Découvrez l'introduction de Nathalie Kosciusko Morizet, VP Cloud & Cybersecurity, Capgemini Americas CIS, lors de la CWIN18 Paris.

1. 1
CWIN18 PARIS – mardi 16 Octobre 2018
« La sécurité au cœur du processus d’innovation »
Nathalie Kosciusko-Morizet
Vice President Activités Projet & Consulting de la division Cloud
Infrastructure et Cybersécurité du groupe Capgemini aux Etats-
Unis.
(Introduction)
Le sujet du jour est vaste et témoigne de l’ambition des organisateurs dont personne ne doutait. J’ai
choisi de concentrer plus modestement cette présentation sur l’internet des objets et ses interactions
avec les enjeux de sécurité. J’ai fait ce choix pour deux raisons :
1/ L’internet des objets est l’une des sources majeures des données qui alimentent les moteurs de
l’intelligence artificielle. Il existe bien d’autres enjeux en matière d’intelligence artificielle : des enjeux
sociaux et politiques comme la transformation du travail, la répartition du pouvoir et des richesses, ou
des enjeux techniques comme la maîtrise des biais de collecte et d’exploitation des données. Mais
enfin les données sont le carburant de l’IA, et l’internet des objets le principal fournisseur. On ne peut
parler de l’un sans l’autre.
2/ Nul ne peut prétendre ici maîtriser l’ensemble des sujets, et surtout pas moi. Chacun vient avec sa
subjectivité et son expérience. Je parle donc sans autorité particulière, mais avec une expérience
multiple, qui m’a amenée à m’intéresser tant au cyberdjihadisme comme maire d’une ville de banlieue,
à l’émergence de forums internationaux sur la régulation de l’internet comme ministre, qu’au service
aux entreprises aujourd’hui pour les accompagner dans leurs nouveaux défis, notamment en matière
de cybersécurité.
Chacune de ces expériences a été une incitation à la modestie, tant les sujets sont complexes. Chacune
aussi m’a confrontée aux difficultés singulières de situations asymétriques, dans lesquelles la légitimité,
qu’elle soit celle du pouvoir politique ou de la puissance économique, se trouve mise au défi de la
créativité d’acteurs multiples. Des acteurs dont les motivations sont souvent orthogonales aux nôtres,
ce qui rend leur anticipation extrêmement difficile.
J’ai eu le privilège, à l’époque rare pour une femme et aujourd’hui de toutes façons oublié même pour
les hommes, de faire un service militaire. Cela commençait par un mois d’incorporation au camp
militaire de La Courtine, sur le plateau de Millevaches. On tirait sur des cibles basculantes au petit

2. 2
matin, on marchait au pas en chantant les hits de l’armée, on montait et on démontait le fusil d’alors,
le FAMAS. Et puis un jour, le lieutenant nous a emmenés au village de combat, et il nous a déclaré que
nous devions oublier tout ce que nous avions péniblement appris. Ici cela ne servirait à rien, car le
combat de rue, un combat fortement asymétrique, répondait à d’autres règles. Si d’ailleurs il répondait
à aucune.
Mes expériences en matière de cybersécurité me font penser à cette déclaration du lieutenant : il n’y a
pas beaucoup de règles, elles changent souvent, et l’ennemi ne porte pas d’uniforme. Je me propose
donc de partager ici non pas des règles, mais quelques éléments de réflexion, ni plus, ni moins.
(Les risques)
L'internet des objets sous l’angle de la cybersécurité, donc.
Une présentation sur ce sujet, cela peut être assez angoissant. On tombe rapidement dans la catégorie
film à suspense, voire film d’horreur. Et il y a de bonnes raisons à cela. A commencer par une raison
très simple : la solidité d’une chaîne dépend de celle de son maillon le plus faible. L’IoT, en multipliant
les points d’entrée, multiplie les maillons. Et donc les risques de faiblesse. CQFD.
