Souveraineté Numérique et Raison d’Etat

Vous l’aurez sans doute remarqué, le buzz depuis les semaines passées est aux récentes révélations d’actes d’espionnage et de surveillance massive orchestrés par la NSA (National Security Agency) des USA, mis au grand jour par un ancien employé de la CIA travaillant chez un sous-traitant de la NSA à Hawaï par le truchement des quotidiens britanique « The Guardian » et Américain « Whashington Post ». Ce programme baptisé « PRISM » aurait vu le jour depuis 2007 et il en ressort que les Etats Unis ne seraient pas les seuls bénéficiaires des informations collectées. Une compilation succincte d’informations au sujet du programme PRISM est disponible sur le site de Qualys [1].

Suite à tout ceci la première question qui vient à l’esprit c’est de savoir si un programme comme   PRISM (car il y’en a probablement d’autres pas nécessairement connus du grand public) est-il légal ? Après les sorties du président Barack Obama et du Directeur de la NSA, il advient que jusqu’à présent ce programme est connu et approuvé par la loi… aux USA ! Du coup on se demande, Qu’en est-il du reste du monde qui n’est pas Américain/ne vivant pas aux USA et dont les informations transitent et sont traitées par les plateformes incriminées (Facebook, Microsoft, Skype, Google, Apple, …) ?

De par l’évolution des TIC, on retient que la surveillance et l’espionnage des communications est un fait avéré et répandu (à tort ou à raison) et il y’aura toujours des moyens/procédés/solutions de plus en plus subtiles pour permettre aux gouvernements de le faire. Personnellement, tout ce buzz me semble un peu surfait, mais bon, le grand public découvre que l’eau chaude chauffe ! Par contre l’une des choses qui m’a le plus marqué c’est que suite à cette déclaration selon laquelle l’administration Obama via ses services secrets n’espionnent QUE les étrangers, l’enthousiasme de plusieurs agitateurs/agités a chuté ! Comme quoi l’espionnage n’est mauvais que si et seulement si il inclue comme cible les citoyens Américains.

Il est important de noter que très peu de Gouvernements/Organisations ce sont sentis concernés par cette nouvelle, bien que quelques uns ont tout de même réagit à l’exemple de la Norvège qui, par son Secrétaire d’Etat, a tout de suite réclamé aux Officiels Américains de plus amples informations afin de savoir comment ses citoyens sont affectés par ce programme. Quelques temps après c’était au tour de l’Union Européenne, via sa Commissaire Chargée de la Justice, de monter au créneau concernant cette affaire en exigeant que la vie privée des citoyens européens soit aussi préservée comme celles des Américains au cours de ce programme[2]. Coté Africain, aucun Etat, ni l’Union Africaine ne s’est senti particulièrement concerné ! Nothing… nada… rien… jusqu’à présent vu le silence qui règne ; Faut bien croire que ça ne nous gêne pas vraiment. Et puis, c’est pas trop comme si ça date d’aujourd’hui que nos gouvernements Africains n’osent demander des comptes aux « grandes puissances » ! d’ailleurs que rien n’exclue qu’ils ne soient au courant de la chose depuis longtemps  ou qu’ils n’aient leur part de programmes similaires déjà opérationnels (après tout, ne dit-on pas « tout le monde espionne et surveille » ! Dire que ces dernières semaines nous avons eu et aurons droit à plusieurs événements d’envergure ici en Afrique portant sur Internet, son rôle dans notre développement et sa gouvernance ; J’ose croire qu’au cours de toutes ces rencontres le sujet ait été à l’ordre du jour d’un quelconque atelier !

Je vois ici une affirmation (abus?) d’une position dominante, vu que tous les opérateurs cités sont essentiellement des firmes Américaines dont plusieurs autres entreprises et individus de part le monde en dépendent. Qui pourra y faire quoi ?! Personne ! Vous comptez les boycotter ?! J’en doute en tout cas pas de ci tôt avec toutes les données qu’ils possèdent déjà et la dépendance (vitale?) par laquelle ils vous tiennent. Et si bien même quelques uns les boycottaient, le gros de leurs clientèle sera toujours intact. Quelqu’un d’autre aurait dit qu’il s’agit d’un cercle vicieux !

Tout ceci a mon avis relance en partie le débat sur la Souveraineté Numérique des Nations/Organisations régionales. Allant de la fabrication des matériels de nos Infrastructures à la production de solution logicielles pérennes sur notre sol en passant par la formation, l’encadrement et la mise en service du personnel qualifié. En Europe, ils en sont déjà déjà par exemple à affiner leur Stratégie Globale sur le Cloud [3] ainsi que leur projet de Loi sur la vie Privée devant s’appliquer dans leur espace géographique ainsi qu’à tous leurs ressortissants. Entre temps ici en Afrique qu’avons nous ?! Bah rien pour l’instant ! Une pensée générale dit : « Celui qui a l’Information a le Pouvoir » ! je trouve qu’elle cadre bien avec cette situation qui nous sied.

Nul besoin de mentionner les retours positifs que cela pourrait avoir sur l’ensemble du continent passant de la réduction du taux de chômage des jeunes à la création de la richesse via la commercialisation de nos solutions locales, l’impact sur le développement global et bien d’autres ; bref on y gagnerait sur toute la ligne.

Bien sûr, être le moins numériquement dépendant ne nous mettra pas entièrement à l’abri des grandes oreilles des Agences de Renseignement occidentales (et Asiatique), mais ce sera déjà un pas en avant car rappelons le, la protection de l’information n’est pas un produit en soit, mais tout un processus marqué par plusieurs jalons.

