Latest / Le Café du Sport Business / Cybersécurité : le grand naufrage des instances sportives françaises

Transcript

Cybersécurité : le grand naufrage des instances sportives françaises · Le Café du Sport Business

0:03
Le café du sport business. On parle pas des scores du
0:06
week-end hein ? Non ?
0:06
On parle des enjeux financiers, du marketing, des médias.
0:10
Hum, toute l'arrière boutique économique du sport en fait.
0:20
Bonjour, bienvenue au café du sport business.
0:22
Bonjour. Aujourd'hui, nous explorons une
0:25
dimension du monde sportif qui se déroule, disons, très loin
0:28
des stades, des bassins ou des cours de tennis.
0:31
Tout à fait, on est dans les coulisses.
0:33
Exactement. Il s'agit d'une problématique
0:36
qui redéfinit totalement la gestion et l'administration de
0:39
l'ensemble de l'écosystème sportif français.
0:41
Pour cet épisode, nous laissons vraiment de côté les
0:45
performances sportives. Et les droits ?
0:46
Télévisés, ce qui. Change de nos habitudes.
0:48
C'est vrai ? Mais nous devons nous concentrer
0:50
sur un enjeu invisible, silencieux mais d'une importance
0:54
absolument critique. Je parle bien sûr de la
0:56
cybersécurité un. Vaste sujet.
0:58
Oui, et les infrastructures numériques du sport en France
1:02
traversent actuellement une zone de turbulences d'une intensité
1:04
assez rare. C'est marqué par une série de
1:06
fuites de données majeures. C'est le moins qu'on puisse
1:09
dire. Notre objectif aujourd'hui, pour
1:11
bien comprendre ce qui se joue sur le terrain, c'est de
1:13
disséquer une récente attaque informatique qui a directement
1:16
frappé le ministère des sports. Nous allons analyser l'anatomie
1:20
précise. De cette faille ?
1:21
Évaluer son ampleur réelle et décrypter la réponse des
1:24
institutions face à une menace qui prend une forme totalement
1:26
systémique. C'est le mot juste, systémique.
1:30
Et pour mener cette analyse, je suis ravi de vous recevoir en
1:33
tant qu experte en stratégie numérique et cybersécurité, vous
1:36
allez nous aider à assembler les pièces de ce puzzle très
1:38
complexe. Merci c'est c'est effectivement
1:41
un sujet central en ce moment. L'écosystème du sport gère
1:44
aujourd'hui des volumes de données qui n'ont absolument
1:46
rien à envier à ceux des très grandes entreprises.
1:49
Ou même des institutions financières ?
1:50
C'est à ce point là ? Ah oui, complètement.
1:53
Les événements de ces dernières semaines démontrent de manière
1:56
très crue que la protection de ce capital numérique n'est plus
2:00
une simple question de conformité administrative.
2:03
C'est une priorité opérationnelle absolue pour la
2:06
survie et là crédibilité de ces institutions.
2:08
Alors entrons directement. Dans la mécanique des
2:10
événements. Le ministère des sports a
2:12
procédé à une annonce officielle un vendredi.
2:14
Ils ont confirmé ce qu'ils qualifient techniquement de
2:17
nouvelle exfiltration de données.
2:18
Voilà, le terme technique est posé, ce qui retient vraiment.
2:20
L'attention ici, c'est que cette attaque ne visait pas une
2:23
infrastructure au hasard, elle ciblait un système d'information
2:26
très précis qui s'appelle forum. Exactement le système forum.
2:31
Et avant de parler des conséquences, je pense qu'il est
2:33
indispensable de définir ce qu'est exactement cette
2:35
plateforme. Pourquoi s'est elle retrouvée
2:37
dans le viseur des attaquants ? En fait.
2:39
L'annonce de cette exfiltration met en lumière un rouage
2:42
fondamental de l'administration sportive française, un rouage
2:46
qui est souvent méconnu du grand public.
2:48
Ce n'est pas juste un site web classique.
2:51
Non, pas du tout. La plateforme forums n'est en
2:53
aucun cas un simple site institutionnel ou une vitrine de
2:57
communication. C'est vraiment un système
2:59
d'information centralisé. Il est spécifiquement dédié à la
3:02
saisie, la gestion et la consultation des formations des
3:05
candidats et des diplômes. Les diplômes liés à l'animation
3:08
et au sport, c'est bien ça ? C'est ça ?
3:10
Ces diplômes sont ceux délivrés directement par le ministère.
