Ali Kahlane: " Prévenir les cyber menaces, plus grand défi à relever"

Care dans la presse

PAR : Crésus- Lynda Naïli
26 Décembre 2021

Partager l’article sur


Cyber espace, cyber attaques, cybercriminalité, cyber sécurité, cyber offensive, cyber terrorisme, cyber résilience autant de mots du champ lexical du monde du numérique qui désormais, est incontournable à plus d’un titre. C’est autour des enjeux et des défis de la digitalisation et surtout de sa sécurité que M. Ali Kahlane répond à aux questions de CRESUS.

Propos recueillis par Lynda NAILI

Crésus : Quelle évaluation faites-vous de l’écosystème numérique national ?

Ali Kahlane : En ces temps de pandémie, l’utilisation des technologies du numérique a permis de grandement capitaliser de ses retombées. Cela s’est fait au gré des décisions gouvernementales qui obligent la population à se confiner, à recourir au télétravail, au télé-enseignement et surtout à l’usage soutenu de la visioconférence qui est devenu presque naturel. Cela a contribué à l’accélération de l’usage des outils numériques en général et du téléphone mobile en particulier qui souvent, a été le seul lien avec le monde extérieur et la vie sociale.

Les chiffres de 2020, communiqués par l’Autorité de Régulation de la Poste et des Communications Électroniques (ARPCE), montrent un débit de bande passante qui enregistre un pic de 1,71 Tbps jamais vu auparavant soit une augmentation de 49%. La consommation est passée à 4,1 milliards de Go par rapport à la période pré-covid.  Pour cette année et en l’espace de six mois, un pic de 1,96 Tbps a déjà été atteint. Tout porte à croire que les 3 Tbps seraient dépassés d’ici la fin de cette année. 

Cela a prouvé aux décideurs, tout en confortant les professionnels, persuadant les indécis à tous les niveaux, que le numérique est désormais incontournable pour, non seulement permettre à l'économie d’un pays de continuer à tourner, quoique bridée, mais surtout donner la possibilité à tout un peuple d’endurer un quasi «emprisonnement» volontaire, bousculant ainsi, toutes les habitudes en réduisant ses zones de confort  au seul écran du smartphone dont la connexion à Internet devient aussi vitale que l’eau. 

 « Le plus grand défi à relever est celui de prévenir, de détecter les multiples cybers menaces et traiter les cybers attaques dont le nombre va grandissant »

Peut-on dire, alors, que ce sont ces entraves qui freinent les entreprises à s’inscrire dans la dynamique de digitalisation et de protection contre les cyber attaques ?  

Malgré le nombre de terminaux (PC, Laptops, Tablette et smartphone) et l’amélioration de la connectivité, l’un des plus importants freins à la transformation numérique des entreprises et des organisations en général demeure une espèce d’analphabétisme numérique. Le “numérique” des réseaux sociaux prend le dessus sur tout le reste. Cet état de fait est exacerbé par la réticence ou le refus d’utiliser les outils du numérique dans le cadre du travail pour communiquer et produire. 

Cela est très souvent facilité et encouragé par un environnement complaisant et une hiérarchie qui laisse faire car elle n’est pas elle-même convaincue. Cela compromet, du coup, la capacité de l'écosystème à tirer le meilleur parti du digital sous toutes ses formes. 

Les choses se compliquent encore plus, lorsque cette méconnaissance du numérique expose ainsi les organisations et les personnes à des risques majeurs liés au «côté obscur» de la connectivité tels que les cyberattaques, les escroqueries, les fake news ou les contenus préjudiciables.

C’est pour dire que la digitalisation des entreprises ou de toute organisation , quelle qu’en soit la nature, est d’une nécessité absolue. Elle ne doit souffrir d’aucune tergiversation quant à sa sécurité numérique. 

Il est à noter que le retard dans la numérisation des entreprises ou des institutions qui est enregistré ça et là, n’est bien sûr pas récent. Il remonte, pour certains secteurs, à plus de 15 ans, si ce n’est plus pour certains autres, et n’explique pas à lui seul ce décalage.

En effet, le citoyen attend toujours des services en ligne inclusifs. Les dirigeants quant à eux aimeraient mieux gérer leur finance publique ainsi que leur foncier au moyen d’un outil numérique décentralisé et interconnecté. 

L’introduction et l’usage du courrier électronique comme outil de communication principal dans le secteur privé et public n’est désormais plus une option qui est renvoyée d’une année sur l’autre. 

