Une histoire de talents - Charl Van Der Walt, Responsable du département de recherche d’Orange Cyberdefense

Dans cette série "Une histoire de talents" nos collaborateurs vous parlent de ce qui les passionnent et de leurs expertises. Cette semaine, le témoignage de Charl et un zoom sur les métiers de la cybersécurité.  

En quoi consiste votre travail ? Quelle est votre mission ?

Je suis originaire d’Afrique du Sud. Basé au Cap, je suis né, j’ai grandi et j’ai vécu ici toute ma vie, à l’exception d’une courte période d’études en Allemagne. Je ne travaille pas pour autant pour le bureau sud-africain. Je suis effectivement au service des opérations mondiales d’Orange, plus précisément au sein de notre division technologie et marketing. Mon rôle est celui de responsable mondial de la recherche sur la sécurité, et je dirige à ce titre la petite équipe du « Centre de recherche sur la sécurité ». Ce centre est un investissement réalisé par Orange dans le but de discuter réellement des problèmes de sécurité pour les comprendre, sans ordre du jour particulier. J’ai une position très privilégiée, car on me donne l’espace et les ressources pour essayer sincèrement de comprendre les problèmes de sécurité auxquels nous pouvons être confrontés, sans aucune attente concrète vis-à-vis des résultats de mon équipe.

Alors vous faites de l’exploration, en toute liberté…

Exactement, de l’exploration en toute liberté ! Mais comme tout un chacun, je rends compte à des parties prenantes. De nombreuses personnes au sein de l’entreprise sont intéressées et investies dans ce que nous faisons : stratèges, chefs de produit, équipe marketing… Je ne travaille donc pas en vase clos. Je dois servir les intérêts de ces parties prenantes et répondre à leurs questions.

Le cœur de votre travail est la recherche. Pouvez-vous nous donner quelques exemples de domaines de recherche ?

Nos domaines de recherche sont très diversifiés. Le plus difficile en ce qui concerne la recherche, c’est d’abord de déterminer la ou les questions à se poser. Trouver des réponses n’est généralement qu’une question de temps. Mais trouver quelles réponses chercher… c’est là la difficulté !

Les questions proviennent donc de la direction, ou des membres de mon équipe et de notre propre curiosité. La plus grande facette de mon travail est la curiosité.

En fonction du moment, en fonction de ce qui se passe dans le monde, nous essayons de comprendre les implications du point de vue de la cybersécurité. Prenons l’exemple de la guerre en Ukraine. Que se passe-t-il réellement ? Est-ce que le conflit s’intensifie ? Comment cela affecte-t-il nos clients ? Devons-nous nous comporter différemment ?

Un autre exemple contemporain serait l’épidémie de COVID et les confinements. Une question qui nous aurait intéressés serait celle de ce récit faisant état de plus en plus de personnes en télétravail et en même temps d’une menace toujours plus préoccupante…

Dans un contexte similaire, nous avons examiné d’autres changements majeurs amorcés à cette époque d’un point de vue technologique avec les accès à distance et l’utilisation nouvelle et massive de Zoom ou Google Teams. Nous avons passé beaucoup de temps à analyser les nouvelles postures de sécurité, ainsi que les avantages et les inconvénients des plateformes de collaboration. Qu’entend-on réellement par plateformes « sécurisées » ? Parlons-nous de la façon de les sécuriser ? Les questions qui se posent ici sont en réalité les suivantes : Quels sont les attributs de sécurité dont nous souhaitons disposer face aux menaces ? Comment pouvons-nous nous mettre d’accord sur la manière de contraindre à une certaine conformité vis-à-vis de ces attributs ? Comment recommandons-nous à nos employés et nos clients d’utiliser ces plateformes ? Nous avons choisi 6 ou 7 technologies et les avons associées à ces attributs.

Réagir à des événements comme le COVID ou la guerre en Ukraine signifie agir rapidement. La recherche, c’est tout le contraire… Comment travaillez-vous, comment procédez-vous ?

Nous revenons à notre problématique centrale : quelle est la question ? Et immédiatement, nous nous demandons : à quelles données authentiques et à quelle expertise avons-nous accès pour répondre ?

Voici comment fonctionne mon équipe : chaque année, nous nous mettons d’accord sur un ensemble de thèmes sur lesquels nous travaillons. J’ai la malencontreuse habitude de dire dix thèmes, mais c’est en réalité douze thèmes comme les membres de mon équipe me le rappellent sans cesse ! Donc, douze thèmes… et les chercheurs sont affectés à des thèmes spécifiques avec des priorités. Cela exige d’eux qu’ils restent sur leur affaire. Le premier défi, comme je l’ai dit, est de trouver la question à laquelle vous devez répondre. Certaines questions nous viennent naturellement, d’autres viennent plus tard, à la lumière de ce que nous produisons. Nous produisons par exemple l’édition annuelle du rapport Security Navigator, ainsi qu’une mise à jour mensuelle. Cela constitue un cadre pour notre travail.

Et puis nous définissons un projet de recherche qui va en réalité définir la question que nous nous posons. Quelle est la méthode que nous voulons suivre ? Quelles sont les données dont nous aurons besoin et que nous utiliserons ? Quels sont les jalons du projet ?

En tant qu’équipe de recherche, nous avons la liberté de pouvoir ouvrir de nouvelles voies jusqu’à l’obtention d’une réponse. Mais comme nous travaillons dans un environnement commercial et industriel, et non universitaire, nous avons des jalons et des livrables à respecter. Ainsi, j’attends de tout chercheur qu’il rédige un billet décrivant la question qu’il se pose à l’issue de ses deux premières semaines de travail. Même si le chercheur n’a pas nécessairement de conclusion grandiose à apporter, il a alors produit quelque chose.

