Transcription

• Speaker #0

  Bonjour à toutes et à tous, bienvenue dans le premier épisode de CyberWomen, le podcast qui donne la parole aux femmes dans le secteur de la cybersécurité. Je m'appelle Élodie et je suis votre animatrice pour ce podcast qui, je l'espère, suscitera un certain intérêt et connaîtra plusieurs saisons, en fonction de vos retours et recommandations. Avec ce podcast, je souhaite mettre en lumière la diversité des parcours professionnels dans ce domaine encore majoritairement masculin qu'est la cybersécurité. J'espère aussi susciter des vocations auprès des jeunes filles qui cherchent leur voie. Dans chaque épisode, j'ai le plaisir d'interviewer une experte du domaine pour mieux comprendre son cheminement personnel et professionnel. L'objectif est de montrer la diversité des profils qui œuvrent dans ce secteur en pleine évolution. Aujourd'hui, j'accueille Sara Sellos, qui évolue en tant que cheffe de département au sein de la Direction Générale de l'Armement et ex-parte-parole de l'ANSSI sur les questions de féminisation. Je vous souhaite une agréable écoute de notre entretien. Merci Sara d'être mon invitée. Pour commencer, pouvez-vous vous présenter succinctement ?

• Speaker #1

  Oui, donc je m'appelle Sara Sellos, je suis ingénieure principale des études et techniques de l'armement à la Direction Générale de l'Armement. Actuellement, j'occupe le poste de cheffe de département dans un centre qui s'appelle le CATOD et qui a pour objectif de préparer les systèmes dans le futur. Et je viens de quitter mon poste à l'Agence nationale de la sécurité des systèmes d'information en tant que coordinatrice sectorielle défense. Voilà, donc mon tropisme, il est très défense.

• Speaker #0

  Pouvez-vous décrire votre parcours professionnel depuis vos débuts à la DGA jusqu'à votre poste actuel ?

• Speaker #1

  Oui, alors du coup, je suis diplômée d'une école d'ingénieurs qui s'appelle l'ENSTA Bretagne, qui forme à la fois des ingénieurs civils et des ingénieurs militaires. Moi, je suis ingénieure militaire. Et donc, ma formation est très orientée informatique parce que j'ai choisi une spécialité qui s'appelle informatique, automatique et systèmes embarqués. Donc, j'ai choisi cette filière informatique parce que j'avais découvert l'informatique au lycée, en classe préparatoire aux grandes écoles, et ça m'avait vraiment beaucoup plu. Donc, j'ai orienté tout mon parcours de formation dans la spécialité informatique. Et donc, en sortie d'école d'ingénieur, le premier poste que j'ai occupé, c'était un poste dans un centre d'essai qui est situé à Mont-de-Marsan, dans une base aérienne. Et donc, je devais assurer des expertises dans le domaine des systèmes d'information opérationnelle et dans le domaine des réseaux et des télécommunications. Et tout ça m'a amenée à évoluer dans un monde à la fois très technique dans le domaine des réseaux et de l'informatique, mais aussi très militaire parce qu'il s'agissait d'évoluer dans les systèmes de défense du Ministère des Armées. Et donc, j'ai évolué vers un poste d'architecte technique pour gérer les projets et les contrats d'armement. Et en fait, naturellement, je suis arrivée à la cybersécurité. parce que quand on traite des problématiques informatiques, des problèmes de systèmes d'information opérationnelle et des systèmes réseaux dans des environnements qui sont contraints, dans des environnements qui sont sensibles, on est forcément contraint par des mesures de cybersécurité. Donc j'ai poursuivi mon parcours en tant qu'analyste de la menace cyber et expert dans le domaine des études cybercapacitaires. Donc en fait l'objectif c'était d'étudier les menaces qui pouvaient affecter les systèmes du futur et c'est ça qui m'a conduit en fait à l'Agence nationale de la sécurité des systèmes d'information pour assurer la coordination sectorielle dans le domaine de la défense. Donc mon rôle en tant que coordinatrice sectorielle c'était d'accompagner les acteurs de la défense, c'est-à-dire le Ministère des Armées mais aussi les industriels de l'armement, à régler leurs problématiques de cybersécurité. Et donc, à l'issue de ce poste au sein de l'ANSSI, je suis retournée à la Direction Générale de l'Armement pour occuper un poste de cheffe de département, c'est un poste de management, pour encadrer les pilotes et les architectes d'études qui vont penser. au système futur. Et donc, dedans, on a des plateformes, on a des systèmes d'information et on a évidemment des enjeux de cybersécurité parce que tout ça, c'est très fortement interconnecté. Il y a beaucoup de numérique là-dedans. Et donc, voilà.

• Speaker #0

  Qu'est-ce qui vous a amené à vous intéresser au domaine de la cyber et à faire ce choix de carrière ensuite ?

• Speaker #1

  Comme je le disais, quand j'étais plus jeune, en classe prépa, j'ai découvert l'informatique. Mais sous l'angle très technique, les algorithmes, le codage. Et ça m'a vraiment tout de suite plu en tant qu'étudiante. parce que je trouvais que c'était vraiment merveilleux de pouvoir interagir comme ça avec un ordinateur et finalement de faire tout ce qu'on pouvait imaginer. Donc il y avait un aspect créativité qui était très plaisant. Et donc quand j'ai orienté mon parcours de formation dans le domaine de l'informatique, forcément j'avais envie de l'enrichir, de poursuivre là-dedans. Et en fait, j'ai découvert au fur et à mesure de ma carrière que la cybersécurité, en fait, quand on aime l'informatique, c'est un peu le paradis, parce que ça va toucher à toutes les facettes de l'informatique, y compris celles que l'on ne connaît pas dans son cursus de formation initiale, qui moi était un ingénieur logiciel à la base. On va toucher au système d'information, on va toucher au langage primaire de l'ordinateur, quand on fait du reverse engineering, quand on... On regarde le langage des processeurs, on va toucher à la cryptographie, on va toucher à tout ce qui est le web, et puis on va toucher à tout ce qui est l'analyse des données quand on fait du forensic, etc. En fait, quand on est passionné d'informatique, la cybersécurité, c'est vraiment une filière pour s'y épanouir. Et c'est ça que je recherchais quand j'ai construit mon parcours professionnel.

• Speaker #0

  En quoi consistait votre précédente poste de coordinatrice sectorielle défense à l'ANSSI ?

