Renovarea securităţii cibernetice

Gerald Vernez a studiat geologie, meteorologie şi politică de securitate. După o primă carieră ca inginer şi manager de risc în industrie, Gerald s-a alăturat Statului Major General al armatei elveţiene în 1996. A pregătit şi instruit statul major federal de criză pentru trecerea la anul 2000 (Y2K), a planificat organizarea comandamentului (comandă şi control) for?elor armate elveţiene şi apoi a dezvoltat domeniul operaţiunilor de informare. În calitate de ?ef al Statului Major al Statului Major Întrunit al Forţelor Armate, din 2009 până la sfâr?itul anului 2010, a fost director adjunct pentru elaborarea primei strategii na?ionale de protecţie a Elveţiei împotriva riscurilor cibernetice. În 2013, a devenit delegat al şefului Statului Major pentru apărare cibernetică şi, din 2016, delegat pentru apărare cibernetică al Departamentului Federal de Apărare (DDPS). Din 2021, Gerald Vernez conduce Fundaţia digiVolution (www.digivolution.swiss), un nou grup de reflecţie şi de acţiune strategică.

• Chiar dacă închizi ochii, vremea e furtunoasă

Căutarea cuvântului "pace" într-un dicţionar spune multe despre umanitate: "absenţa războiului". În orice caz, de la 24 februarie, cei care au visat la o Europă paşnică după căderea Zidului Berlinului au fost forţaţi să îşi revizuiască aşteptările. Da, rasa umană este incapabilă să gândească în afara prismei competiţiei, a cuceririi şi a distrugerii, şi întotdeauna va exista cineva care să ia ceea ce ai sau să încerce să te depăşească.

Spaţiul cibernetic nu face excepţie, iar infracţiunile comise împotriva sau prin intermediul acestuia, eliberate de constrângerile infracţiunilor clasice (distanţă, timp, riscuri etc.), progresează rapid şi permit autorilor lor să obţină avantaje substanţiale. Confruntându-ne cu activişti, criminali, spioni, sabotori... actori agili, colaborativi şi oportunişti, ne confruntăm cu sisteme de securitate adesea inexistente (la nivelul structurilor mici), neadecvate, ineficiente şi compartimentate sau supuse unui control democratic şi juridic restrâns.

Astfel, scorul meciului dintre societate şi partea întunecată a lumii digitale este în mare parte în favoarea acesteia din urmă, precum şi a naţiunilor¹ care au făcut, de exemplu, din furtul proprietăţii intelectuale o parte a strategiei lor sau care nu mai ezită să pornească un război in spaţiul cibernetic. Toţi aceşti actori au înţeles că digitalizarea face din lume o ţintă uşoară şi un uriaş self-service². În ciuda costurilor pagubelor³ şi a numeroaselor avertismente de furtună şi a războiului din Ucraina, din păcate nu am reuşit încă să încetăm să ne prefacem şi să ne minţim.

• Corectarea posturii şi lărgirea atenţiei

Atunci când şefii ANSSI (Agence nationale de la securite des systèmes d'information) din Franţa⁴ sau NCSC (National Cybersecurity Centre) din Elveţia⁵ informează anumite entităţi expuse la riscuri cibernetice, comportamentul acestora, indiferent şi iresponsabil - în timp ce stau pe bombe - lasă să ne întrebăm.

Recent, un antreprenor care a fost alertat de două ori în legătură cu vulnerabilitatea sa a răspuns: "Nu am timp pentru asta". A treia oară a cerut ajutor...! Este frustrant atunci când incidentele se încadrează în categoria aparent destul de mare de "ar fi putut fi evitate cu uşurinţă".

În Elveţia, companiile din sectorul energiei electrice au raportat chiar şi o maturitate medie a securităţii cibernetice de mai puţin de 1 pe o scară de la 0 la 4 în 2021⁶. În timp ce locul 42 acordat Elveţiei de către ITU în indexul său global⁷ pentru 2020 este, cu siguranţă, parţial nemeritat şi se datorează lipsei de răspuns al Elveţiei la sondajul ale ITU, se pare că, în ciuda talentelor sale de vârf şi a resurselor semnificative, în multe locuri ţara noastră încă se luptă să înţeleagă provocările şi are nevoie de o schimbare de poziţie energică.

În ultimii cincisprezece ani, odată cu atacul cibernetic împotriva Estoniei (2007), cu cel suferit de sectorul nuclear iranian (Stuxnet, 2010), cu dezvăluirile lui Snowden (2013) sau cu atacurile împotriva infrastructurii electrice ucrainene (2015, 2016), securitatea cibernetică a câştigat considerabil în importanţă.

