03.10.2015 par Alain Establier SECURITY DEFENSE Business Review n°157

A la veille de l’ouverture des 16^ème Assises de la sécurité et des systèmes d’information, SDBR a interviewé Guillaume Poupard qui doit y prononcer le discours d’ouverture

SDBR : Envisagez-vous d’étendre le champ d’intervention de l’ANSSI ?

GP : Très clairement la sécurité de l’Etat, la sécurité de la Nation, la sécurité des Opérateurs d’Importance Vitale (OIV), tout étant étroitement lié, restent notre priorité car c’est la raison d’être de l’ANSSI. Beaucoup a été fait dans le prolongement de la Loi de Programmation Militaire (LPM) pour la protection des OIV. Sans faire de l’autosatisfaction, je suis ravi de la qualité du dialogue qui s’est instauré avec les ministères et avec les OIV. Pour autant, le reste du champ économique n’est que partiellement couvert par le dispositif national de cybersécurité. Ce qui n’est pas satisfaisant : par exemple, des PME ont fermé suite à des attaques de type « ransomware », car d’un jour à l’autre ces PME n’ont plus eu accès à leurs données ; des hôpitaux sont aussi la cible de ce type d’attaques. Il nous faut donc continuer à travailler sur ces sujets, car l’environnement des OIV est lui-même constitué d’une multitude de PME pouvant devenir des cibles. Se pose également la question de la protection de nos concitoyens, qui n’entre pas dans la mission de l’ANSSI mais pour lesquels l’ANSSI se sent tout de même une vraie responsabilité pour les aider face à la menace informatique, d’où l’idée lancée en octobre 2015 de développer un dispositif d’assistance aux victimes d’actes de cyber-malveillance.

Comment se concrétise ce dispositif d’assistance aux victimes d’actes de cyber-malveillance ?

C’est une véritable start-up  pour laquelle l’ANSSI joue le rôle d’incubateur, en collaboration avec le ministère de l’Intérieur. Son but est de devenir autonome, pour apporter des messages de prévention auprès du grand public et des TPE et pour leur apporter des solutions en cas de problèmes. La première étape va être de constituer un site Internet de réponses pratiques aux questions et d’adresses de prestataires informatiques référencés, capables de fournir une aide de proximité. L’autre point important de cette démarche est de pouvoir collecter des chiffres sur les attaques visant les petites structures pour avoir une idée plus précise du risque et pouvoir faire entrer dans le jeu les assureurs, des représentants des victimes et des représentants des entreprises. Ce dispositif permettra d’avoir une sorte d’observatoire de la cybercriminalité. Sa mise en place progressive se fera en 2017.

Pensez-vous que la France avance plus vite que ses voisins dans la mise en place de protection ?

Par rapport à ce que j’observe à l’Etranger, il y a eu en France une prise de conscience relativement ancienne qui se concrétise aujourd’hui selon un modèle positif : tous les acteurs (publics ou privés) poussent dans le même sens. L’équilibre trouvé entre les différents acteurs fonctionne très bien à mon sens, ce qui ne signifie pas pour autant que nous soyons en risque zéro.

Que pensez-vous des chiffres d’attaques qui circulent ici ou là ?

Nous avons mis quelques chiffres dans notre rapport d’activité 2015 : plus de 2300 codes malveillants collectés, 4000 signalements reçus (50% de plus qu’en 2014), une vingtaine d’incidents majeurs de sécurité traités, 15 alertes sur des vulnérabilités critiques. Aujourd’hui, personne n’a d’observatoire fiable en termes d’attaques mais le nombre de sinistres augmente. Il y a aussi toutes les attaques que personne ne voit car les victimes ignorent qu’elles ont été attaquées, ce qui à mon avis représente la grande masse des victimes ! Ce dont nous sommes sûrs, c’est que le domaine des attaques informatiques est un domaine en croissance. Les attaquants sont plus nombreux, plus organisés et plus forts, même si, en même temps, les entreprises sont mieux armées pour détecter les attaques et la sensibilisation des personnels y est plus forte. Le business des attaquants est très rentable, que ce soit en matière d’espionnage étatique ou économique, et le numérique va devenir un moyen d’action privilégié, seul ou en combinaison avec des moyens classiques. Les attaques sur les entreprises peuvent aussi être indirectes pour les atteindre ou les déstabiliser : exemple, nous constatons des attaques sur les agences de notation économique, ce qui n’a a priori rien à voir avec telle ou telle entreprise, pour obtenir des informations avec 48H d’avance et faire ensuite des opérations de bourse avec délit d’initié !    

