Speaker #0Bonjour mamie ! Bonjour et bienvenue dans la cybersécurité expliquée à ma grand-mère, le podcast pour expliquer la cybersécurité à des gens qui n'y comprennent rien. Bonjour et bienvenue dans la cybersécurité expliquée à ma grand-mère, le podcast pour expliquer la cybersécurité à ceux qui n'y comprennent rien. En 1993 sortait un film sur les écrans qui allait marquer toute une génération, Jurassic Park de Steven Spielberg, adapté du roman de Michael Kershtan. Vous vous en souvenez sans doute, un milliardaire visionnaire, John Hammond, a réussi l'impossible, ramener les dinosaures à la vie à partir de l'ADN retrouvé sur des moustiques figés dans l'ambre. Sur une île au large du Costa Rica, il a construit un parc d'attractions extraordinaires. Et avant de l'ouvrir au public, il invite quelques experts pour obtenir leur caution. Ce que tout le monde retient du film, ce sont les dinosaures. Le tyrannosaure, qui surgit sous une pluie battante, le verre d'eau qui tremble sur les tableaux de bord, les vélociraptors dans la cuisine. Mais si vous regardez ce film avec les yeux d'un responsable de la sécurité en informatique, vous remarquerez quelque chose de beaucoup plus inquiétant. Ce ne sont pas les dinosaures qui provoquent la catastrophe, c'est un informaticien. Il s'appelle Denis Nedry. C'est lui qui a conçu tout le système informatique du parc. Les clôtures électriques, les portes, les caméras, la supervision, tout. Il est le seul à vraiment comprendre comment ce système fonctionne. Il s'estime mal payé et pas reconnu. Et en coulisses, il acceptait l'argent d'une entreprise concurrente pour lui livrer les embryons de dinosaures. Un soir d'orage, pour pouvoir quitter le centre de contrôle sans être vu, Il désactive la sécurité du parc. Les clôtures tombent et vous connaissez la suite. Amande aime répéter qu'il n'a reculé devant aucune dépense. Et c'est vrai, les laboratoires, les véhicules automatisés, les infrastructures, tout est à la pointe. Mais il a commis une erreur fondamentale. Il a confié le cœur névralgique de son parc à un prestataire. Sans contrôle, sans surveillance, sans plan de secours. Et le jour où ce prestataire a fait défaut, plus personne n'était capable de reprendre la main. Alors laissez-moi vous poser une question simple, dans votre entreprise, qui est Denise Nedry. Derrière ce sigle un peu barbare se cache une réalité très concrète. TPRM, c'est l'abraviation anglaise de Third Party Risk Management, autrement dit, la gestion des risques liée au tiers. Et par tiers, on entend tous ceux qui ne font pas partie de votre organisation, mais qui contribuent à son fonctionnement. Vos fournisseurs, vos prestataires, vos sous-traitants, vos partenaires. Faites l'exercice un instant. Votre messagerie est probablement hébergée chez un grand fournisseur de cloud. Votre paye est peut-être gérée par un prestataire spécialisé. Votre site internet est maintenu par une agence. Votre comptabilité passe par un logiciel en ligne. Votre antivirus se met à jour tout seul depuis les serveurs de son éditeur. Votre imprimante est entretenue par une société qui peut aussi connecter à distance. Et même votre climatisation est peut-être surveillée par un technicien depuis l'extérieur. Une entreprise moderne n'est pas un château fort isolé. C'est un assemblage, un écosystème, une véritable toile de dépendance. Et chacune de ces dépendances est à la fois une force et une faiblesse. Une force parce qu'elle vous permet de profiter de l'expertise des autres, de réduire vos coûts et de vous concentrer sur votre métier. Une faiblesse parce que chaque tiers qui touche à vos données ou à vos systèmes est une porte supplémentaire par laquelle un problème peut entrer. S'il ne fallait retenir qu'une seule idée de cet épisode, ce serait celle-ci. On peut externaliser une activité. Mais on ne peut jamais externaliser la responsabilité. Si votre prestataire perd les données de vos clients, ce sont vos clients qui vous