XY Magazine

Stratégie cyber-sécurité de la France est bien définie. La France a élaboré et fait évoluer sa stratégie nationale en matière de cyber-sécurité face à l’amplification et à la sophistication des cyber-menaces, ainsi qu’en réponse au cadre réglementaire européen. Stratégie cyber-sécurité de la France Origine et Évolution La lutte contre les cyber-menaces a été organisée en France dès 2004, puis renforcée après l’attaque informatique subie par l’Estonie en 2007. La Nouvelle Stratégie Nationale de Cyber-sécurité (2024) La nouvelle stratégie nationale de cyber-sécurité a été définie fin 2024 et validée en novembre 2024 par le conseil de défense et de sécurité nationale. Elle s’inscrit dans un nouveau cadre défini par l’évolution de la menace et la réglementation européenne, notamment les directives NIS 2, REC et DORA. Son objectif est de définir une politique publique globale qui vise à développer l’expertise, à utiliser des technologies avancées, et à renforcer le pilotage pour répondre aux agressions et consolider la protection des systèmes d’information de l’État et des entités importantes. Elle vise également à construire une “société de confiance” cyber. La stratégie confirme le maintien d’un comité directeur cyber, présidé par le Premier ministre, qui abordera les trois volets de la sécurité numérique pour définir les grandes orientations de l’État en cybersécurité. Elle instaure un comité de pilotage des politiques publiques cyber (C3PC), de nature interministérielle, sous la responsabilité du SGDSN. Ce comité est chargé d’établir la planification interministérielle pluriannuelle des ressources de l’État, sa déclinaison annuelle, et le suivi des moyens dédiés dans les ministères. Mise en Œuvre et Recommandations Bien que finalisée, cette nouvelle stratégie n’a pas encore fait l’objet d’une publication officielle ni d’une déclinaison publique sous forme de plan d’action et de financements dédiés. C’est bien là un point faible du sujet. Pour garantir son effectivité, elle doit être adossée à un échéancier précis des actions à mener et à une programmation pluriannuelle des ressources à mettre en œuvre dans la sphère des services de l’État. Elle nécessite de préciser les missions de l’ANSSI et d’accompagner la construction de l’écosystème de cyber-sécurité ainsi que la diffusion de la culture de la sécurité numérique dans l’ensemble de la société, en rationalisant son financement et les dispositifs de soutien. Le rôle central de l’ANSSI L’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) joue un rôle central et déterminant dans la cyber-sécurité civile en France. Créée par décret n° 2009-834 du 7 juillet 2009, l’ANSSI est un service à compétence nationale rattaché au Secrétariat Général de la Défense et de la Sécurité Nationale (SGDSN), placé auprès du Premier ministre. Ce positionnement stratégique souligne le haut niveau de prise en compte de la menace et la nécessité d’un traitement multisectoriel et interministériel. Voici les principales missions et fonctions de l’ANSSI, ainsi que son rôle dans la stratégie cyber-sécurité : Autorité nationale de sécurité et de défense des systèmes d’information (SSI): Elle est l’expert français de cybersécurité dans les relations internationales. Elle contribue à la sécurisation des systèmes d’information des organisations internationales dont la France est partie, notamment pour la protection des informations classifiées. Elle soutient les travaux relatifs à l’élaboration de la stratégie nationale de cybersécurité. Elle est chargée de la transposition de la directive européenne NIS 2 en droit français. Conseil et soutien: Elle assure une mission de conseil et de soutien technique aux administrations, aux Opérateurs d’Importance Vitale (OIV), aux Opérateurs de Services Essentiels (OSE), et aux Fournisseurs de Services Numériques (FSN) pour la conception et la mise en œuvre de leurs systèmes d’information les plus critiques. L’assistance technique est majoritairement dédiée aux services de l’État, mais aussi aux OIV/OSE et à des organismes internationaux. Centre de Réponse aux Incidents de Sécurité (CERT-FR): Elle est le centre de réponse aux incidents de sécurité gouvernemental et national français. Le CERT-FR répond aux demandes d’assistance suite à des incidents de sécurité, traite les alertes, détecte les attaques ciblant les systèmes d’information gouvernementaux, et identifie les vulnérabilités. Elle assure le suivi des incidents cyber et leur remédiation. La complexité des opérations d’endiguement et de gestion de crise est croissante. Elle a accompagné l’émergence et la structuration des CSIRT (Computer Security Incident Response Team) ministériels et territoriaux, et coordonne les réponses aux incidents. Contrôle et audit: Elle réalise des audits pour vérifier l’effectivité et la performance de la sécurité des systèmes d’information des entités régulées (OIV, OSE, administrations). La fonction de contrôle doit être plus fortement structurée et intensifiée, notamment avec l’élargissement du périmètre d’entités concernées par la directive NIS 2. L’ANSSI prévoit de distinguer clairement ses missions d’accompagnement et de contrôle pour maintenir la confiance. Qualification et certification de produits et services: L’ANSSI met en place des procédures de qualification et de certification (CSPN, CC) pour évaluer et approuver les produits, services et prestataires de cybersécurité qui répondent à ses normes. Ces qualifications sont obligatoires pour les solutions destinées aux OIV, aux autorités administratives relevant du Référentiel Général de Sécurité (RGS), et aux entités relevant du règlement eIDAS. Elle labellise également des formations (label SecNumedu). Formation et sensibilisation: Elle assure la formation des agents des entités régulées en cybersécurité via son Centre de Formation pour la Sécurité des Systèmes d’Information (CFSSI). Elle mène des actions de sensibilisation aux cybermenaces auprès du grand public (ex: Cybermoi/s, SecNumacadémie). Il est nécessaire d’adapter l’offre de formation aux besoins des organismes régulés et de développer l’observation et l’orientation de l’offre de formation en cybersécurité. Observation de la menace cyber: L’ANSSI centralise l’observation de la menace cyber, produisant des analyses et des synthèses (ex: panorama de la cybermenace). Il est recommandé de mettre en place à court terme un observatoire de la cybermenace au sein de l’ANSSI, centralisant les données et analyses à l’échelle nationale pour prévoir leur évolution. Contribution à la politique industrielle et à l’écosystème: L’ANSSI est un acteur clé dans la promotion des technologies de sécurité et a soutenu le développement d’une politique industrielle cyber. Elle est associée aux processus de sélection des projets financés par des stratégies comme France 2030. Elle est partenaire de plateformes comme Cybermalveillance.gouv.fr et du Campus Cyber, et il est recommandé de proposer un modèle économique pérenne pour ces entités. L’ANSSI est le pilier technique et réglementaire de la cybersécurité civile en France. Elle définit les normes, assiste les entités critiques, réagit aux incidents, forme les acteurs, et contribue à la politique industrielle, le tout sous l’autorité du SGDSN. Le cas des entités régulées En France, les entités régulées sont les organisations, publiques ou privées, soumises à des obligations spécifiques en matière de stratégie cyber-sécurité en raison de leur importance pour le fonctionnement de la Nation, la société, ou l’économie, et ce, face à l’évolution croissante et sophistiquée des cybermenaces. Le cadre de cette régulation a considérablement évolué, notamment sous l’impulsion du droit européen. 1. Origine et Évolution du Cadre Réglementaire Début de la régulation : La lutte contre les cybermenaces a été organisée en France dès 2004 et renforcée après l’attaque informatique massive subie par l’Estonie en 2007. Initialement, l’approche était axée sur la cyberdéfense, avec une focalisation sur la sécurisation des Opérateurs d’Importance Vitale (OIV), identifiés dès le Livre blanc sur la défense et la sécurité nationale de 2008 et 2013. La loi de programmation militaire de 2013 a introduit des mesures de sécurité obligatoires pour ces OIV. Les OIV sont des personnes morales publiques ou privées dont la destruction ou l’indisponibilité grave obéreraient gravement le potentiel militaire, la force économique, la sécurité ou la capacité de survie de l’État, ou mettraient en danger sa population. Extension par NIS 1 : La directive européenne “Network and Information System Security” (NIS 1) de 2016, transposée en droit français en 2018, a élargi le périmètre des entités concernées. Elle a introduit la catégorie des Opérateurs de Services Essentiels (OSE), qui produisent des services essentiels au bon fonctionnement de la société ou de l’économie, et a également concerné les Fournisseurs de Services Numériques (FSN). Le nombre d’organismes sous contrôle de NIS 1 ne dépassait pas 500. Nouvelle ère avec NIS 2 et au-delà : La directive NIS 2 (adoptée en décembre 2022 et à transposer d’ici octobre 2024), ainsi que les directives “Résilience des Entités Critiques” (REC) et “Digital Operational Resilience Act” (DORA) (pour le secteur financier), ont très significativement élargi et précisé le champ des organismes soumis à des obligations de cybersécurité. 2. Catégories d’Entités Régulées sous NIS 2 La directive NIS 2 (voir article précédent sur le site) modifie profondément le paysage de la régulation, en augmentant le nombre d’entités concernées d’environ 500 à 15 000 entités. Ces entités s’identifient désormais elles-mêmes. Les entités concernées par NIS 2 répondent à trois critères cumulatifs : Une activité fournie ou exercée au sein de l’Union Européenne. Le secteur d’activité : la directive liste 18 secteurs, dont 11 “hautement critiques” (énergie, transport, banques, santé, infrastructures numériques, administration publique, etc.) et 7 “autres secteurs critiques” (services postaux, gestion des déchets, fabrication, recherche, etc.). Leur taille : moyennes ou grandes entreprises, selon des seuils d’employés et de chiffre d’affaires. La directive NIS 2 distingue deux catégories principales, avec des niveaux d’exigence modulés: Entités Essentielles (EE) : Les grandes entreprises des secteurs “hautement critiques”, ainsi que les infrastructures numériques et les administrations publiques (centrales et régionales), quelle que soit leur taille. Entités Importantes (EI) : Les moyennes entreprises des secteurs “hautement critiques”, ainsi que les moyennes et grandes entreprises des “autres secteurs critiques”. La France a pris la décision d’inclure les collectivités territoriales dans ces nouvelles exigences, compte tenu de la multiplication des attaques les affectant et de leur faible sécurisation. Cela inclut notamment les régions, départements, métropoles, communautés urbaines, communautés d’agglomération, et les communes de plus de 30 000 habitants en tant qu’EE, et les communautés de communes en tant qu’EI. Notez qu’a cette date le texte n’est pas encore transposé en droit français. 3. Obligations pour les Entités Régulées Les entités régulées sont soumises à un ensemble d’obligations visant à renforcer leur cyber-résilience: Mesures de gestion des risques : Elles doivent mettre en œuvre des mesures de gestion des risques en matière de cybersécurité. Interlocuteur privilégié : Elles doivent désigner un interlocuteur privilégié de l’ANSSI. Cartographie des systèmes d’information : Elles doivent définir et tenir à jour la liste de leurs systèmes d’information essentiels (SIE) ou d’importance vitale (SIIV), en tenant compte des services fournis par leurs prestataires. Sous NIS 2, les obligations s’appliquent par défaut à l’ensemble des systèmes d’information de l’entité. Notification d’incidents : Elles ont l’obligation de notifier directement l’ANSSI des incidents affectant leurs systèmes d’information. Règles de sécurité : Elles doivent se conformer aux règles de sécurité édictées par le Premier ministre (SGDSN / ANSSI), couvrant des thématiques telles que la gouvernance, la gestion des risques, la gestion des systèmes d’information, la gestion des incidents, et la protection des systèmes d’information. Audits et contrôles : Elles sont tenues de se soumettre à des contrôles réguliers pour évaluer leur niveau de sécurité, effectués par l’ANSSI ou des prestataires d’audit qualifiés par l’ANSSI (PASSI). La fonction de contrôle de l’ANSSI doit changer de dimension pour répondre à l’élargissement du périmètre d’entités assujetties. Produits et services qualifiés : Les OIV (et dans une moindre mesure, d’autres entités) doivent recourir à des produits et services qualifiés par l’ANSSI, qui atteste de leur robustesse et compétence. En utilisant des services SAAS SECNUMCLOUD par exemple. Systèmes de détection : Seuls les OIV ont l’obligation de déployer des systèmes de détection qualifiés par l’ANSSI (sondes), permettant une vision précise des menaces. La France a bien intégré la cyber-menace dans sa stratégie cyber-sécurité. Cette politique a un cout. Actuellement beaucoup d’entités concernées par la mise en Œuvre de NIS2 n’auront pas le moyens immédiats de sécuriser correctement leurs systèmes. Sources : La réponse de l’État aux cybermenaces sur les systèmes d’information civils, Cour des comptes The post Stratégie cyber-sécurité de la France first appeared on XY Magazine.