Quid des données personnelles dans tout ça ?

Quand des données personnelles sont compromises dans le cadre d’une attaque, il y a souvent un dilemme entre prévenir les employés et préserver l’entreprise en gardant le secret sur l’attaque. Il faut donc trouver un bon équilibre entre la protection des données et la protection de l’entreprise.

Considérez-vous que le parcours de certification, pour une PME, soit plus facile aujourd’hui ?

En France, nous avons d’excellentes PME qui produisent des services de qualité, qui sont des tiers de confiance mais qui ne se prêtent pas bien à la démarche de certification : elles ne savent pas quoi faire évaluer, le processus d’évaluation est assez difficile et coûteux pour elles. Pour autant, ces PME constituent des briques intéressantes qui contribuent au développement de l’écosystème, même si ces PME ne sont pas dans la liste qualifiée par l’ANSSI. Il faut donc admettre que le processus de certification / qualification n’est pas adapté à l’ensemble des acteurs. Cependant, la signature de certification du directeur général de l’ANSSI est donnée en délégation du Premier ministre, c’est donc un acte fort qui correspond à une démarche importante qui ne peut être dégradée pour des raisons de convenance. Nous avons essayé de couvrir l’ensemble du champ des acteurs avec la Certification de Sécurité de Premier Niveau (CSPN), beaucoup plus légère (20 à 30 jours d’expertise) et à des coûts plus accessibles : c’est une réponse en termes de confiance pour certaines sociétés. En matière de label, nous avons contribué à développer le label « France Cyber security » qui permet de montrer les nombreuses offres françaises et de valoriser le savoir-faire national. Ce label a été attribué à 70 entreprises, petites et grandes, et c’est un moyen pour les petits acteurs du marché d’être plus visibles. Dans certains cas, lorsque nous considérons qu’une PME mérite d’être aidée à faire le parcours de certification, l’ANSSI et la BPI financent le coût du certificateur (labo CESTI), l’entreprise n’ayant plus à sa charge que le détachement d’un collaborateur pour constituer le dossier de certification. C’est notre façon d’encourager quatre ou cinq fois par an des entreprises prometteuses.

Vous avez dit lors de l’Université d’été Hexatrust, le 01/09/2016, qu’il fallait sûrement « marketer » la démarche de certification de l’ANSSI… Qu’entendez-vous par là ?

Cette démarche avait été conçue autour des cartes à puces, qui ont des durées de vie relativement longues. Aujourd’hui, avec le développement des logiciels qui ont une durée de vie parfois extrêmement courte, il est vrai que nous devons adapter la certification à la durée de vie de ces produits tout en lui gardant un sens. Nous devons probablement mieux expliquer les différents niveaux de certification (CSPN, certification Critères Communs, qualification, label France Cybersecurity) et ce qu’ils apportent à l’entreprise. Pour beaucoup de clients qui ne vivent pas dans notre écosystème, il serait souhaitable de leur donner une plus grande simplicité de lecture et de compréhension de ces certificats. Nous devons faire un effort d’explication, certainement grâce à des visuels simplificateurs.

A propos de la directive NIS, vous avez appelé à être vigilant sur les disparités qui pourraient intervenir en Europe créant des sortes de « franchise sécuritaire ». Comment ?

Nous disposons de l’accord SOG-IS signé entre dix pays européens ayant une approche commune de la notion de certification via les « critères communs ». C’est un accord de reconnaissance mutuelle, y compris à de hauts niveaux d’évaluation, qui permet de reconnaître le travail accompli dans les autres pays signataires. Il est vrai que 10 sur 27 est insuffisant et nous appelons à une démarche commune de certification réellement européenne. La Commission y est favorable et cette démarche doit donc être étendue aux 27 pays. Dans les dix pays de l’accord SOG-IS, il n’y a pas de franchise sécuritaire et les signataires sont vigilants à vérifier la qualité des travaux de chacun. La transposition de la directive NIS sera harmonisée dans chaque pays et il faudra veiller à ce que les travaux effectués dans les autres pays ne créent pas de distorsions de sécurité et de concurrence.