A ce motif d’inquiétude général, vient s’ajouter un motif plus spécifique : l’internet des objets ne
charrie pas seulement des quantités démultipliées de données, il charrie aussi des données
particulièrement sensibles par nature. Localisation, santé, habitudes de vie, tout y passe. Les objets
connectés collectent tout sur notre intimité, et le partagent. C’est leur nature. On ne peut pas leur en
vouloir. Tout au plus pouvons-nous nous interroger sur nos inconséquences, qui nous amènent à
partager par défaut avec des systèmes que nous ne maîtrisons pas des données très personnelles. Et
réfléchir à quelques régulations indispensables qu’il faudra bien un jour adopter.
Les scenarii d’attaque sont déjà nombreux. Et ce n’est que le début. J’en cite quelques-uns pêle-mêle :
- La prise en main par des intérêts malveillants du réseau, retourne à des fins de surveillance. On
pense notamment à tous les réseaux de cameras. Les objets qui étaient supposés nous protéger
ou nous renseigner se retournent contre nous. Les films de science-fiction des années 80 sont
ici dépassés.
- Au demeurant il ne s’agit pas seulement de surveillance. Le sabotage ou la demande de rançon
font partie des risques. Il n’est pas besoin de beaucoup d’imagination, par exemple, pour se
représenter les conséquences possibles de la prise en main de voitures connectées par des
individus malveillants.
Ce sont de bons sujets de fiction mais ils sont bien réels. J’ai sélectionné 3 exemples d’attaques
emblématiques parmi des milliers. En fait parmi des dizaines de milliers. En effet selon Kapersky Lab,
en 2017, 30.000 malwares touchant des objets connectés avaient été identifiés. Durant la première
moitié de 2018, ils étaient déjà 120.000. Mais je reviens aux attaques emblématiques :
- Je pense d’abord au botnet Mirail en 2016. Ce fut la prise en main de caméras, utilisées non pas
pour être retournées à des fins de surveillance ici, mais mobilisées pour provoquer la plus

3. 3
grande attaque DDoS. De nombreux sites se trouvèrent inaccessibles. Cette attaque révélait un
problème majeur : les fabricants ne laissent pas une mémoire suffisante pour mettre à jour le
noyau Linux.
- Je pense aussi à Brickerbot, qui utilisait le même mode opératoire que le botnet Mirail, mais
cette fois le malware détruisait l’objet connecté. Le risque économique et réputationnel pour
les entreprises qui commercialisaient ces objets est évident. Ce deuxième exemple relève un
autre problème : les noms d’utilisateur et les mots de passe par défaut des objets connectés
sont souvent faibles, et l’écrasante majorité des utilisateurs ne les changent pas. Difficile
d’imaginer ici un progrès vers plus de sécurité si on n’oblige pas les utilisateurs à les changer
avant la mise en service.
- Je voudrais enfin citer Stuxnet, qui toucha en 2010-2014 les centrifugeuses en Iran, et détruisit
1000 centrifugeuses. Cette attaque n’a jamais été revendiquée…
A ce stade de la réflexion, on se demande logiquement pourquoi prendre autant de risques. Les
bénéfices de l’internet des objets méritent-ils une telle exposition ? Le jeu en vaut-il la chandelle ?
(Les bénéfices de l’internet des objets)
Après les risques, voici venu les temps de l’émerveillement. Car les possibilités de l’internet des objets,
si l’on veut bien faire abstraction des grandes inquiétudes qu’il soulève, sont immenses. Tous les
secteurs sont concernés. L’industrie est en pointe, notamment la logistique avec l’optimisation des
flottes de véhicules et la révolution des chaines d’approvisionnement. Les services suivent de près, en
particulier l’assurance, avec par exemple les contrats automobiles “pay as you drive”, ou encore la
santé. L’urbanisme n’est pas en reste, avec l’émergence des smart cities et des smart buildings.
Le phénomène en est à ses débuts, mais il s’accélère déjà. C’est sans doute dans le B2B que se créera
le plus de valeur. Les vecteurs d’accélération sont en place. On recense :
- La diminution du coût des capteurs
- L’explosion de la connectivité
- L’accroissement de la puissance de calcul des processeurs
- La miniaturisation des éléments
- Le développement du cloud
L’internet des objets, c’est une question d’innovation bien sûr, mais surtout de performance. Trois
enjeux majeurs trouvent avec lui un moteur de transformation nouveau et radical :
- Automatiser et superviser les tâches répétitives,
- Réduire les coûts de maintenance, les stocks, optimiser les parcs.