La normalisation horizontale et la sécurisation de toute la communication numérique, y compris la présence sur Internet, au moyen de sites web ou des réseaux sociaux,  doivent être largement prises en charge  pour une meilleure visibilité numérique et un échange efficace et productif. 

Le plus grand défi à relever, par les temps qui courent, est celui de prévenir et de détecter les multiples cybermenaces et traiter les cyberattaques dont le nombre va grandissant. 

Il ne faut jamais oublier que la cybercriminalité est, à bien des égards, le crime parfait : le risque est faible et il est très rentable pour celui qui le fait. Il y a largement de quoi faire avec de plus en plus d'entreprises qui se digitalisent en migrant sur le web. Certaines transfèrent toute leur base de données sur le Cloud. Les attaques prennent désormais diverses formes. Elles sont de plus en plus difficiles à découvrir, elles sont beaucoup plus dangereuses et surtout ne montrent aucun signe de ralentissement. Heureusement que les moyens pour se protéger existent et sont efficaces, il suffit de le mettre en œuvre.

Aujourd’hui, on parle de "Nouvelle génération" de cyber attaques ? En quoi consistent exactement ces menaces ?

On parle de cyber menaces ou attaques de “nouvelle génération” ou de 5ème génération, lorsque celles-ci sont à grande échelle, qu’elles sont multi-vecteurs, tel un missile à plusieurs têtes. Elles sont conçues pour infecter plusieurs composants d'une infrastructure informatique. Le tout en quasisimultané. Il en est ainsi pour l’infection des réseaux, des machines virtuelles, des instances cloud et des terminaux. Les célèbres virus  “NotPetya” et “WannaCry” sont les premiers exemples de ce type.

Les attaques de génération V se caractérisent généralement par leur capacité à provoquer de très grands dégâts comme la violation de données, tel un accès non autorisé ou le destruction de service (DeOS) qui bloque la présence en ligne d'une organisation. Le terme « génération » est utilisé pour montrer l'évolution de la sécurité de l'information caractérisée par sa décennie, le vecteur d'attaque et la charge utile malveillante. 

La première génération de cyberattaques date de la fin des années 1980, elle consistait en des virus transportés sur des disquettes. Au cours de la deuxième génération, apparue au début des années 90, les attaques commençaient à être lancées via Internet et de moins en moins via des disquettes et des CD. Au cours de la troisième génération, qui a eu lieu au début des années 2000, les cyber-attaquants ont à nouveau évolué pour exploiter les vulnérabilités des applications logicielles qui reposaient sur l'accès à Internet et les flash-disques. Durant les années 2010, les cyber-attaquants ont poursuivi cette évolution en développant des logiciels malveillants polymorphes, c’est la quatrième génération dont les attaques sont tel un caméléon, elles prennent différentes formes selon les cibles.

Dans notre pays, la plupart des entreprises ou institutions ne sont qu’au niveau d’une sécurisation de Troisième, voire de Deuxième génération. Cela donne, au mieux une protection contre les virus, les attaques d'applications ou les téléchargements de logiciels malveillants. 

Ce type de protection est d’ailleurs généralement fourni avec le système d’exploitation. Cela peut parfois être doublé ou remplacé par une protection basique, assurée au moyen d’antivirus du commerce. 

Le sentiment de sécurité informatique dans ces structures est trompeur. Beaucoup d’utilisateurs ne parviennent plus à gérer le flux d'attaques de plus en plus virulent. Ces dernières peuvent causer de grands dommages, qui vont aller crescendo vue la dépendance réelle au numérique que nous avons, aussi bien dans la vie professionnelle que privée.

Selon une récente étude de Sonatype, une plateforme d'analyse de la composition des logiciels, les cyberattaques de «nouvelle génération» s'attaquent en particulier aux logiciels de type open source, qui ont été épargnés jusqu’à présent. Elles sont en train d’augmenter de manière exponentielle. Il est prévu qu’elles seraient de 800% en 2022.

Les cybercriminels sont toujours en avance d’une ou plusieurs technologies, ils innovent et excellent dans les variantes que permet la Cinquième génération et se préparent activement à la Sixième en utilisant des techniques de l’intelligence artificielle. 

Quels sont, dans ce cas, les outils de protection à même de développer un environnement cyber-résilient ?

