L’édito de Digitemis, par Ludovic de Carcouët (juin 2022)

Cyber humanum est

L’édition 2022 du Forum International de la Cybersécurité (FIC) qui s’est déroulée à Lille la semaine dernière a montré que le facteur humain demeure le socle d’une politique cyber efficace et ambitieuse. Elle a rappelé le rôle central et moteur tenu par l’humain dans le domaine du cyber, qui demande à ses protagonistes d’échanger entre eux, d’une part, pour coordonner leurs efforts face aux menaces cyber et, d’autre part, pour suivre attentivement les tendances du marché.

Des rencontres sur les stands avec les professionnels du cyber et avec nos concurrents aux conférences d’experts de la cybersécurité en passant par les moments de convivialité plus informels, rien n’est plus précieux ni constructif que le partage d’expériences et l’échange d’idées pour cultiver la confiance entre les individus et pour augmenter notre intelligence collective.

Et in fine pour solidifier la résilience de l’écosystème français dans un contexte numérique incertain avec l’affermissement de l’influence des Gafam en Europe, le conflit ouvert avec la Russie ou encore l’accroissement de la puissance chinoise. Ces événements marquent un momentum important dans notre Histoire récente. Ils nécessitent notamment, à l’échelle européenne, une réponse collective adéquate qui soit une avancée significative. 

Notre principal atout ? Notre richesse humaine !

Ce constat sur le rôle de l’Europe est partagé par Guillaume Poupard. Pour sa dernière intervention en tant que directeur général de l’ANSSI au FIC, celui-ci a surtout incité la France à maîtriser pleinement son destin. Il a appelé les acteurs français du cyber à croire en eux, en leurs technologies et en leurs services. L’humain reste le meilleur garant de la solidité et de la continuité d’un écosystème grâce à son savoir-faire, à sa réflexion, à ses compétences, à sa capacité d‘innovation et de réponse aux problématiques technologiques qui se posent. Il est le plus à même de réguler son rapport à la machine et de doser son usage.

L’humain constitue à la fois l’unité de base des cercles de confiance – si importants en matière de cybersécurité – et le vecteur de cette culture cyber – basée sur la confiance – à destination des entreprises, des territoires et des utilisateurs. En bref, à destination de tous les maillons de la chaîne. C’est ainsi que sera mené à bien le grand chantier de sensibilisation, d’éducation et de formation aux nouvelles technologies qui nous attend.

L’évolution à marche forcée du métier de RSSI est symptomatique de l’importance prise par la gestion du risque cyber au sein des organisations. Et de la nécessité de privilégier la dimension humaine au cœur des dispositifs de cybersécurité : pour créer ses propres cercles de confiance, le RSSI doit embarquer, convaincre, discuter, communiquer, rassurer, accompagner ses interlocuteurs. Plus globalement, la réponse aux défis de demain (Intelligence Artificielle, objets connectés, métavers et 6G) sera humaine. Assurément humaine.

Je partage

Derniers articles

Illustration de sécurité WordPress avec logo central et éléments numériques de sécurité

Renforcer la sécurité WordPress, du développement des plugins à la configuration serveur

Il y a peu, dans le cadre de recherches sur des plugins WordPress, notre pentester Vincent Fourcade a découvert une injection de code, côté client, dans un module du célèbre CMS. Celle-ci fut vérifiée et validée par les équipes de WPScan. Aujourd’hui, une CVE lui a été attribuée. L’occasion de revenir aujourd’hui sur la sécurité, au sens large, dans le CMS WordPress, que ce soit au niveau de la couche applicative, de la configuration du serveur ou du bureau. C’est parti !

Lire l'article

Analyse des Métriques XSS : comprendre l’Impact des injections de code côté client

Lors des tests d’intrusion, l’injection de code côté client est généralement plus aisée à découvrir qu’une injection côté serveur. Le nombre de paramètres dynamiques transitant du back au front, la difficulté d’échapper correctement à l’entrée et à la sortie et la multitude d’encodage liés à l’affichage peuvent être des vrais casse-têtes pour qui souhaite faire la chasse à la XSS. Le JavaScript malveillant semble ainsi avoir de beaux jours devant lui. Cependant, il n’est pas rare qu’à l’issu de l’audit, la criticité d’une telle injection découle directement de la configuration des cookies présents sur l’application. En effet, l’absence de l’attribut HttpOnly majore irrémédiablement les risques liés à ce type d’attaque. Néanmoins, cela signifie-t-il que la présence de cet attribut doive absolument amenuiser la criticité d’une injection ?

Lire l'article