la menace qui p\u00e8se sur eux. D\u2019apr\u00e8s une \u00e9tude publi\u00e9e mi-ao\u00fbt par l\u2019agence Carlson Wagonlit Travel (CWT)<\/strong>, moins d\u2019un voyageur d\u2019affaires fran\u00e7ais sur cinq (19 %) se dit certain de ne pas mettre en danger les donn\u00e9es de son entreprise pendant ses d\u00e9placements professionnels. \u00c0 l\u2019\u00e9chelle mondiale, la moyenne atteint 35 %. Pour Raphael Basset, \u201cil y a une v\u00e9ritable prise de conscience<\/strong>, mais cela ne se traduit pas toujours par un passage \u00e0 l\u2019acte. Les entreprises n\u2019ont pas forc\u00e9ment adopt\u00e9 de vraies solutions d\u00e9di\u00e9es \u00e0 la cybers\u00e9curit\u00e9<\/strong><\/em>.\u201d<\/p>\n

Pr\u00e9server la confiance<\/h2>\n

Lentement mais s\u00fbrement, les sp\u00e9cialistes du dossier voient tout de m\u00eame arriver de nouveaux adeptes : \u201cil y a trois ou quatre ans, nos clients \u00e9taient principalement des institutions gouvernementales. Puis les op\u00e9rateurs d\u2019importance vitale ou les fournisseurs de services essentiels nous ont rejoints. Et, aujourd\u2019hui, nous commen\u00e7ons \u00e0 recevoir des demandes \u00e9manant de grandes entreprises, de cabinets de conseil ou d\u2019avocats, car il est crucial pour eux de pr\u00e9server la confiance de leurs clients<\/em>.\u201d<\/p>\n

Le contexte anxiog\u00e8ne a aussi pour effet positif de rendre le march\u00e9 de la cybers\u00e9curit\u00e9 plus porteur que jamais<\/strong>. Ce qui attire de nouveaux acteurs et stimule l\u2019innovation. Les prestataires technologiques se lancent les uns apr\u00e8s les autres sur ce sujet. Hub One<\/strong>, la filiale IT d\u2019A\u00e9roports de Paris, a annonc\u00e9 le 22 juin l\u2019acquisition de Sysdream<\/strong>, un sp\u00e9cialiste fran\u00e7ais de la cybers\u00e9curit\u00e9. Quelques jours plus t\u00f4t, Parnasse<\/a><\/strong> lan\u00e7ait avec Orange Cyberdefense <\/strong>une nouvelle offre<\/a> pour prot\u00e9ger les appareils et les communications de ses membres. Cette solution int\u00e8gre notamment l\u2019application Crypto-Pass<\/strong> d\u00e9velopp\u00e9e par Ercom. Cette solution de chiffrement des communications mobiles de bout-en-bout s\u00e9curise la voix<\/strong>, la vid\u00e9o<\/strong>, la messagerie<\/strong> instantan\u00e9e<\/strong> et la conf\u00e9rence audio<\/strong>.<\/p>\n

Il faut faire simple<\/h2>\n

Pour toucher une audience plus large, Ercom s\u2019est aussi associ\u00e9 \u00e0 Samsung. \u201cSi nous nous sommes lanc\u00e9s sur les terminaux Samsung<\/strong>, c\u2019est pour leur caract\u00e8re grand public<\/em>, explique Raphael Basset chez Ercom. Si le mat\u00e9riel propos\u00e9 \u00e0 l\u2019utilisateur ne ressemble pas aux outils auxquels il est habitu\u00e9, \u00e7a ne peut pas marcher. Il faut que la solution soit la plus transparente<\/strong> possible.<\/em>\u201d Voil\u00e0 tout l\u2019enjeu pour les acteurs de la cybers\u00e9curit\u00e9 qui doivent \u00e0 la fois mettre au point des outils fiables et ne pas affecter la sacro-sainte exp\u00e9rience utilisateur<\/strong>. \u201cOn peut construire des forteresses technologiques<\/strong>, mais si personne ne les utilise, on passe \u00e0 c\u00f4t\u00e9 de l\u2019objectif<\/em>, t\u00e9moigne Nicolas Arpagian. Il faut construire quelque chose qui soit performant techniquement, mais fluide d\u2019utilisation<\/strong><\/em>.\u201d<\/p>\n

Nicolas Arpagian ne manque pas de rappeler l\u2019exemple de Fleur Pellerin<\/strong> qui offrit, malgr\u00e9 elle, une d\u00e9monstration \u00e9loquente du probl\u00e8me. Face \u00e0 une \u00e9quipe de t\u00e9l\u00e9vision invit\u00e9e \u00e0 visiter son bureau, l\u2019ancienne ministre de la Culture pr\u00e9senta son t\u00e9l\u00e9phone s\u00e9curis\u00e9,\u00a0tout en avouant dans la foul\u00e9e, \u201cje ne sais m\u00eame pas comment le d\u00e9crocher de sa base<\/em>\u201d. On peut facilement imaginer que ce mat\u00e9riel, probablement tr\u00e8s fiable du point de vue technique, n\u2019a pas \u00e9t\u00e9 tr\u00e8s souvent utilis\u00e9.<\/p>\n

\n

Il faut que la s\u00e9curit\u00e9 devienne une composante du num\u00e9rique d\u00e8s l\u2019origine, pas une option<\/p>\n<\/blockquote>\n

Pour certains experts, le d\u00e9fi r\u00e9side surtout dans le dialogue entre les diff\u00e9rents acteurs impliqu\u00e9s. \u201cC\u2019est l\u2019un des probl\u00e8mes \u00e0 l\u2019heure actuelle : les acteurs du num\u00e9rique et ceux de la s\u00e9curit\u00e9 ont encore beaucoup de mal \u00e0 se parler<\/em>, estime Diane Rambaldini chez Crossing Skills. Ils n\u2019ont pas les m\u00eames aspirations, ne voient pas les choses de la m\u00eame mani\u00e8re, la s\u00e9curit\u00e9 \u00e9tant encore trop souvent per\u00e7ue comme une contrainte<\/strong>, un frein au d\u00e9veloppement, une source d\u2019investissement suppl\u00e9mentaire. J\u2019esp\u00e8re qu\u2019il ne faudra pas attendre que des drames surviennent autour des objets connect\u00e9s pour que le dialogue s\u2019ouvre entre ces deux mondes<\/em>.\u201d Pour autant, la consultante se veut n\u00e9anmoins optimiste\u00a0: \u201cce dialogue va devoir s\u2019ouvrir, notamment parce que le RGPD pr\u00e9voit la \u2018security by design\u2019<\/strong>, la s\u00e9curit\u00e9 d\u00e8s la conception du projet. On voit d\u00e9j\u00e0 \u00e9merger un nouveau march\u00e9, une offre num\u00e9rique qui int\u00e8gre la s\u00e9curit\u00e9 des donn\u00e9es d\u00e8s sa conception. Il faut que la s\u00e9curit\u00e9 devienne une composante du num\u00e9rique d\u00e8s l\u2019origine, pas une option<\/em>.\u201d<\/p>\n\n\n