en voudront. C'est votre nom qui fera la une des journaux. Et c'est à vous que le régulateur demandera des comptes, pas votre prestataire. Il faut aussi comprendre que la chaîne ne s'aide pas à vos fournisseurs directs. Votre prestataire a lui-même ses propres prestataires. Votre éditeur de logiciel héberge peut-être son service chez un fournisseur de cloud. Votre sous-traitant sous-traite peut-être à son tour une partie de son travail. On parle alors de quatrième partie, de cinquième partie, et ainsi de suite. Le prestataire de votre prestataire, c'est aussi votre problème. Et bien souvent, vous ignorez jusqu'à son existence. Vous pensez peut-être que tout cela reste un peu théorique. Alors laissez-moi vous raconter quelques histoires bien réelles. Nous sommes fin 2013, en pleine période des fêtes aux Etats-Unis. Target, l'une des plus grandes chaînes de distribution du pays, découvre que des pirates ont dérobé les données bancaires de dizaines de millions de clients, directement depuis ces terminaux de... de paiement en caisse. Comment les attaquants sont-ils entrés ? Pas en attaquant de front le système de Target. Ils ont d'abord piégé par un simple courriel frauduleux, une petite entreprise de chauffage et de climatisation qui travaille pour l'enseigne. Cette entreprise disposait d'identifiants pour accéder à un portail réservé aux fournisseurs. Les attaquants ont volé ces identifiants, sont entrés dans le réseau, et de proche en proche, ils ont progressé jusqu'aux caisses. Et le plus rageant, c'est que l'attaque avait été repérée. Les outils de surveillance de Target avaient déclenché des alertes, et l'équipe chargée de les suivre, à Bangalore, avait prévenu le siège. Mais au siège, personne n'a réagi. La faire goûter leur poste au PDG ou directeur de l'informatique, un chauffagiste. Voilà le Denis Nedry de Target. Pas un complice cette fois, simplement le maillon que personne ne regardait. Juillet 2021. Casella est un éditeur de logiciels qui fournit des outils de gestion à distance à des prestataires informatiques, lesquels s'en servent pour administrer des ordinateurs de leurs propres clients. Un groupe criminel exploite une faille dans ce logiciel pour déployer un rançon logiciel. Et en une seule opération, La tech se propage en cascade, de l'ITR vers le prestataire, puis des prestataires vers leurs clients. Des centaines d'entreprises sont touchées d'un coup. En Suède, une grande chaîne de supermarchés doit fermer la plupart de ses magasins pendant plusieurs jours, parce que ses caisses ne fonctionnent plus. Ces commerçants n'avaient jamais entendu parler de Kaseya. Il y avait simplement un prestataire informatique qui l'utilisait. Été 2023, une faille est découverte dans Movit, un logiciel de transfert de fichiers très répandu. Un groupe criminel d'exploit à grande échelle et vole des données chez des milliers d'organisations. Parmi les victimes, on trouve un prestataire britannique de gestion de la paie. Et par ricochet, les données personnelles des salariés de plusieurs de ses clients, dont une grande compagnie aérienne et un grand groupe audiovisuel britannique, se retrouvent dans la nature. Ces entreprises n'utilisaient pas Moovit, c'est leur prestataire de paie qui l'utilisait. C'est exactement ce que j'appelais tout à l'heure la quatrième partie. Et puis il y a le 19 juillet 2024. Ce jour-là, il n'y a pas eu d'attaque. Pas de pirates, pas de rançons. Simplement une mise à jour défectueuse d'un logiciel de sécurité distribué par l'éditeur Grandstrike à ses clients. En quelques heures, des millions d'ordinateurs sous Windows à travers le monde affichent le fameux écran bleu et refusent de redémarrer. Des aéroports sont paralysés, des vols annuels et par milliers, des hôpitaux reportent des interventions, des banques et des chaînes de télévision sont perturbées. Ironie de l'histoire, c'est un outil de sécurité choisi précisément pour protéger ces organisations qui les a mises par terre. Cette