La véritable cause de notre crise de cybersécurité

Il y a un problème principal que nous devrions régler en tant que société : le partage et l'échange inutiles de renseignements. Un texte de Thierry Gagnon.

Thierry Gagnon pour The Hamilton Spectator

Nous connaissons tous cette histoire. Une brèche de données frappe une entreprise de renom et fait les manchettes. L'entreprise réagit en s'excusant auprès de ses clients et en promettant que cela ne se reproduira plus. Elle tente de se racheter en offrant une année de surveillance de crédit gratuite et, avant même qu'on s'en rende compte, elle subit une nouvelle brèche.

Une entreprise porte certainement une part de responsabilité lorsqu'elle subit des fuites ou des brèches de données, mais cela ne change rien au fait qu'elle fait partie d'un système défaillant qui permet à ce cycle de se répéter à perpétuité. Il est beaucoup plus facile de pointer une entreprise que de prendre de la hauteur et d'avoir une vue d'ensemble. Mais en déplaçant le cycle du blâme d'une entreprise à l'autre, la société ne s'attaquera jamais à la cause profonde.

Fort de mon expérience dans le secteur public canadien à contrer les menaces nationales de cybersécurité, je crois qu'il y a un problème principal que nous devrions régler en tant que société : le partage et l'échange inutiles de renseignements. Mais culturellement, nous acceptons cela comme la façon dont le monde fonctionne. Et puisque la plupart d'entre nous — y compris ceux qui sont directement responsables de protéger nos données — fonctionnent avec le même état d'esprit, comment pouvons-nous nous attendre à ce que les grandes sociétés soient les meilleures défenseures de nos renseignements personnels ?

Des entreprises de premier plan illustrent la faille inhérente à notre façon actuelle de concevoir la protection des données et la cybersécurité. Par exemple, Marriott a été victime d'une brèche en 2014, et cet incident est passé inaperçu jusqu'en septembre 2018. L'entreprise a subi des brèches à sept reprises depuis 2010. T-Mobile a également subi plusieurs brèches, notamment en 2018, 2019et, plus récemment, en 2021 — soit presque une fois par année !

Les deux entreprises ont été négligentes et insouciantes. Toutefois, un point commun unificateur, présent non seulement dans les cas de Marriott et de T-Mobile, mais dans toutes les brèches, est le mouvement et le partage excessif des données, et la société s'en accommode malheureusement. Le mouvement et le partage excessif des données créent et maintiennent le statu quo.

La vérité, c'est que la cybersécurité est actuellement une considération secondaire pour la plupart des entreprises, en particulier celles qui se spécialisent dans des offres non technologiques. Comment pouvons-nous nous attendre à ce que les entreprises du Fortune 500 protègent nos renseignements personnels alors que leur cœur de métier n'est pas axé sur la protection des données ? Il ne faut donc pas s'étonner que ces incidents continuent de se produire. Le simple fait que des données et des renseignements soient transférés signifie qu'il y a de fortes chances qu'ils soient exploités au cours de ce parcours.

La société ne peut tout simplement pas se permettre ce statu quo. Il existe une meilleure approche pour remédier à cette faille fondamentale, et la façon de penser actuelle est mûre pour une transformation.

En réinventant la cybersécurité et la gestion des données, nous pouvons rétablir la confiance dans les relations numériques et rendre la conformité moins pénible pour les entreprises. Cela est réalisable si les secteurs privé et public adoptent tous deux un système qui adhère à un ensemble de principes pour guider l'action. Les organisations devraient mettre en œuvre des formes d'identification simples et efficaces qui garantissent le plus haut niveau de sécurité durant le processus d'authentification et lors de l'octroi de différents niveaux d'autorisation en ligne. Nous devons également mettre en place de bons modèles de gouvernance pour la gestion des données et de la cybersécurité (il devrait exister un ensemble de règles normalisées, fiables et adoptées dans tous les secteurs). Et puisque la cybersécurité n'existe pas en vase clos, les différents systèmes doivent interagir entre eux et être intégrés.

La cybersécurité devrait viser à rendre les opérations numériques quotidiennes sécuritaires, fluides et entièrement privées. Des banques aux organismes gouvernementaux en passant par les entreprises de tous les secteurs, la cybersécurité devrait permettre à toute entité d'accéder uniquement aux données dont elle a besoin et qu'elle est autorisée à consulter, et de les valider.

Transformer les relations traditionnelles en interactions numériques déployables, interopérables et sécurisées est possible sans compromettre les systèmes existants. Et cela peut aussi se faire avec une extensibilité illimitée, une confidentialité accrue, une meilleure conformité et une grande facilité d'utilisation.

Thierry est cofondateur, président et chef de la technologie de KZero Passwordless et l'un des plus grands experts mondiaux des réseaux de partage sécurisé de l'information. Avant KZero Passwordless, Thierry a collaboré avec des organisations d'infrastructures critiques des secteurs privé et public, notamment dans les domaines de l'application de la loi, des agences cryptographiques, de la défense nationale et de la réponse nationale aux cyberincidents