Vous avez évoqué récemment l’idée d’une sorte de showroom permanent de la filière numérique. Qu’entendez-vous par là ?

J’observe que certains pays vendent très bien leurs solutions, savent recevoir les délégations étrangères et leurs font des shows formidables pour qu’ils repartent avec des étoiles plein les yeux. En France, nous avons plutôt une démarche d’ingénieur, très technique, où l’aspect marketing est souvent négligé. Face à des clients étrangers qui veulent acheter français, nous ne sommes pas toujours capables de faire la démonstration des produits français et de montrer qu’ils peuvent fonctionner ensemble. C’est le but d’un showroom. L’ANSSI n’a pas vocation à faire du marketing, mais notre position nous amène à constater un vrai manque dans ce domaine. Il manque à Paris une capacité d’accueil VIP à qui montrer, en confidentialité, des solutions françaises compatibles dans un showroom cybersécurité. Il faut donc un espace, un financement et la volonté des différents acteurs à montrer non pas des briques mais des solutions intégrées répondant à des problématiques.     

L’été a été animé par un débat sur d’éventuels backdoors pour lire les communications chiffrées. Quel est votre avis ?

Nous sommes face à un vrai problème. Tout le monde est d’accord pour dire qu’il faut développer les technologies de sécurité, qu’il faut protéger nos Etats, notre industrie, nos concitoyens face à une multitude de menaces, ce qui passe entre autres par une technologie de chiffrement. On n’a donc pas à être pour ou contre le chiffrement : c’est une technologie dont nous avons besoin pour une multitude d’usages ! A la limite, ces technologies efficaces peuvent être utilisées par des individus malfaisants et par des ennemis de la France. Se pose la question de la façon de pérenniser les dispositifs d’interception légale (de sécurité et judiciaire) ciblée, dont nous avons besoin, en évitant les interceptions de masse illégales : s’il y avait des solutions simples, elles seraient mises en œuvre depuis longtemps et il n’y aurait pas de débat… Toute solution caricaturale restera donc caricaturale et inefficace. Avec les opérateurs classiques, il existe un dispositif qui fonctionne dans le respect de la Démocratie. La question est : comment pérenniser ce dispositif qui donne satisfaction dans le cadre de l’évolution technologique ? Les entreprises qui chiffrent leurs messages ont des solutions, en cas de nécessité, pour accéder au contenu de leur messagerie. Il faut sûrement s’en inspirer même si leur périmètre est restreint. Les discussions interministérielles avancent sur ce sujet, mais ce sera long.

12.02.2015 par Le Fauteuil de Colbert
 

Grâce à Nicolas Caproni (@ncaproni), Eric Egea (@eric_egea) et le Cyber cercle (@CyberCercle), la troisième rencontre parlementaire sur la cybersécurité, consacrée à la "marétique", pouvait être suivie depuis Twitter.

Le propos qui va suivre n'est qu'une reprise augmentée (de ma seule responsabilité) des tweets (tous disponibles sur @FauteuilColbert, dans le module sur votre droite depuis cette page ou sur Twitter via #RPCybermaritime) de ces trois personnes. Merci à elle de nous permettre de suivre la conférence donnée depuis partout dans le monde.

Au passage, nous observons que le réseau social dans ce cas précis permet de décupler un auditoire physique de 100 ou 200 personnes.

La cybersécurité des bateaux : des enjeux majeurs

La première table ronde était conduite sous la présidence du vice-amiral Coustillière. Il évoquait une prise de conscience du milieu maritime face aux risques inhérent au cyberespace.

L'un des enjeux pour les armateurs est la protection des systèmes à terre. En mer, un autre enjeu primordial est la possibilité de faire dévier de sa route un navire via une cyberattaque. Ce qui invite à revenir sur la question de la certification des logiciels dans le monde maritime civil. Contrairement au monde aérien, il n'existe pas encore d'assurance qualité de ces logiciels.