L’intelligence artificielle redéfini l’entreprise et les méthodes de travail. On a eu l’occasion de traiter du sujet avec la dernière étude de Microsoft sur le travail infini. Nous allons maintenant constater les impacts sur l’entreprise elle-même. L’intelligence artificielle (IA) est un facteur de transformation majeur qui redéfinit en profondeur l’organisation et la productivité des entreprises, marquant l’émergence d’une nouvelle ère professionnelle. Actuellement on commence à lire des articles sur les Entreprises frontières qui définissent la nouvelle organisation du travail. Ce sont des entreprises qui intègrent massivement l’intelligence artificielle pour leurs opérations courantes. Impacts sur l’Organisation des Entreprises Émergence des “Frontier Firms” et d’une Nouvelle Organisation Hybride : Elles représentent un nouveau type d’entreprises structurées autour de l’intelligence à la demande, fonctionnant avec des équipes “hybrides” composées d’humains et d’agents IA. Ces entreprises peuvent s’adapter et créer de la valeur plus rapidement. Des sociétés comme Accenture, Wells Fargo, Estée Lauder et Bayer sont pionnières dans ce modèle. Une Évolution en Trois Phases : La transition vers la “Frontier Firm” se fera sur plusieurs décennies, progressant par étapes. Phase 1 : L’IA agit comme un assistant, aidant les humains à accomplir des tâches plus rapidement et mieux. Phase 2 : Les agents IA rejoignent les équipes en tant que “collègues numériques”, prenant en charge des tâches spécifiques sous la direction humaine. Phase 3 : Les humains dirigent, tandis que les IA opèrent des processus et des flux de travail entiers. Transformation des Organigrammes en “Work Charts” Humain-IA : Les organigrammes traditionnels, basés sur l’expertise et les fonctions, sont remplacés par des “Work Charts” dynamiques et évolutifs. Ces nouveaux modèles d’organisation sont axés sur les objectifs plutôt que sur les fonctions, rappelant l’industrie cinématographique où des équipes se forment et se dissolvent selon les projets. Le ratio humain-IA deviendra une donnée stratégique clé pour optimiser la performance des équipes. Création de Nouveaux Départements : “Intelligent Resources” : Microsoft anticipe l’émergence de départements dédiés à l’hybridation des ressources humaines et artificielles. Ces divisions d'”Intelligent Resources” seront essentielles pour gérer l’interaction entre les humains et les agents IA, devenant une source d’avantage concurrentiel. Changement de Mentalité des Employés et Rôle de l'”Agent Boss” : Le “mindset” de l’employé est crucial : 46% des professionnels voient déjà l’IA comme un partenaire de pensée (“Thought Partner”). Pour travailler efficacement avec l’IA, les employés devront adopter cette mentalité, apprenant à itérer, déléguer et affiner les résultats de l’IA. L’ère de l'”Agent Boss” débute, où chaque employé devient celui qui construit, délègue à, et gère des agents pour amplifier son impact. Nouvelles Fonctions et Compétences : De nouveaux rôles spécifiques à l’IA émergent, tels que formateurs en IA, spécialistes des données IA, spécialistes de la sécurité IA, et stratèges IA dans divers domaines. L’alphabétisation en IA est la compétence la plus recherchée en 2025. Les compétences humaines comme la médiation des conflits, l’adaptabilité et la pensée innovante sont également en hausse, soulignant l’importance d’associer les capacités de l’IA avec les compétences humaines irremplaçables. Impacts sur la Productivité des Entreprises Atténuation du “Gap de Productivité” / “Capacité de Travail” : L’IA est perçue comme une solution clé pour augmenter la productivité. Les professionnels en entreprise atteignent un point de saturation, étant interrompus près de 275 fois par jour et confrontés à une augmentation de 16% des réunions après 20h en un an. 82% des leaders considèrent l’IA comme la solution pour augmenter la capacité de travail sans surcharger les équipes. L’IA offre une intelligence à la demande, abondante et abordable, permettant aux entreprises d’augmenter leur capacité selon les besoins. Libération des Humains pour des Tâches à Forte Valeur Ajoutée : L’IA contribue à séparer les travailleurs du savoir du travail du savoir, libérant les humains pour des tâches nécessitant créativité, jugement et construction de liens. Il est plus efficace de faire travailler l’IA et les humains en tandem, compte tenu de la connaissance des préférences humaines et de la capacité de jugement moral des humains. Les employés se tournent vers l’IA pour sa disponibilité 24h/24 et 7j/7 (42%), sa rapidité et sa qualité (30%), et ses idées illimitées (28%). Accélération et Automatisation des Flux de Travail : L’IA permet d’automatiser des flux de travail ou des processus dans le service client, le marketing, le développement de produits, les communications internes et la science des données. Les “Frontier Firms” sont plus susceptibles d’utiliser l’IA pour le marketing (73% contre 55% globalement), la réussite client (66% contre 44%), les communications internes (68% contre 46%) et la science des données (72% contre 54%). L’IA agit comme un moteur pour la mise à l’échelle des entreprises, des grandes structures aux petites. Amélioration de la Prise de Décision et Réduction des Erreurs : L’IA génère des informations commerciales stratégiques en traitant rapidement de grandes quantités de données pour des prévisions précises ou des informations sur les besoins des clients. Elle peut également prédire les événements pouvant menacer la compétitivité d’une entreprise, comme la variation du mode de consommation ou l’émergence de concurrents, rendant les entreprises plus résilientes. De plus, l’IA est nettement plus précise que les humains, atteignant 99% à 100% de précision, notamment pour des tâches sujettes aux erreurs humaines comme la prévision des flux de trésorerie. Économie de Temps et d’Argent : Les machines IA sont plus efficaces que les humains, pouvant fonctionner 24h/24 et 7j/7 sans fatigue, et analyser de grandes quantités de données en quelques secondes. Cela se traduit par un gain de temps considérable et une rentabilité accrue des salariés, avec une augmentation moyenne de 21% selon une étude de 2018, et une projection de 38% d’ici 2035. 54% des dirigeants estiment que les solutions d’IA ont augmenté leur productivité de 54%. Amélioration de l’Expérience Client : L’IA permet aux entreprises de fournir une assistance client 24h/24 et 7j/7 via des chatbots et l’automatisation des communications par e-mails et chats en ligne. Cela permet une interaction simultanée avec de nombreux clients, répondant de manière pertinente à leurs requêtes en temps réel, comme dans le secteur du tourisme. Considérations et Défis Bien que l’IA offre des avantages considérables, elle présente également des défis importants : Coûts de mise en place élevés : La maintenance et les mises à jour régulières des matériels et logiciels IA peuvent être onéreuses. Risque de paresse et de dépendance humaine : L’automatisation excessive pourrait inciter à une dépendance néfaste et potentiellement réduire certaines compétences humaines. Manque de créativité et réflexion limitée : Les algorithmes ne peuvent que simuler l’intelligence humaine et sont limités aux données sur lesquelles ils ont été entraînés, ce qui peut brider l’innovation et la capacité à gérer l’inattendu. Impact sur l’emploi : L’automatisation des tâches répétitives par l’IA peut entraîner une diminution des interférences humaines et, par conséquent, une participation à la hausse du chômage. Diminution de la connexion humaine : Les machines ne peuvent pas remplacer les liens humains essentiels à la gestion d’équipe et à l’image de marque, notamment dans les services à forte interaction client. Menaces extérieures : L’IA, étant programmée et pilotée par l’humain, reste vulnérable aux dangers extérieurs comme le piratage, l’hameçonnage ou l’exploitation non désirée des données. Evolution des compétences L’intégration de l’intelligence artificielle (IA) transforme en profondeur les rôles professionnels et les compétences requises au sein des entreprises, marquant un passage vers une ère de collaboration hybride entre l’humain et la machine. Cette évolution est particulièrement observable au sein des “Frontier Firms”, des entreprises pionnières qui combinent intelligence humaine et artificielle pour opérer et créer de la valeur de manière inédite. Renforcement des Compétences Humaines Uniques : Malgré l’automatisation par l’IA, les compétences humaines irremplaçables deviennent encore plus cruciales. Celles-ci incluent : La créativité et la capacité à innover. L’IA ne peut que simuler l’intelligence humaine et est limitée aux données sur lesquelles elle a été entraînée, ce qui signifie qu’elle ne propose rien en matière d’innovations qui changent la face de la société. Le jugement moral et éthique. Le travail humain persiste même lorsque l’IA gagne en capacité, notamment en raison de la capacité humaine de jugement moral, comme dans le droit ou la finance. La construction de liens et la connexion humaine. Les machines ne peuvent pas remplacer les liens humains essentiels à la gestion d’équipe et à l’image de marque. La médiation des conflits. L’adaptabilité. La pensée innovante. Ces compétences soulignent que l’avenir appartient à ceux qui peuvent associer de profondes capacités en IA avec des compétences que les machines ne peuvent pas reproduire. Impact sur les Carrières et la Sécurité de l’Emploi : 79 % des dirigeants estiment que l’IA accélérera leur carrière. L’IA permet aux employés, y compris ceux en début de carrière, d’assumer des tâches plus complexes et stratégiques plus tôt. Cependant, 52 % des employés et 57 % des dirigeants reconnaissent que la sécurité de l’emploi n’est plus une certitude dans leur secteur. L’IA ne se contente pas d’automatiser des tâches, elle redéfinit fondamentalement la nature du travail, les structures organisationnelles et les compétences valorisées. Les entreprises qui investiront dans la formation et le développement de cette nouvelle synergie humain-IA seront les “Frontier Firms” de demain. Sources : L’IA en entreprise quel impact, Info.net Etude Microsoft sur les Frontier firmsThe post L’intelligence artificielle redéfini l’entreprise first appeared on XY Magazine.