• Speaker #1

  Donc en fait, le poste de coordinateur sectoriel, il a pour objectif d'accompagner les acteurs de la défense, enfin moi pour la défense, mais en fait il y a d'autres secteurs comme l'alimentation ou l'énergie. Donc il faut qu'on les accompagne à traiter leurs problématiques de cybersécurité. Et ces entités-là sont généralement des grands opérateurs d'importance vitale qui ont des mesures importantes à appliquer. Donc, il faut pouvoir les accompagner parce qu'appliquer des mesures de sécurité, ce n'est pas si simple. Et il faut pouvoir aussi les accompagner pour progresser dans leur niveau de cybersécurité. Donc, en fait, on met en place des services au sein de l'agence pour les aider à améliorer leurs architectures. Et puis aussi, on les accompagne quand ils sont confrontés à des incidents de cybersécurité. Des incidents qui peuvent être parfois très graves Et donc, on met en place des dispositifs pour pouvoir traiter la menace, comprendre ce qui s'est passé et remédier à la cyberattaque. Donc en fait, la coordination sectorielle, ça consiste finalement à accompagner tous ces acteurs, à expliquer au sein de l'agence, à faire comprendre le secteur de la défense au sein de l'agence, parce que ce sont des secteurs qui ont tous leurs spécificités, et à faire en sorte, auprès de ces secteurs, de pouvoir se sécuriser.

• Speaker #0

  Pourquoi avez-vous quitté l'ANSSI pour revenir à la DGA ?

• Speaker #1

  En fait, c'est très simple, c'est parce que moi, je suis militaire. Donc, quand j'ai occupé le poste au sein de l'agence, c'était dans le cadre d'un détachement. dans le cadre d'un déchachement. Et quand on est détaché, on finit par revenir au bout d'un moment pour occuper des postes qui sont parfois de plus haute responsabilité, comme par exemple le management d'une équipe. Et donc, ça faisait partie de mon parcours carrière de revenir ensuite à la DGA, occuper un poste à responsabilité, puisque je manage aujourd'hui une équipe d'une vingtaine de personnes, tout en tenant compte... tout ce qu'on a pu apprendre, et pas que sur le plan technique, mais aussi sur le plan humain, sur le plan interministériel, etc.

• Speaker #0

  En quoi consiste concrètement votre nouveau poste de cheffe de département à la DGA ?

• Speaker #1

  Au sein de la DGA, j'ai une équipe d'une vingtaine de personnes qui sont des pilotes d'études techniques opérationnelles. Mon objectif, c'est bien sûr de recruter ces personnels, de les former. dans le travail qu'ils doivent faire parce qu'en fait, ils doivent étudier les systèmes du futur. qui va servir au Ministère des Armées pour défendre notre pays. Et donc, c'est des systèmes qui sont souvent extrêmement complexes. Et en plus, quand on se projette dans le futur, on est amené à traiter des problématiques techniques qui sont extrêmement exigeantes. Et parmi ces problématiques techniques, il y a aussi des problématiques d'interconnectivité, de numérisation de systèmes et de cybersécurité. Donc en fait, ces pilotes d'études, ils doivent appliquer une méthodologie pour réaliser ces études qui s'appelle la maîtrise des architectures de systèmes de défense. Et donc moi, mon rôle, c'est aussi de les accompagner dans leurs études, de vérifier la qualité de leur production. Donc voilà, c'est un rôle de manager.

• Speaker #0

  Oui, j'imagine. Comment vous continuez à vous former depuis votre début de carrière ?

• Speaker #1

  Au sein du Ministère des Armées et en particulier à la DGA on a la chance de pouvoir traiter des sujets qu'on ne pourra trouver nulle part ailleurs mais qu'on pourra réutiliser pour pouvoir travailler ailleurs. En fait, je m'explique. Quand vous travaillez dans un système d'information opérationnelle qui est utilisé uniquement par les forces armées, qui est extrêmement technique, extrêmement complexe, mais qui va utiliser des technologies comme l'intelligence artificielle, le big data, voire même des outils de cybersécurité, quelque part, vous allez énormément accroître vos connaissances parce que vous êtes dans des environnements exigeants. Et vous allez pouvoir le réutiliser dans des systèmes qui sont un petit peu plus standards. C'est-à-dire que dans des systèmes en entreprise, vous allez avoir des contraintes qui sont un petit peu différentes. Vous allez retrouver un petit peu les mêmes briques, mais vous allez avoir en fait des briques qui ne sont pas aussi exigeantes. Par exemple, si on prend un char, il va devoir travailler dans des environnements très contraints, faire face à des missiles, des explosifs. Sécuriser un char, ça nécessite en fait des techniques. qui sont très spécifiques, mais aussi des techniques standards. Et je parle en termes de cybersécurité, il y a des systèmes d'électronique qu'on va pouvoir réutiliser. Donc, en fait, le fait de faire des choses qu'on pourra voir nulle part ailleurs est extrêmement intéressant parce que ça fait l'originalité, ça donne un intérêt au poste. On voit vraiment des choses extraordinaires. Mais d'un autre côté, en faisant de l'informatique, du numérique et de la cybersécurité, on peut réutiliser ces compétences pour ensuite servir... par ailleurs une entreprise ou un autre ministère ou un autre service de l'État.

• Speaker #0

  Quelles ont été les expériences marquantes de vos 17 années passées à la DGA ?

• Speaker #1

  J'ai eu plusieurs épisodes marquants qui sont liés à mon parcours informatique. Quand j'étais dans un centre d'essai à Mont-de-Marsan, le fait de pouvoir configurer ces plateformes pour ensuite mettre en place des tests de grande nature, des tests qui fonctionnent avec des avions qui volent, des radars qui sont déployés et qu'on va voir apparaître sur les écrans pour pouvoir qualifier les systèmes d'information, c'est assez impressionnant de voir tous ces dispositifs sous format test qui vont ensuite être utilisés. dans le cadre d'un déploiement des forces armées. Donc voilà, moi j'étais très marquée par le décollage de rafales quand j'étais à la base aérienne, de les voir décoller pour l'entraînement. Donc c'est très impressionnant de les voir, d'être en fait juste à proximité et de voir un rafale décoller. Enfin honnêtement, on ne voit pas ça tous les jours et pas d'aussi près. Donc ça, c'est au sein de la DGA. Une autre expérience qui m'a assez marquée, c'est... en fait, d'être capable de construire un système d'information, de le fabriquer nous-mêmes. En fait, on reçoit beaucoup de documents, de production de documentation, et quand on ne sait pas l'outiller, on est très perdu. Et pendant le confinement de 2020, on a tous, quelque part, eu un petit peu de temps pour se poser et pour faire des choses qu'on avait envie de faire et qu'on ne pouvait pas faire. Donc, en fait, j'ai construit un outil. pour pouvoir simplement voir ce qu'on n'arrive pas à voir de manière linéaire en recevant des tas de documents Word et Excel. J'ai construit une espèce d'outil avec une base de données. avec des algorithmes derrière. Et donc, c'était assez impressionnant finalement d'être capable de voir avec un logiciel informatique ce qu'on n'est pas capable de voir avec des formats standards comme le Word, l'Excel, le PowerPoint. Donc ça, c'est un événement qui m'a aussi beaucoup marquée.