La méthode de recherche elle-même est multidisciplinaire : nous procédons à des évaluations et à des validations techniques, utilisons des méthodologies de sciences sociales (par exemple, étude de la cybercriminalité sous l’angle universitaire de la criminologie) et passons beaucoup de temps sur les données, ou plutôt sur ce que nous appelons des pipelines de données.

Nous avons des données en interne, mais qu’en est-il des experts externes, chercheurs, etc. ?

Il existe toute une kyrielle de relations. Pour commencer, nous devons entretenir la relation avec les opérateurs, car ils nous fournissent ce que nous appelons des « renseignements de sécurité opérationnelle ». Ce que les opérateurs voient au jour le jour, c’est effectivement par là que nous devons logiquement commencer. Ensuite, nous avons nos « fonctions de renseignement » qui recherchent à l’extérieur les différentes manifestations des menaces, vulnérabilités, etc. En parallèle, nous collectons des données externes sur l’actualité de la cybersécurité. Nous regardons également ce qui a été publié dans les médias. Et nous surveillons, de façon régulière, les plateformes utilisées par les cybercriminels. Nous entretenons également des relations avec des partenaires dans ce domaine et collaborons étroitement avec certains. Partager son expertise est quelque chose de très gratifiant.

Quelles sont les perspectives dans votre domaine d’activité ? Pouvez-vous deviner ce qui va suivre ?

Deviner la suite fait partie de notre travail. C’est à vrai dire un cheval de bataille sur lequel nous misons à la fois trop et pas assez… Dans la cybersécurité, nous pensons peut-être plus au futur que dans d’autres domaines, mais cela reste insuffisant à mon avis. À cet égard, nous avons un projet appelé « État de la menace » qui représente un effort continu pour expliquer « pourquoi nous voyons ce que nous voyons ». Si vous comprenez pourquoi quelque chose se produit, vous n’avez effectivement plus besoin de vous appuyer sur des prédictions !

Nous pouvons faire une analogie entre la façon dont nous parlons de cyberdéfense et la façon dont nous appréhendons le climat ou la météo. Vous avez probablement déjà entendu cette métaphore : Au quotidien, lorsque l’on s’apprête à sortir, l’on se demande : « Quel temps fait-il ? Dois-je prendre un parapluie ? ». Le seul moyen de savoir est de regarder par la fenêtre pour voir à quoi le temps ressemble. « Oh, il pleut. Oh, il y a du vent ». Il vous suffit alors de prendre votre parapluie et de mettre votre manteau. À ce moment-là, nous faisons l’expérience d’un climat fonctionnel. Le climat est un système très vaste, avec de nombreux facteurs : les océans, les systèmes atmosphériques semi-permanents, les chaînes de montagnes, les côtes… Tous ces éléments déterminent le temps qu’il fera à cet endroit, à ce moment. Dans le cyberespace, ce que nous essayons de faire, c’est de décrire les facteurs significatifs et d’estimer leur impact afin de déterminer la météo des menaces qui pourrait en découler.

Pouvez-vous dégager des tendances à partir des millions de données que vous étudiez ?

Nous pouvons établir des modèles, oui. Nous concevons donc un modèle. Cela nous permet d’émettre des hypothèses. Non pas de prédire, mais de voir et d’expliquer comment les choses sont liées les unes aux autres, à l’instar de l’évolution du cours d’une monnaie et de ses effets. Nous avons alors un visuel, même si tout le monde n’est pas forcément d’accord.

Quelles sont les compétences spécifiques requises à votre poste ?

La compétence la plus importante à mon poste est la curiosité. Je m’interroge en profondeur sur tout un tas de choses. L’important est de continuer d’aller de l’avant et d’éviter les réponses faciles. Ensuite, mon équipe et moi devons actualiser en permanence nos cybercompétences. Je veux dire par là que nous devons continuer de comprendre toutes les facettes des problèmes qui se présentent. Enfin, assez bizarrement peut-être, la communication est aussi une compétence primordiale à ce poste, mais vous n’avez de valeur que si les gens comprennent ce que vous faites et dites.

Quels sont les principaux défis que vous rencontrez ?

Le défi le plus difficile est en rapport avec les données. La cybersécurité, malgré toutes les données dont nous disposons, n’est en tout et pour tout qu’un énorme trou noir de données. Soit nous n’avons pas les données nécessaires, soit nous ne pouvons pas les obtenir. Nous ne pourrons jamais lire dans l’esprit d’un cybercriminel, nous ne savons pas ce qui s’y passe. Nous pouvons seulement enquêter, postuler et émettre des hypothèses. Tout repose sur de simples suppositions.

Le deuxième grand défi est l’intégrité. Nous évoluons dans un secteur où les communicants se plaisent à délivrer un récit convaincant avec quelque chose de positif, d’imminent, de valable à la clé… mais en contexte, les choses ne sont pas aussi évidentes. Parfois, votre réponse est que vous n’avez pas de réponse ou qu’il n’y a tout simplement pas de réponse. Personne ne veut entendre cela. En face, ceux qui attendent des solutions aspirent également à la simplicité : « Pouvez-vous me dire quel est le problème et quelle est la solution ? ». La plupart du temps, notre réponse est : « Ce n’est pas simple. Je n’ai pas de réponse directe à vous donner. Mais je peux vous aider à traverser cette zone d’inconfort ». La plupart du temps, les gens ne veulent pas aller sur ce terrain et je ne leur en veux pas, mais c’est la tâche difficile qui me revient : faire passer le message.