Nous allons découvrir ensemble le concept de la journée de travail infinie, un phénomène où les frontières entre le travail et la vie personnelle s’estompent en raison d’une surcharge de communication numérique et d’un manque de temps de concentration. Ce concept est développé par Microsoft sur la base des données télémétriques de Microsoft 365 et une enquête Work Trend Index. Il révèle comment les employés sont constamment interrompus par les e-mails, les messages et les réunions, même en dehors des heures de travail traditionnelles et le week-end. Microsoft propose des solutions par une refonte des méthodes de travail. Regardons cela en détail. Le concept de la journée de travail infinie Microsoft a mené une étude en analysant les usages de Office 365. Le travail infinie est un épuisement des salariés qui sont connectés en permanence et prennent des habitudes de travail nocives pour eux et les autres. Début de journée précoce et surcharge d’informations: La journée de travail commence souvent avant même que les gens ne soient levés. Les notifications commencent sur le smartphone. Comme il sert de réveil, il est a coté du lit. Dès 6h du matin, 40% des utilisateurs de Microsoft 365 consultent déjà leurs courriels. C’est la première activité de la journée. Le phénomène de stress commence. Stress des sujets à traiter dès la matin et quantité d’informations à prendre en compte au réveil. Un employé reçoit en moyenne 117 courriels par jour, la plupart étant survolés en moins de 60 secondes. Mais surtout les plupart de ces mails ne sont pas clair sur leurs intentions. Les mails de masse (avec plus de 20 destinataires) ont augmenté de 7% en un an (2024), tandis que les échanges individuels ont diminué de 5%. Quand on part à la cantonade, personne n’intervient. tout le monde pense qu’un autre va le faire. A partir de 8h du matin, Microsoft Teams devient le canal de communication dominant. soit par chat soit par call. Un employé moyen reçoit 153 messages Teams par jour. Le volume de messages par personne a augmenté de 6% à l’échelle mondiale. Entre Outlook et Teams on est à 270 messages par jour juste pour le travail. Ces notifications créent un rythme frénétique pour la journée. entre les bip de la messagerie, de Teams et du Whatsapp de l’école. La perturbations sont constantes. Temps de concentration fragmenté La conséquence de cet afflux de messages c’est une fractionnent des temps de concentration. Quelle est le planning type d’un employé en journée de travail infinie. Les heures les plus productives de la journée (entre 9h et 11h, et entre 13h et 15h) sont accaparées par les réunions, laissant peu de place au travail en profondeur. Le mardi est le jour avec la plus forte charge de réunions (23%). J’aurais parié pour le lundi. Mais avec la télétravail le lundi et le vendredi. Le mardi devient le jour ou le plus sont présents au bureau À 11h, l’activité de messagerie atteint son pic, faisant de cette heure la plus surchargée en raison de la convergence des messages en temps réel, des réunions et du changement constant d’applications, rendant la concentration presque impossible. Les employés sont interrompus en moyenne toutes les 2 minutes par une réunion, un courriel ou une notification, ce qui n’apparaît pas sur les calendriers mais est fortement ressenti. Près de la moitié des employés (48%) et plus de la moitié des dirigeants (52%) affirment que leur travail est chaotique et fragmenté. Le problème n’est pas seulement le volume, mais aussi l’étalement (“sprawl”), la complexité croissante de la coordination et la charge mentale plus lourde. Même si l’employé est organisé et gère sont temps. Il a se sentiment de désorganisation et de stress Désorganisation et stress Le numérique affranchi des règles de politesse. On peut déranger tout le monde quand on veut. La prise de rendez-vous est une option. Les chiffres font peur 57% des réunions sont des appels ad hoc, non planifiés, sans invitation calendrier. Une réunion planifiée sur dix est réservée à la dernière minute. Les grandes réunions (65 participants ou plus) sont le type de réunion qui connaît la plus forte croissance, entraînant une dilution des responsabilités, un flou décisionnel et une fatigue liée à l’écoute passive. Près d’un tiers des réunions s’étendent sur plusieurs fuseaux horaires, une augmentation de 35% depuis 2021. Autre tendance, finir au dernier moment. Les modifications de dernière minute dans PowerPoint augmentent de 122% dans les 10 minutes précédant une réunion, le signe d’un stress organisationnel permanent et d’un fonctionnement réactif plutôt que proactif. Érosion des frontières entre travail et vie personnelle Microsoft défini le phénomène du “triple pic” (matin, après-midi, soir), introduit pendant la pandémie, s’est normalisé. Le travail de nuit et le week end progresse. Les réunions après 20h ont augmenté de 16% d’une année sur l’autre, en grande partie à cause des équipes mondiales et flexibles. L’employé moyen envoie ou reçoit plus de 50 messages en dehors des heures de bureau. Près d’un tiers (29%) des travailleurs actifs se replongent dans leur boîte de réception après 22h. L’activité le week-end progresse, avec près de 20% des employés consultant leurs courriels dès le samedi matin. Plus de 5% sont de retour sur leurs courriels le dimanche soir (à partir de 18h). Le concept même de “temps de repos” est remis en question. Un tiers des employés estiment que le rythme de travail est devenu insoutenable au cours des cinq dernières années. A tout ce chaos, Microsoft apporte de solutions. Si le rapport est statistique et donc peu contestable. Les solution sont issues de la stratégie de Microsoft et discutables. Pour faire face au concept de “journée de travail infinie” et briser ce cycle, le rapport de Microsoft propose un changement de culture radical. En premier lieu, l’intelligence artificielle est vue comme un levier pour alléger le poids mental et libérer du temps pour un travail plus significatif, à condition de repenser les outils et les façons de travailler. quatre solution sont proposées. Adopter l’état d’esprit des “Frontier Firms” : Il ne suffit pas d’adopter l’IA. Il faut un état d’esprit qui remet en question la manière dont le temps est dépensé, dont le travail est effectué et ce qui génère réellement de l’impact. Les “Frontier Firms” sont des entreprises pionnières qui réorganisent leur structure autour de l’IA et des agents intelligents pour évoluer rapidement, fonctionner avec agilité et générer de la valeur plus vite que les entreprises traditionnelles. Appliquer la règle du 80/20 (Principe de Pareto) : Dans un contexte de budgets contraints et d’attention limitée, l’activité ne signifie pas nécessairement le progrès. Les organisations les plus efficaces se concentrent sur les 20 % du travail qui génèrent 80 % des résultats. L’IA rend cela possible et évolutif en permettant aux dirigeants d’automatiser les tâches à faible valeur ajoutée, comme les réunions de statut, les rapports de routine et les tâches administratives, afin de récupérer du temps pour le travail en profondeur, les décisions rapides et l’exécution ciblée. Les entreprises gagnantes à l’ère de l’IA ne travailleront pas seulement plus dur, mais plus intelligemment et plus précisément. Redéfinir l’organisation autour du “Work Chart” : Il s’agit de passer d’un organigramme rigide et basé sur des fonctions statiques (finances, marketing, ingénierie) à un “Work Chart” agile et axé sur les objectifs. Dans ce modèle, des équipes légères se forment autour d’un objectif et utilisent l’IA pour combler les lacunes en matière de compétences et avancer rapidement, réduisant ainsi la friction inutile des structures rigides. Par exemple, pour un lancement de produit, au lieu que le contenu soit chez le marketing, les données chez l’analytique, le budget chez les finances, et la communication chez les équipes de communication, l’IA peut fournir des informations instantanément, réduisant le besoin de réunions multiples pour des ajustements simples. Devenir un “agent boss” (former des duos humain-agent IA) : Le rapport propose de former des duos humain-agent pour accroître l’impact sans allonger la journée. Il s’agit d’une nouvelle génération de professionnels qui naviguent dans le chaos non pas en travaillant plus, mais plus intelligemment. Ces “agent bosses” utilisent des agents IA pour supercharger leur travail, par exemple en collectant des recherches, en effectuant des analyses statistiques ou en rédigeant des synthèses, ce qui leur permet de se concentrer sur l’essentiel : des informations rapides et de haute qualité qui bénéficient à toute l’équipe. C’est l’avenir du travail : des équipes humain-agent conçues pour s’adapter et évoluer. Vous le constatez tout est construit sur l’usage de l’IA. Cela se règlera pas le problèmes des consultations et sollicitations en dehors des heures de travail. cela ne règlera pas les interruptions permanentes. Pour ma part je suis plutôt en faveur d’un meilleur maitrise des outils et usages de communications; Comme pour tout dans le vie se donner des règles. Ne plus consulter ses mail à la maison, soit volontairement, soit en utilisant les fonctionnalités ne pas déranger de son smartphone. Réserver son week end aux activités personnelles et familiales. Réserver du temps ne pas déranger dans son agenda. C’est une fonctionnalité de Outlook. Cela bloque les appels et chat Teams. Concernant l’utilisation de l’intelligence artificielle. C’est un complément. Elle peut répondre à pas mal de messages sont nous mais surtout elle peut aider à synthétiser la quantité d’information reçue ou produite. Avoir des synthèses et des résumés, c’est un vrai gain de temps. Au final la promesse de Microsoft office était de faire gagner du temps et de s’organiser. La réalisé est malheureusement à l’opposé. C’est aussi à Microsoft de remettre ne cause ses outils intrusifs et fragmentant. Développer des fonctionnalité de filtre et de tri serai le premier pas. Sources Moncarnet.com, briser le cercle de la journée infinie Microsoft : Breaking down the infinite workday Comment mesure sa productivité au travailThe post Le concept de la journée de travail infinie first appeared on XY Magazine.