- Mieux connaître et fidéliser les clients
Je voudrais m’arrêter sur ce dernier point, qui pourrait être le premier, la relation client. La relation
client traditionnelle s’arrête souvent à l’achat du produit. Avec l’internet des objets, le produit
continue à envoyer des informations au vendeur. La relation client s’en trouve chamboulée, et les
possibilités d’interaction, démultipliées. Le fabricant peut cibler le processus de marketing (on pense à

4. 4
Nespresso avec la machine ‘Prodigio’, qui facilite le rachat des capsules), mais ce n’est ici qu’un
exemple simple, basique. En fait, c’est toute la segmentation B2B, B2C qui perd de son sens. A l’heure
de l’internet des objets, la relation client est hybride : B2B2C.
Une remarque incidente que vous jugerez peut-être personnelle – mais j’ai bien prévenu au début de
mon propos que je parlais à partir de mon expérience - : dans tout ce que je dis ici, le mot « client »
peut en général être remplacé par le mot « électeur ». L’un comme l’autre produisent des données qui
font la convoitise d’organisations qui voudraient mieux comprendre leurs besoins et les cibler. L’un
comme l’autre ont bien des choses à dire au-delà du moment privilégié d’interaction que constitue
l’acte d’achat ou l’élection. L’un comme l’autre surtout font souvent des choix assez irrationnels, qui
nécessitent l’accumulation d’une grande quantité d’informations et des moteurs d’intelligence
artificielle sophistiqués si on veut les anticiper.
Je suis consciente que ce que je dis là est assez mal vu, au moins dans le monde politique. Les électeurs
n’aiment pas être comparés à des clients, et personne n’a envie d’être prédictible. C’est d’ailleurs un
très bon moyen de perdre une élection que de laisser penser qu’on croit qu’elle est gagnée : cela agace
prodigieusement les électeurs. Croyez-moi, j’ai été tour à tour la bénéficiaire et la victime de cette
règle, qui pour le coup est constante. Il n’en reste pas moins que la collecte et le croisement de
données fascine autant le monde politique que celui du business. Ils ne sont pas si distincts qu’ils le
croient, ni dans cette quête, ni dans sa limite, à savoir la part de magie qui fait la différence entre les
bons et les visionnaires.
La vision, justement, parlons-en. Pour moi, elle a trait à la simplicité. Savoir définir et exposer
simplement son offre, qu’elle soit commerciale ou politique. Et dans la révolution en cours, elle prend
plus d’importance que jamais.
Michael Porter (professeur à Harvard) l’esquisse : « l’internet des objets » va obliger les entreprises à
se poser à nouveau la question fondamentale, quel est mon business ?”. Une question qui me fait
immanquablement penser au livre de business qui m’a le plus frappée, le best-seller “Good to Great”
de Jim Collins. Il y professe l’idée que les entreprises à succès sont celles dont les CEO ont la
compréhension la plus simple de ce qu’est leur industrie.
La mise en garde que je faisais au début de ce propos, sur la nécessité d’être modeste devant une telle
révolution, prend ici tout son sens. Il n’est pas de spécialiste qui puisse prédire où nous mènera
l’internet des objets, ni de règle générale qui puisse anticiper les transformations propres à chaque
secteur. Trois tendances cependant peuvent guider la réflexion.
- 1ère tendance : les frontières entre les industries se font poreuses.
Par exemple un constructeur automobile collecte des données qui lui permettent d’étendre ses
activités vers l’assurance. “Pay as you drive”, “pay how you live”. Goggle se fait assureur habitation,
Withings assureur santé. Mais aussi Trimble assureur d’exploitations viticoles.
D’autres industries disparaissent. Il se pourrait par exemple que l’internet des objets donne son coup
de grâce aux supermarchés, avec le réapprovisionnement automatique. Le système sait ce que vous

5. 5
achetez, et à quelle fréquence vous le rachetez. Il vous propose des contrats d’approvisionnement avec
livraison à domicile. Aux Etats-Unis, cela existe jusque pour les sacs poubelles.