Note : Dans ce billet je ne me préoccupe pas de savoir comment la NSA procède pour obtenir les données de ses « fournisseurs ». De plus il n’est pas question ici du bien fondé d’une surveillance de l’Internet et encore moins de savoir si nos propres Etats ne possèdent pas de mécanismes similaires.

Liens Utiles :

[1] Que sait-on exactement sur PRISM ?
[2] Espionnage : Bruxelles tance Washington
[3] New strategy to drive European business and government productivity via cloud computing
[4] Souveraineté Numérique : Cas de l’Afrique
[5] Comprendre le programme « Prism »

Réseaux Sociaux et Sécurité avec les étudiants de la FGI, Douala

Dans le cadre de ses activités de sensibilisation du public sur l’usage de manière sécurisée des Technologies de l’information et de la Communication, il s’est tenu le 10 Mai dernier dans l’enceinte de la Faculté de Génie Industriel (FGI) raccordée à l’Université de Douala un atelier de 2 heures et demi sur le thème « Réseaux Sociaux et Sécurité ». Cet atelier est le fruit d’un concours d’efforts volontaires ayant vu la participation du Club Informatique de la FGI dans la planification et la coordination ainsi que l’Administration de l’Université de Douala pour avoir permis que cette rencontre ait lieu dans son enceinte.

Vous trouverez ci-dessous la présentation passée ce jour. Lors de l’atelier, une question posée était de savoir comment protéger sa boite mail, comment savoir si quelqu’un d’autre a eu accès à sa boite et que faire en cas de piratage de son compte, le lien suivant est un précédent billet assez détaillé sur le sujet : Et si on parlait de nos boites mails?

Il est à noter que ce genre de rencontres vont s’étendre dans les établissements scolaires avec le temps et nous appelons ainsi les différents Clubs Informatique/Sécurité des dits établissements à bien vouloir rentrer en contact avec nous pour planification, ceci par mail (contact@camcybersec.cm) ou tout simplement en utilisant le formulaire de contact présent sur le site de l’Association : http://www.camcybersec.cm/contact/

La presentation est disponible en téléchargement direct par ici :  CamCyberSec_FGI_reseaux_sociaux_et_securite_version_1.1

et directement consultable en ligne par ici sur mon espace Slideshare.

Valdes T. Nzalli

CTO Cybersecurity Forum, Yaoundé Edition, Write Up Part 2 : CIIP

Suite à la première partie de ce retour sur le 3rd CTO Cybersecurity Forum, (qui est disponible par ici) dans l’après midi du Jeudi 25 Avril, il y’a eu deux tracks au choix et le nôtre fut de participer au workshop sur la Protection des Infrastructures d’Information Critiques (CIIP – Critical Information Infrastructure Protection) mené par David POLLINGTON de Microsoft Security en partenariat avec le FIRST (Forum for Incident Response and Security Teams).

D’entrée de jeu, le maître de séance à tenu à préciser que certes il représente Microsoft, mais au cours de l’atelier il ne s’agira nullement de vendre un quelconque produit de la firme qui l’emploi, mais plutôt de partager sur l’état de l’art et les bonnes pratiques pour la CIIP et de ce qui est fait chez Microsoft pour y parvenir.

Cet Atelier était divisé en deux parties :

• Critical Infrastructure Protection : Concept and Continuum : portant sur la définition et les contours du concept d’Infrastructures Critiques (CI – Critical Infrastructures)
• A Framework for Critical Information Infrastructure Risk Management qui nous proposait un ensemble de processus dédiés à l’identification et la gestion des risques dans nos CIIs (Critical Information Infrastructures).

A cet effet, deux manuels nous ont été remis, chacun portant sur un partie du workshop.

Lorsqu’on parle de CIIP, il faudrait déjà pouvoir différencier ce qui est Critique de ce qui ne l’est pas. La notion de criticité étant variable d’un État à un autre, il n’existe pas de modèles figés là dessus. Toutefois, certains domaines figurent dans plusieurs modèles/Catalogues d’Infrastructures Critiques à l’exemple de l’Energie, les Finances, l’Eau, les Transports, l’Alimentation, la sécurité publique, … La figure suivante représente un aperçu des secteurs jugés critiques dans quelques pays.

De nos jours, avec les systèmes presque tous automatisés et interconnectés, nos Infrastructures critiques ou non dépendent de plus en plus de l’IT. Toutefois, lorsqu’on parle de CIIP, il ne s’agit pas seulement d’une protection contre les fléaux dont l’IT serait le vecteur, notamment les cyberattaques, mais de tout type de facteurs pouvant mettre à mal nos infrastructures quelle qu’en soit l’origine à l’exemple des Attaques Terroristes, les Catastrophes Naturelles, les Guerres, et bien d’autres situations chaotiques du genre.

La protection des Infrastructures Critiques est intimement liée à 4 points stratégiques à mettre en œuvre :

•  Des Politiques et Plans de Confiance :

Ce besoin d’un climat de Confiance devra remplir les trois critères suivants:
– Construire et renforcer des partenariats de coopération forte entre les parties prenantes,
– Etre adaptable et évolutif, répondant aux changements en cours dans les profils des menaces
– Contenir des jalons et paramètres qui permettrons de suivent le déroulement du programme de Protection des Infrastructures Critiques.

•  Des Opérations Résilientes

la Résilience dans ce cas est la capacité à pouvoir anticiper ou se protéger contre les risques/attaques significatives et de réduire au minimum la durée et l’impact de l’incident subit. La Résilience des Infrastructures Critiques permet donc non seulement de se protéger des risques éventuels, mais aussi, et surtout de pouvoir les gérer de façon optimale pour un retour à la normale dans les plus brefs délais. Cela ne peut se faire sans les habitués des exercices périodiques afin de tester les capacités de réaction aux incidents, impliquant ainsi les gouvernements, les fournisseurs et les entreprises travaillent ensemble pour permettre d’évaluer de manière appropriée, d’atténuer et de retourner à la normale après des attaques.