Pentru NATO şi Uniunea Europeană, un cyber-eveniment grav ar putea chiar justifica declanşarea ultimelor mecanisme de apărare. După domeniile terestru, maritim, aerian, electromagnetic şi informaţional şi, în cele din urmă, spaţiul exo-atmosferic, armatele concurează acum în spaţiul cibernetic, iar comandamentele cibernetice se înmulţesc.

Aceasta este o evoluţie logică, dar între toate aceste sfere de operare există un mare "dar". Într-adevăr, cibernetica este singura dimensiune care este prezentă în centrul tuturor celorlalte încă de la conceperea lor. A considera securitatea cibernetică doar din punct de vedere tehnic, al ameninţărilor şi al informaticienilor este, în mod evident, reductiv.

Obiectivul său trebuie să fie considerabil extins. Este uşor să spui "vreau o apărare cibernetică", dar de ce depinde o astfel de capacitate pentru a fi instalată şi operată în mod durabil? Pe personal, echipamente, infrastructură, legislaţie, finanţe etc., toate acestea provenind dintr-un lanţ complex de capacităţi, competenţe, proceduri etc.

Odată cu COVID, războiul din Ucraina, disputa dintre SUA şi China privind pământurile rare, avertismentele ministrului elveţian al economiei cu privire la viitoarele penurii de energie electrică şi numeroasele evenimente din ultimele 18 luni⁸ , este clar că lista domeniilor care trebuie luate în considerare pentru a înţelege schimbarea digitală, provocările acesteia şi măsurile pentru a le stăpâni corect şi la timp trebuie extinsă.

• Caleidoscopul schimbărilor digitale şi trei recomandări cheie

Constatările de mai sus (nicio pauză pentru răuvoitori, necesitatea unei schimbări de postură pentru apărători şi o extindere a atenţiei) au dus la crearea fundaţiei digiVolution⁹ în 2020.

Fondată de membrii fostului grup de experţi care a creat apărarea cibernetică a Elveţiei, această nouă instituţie non-profit¹⁰ se bazează pe o viziune de idealism şi neutralitate în slujba factorilor de decizie de la toate nivelurile.

Astfel, s-a născut un observator pentru a cartografia toate elementele "ecuaţiei digitale" a lumii noastre, caracterizată acum prin acronimul VUCA (Volatility, Uncertainty, Complexity and Ambiguity) ¹¹ şi pentru a înţelege natura şi interacţiunile complexe ale tuturor "plăcilor" din figura de mai jos, într-o abordare holistică, sistemică şi în reţea.

Metoda digiVolution este evidentă şi în micile fraze care îi punctează mesajul: "pregătiţi-vă pentru următorul", "care este preţul inacţiunii şi al lipsei de anticipare" sau "ambiţia noastră: efecte pe teren. Şi repede! ".

În spatele acestor declaraţii se află trei recomandări foarte clare:

- Anticipare - Faptul de a nu fi pregătit la timp atunci când toate datele sunt disponibile nu este acceptabil; este pur şi simplu neglijenţă şi, conform legislaţiei elveţiene¹², constituie o infracţiune.

- Răspundere - Într-o lume interdependentă, riscurile pe care le acceptă o entitate pot avea consecinţe pentru altele; de exemplu, o companie care nu reuşeşte să se protejeze poate da faliment şi îşi poate lăsa angajaţii fără locuri de muncă.

- Acţiune - Planurile şi strategiile sunt, desigur, necesare, dar primul lucru care trebuie făcut este să punem în aplicare măsuri de igienă cibernetică - simple, disponibile de la autorităţi şi de la furnizorii specializaţi şi aplicabile imediat - şi să creăm astfel efecte măsurabile pentru siguranţa tuturor, fără întârziere.

• Concluzie

În timp ce guvernele şi marile companii dispun, în general, de mijloacele necesare pentru a face faţă provocărilor legate de transformarea digitală, nu acelaşi lucru se întâmplă în cazul microîntreprinderilor (mai puţin de 10 angajaţi, care sunt 90% din companii şi 25% din locurile de muncă din Elveţia) şi al persoanelor fizice.

Aceste categorii au rareori timpul, banii şi competenţele necesare pentru a se ocupa de această dimensiune în plus faţă de toate celelalte.

Prin urmare, este de datoria soluţiilor să le ajungă în timp şi să le ofere împuternicirea de care au nevoie urgentă, rapid şi la costuri neglijabile. "Nu am timp pentru asta" trebuie să dispară.

Cu toate acestea, trebuie să ne asigurăm că acest lucru nu se va întâmpla prin formalizarea excesivă promovată de giganţii tehnologici şi, astfel, în detrimentul ireversibil al chestiunilor esenţiale de suveranitate, de la individ la stat.