• Speaker #0

  Oui, en effet, c'est super intéressant. Dans un tout autre registre, comment vous expliquez le manque d'expertise dans le monde de la cyber en France et plus largement dans le monde ?

• Speaker #1

  Alors, en fait, déjà, il y a, je pense, un défaut d'appétence dans le domaine informatique. Parce que l'informatique, malheureusement, ce n'est pas très sexy, a priori. Maintenant, ça a peut-être changé. Mais en fait, quand j'étais plus jeune, je me souviens d'un clip qui tournait en boucle. qui s'intitulait "Je suis ingénieur informaticien". Je ne sais pas si vous connaissez ce clip, mais ça vaut le coup de que vous fassiez une recherche Internet et que vous écoutiez ce clip. Et je pense que c'est assez emblématique. Alors, c'est vraiment très métaphorique, ce que je dis, et ce n'est pas fondé sur des sciences sociales. C'est vraiment une appréciation qui m'est propre. En fait, la manière dont le clip est tourné, c'est qu'on n'a vraiment pas envie de devenir ingénieur informaticien. C'est une chanson qui tourne en boucle avec un mec boutonneux avec des lunettes qui explique qu'il aime les ordinateurs. Et en fait, on a envie de se moquer de lui parce qu'en fait, ça stéréotype l'ingénieur informatique. Et pendant un certain nombre d'années, on a quand même considéré que l'ingénieur informatique, c'était un peu la personne, le garçon d'ailleurs, à lunettes, en chaussures à scratch, qui donne le support informatique, et puis c'est tout. Ce n'était pas aussi sexy qu'un pilote d'avion, avec des films comme "Top Gun", ou comme un médecin. Il y a plein de séries sur les médecins. Et donc, en fait, il y a une vision très stéréotypée du métier dans l'informatique, et donc, du coup, de la cybersécurité. qui fait que les gens n'ont pas forcément envie de faire ça. Il y a un manque de connaissances aussi de ce qu'on fait en réalité. Quand vous voyez, par exemple, quelqu'un qui chante ou qui joue de la musique, c'est impressionnant. Si vous voulez montrer quelqu'un qui fait de la cybersécurité à la télé, c'est quand même plus difficile. On est devant un ordinateur et finalement, on n'a pas grand-chose à montrer. Aujourd'hui, il y a des super séries comme "Mister Robot" ou d'autres séries qui essayent de... de démystifier tout ça et rendre ça beaucoup plus sexy. Mais en fait, quelque part, si moi, je devais faire une démonstration de cybersécurité, ce n'est pas comme une démonstration de piano, parce qu'en fait, je suis aussi pianiste. J'ai fait du conservatoire pendant 14 ans. Quand je fais une démonstration de piano, ce n'est pas pareil qu'une démonstration de cybersécurité, parce que c'est quand même assez difficile à démystifier, en fait, au final. Donc, je pense qu'il y a une méconnaissance du métier, d'une part, et il y a un stéréotype, en fait, du métier. qui fait que la cybersécurité, c'est bien, mais c'est pour les ingénieurs informaticiens qui sont passionnés. Et en fait, ce n'est pas vraiment pour moi. Et puis de toute façon, l'informatique, on n'y comprend pas grand-chose.

• Speaker #0

  Oui, malheureusement, on entend encore souvent ça. Comment participez-vous à faire découvrir l'ethical hacking de manière ludique auprès des jeunes notamment ?

• Speaker #1

  Oui, alors déjà, ce qu'il faut voir, c'est que récemment, ce week-end, j'ai travaillé les cours d'informatique avec mes deux filles. Donc, elles ont 10 ans et 12 ans. Donc, elles avaient des cours d'informatique. Déjà, il faut voir qu'il y a un gros effort de la part de l'Éducation nationale pour faire en sorte que l'informatique soit plus accessible. En fait, que le plus grand nombre puisse accéder à l'informatique, tout simplement parce que la société s'est fortement numérisée et qu'on a bien senti qu'il fallait faire quelque chose. Et ce qui est assez frappant, c'est que toutes les deux... elles trouvaient ça dur et un peu ennuyeux. Parce qu'en fait, comme je le disais précédemment, c'est vrai qu'il faut vraiment rentrer dedans. Donc, les cours un petit peu théoriques, c'est ce qui se fait aujourd'hui. C'est des cours théoriques qui permettent de comprendre ce que c'est qu'un ordinateur, qui sensibilisent vis-à-vis des réseaux sociaux et vis-à-vis des menaces. Et je trouve déjà que c'est très bien de faire ça. dès le plus jeune âge, de sensibiliser au monde numérique. Mais moi, j'essaye de faire quelque chose qui fait en sorte que les enfants, quand ils font ça, ils ne trouvent pas ça ennuyeux. C'est pour ça qu'en fait, j'ai développé une plateforme. Alors, ce n'est pas HackKids, ça s'appelle Kids Can Hack. C'est une plateforme qui permet de mettre les enfants dans une situation de hacker. Il faut savoir que voilà, moi je l'avais dit tout à l'heure, l'ingénieur informaticien c'est un peu ennuyeux, mais le hacker par contre, paradoxalement, on trouve ça vachement sexy. On trouve qu'il y a un côté un peu magique dans le hacker, ce qu'il sait faire, c'est toujours les petits génies informatiques. Moi, ce que j'essaye de faire en sorte, c'est de mettre les enfants dans la peau d'un hacker et je les mets en situation de CTF, qui veut dire Capture The Flag. C'est des compétitions de hacking. Il y a plein de plateformes qui permettent d'apprendre la cybersécurité par la pratique. Et donc, en fait, j'ai développé une plateforme avec un collègue pour... pour faire en sorte que des challenges de hacking soient accessibles à des enfants qui savent seulement lire, écrire et contrer. Donc, par exemple, on va les mettre devant un challenge de cybersécurité et on va leur dire, tiens, dans cette page, il y a un mot de passe à craquer. Comment tu fais sans utiliser des moyens informatiques comme des utilitaires comme Hashcat ou John the Ripper ? Donc, l'idée, c'est de leur... de les mettre en situation sur des challenges que nous, on a déjà pu faire par ailleurs, mais qui soient accessibles à eux dans le sens où ils n'ont pas besoin de coder, ils n'ont pas besoin de comprendre des commandes compliquées et des regex hyper compliqués. Ils doivent juste savoir lire, écrire et compter.