• L’apport d’Investissements et de l’Innovation

Le plan de Protection des Infrastructures Critique doit être constamment à jours des dernières menaces et tendances du domaine de la sécurité. Raison pour laquelle les Personnes, Processus et Technologies doivent être mis en exergue lors de la définition des activités, programmes, formations et travaux de recherche et le développement lié à la CIP. Il est important de faire des investissement sur le long terme dans les recherches en Sécurité afin de pourvoir répondre au besoin sans cesse croissants des Infrastructures Critiques dans un monde interconnecté.

• Le Partage d’Informations et une Collaboration franche :

Les 3 premiers Critères cité plus haut, sont mis ensemble grâce à une bonne collaboration et un partage d’informations entre les différentes parties prenantes (partenaires). Ces Echanges et Partages font appels à plusieurs acteurs parmi lesquels les organisation gouvernementales et non-gouvernementales, les acteurs privés et aussi les entités étrangères(InterPol, ITU, CTO, FIRST,… )

la figure ci dessous représente la structure éclatée des 4 étapes clés citées plus haut ainsi que leurs sous-ensembles

Suite à ces axes stratégiques pour la Protection des Infrastructures Critiques (Critical Infrastructures Protection – CIP) Microsoft a mis sur pied un framework permettant une gestion intégrale des Risque liés à ces actifs. Ce framework se divise en 5 étapes consécutives définies tel que suit :

1- Déterminer l’étendue de la Gestion des Risques

Cette phase permettra de définir la portée appropriée ainsi que la les objectifs et les activités pour la gestion des risques. Elle se subdivisera en 3 sous-étapes :
– Trouver un consensus avec les parties prenantes sur la vision et la mission de l’étude, ceci en déterminant ce qui doit être protégé et pourquoi.
– Enoncer les buts spécifiques de sécurité et de résilience, ainsi que les objectifs et assurances
– Identifier les services essentiels

2- Identifier les fonctions des Infrastructures d’Information Critiques

La détermination des fonctions des Infrastructures d’Information Critiques est la seconde étape du plan de gestion des risques des CIIs. Il est question ici pour les parties prenantes d’avoir un dialogue ouvert sur la criticité des actifs et ainsi, conjointement, définir quels éléments d’Infrastructures d’Information, quelles fonctions critiques et quelles ressources clés sont nécessaires pour le maintien des services vitaux du Gouvernement, de l’économie et ainsi que pour assurer la sécurité publique.

3- Analyser la chaîne des valeurs des fonctions critiques ainsi que les interdépendances

Les services, processus et fonctions essentielles n’étant pas des entités cloisonnées, mais plutôt composées de plusieurs sous-ensembles étroitement liés, comprendre cette complexité et ces chaînes de liaisons interdépendantes ne sert pas juste à analyser les menaces, les vulnérabilités et leurs conséquences, mais aussi et surtout, permet d’identifier les parties prenantes et les fournisseurs stratégiques des chaînes de valeurs concernées. A titre indicatif, la figure suivante représente un aperçu de ce à quoi cette étape peut ramener :

4- Évaluer les risques des fonctions critiques

Cette étape se concentre spécifiquement sur les menaces et vulnérabilités des fonctions critiques. En matière de CII, le Risque est fonction de la menace, de la vulnérabilité et de leur conséquence. Ceci se traduit par l’équation : Risk = ƒ(Menace, Vulnerabilité, Consequence)
Dans cette équation :
– Menace fait allusion à tout facteur naturel ou Humain
– Vulnérabilité signifie ici une faille ou manquement qui peut être exploitée par une menace
– Conséquence encore appelé « Impact » fait référence aux coûts, pertes ou résultats provenant de l’exploitation réussie d’une vulnérabilité par une menace.

5- Hiérarchiser et traiter les risques des fonctions

Prioriser et traiter de façon continuelle et permanente les risques liés aux fonctions critiques de nos infrastructures débouche sur 4 éventualités :
– L’atténuation de l’impact/effet du risque
– La Prévention du risque
– Le Transfert du risque (en cas d’assurance par exemple)
– L’acceptation ou Rétention du risque consistant à valider l’éventualité et l’impact d’un risque sans rien faire pour le contrer.

En note de fin, le formateur rappelle que la Gestion des Risques des CIIs n’est pas un état statique, mais un Processus Continu appuyé par la culture de l’activité de gestion des risques en cours tout au long de chacune des étapes du CIP Continuum. C’est sur cette note que prit fin cet atelier très instructif sur la Protection des Infrastructures d’Information Critiques.

Après cela, il nous vient à l’esprit quelques questions notamment savoir Combien de pays Africains ont déjà mis en œuvre ce type processus de Gestion des Risques sur leurs Infrastructures d’Information Critiques? bien plus, combien d’entre eux ont seulement terminé avec la première étape de ce type de framework? Qu’en est-il du Cameroun, sommes-nous conscients à ce sujet? Beaucoup de travail doit être fait, mais il n’est pas trop tard!