3:12
Et si on analyse bien sa fonction, on réalise très vite
3:16
que forum c'est le point de passage obligatoire.
3:18
C'est la colonne vertébrale de la professionnalisation de tout
3:21
le secteur. Donc, pour bien visualiser
3:23
l'architecture, toute personne qui souhaite faire de
3:25
l'encadrement sportif son métier en France doit par définition
3:29
exister dans cette base de données.
3:31
Absolument. Toute personne qui cherche à
3:33
obtenir une certification d'État pour encadrer une activité
3:37
sportive ou même une activité d'animation de jeunesse voit
3:40
l'intégralité de son parcours enregistré et validé dans
3:43
forums. Ce qui en fait une mine
3:44
d'informations. Exactement, la plate forme
3:47
centralise des données qui sont critiques pour le fonctionnement
3:49
administratif mais aussi l'égal du sport français.
3:52
Elle gère la qualification des encadrants et ça, ça touche de
3:56
fait à la sécurité des pratiquants sur le terrain.
3:58
Parce que c'est ce système qui prouve qu'on a le droit
4:01
d'entraîner. Voilà.
4:02
C'est le système qui atteste qu'un individu a les compétences
4:05
requises pour encadrer des mineurs ou des adultes dans une
4:08
pratique sportive, donc quand on concentre un tel volume
4:12
d'informations avec une telle valeur administrative et
4:15
probatoire en un seul point du réseau.
4:17
Ce point devient une cible. Mécaniquement, il devient une
4:20
cible prioritaire pour les groupes d'attaquants.
4:22
Ce qui nous amène directement à l'impact chiffré de cette
4:26
attaque. Et les chiffres donnent le
4:27
vertige, les communications font état de 450000 candidats
4:31
concernés par cette brèche. C'est un volume colossal.
4:34
Colossal. Oui.
4:35
Et quand on regarde la nature des données compromises, on
4:38
dépasse largement le simple désagrément technique.
4:41
On parle des noms, des prénoms, des adresses postales, des
4:44
adresses électroniques, des dates de naissance et des
4:47
numéros de téléphone. Tout ça pour 450000 personnes.
4:50
C'est. Le cœur du problème ?
4:52
L'analyse de cette combinaison spécifique de données est
4:55
essentielle pour que ceux qui nous écoutent mesurent la
4:57
véritable gravité de la situation.
5:00
On n'est pas face à la fuite d'un simple mot de passe.
5:02
Un mot de passe qu'on peut changer en 5 Min.
5:04
Exactement un identifiant de connexion, ça se réinitialise.
5:08
Les éléments qui ont été dérobés ici constituent une véritable
5:11
empreinte identitaire complète. C'est à dire ?
5:14
C'est à dire qu avoir le nom, le prénom, la date de naissance,
5:17
l'adresse postale, l'E Mail et le numéro de téléphone d'une
5:20
personne. C'est de tenir la panoplie
5:22
exacte requise pour identifier formellement cet individu, aussi
5:26
bien dans le monde physique que numérique.
5:28
La donnée est permanente en fait.
5:29
C'est la grande différence, une date de naissance est immuable,
5:32
un numéro de téléphone ou une adresse postale change
5:35
relativement peu au cours d'une vie.
5:36
Ce qui signifie que la durée de vie de cette menace est
5:39
extrêmement longue pour les victimes.
5:41
Très longue. Oui mais concrètement, au-delà
5:44
de l'usurpation d'identité classique qu'on connaît,
5:46
pourquoi ces données précises qui sont liées à des
5:49
professionnels du sport ? Ont elles autant de valeur pour
5:52
les pirates ? La véritable valeur réside dans
5:54
le potentiel d'exploitation contextuel.
5:57
Les attaquants ne disposent pas seulement d'une liste de 450000
6:01
citoyens français pris au hasard.
6:02
Ils ont un profil précis. Exactement, ils savent de
6:05
manière certaine que ces personnes sont des candidats,
6:07
des professionnels ou de futurs professionnels de l'animation et
6:10
du sport. Et ce contexte, c'est une mine
6:13
d'or pour élaborer des campagnes d'hameçonnage.
6:15
Ce qu'on appelle le Spear fishing.
6:17
Le Spear phishing, tout à fait d'un niveau de sophistication
6:20
redoutable, les pirates ont désormais tout le matériel
6:24
nécessaire pour envoyer un e-mail ou 1SMS ultra ciblé.
6:27
Ils peuvent usurper l'identité du ministère des sports ou d'une
6:30
direction régionale en mentionnant précisément le
6:33
diplôme ou la formation du candidat.