Les navires comme les infrastructures à terre fonctionnement sous les systèmes d'exploitation Windows ou Linux. Des OS qui ne sont pas durcis. Les spécialistes du secteur n'ont de cesse de répéter des OS bénéficient de réputation sans commune mesure avec leur niveau de sécurité réel. Et de rappeler que certaines technologies sont fiables, bien qu'anciennes : un télex ne subit pas de cyberattaque !

La cybersécurité des navires est ainsi devenu un enjeu qui doit être pris en comtpe dès la conception et la construction du navire. Une mauvaise architecture des logiciels, des réseaux ou une absence de certification peut conduire à des vulnérabilités critiques. Par exemple, les codes open source sont réutilisés sans être audité. Le noeud le plus critique dans la configuration actuelle est l'interconnexion de tous ces systèmes.

La table ronde évoquait également le risque de la dépendance des équipages aux systèmes de navigation sophistiqués. Elle conduisait l'auditoire à prendre en considération un nouveau risque où un navire, incapable de fonctionner en mode dégradé, suite à une attaque ou une avarie, ne pourrait plus être manoeuvré. Les moyens mécaniques de secours disparaissent. Une panne informatique peut aujourd'hui bloquer un bateau. L'humain est toujours la cheville ouvrière dans ces situations. Ce dernier peut-il se passer aujourd'hui des systèmes informatiques à bord ? Nos intervenants de répondre que non. 

Faits qui ne manqueront pas de relancer le débat dans la dialectique entre les normes militaires et civiles, les secondes s'appliquant de plus en plus souvent à une partie des flottes militaires.

Plus que la panne informatique, il est aussi question de la cyberattaque. La Marine nationale, par exemple, utilise des logiciels SCADA, presque identiques à ceux visés par Stuxnet. Rappelons que cette catégorie de logiciels apparaît dans tous les secteurs industriels, aussi bien les installations et équipement des navires militaires et civils que dans toutes les industries. En 1983, un gazoduc soviétique explosait, vraissemblablement, suite à une malfaçon placée au sein d'un logiciel de type SCADA. Stuxnet visait la même logique mais à l'échelle d'une usine d'enrichissement d'uranium. Le degré de complexité est sans commune mesure en une trentaine d'années.

La Marine nationale, par la voix du capitaine de corvette Malbec, présentait ses actions en matière de marétique. La Royale émet des certifications cyber avant d'autoriser un navire à naviguer.

Entre parenthèses, la Marine nationale communiquait sur ce point à propos du programme FREMM où la problématique semble avoir été prise en compte dès la conception.

La DGA de faire savoir que des simulations de cyberattaques sont menées pour tester les systèmes mais cela n'écarte pas les risques inhérent aux cyberattaques d'opportunités. Considérations qui nous renvoie aux réflexions actuelles sur le nécessaire développement d'une capacité de réponse face à une intrusion dans les systèmes.

Enfin, nos intervenants concluaient cette table ronde en affirmant que le niveau le plus pertinent pour lutter contre la cybercriminalité est l'international. Notamment pour unifier et concerter la réponse des armateurs face à ces menaces.

La cybersécurité des infrastructures portuaires : une dimension fondamentale de sécurité 

Succédant au vice-amiral Coustillière, le directeur général de l'ANSSI, Guillaume Poupard, venait présider la seconde table ronde dédiée aux infrastructures portuaires. Deux ports civils (Marseille et le Havre) et les bases navales par la voie de la Marine présentaient ces questions.

Le port de Marseille insistait sur la nécessité d'identifier les systèmes critiques interconnectés puis leur vulnérabilité. Toutefois, le représent du grand port du Levant ne pouvait que revenir sur cette vulnérabilité humaine des systèmes d'informations et de commandement. Une négligence du personnel peut conduire à fragiliser toute l'architecture de sécurité. C'est pourquoi des solutions d'analyse comportementales sont utilisées sur les portes de travail.

Le port du Havre mettait en avant l'omniprésence de l'informatique dans les infrastructures portuaires. C'est pourquoi la cybersécurité est intégrée en amont des projets informatiques.