P.S. : Cet Article est Disponble en langue Anlaise par ICI

Sources :

1- Microsoft Trustworthy Computing : Critical Infrastructure Protection : Concepts and Continuum – Global Security Strategy and Diplomacy
2- Microsoft Trustworthy Computing : A Framework for Critical Information Infrastructure Risk Management – Global Security Strategy and Diplomacy

CTO Cybersecurity Forum, Yaoundé Edition, Write Up Part 1

La semaine passée, s’est tenu au Palais des congrès de Yaoundé le 3^e Forum sur la Cybersecurité organisé par le Commonwealth Telecommunications Organisation (CTO). J’ai eu l’occasion de prendre part a cet événement grâce à l’assistance du comité d’organisation du CTO Event, qui a bien voulu octroyer à l’organisation non-gouvernementale œuvrant dans les domaines de la Cybersécurité et la sensibilisation des populations au Cameroun nommée « Cameroon Cyber Security (2CS) » [1], un pass d’entrée gratuite. A titre Indicatif, rappelons que l’accès aux différents ateliers était payant, de l’ordre d’environ 130.000 FCFA et plus par personne, en fonction de l’affiliation du participant. Je tiens donc par la présente à remercier le comité d’organisation du CTO Cybersecurity Forum pour leur encouragement à notre initiative locale.

Le site de la conférence étant dépourvu de connexion Internet, ce qui est relativement curieux d’autant plus qu’Internet s’était taillé la part belle comme sujet, il nous a été impossible de livetweeter l’évènement dans son intégralité. Toutefois, il suffit de faire une recherche sur le hashtag (mot-dièse ? ) #CTOSecure sur Twitter pour avoir en substance un fil d’actualité sur les différents ateliers qui se sont tenus. 

En prélude à la conférence principale, il s’est tenu du Lundi 22 au Mercredi 24 Avril, un atelier portant sur la Protection des enfants en ligne. N’étant arrivé sur le site de la conférence que le Mercredi 24, je n’ai pas eu l’occasion de prendre part à cet atelier. Toutefois, les présentations passées lors de cette session sont accessibles en ligne sur le site du CTO [2] ; elles portaient notamment sur les mesure prises par les pays membres du Commonwealth pour la protection des enfants dans les services en lignes et un partage d’expérience sur l’implémentation de ces programmes avec des cas pratiques pour la Gambie, le Nigeria, l’Ile Maurice, le Ghana, la Serra Leone et le Cameroun.

Le Jeudi 25 marquait le début proprement dit du Forum avec les messages d’ouvertures et de bienvenue des hauts représentants des différentes instances participant à l’événement (ITU, Gouvernement du Cameroun, ART,…). Cette séquence d’ouverture s’est suivie des différents keynotes animés par plusieurs hauts profils experts dans leurs domaines, chacune passée en mode « Fastrack » de 15 minutes.

Au cours de ces différentes Keynotes, nous avons eu droit tour à tour aux interventions du Professeur Tim UNWIN, Secretaire General du CTO, sous le thème : « Cybersecurity in the Commonwealth: Setting the stage  ». Il était question là d’attirer l’attention du public et par ricochet des Etats membres du Commonwealth sur la nécessité et l’importance de la mise en œuvre dans chacun d’eux d’un programme de Cybersécurité opérationnel et efficient ceci en rappelant à tout un chacun que la Cyber Sécurité ne concerne pas que nos ordinateurs, mais s’étend à tout les terminaux des TIC (Smartphone, Tablettes, appareils mobiles, domotique,…). L’orateur a ainsi introduit l’atelier portant sur la protection des Informations des Infrastructures Critique qui allait avoir lieu dans l’après midi et qui fera l’objet de notre prochain article.

Suite a cette keynote très enrichissante, c’était au tour de Jamie SANDERS de nous entretenir sur le thème : « Cybergovernance and Growth  » , où il a été clairement démontré que la maitrise du cyberespace est étroitement lié à la croissance d’une Nation.

DAVID POLLINGTON dans sa présentation : « Critical Information Infrastructure Protection: Implications for developing countries  » nous a ainsi, entretenu sur les problématiques et perspectives liés à la protection des Informations des Infrastructures Critiques au niveau étatique pour les pays en voie en de développement. En effet, la plupart de ces pays sont devenu des plates-formes d’expansion et de pivot pour le cybercriminels, mettant ainsi en risque l’intégrité des CIIP. Cette présentation a été plus approfondie lors de l’atelier sur la protection des Information des Infrastructures Critiques, toujours animé par David Pollington en partenariat avec l’equipe du FIRST (Forum for Incidence Response and Security Team).

Les présentations de Alex SERGER sur « Cybercrime: The Cost of Crime—The Benefits of Cooperation  » et de Mario MANIEWICZ « Cyber-governance: Towards a Global Approach on Cybersecurity  » ont remis en avant un aspect majeur dans la lutte contre la Cyber Criminalité : Le partage d’Information. Il est de ce fait capital pour les différents intervenants, tant nationaux qu’internationaux et non-gouvernementaux de pouvoir établir des process de partages d’Intelligence face aux menaces et attaques présentes sur chacun de leurs réseaux respectifs, ceci afin de générer un climat de cyber prévalence global. En effet, la cyber sécurité étant un processus englobant plusieurs maillons de la chaîne, sans une vision et une adoption de mesures globales, les cyber criminels pourront toujours se faufiler entre les mailles du système, exploitant ces divergences de process et lois à leur avantage. Ces keynotes ont été l’occasion de faire un retour sur la Convention de Budapest ainsi que de son adoption au sein des différents Etats de part le monde. L’idée principale ici était « Coopération et Partage ».

Je ne saurais passer sur cette partie sans vous parler du programme AfricaCERT [3] présenté par Pierre Dandjinou sous le thème : « Promoting Cyber security in Africa  » où il était question pour lui de présenter l’évolution de cette initiative commune depuis sa genèse jusqu’à son état actuel ainsi que ses

réalisations antérieures et celles à venir. Il s’agit là d’un programme très prometteur grâce auquel l’écosystème de la Cybersécurité en Afrique à beaucoup progressé (création de CERT/CIRT nationaux, Ateliers de formation à la Détection et Gestion des Incidents de Sécurité organisés chaque année, Session d’échange de bonnes pratiques entre nos CERT locaux et des Organisations Internationales partenaires –Team Cymryu, JCERT, FIRST,… – Projet de loi sur la Cybersécurité soumis à l’Union Africaine, …).