6:35
Donc si je reçois un message avec ma bonne adresse, ma bonne
6:38
date de naissance et qui me parle de mon diplôme
6:40
d'entraîneur de foot ? Votre vigilance baisse
6:42
considérablement. C'est humain.
6:44
Le taux de réussite de ces futures escroqueries s'en trouve
6:47
décuplé. C'est vraiment une mécanique de
6:49
manipulation psychologique facilitée par là précision de la
6:51
donnée volée. Absolument.
6:52
Cela pose inévitablement la question du mode opératoire.
6:55
Comment une plateforme gouvernementale qui gère des
6:57
données aussi sensibles et qui est censée bénéficier de
7:00
standards de sécurité étatique AT elle pu être compromise ?
7:02
C'est la grande question. Surtout que les investigations
7:05
ont révélé un élément technique crucial, les pare feux du
7:08
ministère n'ont pas été détruits de l'extérieur.
7:11
L'incident est lié au piratage d'un compte légitime et plus
7:14
spécifiquement le compte d'un organisme de formation.
7:17
Et c'est sans doute l'aspect le plus riche d'enseignement de
7:20
toute cette affaire. D'un point de vue structurel, la
7:22
mécanique qui a été confirmée montre que la porte d'entrée
7:25
principale du ministère a tenu bon.
7:26
La porte blindée n'a pas cédé, voilà.
7:29
L'attaque n'a pas exploité une vulnérabilité logicielle
7:31
complexe dans le code source de forum.
7:34
La faille est organisationnelle, elle se situe à la périphérie du
7:37
système. Périphérie, c'est à dire chez
7:39
les partenaires. C'est ça ?
7:40
En piratant le compte légitime d'un organisme de formation
7:43
partenaire, les attaquants ont tout simplement utilisé une clé
7:46
officielle, une clé qui était autorisée à ouvrir la porte de
7:49
l'Intérieur. Pour bien visualiser, c'est
7:52
comme si le ministère avait construit une forteresse
7:55
imprenable, mais avait distribué des doubles des clés à de
7:58
multiples prestataires externes et l'un de ces prestateurs s'est
8:01
fait voler sa clé. La métaphore est parfaitement
8:04
exacte. Pour que la plateforme forum
8:06
remplisse sa mission à l'échelle nationale, le ministère est dans
8:10
l'obligation fonctionnelle D octroyer des accès à des tiers.
8:13
Ils n'ont pas le choix, sinon le système ne sert à rien.
8:16
Exactement. Ces tiers, ce sont de multiples
8:19
organismes de formation répartis sur tout le territoire français.
8:23
Ces partenaires doivent impérativement pouvoir se
8:25
connecter pour saisir les notes, inscrire de nouveaux candidats
8:29
où mettre à jour les dossiers administratifs.
8:31
C'est le travail au quotidien. Oui, et c'est l'illustration
8:34
parfaite du concept de vulnérabilité induite par la
8:36
chaîne d'approvisionnement ou les accès tiers.
8:38
La solidité globale d'un système d'information centralisé n'est
8:41
jamais déterminée par sa fortification la plus robuste.
8:44
Elle est toujours déterminée par son point d'accès périphérique
8:46
le plus faible. Ce qui implique que la sécurité
8:49
du ministère dépend en réalité du niveau de sécurité du plus
8:53
petit organisme de formation de France qui possède un accès à
8:55
forums. C'est la dure réalité.
8:58
Si un organisme de formation locale qui a des ressources
9:00
informatiques limitées ne sécurisé pas correctement les
9:03
ordinateurs de ses employés, c'est un problème.
9:06
Ou si quelqu'un utilise un mot de passe trop simple.
9:08
Voilà, si un collaborateur utilise un mot de passe faible,
9:11
c'est l'intégralité de la base de données ministérielles qui
9:14
est exposée. L'attaquant n'a eu aucun besoin
9:17
de chercher à contourner les systèmes de détection
9:19
d'intrusion du gouvernement. Il est rentré par la petite
9:22
porte. Il lui a suffi de compromettre
9:24
ce simple utilisateur externe, de récupérer ses identifiants.
9:28
Et de se connecter au système en toute transparence.
