Sydney Bristow et James Bond ?Les plus lamentables des agents secrets. Ils flinguent à tout va, n'arrivent pas à passer inaperçu aux yeux de leurs ennemis, parviennent même régulièrement à se faire « prendre », laissent des traces de leur passage parfumées de poudre et d'explosifs, et détruisent systématiquement les infrastructures des « méchants d'en face »...non, ils n'ont rien des véritables « super-espions » qui nous surveillent, estime Ira Winkler de l'Isag, lors d'une conférence donnée à l'occasion de la dernière RSA Security Europe. Le véritable espion est transparent, il ne laisse aucune trace, il ne casse rien -seul le script kiddy détruit- et cherche plutôt à dérober des informations sans laisser la moindre preuve d'effraction. Ses méthodes ont évolué : le pirate informatique, l'espion numérique, n'est plus un inconditionnel du Walter PPK : tout lui convient, du Smith & Wesson au Beretta gros calibre, du virus à l'attaque DoS. L'attaque devient multi-outils Les armes elles-mêmes s'industrialisent, puisqu'une même souche virale servant à disséminer des chevaux de Troie peut, du jour au lendemain, être adaptée pour récupérer du numéro de carte de crédit ou télécharger un instrument d'attaque de mot de passe. Face à eux, le RSSI DOIT penser comme un pirate, s'adapter à son comportement, imaginer ses méthodes, endosser sa psychologie. C'est un métier à part entière... difficile, complexe, souvent même tellement spécialisé qu'il ne peut relever que de services d'entreprise dont c'est l'unique travail...

Bien entendu, cet ancien agent de la NSA reconverti dans la protection des réseaux informatiques prêche pour sa propre chapelle. Mais il le fait de manière vivante, combat ouvertement cette hypocrisie qui consiste à ignorer le monde du hack « parce que c'est indigne de nous ». Un Winkler qui n'hésite pas à conspuer Kevin Mitnick « ce pirate qui ne cherche qu'à faire du fric après sa sortie de taule », mais qui encense Franck Abagnale : « lui, au moins, a payé durant 30 années sa dette à la société. Il s'est amendé, a prouvé que son expertise était utile au monde bancaire ». Un sentiment qui n'est pas partagé par tout le monde du côté des keynote speakers des journées d'information CSI-FBI. Et Winkler de reprendre « Si les responsables de sites de jeux d'argent en ligne se révoltent contre les maîtres chanteurs du Net, dénoncent leurs pratiques et refusent de se soumettre face à leurs menaces, il en va tout autrement du côté des banques. Lorsqu'un banquier me demande ce qu'il doit faire face à un maître chanteur, la réponse est souvent « payez »... car la première chose que vend un banquier, c'est de la confiance. Il doit choisir entre dévoiler l'affaire et engager une ardente campagne de communication visant à enrayer les bruits de couloir dénonçant sa fragilité face aux cyber-escrocs, soit étouffer l'affaire. De toute manière, pour l'instant, les escrocs sont de petite envergure... trop contents d'avoir vaincu, ils reviennent rarement à la charge... »

La suite des propos explosifs de Winkler, l'avis dérangeant de Bruce Schneier sur un thème assez proche, tout çà sera intégralement retranscrit dans le prochain numéro de CSO Magazine.

. Web-profils.com, la place de marché du conseil et de l'ingénierie