dernière histoire illustre un risque bien particulier, qu'on appelle le risque de concentration. Quand une grande partie d'un secteur, voire d'une économie entière, repose sur le même fournisseur, une seule erreur de chez ce fournisseur devient un problème systémique. Dans Jurassic Park, tout reposait sur un seul homme. Dans notre monde, énormément de choses reposent sur une poignée de grands fournisseurs de cloud, de logiciels et de services. Et quand l'un de tous, c'est tout le monde qui s'enrume. Vous vous souvenez peut-être que dans un épisode précédent, consacré à la gestion des accès, je vous avais parlé de Solarwine, cette attaque où des pirates avaient compromis la chaîne de production d'un éditeur de logiciels pour s'infiltrer chez des milliers de ses clients. C'était, là aussi, une histoire de tiers. Quand on parle de risque lié au tiers, on pense spontanément aux pirates, mais ce risque a en réalité plusieurs visages, et Jurassic Park les illustre parfaitement. Il y a d'abord le risque des cybersécurités, ces néderies qui coupent les clôtures, Votre prestataire se fait pirater ou il est lui-même malveillant et ce sont vos données ou vos systèmes qui sont compromis. Il y a ensuite le risque de continuité d'activité. Dans le film, une fois Nedry parti, plus personne ne sait comment remettre le système en route. L'équipe de centre de contrôle se retrouve face à un code qu'elle ne comprend pas. Elle finit par tout couper et tout redémarrer, en priant pour que ça fonctionne. Dans la vraie vie, c'est ce qui arrive quand votre fournisseur fait faillite, subit une panne majeure, ou décident du jour au lendemain d'arrêter le service que vous utilisez. Il y a le risque de concentration, dont on vient de parler. Un seul homme connaît le système. Un seul fournisseur fait tourner tout un secteur. Il y a le risque de conformité. Si votre prestataire traite des données personnelles pour votre compte, sans respecter les règles de protection des données, c'est vous qui êtes en infraction au lieu de la loi. Il y a le risque des réputations. Les clients de Target ne se sont jamais demandé quel chauffagiste est en cause. Ils ont retenu une seule chose. Ces targets qui avaient perdu leurs données. Et enfin, il y a un risque plus discret, mais qui prend de plus en plus d'importance. Le risque géopolitique et juridique. Derrière Netri, il y a une entreprise concurrente qui tire des ficelles. Dans le monde réel, votre prestataire peut être soumis aux lois d'un pays étranger, qui l'obligerait à transmettre vos données à ses autorités. Ou il peut se retrouver pris dans des sanctions internationales, qui l'empêcheraient, du jour au lendemain, de continuer à vous servir. Alors comment gérer tous ces risques ? La bonne nouvelle, c'est qu'il existe une démarche éprouvée. Et suit le cycle de vie de la relation avec le fournisseur, depuis le moment où vous envisagez de travailler avec lui, jusqu'au jour où vous vous séparez. Tout commence avant même la signature du contrat. La première étape, c'est de savoir qui sont vos tiers. Ça paraît évident, et pourtant, beaucoup d'organisations seraient bien incapables d'en dresser la liste complète. Une fois que vous les connaissez, il faut les classer, car tous les fournisseurs ne se valent pas. Celui qui livre le café à la cafétéria, Et celui qui héberge les données de vos clients ne représente évidemment pas le même niveau de risque. On évalue donc la criticité de chaque tiers en se posant quelques questions simples. A-t-il accès à nos données ? Et lesquelles ? A-t-il accès à nos systèmes ? S'il disparaît demain, notre activité s'arrête-t-elle ? Pourrait-on facilement la remplacer ? Pour les tiers les plus critiques, on procède ensuite à ce qu'on appelle une due diligence, c'est-à-dire une vérification approfondie avant de s'engager. On examine sa santé financière, son niveau de sécurité. Ses certifications, ses propres dépendances, les incidents qu'il a pu connaître par le passé, et