Deux questions transversales aux ports civils étaient posés. D'un côté, une des personnes qui suivait la conférence remarquait que la question des bornes wifi dans les ports est aussi une source potentielle de vulnérabilités. Elles peuvent potentiellement donner accès aux systèmes d'information du port. Les navigants s'y connectent régulièrement tant avec leurs moyens professionnels que personnels. Pirater les systèmes du port est une porte ouverte aux cyberattaques d'altération et d'infiltration mais aussi de destruction. Ensuite, le PDG de Securymind demandait qui est propriétaire de l'information, ce qui revient à demander qui doit la protéger ? Une matérialisation des cyberattaques pouvant toucher un port est l'exemple récent du port d'Anvers, l'un des premiers ports européens et du monde.

Le capitaine de vaisseau de Foucauld commençait son intervention en rappelant que la Royale ne part pas de zéro sur ces questions. L'habitude de la protection du secret initiait une culture de protection et de gestion de l'information qui n'est pas sans rapport avec la marétique. La Marine investit sur la sensibilité et la formation à la cyberdéfense. L'hygiène numérique concerne tous les militaires !

Les enjeux ne sont pas les mêmes entre les ports militaires et civils. Ils sont différents par la nature des activités qui s'y déroulent. Cela se traduit par des flux différents tant en nature qu'en rythme. Dans un port militaire, beaucoup d'opérations de maintenance nécessitent l'emploi des systèmes informatiques, ils constituent dès facto une cible. L'un des principaux enjeux réside dans la nécessaire cartographie des systèmes équipant les ports et les navires. L'attention doit aussi se porter sur l'interface navires/port.

Reprenant le large, l'officier d'avancer que plus jamais de bateaux seront lancés sans dispositif de cybersécurité, peu importe le coût !  Aussi, le CV de Foucaud de s'inquiéter à propos du système AIS qui n'est absolmument pas sécurisé. Le système LRIT peut être un palliatif mais il a un coût. 

L'ANSSI s'exprimait au cours de cette table ronde. L'agence ne pouvait pas faire l'économie de la citation de l'article 22 de la loi de programmation militaire qui lui donne de nouvelles responsabilités et prérogatives dans la protection des Opérateurs d'Importance Vitale (OIV). Nouveauté qui aide l'ANSSI à harmoniser les systèmes et les pratiques. Une liste comptabilise 218 opérateurs, son contenu est secret. Peut être quelques infrastructures portuaires ou quelques navires peuvent être concernés. L'ANSSI partageait son expérience, notamment sur des cas où des infrastructures portuaires servaient de relais pour des cyberattaques. Elles étaient victimes mais à titre collatéral. L'autre volet concerne aussi la nécessaire émergence d'un tissu industriel de confiance pour répondre à une partie des vulnérabilités identifiés, notamment au cours des deux tables rondes. La sécurité des systèmes d'informations et de commandement a un coût, les investissements doivent se faire dans cette voie. Et ils doivent être réalisés intelligemment car un logicel de sécurité mal utilisé n'est plus un investissement mais un coût.

21/01/2015 Par Jules Darmanin - LeFigaro.fr

INTERVIEW - Guillaume Poupard dirige depuis près d'un an l'Anssi, l'agence interministérielle en charge de la protection informatique de la France. Il revient sur les attaques informatiques qui ont visé des milliers de sites français ces derniers jours.

LE FIGARO. - De quelle nature étaient les attaques de ces dix derniers jours?

GUILLAUME POUPARD. - Nous observons une augmentation du nombre de sites web attaqués. Les contenus de ces sites techniquement faibles ont été modifiés par des personnes qui voulaient porter un message, en général pro-djihadiste ou anti-Charlie. Le chiffre de 1300 attaques du ministre de l'Intérieur est tout à fait cohérent avec ce que l'on observe à l'Anssi. C'est important, mais ce n'est pas hors de proportion avec ce que l'on peut observer à la suite, par exemple, d'une déclaration de politique internationale majeure.

Sans que cela soit péjoratif, il s'agit de petits sites: des sites de petites communes, d'écoles qui n'avaient pas mis les moyens dans leur sécurisation. En avaient-ils vraiment besoin? La question sera probablement reposée, avec une autre acuité. Mais il n'y a pas eu de vraies attaques.

