Il y a un an, Guy-Vincent Jourdan, professeur à l’Université d’Ottawa, était loin d’imaginer qu’il concocterait un jour des fils de médias sociaux inventés de toutes pièces et de faux bulletins d’information. Mais ça, c’était avant de devenir codirecteur du Laboratoire uOttawa-IBM Cyber Range.
« Je suis entré en fonction en me disant que j’allais surtout utiliser mes travaux de recherche et mes connaissances en informatique », explique-t-il depuis son bureau, au Complexe STEM de l’Université d’Ottawa. « Mais le poste requiert tellement plus que ça! Oui, le volet informatique est important. Mais il sert plutôt de fondement à tout le reste. »
« Tout le reste », comme il le dit, ce sont notamment de fausses cyberattaques réalistes survenant sur des réseaux fictifs jumelées à des pressions similaires à celles qui règnent dans la vraie vie découlant de commentaires sur des médias sociaux simulés, d’une couverture médiatique factice et d’autres risques générateurs de stress.
Il y a là de quoi faire monter la pression des chefs de la sécurité les plus inébranlables. Et grâce à un nouveau partenariat stratégique avec le Centre d’innovation de l’Ontario (CIO), l’Université d’Ottawa et IBM, de petites et moyennes entreprises (PME) pourront profiter gratuitement de ce type de simulations au Laboratoire uOttawa-IBM Cyber Range.
Une expérience de cybersécurité « immersive » pour tout le monde
Le Laboratoire uOttawa-IBM Cyber Range, qui existe depuis un an, offre un perfectionnement professionnel spécialisé. Il accueille des organisations des secteurs privé et public voulant que leurs équipes responsables des TI aiguisent leurs compétences en sécurité ou que leurs employées et employés approfondissent leurs connaissances en la matière.
Peu importe le cas, une constante demeure : le caractère immersif de toutes les simulations. La plupart d’entre elles sont planifiées des semaines à l’avance et incluent, en plus de la cyberattaque simulée, les éléments suivants :
- Un fil de média social factice qui défile sur un écran et dont les commentaires portent sur la réaction de l’organisation à la cyberattaque (souvent pour la critiquer).
- Des actrices et acteurs inconnus des participantes et participants, mais présents dans le laboratoire seulement pour semer le chaos.
- D’autres événements inattendus, comme le chiffrement délibéré de l’ordinateur des gens dans un moment critique.
- Des émissions télévisées enregistrées et des reportages d’actualité diffusés sur un téléviseur du laboratoire.
Parfois, le contenu présenté dans ces émissions est volontairement faux. Dans le but de rectifier le tir, on demande alors à certains participants et participantes de répondre en direct (dans le cadre d’une simulation) à des questions difficiles depuis un studio de diffusion entièrement équipé, situé un peu plus loin, dans l’édifice.
« Nous contrôlons tout, explique le professeur Jourdan. Et nous essayons par tous les moyens de vous ébranler pour que vous tiriez des leçons de tout ça. »
« L’objectif est d’amener les équipes à se poser toutes sortes de questions. Que devons-nous faire en pareille situation? Savons-nous comment réagir? Savons-nous à quel moment appeler la police? Savons-nous à quel moment nous adresser aux médias ou ne rien dévoiler? Avons-nous un plan? »
« En trame de fond, il y a toujours une histoire de piratage. Mais on se concentre sur la gestion de crise, notamment sur les aspects juridiques, éthiques et sociaux. »
Un partenariat stratégique qui ouvre des possibilités aux PME
Ce partenariat entre le CIO, l’Université d’Ottawa et IBM a été conclu dans le cadre du Programme ontarien des initiatives relatives aux technologies critiques, lequel a fait du Laboratoire uOttawa-IBM Cyber Range un site de développement des technologies.
Ainsi, le laboratoire appuiera gratuitement des PME de l’Ontario voulant mettre à l’épreuve, adopter, intégrer et mettre de l’avant leurs capacités en matière de cybersécurité, pourvu qu’elles fassent partie des 30 premières entreprises acceptées par le CIO.
Les organisations hors secteur des technologies qui possèdent des logiciels propriétaires, des systèmes technologiques ou encore des données confidentielles à protéger sont nombreuses. Et comme les entreprises en croissance ont beaucoup de pain sur la planche, il arrive parfois qu’elles manquent de temps ou de ressources pour mettre en place une structure de cybersécurité solide.
C’est là qu’entre en scène le Laboratoire uOttawa-IBM Cyber Range.
« Nous aidons les PME à se préparer, à choisir le service qui leur convient, à mettre leurs systèmes à l’épreuve, à comprendre les résultats et à mettre en place certaines recommandations. Nous en profitons aussi pour leur donner de la formation », énumère le professeur Jourdan, qui ajoute que le partenariat s’inscrit en droite ligne avec l’objectif général du laboratoire, qui est de préparer les gouvernements, les entreprises et les gens d’ici en cas de cyberattaques.
Le Laboratoire uOttawa-IBM Cyber Range au service des PME
Alors, qu’arrive-t-il lorsque le CIO accepte la candidature d’une entreprise qui veut suivre une formation en cybersécurité au Laboratoire uOttawa-IBM Cyber Range de l’Université d’Ottawa?
D’abord, elle doit participer à une discussion d’accueil où sont définis certains paramètres : les applications utilisées, le déroulement sur place ou dans le nuage, ce qui se passe sur le site de développement par rapport à l’environnement de production, etc.
Ensuite, elle peut consulter un catalogue de plus de 10 services de cybersécurité regroupés en trois thèmes :
- À quel type de vulnérabilité informatique ai-je affaire?
- Est-ce que je bénéficie d’une protection?
- Comment dois-je intervenir?
Le service est alors offert en fonction de ces paramètres, ce qui permet de générer de l’information exploitable sur la structure de sécurité de l’entreprise. On procède ensuite à la simulation – un exercice utile et formateur. Puis, un rapport contenant toutes les conclusions et les suggestions d’éléments à intégrer est remis.
Pour des pratiques d’affaires à la fois sécuritaires et productives au Canada
Selon le professeur Jourdan, une grande partie des activités du Laboratoire uOttawa-IBM Cyber Range se rapportent à l’éternel dilemme en matière de sécurité : protéger les entreprises sans entraver le travail du personnel.
Il explique que c’est cet équilibre que le laboratoire cherche à atteindre dans ses programmes de formation. « Puisque nous baignons dans ce domaine, nous avons tendance à dire qu’il est toujours bon d’accroître la sécurité. Mais passé un certain cap, elle devient contreproductive ». C’est le cas, par exemple, lorsque des mesures de sécurité forcent le personnel à trouver des stratégies de contournement non sécurisées ou à utiliser des applications fantômes.
Le but, selon lui, est à la fois de mettre en place la structure de sécurité la plus robuste qui soit et de supprimer au maximum les irritants nuisant au personnel. Voilà pourquoi le laboratoire est, pour les entreprises, l’endroit idéal où suivre une formation sur la sécurité de l’organisation tout entière, ce qui est souvent une exigence de conformité.
« Généralement, en entreprise, les gens assistent par obligation, une fois par année, à une réunion dont ils attendent la fin avec impatience, dit-il. Nous essayons de faire autrement. Nous voulons offrir une journée mémorable, un exercice amusant et utile dont les participantes et participants se souviendront longtemps. »
Communiquez avec nous
Nous invitons les PME qui veulent en savoir plus et participer au programme à communiquer avec l’équipe du Laboratoire uOttawa-IBM Cyber Range à l’adresse [email protected].
Cet article a été publié, en version originale anglaise, dans l’Ottawa Business Journal.