le mot important ici, c'est « proportionnalité » . On ne fait pas passer au fournisseur de café le même examen qu'à l'hébergeur de vos données. Sinon, vous allez noyer vos équipes sous la paperasse. Et au final, plus personne ne regardera rien sérieusement. Vient ensuite le contrat. C'est un mot-clé, et très souvent, on le laisse entièrement aux juristes et aux acheteurs sans y associer les équipes de sécurité. Or, c'est dans le contrat que vous fixez vos exigences. Quelles mesures de sécurité le prestataire doit-il appliquer ? Dans quel délai doit-il vous prévenir s'il subit un incident ? Où vos données seront-elles stockées ? A-t-il le droit de sous-traiter une partie du travail ? Et à quelles conditions ? Pouvez-vous l'auditer ? Et surtout, que se passe-t-il si vous décidez de vous séparer ? Une fois le contrat signé, votre pouvoir de négociation fond comme neige au soleil. C'est avant qu'il faut obtenir la garantie. Pendant toute la durée de la relation, il faut ensuite le surveiller. Et c'est souvent là que le bât blesse. Beaucoup d'organisations évaluent leur fournisseur une fois, au moment de la signature, puis ne regardent plus jamais. Or, un fournisseur évolue. Il peut être racheté, changer de stratégie, réduire ses équipes de sécurité, déménager ses serveurs ou connaître des difficultés financières. Et le contrat doit évoluer avec lui. En 2017, le rançage logiciel NotPetya frappe l'entreprise Nuance, qui dispose d'un accès à distance au réseau hospitalier américain Heritage Valley. L'infection passe de l'un à l'autre, et l'hôpital doit annuler ses consultations pendant plusieurs jours. Quand il se retourne contre son prestataire, il découvre que le contrat qui les lie a été signé il y a plus de 10 ans. Avec une société que Nuance avait rachetée entre temps, et que personne ne l'a jamais mis à jour. Un contrat qu'on ne relit jamais protège mal. La surveillance doit être continue, avec des revues régulières, proportionnées, là encore, à la criticité du tiers. Et puis il y a un point essentiel dont je vous avais parlé dans cet épisode, les accès. Enidri pouvait tout faire dans le système du parc, et personne ne regardait ce qu'il faisait. Il a désactivé toutes les sécurités d'une simple commande, sans alerte, sans validation, sans témoin. Les accès de vos prestataires à vos systèmes doivent être limités au strict nécessaire, tracés, surveillés et révoqués dès que la mission se termine. Le chevagiste de Target n'avait sans doute pas besoin d'un excès qui permettait, de fil en aiguille, d'arriver jusqu'aux caisses. Enfin, il y a la sortie. C'est l'étape à laquelle on pense le moins. Parce qu'au moment de signer le contrat, on est dans l'enthousiasme du début de la relation. Personne n'aime parler de divorce le jour du mariage. Et pourtant, il faut se poser la question. Si demain je dois quitter ce fournisseur, parce qu'il fait faillite, Parce qu'il me déçoit ou parce qu'il a été racheté par mon concurrent, comment je fais ? Puis-je récupérer mes données dans un format exploitable ? Combien de temps me faudrait-il pour basculer vers un autre système ? Existe-t-il seulement une autre solution ? C'est ce qu'on appelle la stratégie de sortie ou la réversibilité. Et nous verrons dans un instant que les régulateurs européens en ont fait une obligation. John Hammond n'en avait aucune. Personne d'autre que Nedry ne pouvait faire fonctionner son parc. Et c'est précisément ce qu'il a condamné. Mais la sortie, ce n'est pas seulement savoir comment partir, c'est aussi savoir ce qu'on laisse derrière soi. En 2016, la banque américaine Morgan Stanley ferme deux de ses centres de données. Elle confie le démantèlement de ses anciens serveurs à une entreprise de déménagement qui n'a aucune compétence en destruction de données. Des disques, qui contenaient encore des informations sur des clients, sont revendus sans avoir été correctement effacés. Quelques années plus tard, le régulateur bancaire américain inflige