Suite de l’entretien

03 octobre 2014 - Juliette Paoli - solutions-logiciels.com

Guillaume Poupard, le directeur général de l’Agence nationale de la sécurité des systèmes d’information, a ouvert à Monaco la 14e édition des Assises de la sécurité et des systèmes d'information, l’événement mondial incontournable des professionnels de la sécurité du monde entier.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI), qui a été créée en 2009, est rattachée au Secrétaire général de la défense et de la sécurité nationale (SGDSN), autorité chargée d’assister le Premier ministre dans l’exercice de ses responsabilités en matière de défense et de sécurité nationale. C’est son directeur général depuis mars 2014, Guillaume Poupard, qui a ouvert les Assises de la sécurité à Monaco, tout un symbole face à une cybermenace qui continue à se développer, tout aussi bien envers l’Etat que dans l’industrie.

Suite de l’article

source : Lettre Entreprises & Défense

Le directeur général de l’Agence nationale de la sécurité des systèmes d’information invité de la Lettre Entreprises & Défense

Guillaume Poupard, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) est l'invité du nouveau numéro d'Entreprises & Défense, la Lettre trimestrielle de l'Association des entreprises partenaires de la Défense.

Au sommaire également de ce numéro :

• la soirée-débat « La Défense, outil de puissance de la France »

• une présentation de la Cellule d’aide aux blessés de l’armée de Terre (CABAT)

• la nouvelle plaquette du Centre de transfusion sanguine des armées (CTSA)

• l’édition 2014 du « Prix de la reconversion des militaires ».

Pour télécharger ce numéro d'Entreprises & Défense : LIEN

26.03.2014 Par Olivier Berger, grand reporter à La Voix du Nord.


L'ingénieur en chef de l'armement, Guillaume Poupard (au centre de la photo), a été nommé en conseil des ministres ce mercredi 26 mars directeur général de l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Il succède à Patrick Pailloux parti pour la direction technique de la DGSE.

Ça tombe bien, nous avions rencontré Guillaume Poupard en janvier au forum de la cybersécurité à Lille, où il nous parlait de l'implication technique de la Direction générale de l'armement (DGA) en matière de cyberdéfense... et de l'imbrication dans ce domaine entre le civil et le militaire.

L'ingénieur était alors responsable du pôle de sécurité des systèmes d'informations à la DGA, situé à Bruz près de Rennes (lire ici le texte de l'époque consacré au rôle de la DGA en cyber). Le pendant technique du CALID, le centre d'analyse en lutte informatique défensive de l'état-major des armées.

Lors d'une audition devant la Commission de Défense de l'Assemblée nationale en juillet 2013, Guillaume Poupard avait aussi évoqué les liens avec l'Agence nationale de la sécurité des systèmes d'information qu'il va donc diriger : " Nos liens avec l’ANSSI sont forts et anciens : il n’y a pas là de séparation entre civils et militaires. Nous travaillons ensemble pour concevoir et réaliser des produits de sécurité, notamment en réponse à des besoins de souveraineté, en matière de cryptographie par exemple. Le développement est réalisé par la DGA, avec des industriels et l’approbation, en vue de classification défense, est faite par l’ANSSI : cette organisation est bien rodée. "

Cette nomination n'a donc rien d'illogique d'autant que ce docteur en cryptologie passa avant 2010 chez le prédécesseur de l'ANSSI, la direction centrale de la sécurité des systèmes d'information. Et comme Patrick Pailloux, il est un acharné de " l'hygiène informatique " : " Ce n’est pas si facile : nous faisons tous des erreurs de sécurité. Ce travail sur l’hygiène informatique est pourtant essentiel ; il faut le mener dans les entreprises, mais aussi dès l’école (...) S’agissant des entreprises, la protection du patrimoine scientifique et technique est absolument essentielle. "

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) a publié mardi 21 janvier des classifications, des modalités pour renforcer la cybersécurité des systèmes industriels. Après la définition de douze secteurs d'importance vitale (lire le détail dans cette note de janvier), l'ANSSI a identifié 218 opérateurs français, publics et privés, à cyberprotéger en priorité...