C’est sur ces keynotes que s’achevait la première partie de cette journée. La seconde partie fera l’objet de notre prochain article et portera sur le Workshop intitulé : « A practical approach to Critical Information Infrastructure Protection  »

P.S. : Cet Article est Disponble en langue Anlaise par ICI

Source :

[1] Cameroon Cyber Security

[2] CTO Cybersecurity Forum Presentations Repository :

[3] AfricaCERT Website

Sécurité des Données au Cameroun : une affaire d’Hommes!

Il y’a une dizaine d’années il a été annoncé via décret présidentiel la création de l’ANTIC [1] (Agence Nationale des Technologies de l’Information et de la Communication). Techniquement ce fut une avancée dans le bon sens. La dite agence avait dès sa création un cahier de charges sous forme d’attributs qui lui ont été affectés ; Et justement parmi ces attributs il est stipulé qu’elle est en charge de la Sécurité des Systèmes d’Information des Administration publiques et des Infrastructures critiques de la Nation.

Mais voilà, je me demande, combien de Systèmes d’Information Ministériels jusqu’à ce jours ont-ils été validés par l’ANTIC ?! Très peu surement, en espérant qu’il y’en ai un. Combien de sites web de représentations étatiques sont-ils contrôlés par l’ANTIC ?! Combien d’Infrastructures de fournisseurs d’Accès Internet ont-elles fait l’objet d’Audit de Conformité et de Sécurité de la part de l’ANTIC ?! Faire des lois c’est bien, les appliquer c’est primordial.

Il suffit de faire un tour dans nos administrations pour avoir un aperçu du niveau d’Insécurité des informations qui y sont traitées. Et les cœurs d’Infrastructure, c’est encore plus de désordre avec chaque prestataire venant faire ses installations sans pour autant avoir état des configurations présentes faites par d’autres consultants/prestataires ! Un désordre total où le mot traçabilité n’est pas le bienvenu.

Avec ce genre de choses comment peut-on aspirer à se protéger des menaces réelles et « orientées » ? Comment peut-on être en train de parler de Sécurité de notre Cyber espace quand nous n’avons pas la maîtrise de nos propres Intranets ?! Tout commence par-là, à savoir comment sont gérés nos réseaux Internes, car vu l’état actuel des choses, le risque d’une menace de l’intérieur est plus grand que celui d’une menace externe. !

Il y’a quelques temps encore on nous annonçait sous grandes pompes l’acquisition d’une solution pour la mise en œuvre de notre propre Infrastructure à Clé Publique (PKI)[2]. Selon le tapage médiatique qui en découle cette PKI ouvre une « nouvelle ère de sécurité des échanges électroniques et du cyberespaces Camerounais ». Mais je m’interroge, certes il est bien d’assurer l’authenticité des intervenants dans nos transactions électroniques, mais n’est-il pas plus opportun de savoir déjà s’en servir ?! Comment comptons-nous garantir la sécurité des échanges et l’authenticité des parties prenantes quand l’autorité en charge de la chose n’arrive pas à gérer ses propres certificats de sécurité ?! [3]

Je vois là une fois de plus un problème Humain. C’est bien beau d’avoir toutes les avancées technologiques, mais ce serait plus utile de savoir les exploiter. Les autorités en charges de ce genre de projets disposent-elles des ressources humaines compétentes et en quantité pour assurer leur suivi ?! Pour l’instant ce n’est pas encore le cas. Et là on se retrouve dans la position de celui achète une voiture avant de réfléchir sur comment aller à l’auto-école pour apprendre à s’en servir !

Depuis plus d’une semaine le site web du Ministère des Poste et Télécommunication [4] ainsi que plusieurs autres dépendant du « .gov.cm » sont inaccessibles.

Ce qui est encore plus grave c’est le manque de process pour les remontées d’incidents. Une infrastructure est down et il n’y a personne à qui remonter l’information !  

Et quand bien même une personne serait avertie, quel est le temps mis pour réagir ? N’est-ce pas ironique et triste ça ?! La Sécurité de l’Information c’est aussi de garantir la disponibilité de nos données et là, nous avons (une fois de plus) failli.

En 2013 il est inconcevable que nous nous retrouvions encore dans ce genre d’anarchie. Rappelons-le, la Sécurité des Systèmes d’Information est une démarche et non un produit ! Si nous prenons le temps de poser les bonnes bases cela sera plus productif que d’acquérir tous les jours des « produits » (à des coûts exorbitants, et là c’est un tout autre sujet) qui ne nous apportent que très peu sinon aucune valeur ajoutée, à cause du fait que les conditions minimales requises ne sont pas réunies pour une exploitation judicieuse des dits « produits ». Par bonnes base j’entends là :

• La formation/Recyclage des ressources humaines affectées à ces programmes/Infrastructures
• Le renforcement des effectifs car jusqu’à présent ils sont assez réduits
• L’établissement et le respect de procédures de fonctionnement qui sont indépendantes des personnes affectées afin d’éviter les Single Point of Failure (Remontée d’Incident, gestion de crises, continuité d’activité,…)
• L’application effectives des mesures et décrets publiés solennellement ; que chaque organisme en charge assure effectivement ce qui lui est attribué comme objectifs.
• Une sensibilisation du personnel non technique de nos administrations
•  …

Comme on fait son lit, on se couche dixit un sage. La balle est dans notre camp.

