«On continue de jouer au chat et à la souris»

Avant de rejoindre la BFH, vous avez travaillé pendant plus de 20 ans pour assurer la cybersécurité d’une banque. Comment la menace a-t-elle évolué?

Bruce Nikkel: Il y a 15 ou 20 ans, les criminels étaient encore des amateurs, comparé aux méthodes utilisées actuellement. À l’époque, l’e-banking était exposé à d’importantes cyberattaques: les criminels tentaient d’accéder à des comptes à l’aide de chevaux de Troie. Aujourd’hui, la tâche leur est plus difficile: les banques sont mieux équipées pour détecter les ordinateurs infectés des client-e-s et contrer au plus tôt les cyberattaques. Celles-ci prennent souvent la forme de rançongiciels (ou ransomware), c’est-à-dire des programmes malveillants qui limitent ou bloquent l’accès aux données et aux systèmes. Une rançon est demandée pour rétablir l’accès. La recherche des malfaiteurs, qui opèrent pour la plupart depuis l’étranger, est laborieuse et rarement fructueuse. Les rançongiciels se multiplient depuis le lancement du Bitcoin: grâce à cette monnaie, les transactions liées aux rançons peuvent être effectuées de manière anonyme et fiable, sans impliquer concrètement grand nombre de personnes.

Y a-t-il d’autres dangers?

L’«Industrial Internet of Things» peut également constituer un problème, par exemple avec la mise en réseau des bâtiments intelligents ou des systèmes de contrôle industriels: la technique est souvent peu sécurisée ou obsolète, et elle n’est pas mise à jour assez rapidement. Ainsi, les entreprises industrielles sont plus facilement la cible d’attaques et de perturbations. L’absence de prise de conscience constitue également un problème: les entreprises restent la plus grande porte d’entrée pour les rançongiciels, car les employé-e-s ne se méfient pas suffisamment des courriels dont l’expéditeur est inconnu et cliquent trop rapidement sur un lien douteux.

Quel rôle joue l’Intelligence artificielle (IA)?

Pour le moment, son rôle n’est pas décisif. Les criminels l’utilisent par exemple pour créer des malwares. Les appels téléphoniques falsifiés par IA et soi-disant passés par des membres de la famille dans le besoin vont devenir un vrai problème. Pour le moment, ces deep fakes comportent toujours de petites erreurs qui permettent de les détecter. Mais la police ou les entreprises de sécurité utiliseront également l’IA pour se protéger contre son utilisation criminelle. On continue de jouer au chat et à la souris: les assaillant-e-s et les équipes de défense se livrent à une «course à l’armement» permanente, et les avantages basculent tantôt d’un côté, tantôt de l’autre. La plupart des cybercriminels sont des opportunistes: lorsque la résistance est trop forte, ils cherchent une autre victime ou une autre faille.

La Suisse est-elle bien préparée?

Par rapport à d’autres pays, elle est en moyenne mieux équipée, oui. Le Centre national pour la cybersécurité (NCSC) est un point de contact important pour les entreprises et les infrastructures critiques telles que les fournisseurs d’énergie ou les hôpitaux, et il apporte un soutien concret. La Suisse prend la cybercriminalité très au sérieux, ce qui est une bonne chose. Au cours des dernières années, de nombreuses entreprises et institutions ont appris à faire face à la cybercriminalité. La conscience que l’on peut être la cible d’une attaque à tout moment a augmenté. Concernant la planification de mesures préventives, la question du bon équilibre entre les dépenses et leur utilité se pose, bien évidemment. Les technologies de pointe offrent une bonne protection, mais elles coutent cher. Et elles ne peuvent pas non plus garantir une sécurité absolue. La norme minimale pour les TIC de la Confédération peut aider à évaluer les améliorations nécessaires dans sa propre PME et à planifier des mesures de défense.

C’est précisément le domaine de la cybersécurité qui nécessitera un nombre croissant de spécialistes. Quels profils sortent de la BFH?

En tant que Haute école des sciences appliquées, nous proposons principalement une formation pratique qui couvre une large palette de thèmes. Nous formons des ingénieur-e-s, des architectes, des développeurs et développeuses, des administrateurs et administratrices informatiques, mais aussi des opérateurs et des opératrices, ou encore des gestionnaires, qui sont tou-te-s formé-e-s sur les aspects de la sécurité. L’industrie en a besoin de toute urgence.

À l’heure actuelle, la BFH propose les deux cursus MAS Digital Forensics & Cyber Investigation et MAS Cyber Security. Quels sont leurs contenus principaux?

Leurs contenus couvrent une large palette. La criminalistique regroupe tous les domaines d’activité dans lesquels des actes criminels sont systématiquement identifiés, analysés et reconstitués. Les contenus de formation des deux cursus comptent par exemple l’analyse des malwares, la criminalistique numérique, la sécurité de la fintech, la sécurité industrielle ou l’internet des objets (IdO). Il s’agit principalement de sensibiliser et d’informer de manière générale, de détecter les incidents et d’y réagir de manière appropriée pour gérer les risques et garantir la sécurité de l’architecture et de la programmation informatiques. La formation aborde également les règlementations et les lois en matière de cybersécurité, ou les menaces émanant d’initiés ou de tiers.

À partir de l’automne 2024, la BHF proposera à nouveau son cursus de Master of Science in Engineering (MSE). Quelle est sa particularité?

Le MSE est proposé conjointement par les huit hautes écoles spécialisées de Suisse. Ainsi, les étudiant-e-s peuvent profiter d’un réseau national de spécialistes. Les deux premières années sont identiques pour l’ensemble des étudiant-e-s, puis seize spécialisations leur sont proposées. La spécialisation Information & Cyber Security sera notamment enseignée chez nous, à la BFH.

Auteur: Peter Bader, textatelier.ch