L’intelligence artificielle n’est pas une technologie. C’est un service. Je lis tous les jours des rapports ou des articles sur l’IA et comment il faudra s’en servir. Il existe des gourous qui vous initient. Ils présentent l’IA comme une technologie qu’il faut maitriser et dompter pour avoir les meilleurs résultats. Parler le langage de l’IA comme on apprend une langue étrangère. Ce qu’il faut intégrer avec l’IA, c’est que le mode commande ou les prompts, vont disparaitre. Comme pour les langages de programmation aujourd’hui. Il ne faut pas savoir programmer pour utiliser l’informatique. Comme il ne faut pas connaitre le langage Morse pour les télécommunications. Apple à d’ailleurs fait une bonne publicité pour le Mac en comparant ceux qui apprenaient le morse avec ceux qui utilisent le MAC. Avec le Mac depuis le début pas de mode commande. On ne fait pas d’informatique quand on a un MAC. Alors que dans les années 90 avec un PC, il fallait connaitre les commande MS/DOS. Actuellement qui taperait DIR pour avoir le contenu d’un dossier ? J’insiste sur ce point car actuellement une bonne partie des usage IA, c’est des prompts ou des questions en texte. Pour gérer cette compétence, on a des prompt alchimistes qui donnent des formations. C’est la partie archaïque de l’IA. L’IA moderne va se fondre dans les applications et les services. Elle va devenir invisible. Comme les bits ne se voient pas dans l’informatique moderne. Cette introduction pour poser le sujet et ne pas se tromper sur les enjeux de l’IA. L’IA va disparaitre tout en étant totalement intégrée à tous les services en ligne. Elle va se rendre invisible pour l’utilisateur mais indispensable pour ses usages. Elle va passer d’une technologie, à un service, avec la maturité. L’IA devenant partie prenante de tous les services, et une partie des logiciels qui le pilotent, il faut prendre conscience de son impact. Impact de l’Intelligence Artificielle sur la démocratie L’intelligence artificielle est un levier de remodelage profond des sociétés européennes. Le manque remise en cause des réponses apportées par le IA aura un impact sur le savoir, la démocratie, le libre arbitre et la critique. 1. Remodelage des Sociétés et Données Personnelles L’IA démultiplie les capacités d’analyse et de traitement des données, facilitant l’aide à la décision et l’automatisation de tâches complexes. Cependant, elle a permis un processus massif d’extraction de données personnelles, formant des profils ultra-détaillés sur les utilisateurs, y compris leurs comportements, préférences, et même des données sensibles comme l’orientation sexuelle, les convictions politiques, avec une grande précision. Ce “surplus comportemental” est utilisé pour le microciblage publicitaire et politique. Les entreprises sont passées de modèles “productivistes” à “extractivistes”, visant à collecter le plus de données possible. Cette capacité à tracker les personnes et leur donner une note sociale est particulièrement risqué. Cette politique est en place en Chine. 2. Menaces sur les Libertés Fondamentales et la Démocratie L’IA pose de nouveaux défis aux libertés fondamentales et aux régimes politiques. On peut voir les aspects négatifs ou positifs avec le même recul. Vie privée et manipulation : L’analyse des données permet de “deviner” les pensées et convictions des individus. Des expériences sont menées pour capter les émotions et réactions physiologiques directement du cerveau. Des applications peuvent avoir des causes justes. Information et manipulations politiques : Les technologies d’IA, associées aux réseaux sociaux, remettent en cause l’information nécessaire à l’exercice du libre arbitre des citoyens. Elles facilitent la création de “deepfakes”, la coordination de mouvements d’opinion artificiels (“astroturfing”), et l’envoi de messages ciblés. L’IA générative permet de créer et personnaliser des messages à moindre coût pour des millions d’utilisateurs, rendant la désinformation accessible même à des acteurs privés ou isolés. Elle abaisse aussi le cout de production de contenus et les rendent accessibles au plus grand nombre. Vulnérabilités démocratiques : L’IA peut saper les fondements de la démocratie, inutile de donner son avis si l’IA a tout compris. La tendance à l’autocratie ou faire confiance au algorithmes est établie avec les outils mis à disposition du public. L’IA peut également induire une “fatigue de soi” qui inciterait les sociétés à se reposer entièrement sur ces “nouveaux oracles” pour l’organisation des débats démocratiques et les processus électoraux. L’implication de chacun dans la vie publique devient encore plus important. 3. Visions radicales de l’humain : Transhumanisme et Eugénisme Les technologies d’IA peuvent être inspirées par des conceptions philosophiques et religieuses, et à leur tour, transmettre ces conceptions. Le transhumanisme, qui vise à “augmenter” les capacités humaines par des moyens biologiques ou artificiels, est une idéologie influente dans la Silicon Valley. Cette vision pourrait mener à une surveillance mondiale intrusive au nom de l’intérêt supérieur de l’espèce humaine. À l’extrême, la fusion homme-machine via des modifications génétiques ou des implants cérébraux pourrait redéfinir ce que signifie être humain, soulevant des questions éthiques similaires à celles de la bioéthique. 4. Conséquences sur les Services Publics. L’IA offre une opportunité unique de repenser l’action de l’État et d’améliorer ses services aux citoyens. Elle est perçue comme un moyen de réduire la fracture dans l’accès aux services publics et d’améliorer le “dernier kilomètre” de l’action publique, en adaptant et personnalisant les services pour divers publics. Des outils comme les voix intelligentes, la traduction automatique, la simplification du langage, et la reconnaissance vocale sont envisagés. L’objectif est d’étendre les bénéfices de l’innovation à l’ensemble du territoire, en maintenant le contact humain essentiel à la qualité du service public. Impact de L’intelligence artificielle sur la création L’intelligence artificielle a un impact profond sur la création intellectuelle, transformant la manière dont les savoirs sont transmis, les œuvres culturelles sont produites et les inventions sont développées. Cet impact soulève de nouvelles questions éthiques, juridiques et sociétales. 1. Transformation de la Transmission des Savoirs et de la Culture L’IA modifie radicalement le rapport de nos sociétés à la création culturelle et à la transmission des connaissances. Historiquement, l’oubli était la norme et la mémoire l’exception; avec les technologies numériques et l’IA, la mémoire est devenue la norme, car l’archivage et le traitement des données de masse sont devenus très peu coûteux. L’IA occupe une place sans équivalent dans le recueil, le remodelage et la transmission des connaissances humaines. L’IA pourrait s’emparer de la culture et commencer à produire des histoires, des mélodies, des lois et des religions, créant des “cultures” entièrement nouvelles. Contrairement aux outils précédents comme l’imprimerie ou la radio qui aidaient à diffuser les idées humaines, l’IA peut créer ses propres idées culturelles. Cela pourrait mener à une situation où les humains vivraient dans les “rêves d’une intelligence extrahumaine”, colonisant les esprits et modifiant les pensées et les rêves humains. L’IA pourrait même être à l’origine de nouveaux dogmes ou cultes. Déjà que beaucoup se fans de star Wars se disent de religion JEDI!! 2. Impact sur les Professions Créatives et le Contenu L’essor des IA génératives, comme les grands modèles de langage (LLM) tels que ChatGPT ou Gemini, ou les IA de création d’images/vidéos (Midjourney, Stable Diffusion, DALL·E 3), est perçu comme une “déflagration” pour l’ensemble des secteurs culturels. Ces technologies menacent certaines professions créatives, comme les scénaristes, les doubleurs et les acteurs, qui craignent d’être remplacés. Cela permet aussi a un plus grand nom de créer des contenus sans grandes compétences ou apprentissage. 3. Biais et Valeurs Transmises L’imprévisibilité des IA, même pour leurs concepteurs, rend leur utilisation délicate dans des situations critiques. Les systèmes d’apprentissage automatique peuvent non seulement exprimer des préjugés, mais aussi les “perpétuer de manière subtile et silencieuse”. La question des valeurs humaines et politiques qui seront transmises aux IA est centrale. Certains concepteurs d’IA pourraient même remettre en question le bien-fondé des valeurs morales de nos sociétés, estimant qu’elles ne sont “pas assez bonnes”. C’est déjà la cas actuellement, sans IA. 5. L’IA dans la Recherche Scientifique L’IA est de plus en plus associée aux travaux de recherche dans toutes les disciplines scientifiques. Par exemple, le prix Nobel de chimie 2024 a été attribué aux créateurs de l’outil d’IA AlphaFold, qui prédit la conformation des protéines. La question de savoir si un prix Nobel pourrait un jour être attribué à une IA a même été posée. Surtout l’IA va accélérer les capacités à innover comme l’informatique quantique à calculer. L’IA sou forme de service, donc invisible est-elle déjà là ? Le mouvement est déjà en marche avec l’intégration d’IA dans les services de messageries, la presse, les services publics. La législation pourrait demander à tout service de préciser si une IA est intégrée ou pas. C’est un point important pour ne pas tromper les utilisateurs. Dans tous les domaines les concepteurs vont utiliser des services IA car cela remplace du code et la gestion de cas. L’IA s’adapte mieux et peut prendre des décisions basées sur les modèles alors que pour le code il faut les prévoir. Sources : ISN (Institut de la Souveraineté Numérique), Enjeux et perspectives pour les droits humains en Europe, Juin 2025 Eurocloud, FEUILLE DE ROUTE IA MINISTÉRIELLES 2025 The post L’intelligence artificielle n’est pas une technologie first appeared on XY Magazine.

La cryptologie post quantique est un ensemble de techniques de cryptologie bien plus puissantes que les techniques actuelles basées sur l’informatique classique. A terme ces techniques pourraient décrypter tous les messages actuels ce qui mets en risque les échanges. La cryptologie post quantique définitions Le terme cryptologie post quantique est une abréviation pour “Post-Quantum Cryptography”. Son objectif principal est de remplacer les équipements ou logiciels des systèmes cryptographiques actuels pour protéger vos données ou informations contre une attaque quantique éventuelle. Les algorithmes PQC reposent sur des équations mathématiques (telles que la cryptographie basée sur un réseau ou multivariée) considérées comme trop difficiles à résoudre pour les ordinateurs quantiques. Elle protège les données contre les tentatives de déchiffrement effectuées via des ordinateurs classiques et quantiques. La PQC entend sécuriser les données tant face aux futurs ordinateurs quantiques qu’aux protocoles et systèmes réseau actuels. Elle repose sur des équations mathématiques très complexes, exploitant les avantages des propriétés quantiques pour créer des équations si difficiles à résoudre que même les ordinateurs quantiques ne peuvent “sauter” des étapes pour aboutir directement à la solution correcte. Sa structure de base étant la même que celle du chiffrement classique, la PQC peut être déployée à l’aide de méthodes similaires et elle peut protéger les systèmes actuels. La transition post-quantique concerne en premier lieu la cryptographie asymétrique, notamment pour les usages en confidentialité et échanges de clé pour se prémunir contre des attaques rétroactives. Cela inclut également les signatures numériques. Ce sont des méthodes pour se protéger maintenant des futures systèmes quantiques tout en utilisant des technologies accessibles. Définir des normes de cryptage L’enjeu de la normalisation dans le domaine de la cryptographie post-quantique (PQC) est multifacette et crucial pour anticiper et contrer la menace posée par les futurs ordinateurs quantiques capables de briser les algorithmes cryptographiques actuels. Garantir la sécurité future des communications et des données sensibles : Les algorithmes de chiffrement actuels, comme RSA et ECC, reposent sur des problèmes mathématiques difficiles à résoudre pour les ordinateurs classiques, mais qui deviendront vulnérables face aux ordinateurs quantiques dotés d’algorithmes comme celui de Shor. La normalisation vise à sélectionner et valider de nouveaux algorithmes PQC basés sur des problèmes mathématiques réputés insolubles, même pour les ordinateurs quantiques. Ces normes sont essentielles pour protéger l’ensemble des communications numériques sécurisées, des transactions bancaires aux échanges gouvernementaux. Lutter contre la menace “récolter maintenant, déchiffrer plus tard” (Harvest Now, Decrypt Later – HNDL) : Des acteurs malveillants stockent déjà des données chiffrées aujourd’hui, dans l’espoir de pouvoir les déchiffrer plus tard lorsque des ordinateurs quantiques puissants seront disponibles. La normalisation de la PQC fournit les outils nécessaires pour commencer à protéger les données dès maintenant contre cette menace future. Faciliter une transition coordonnée et harmonisée : Le passage à la PQC est un processus