9:30
Il a hérité des privilèges de lecture où d'écriture de cet
9:34
organisme légitime. Face à cette méthode d'intrusion
9:36
silencieuse via un compte tiers, la réaction opérationnelle
9:39
immédiate a été là désactivation des accès du compte de cet
9:42
organisme en question. C'est une mesure d'urgence
9:45
logique pour stopper la fuite. Oui, cette désactivation, c'est
9:48
la procédure de confinement standard dans toute gestion de
9:51
crise cyber, à l'instant même où le vecteur technique de
9:54
l'exfiltration est localisé. La coupure nette des accès est
9:57
la seule méthode pour isoler la menace et arrêter les moravis.
10:01
On coupe le. Robinet exactement.
10:04
Néanmoins, il faut garder à l'esprit que cette action de
10:06
blocage intervient par définition à posteriori.
10:10
Elle est exécutée une fois que l'intrusion a été consommée.
10:13
Et que les données sont déjà parties.
10:15
Le vol des données des 450000 profils est déjà une réalité, la
10:18
désactivation résout le problème technique immédiat lié à ce
10:22
compte spécifique. Mais elle met en exergue un défi
10:25
structurel vertigineux. Lequel ?
10:28
Comment assurer la surveillance en temps réel et continu des
10:32
comportements des milliers d'autres contes légitimes
10:34
similaires qui conservent un accès direct à forums.
10:37
Et cette réflexion sur la surveillance prend une toute
10:40
autre ampleur lorsqu une intègre la dimension chronologique de
10:43
cette crise. Ce piratage, annoncé un
10:45
vendredi, n'est absolument pas un incident isolé.
10:48
Non, pas du tout. Il s'inscrit dans un schéma de
10:51
récidive extrêmement rapproché. Il faut rappeler qu'une
10:54
précédente cyberattaque majeure a frappé le ministère des sports
10:57
à peine 2 mois plus tôt, le 19 décembre.
11:00
La proximité temporelle entre ces 2 événements est un
11:02
indicateur analytique majeur, subir 2 exfiltrations données
11:06
d'une telle envergure en l'espace de 60 jours, ça
11:09
démontre de manière univoque que l'infrastructure numérique de
11:12
l'institution. Est soumise à une pression
11:14
tactique constante. Ils sont testés en permanence.
11:17
Le périmètre du ministère est scruté, sondé, testé en
11:21
permanence par des groupes d'attaquants, et il est percé à
11:25
intervalles très réguliers. Ce délai si court entre les
11:28
incidents complique drastiquement le travail des
11:31
équipes techniques en interne. J'imagine qu'elles n'ont même
11:33
pas le temps de respirer. Elles se retrouvent dans une
11:35
posture où elles doivent gérer les conséquences administratives
11:39
et techniques d'une première crise.
11:41
Tout en subissant de plein fouet la 2nde.
11:43
Et la comparaison des échelles entre ces 2 attaques successives
11:46
est d'ailleurs révélatrice de la pression exercée.
11:49
Nous analysons aujourd'hui cette brèche impliquant 450000
11:52
candidats. Mais si l'on revient sur
11:53
l'attaque du 19 décembre, les chiffres étaient d'une autre
11:56
dimension. On parlait des données de 3,5,
11:58
1000000 de foyers. C'est énorme.
12:00
Ce sont des volumes qui dépassent l'entendement pour une
12:02
institution sportive. La mise en perspective de ces 2
12:05
chiffres est fondamentale pour comprendre la mutation du rôle
12:08
du ministère. D'un côté, 3,5 1000000 de
12:10
foyers, ce qui représente une fraction extrêmement massive de
12:13
la population française globale. Oui, on touche presque tout.
12:17
Le monde de l'autre côté, 450000 candidats, ce qui constitue la
12:21
base structurelle des professionnels de l'encadrement
12:23
du pays. Ces échelles prouvent que le
12:25
ministère des sports, bien au-delà de ses missions
12:28
régaliennes de développement de la pratique sportive, s'est
12:31
transformé par la force des choses.
12:33
En quoi ? En un véritable gestionnaire de
12:35
base de données à très grande échelle.
12:37
C'est un point central. Le ministère gère désormais des
12:40
actifs numériques dont le volume et la sensibilité nécessitent
12:43
une ingénierie digne d'un opérateur Télécom ou d'un géant
12:46
du web. Et c'est la réalité de leur
12:48
nouvelle situation, la sécurisation d'informations
12:51
sensibles concernant des 1000000 de citoyens impose des
12:54
contraintes techniques, financières et humaines
12:57
monumentales. Ça demande des ressources qu'ils
12:59
n'avaient peut être pas prévues au départ.
