Vos données ont une grande valeur. Un expert en cybersécurité vous dit comment les protéger

Vous générez une foule de données que vous confiez à des fournisseurs en qui vous avez confiance. Mais savez-vous réellement par où elles transitent, où elles sont stockées et qui peut y avoir accès? Dans un contexte où les solutions télématiques, les caméras embarquées et les plateformes connectées se multiplient, ces questions prennent une importance croissante pour les transporteurs.

Pour démystifier les enjeux entourant la sécurité, l’intégrité et la gouvernance des données, Transport Routier s’est entretenu avec Jean Loup Le Roux, expert et consultant en cybersécurité ainsi qu’associé chez Magna, une firme offrant depuis 2014 des solutions de cybersécurité de pointe partout dans le monde. Selon lui, les risques ne se limitent pas aux cyberattaques : ils concernent également le contrôle des données, leur partage à des tiers et, dans certains cas, des enjeux pouvant même toucher la sécurité nationale.

Transport Routier : Pourquoi les transporteurs devraient-ils se préoccuper davantage des données générées par leurs véhicules et leurs systèmes?

Jean Loup Le Roux : Parce qu’aujourd’hui, pratiquement toutes les technologies utilisées dans le transport sont connectées. Qu’il s’agisse de télémétrie, de dispositifs de consignation électroniques, de caméras embarquées ou de plateformes de gestion de flotte, ces solutions reposent sur des échanges constants de données.

Ce que plusieurs ignorent, c’est qu’un seul fournisseur peut en cacher plusieurs autres. Derrière une solution télématique se trouvent souvent différents fournisseurs de services infonuagiques, de télécommunications, d’hébergement ou d’analyse de données.

Pensez à des poupées russes. L’entreprise de transport croit faire affaire avec un seul fournisseur, mais lorsqu’on ouvre la première poupée, on en découvre une deuxième, puis une troisième, puis une quatrième. Dans certains cas, des dizaines d’entreprises interviennent en arrière-plan dans le traitement ou le transport des données.

Chaque intermédiaire peut potentiellement avoir accès à une partie de l’information. L’entreprise connaît généralement le fournisseur avec lequel elle a signé un contrat, mais elle n’a pas toujours une visibilité complète sur l’ensemble des acteurs qui gravitent autour de cette solution.

Les données possèdent aujourd’hui une valeur commerciale importante. Lorsqu’on perd le contrôle de ces données, il devient difficile de savoir qui y accède et dans quel but.

TR : Quels sont les principaux risques?

JLLR : Le premier risque, c’est la perte de contrôle des données. Une fois qu’elles circulent à travers différents fournisseurs et sous-traitants, elles peuvent être partagées, agrégées ou revendues à d’autres organisations.

On parle souvent des cyberattaques, mais il existe également un risque concurrentiel. Les données constituent un actif stratégique. Lorsqu’elles tombent entre les mauvaises mains, elles peuvent fournir des renseignements précieux sur les opérations d’une entreprise.

Dans certains cas, on peut même parler d’enjeux liés à la sécurité nationale. Des acteurs étrangers pourraient avoir intérêt à comprendre quels types de marchandises circulent sur certaines routes ou comment fonctionnent certaines chaînes d’approvisionnement. L’information logistique possède une réelle valeur stratégique.

TR : Comment un transporteur peut-il savoir ce qui arrive réellement à ses données?

JLLR : C’est justement l’un des principaux défis. Beaucoup de technologies modernes fonctionnent comme des boîtes noires. Elles accomplissent parfaitement ce qu’elles promettent de faire, mais il est souvent difficile de comprendre ce qui se passe en arrière-plan.

Prenons l’exemple d’une caméra connectée. Elle détecte des événements, transmet des alertes et fournit des rapports. Mais où les analyses sont-elles effectuées? Où les images sont-elles stockées? Qui peut y accéder? Dans certains cas, le client ne possède tout simplement pas cette visibilité.

TR : Existe-t-il une façon simple de se protéger?

JLLR : Il n’existe pas de solution miracle ni de certification unique qui élimine tous les risques. La cybersécurité repose sur un ensemble de mesures complémentaires.

Il faut examiner la réputation du fournisseur, les clauses contractuelles, les mesures techniques mises en place ainsi que les mécanismes de vérification indépendants qui permettent de confirmer que les engagements sont réellement respectés.

Si une entreprise prétend avoir une réponse simple à un problème complexe, méfiez-vous.

TR : Quelles questions les transporteurs devraient-ils poser à leurs fournisseurs?

JLLR : D’abord, il faut demander où les données sont stockées et qui y a accès.

Il faut également savoir si les données peuvent être partagées avec des tiers, comment elles sont protégées et quelles mesures techniques sont utilisées pour empêcher les accès non autorisés.

Par exemple, les données de différents clients sont-elles séparées ou regroupées dans les mêmes environnements? Utilise-t-on le chiffrement? Quels mécanismes de surveillance sont en place? À quelle fréquence les systèmes sont-ils mis à jour?

Un fournisseur sérieux devrait être capable de répondre clairement à ce type de questions.

TR : Les certifications sont-elles un bon indicateur?

JLLR : Oui, mais à condition de bien comprendre ce qu’elles couvrent. Une certification démontre généralement qu’un organisme indépendant est venu vérifier certaines pratiques ou certains contrôles. C’est positif.

Par contre, il faut toujours regarder la portée exacte de cette certification. Est-ce qu’elle couvre seulement un produit? Un service précis? Ou l’ensemble de l’organisation?

C’est un détail extrêmement important. Une certification peut être parfaitement valide tout en ne couvrant qu’une petite partie de l’écosystème où circulent les données.

TR : Quels signes devraient éveiller les soupçons?

JLLR : Les réponses simplistes. Quand un fournisseur affirme que tout est réglé grâce à une seule certification ou à une seule mesure de sécurité, c’est généralement un signal d’alarme.

La cybersécurité est un domaine complexe qui nécessite plusieurs couches de protection. Les organisations les plus matures sont habituellement capables d’expliquer leurs pratiques, de démontrer leurs processus et de fournir des preuves concrètes de leurs engagements.

TR : On entend souvent parler de la Chine lorsqu’il est question de cybersécurité. Les inquiétudes sont-elles fondées?

JLLR : Si toutes les entreprises chinoises sont potentiellement problématiques (ultimement, elles doivent rendre compte au Parti communiste chinois), cela n’empêche pas que plusieurs développent des produits extrêmement performants.

Cela dit, il faut comprendre que la stratégie chinoise de collecte d’information repose largement sur l’acquisition de grandes quantités de données. Même des informations qui paraissent insignifiantes peuvent prendre énormément de valeur lorsqu’elles sont combinées à d’autres ensembles de données.

L’enjeu n’est donc pas uniquement de savoir si un produit est fabriqué en Chine. Il faut plutôt comprendre où les données sont traitées, où elles sont stockées et quelles garanties existent pour empêcher qu’elles soient utilisées à d’autres fins que celles prévues.

TR : Quel conseil donneriez-vous en terminant aux entreprises de transport?

JLLR : Je leur dirais de poser des questions. Les transporteurs n’ont pas besoin de devenir des experts en cybersécurité, mais ils doivent comprendre que leurs données ont de la valeur. Ils doivent demander à leurs fournisseurs des explications claires et des garanties écrites concernant le stockage, le traitement et le partage de ces données.

Il est également important de ne pas se laisser rassurer uniquement par des réponses toutes faites. Lorsque les enjeux sont importants, une simple discussion avec un spécialiste reconnu en cybersécurité peut souvent suffire à identifier les bonnes questions à poser.