Plusieurs Etats, en Europe, au Japon, aux Etats-Unis, en Russie et en Chine, pour ne citer que les plus importants, considèrent la cybersécurité comme la priorité en matière de sécurité économique ou sécurité nationale tout court. Dans le monde civil, Internet est désormais considéré comme le «quatrième service public», juste après les télécommunications, l’électricité et l’eau. Dans le domaine militaire, Internet constitue un atout tout aussi stratégique qu’il faut protéger, au même titre que la terre, la mer, l’air auquel il faut ajouter maintenant l’espace, qu’il soit réel ou virtuel. 

C’est ainsi que le virtuel, le cyberespace, est le nouveau champ de confrontation. Il s’illustre par la guerre de Quatrième génération. Qui existe aussi pour les deux domaines, civil et militaire. Ces risques d’attaques sont de quatre types : la cybercriminalité, la déstabilisation qui peut être insidieuse ou offensive, l’espionnage ou le sabotage qui peuvent être économiques ou militaires. 

Les événements qui avaient défrayés la chronique en juillet dernier, avec l'affaire Pegasus, ont montrés que nous sommes désormais à l’ère de la cyber-offensive et du cyber-terrorisme d’Etat.

La stratégie de défense globale à adopter, en profondeur, pour la meilleure des cyber-résilience, doit prendre en charge trois éléments fondamentaux. D’abord le facteur humain, tout doit être fait pour qu’il fasse partie de la solution pour sécuriser l'environnement et ne doit surtout pas faire partie du problème. Ensuite, il y a les processus pour lesquels il faut mettre en place les meilleures pratiques, l’hygiène d’utilisation systématique le tout doit être aisément reproductible et prévisible pour assurer, rassurer et renforcer continuellement la sécurité dans les organisations. Le troisième élément est l'utilisation de la technologie pour implanter des solutions de sécurité matérielle et logicielle. Ces dernières doivent en particulier,  prendre en charge l’identification et l’accès au moyen des meilleures méthodes de détection et de prévention, elles doivent être compatibles entre elles pour optimiser une protection totale sans nuire à la productivité.

A ce propos, il est utile de rappeler que le décret présidentiel N° 20-05 du 20 janvier 2020, fait obligation, dans son article 41, à toute organisation publique ou privée de désigner  son responsable chargé de la sécurité des systèmes d'information. Le Dispositif national de la sécurité des systèmes d'information (Cf. Le même décret qui comprend le Conseil national de la sécurité des systèmes d’information et l’Agence de la sécurité des systèmes d’informations, définit clairement leurs missions et objectifs. Ces structures doivent urgemment être opérationnelles au vu et au su de tout un chacun pour assurer et renforcer la cybersécurité du pays.

 

« Le Conseil national de la sécurité des systèmes d’information et l’Agence de la sécurité 

des systèmes d’informations, doivent urgemment être opérationnelles au vu et au su de tout un chacun pour assurer et renforcer la cyber sécurité du pays »

Le smartphone et son utilisation est invasive. Il a démocratisé l’usage numérique pour toutes les générations. Les enfants, les moins de 15 ans, sont une partie prenante non négligeable de ces utilisateurs. Ils peuvent y avoir accès directement, car il leur appartient. Ils peuvent y accèder indirectement ; qui n’a pas donné son téléphone mobile à son enfant pour une utilisation temporaire, pour jouer ou l’aider pour un devoir. 

Il y a désormais des leçons de base que les enfants doivent très tôt apprendre. Leur sécurité et celle de leur environnement doit être assurée au fur et à mesure qu'ils avancent dans la vie. Ils apprennent à regarder des deux côtés avant de traverser la rue, à porter la ceinture de sécurité, à éviter de parler à des étrangers. Il est maintenant grand temps d'en ajouter une autre à la liste : se méfier des cyber pirates et des fake news.

La création d'une école de cybersécurité a récemment été recommandée. Quels seraient ses objectifs et ses missions ? 

D’après les chiffres du dernier African Cyber Security Summit, tenu en 2020 à Alger, huit entreprises sur dix sont ciblées par des cyber-attaques tout type confondu. C’est la raison pour laquelle il est urgemment nécessaire de disposer des ressources humaines compétentes et spécialisées dans la  cybersécurité.

L’embauche des professionnels dans ce domaine formés et expérimentés se fait si rapidement qu'il existe une réelle pénurie de ressource humaine spécialisée. Savoir identifier, recruter, former et surtout conserver cette main-d'œuvre nécessite une approche nouvelle et globale. Les spécialisations que fournissent certaines universités et grandes écoles algériennes, généralement des lieux plutôt conservateur où la théorie l’emporte sur la pratique. Elles sont loin d’être suffisantes pour prendre en charge la demande du secteur économique aussi bien en qualité qu’en qualité.

