Art Coviello, RSA : «nos besoins de sécurité ont changé»

C’est sur une version revisitée de «You can’t always get what you want», des Rolling Stones, que s’est ouverte l’édition 2012 de la conférence RSA. Une métaphore, sur le thème de la sécurité informatique, qui a servi de fil conducteur à l’intervention d’Art Coviello, président exécutif de RSA, pour évoquer les efforts de la communauté de la sécurité dans la lutte contre l’insécurité informatique.

«Beaucoup de gens voudraient vivre dans un monde débarrassé du risque », a-t-il relevé avant d’assurer que «l’on peut pas toujours avoir ce que l’on veut ». Dès lors, garantir une informatique dépourvue de toute forme de risque relève du fantasme. Pour autant, réduire le risque est possible et... «si vous essayez, vous  trouverez peut-être ce dont vous avez besoin». Dès lors, pour Art Coviello, l’industrie de la sécurité informatique n’a plutôt pas trop mal réussi jusqu’ici : «nous avons réussi à rendre Internet suffisamment sûr pour qu’il transforme le monde. Et il a transformé le monde.» Mais se contenter de cela, semblait-il dire, serait comme rester tourné vers le passé, car «nos besoins ont changé» avec l’émergence de nouvelles menaces. Mais aussi de nouveaux utilisateurs. À moins que ce ne soit simplement l’accélération de l’adoption des technologies de l’informatique, «trop rapide pour que les gouvernements puissent suivre », avec toutes les implications que cela peut avoir. Et de prendre l’exemple du printemps arabe et du rôle qu’y ont joué les réseaux sociaux, ou encore la téléphonie mobile.

Au final, pour Art Coviello, nos sociétés «ont dépassé le point où l’on pouvait encore séparer le monde physique du monde virtuel, la vie personnelle de la vie professionnelle ». Et d’appeler les organisations informatiques des entreprises à s’adapter et à apprendre «à sécuriser ce qu’elles ne peuvent pas contrôler ». Pour le président exécutif de RSA, l’industrie entière de la sécurité informatique est confrontée à un défi tel qu’elle n’en a jamais connu. «Et le risque d’échouer est grand », reconnaît-il, d’autant que «l’approche actuelle de la sécurité est inadéquate ». Reprenant un air déjà entendu dans la bouche d’autres acteurs de la sécurité informatique, Art Coviello a alors appelé l’audience à «dépasser la pensée linéaire, la logique de protection périmétique et basée sur des signatures [...] Nous devons accepter l’idée que nos réseaux seront infiltrés [...] que la protection totale est impossible [...] mais cela ne pas dire qu’il faille considérer que les pertes de données sont inévitables ».

C’est donc de protection en profondeur dont il est question. Mais pas seulement : «nos adversaires profitent de la rapidité d’Internet, nous devons en faire autant et utiliser l’intelligence que recèle Internet à notre avantage.» Sécurité en profondeur, donc, mais matinée d’analytique Big Data, pour permettre de détecter les signaux faibles qui trahissent une attaque. La difficulté ? Art Coviello l’illustre en s’appuyant sur les chiffres du dernier rapport de Verizon Business sur les intrusions : «91 % des incidents conduisent à une compromission en l’espace de quelques jours» tandis que «79 % d’entre eux ne sont découverts qu’au bout de semaines ». La course ne semble pas tout à fait gagnée. 

Pour le président exécutif de RSA, il faut donc constituer des systèmes basés sur l’analyse des risques avec une importante granularité : l’important n’est pas de tout surveiller mais de se concentrer sur ce qui a la plus grande probabilité d’être attaqué, ce qui est le plus vulnérable, et ce qui est susceptible d’avoir le plus de valeur aux yeux des attaquants. Et il faut encore déployer des outils capables d’identifier les comportements anormaux en temps réel : «ces produits existent, nous devons en accélérer l’adoption.» Mais également multiplier les sources d’informations, systématiser et formaliser les échanges de renseignements. Pour Art Coviello, c’est donc à l’échelle d’une communauté, soudée, que le combat doit être mené.