Reférences :

[1] Site ANTIC

[2] PKI : Le Cameroun Sécurise ses transactions Electroniques

[3] SSL_Server_Test _ antic

[4] MINPOSTEL Cameroun

Valdes T. Nzalli

3rd Commonwealth Cybersecurity Forum

Du 22 au 26 Avril prochain, la capitale politique du Cameroun, Yaoundé, abritera la Conférence annuelle  sur la Cyber Sécurité dans les états membres du Commonwealth. Cet évènement se tiendra au Palais des Congrès de Yaoundé sis au quartier Tsinga.

Les sessions de cette conférence porteront principalement sur les sujets suivants :

• Protection des Infrastructures Critiques
• La Sécurité en ligne pour les plus jeunes, qui par ailleurs fera l’objet d’un atelier en préliminaire.
• Garantir la Sécurité tout en préservant la vie privée et les libertés individuelles
• Les implications des vols d’identité en ligne
• Mise en Œuvre de normes communes grâce  à des partenariats avec diverses parties prenantes.

En prélude à la conférence proprement dite qui débutera le 25 Avril, un atelier sera organisés du 22 au 24 Avril et portera sur la Protection des Enfant en ligne et son Programme Pilote d’implémentation dans 6 pays membres à savoir le Cameroun, la Gambie, le Nigeria, le Ghana, la Sierra Leone et la Mauritanie.

Résumé :

1. Thème  : « Bringing Safety, Resilience and Security in Cyberspace »
2. Date : du 22 au 26 Avril 2013
3. Lieu : Yaoundé, Palais des Congrès
4. Programme : http://www.cto.int/events/upcoming-events/commonwealth-cybersecurity-forum/commonwealth-cybersecurity-forum-programme/
5. Modalités pratiques : http://www.cto.int/events/upcoming-events/commonwealth-cybersecurity-forum/commonwealth-cybersecurity-forum-venue/
6. Plus d’informations :  http://www.cto.int/events/upcoming-events/commonwealth-cybersecurity-forum/commonwealth-cybersecurity-forum-more-information/

Source : http://www.cto.int/events/upcoming-events/commonwealth-cybersecurity-forum/

Nous n’avons pas failli, les hackers étaient juste trop forts !

En ce début d’année 2013 le rythme de publications des attaques informatique perpétrées ci et là va bon train. Il y’a de celà quelques semaine c’était le « New York Times » et le « Wall Street Journal » qui faisaient des révélations fracassantes sur les attaques dont ils ont été victimes et qui auraient été, selon eux et leurs experts en investigation Numérique,  l’œuvre de hackers basés en Chine et certainement à la solde du Gouvernement de Pékin. [1]

Quelques jours plus tard c’est Twitter qui nous annonce avoir aussi été victime d’une attaque, dont jusqu’aujourd’hui le flou règne toujours quant au procédé et les intentions des assaillants. Tout ce qu’on retiendra de la communication de Twitter sur cela est qu’il s’agissait d’une attaque « Sophistiquée ».  Lors de cette attaque certains comptes utilisateurs ont vu leur identifiants d’accès compromis et dans la foulé, l’équipe de Twitter a jugé bon de réinitialiser les mots de passe d’environ 250 000 utilisateurs concernés. [2]

Hier, Vendredi le 15, ce fut au tour de Facebook via un communiqué sur leur site de nous faire savoir qu’eux aussi ont fait l’objet d’une attaque Informatique le mois passée, exploitée via une faille 0Day de Java. Ils nous rassurent que la menace a été très vite maitrisé et que les  utilisateurs du réseau social n’ont rien à  craindre quant à la sécurité de leurs données auxquelles les attaquants n’ont pas pu mettre la main. Ici aussi c’est le même slogan : l’attaque était très « Sophistiquée » ! [3]

Face à tout cela on se demande : Contre quel genre d’attaques vous étiez-vous préparés ?!

C’est trop facile de se dédouaner en voulant nous faire croire que la faute revient aux Hackers qui étaient trop puissants ! A quoi donc servent toutes mesures de sécurités mises en place ?! On dirait que c’est là pour les pirates du coin de la rue. En croisant les détails de ces différentes attaques, il en ressort que le principe en soit n’a rien de particulièrement sophistiqué ! Leurs systèmes présentaient des failles  logicielles (0Day, Patchs non-appliqués, …) et Humaines (Social Engineering, Spear Phishing) que les pirates ont tout simplement su utiliser à leur avantage ! Rien de plus que ça !

Alors Messieurs, vos « Nous n’avons pas failli, les hackers étaient juste trop forts ! » là, ce ne passe pas, trouvez mieux comme motifs !

Vous aurez certaines remarqué qu’il ne s’agit principalement que de boites Américaines dans cette série d’informations sur les attaques, justement au moment où des lois pour renforcer le champ d’action des USA dans le cyberespace au nom de la « Cyber-Guerre » ( et pour mieux diaboliser les autres puissances, la Chine en particulier) sont entrain d’être adoptées! [4]

Un lien entre tout  ça ?! Toujours est-il que les craintes d’une manipulation de grande envergure ne sont pas exclues.

Valdes T. Nzalli

Sources :

[1] Wall Street Journal Announces That It, Too, Was Hacked by the Chinese

[2] Twitter Blog: Keeping our users secure

[3] Protecting People On Facebook

[4] Obama issues cybersecurity order as Congress revives CISPA

Infosec Africa : Ce que la Cyber Sécurité nous réserve pour 2013!

Jeudi passé, lors d’un Group Chat via Twitter à l’initiative de l’un membre de la communauté Infosec (Rafal Los) , auquel j’ai pris part, il était question pour chaque participant de donner son point de vue sur les grandes lignes que suivra l’écosystème de la Sécurité de l’Information pour l’année 2013.