13:01
Sûrement. Le passage d'une faille touchant
13:04
3,5 1000000 de foyers en décembre à une faille ciblant
13:06
450000 candidats métiers en février illustré également une
13:09
chose, la diversité et là compartimentation des bases de
13:13
données hébergées. Les purates explorent tout.
13:16
Les attaquants procèdent de manière méthodique, ils ne
13:19
cherchent pas à vider un seul immense réservoir d'en coup.
13:22
Ils explorent successivement différents silos d'informations
13:25
de l'infrastructure ministérielle.
13:27
Ils testent toutes les portes. Voilà.
13:29
Ils trouvent des vulnérabilités parfois dans des systèmes
13:32
destinés au grand public et parfois, comme c'est le pas ici,
13:36
dans des plateformes métiers très spécifiques comme forums.
13:39
C'est un travail chirurgical. L'institution se retrouve
13:42
gestionnaire d'un patrimoine de données dont la valeur
13:45
d'exploitation sur les marchés criminels est immense.
13:47
Il y a une asymétrie évidente entre la mission historique du
13:51
ministère et cette nouvelle responsabilité écrasante de
13:54
forteresse numérique citoyenne. Le.
13:56
Constat ? Est d'autant plus inquiétant que
13:58
ce problème structurel ne s'arrête pas aux frontières du
14:01
seul ministère. C'est l'écosystème global du
14:03
sport français dans son intégralité qui est touché de
14:05
plein fouet. Oui, là contagion est réelle.
14:07
Les actes de piratage récents mettent en évidence ce véritable
14:11
effet de contagion sur les instances dirigeantes.
14:13
Qu'il s agisse du sport de haut niveau ou de la pratique
14:16
amateur, les fédérations sportives sont directement et
14:19
explicitement ciblées. La chronologie des faits
14:22
mentionné que d'autres victimes très récentes comptent parmi les
14:25
institutions les plus majeures du pays.
14:27
On parle des fédérations françaises de voile, de
14:29
natation, de golf et de tennis. La simple énumération de cette
14:33
liste de victimes démontre le niveau d'exposition généralisé
14:36
du secteur. Ça touche tous les sports.
14:38
Que l'analyse se porte sur les sports nautiques avec la voile
14:41
et la natation ou qu'elle se tourne vers des sports
14:43
individuels de très grand ampleur médiatique et économique
14:46
comme le golf et le tennis, la conclusion reste identique.
14:49
Leurs systèmes ont été. Percés, les systèmes
14:51
d'information de ces fédérations ont tous été pénétrés.
14:55
Le ministère lui même a pris soin, dans sa communication
14:58
officielle, de se dire conscient du caractère systémique des
15:02
cyberattaques. L'utilisation du terme
15:05
systémique par une institution étatique, c'est un choix lexical
15:08
extrêmement fort. Très fort.
15:10
Justement pour ceux qui nous écoutent, qu'est ce que cela
15:14
implique techniquement et stratégiquement ?
15:16
Une attaque systémique dans ce contexte précis.
15:18
Dans le domaine de l'analyse des risques cyber, qualifier une
15:21
menace de systémique signifie que les attaquants ne ciblent
15:24
plus une organisation isolée pour ses propres vulnérabilités
15:28
spécifiques. Ils ne se disent pas, tiens, on
15:30
va attaquer le golf aujourd'hui. Non, ils exploitent une
15:33
fragilité globale et partagée par tout un secteur d'activité.
15:38
Les fédérations sportives, bien qu indépendantes les unes des
15:41
autres, partagent des modes de fonctionnement administratifs
15:44
très similaires. Elles gèrent toutes des licences
15:46
des clubs. Exactement.
15:48
Elles composent avec des comptes rentes budgétaires comparables.
15:52
Et surtout, elles reposent très souvent sur des architectures
15:55
informatiques historiques, des systèmes qu'on appelle Legacy,
15:59
des systèmes qui n'ont pas été conçus à l'origine avec la
16:02
cybersécurité comme pilier central de leur architecture.
16:05
Elles ont été conçues pour gérer des compétitions et des
16:08
licences, pas pour contrer des syndicats du crime organisé.
16:11
C'est un résumé parfait. Pourtant, la réalité de leur
16:14
quotidien, c'est la gestion massive de licences,
16:17
d'adhésions, de résultats sportifs, de classements
16:20
officiels, tout cela implique la collecte et le stockage de bases
16:24
de données personnelles immenses concernant des 1000000 de
16:27
licenciés. Avec les mêmes informations que
16:30
pour les professionnels, des noms, des adresses.