• Speaker #0

  En quoi consistent les ateliers Kids Can Hack que vous animez ?

• Speaker #1

  Alors en fait, c'est simple. Donc en fait, moi, j'ai plusieurs types d'ateliers, mais les ateliers que je fais le plus souvent, c'est à l'école ou dans des ateliers avec parents/enfants, ils font des binômes. Donc en fait, la première chose que je fais, c'est que j'ai un petit support informatique et la première chose que j'essaye de leur faire comprendre, c'est quoi la différence entre un hacker et un pirate informatique ? Parce qu'il y a un énorme amalgame qui est fait dans les médias et dans... dans la vie publique en général, c'est que souvent, on confond le hacker avec le cybercriminel, alors que ça n'a strictement rien à voir. Donc j'essaie de leur faire comprendre cette différence sous la forme d'un quiz ou d'un jeu de rôle, en leur expliquant déjà, en leur définissant ce que c'est qu'un pirate informatique et ce que c'est qu'un hacker. Un hacker, c'est quelqu'un qui bricole, ça vient du terme hack, qui veut dire bricoler, manipuler. Et donc, j'essaie de leur faire un petit exercice avec des choses qu'ils connaissent, par exemple, dans des films comme Harry Potter ou Twilight, pour essayer de repérer quel personnage pourrait être le hacker et quel personnage pourrait être le pirate informatique. Et ensuite, après cette introduction, qui est vraiment importante pour comprendre la différence entre le hacker et le pirate informatique, eh bien, en fait, je les mets face au challenge. Donc, en fait, la plateforme, elle est accessible. Donc, le site, c'est www.challenges-kids.fr. Donc, je les mets en situation et je leur propose de faire un ou plusieurs challenges. qui sont en fait des challenges par niveau, faciles, moyens et difficiles. Donc en fait, on commence par faire tous les challenges les plus faciles. Et en fait, il y a plusieurs sections. Il y a la section web, donc on va exploiter des failles web. Il y a la section cryptanalyse, on va essayer de décoder des messages. Puis il y a la section steganographie. Donc la stéganographie, c'est la capacité à cacher des messages dans des images ou dans d'autres types de médias. On a une section réseau, on va essayer de faire comprendre aux enfants les réseaux informatiques et les attaques qui peuvent se produire dans les réseaux. Et puis on a une section qui est culture, pour améliorer leur culture générale et leur culture générale vis-à-vis de l'informatique, mais aussi des menaces. Et donc en fait, ils doivent vraiment résoudre ces challenges comme ils le feraient dans une plateforme dédiée. qui existent, par exemple, Root Me ou Kiko CTF, c'est des challenges. Ils sont face à ce challenge. Et déjà, la première chose à faire, c'est qu'ils doivent comprendre ce qu'ils doivent faire. Et bien sûr, ils ne sont pas tout seuls. L'animateur, donc en l'occurrence, moi et mon collègue, on les guide. On essaie de vulgariser ce qu'ils font. Par exemple, leur vulgariser ce que c'est que le système hexadécimal en informatique. Et après, on les guide pour essayer de résoudre les challenges, mais sans leur donner la réponse.

• Speaker #0

  Selon vous, quel est l'intérêt d'initier les enfants aussi jeunes au numérique et à la cyber ?

