Fuites et brèches de données : repenser la cybersécurité dans le paysage numérique

Il y a un problème principal que nous devrions régler en tant que société : le partage et l’échange inutiles d’informations. Un texte de Thierry Gagnon.

Par Thierry Gagnon pour The Hamilton Spectator

Nous connaissons tous cette histoire. Une brèche de données frappe une entreprise de renom et fait les manchettes. L’entreprise réagit en s’excusant auprès de ses clients et en promettant que cela ne se reproduira plus. Elle tente de se racheter en offrant un an de surveillance de crédit gratuite, puis, avant même qu’on s’en rende compte, elle subit une nouvelle brèche.

Une entreprise porte certainement une part de responsabilité lorsqu’elle subit des fuites ou des brèches de données, mais il n’en demeure pas moins qu’elle fait partie d’un système défaillant qui permet à ce cycle de se répéter à perpétuité. Il est beaucoup plus facile de pointer une entreprise que de prendre du recul pour voir l’ensemble du tableau. Mais en déplaçant le cycle du blâme d’une entreprise à l’autre, la société ne s’attaquera jamais à la cause profonde.

Fort de mon expérience dans le secteur public canadien à contrer les menaces nationales de cybersécurité, je crois qu’il y a un problème principal que nous devrions régler en tant que société : le partage et l’échange inutiles d’informations. Or, culturellement, nous acceptons cela comme le fonctionnement normal du monde. Et puisque la plupart d’entre nous — y compris ceux qui sont directement responsables de la protection de nos données — adoptons le même état d’esprit, comment pouvons-nous nous attendre à ce que les grandes sociétés soient les meilleures défenseures de nos renseignements personnels ?

Des entreprises de premier plan illustrent la faille inhérente à notre façon actuelle de concevoir la protection des données et la cybersécurité. Par exemple, Marriott a subi une brèche en 2014, un incident qui est passé inaperçu jusqu’en septembre 2018. L’entreprise a été victime de brèches à sept reprises depuis 2010. T-Mobile a également subi plusieurs brèches, notamment en 2018, en 2019 et, plus récemment, en 2021 — soit presque une fois par année !

Les deux entreprises ont fait preuve de négligence et d’insouciance. Toutefois, un point commun unit non seulement les cas de Marriott et de T-Mobile, mais toutes les brèches : le mouvement et le partage excessif des données — et la société, malheureusement, s’en accommode. Le mouvement et le partage excessif des données créent et entretiennent le statu quo.

La vérité, c’est que la cybersécurité est actuellement une préoccupation secondaire pour la plupart des entreprises, surtout celles qui se spécialisent dans des offres non technologiques. Comment pouvons-nous nous attendre à ce que les entreprises du Fortune 500 protègent nos renseignements personnels alors que leur cœur de métier n’est pas aligné sur la protection des données ? Il ne faut donc pas s’étonner que ces incidents continuent de se produire. Le simple fait que des données et de l’information soient transférées signifie qu’il y a de fortes chances qu’elles soient exploitées au cours de ce trajet.

La société ne peut tout simplement pas se permettre ce statu quo. Il existe une meilleure approche pour corriger cette faille fondamentale, et la façon de penser actuelle est mûre pour une remise en question.

En réinventant la cybersécurité et la gestion des données, nous pouvons rétablir la confiance dans les relations numériques et rendre la conformité moins pénible pour les entreprises. Cela est possible si les secteurs privé et public adoptent un système fondé sur un ensemble de principes directeurs. Les organisations devraient mettre en place des formes d’identification simples et efficaces qui garantissent le plus haut niveau de sécurité lors du processus d’authentification et lors de l’octroi de différents niveaux d’autorisation en ligne. Nous devons aussi instaurer de bons modèles de gouvernance pour la gestion des données et la cybersécurité (il devrait exister un ensemble de règles normalisées, fiables et adoptées dans tous les secteurs). Et puisque la cybersécurité n’existe pas en vase clos, les différents systèmes doivent interagir entre eux et être intégrés.

La cybersécurité devrait viser à rendre les opérations numériques quotidiennes sécurisées, fluides et entièrement privées. Des banques aux organismes gouvernementaux en passant par les entreprises de tous les secteurs, la cybersécurité devrait permettre à toute entité d’accéder uniquement aux données dont elle a besoin et qu’elle est autorisée à consulter, et de les valider.

Il est possible de transformer les relations traditionnelles en interactions numériques déployables, interopérables et sécurisées sans compromettre les systèmes existants. Et cela peut se faire avec une évolutivité illimitée, une confidentialité accrue, une meilleure conformité et une grande facilité d’utilisation.

Thierry est cofondateur, président et chef de la technologie de KZero Passwordless et l’un des plus grands experts mondiaux des réseaux de partage sécurisé de l’information. Avant KZero Passwordless, Thierry a collaboré avec des organisations d’infrastructures critiques des secteurs privé et public, notamment dans les domaines de l’application de la loi, de la cryptographie et de la défense nationale, ainsi que de la réponse nationale aux cyberincidents.