La menace des cyberattaques nécessitent la planification et la mise en place d’une stratégie de cyberdéfense, des infrastructures technologiques qui permette une gestion de la ressource humaine en adéquation avec toute demande spécifique. 

La cybersécurité est déjà assez complexe au niveau d’une entreprise, imaginez ce qu’elle peut être au niveau de la protection d’un pays. 

Enfin, il est important de noter que l’apport de l’Armée dans la cyberdéfense serait inefficace si les infrastructures critiques civiles, sont incapables de résister aux attaques d’où qu’elles proviennent.

 La digitalisation des établissements financiers est incontournable. Toutefois, estimez-vous qu’ils soient prêts à endosser ce processus qui, entre autres implique une sécurisation de données fiable ?

La sécurisation des données est à la base du fonctionnement d’une banque. C’est ainsi que l’Assemblée Générale des Nations Unies a, dès 1995, adopté la résolution A/RES/45/95, portant sur les principes directeurs de la réglementation des fichiers personnels informatisés. Plusieurs textes ont été promulgués par l’Algérie pour aller dans le sens de cette résolution. La plus récente et la plus complète des lois est la N° 18-07 du 10 juin 2018 relative à la protection des données à caractère personnel. Elle nous met en adéquation avec le reste du monde, notamment le RGDP européen (Règlement général de la protection des données).

« Les règles prudentielles des établissements financiers doivent désormais inclure les cybers risques »

Les banques et les établissements financiers, ne peuvent plus faire l’économie d’offrir plus de services et de produits à leur clientèle en plus de l’optimisation de leur gestion interne. 

La digitalisation de ces établissements est un processus qui leur permet de développer une stratégie omnicanale, mieux ciblée. Le client, «particulier» ou «corporate»,  peut dorénavant être atteint directement à travers une application mobile ou une interface web. 

Le minimum de cette digitalisation est la banque en ligne. C’est la porte d’entrée de toutes les opérations de commerce électronique. Les corollaires sont le e-paiement (Paiement effectué à travers Internet en utilisant un moyen de paiement dématérialisé, tel que les cartes CIB ou Eddahabia) et le m-paiement (Paiement électronique qui utilise le mobile pour effectuer des paiements ou faire des des transfert d’argent tel que Baridimob, qui en est une bonne approche). Leurs sécurisations se doivent d’être totales et robustes, du clic de l’internaute chez le web marchand, au débit bancaire en passant par la plateforme de la SATIM (Opérateur monétique interbancaire) qui effectue cette opération financière.

Les règles prudentielles que les banques et établissements financiers appliquent, sont en principe conçues pour éviter les déconvenues d’une insolvabilité clientèle. Elles doivent désormais inclure les cyber risques. 

Les cyber menaces auxquelles les banques sont confrontées aussi bien contre elles-mêmes que contre leur clientèle, sont réelles. Elles peuvent paraître incertaines mais elles sont potentiellement dévastatrices, car les adversaires cherchent constamment des vulnérabilités. 

Le cyber attaquant est en veille constante, sans jamais fermer l'œil car, pour la plupart du temps, ce sont des robots qui le font, pour lui. Ils essaient tout le temps, ils ne se fatiguent jamais et il suffit qu’ils réussissent à passer une fois pour gagner, alors que nous autres devons gagner tout le temps! 

 

Au classement mondial de 2021 sur la qualité du débit internet, l’Algérie a occupé la 86e place, derrière ses voisins immédiats. Selon vous, quelle stratégie à adopter pour améliorer cette classification ?

Les classements mondiaux du débit de connexion à Internet sont légion. Il en existe des dizaines en plus de celui auquel vous faites référence. D’après les 3 ou 4 autres classements mondiaux que je consulte régulièrement, il est indéniable que le débit moyen de l’Internet Algérie s’est substantiellement amélioré. La hausse a été de 30 à 40% en moyenne, par rapport à l’année dernière, selon les classements mondiaux. Il est vrai que cela ne veut pas dire que le classement relativement aux autres pays ait beaucoup bougé. Il se pourrait même qu’on ait perdu ou même gagné quelques places d’une année sur l’autre. Cela semble être le cas puisque l’Algérie est, malgré tout,  en train de gagner des places comme l’a montré le dernier classement de Speedest de la compagnie Ookla qui nous fait gagner 30 places en l’espace d’une année. 

Ali Kahlane, Vice-président du Think Thank   « CARE », Ex. conseiller du Ministre  des Transports.