• Speaker #1

  Alors effectivement, moi je propose de les initier tôt. Pourquoi ? Parce qu'à cet âge-là, ils n'ont pas encore des stéréotypes dans leur tête. Quand ils sont un peu plus grands, il y a plein d'initiatives qui permettent d'engager les enfants. notamment au lycée, on s'aperçoit que les filières, on a du mal à les remplir, et notamment par les filles. Les filles ne se lancent pas là-dedans. Et en fait, pour tout vous dire, moi, quand j'ai commencé à faire ça, je voulais simplement donner à mes filles, parce que j'ai deux filles, l'envie de... Comment dire ? De découvrir la cybersécurité. En fait, à la base, je voulais faire vraiment une plateforme juste pour moi et mes filles. Et je me suis creusé la tête pour savoir comment j'allais faire. parce qu'elles avaient des cours en informatique aussi. Je me suis dit, c'est bien, ils font des cours en informatique, mais c'est dommage, ça ne les intéresse pas encore. Parce que quand elles reviennent de classe, elles nous disent : "ça m'ennuie", "je trouve ça un peu nul". Donc en fait, je voulais vraiment les intéresser. Et en fait, moi, j'ai un parcours informatique depuis que j'ai l'âge de 17 ans. Donc ça fait quand même longtemps. Mais en fait, j'ai toujours adoré faire ça. Mais quand j'ai découvert, quand j'ai voulu me former à la cybersécurité, la première chose que j'ai fait, c'est que j'ai lu beaucoup de théories. Et en lisant la théorie, c'était très bien, c'était très intéressant, moi ça me passionnait, mais j'avais quand même du mal, même en ayant un énorme bagage en informatique, j'avais vraiment du mal à savoir comment ça marchait. Et en fait, le principe du hacking, c'est là que j'ai découvert le hacking, d'ailleurs c'est des spécialistes en cybersécurité qui m'ont expliqué, de la DGA-MI d'ailleurs, ils m'ont dit : "si tu veux comprendre les attaques informatiques, il faut que tu en fasses toi-même, donc va t'inscrire sur Root Me" (qui est une plateforme dédiée pour apprendre le hacking, et qui est une plateforme quand même, où il faut être assez costaud déjà, c'est quand même dur, même si on a des prérequis informatiques on n'y arrive pas toujours. Et là, quand j'ai commencé à faire ça, c'est là que j'ai commencé à comprendre les attaques informatiques, à vraiment manipuler et à trouver ça extrêmement ludique. C'est comme un jeu. Et donc, le fait de leur apprendre le hacking par le biais d'un Capture The Flag, c'est simplement... pour les aider à comprendre, à manipuler leur environnement. Voilà, ils touchent vraiment de la main. l'environnement informatique. Typiquement, aujourd'hui, on leur apprend qu'il y a des ordinateurs qui sont des serveurs et des ordinateurs qui sont clients. Eh bien, le fait de tester cette particularité-là dans un challenge informatique, c'est beaucoup plus fort que de voir sur papier. Et donc, en fait, le principe du hacking éthique, c'est bien comprendre l'attaque pour mieux se défendre. Et en fait, c'est exactement pour ça. C'est qu'en fait, le premier but, c'est... leur montrer que c'est rigolo. Et résoudre des énigmes, c'est très rigolo pour des enfants. Les enfants adorent ça. Plus ils grandissent, moins ils ont un attrait pour ça. Je ne sais pas, en tout cas, c'est une observation personnelle. Moi, j'ai mené des ateliers de hacking à des ados qui sont plus grands et j'ai eu plus de mal. Parce qu'ils se sont fait déjà une idée de ce qu'ils voulaient faire. Ils voulaient être médecins, vétérinaires, donc l'informatique, ça ne les intéressait pas. Donc les prendre jeunes, c'est déjà leur donner le goût à ça. Et le 2, deuxièmement, leur montrer qu'ils sont capables eux-mêmes de craquer un mot de passe et qu'en plus c'est un type d'attaque qui a déjà été réalisé par ailleurs ça les engage à faire ensuite plus attention et donc moi je sais que mes filles et les camarades qui ont ensuite dû créer un compte sur leur Pronote et leur École Directe, ont créé un mot de passe fort parce qu'ils ont vu qu'en faisant un mot de passe faible, on pouvait le craquer facilement. Donc voilà, il y a un enjeu de sensibilisation et de matérialisation de ces sensibilisations, c'est de leur faire comprendre ce qui se passe dans l'envers du décor et il y a aussi un enjeu de donner envie de faire de la cybersécurité plus tard parce qu'on s'est tellement amusé à résoudre ces challenges qu'ensuite on a envie d'en faire. Et donc en fait, moi je sais que parmi les enfants que j'ai vus, il y en a beaucoup qui aujourd'hui ont envie de faire de la cybersécurité et pour moi c'est une grosse victoire.

• Speaker #0

  Comment expliquer le manque de femmes dans les filières techniques et la cyber ?

• Speaker #1

  Ça s'explique déjà d'une part parce qu'il faut constater qu'en école d'ingénieur ou dans les filières techniques, déjà, proportionnellement, il y a moins de femmes. Et puis après, comme je l'ai dit, quand les femmes s'engagent dans leurs études, quand elles découvrent finalement la cybersécurité, si généralement c'est durant leurs études supérieures, elles ont déjà une idée préconçue de ce qu'elles veulent faire. Elles ont une idée préconçue de ce qu'elles veulent faire parce qu'elles ne comprennent pas très bien ce que ça veut dire faire de la cybersécurité. Faire de la cybersécurité, pour beaucoup, c'est avoir un sweat à capuche et puis taper des commandes incompréhensibles. et faire des choses extrêmement compliquées et qui ne sont pas très perceptibles. Alors que peut-être faire de l'intelligence artificielle, du big data, ou du design, tout ça, c'est peut-être un peu plus concret pour elles. En fait, il y a les stéréotypes. C'est les stéréotypes qui... qui font qu'ils sont très marqués quand vous voyez que en fait, quand les stéréotypes sont construits sur le fait que c'est un truc pour les garçons, c'est un petit peu un sweat à capuche, hyper hyper technique. Et puis, le deuxième point, c'est une méconnaissance peut-être des métiers et des carrières qu'on peut faire en cybersécurité. On voit beaucoup la cybersécurité comme un domaine extrêmement technique, extrêmement pointu, etc. Mais en fait, la cybersécurité, c'est toute une filière. C'est un domaine dans lequel on peut rebondir dans différents types de métiers. On peut commencer par la technique, faire de la stratégie, pour ensuite être plutôt dans du marketing. Enfin voilà, les parcours en cybersécurité sont extrêmement riches et je pense que la plupart des gens, et en particulier les jeunes filles, n'en ont pas conscience et ne le savent pas. Oui, clairement, je pense qu'il y a de ça. Mais que pensez-vous des craintes de certaines jeunes filles, justement, à se lancer dans ces domaines ?

• Speaker #0

  Alors moi, je vais parler d'une initiative qui a été lancée par le Ministère de l'Éducation qui s'appelle "Demain Expert Cyber". qui est une campagne pour justement démystifier tout ça. C'est une campagne qui s'adresse au collège et au lycée, donc c'est très bien. Ça permet d'adresser assez large. On n'arrive pas trop tard, on n'arrive pas trop tôt non plus. Je pense qu'au collège, il y a beaucoup d'enfants qui commencent à réfléchir à leur avenir professionnel, même s'ils n'ont pas une idée très claire là-dessus. Et donc cette campagne qui s'appelle "Demain Expert Cyber", ou "DemainSpécialisteCyber", pardon, qui a été faite en coordination avec l'ANSSI, elle concourt justement à expliquer ce que c'est qu'un parcours en cybersécurité, qu'un métier en cybersécurité. Elle concourt à donner des clés pour comprendre les enjeux des métiers de cybersécurité, à expliquer aussi que ce qu'on peut y faire, c'est passionnant. Il y a des témoignages qui sont donnés. Il y a des initiatives qui sont créées, c'est "CyberEnJeux", c'est-à-dire une forme de jeu. C'est une initiative de l'ANSSI avec le Ministère de l'Éducation nationale, qui s'adresse aux collégiens, aux lycéens, pour découvrir la cyber sous forme de jeu, mais pas de jeu numérique. C'est des jeux un petit peu manuels, mais on peut aussi découvrir la cybersécurité comme ça. Enfin, c'est toutes ces initiatives qui, moi... Je promeux en fait celle du Ministère de l'Éducation, mais... Il y a un tas d'initiatives qui consistent à faire découvrir la cybersécurité aux jeunes. Moi, il y a cette initiative qui s'appelle Kids Can Hack, mais celle du Ministère de l'Éducation avec "DemainSpécialisteCyber" et celles de certains professeurs aussi qui essayent de donner une appétence. Je pense que tout ça, ça va fonctionner pour faire en sorte qu'on arrive à déverrouiller ces stéréotypes et faire en sorte qu'il y ait plus de jeunes filles, il y a plus de... plus de monde, de manière générale, mais en particulier plus de jeunes filles.