complexe qui prendra plusieurs années et nécessite la mise à jour non seulement des algorithmes, mais aussi des protocoles et des appareils. Une approche harmonisée et coordonnée, encouragée notamment par la Commission européenne pour les États membres de l’UE, est nécessaire pour assurer l’interopérabilité entre les pays, les secteurs et les systèmes. La normalisation, comme celle menée par le NIST, fournit un ensemble commun d’algorithmes sur lesquels la communauté peut s’appuyer. Guider les organisations dans leur préparation et leur migration : De nombreuses organisations, y compris les bénéficiaires de l’ANSSI, manquent de compréhension des enjeux, de moyens et de planification pour la transition. La normalisation apporte des recommandations claires et un cadre technique pour l’élaboration de feuilles de route de préparation, l’inventaire des actifs cryptographiques, l’identification des cas d’usage prioritaires et la migration. Stimuler l’émergence et le déploiement de solutions PQC : L’absence d’offre de services et de solutions d’accompagnement à la transition est un frein majeur. En définissant des standards validés, les organismes de normalisation soutiennent l’émergence de produits et solutions permettant de faciliter la transition. Cela encourage les fournisseurs à développer des offres et les acheteurs (organisations) à considérer le sujet comme d’actualité. Fournir une base pour d’éventuelles obligations réglementaires : L’absence d’obligation réglementaire est parfois le seul levier efficace pour faire avancer les entités régulées. La normalisation, en rendant la menace concrète et en définissant les contre-mesures, peut servir de fondement à de futures réglementations qui prioriseront la prise en compte de la menace quantique. Aborder les défis techniques de l’implémentation : Les nouveaux algorithmes PQC ont des spécificités, notamment en termes de performances et de résistance aux attaques (comme les attaques par canaux auxiliaires ou par injection de fautes), particulièrement pour les systèmes embarqués ou contraints. Le processus de normalisation et les travaux associés (comme ceux d’IDEMIA Secure Transactions) sont essentiels pour développer les méthodes d’implémentation sécurisées et optimisées nécessaires pour des applications concrètes. Permettre l’adoption d’approches transitoires comme l’hybride et la crypto-agilité : Compte tenu du temps nécessaire pour évaluer pleinement la robustesse des nouveaux algorithmes (10 à 20 ans), la normalisation recommande souvent des approches hybrides (combinant algorithmes classiques et PQC). De plus, elle souligne la nécessité de la crypto-agilité, la capacité de mettre à jour les solutions cryptographiques déployées à distance, pour s’adapter aux évolutions futures des standards et aux découvertes de vulnérabilités. Quelle est la stratégie de la France La France, notamment par l’intermédiaire de l’ANSSI, et l’Union Européenne (UE), préparent activement la transition vers la cryptographie post-quantique (PQC) en s’appuyant sur plusieurs axes stratégiques. Au niveau de l’Union Européenne : La Commission Européenne a publié une recommandation le 11 avril 2024 pour encourager les États membres à élaborer et mettre en œuvre une approche harmonisée dans le cadre de la transition vers la cryptographie post-quantique. L’objectif principal est de garantir la sécurité future des infrastructures et services numériques de l’UE face aux progrès de l’informatique quantique qui menacent les algorithmes cryptographiques actuels. La PQC est perçue comme une solution compatible avec les infrastructures existantes, permettant un déploiement relativement rapide. Un point crucial de cette approche harmonisée est de favoriser l’interopérabilité entre les pays membres, assurant le fonctionnement fluide des systèmes et services au-delà des frontières nationales. Au niveau de la France (via l’ANSSI et ses acteurs) : L’ANSSI mène un travail de long terme pour accompagner les acteurs publics et économiques dans la préparation à la menace quantique et faciliter l’émergence de solutions technologiques innovantes. L’ANSSI a mené une enquête (juillet-septembre 2023) auprès de ses bénéficiaires (entités soumises à exigences réglementaires de cybersécurité comme les OIV) pour évaluer leur état de préparation et les freins à la transition. Cette enquête a révélé qu’une majorité des bénéficiaires est potentiellement à risque vis-à-vis des attaques rétroactives (HNDL – “récolter maintenant, déchiffrer plus tard”), notamment en raison de l’usage de VPN ou de certificats avec une longue durée de vie (>10 ans). Les travaux d’analyse de risque quantique, la planification, le budget, et l’identification des cas d’usage prioritaires sont largement absents. Aucun plan de transition post-quantique n’existe pour la quasi-totalité des enquêtés. Des chercheurs français (ex: Inria, ENS Lyon) participent activement à la compétition de normalisation du NIST en proposant des algorithmes pour le chiffrement et la signature basés sur différentes approches mathématiques (réseaux euclidiens, codes correcteurs, systèmes multivariés, fonctions de hachage). Des acteurs industriels basés en France et en Europe, comme IDEMIA Secure Transactions, sont également impliqués dans la préparation. Ils contribuent aux efforts de normalisation (NIST, ETSI, GSMA, GlobalPlatform, FIDO) et mènent des recherches et développements pour l’implémentation concrète des algorithmes PQC, notamment pour les systèmes embarqués aux contraintes fortes (performances, résistance aux attaques par canaux auxiliaires/injection de fautes). IDEMIA Secure Transactions réalise des preuves de concepts pour protéger les données contre le HNDL et préparer la migration, impliquant l’intégration de PQC dans des cartes à puce, SIMs 5G, et appareils IoT. Ils dirigent également le consortium Hyperform, financé par France 2030 et l’UE, axé sur la protection de bout en bout des données dans des écosystèmes complexes en utilisant la crypto-agilité. Ils ont des partenariats de recherche en Europe avec l’INRIA et le CEA. La cryptologie post quantique est au cœur des risques cyber bien que moins médiatisée que d’autres sujets. L’arrivée proche et massive d’ordinateurs quantiques met en risque toute la sécurité des échanges et des protocoles. Sources : Cryptographie post quantique définitions Recommandations post quantique de l’Europe Qu’est ce que la cryptologie post quantiqueThe post La cryptologie post quantique first appeared on XY Magazine.

Les transports publics cibles des cyber criminels. C’est un aspect souvent peu évoqué du risque cyber. De plus en plus de technologies informatiques sont intégrées dans les solutions de mobilité. L’agence nationale de la Sécurité des Systèmes d’information (ANSSI) alerte sur plusieurs types de menaces informatiques qui pèsent sur les transports urbains français et mondiaux. Le secteur est considéré comme sensible en raison de sa criticité, transportant des millions d’usagers par jour. La complexité de ses vastes réseaux interconnectés avec de nombreuses entités externes augmente la surface d’attaque. Les transports publics cible des cyber criminels L’ANSSI a traité 123 événements de sécurité d’origine cyber dans le secteur des transports urbains (ferroviaire, routier, guidé, fluvial) entre janvier 2020 et décembre 2024, dont 32 incidents confirmés. Les trois principales manifestations de ces attaques sont les attaques par déni de service distribué (DDoS), les fuites de données et les usurpations d’identité, représentant plus de la moitié des signalements et incidents rapportés à l’ANSSI. Cependant, l’ANSSI n’a pas identifié de conséquences significatives sur le fonctionnement des entités françaises concernées suite à ces activités, les attaques DDoS ayant notamment été contenues. Les motivations des attaquants sont principalement de trois ordres : la finalité lucrative, la finalité de déstabilisation et la finalité d’espionnage. Menace à finalité lucrative : Rançongiciels et extorsions : Ces attaques visent à chiffrer les systèmes d’information (SI) des entreprises de transport pour leur extorquer des fonds. En raison de la taille importante des entreprises et de la criticité des services (qui supportent mal les interruptions), elles constituent des cibles d’intérêt pour la cybercriminalité. Bien qu’elles puissent potentiellement toucher un grand nombre d’usagers et affecter les services internes, les cas connus en France entre 2020 et 2024 n’ont pas causé de perturbation significative du fonctionnement des entités attaquées. Les entreprises de VTC et de taxis sont aussi des cibles régulières. Le principal vecteur de compromission identifié est l’hameçonnage, mais l’exploitation de vulnérabilités ou une approche opportuniste sont également courantes. Attaques contre les bases de données à des fins d’exploitation, d’exfiltration et de revente : Les entités de transport urbain gèrent d’importantes quantités de données personnelles (usagers, employés) et stratégiques (comptables, savoir-faire) qui ont une valeur à la revente. Un grand nombre d’incidents rapportés à l’ANSSI impliquent l’exfiltration de données personnelles. Ces fuites proviennent souvent de la compromission de prestataires externes, soulignant le risque lié aux interconnexions. L’incident d’Île-de-France Mobilités en octobre 2023, où 4 000 adresses email et mots de passe ont été exfiltrés, est un exemple. Les gestionnaires de flottes comme les taxis/VTC sont aussi des cibles, avec des données (trajets, finances, santé) qui peuvent être divulguées. Des expositions de données peuvent aussi survenir à cause de failles de sécurité dans des applications ou solutions logicielles utilisées par le secteur. Attaques contre les usagers à des fins d’extorsion : Les usagers sont souvent ciblés par des attaques frauduleuses, notamment par l’usurpation de l’identité des entreprises de transport pour compromettre les comptes personnels des usagers (phishing, spoofing/typosquatting). Menace à finalité de déstabilisation : Attaques à des fins de destruction : Généralement inscrites dans des contextes de tensions internationales, ces attaques sont menées par des acteurs réputés liés à des États pour saboter les SI supportant les services de transport et immobiliser les réseaux. L’attaque BadRabbit contre le métro de Kiev en 2017, attribuée au renseignement militaire russe, est un exemple, bien que le service de métro ait continué à fonctionner. Attaques revendiquées par des groupes hacktivistes : Ces groupes cherchent à faire valoir leurs positions, souvent dans des contextes géopolitiques, en ciblant les ressources en ligne des entités de transport pour nuire à leur image. Les Jeux Olympiques et Paralympiques de Paris 2024 ont servi de “caisse de résonance” pour ces revendications. Ces attaques sont majoritairement des dénis de service distribué (DDoS) ou des défigurations de sites web. Des groupes pro-russes comme NoName057(16) et Narodnaya CyberArmiya ont revendiqué des attaques contre des sites français comme ceux de la RATP et Transilien en 2023, ou l’entreprise de taxis Aramis en 2024. Ces attaques DDoS ont généralement des effets limités et sont rapidement remédiées. Un exemple notable de perturbation par hacktivistes est l’attaque de l’application Yandex Taxi à Moscou en 2022, qui a causé un embouteillage en envoyant de nombreux taxis au même endroit. Détournement d’équipements de signalisation : Le piratage des feux de circulation ou autres équipements de signalisation urbaine représente une menace, potentiellement avec des conséquences graves sur la sécurité physique. Des chercheurs ont démontré la possibilité de manipuler ces systèmes, parfois en exploitant des technologies obsolètes ou des fonctionnalités prévues pour faciliter le trafic de véhicules d’urgence, ne nécessitant pas toujours des capacités sophistiquées. Cependant, l’ANSSI n’a pas connaissance d’exploitation réelle de ces capacités à des fins de nuisance par des acteurs offensifs. Menace à finalité d’espionnage : Des acteurs réputés liés à des États peuvent cibler les entités de transport urbain pour collecter des renseignements industriels (par exemple, sur l’automatisation des lignes de métro) ou surveiller des individus en suivant leurs déplacements via les données des entreprises. Ces attaques sont souvent discrètes et difficiles à détecter, ce qui suggère que leur proportion réelle pourrait être plus importante que celle connue de l’ANSSI. L’attaque contre la Metropolitan Transportation Authority (MTA) de New York en 2021, potentiellement liée au gouvernement chinois, est citée comme un exemple possible, bien que l’origine n’ait pas été formellement confirmée. La collecte de renseignements peut aussi servir à préparer des attaques ultérieures, y compris du sabotage, en cartographiant les réseaux industriels et bureautiques. En plus de ces motivations spécifiques, la convergence croissante des systèmes de technologies de l’information (IT) et des technologies opérationnelles (OT) dans les transports urbains interconnecte des réseaux autrefois isolés, augmentant la surface d’attaque pour les acteurs disposant d’importantes ressources. Les réseaux IT regroupent les ressources de communication (ordinateurs, téléphones, systèmes