à Morgan Stanley Une amende de 60 millions de dollars, en lui reprochant notamment de ne pas avoir surveillé ses prestataires. Quand on se sépare d'un tiers, il faut donc récupérer ces données, obtenir la preuve qu'elles ont été détruites, y compris chez son propre sous-traitant. Le secteur financier a bien compris l'enjeu. Avec DORA, le Règlement européen sur la résilience opérationnelle numérique, entré en application en janvier 2025, la gestion du risque lié aux prestataires informatiques est devenue l'un des piliers de la réglementation pour les banques, les assurances. et l'ensemble des acteurs financiers européens. Concrètement, que demande Dora ? D'abord, de savoir exactement de qui l'on dépend. Chaque établissement financier doit tenir un registre de tous ses contrats avec des prestataires de services informatiques en précisant quelles fonctions de l'entreprise ils soutiennent et en remontant la chaîne de sous-traitance pour les services les plus importants. C'est l'inventaire dont je vous ai parlé tout à l'heure, mais rendu obligatoire et transmis aux autorités. Ensuite, Dora fixe un contenu minimal pour les contrats. Descriptions précises des services, localisation des données, niveau de service, obligation d'assistance en cas d'incident, droit d'accès et d'audit pour les établissements, comme pour leur superviseur, conditions de résiliation. Et pour les services qui soutiennent des fonctions critiques, les exigences sont encore plus renforcées. Dora impose aussi de préparer la sortie. Et c'est sans doute l'une des exigences les plus intéressantes. Le règlement consacre un passage entier à ce qu'il appelle la stratégie de sortie. Pour chaque service informatique qui soutient une fonction critique ou importante, l'établissement financier doit disposer d'un registre de sortie. Et le texte précise les situations auxquelles il faut se préparer. La défaillance du prestataire, la dégradation de la qualité de son service, une interruption d'activité causée par un service mal rendu ou plus rendu du tout. Un risque important pesant sur la continuité de service ou tout simplement la fin du contrat, qu'elle soit voulue ou subie. Mais Edora ne se contente pas d'une belle intention sur papier. Le règlement demande que ses plans de sortie soient complets, documentés, suffisamment testés et régulièrement revus. Il demande d'identifier à l'avance les solutions de remplacement possibles et de préparer des plans de transition. Et l'objectif est très clair, pouvoir se séparer de son prestataire sans perturber son activité, sans cesser de respecter ses obligations réglementaires et sans dégrader la continuité ni la qualité des services rendus au client. Le règlement veille aussi que cette sortie soit rendue possible par le contrat lui-même. Pour les services critiques, le contrat doit prévoir une période de transition obligatoire et adaptée, pendant laquelle le prestataire continue d'assurer son service, le temps que l'établissement bascule vers une autre solution ou reprenne l'activité en interne. Autrement dit, le prestataire ne peut pas simplement éteindre la lumière et partir. Dora énumère même les situations dans lesquelles l'établissement doit pouvoir mettre fin au contrat Une violation grave de la loi ou du contrat par le prestataire. Des faiblesses avérées dans sa gestion des risques informatiques, des changements qui menacent la qualité de service, ou encore le cas où les conditions du contrat ne permettent plus à l'autorité de surveillance de contrôler efficacement l'établissement. Revenez un instant sur l'île. Imaginez qu'avec l'ouverture du parc, un régulateur ait posé à John Hammond la question que pose Dora. Si Denis Snedry disparaît demain, qui fait fonctionner les clôtures ? Hammond aurait bien été incapable de répondre. Il n'y avait ni documentation du système, Ni seconde personne capable de le reprendre, ni prestataire de remplacement, ni plan de transmission. C'est exactement la situation que