• Speaker #1

  Effectivement. Avez-vous des conseils pour les jeunes filles qui souhaiteraient s'orienter vers ces métiers, justement ?

• Speaker #0

  Oui, oui. Déjà, moi, ma doctrine, en fait, ce en quoi je crois, c'est que la cybersécurité, avant tout, c'est un domaine qui est extrêmement technique. Et donc, euh... Voilà, c'est vraiment s'intéresser en fait au domaine technique est vraiment très important. Il y a des gens qui pourront dire bah oui, la cybersécurité, on peut y parvenir par tout un tas de manières via des parcours littéraires. Et c'est tout à fait vrai parce qu'on a des juristes, etc. Mais moi, en tant qu'ingénieure, moi, j'aurais envie de donner en fait comme conseil aux jeunes filles de s'intéresser vraiment aux cours informatiques, de ne pas en fait se donner. des limites. Parce qu'en fait, finalement, quand on commence l'informatique, qu'on soit des filles ou des garçons, au départ, on peut avoir des difficultés. Et moi, je suis vraiment un cas d'école. Quand j'ai commencé mon premier cours d'informatique en classe préparatoire, c'était très difficile. Et ma note, en fait, j'ai eu, ma première note, c'était 1 sur 20. Et je me souviens que mon professeur d'informatique (le professeur de maths, en fait), qui faisait maths et informatique, m'avait dit : "c'est gentil d'avoir participé". L'air de dire que ce n'était pas pour moi. Et moi, j'avais vraiment envie de faire de l'informatique, tout simplement parce que mon père, c'était un informaticien, il avait envie de m'accompagner dans mes études. Il m'avait lui-même sensibilisé sur l'importance de l'informatique et du numérique plus tard. Et en fait, j'avais vraiment envie, il m'avait donné envie de faire ça. Et malgré mon 1 sur 20, j'avais demandé au professeur de me laisser ma chance. Et finalement, il a eu raison. Parce qu'après, j'ai vraiment... bien réussi mes études et finalement réussi à m'épanouir professionnellement, déjà dans mes études, mais aussi professionnellement dans le domaine informatique. Donc moi, le conseil que je donnerais aux jeunes filles, c'est intéressez-vous aux domaines techniques, ne vous rebutez pas sur la difficulté que vous pouvez avoir a priori et intéressez-vous à l'écosystème, à tout ce qu'on parle à la télé, les cyberattaques dans les hôpitaux, les cyberattaques dans un tas d'organisations, parce qu'après, il y aura vraiment un rôle à jouer dans tout ça. J'ai eu beaucoup de chance. d'être parrainée par mon père comme ça. Et je me dis que c'est dommage que d'autres personnes n'aient pas forcément l'occasion de le faire parce que les parents ne savent pas forcément, ils ne sont pas forcément aidés. Et donc, tous ces dispositifs qui sont mis en œuvre par l'Éducation nationale, par des entités publiques comme l'ANSSI ou par des entités privées parfois ou par des particuliers, elles comptent pour donner envie plus tard à s'orienter dans l'informatique, le numérique et la cybersécurité, parce qu'on est dans une société qui va de plus en plus se fonder sur ces technologies-là et on va être une société de plus en plus numérisée et c'est dommage de passer à côté.

• Speaker #1

  Quelles sont les qualités ou compétences requises selon vous pour réussir dans un métier de la cyber ?

• Speaker #0

  Moi, je dirais qu'il y a une qualité majeure, c'est la curiosité. Il faut être curieux. En fait, quand on fait de l'informatique, du hacking, de la cybersécurité, on va toujours se retrouver dans des situations nouvelles. Pourquoi ? Parce que les technologies numériques évoluent constamment. Donc, ce qu'il faut, c'est être curieux et avoir envie d'apprendre, et apprendre continuellement. Donc ça, c'est la qualité majeure pour moi pour se lancer dans la cybersécurité. Vous voyez, je ne dis pas être bon en maths, être hyper technique. Non, non. Vraiment, pour réussir dans la cybersécurité, ce qu'il faut, c'est être curieux. et je dirais que vraiment la particularité c'est, en plus de faire ça, c'est apprendre continuellement une nouvelle technologie. Par exemple, aujourd'hui, l'intelligence artificielle, ça a explosé. Bon, ben, moi, je n'ai pas de background en intelligence artificielle. Je vais m'y intéresser parce que des attaques qui utilisent les potentiels de l'intelligence artificielle, c'est important. Aujourd'hui, on étudie l'informatique sous la forme de bits 1 et 0. Demain, il y aura l'informatique quantique qui va changer tout ce paradigme. Donc, il va falloir, comment dire, comprendre comment ça va marcher ces futurs ordinateurs quantiques et peut-être réapprendre en informatique de zéro. Et c'est ça qu'il faut être capable de faire quand on veut être un spécialiste en cybersécurité, c'est être curieux et apprendre continuellement. Et apprendre continuellement, quand on a déjà beaucoup étudié par le passé, ce n'est pas forcément ce qu'a envie de faire tout le monde. Mais néanmoins, la plus grande richesse d'un expert, d'un spécialiste en cybersécurité, c'est ses connaissances. Et ceux qui ont vraiment envie d'enrichir leurs compétences de manière globale dans le numérique, s'y retrouveront dans ces métiers parce qu'ils seront amenés à apprendre continuellement.

• Speaker #1

  Comment continuez-vous votre carrière prenante avec votre engagement au sein de Kids Can Hack ?