Un dump des différentes interventions est disponible à cette adresse : #SecChat

Sans revenir sur les idées émises par les uns et autres, la chose qui m’a le plus frappé c’est l’absence d’une quelconque mention du continent Africain. Ceci pourrait s’expliquer par le fait que la plus part des intervenants sont situés en Occident et du coup, ne savent que peu ou pas ce qu’il en est de l’évolution des tendances en Afrique. N’ayant pris le Group Chat qu’en cours, cet article est pour moi l’occasion de présenter ce qui selon moi, sera d’actualité au cours de cette année 2013 en Afrique en particulier.

Sans plus tarder, en cette année qui s’amorce, parmi les faits marquants ayant trait à la Cyber Sécurité en Afrique, nous aurons :

• Un meilleur engagement de la part des autorités nationales Africaines dans la lutte contre la cybercriminalité et l’insécurité dans le cyber espace. Certains pays comme la cote d’ivoire avec la Plateforme de Lutte contre la Cyber Criminalité (PLCC) s’y prêtent déjà au jeu. Certes leur moyens d’actions sont parfois limités, mais c’est déjà bien que ce genre d’organisme existe et je crois fermement que 2013 verra le renforcement de leurs ressources tant budgétaires qu’humaine pour un meilleur rendement.

• Pour 2013, nous aurons droit au renforcement des liens entre les différents CERT/CIRT des Etats Africains. Des initiatives dans ce sens sont en cours de tractation, mais nul doute que cette année verra leur entrée en application ainsi que leur expansion. Avec les projets déjà en cours de part et d’autre, Il s’en suivra l’arrêt d’une politique de Cyber Sécurité globale au niveau Africain. En plus des organisations étatiques, nous verrons aussi plus de collaboration entre des organisations non gouvernementales œuvrant dans le domaine de la Sécurité de l’Information à l’exemple d’AFRICACERT, ISG Africa, et bien d’autres.

• Une forte croissance dans les métiers liés à la Sécurité de l’Information sur le continent avec la demande sans cesse croissante de profils de plus en plus pointus. Ceci passera par l’accès aux formations/certifications Professionnelles pour les nouveaux venus ainsi que les reconvertis de l’IT, et le retour en Afrique de plusieurs Professionnels de la Sécurité actuellement basés hors du continent.

• Le nombre de conférences et d’évènements dédiés à la Cyber Sécurité et ses ramifications va continuer son ascension, non plus seulement en Afrique Anglophone, mais aussi dans les autres pays du continent.

• Inévitablement, le nombre d’infractions dans le Cyber Espace en provenance et/ou ayant pour destination des pays d’Afrique va continuer de grimper, ceci est en parti dû à au taux sans cesse croissant de personnes et périphériques connectés à internet et à la situation « précaire » de nos politiques et moyens de lutte contre la Cybercriminalité.

• Une réduction des coûts d’acquisition des solutions de Sécurité Informatique. Cela va du simple antivirus pour les terminaux d’utilisateurs à des Appliances et Applications bien plus complexes de sécurité en entreprise.

• L’élaboration des lois spécifiques au Cyber Espace et leur Application Effective. Par  Application effective, j’entends ici la mise à disposition des ressources de toute nature (matérielles, financière, logistiques, humaines, …) devant permettre l’exécution des dites lois dans le contexte qui leur sied.

• La vulgarisation des moyens et mesures de sensibilisation des utilisateurs finaux face aux dangers et contraintes sécuritaires du cyber espace.

• Le développement du phénomène de BYOD (Bring Your Own Device) ainsi que ses variantes qui,  avec  toutes les implications de sécurité liées, donnera un peu plus de fil à retordre aux départements informatiques des entreprises.

• Entre autres s’annonce aussi beaucoup plus de violation des libertés individuelles notamment les atteintes à la vie privée des internautes. La cause principale était la mise sur pieds par les entreprises privées et Administrations publiques des moyens de sécurité ne respectant pas toujours les standards de base sur la protection de la vie privée des utilisateurs finaux, ceci à la faveur de l’absence de loi sur le sujet.

Concernant ce dernier item, j’ai espoir que nous verrons naître des institutions semblables à la Commission Nationale de l’Informatique et des Libertés (CNIL), qui seront les protecteurs du droit à la vie privée des utilisateurs du Cyber Espace et que ces institutions seront dotées d’un pouvoir légal similaires à leurs homologues dans les pays occidentaux.

Vous l’aurez surement remarqué, je suis très optimiste dans mes perspectives, ceci n’est pas seulement une vue de l’esprit, mais s’appuie sur les tendances actuelles ayant déjà pris racine et qui se verrons accroître dans les temps à venir grâces à la synergie de tous les acteurs.

Valdes T. Nzalli

Liens Utiles :

Draft Convention on Cyberlegislation in Africa

CyberCrime, Hacking and Malware in AFRICA

Infosec Community : Quand Marketing et Prédictions se rencontrent !

Comme la plus part d’entre ceux qui suivent les fils d’actualités liées à la sécurité (informatique ?!) l’a surement remarqué, depuis la fin d’année 2012 et ce jusqu’à ce début 2013 c’est la saison des prédictions sur les tendances générales qui se démarqueront au cours de l’année 2013 dans le domaine de la sécurité de l’Information.

Je ne vais pas rentrer dans les détails des « prédictions » individuelles car quelqu’un d’autre les a déjà toutes rassemblé (du moins, pour les principaux éditeurs de solution de sécurité et c’est plus ou moins la même chose chez le reste) et en a fait un tableau croisé tel que représenté par la figure ci-dessous.