Dora cherche à rendre impossible pour une banque. Et il y a un mot, dans cette exigence, que je trouve particulièrement juste. Le mot « tester » . Un plan de sortie qui n'a jamais été éprouvé, c'est un peu comme un gilet de sauvetage dont on n'a jamais vérifié qu'il flotte. Dans le film, quand l'équipe décide de tout couper et de tout redémarrer, elle ne suit aucune procédure. Elle improvise, elle tâtonne, elle espère. Tester sa stratégie de sortie, c'est justement s'assurer que, le jour venu, on n'en sera pas réduit à prier devant un écran. Enfin, le règlement va encore plus loin, avec quelque chose de tout à fait nouveau. Les autorités de supervision européennes désignent désormais des prestataires informatiques dits critiques, typiquement les grands fournisseurs de cloud, et les supervisent directement. Réfléchissez un instant à ce que cela signifie. Le régulateur financier, dont le métier est de surveiller les banques, va désormais inspecter les entreprises technologiques. C'est la reconnaissance officielle que le risque de concentration n'est pas seulement le problème de chaque entreprise prise isolément, mais une question de stabilité pour l'ensemble du système financier. Et si vous ne travaillez pas dans la finance, ne vous croyez pas épargné pour autant. La directive européenne NIS II impose elle aussi aux organismes des secteurs essentiels et importants de prendre en compte la sécurité de leur chaîne d'approvisionnement. Le mouvement est général. Maintenant, soyons honnêtes. Sur le papier, tout cela est très clair. Mais dans la réalité, la gestion des risques liés au tiers est un exercice difficile. Il y a quelques pièges classiques dans lesquels presque toutes les organisations sont tombées un jour. Le premier, c'est le questionnaire géant. Vous envoyez à votre fournisseur un questionnaire de sécurité de plusieurs centaines de questions. Et il le remplit en cochant 8 partout. Parce que c'est ce que vous voulez entendre. Vous le rangez dans un dossier, personne ne le relit, personne ne vérifie la réponse, vous avez la conformité, mais aucune unité du niveau réel de sécurité de votre fournisseur. Grégory Rassner, un spécialiste américain du sujet, a une jolie formule pour ça. Se fier au questionnaire d'un fournisseur, c'est un peu comme demander à ses enfants si leur chambre est rangée. Ils vous en prendront huit, évidemment. Pour savoir ce qu'il y a sous le lit, il faut aller voir. Et quand on va voir, on découvre parfois des choses qu'aucun questionnaire n'aurait révélées. Et n'oubliez jamais qu'être confort ne veut pas dire être protégé. Quelques semaines seulement avant son attaque, Target venait d'obtenir sa certification à la norme de sécurité des cartes bancaires. Sur le papier, tout était en ordre. On peut être conforme à 100% et pirater à 100%. Un bon questionnaire est court, centré sur ce qui compte vraiment et suivi d'une vérification des réponses les plus importantes. Le deuxième piège, c'est l'évaluation unique. Réalisée une fois pour toutes à les signatures et jamais renouvelée. On l'a vu, un fournisseur évolue et votre évaluation veillit avec lui. Troisième piège ? C'est le fournisseur jugé sans importance, notre fameux chauffagiste. On l'a classé en risque faible, parce qu'il ne traite pas de données sensibles, mais on a oublié qu'il disposait d'un accès à distance au réseau. La criticité d'un tiers ne dépend pas seulement de ce qu'il fait pour vous, mais aussi de ce qu'il peut atteindre chez vous. Le quatrième piège, c'est ce qu'on appelle l'effet shadow IT, l'informatique de l'ombre. Un service de l'entreprise souscrit un abonnement à un outil en ligne avec la carte bancaire d'un collaborateur, sans passer ni par les achats, ni par la sécurité. Et du jour au lendemain, des données de l'entreprise se retrouvent chez un fournisseur dont personne n'a jamais entendu parler. On ne peut pas gérer un tiers dont on ignore l'existence. Et le cinquième piège, c'est le rapport de force. Quand