- 2ème tendance, connexe à la 1ère : l’IoT va amplifier la migration vers les services. Plus
précisément, avec l’IoT, le service devance l’objet.
Schneider fournit de plus en plus de services de maintenance, avant que des objets pour le bâtiment.
Siemens développe son commerce de pièces de rechange en temps et heure, aidé par l’impression 3D
qui permet de les fabriquer à proximité.
La relation entre distributeurs et fabricants se trouve rééquilibrée au profit des seconds, car ce sont
eux qui collectent désormais l’or noir du numérique : les données. Ils ont accès à la matière première. Il
leur faut encore la collecter, la stocker, l’analyser et l’exploiter.
- 3ème tendance : les écosystèmes intégrateurs vont capter la valeur. Il y aura des gagnants et des
perdants, et les premiers seront ceux qui parviendront à agréger et corréler des données
d’origines diverses.
C’est une lutte féroce qui se joue déjà pour prendre position. Il y a une tendance certaine vers les
standards ouverts (plateforme open source, interopérabilité des éléments entre eux). Mais cela ne
change rien au risque de monopole des plateformes qui sauront/pourront capter et agréger comme
Google ou Apple.
(Sécuriser l’internet des objets)
Après ce détour par quelques bonnes raisons de s’intéresser à l’internet des objets, je reprends le fil de
mon premier propos. Comment sécuriser tout cela, pour s’assurer de n’en retirer que les bénéfices, ou
au moins d’éviter les grandes catastrophes ?
Il n’y a pas de solution technologique idéale et universelle, un “one size fit all” de la cyber de l’IoT. Tout
au plus quelques bonnes pratiques, mais aussi un monde à construire.
Certaines des solutions actuelles, qui consistent à monitorer le trafic entrant et sortant via le wifi, ne
dureront pas car les objets se connecteront directement au réseau. Le mouvement vers la 4G va
amplifier le problème. La cryptographie peut séduire mais elle n’est pas toujours possible à cause de la
mémoire et de la bande passante qu’elle suppose. On peut bien sûr surveiller le trafic passant par la
plateforme d’IoT, pour voir venir les attaques DDoS. Obliger à changer les noms d’utilisateurs et les
mots de passe par défaut. Exiger une mémoire suffisante pour supporter les mises à jour. Mais on voit
bien que ces solutions ne sont pas à la hauteur du problème.
Aujourd’hui le premier et de loin le meilleur conseil qu’on puisse donner est le “security by design”. Il
faut penser la sécurité dans le dispositif d’ensemble et dès l’origine. C’est évident mais c’est loin d’être
le cas général. Et ne pas hésiter à revenir en arrière et prendre le temps de définir une architecture
nouvelle, intégrant la sécurité comme composante première, lorsqu’on est parti trop vite. C’est bien
sûr le plus dur.

6. 6
Le paradoxe de tout cela, c’est que l’internet des objets, mouvement en apparence décentralisé, qui
rapproche le fabricant du client, oblige finalement à recentraliser une partie de la politique IT, pour
gérer le risque. Il faut envoyer des mises à jour, imposer des standards et il existe un mouvement en ce
sens en Europe, aux US, en Chine …
(Conclusion)
En conclusion, il me semble que du point de vue de la sécurité, il y a un problème de maturité de la
démarche d’innovation.
La sécurité a été vue longtemps comme une question périphérique. Elle était clairement secondaire.
Au sens où elle n’était pas majeure, pour certains, mais aussi au sens où elle venait après, même quand
elle était prise au sérieux.
C’est toute cette logique qu’il faut inverser. En intégrant la sécurité au cœur du processus d’innovation.
En en faisant le premier argument de qualité des produits. En développant des écosystèmes de
partenaires responsables, qui ne feront pas de dumping sur la sécurité, en laissant courir à leurs clients
le risque de la compromission de leurs données, et à leur marque celui de figurer un jour dans un
exposé comme le mien, au chapitre des contre-exemples.
Puisqu’au bout du compte, le mot le plus important, celui que je n’ai volontairement pas prononcé
jusqu’ici, le gardant pour la fin, est celui de confiance.