• Speaker #0

  Déjà, il faut savoir que cet engagement associatif m'a déjà énormément fait progresser parce qu'il a fallu que je développe la plateforme, que je conçois des challenges, que je m'intéresse aux cyberattaques qui sont liées à chacun des challenges, parce que là, je ne l'ai pas dit, mais en fait, on a essayé de faire en sorte... d'ancrer tous ces challenges dans la réalité. Donc, chaque challenge que les enfants vont faire, ce sont des vraies cyberattaques qui se sont vraiment déroulées et qui ont touché une entreprise, qui ont touché une entité. Donc, le fait de construire cette plateforme, de faire en sorte que ce soit pédagogique, ludique, déjà, moi, ça m'a permis de consolider mes acquis. L'air de rien, expliquer aux enfants le système hexadécimal, j'étais obligée finalement de réapprendre la manière dont on fonctionne en hexadécimal pour que ce soit concret pour eux. Donc en fait, faire de la pédagogie, ça vous enrichit continuellement et ça vous renforce dans vos compétences. Et puis après, pour tout vous dire, moi, je passe beaucoup de mon temps libre à faire du hacking éthique aussi. En fait, c'est mon loisir. Et en faisant du hacking éthique, j'enrichis constamment mon panel de compétences.

• Speaker #1

  Quelle est votre vision de l'évolution des métiers de la cyber dans les années à venir ?

• Speaker #0

  Moi, comment je vois l'expert en cybersécurité dans les années qui vont venir ? Dans les cinq années qui vont venir, ça ne va pas beaucoup changer parce qu'en fait, il faut savoir que... sécuriser les systèmes d'information, ça se repose sur des principes. qui sont des principes qui durent, qui ont une certaine durée. La défense dans la profondeur, les technologies qui sont derrière, elles vont rester, mais elles vont un petit peu évoluer et s'aider, en fait, des nouvelles techniques. Donc, en fait, l'expert en cybersécurité, il va avoir la théorie qui va rester la même, mais il va avoir des outils qui vont être un petit peu différents et il va devoir, en fait, s'intéresser à ces outils. Il va avoir des nouveaux modes d'attaque, mais en fait, les modes d'attaque... s'appuient sur les nouvelles technologies pour faire des choses qu'on a déjà fait par ailleurs. Et puis aussi, il ne faut pas oublier que les systèmes d'information sont extrêmement nombreux, qu'il y a un énorme travail à faire pour sécuriser tout ça. Donc, il faut concilier à la fois ce qu'on appelle le legacy, c'est-à-dire les systèmes qui fonctionnent avec un vieux Windows depuis longtemps et qu'il faut pouvoir sécuriser parce qu'on ne peut pas le bouger. Et il va falloir concilier les nouveaux systèmes qui ne vont pas totalement remplacer le legacy, mais qui vont s'incorporer dedans et qui vont introduire de nouvelles failles. Donc, finalement, le spécialiste de cybersécurité, il va devoir étudier les nouvelles technologies. Il va pouvoir s'appuyer aussi sur les nouvelles technologies pour s'aider. L'intelligence artificielle, elle va pouvoir aider quand même un certain nombre de choses, par exemple, à améliorer le traitement de la donnée, à éviter de chercher des données très compliquées. Par exemple, quand on fait analyste... analyste SOC et on a beaucoup de données à traiter. Donc, en fait, c'est très difficile de répondre à cette question de manière générale. Ça va dépendre beaucoup des métiers. Mais ce qu'il faut savoir, c'est que les spécialistes de cybersécurité, dans cinq ans, ils vont faire quand même beaucoup ce qu'ils ont fait aujourd'hui. Parce qu'il ne faut pas oublier qu'il y a le legacy, les systèmes anciens qu'il faut sécuriser comme auparavant et incorporer les nouvelles technologies.

• Speaker #1

  Quel conseil donneriez-vous à un jeune qui souhaiterait se lancer dans ce métier ?

• Speaker #0

  C'est un métier qui est... qui est très large. C'est-à-dire qu'on commence cette formation, par exemple, dans une spécialité en cybersécurité, puis après, on va faire un métier qui est un petit peu différent. On va être dans la stratégie, on va peut-être être dans le management de ressources, on va peut-être être dans la formation, peut-être dans le marketing, etc. Donc moi, pour un jeune qui veut s'inscrire sur Parcoursup et qui veut faire de la cybersécurité, ce que je l'engage à faire, c'est de s'inscrire dans les écoles qui vont donner un diplôme spécialisé en cybersécurité. Parce que c'est très porteur. Généralement, ces écoles ne forment pas dans un domaine, elles vont former dans plusieurs domaines simultanés. On va pouvoir voir plein de facettes, on va voir du codage, on va avoir du forensic, on va avoir peut-être de la crypto, on va avoir plein de choses. Et moi, ce que je lui conseille, c'est d'aller dans ces écoles. Il y en a beaucoup. Il y a pas mal d'écoles qui forment à la cybersécurité aujourd'hui. Et de se lancer. Et puis au fur et à mesure, il va trouver sa voie et ses spécialités.

• Speaker #1

  Quels sont vos projets professionnels et associatifs pour les prochaines années ?

• Speaker #0

  Alors les projets professionnels. Moi, aujourd'hui, je suis cheffe de département, je gère un département de pilotes d'études et je fais du management tout en ayant derrière un background technique pour pouvoir conseiller, accompagner les pilotes qui sont dans mon département. Donc moi j'envisage en fait ce poste pendant un certain temps. parce que l'air de rien les postes de management il faut, je pense, il faut pouvoir les faire dans un temps qui est suffisamment long. Partir au bout de deux ans quand on fait un poste de management, pour moi c'est pas quelque chose qui me paraît raisonnable surtout en tant que militaire, donc voilà. Donc dans les prochaines années, moi ce que je voudrais c'est accroître en fait, continuer en fait à faire du management. Et puis après, on verra bien, parce qu'en fait, les parcours à la DGA, ils sont vraiment très spécifiques, ils ne sont pas forcément liés à la cybersécurité. Mais je me verrai bien dans un poste plus tard qui concilie à la fois le management et le domaine de la cybersécurité, en fait, pour être très honnête. Donc, voilà. Donc là, je... Je suis dans une phase où je fais du management. J'aimerais bien, en fait, mais pas forcément spécialiser dans la cybersécurité. C'est des environnements qui sont très complets, très divers. C'est les plateformes et les systèmes dans le contexte du Ministère des Armées. Plus tard, je me verrai bien dans un poste de management dans le domaine de la cybersécurité. Dans le domaine associatif, moi, ce que j'aimerais, c'est continuer à faire découvrir la cybersécurité aux enfants au travers de l'initiative Kids Can Hack. Donc, aller voir, intervenir dans différentes écoles, dans différents événements aussi. Il y a l'événement leHACK qui propose en fait leHACK Kids, que je trouve vraiment très chouette. Moi j'aimerais bien que ce type d'événement puisse se faire dans par exemple le FIC ou d'autres événements dédiés à la cybersécurité, qu'on puisse ouvrir la porte aux plus jeunes, aux enfants, à l'école primaire, au collège. J'aimerais vraiment pouvoir animer des ateliers et faire découvrir la cybersécurité aux enfants à titre associatif.