vous avez une petite ou moyenne entreprise face à un géant du cloud ou du logiciel, vous ne négociez pas ses conditions. Il vous présente son contrat standard, et c'est à prendre ou à laisser. Vous ne pourrez ni auditer ses centres de données, ni imposer vos propres clauses. Dans ce cas, il faut s'appuyer sur ce qu'il met à disposition. Comme ces certifications et ces rapports de dits indépendants. Et surtout, travaillez avec ce que vous maîtrisez, vos plans de continuité, vos sauvegardes et votre capacité à fonctionner en mode dégradé. Et puis, il faut accepter une vérité un peu inconfortable. On ne pourra jamais tout contrôler. Le risque liotière ne s'élimine pas, il se gère. L'objectif n'est pas d'atteindre le risque zéro, il n'existe pas, mais de savoir où se trouvent vos dépendances, de connaître les plus critiques et d'être prêt le jour où l'une d'elles fera défaut. Alors concrètement ? Si en écoutant cet épisode vous vous dites que vous avez du pain sur la planche, par où commencer ? Commencez par dresser la liste de hautière. Tous, y compris ceux qui vous paraissent anodins. Interrogez les achats, la comptabilité, les équipes métiers, et regardez tout simplement qui vous payez. Vous aurez des surprises. Identifiez ensuite les quelques-uns dont la défaillance arrêterait votre activité ou exploserait des données insensibles. Il n'y en a généralement pas une centaine. Ce sont eux qui méritent votre attention en priorité. Pour ces tiers critiques, relisez le contrat. Vous oblige-t-il à vous prévenir en cas d'incident ? Savez-vous où sont vos données ? Avez-vous des droits de vérification ? Avez-vous le droit de vérifier ce qu'ils font ? Regardez ensuite qui chez eux a accès à quoi chez vous. Supprimez les accès inutiles, limitez les autres et assurez-vous que vous pouvez tracer ce qu'ils font. Et enfin, posez-vous la question que John Hammond ne s'est jamais posée. Si ce prestataire disparaissait demain matin, que ferions-nous ? Si la réponse est « on ne sait pas » , vous savez par où continuer. Revenons une dernière fois sur l'île. Ce qui est fascinant dans Jurassic Park, c'est que la catastrophe n'est pas... pas dû à un manque de moyens. Hammond a tout financé, tout construit, tout prévu. La clôture a été électrifiée, les enclos renforcés, les véhicules automatisés, le centre de contrôle ultramoderne. Il avait pensé à tout, sauf à l'homme qui tenait les clés du système. Après l'attaque SolarWinds, un éditorialiste du Wall Street Journal a proposé une comparaison qui parlera aux fidèles de ce podcast. La ligne Maginot. On a bâti des fortifications magnifiques tout le long de la frontière, et l'ennemi est passé par les Ardennes. Dans le monde numérique, les Ardennes, ce sont souvent nos fournisseurs. Dans nos organisations, c'est souvent la même chose. On investit dans les pare-feux, dans les antivirus, la supervision, la formation des collaborateurs. Et on oublie que la porte d'entrée la plus simple est parfois celle qu'on a soi-même ouvert un prestataire, un jour, pour une bonne raison, et qu'on n'a jamais fermé par la suite. Alors regardez autour de vous, identifiez vos Denis Nedry. La plupart d'entre eux sont des prestataires honnêtes et compétents, sans lesquels vous ne pourriez tout simplement pas fonctionner. Mais c'est justement parce que vous dépendez d'eux que vous devez les connaître, les choisir avec soin, les suivre dans le temps, et savoir comment vous en passer le jour où il faudra. Car comme le dit le mathématicien du film, la vie trouve toujours son chemin, les incidents aussi. Encore merci d'avoir écouté cet épisode de la cybersécurité expliquée à ma grand-mère. N'hésitez pas à le liker, à le partager avec d'autres et à en parler autour de vous. Et si vous êtes sur Spotify, vous pouvez aussi donner votre avis et proposer des sujets qui vous semblent pertinents. Et surtout, n'oubliez pas, pour certains, la cybersécurité est un enjeu de vieillissement. C'est bien plus sérieux que ça.