d’information aux voyageurs), tandis que les réseaux OT pilotent et contrôlent les installations physiques (gestion de circulation des rames, signalisation, alimentation électrique, etc.). Bien que l’ANSSI n’ait pas connaissance d’incidents ayant affecté directement les environnements industriels OT en France, ces réseaux, caractérisés par leur longue durée de vie, leur obsolescence de sécurisation et leur besoin de continuité, restent des cibles critiques potentielles pour le sabotage. D’autres vulnérabilités spécifiques au secteur incluent la complexité des réseaux billettiques et la gestion des abonnements, la dépendance aux systèmes de géolocalisation par satellite (GNSS), le recours croissant aux prestataires externes, et l’intégration des transports urbains dans le concept des “territoires intelligents” ou “smart cities”, où différentes infrastructures sont centralisées et connectées. Les accès physiques à certains équipements informatiques (coffrets en rue, systèmes embarqués) peuvent également servir de points d’entrée pour les attaquants. Automatisation croissance des modes de transports L’automatisation des transports urbains, notamment guidés et routiers, est une tendance croissante. Cette évolution s’inscrit dans une numérisation plus large des services et un recours accru aux technologies informatiques dans un souci d’efficacité et d’amélioration de l’expérience client. Elle contribue également à la vision des “territoires intelligents” ou “smart cities”, où la gestion d’une variété d’infrastructures urbaines est centralisée. Concernant les chiffres spécifiques sur l’automatisation, les sources mentionnent l’exemple de la RATP : La RATP exploite 450 kilomètres de lignes automatisées et semi-automatisées dans le monde. Cela positionne la RATP comme le deuxième opérateur mondial de lignes automatisées. L’automatisation est présentée comme ayant des avantages pour les exploitants et les usagers, notamment l’amélioration de la régularité et de la fiabilité du trafic, l’augmentation de la fréquence des rames, la réduction des intervalles entre les rames et la réalisation d’économies d’énergie. Bien que les sources soulignent cette automatisation croissante et les problématiques de sécurité informatique spécifiques qu’elle engendre (notamment la convergence des systèmes IT et OT), le chiffre des 450 km de la RATP est le principal indicateur quantitatif direct de l’étendue de l’automatisation fourni dans les extraits. Une localisation géographique peu sécurisée Le recours généralisé aux systèmes de navigation par satellite (GNSS), tels que GALILEO ou GPS, constitue une problématique spécifique en matière de sécurité informatique pour le secteur des transports urbains. Voici les risques associés au GNSS selon ces sources : Vulnérabilité intrinsèque aux attaques : Les technologies GNSS sont exposées à des risques d’attaques par brouillage (jamming) et à des attaques qui peuvent altérer la synchronisation, la datation et la géolocalisation d’un utilisateur. Elles peuvent également subir des interférences ou des interruptions. Le type d’attaque associé mentionné inclut le leurrage (spoofing), qui est une forme d’altération. Manque de mécanismes de sécurité natifs : Ces technologies ne disposent pas nativement de mécanismes de sécurité contre ces menaces. Criticité de leur utilisation : Les données fournies par les systèmes GNSS sont nécessaires à l’opération de nombreux services dans le secteur des transports, car elles fournissent des informations cruciales sur la position, la navigation et le temps (PNT). Ce paramètre est indispensable pour la gestion des flottes d’entités du secteur des transports urbains, comme les VTC, les sociétés de taxis, ou celles mettant à disposition des engins de déplacement personnel. Ces risques mettent en évidence la dépendance des systèmes de transport à une technologie vulnérable, dont la compromission (par brouillage, leurrage ou altération des données PNT) pourrait potentiellement perturber gravement les services qui en dépendent pour fonctionner correctement. Face à ces risques, l’une des recommandations de l’ANSSI est de limiter l’utilisation des technologies GNSS à des services non critiques. Si leur utilisation est indispensable pour des services critiques, il est recommandé d’utiliser des capteurs supplémentaires. Quel serait le pire scénario Le pire scénario en matière de menaces informatiques ciblant les transports urbains impliquerait des attaques allant au-delà des systèmes informatiques de bureau (IT) pour viser les systèmes de technologie opérationnelle (OT), c’est-à-dire les systèmes qui pilotent et contrôlent les installations physiques comme la gestion de la circulation des rames, la signalisation, l’alimentation électrique, etc.. Paralysie ou Sabotage Opérationnel Majeur : Le pire scénario serait qu’une attaque informatique réussisse à immobiliser ou saboter des réseaux de transport entiers. Des attaquants réputés liés à des États pourraient chercher à “saboter ces réseaux critiques” pour déstabiliser un pays dans un contexte de tension internationale. La convergence croissante des systèmes IT et OT, qui étaient autrefois isolés, crée une surface d’attaque étendue, potentiellement exploitable par des acteurs disposant de ressources importantes pour causer des dégâts. Bien que l’ANSSI n’ait pas connaissance d’incidents ayant directement affecté les environnements industriels (OT) en France, ces réseaux sont considérés comme des “cibles critiques potentielles d’attaques informatiques à des fins de sabotage, aux conséquences potentiellement graves”. Une telle attaque pourrait affecter la continuité des services de transport et toucher un très grand nombre d’usagers quotidiens (plusieurs millions pour certains réseaux). Compromission de la Sécurité Physique : Une conséquence potentiellement dramatique serait la manipulation d’équipements de signalisation, comme les feux de circulation. Les sources mentionnent que le piratage des feux de circulation pourrait potentiellement “conduire à ce que tous les feux passent au vert au même moment, et générer de graves accidents de circulation”, bien que des chercheurs ayant démontré cette possibilité n’aient pu faire passer au vert plusieurs feux qui ne sont pas censés l’être en même temps. D’autres recherches ont montré la possibilité de manipuler les feux pour perturber gravement le trafic. En résumé, le pire scénario dépeint par les sources est celui où des attaquants, potentiellement soutenus par des États, parviendraient à saboter ou à prendre le contrôle des systèmes opérationnels qui gèrent le mouvement physique des véhicules ou la signalisation, entraînant une paralysie généralisée du réseau, voire des accidents aux conséquences humaines potentiellement graves. Bien que les incidents observés en France par l’ANSSI entre 2020 et 2024 n’aient pas eu de conséquences significatives sur le fonctionnement, l’ANSSI alerte sur la vulnérabilité du secteur et le risque que font peser notamment les attaques visant la déstabilisation et l’espionnage (qui peut servir à préparer de futurs sabotages). Sources Agence européenne de cyber sécurité ENISA ANSSI état de la menace sur les transports urbains La cybercriminalité toujours plus forte The post Les transports publics cibles des cyber criminels first appeared on XY Magazine.

Le cryptage des données remis en cause par les ordinateurs quantiques. La révolution quantique va rebattre la donne de la sécurité des communications Le cryptage des données remis en cause par les ordinateurs quantiques Les technologies quantiques, autrefois reléguées au domaine de la physique théorique, sont désormais au cœur de nombreuses applications pratiques, notamment dans le domaine crucial de la sécurité des communications. Les publications actuelles en font un sujet qui va devenir aussi important que les crypto monnaies, l’intelligence artificielle. L’avènement potentiel d’ordinateurs quantiques puissants est proche. Cette innovation représente une menace significative pour les méthodes de cryptographie classiques. Ces méthodes actuelles fondées sur les nombres premiers et des clés publiques privées peuvent être cassées très rapidement avec un algorithme basé sur la technologie quantique. En réponse à cette menace, la recherche et le développement dans le domaine des communications quantiques et de la cryptographie quantique s’intensifient, avec des investissements importants de la part de l’Europe et d’autres grandes puissances mondiales. Selon les sources, les investissements dans les technologies quantiques, en particulier pour la sécurité des communications et le développement de l’internet quantique, sont significatifs au niveau européen et national. Les montants investis en Europe sont importants. Le Programme Quantum Flagship de la Commission Européenne est doté de 1 milliard d’euros sur 10 ans . Le programme Initiative EuroQCI (Quantum Communication Infrastructure) : Lancé par plusieurs pays européens, dont la France. Cette initiative a pour ambition de doter l’Europe d’une infrastructure de communications quantiques paneuropéenne sécurisées d’ici 10 ans, combinant segments terrestres et spatiaux. L’Europe investit à un niveau comparable à celui des États-Unis ou de la Chine. Ces grandes puissances mondiales ont pleinement conscience de l’importance stratégique de ces activités et investissent également massivement. La Chine, a investi de longue date dans les réseaux quantiques et a réalisé des avancées notables. Les États-Unis ont également publié un plan pour un internet quantique. En outre, la mise en œuvre à grande échelle des solutions de Distribution Quantique de Clés (QKD), qui est une étape vers l’internet quantique, demande encore des efforts importants en recherche et développement. Les solutions commerciales QKD disponibles sont actuellement très chères, et un objectif des projets comme CiViQ est de réduire considérablement leur coût à long terme. La construction d’infrastructures, notamment pour la téléportation quantique et les liaisons satellitaires, représente également d’énormes défis techniques et des coûts importants. La France de son coté va investir 1.8 milliard d’euros sur la recherche en informatique quantique. La volonté est de ne pas rater cette révolution du numérique. La répartition sera la suivante. Les montants investis dans le quantique 800 millions seront consacrés à l’ordinateur quantique. 325 millions seront dédiés aux communications utilisant les technologies quantiques. Cela concerne les sujets d’intrication des photons. 150 millions dans la cryptologie post quantique. de nouvelles technologies de cryptage résistants aux attaques. Ces technologies étudient de nouveaux types de clés résistantes aux calculs quantiques. 300 millions pour les technologies habilitantes. Ce sont des technologies périphériques qui permettent aux ordinateurs quantiques de fonctionner. Par exemple la capaciter à refroidir la matière proche du zéro absolu. Les principales applications de l’informatique quantique Le cryptage des données est remis en cause par les ordinateurs quantiques. La Menace des Ordinateurs Quantiques pour la Cryptographie Classique est due à l’augmentation exponentielle de la puissance de calcul des super-ordinateurs. Ces capacités posent un risque majeur pour les algorithmes de cryptographie actuellement utilisés pour sécuriser les données sensibles. Pour sécuriser les échange il faut passer à la Cryptographie Quantique (QKD). La Distribution Quantique de Clés (QKD) est une technique basée sur les principes de la physique quantique pour générer et distribuer des clés de chiffrement de manière ultra-sécurisée. Quels sont les principes nouveaux apportés par la QKD. La QKD utilise les propriétés des particules quantiques (photons) pour détecter toute tentative d’interception des clés, assurant ainsi la confidentialité et l’intégrité des données. Si quelqu’un tente d’intercepter une communication basée sur cette technologie, le manque d’un seul photo sera détecté. Ceci grâce à la propriété d’intrication des photons. L‘intrication quantique est une propriété clé de l’internet quantique : Lorsque deux qubits interagissent et s’entremêlent, ils partagent des propriétés particulières qui dépendent l’une de l’autre. Lorsque les qubits sont dans un état d’enchevêtrement (ou d’intrication), toute modification d’une particule de la paire entraîne des modifications de l’autre, même si elles sont physiquement séparées. Ceci quel que soit la distance entre les deux. Cette technologie n’est pas encore mature. L’implémentation à grande échelle de la QKD fait face à des défis techniques tels que la portée limitée dans les fibres optiques, le coût élevé des équipements, et la nécessité d’intégration dans les infrastructures existantes. Le Rôle Crucial des Réseaux Terrestres et Spatiaux : Pour surmonter les limitations de portée, l’infrastructure de communications quantiques envisagée pour l’Europe combinera des réseaux terrestres en fibre optique et des liaisons par satellite, en utilisant des nœuds de confiance ou l’intrication quantique pour étendre la portée. La portée des systèmes QKD utilisant la fibre optique est limitée : de 60 à 80 km pour les systèmes commerciaux à quelques centaines de