• Speaker #1

  Avez-vous déjà été confrontée à des difficultés en tant que femme dans un milieu qui est encore majoritairement masculin ?

• Speaker #0

  Eh bien, pas du tout. Honnêtement, pas du tout. C'est vraiment mon retour d'expérience professionnelle. En fait, mon sentiment en tant qu'ingénieure militaire qui a vécu dans un monde extrêmement masculin... j'ai toujours eu le sentiment qu'on me jugeait par rapport à mes compétences et par rapport à mon savoir-faire. On ne m'a jamais jugée par rapport à... Je n'ai jamais eu de difficulté à m'imposer en tant que femme dans le monde professionnel. Néanmoins, je dois dire que quand j'ai fait ma formation d'ingénieure, j'ai trouvé que parfois il y avait des comportements très puérils, et notamment de la part de certains garçons. Et peut-être aussi, c'est ça qui rebute certaines jeunes filles pour s'en lancer dans des écoles d'ingénieurs, c'est pas se retrouver en minorité avec des garçons qui ont un comportement quand même un peu irrespectueux. Alors je sais qu'il y a des choses qui ont changé, avec notamment le mouvement MeToo, etc., que les directeurs d'école sont beaucoup plus attentifs. Mais enfin, néanmoins, si j'ai vécu dans ma période des difficultés à m'imposer en tant que fille c'est pas du tout dans le monde professionnel où je me suis toujours sentie jugée par rapport à mes compétences, c'est vraiment dans le monde d'ingénieurs où je trouvais que parfois c'était quand même un peu limite et très décevant, pas à la hauteur des enjeux et de ce qu'on allait faire plus tard en tant qu'adultes accomplis.

• Speaker #1

  Comment jouer votre rôle de modèle pour les plus jeunes femmes ?

• Speaker #0

  Il y a eu beaucoup de formations en cybersécurité qui se sont lancées. Et on se rend compte qu'on a du mal à les remplir. On a du mal à faire amener les filles. C'est pour ça d'ailleurs que j'ai lancé cette initiative de Kids Can Hack. Je me suis dit, si elles y vont pas parce qu'elles ont décidé sur Parcoursup qu'elles allaient faire autre chose, essayons de les convaincre avant, au plus tôt, avant que ça se fasse dans leur tête. Mais c'est sûr que c'est un cercle vicieux. Moi, je comprends tout à fait que des jeunes filles ne veuillent pas se retrouver en minorité quand on voit le comportement que peuvent avoir certains jeunes garçons qui sont presque des adultes. Et je pense que c'est le rôle des responsables, des professeurs, etc., de veiller à ça, en fait.

• Speaker #1

  Selon vous, quels sont les enjeux actuels et futurs de la cybersécurité en France et dans le monde ?

• Speaker #0

  En fait, on est face à des systèmes de plus en plus connectés, interconnectés et numérisés. Donc, la surface d'attaque augmente automatiquement. Et donc, les risques de cyberattaque qui explosent. On va être confronté à un cyberespace. qui va être de plus en plus, comment dire, pas vulnérable, ce n'est pas le terme, mais de plus en plus exposé. Parce qu'on va être de plus en plus interconnecté partout, avec tous les outils dont on a besoin. Et c'est une tendance qui n'est pas... On se verrait mal revenir en arrière dans ces nouvelles technologies. On parle du Cloud, on parle... des drones connectés. Même au sein des Armées, on a des systèmes d'armes de plus en plus interconnectés avec la logistique, etc. Donc, on va faire face à un cyberespace de plus en plus exposé. Et donc, ce qu'il faut faire, c'est faire en sorte de le rendre le moins vulnérable possible. Et en plus... Face à cette exposition, il faut voir qu'on a des tensions géopolitiques qui sont de plus en plus fortes, on le constate. On sent qu'il y a des tensions entre États qui se renforcent. On le voit, la guerre en Ukraine en 2022, on le voit avec le conflit israélien, on voit qu'il y a des tensions géopolitiques entre les puissances. Et donc, évidemment, ces acteurs-là, ils vont aussi mener des opérations au sein du cyberespace. Ça va donc renforcer leur appétence pour détruire des pays. Il y a plein de cas emblématiques aujourd'hui et ça peut être encore pire dans le futur. Et puis, il y a la cybercriminalité aujourd'hui, du fait qu'on est très interconnecté, très numérisé. mais qu'on n'est pas forcément très bien acculturés, les criminels utilisent le cyberespace pour commettre des méfaits. Et aujourd'hui, on voit, on souffre d'une forme de délinquance qui monte dans nos quartiers. Mais ce qu'il faut savoir, c'est que sur le cyberespace, le cyberdélinquant peut opérer à l'autre bout de la planète. Donc, en fait, c'est des enjeux qui sont extrêmement forts. Un cyberespace de plus en plus exposé, des tensions géopolitiques qui s'exacerbent et une cybercriminalité en constante explosion dans un contexte où on a une pénurie de spécialistes cyber, en fait moi ce que j'appelle des cybercombattants, pour nous défendre. Donc on est dans une situation quand même qui est explosive. Et c'est pour ça, d'ailleurs, qu'il faut faire quelque chose, qu'il faut faire en sorte qu'on soit plus nombreux, qu'on soit plus mixtes aussi, pour être plus efficaces pour faire face à ces menaces.

• Speaker #1

  Nous voilà arrivés à la fin de cet entretien avec mon invitée. Je la remercie chaleureusement pour son témoignage et pour nous avoir fait partager son expérience. J'espère que les auditeurs et auditrices retiendront de précieux enseignements pour leur propre carrière, que ce soit en termes de compétences à développer, d'opportunités à saisir ou de défis à relever, chaque témoignage a son lot d'enseignements à partager. Merci aussi à vous de nous avoir suivis jusqu'au bout. Rendez-vous dans deux semaines avec une nouvelle invitée pour découvrir son parcours. D'ici là, prenez soin de vous et à la prochaine.