Security Prediction For 2013 (Source : http://hackmageddon.com/2012/12/26/browsing-security-predictions-for-2013/)

 

Le constat général qui en découle est que pour presque tous, 2013 c’est l’année où plein de choses « horribles » vont arriver tant aux entreprises qu’aux particuliers ! La prolifération des malwares sur plateformes mobiles, la sophistication des attaques ciblées, la multiplication des vols d’identité, une multitude d’attaques par Injection SQL, les DDOS de plus en plus persistants et percutants,… bref, tout ce qu’il faut pour vous faire comprendre que ça va faire mal, très mal même ! On se croirait presque à une foire de prophéties malveillantes !

Tout est mis en œuvre, non pas vraiment conscientiser les entreprises et particliers, mais beaucoup plus pour les aider à franchir le pas de l’achat de telle dernière Appliance anti-DDOS, telle application anti-SQL injection (bah oui, ça se vend aussi), de souscrire aux services de tel Consultant/Entreprise pour lutter contre les APT, …   en gros, une orientation qui permet de délier plus facilement les bourses des potentiels clients, même des plus sceptiques et ceci par le biais de la psychose créée grâce à ces « prédictions » ! Ce qui en ressort est que les « Prédictions » en matière de Sécurité pour l’année à venir sont tout simplement devenues les grandes orientations marketing sur lesquelles les éditeurs et Prestataires de Service en Sécurité comptent de façon directe ou indirecte faire leur chiffre d’affaires. l’utilisateur final, lui il n’est pas vraiment au programme, sauf pour la partie où il faudra signer le chèque.

Le système de Prédictions ayant perdu ses valeurs intrinsèques  se retrouve ainsi biaisé. Les malwares, les cybercriminels et autres nuisances auront toujours de quoi se répandre, donc venir chaque année nous verser les mêmes verbiages sous forme de pseudo-prédictions, à la longue ça use ! D’autant plus que le principal objectif derrière tout ça semble être purement commercial !

Ceci laisse penser à une autre approche ; Et si au lieu de chercher à anticiper sur les pires choses qui pourraient nous arriver (ce qui est d’ailleurs techniquement impossible), on s’orientait plutôt vers les Prédictions pour les avancées majeures de l’année à venir en matière de sécurité , celles qui apporterons une réelle plus-value tant pour les fournisseurs de services/produits que pour les clients finaux?

 

Valdes T. Nzalli

Entreprise Security : La dépérimétrisation Partie I

La tendance générale actuelle nous sied à une externalisation de plus en plus accru des services de l’entreprise. Grace aux facilités que nous offre la technologie notamment avec le déploiement des réseaux et des terminaux de plus en plus innovants, il devient assez pratique pour plusieurs de se connecter au Système d’Informations de l’entreprise non plus avec le conventionnel poste de travail situé dans les locaux de la dite firme, mais plutôt avec  un périphérique mobile (Tablette, Smartphone, …) ou depuis un réseau distant ne remplissant pas forcement les mêmes standards de sécurité que ceux de l’entreprise. Il en est de même lorsque l’entreprise fait appel à des consultants ou à une tierce partie prenante à qui elle ouvre l’accès à son Système d’Information.

Il est donc clair que l’entreprise, d’une façon ou d’une autre, est amenée à ouvrir son Système d’Informations au monde extérieur ; et à ce niveau, les principes de sécurité périmétrique longtemps utilisés trouvent leurs limites. C’est là qu’intervient la dépérimétrisation de la Sécurité du Système d’Information de l’Entreprise. Essentiellement, la dépérimétrisation désigne l’extension de l’entreprise hors de sa « zone de contrôle » dont les limites sont plutôt fixes et définies, donc certaines, vers des terrains où l’entreprise n’a plus totalement la matrise de son patrimoine Informationnel, et donc de ses données. Parmi ses représentations les plus visibles nous avons la migration vers l’Informatique dans le nuage (Cloud Computing) et le phénomène de Bring Your Own Device (BYOD).

Face à ces changement comportementaux et environnementaux au sein de l’entreprise, les mesures de sécurité ayant fait leurs preuves autres fois se trouvent vite dépassées! En effet il ne suffit plus seulement d’ériger des rampars avec les meilleurs Pare-feu et Contrôleurs d’Accès visant à bloquer toute tentative d’entrée dans le réseau depuis « l’extérieur » (pouvant ici être Internet, un device non reconnu, un autres réseaux non-autorisé,… ) car à un moment ou l’autre il faudra ouvrir un accès à tel service du Cloud, à telle Application hébergée en SaaS, à un tel Travailleur en déplacement via un VPN, et ainsi de suite.  Les mesures de Sécurité doivent être adaptées au nouveau contexte d’où la Dépérimétrisation de la Sécurité du Système d’Informations de l’Entreprise.

L’objectif grâce à ceci est de fournir un traitement sécurisé des données de l’entreprise quelque soit le lieu ou le terminal depuis lequel ces données transitent. Cela passe par des mécanismes de cryptage automatique des données traitées, l’usage de protocoles de Sécurité intégrant une forme d’intelligence artificielle embarquée en natif, la possibilité pour les données en cours de traitement de pouvoir authentifier leur détenteur sans pour autant avoir besoin de se connecter sur les serveurs d’authentification situés dans le réseau périmétrique de l’Entreprise.

le groupe de travail ouvert sur la thématique de Sécurité de l’Information nommé Jericho Forum ayant grandement oeuvre pour son intégration à mis sur pieds une série de recommandations, sous forme de commandements, nécessaires à l’implémentation de cette stratégie au sein des Entreprises et ceci fera l’objet d’un futur article.

Valdes T. Nzalli