kilomètres pour certains prototypes. Pour les longues distances, il faut utiliser des “nœuds dits ‘de confiance ou des liaisons via satellite!. L’Internet full Quantique comme cible : L’internet quantique est un concept plus ambitieux qui permettrait aux dispositifs quantiques d’échanger des informations en exploitant des phénomènes quantiques comme l’intrication, ouvrant la voie à des applications au-delà de la seule sécurité. Enjeu de Souveraineté : La maîtrise des technologies quantiques, en particulier la cryptographie, est considérée comme un enjeu majeur de souveraineté nationale/supra-nationale pour protéger les échanges de données à long terme et assurer l’indépendance technologique. Conséquences de l’informatique quantique La menace quantique est réelle et imminente : “L’arrivée d’ordinateurs quantiques devrait encore augmenter énormément les capacités de calculs disponibles. Ils pourraient ainsi fragiliser les solutions de cryptographie actuellement mises en œuvre pour sécuriser nos données en cassant les algorithmes de cryptographie utilisés. Seule la QKD offre une sécurité “à toute épreuve” contre l’interception : L’avantage de l’échange quantique de clés est qu’il permet de détecter rapidement un espion/pirate qui essaierait de voler la clé secrète pendant l’échange. Le QKD signifie qu’il est facile de savoir si une tierce partie a inspecté les qubits pendant la transmission, puisque l’intrus aurait fait s’effondrer la clé simplement en la regardant. Si un hacker examinait les qubits à un moment quelconque de leur envoi, cela changerait automatiquement l’état des qubits. La portée des systèmes QKD utilisant la fibre optique est limitée : de 60 à 80 km pour les systèmes commerciaux à quelques centaines de kilomètres pour certains prototypes. Pour les longues distances, il faut utiliser des nœuds dits de confiance ou des liaisons via satellite. Conclusion : Les technologies quantiques représentent une rupture majeure avec la physique classique et ouvrent la voie à des avancées significatives, notamment en matière de sécurité des communications. Face à la menace croissante des ordinateurs quantiques sur la cryptographie actuelle, la Distribution Quantique de Clés (QKD) émerge comme une solution prometteuse pour sécuriser les échanges de données sensibles. Bien que des défis techniques subsistent, en particulier pour l’implémentation à grande échelle et sur de longues distances, les initiatives européennes et nationales démontrent un engagement fort dans ce domaine stratégique. Le développement d’une infrastructure quantique combinant réseaux terrestres et spatiaux, et à terme l’internet quantique, promettent de renforcer considérablement la sécurité des applications critiques et de préserver la souveraineté numérique. Sources : Inf’ONISTS Avril-Juin 2025 Futura science ZDnet Bilan ANSSI 2024 The post Le cryptage des données remis en cause par les ordinateurs quantiques first appeared on XY Magazine.

Bilan de l’action de l’ANSSI en 2024. Le rapport d’activité de l’ANSSI est sorti en avril 2025. Les agences de l’Etat apportent maintenant un importance particulière à leurs rapports d’activité pour justifier de l’utilisation des moyens et de leur budget. Avec la tendances à dénoncer les dépenses de des agences, il est utile de démontrer que le travail justifie les moyensengagés. Bilan de l’action de l’ANSSI en 2024 en chiffres En 2024, l’ANSSI a enregistré plusieurs chiffres clés concernant ses activités et la cybersécurité en France. Voici un aperçu de ces données, tirées des sources fournies : Effectifs et Budget de l’ANSSI : 656 agents travaillaient au quotidien au sein de l’ANSSI. L’ANSSI peut être qualifiée d’agence importante en termes d’effectifs. On va voir quel est leur profils. L’âge moyen des agents de l’ANSSI était de 36 ans. C’est assez jeune, la moyenne de toute la fonction publique est de 43 ans (source, servicepublic.fr) Le budget de l’ANSSI (hors masse salariale) s’élevait à 29,6 millions d’euros, soit une augmentation de 15 % par rapport à l’année 2023. L’agence va certainement bénéficier de nouveaux moyens en 2025 et ensuite pour faire face à l’élargissement de ses missions tels que défini dans la feuille de route stratégique Activité de l’ANSSI L’ANSSI a traité 4 386 événements de sécurité, soit une augmentation de 15 % par rapport à 2023. Parmi ces événements, 1 361 incidents ont impliqué un acteur malveillant, représentant une hausse de 18 % par rapport à 2023. Concernant les Jeux olympiques et paralympiques de Paris 2024 (entre le 8 mai et le 8 septembre 2024), l’ANSSI a recensé 548 événements de cybersécurité. Les 12 CSIRT territoriaux ont porté à la connaissance de l’ANSSI près de 700 événements de sécurité numérique, dont 400 incidents, entre le 1er janvier et le 18 décembre 2024. Ces chiffres sont malheureusement en hausse chaque année. Formation, information et Sensibilisation du public : 68 formations étaient labellisées SecNumedu. 35 formations étaient labellisées SecNumedu-FC, soit une augmentation de 56 % par rapport à l’année 2023. 1 696 personnes ont été formées au Centre de formation à la sécurité des systèmes d’information (CFSSI), soit une hausse de 21 % par rapport à 2023. 117 856 attestations SecNumacadémie ont été décernées. 1 501 diagnostics ont été réalisés. 1 487 aidants cyber étaient référencés sur MonAideCyber. 81 986 vulnérabilités ont été corrigées grâce à MonServiceSécurisé. 3 403 services étaient sécurisés grâce à MonServiceSécurisé. Publications et Reconnaissances : L’ANSSI a publié 11 rapports menace et incidents. 12 logiciels ont été publiés en open source. C’est un point important de la souveraineté 22 articles scientifiques ont été publiés. L’ANSSI a délivré 196 qualifications et 94 certifications. 280 visas de sécurité ont été accordés. 3 études de marché ont été réalisées. 1 avis technique a été publié. Dispositifs Réglementaires et Alertes : L’ANSSI a reçu 236 signalements de vulnérabilités au titre de l’article L.2321-4 du code de la défense. Neuf campagnes de signalement de vulnérabilités représentant 15 900 adresses IP ont été menées auprès des abonnés des opérateurs, dont 8 731 ont pu être identifiées. 68 demandes d’identification pour un total de 978 adresses IP ont été effectuées par l’ANSSI auprès de 34 opérateurs de communications électroniques. L’ANSSI a rendu 1 610 décisions concernant la sécurité des réseaux 5G, dont 52 décisions de refus. Cela comprenait notamment 586 décisions pour les exploitations, 587 pour les commercialisations, 355 pour les renouvellements, et 82 autres décisions. Un cadre réglementaire qui se renforce L’année 2024 a été marquée par une évolution significative du cadre réglementaire en matière de cybersécurité, tant au niveau européen qu’en France, avec une implication forte de l’ANSSI. Plusieurs initiatives importantes ont progressé ou sont entrées en vigueur, visant à élever le niveau global de cybersécurité. Le texte dont nous avons le plus entendu parlé est NIS2. Il concerne les entreprise et les collectivités. Il n’est pas encore transposé en droit français mais des travaux intenses sont en cours au parlement. Transposition de la directive NIS 2 : L’ANSSI a poursuivi activement ses travaux de transposition de la directive NIS 2 (Network and Information Security) en droit français. Cette directive européenne vise à renforcer le niveau de cybersécurité des tissus économique et administratif des pays membres de l’UE en élargissant le champ des entités concernées (administrations de l’État, collectivités territoriales, moyennes et grandes entreprises de 18 secteurs d’activité) et en introduisant des exigences plus adaptées. Le document de loi, titre II “Cybersécurité” a été présenté en conseil des ministres le 15 octobre 2024. La transposition de NIS 2 est un chantier majeur pour l’ANSSI, entraînant une transformation de son organisation et de ses missions, avec l’ajout de prérogatives de contrôle et de supervision. L’ANSSI a également mis en place la plateforme Monespacenis2.cyber.gouv.fr pour informer et accompagner les entités concernées. Vote du règlement sur la cyber-résilience (CRA) : Le règlement sur la cyber-résilience (Cyber Resilience Act) a été voté et publié le 20 novembre 2024. Complémentaire à la directive NIS 2, il définit des exigences minimales de cybersécurité pour les produits comportant des éléments numériques mis sur le marché européen. Le CRA vise à sécuriser les produits numériques utilisés par les organisations et le grand public. Révision du règlement eIDAS : La révision du règlement eIDAS (Electronic Identification, Authentication and Trust Services) est entrée en vigueur le 20 mai 2024. Ce règlement vise à faciliter la sécurité des transactions numériques transfrontalières et à créer un cadre de confiance pour l’identité numérique et l’authentification au sein de l’UE, notamment avec l’introduction du portefeuille européen d’identité numérique. Adoption du schéma européen de certification de cybersécurité (EUCC) : Le 31 janvier 2024, la Commission européenne a adopté l’EUCC (EU Common Criteria), le premier schéma de certification européen fondé sur des critères communs. Ce schéma, conforme au règlement européen Cybersecurity Act (CSA), fournit des règles et procédures de certification harmonisées pour les produits TIC. Mise en œuvre de la Loi de Programmation Militaire (LPM) 2024-2030 : Le décret d’application de la LPM 2024-2030 est entré en vigueur le 10 mai 2024. Cette loi dote l’ANSSI de nouvelles capacités opérationnelles pour anticiper, caractériser et neutraliser la menace, notamment en matière de filtrage DNS et de traitement des vulnérabilités. Elle oblige également les éditeurs à notifier les vulnérabilités significatives à l’ANSSI. L’ANSSI a mis en œuvre un premier dispositif efficient sous le contrôle de l’ARCEP et de la CNIL. En 2024 l’ANSSI a mis en œuvre une transformation de ses compétences et de son domaine d’intervention. Elle devient une agence opérationnelle et plus de conseil et d’orientation. Enjeux de l’informatique quantique Ce nouveau domaine de l’informatique concerne la cryptographie. Voici les principaux enjeux identifiés par l’ANSSI : Menace pour la cryptographie asymétrique actuelle : Le développement et l’utilisation d’un ordinateur quantique par une puissance étrangère remet en cause les fondements de la cryptographie asymétrique largement utilisée pour sécuriser les infrastructures numériques. Cela pourrait rendre obsolètes de nombreux systèmes de sécurité actuels. Pour faire face à cette menace, il faut faire évoluer le cryptage. Nécessité de la cryptographie post-quantique (PQC) : La PQC est présentée comme l’ensemble des algorithmes cryptographiques qui pourraient résister à la menace quantique, tout en restant sécurisés contre les attaques classiques. La transition vers la PQC est considérée comme la voie la plus prometteuse pour se prémunir contre cette menace. Stratégies de l’ANSSI pour la transition : Garantir la disponibilité d’une offre de produits PQC de confiance : Cela implique d’accompagner le développement de produits de sécurité intégrant une nouvelle génération d’algorithmes cryptographiques résistants aux ordinateurs quantiques. Qualification de services secnumcloud Le SecNumCloud est une qualification délivrée par l’ANSSI pour identifier les prestataires de cloud de confiance. Cette qualification garantit un haut niveau d’exigence tant du point de vue technique, qu’opérationnel ou juridique. Le sujet est celui de la souveraineté des hébergeurs et des offres de services en ligne. Recommandations de l’ANSSI : Face au recours croissant aux technologies de cloud computing, l’ANSSI a publié en 2024 une série de recommandations de sécurité pour l’hébergement des systèmes d’information sensibles dans le cloud. Ces recommandations indiquent, en fonction du type de système d’information, de la sensibilité des données et du niveau de la menace, les types d’offres cloud à privilégier. L’ANSSI préconise l’utilisation de solutions qualifiées SecNumCloud pour les systèmes d’information de niveau de diffusion restreinte, les systèmes d’information sensibles des opérateurs d’importance vitale (OIV) et des opérateurs de services essentiels (OSE), ainsi que des systèmes d’information d’importance vitale (SIIV). En lien avec NIS2, l’ANSSI recommande de n’utiliser que des services SECNUMCLOUD pour certains opérateurs. Évolution de l’offre qualifiée : L’offre de cloud qualifiée SecNumCloud s’est étendue et comprenait 14 solutions de 7 offreurs fin 2024. Parallèlement, 8 sociétés ont engagé un processus de qualification SecNumCloud. Guide de déploiement OpenStack SecNumCloud : L’ANSSI a également publié en 2024 un guide de recommandations de sécurité relatives au déploiement d’une infrastructure OpenStack pour un service IAAS SecNumCloud. La réalité est que encore peux d’offre opérationnelles sont disponibles. OVH est un acteur français le plus en pointe sur le sujet avec des offres disponibles. Beaucoup d’annonces sont faires par DOCAPOSTE, THALES mais pas de réelle commercialisation encore. Sources : Bilan activité ANSSI 2024 Article Le monde informatique 15 avril 2025 sur bilan activité ANSSI Stratégie ANSSI The post Bilan de l’action de l’ANSSI en 2024 first appeared on XY Magazine.

