Cybersécurité : quand le scénariste du Bureau des Légendes aide à repenser et innover dans la formation
«Le maillon faible, c’est l’humain» ont coutume de dire les experts en cybersécurité. Derrière cette assertion un brin simpliste se cache pourtant une réalité : c’est bien souvent à travers un employé que les cyberattaquants tentent d’atteindre une entreprise pour lui soutirer une rançon, piller des données sensibles ou saboter son système d’information pour l’atteindre en plein cœur. Les collaborateurs d’une organisation sont les premières cibles de l’ingénierie sociale des hackers. Cette vérité devient encore plus aiguë à l’heure où nos quotidiens professionnel et personnel sont à la fois plus digitalisés et de plus en plus interconnectés. Qui n’a pas utilisé son réseau wi-fi pour se connecter à son environnement de travail depuis sa maison ou tenter de charger son smartphone professionnel dans un hub de recharge d’aéroport ?
Face à cette réalité, qui vient s’ajouter à la montée des menaces et à la sophistication des technologies utilisées par les cybercriminels, avoir des employés bien sensibilisés à ces risques aux multiples visages devient absolument impératif pour les entreprises. Or, trop souvent, la formation et la prévention se limitent à des exercices de campagnes d’«hameçonnage» («phishing») envoyés dans les boîtes mail professionnelle pour voir combien de salariés se «font avoir» et tenter d’augmenter leur vigilance. Une approche insatisfaisante aussi bien en termes de résultats que de manque d’intérêt pour les premiers concernés. «Jusqu’ici, il faut bien reconnaître que les mises en action des entreprises n’ont pas vraiment marché », constate Thierry Happe, fondateur et président d’Open C Future, à l’origine de l’initiative du Predictive Cyberlab.
L’attaque, une série originale pour intéresser au sujet
D’où l’idée de repenser de fond en comble - sur le fond et sur la forme - l’approche de prévention et de formation défendue par une équipe d’experts pluridisciplinaires reconnus (dont le psychiatre Serge Tisseron ou l’ancien directeur général de l’ANSSI Guillaume Poupard, présents au comité scientifique), en partenariat avec l’école Polytechnique, le CNRS et Télécoms Paris et avec le soutien financier de plusieurs grandes entreprises comme Airbus, Thales, Safran, Renault, Docaposte ou le Crédit Agricole ainsi que des fédérations professionnelles (le Gifas, les industries ferroviaires).
Sur le fond, il s’agit de comprendre - et faire comprendre - que la façon dont les cybercriminels, au-delà de l’aspect technique des attaques, s’appuient eux-mêmes sur des neurosciences, une compréhension fine du comportement humain, de ses faiblesses pour exploiter des failles et mener à bien leurs attaques.
Sur la forme, l’équipe a pu compter sur Thomas Bidegain, le scénariste de la série à succès Le Bureau des Légendes, pour concevoir plusieurs épisodes de 4 minutes, relatant une histoire haletante à suivre et jouée par des acteurs professionnels. Le fil rouge ? La cyberattaque d’un grand armateur international menaçant de provoquer une marée noire. Chacun des épisodes de la série L’attaque met en scène un personnage clé dont l’action, à première vue anodine, peut être à l’origine du drame, avec des résonances vie privée- vie professionnelle. Chaque épisode est suivi d’un premier court témoignage - toujours joué - du personnage avec ses doutes, ce qui l’a mené à prendre telle ou telle décision et d’un second, côté attaquant, qui explique les techniques utilisées et les ressorts sur lesquels il a voulu jouer. Suivent encore un témoignage d’analyse psychologique et un autre d’analyse cyber décortiquant en quelques minutes ce qui vient de se jouer. Enfin un quizz de questions permet à l’employé d’être mis en situation. «Les nouvelles possibilités offertes par l’IA générative nous permettront de bientôt de les personnaliser et, demain, de proposer des conseils adaptés à chacun en fonction des applications et outils professionnels qu’il utilise » explique Thierry Happe, qui a porté le projet.
Diffusion la plus large possible
Le programme en ligne, d’une durée totale d’une heure, est disponible en 5 langues. Il sera d’abord proposé aux salariés volontaires des grandes entreprises impliquées dans l’aventure, avec l’idée d’en faire des «ambassadeurs» de cybersécurité, chargés de convaincre d’autres collaborateurs de suivre la formation. Objectif : diffuser cette culture cyber qui fait tant défaut de la manière la plus large possible . Des discussions sont déjà engagées avec d’autres acteurs du CAC 40. Le suivi de la formation donnera lieu pour commencer à un simple certificat de participation mais l’idée de ses promoteurs est à terme de mettre en place une véritable certification. «Il faut réussir à intéresser les gens à ce sujet et comprendre régulièrement les avancées dans ce domaine. L’objectif est de renouveler un scénario chaque année pour rester en prise avec les évolutions technologiques et intégrer les nouveaux types d’attaques» précise Thierry Happe.
Au-delà de cette formation, Predictive Cyberlab entend devenir un véritable observatoire pour faire émerger de nouveaux outils et de nouvelles méthodes. «L’objectif est d’identifier les risques cyber, les technologies émergentes et développer la cybermaturité des collaborateurs» ajoute Thierry Happe. La formation sera mise par exemple gratuitement à disposition des hôpitaux et de certaines collectivités locales, qui sont des cibles de choix des criminels, sans pouvoir toujours se défendre au bon niveau. Le film, soutenu aussi par le Campus Cyber et le ministère chargé de l’intelligence artificielle et du numérique, est présenté mercredi 12 juin au centre international de conférences de la Sorbonne.