https://youtu.be/_nIj6yQeKOM Les risques en utilisant vos propres matériels et logiciels en entreprise. Le Bring You Own Device ou BYOD est une pratique répandue d’utiliser son propre PC et ses propres logiciels en entreprise pour réaliser ses missions. Pour certains le BYOD c’est le Bring Your Own Disaster tant les risques importés sont importants. Les pratiques du BYOD (Bring Your Own Device) font référence à la manière dont les organisations mettent en œuvre et gèrent l’utilisation des appareils personnels des employés à des fins professionnelles. Cette approche permet aux employés d’utiliser leurs propres ordinateurs portables, tablettes ou téléphones personnels pour le travail. L’essor du travail hybride a encouragé de nombreuses entreprises à adopter une politique de BYOD. Quelles pratiques regroupe le BYOD Le BYOD est souvent subit par les organisations. Il faut constater que parfois les matériels et logiciels à disposition du grand public sont plus performants que ceux de leur organisation. Deux raison à cette situation. Sur les matériels les particulier ont accès aux même technologies que les entreprises plus vite car ils n’ont pas l’effet de flotte à gérer. Ils peuvent acquérir le dernier matériels sans soucis d’intégration dans un écosystème. Au niveau logiciels, le mode de financement de services en ligne permet aux particuliers de disposer de meilleures offres. En effet à partir du moment ou le produit est l’utilisateur, on lui permet d’utiliser le service gratuitement en échange de ses données. Le sujet est quand tout cela est utilisé dans une entreprise ou le secteur public. Types de politiques mises en oeuvre: Les entreprises peuvent adopter une politique BYOD de base ou complète. Une mise en œuvre globale peut quadrupler les économies réalisées par rapport à une approche de base. Outre le BYOD, il existe d’autres politiques relatives aux appareils mobiles telles que CYOD (Choose Your Own Device), COPE (Corporate Owned/Personally Enabled) et COBO (Corporate Owned/Business Only), qui varient en termes de flexibilité et de contrôle par l’entreprise. Le BYOD est l’option la moins rigide. Avantages pour l’entreprise : Les avantages incluent des économies sur le matériel, la maintenance et les coûts de télécommunication, une potentielle augmentation de la productivité des employés car ils sont plus à l’aise avec leurs propres appareils, une pratique plus durable en réduisant la surconsommation d’appareils, et la suppression des coûts et du temps liés à la formation des employés sur de nouveaux appareils fournis par l’entreprise. Risques et inconvénients : Les principaux inconvénients comprennent l’augmentation des risques de cybersécurité (jailbreaking, réseaux non sécurisés, fuites de données, etc.), des problèmes éthiques liés au respect de la vie privée des employés et à l’inégalité d’accès à la technologie, et des problèmes de compatibilité entre différents matériels et logiciels. L’utilisation d’appareils personnels peut également exposer l’entreprise à des risques juridiques et de sécurité, notamment en ce qui concerne la protection des données personnelles (RGPD). Tenter de mieux gérer le BYOD Il existe de meilleures pratiques pour atténuer les risques : Pour bénéficier des avantages du BYOD tout en minimisant les inconvénients, les entreprises devraient : Prévoir un budget pour la formation régulière des employés à la cybersécurité et aux meilleures pratiques d’utilisation de leurs appareils à des fins professionnelles. Créer un plan d’action clair pour le départ des employés afin de gérer les données de l’entreprise présentes sur leurs appareils personnels. Utiliser un logiciel de gestion des appareils mobiles (MDM) pour surveiller, gérer et sécuriser les données sur les appareils personnels. Élaborer la politique BYOD de l’entreprise de manière collaborative avec les différents départements, en définissant clairement les attentes et les règles d’utilisation. Il est important de formaliser cette politique par un document écrit et signé par les employés. Adapter la sécurité informatique de l’entreprise aux vulnérabilités potentielles des appareils personnels. Cela peut inclure le déploiement d’outils de cloisonnement des environnements de travail personnels et professionnels. Sensibiliser le personnel aux bonnes pratiques d’hygiène numérique et aux enjeux de sécurité spécifiques à leur secteur d’activité. Il est recommandé de limiter l’utilisation des appareils personnels aux usages les moins sensibles. Encadrer étroitement les changements de fonction et les départs des employés pour s’assurer qu’ils ne conservent pas d’accès ou de données professionnelles sur leurs appareils personnels. Le phénomène est en place, comment les DSI peuvent réduire ce risque Pour atténuer les inconvénients de l’approche BYOD, les entreprises peuvent mettre en œuvre plusieurs stratégies et meilleures pratiques, comme le soulignent les sources. Il est crucial de développer une stratégie de gestion des appareils mobiles bien pensée. Il existe des solutions logiciels pour augmenter la sécurité du réseau. L’anti virus ne suffit plus. Les entreprises peuvent utiliser des logiciels de type EDR (Endpoint Detection and Response) pour la détection des menaces sur les ordinateurs et serveurs connectés au réseau. Coté réseau, il existe aussi des solutions. L’adoption de la technologie MPLS (MultiProtocol Label Switching) peut offrir un réseau privé plus sécurisé que les VPN. La mise en place d’un modèle de sécurité Zero Trust peut limiter l’accès aux ressources en fonction de la légitimité et de l’autorisation des utilisateurs. Il est vivement recommandé aux salariés de cloisonner leurs usages personnels et professionnels sur leurs appareils numériques partagés. Sur ce plan, les solution ne sont pas simples et la plupart du temps cela ne sera pas fait. Une charte encadrant le recours aux outils numériques personnels doit être présentée à tous les salariés dès leur recrutement, prévoyant notamment les tâches autorisées et les droits d’accès. Des procédures claires doivent être établies en cas de vol ou de perte d’un matériel personnel utilisé à des fins professionnelles, ainsi qu’en cas d’incident avéré ou suspecté sur l’appareil, ou en cas de suspicion de compromission. Source Flash DGSI infogérence The post Les risques en utilisant vos propres matériels et logiciels first appeared on XY Magazine.

La cyber insécurité en chiffres c’est traduire en données l’ensemble des risques avérés en 2024 La tendance sur plusieurs années est que le sentiment de menace augmente (+33%) par rapport à l’an dernier. ce sentiment provient de l’expérience d’attaques (50% des entreprises ont subit une attaque) et de la hausse consécutive des budgets consacrés à la protection cyber. Le secteur public semble réagir avec un meilleur suivi des prescription ANSSI et des budgets enfin en hausse. Qui sont les principales victimes Une analyse par secteur permet de déterminer que les entreprises en lien avec des finances sont les plus visées Les banques et les assurances sont en première ligne le public juste derrière. Étonnant le troisième place des entreprises de restauration et hébergement. Le sentiment d’exposition à la menace est en hausse avec parfois un écart avec la réalité des attaques subies. Les acteurs de la distribution d’eau et électricité se sentent très menacés mais dans la réalité ne sont pas ceux qui subissent le plus d’attaques. Egalement plus l’entreprise en grosse plus elle se sent sous la menace cyber, ce qui n’est pas le cas non plus. Les budgets cyber en hausse Si l’on ramène le montant des dépenses en cyber sécurité par salarié on se situe à moins de 15€ C’est assez peu compte tenu des couts des dispositifs de protection. Cependant 59% des entreprises ont un budget cyber en hausse. Le sentiment est que les entreprise font assez d’effort. Pourtant les attaques augmentent. C’est assez ambivalent de voir que la mesure dit à la fois que les décideurs se sentent menacés. Que le budget consacré à la cyber menace m’est pas très important et que au final ils pensent que c’est suffisant. Les budgets sont principalement consacrés à la protection des données C’est la principale peur des décideurs. En effet perdre ses données, c’est souvent provoquer une réaction en chaine qui abouti à la fermeture de l’activité. C’est de plus le ventre mou du système d’informations car beaucoup d’accès sont nécessaires en permanence. Les principales mesure de protection concernent des mesures physiques d’accès, la mise en place de pare feux et la sécurisation des postes de travail. Quand on les interroge sur leur ressenti par rapport à ces mesures prises, 33% n’ont pas confiance en ces mesures. Pourtant ils les financent. Pour se protéger les entreprises font appels à des ESN externes spécialisés. Sur ce type de solution elles préfèrent les solutions packagées. La prise de conscience de la menace cyber est bien présente. Les entreprises augmentent leurs exigences de sécurité mais ne savent pas toujours dans quelle direction mettre le budget. La fonction est externalisée à des ESN spécialisées. La notion de souveraineté comment à poindre tout comme la prise en compte des référentiels ANSSI. Le travail de fond d’évangélisation doit continuer Source Baromètre 2024 de la cyber sécurité The post La cyber insécurité en chiffres first appeared on XY Magazine.