16:33
Tout à fait le fait que des fédérations aussi diverses que
16:36
la voile. La natation, le golf et le
16:39
tennis soient touchés de manière successive où simultanée
16:43
indiquent très clairement une chose, des groupes d'attaquants
16:47
ont audité l'écosystème sportif français et l'ont identifié
16:51
comme une verticale particulièrement vulnérable et
16:54
rentable. C'est un filon en quelque sorte.
16:56
Cette fragilité numérique globale est désormais exploitée
16:59
de manière quasi industrielle par les pirates.
17:02
Face à cette exploitation industrielle et à l'ampleur de
17:05
la contagion. La question de la riposte
17:07
devient le sujet central, comment le ministère des sports
17:11
réagit il concrètement face à ce constat d'un secteur pris pour
17:15
cible dans sa globalité ? Il YA1 changement de ton
17:18
évident. La communication officielle
17:20
précise que face à ces incidents répétés.
17:22
Le ministère prend pleinement ses responsabilités.
17:25
Cette prise de responsabilité formelle et publique constitué
17:29
le premier jalon stratégique indispensable dans la gestion
17:32
d'une crise d'une telle profondeur.
17:34
On ne se cache plus derrière des problèmes techniques isolés.
17:37
En reconnaissant ouvertement la nature systémique des attaques
17:41
et en endossant la responsabilité d'orchestrer la
17:44
protection de ces écosystèmes. Le ministère acte un véritable
17:48
changement de posture. Le temps n'est plus à la gestion
17:50
individuelle de chaque incident, comme s'il s'agissait d'un fait
17:53
divers. En fromatique isolé, la
17:55
situation est traitée avec la gravité nécessaire.
17:58
Elle est traitée pour ce qu'elle est.
18:00
Un défi structurel majeur pour l'État et pour l'ensemble du
18:03
mouvement sportif français. Et cette reconnaissance
18:05
s'accompagne de la mise en place d'un plan d'action qui se veut
18:08
concret, le ministère annonce vouloir renforcer ses propres
18:11
dispositifs de cybersécurité internes afin de prévenir tout
18:15
nouvel incident. C'est la base.
18:17
Mais la dimension la plus intéressante de cette stratégie
18:19
réside dans l'intégration d'un acteur clé de la défense
18:22
numérique de l'État, l'anssi. Le plan d'action prévoit D
18:26
accompagner les différentes fédérations en lien direct et
18:29
étroit avec l'anssi dans une démarche globale de sécurisation
18:32
numérique. La mobilisation de l'anssi est
18:34
assurément le signal technique et politique le plus fort de
18:37
cette riposte. C'est du sérieux quand l'anssi
18:39
arrive. L'Agence nationale de la
18:41
sécurité des systèmes d'information, c'est l'entité
18:44
experte, le bras armé de l'État en matière de cyberdéfense,
18:49
intégrer l'anssi pour accompagner techniquement les
18:51
fédérations sportives. Démontre l'élévation immédiate
18:55
du niveau de gravité accordé au problème par les hautes sphères
18:58
de l'État. Parce qu avant ça, les
18:59
fédérations géraient ça dans leur coin.
19:01
Historiquement, une fédération sportive abordait la question de
19:04
sa sécurité informatique de façon très indépendante, en
19:08
s'appuyant sur ses propres ressources internes, souvent
19:11
limitées, ou sur des prestataires locaux.
19:13
Ce qui créé d'énormes disparités de protection d'une fédération à
19:16
l'autre. Le but de l'anssi ici, c'est de
19:18
niveler par le haut. C'est tout l'enjeu.
19:20
En initiant cette démarche de sécurisation coordonnée par le
19:23
ministère et techniquement encadrée par l'Anssi, l'objectif
19:27
fondamental est d homogénéiser les standards de défense.
19:30
Il s'agit de bâtir un véritable franc commun.
19:33
Une ligne de défense uniforme. L'anssi va apporter une
19:37
méthodologie rigoureuse, des référentiels, des diligences
19:40
strictes et surtout une capacité d'audit technique approfondie.
19:44
Des capacités que les fédérations laissées à
19:46
elles-mêmes seraient bien incapables de déployer.
19:48
C'est un accompagnement vital. Cet accompagnement expert à pour
19:52
but de combler rapidement les immenses écarts de maturité
19:55
cyber qui existent actuellement entre les différentes instances
19:59
du sport français, face à des attaquants qui, par définition,
20:02
cherchent et exploitent systématiquement le maillon le
20:05
plus faible de la chaîne, comme on.
20:06
L'a vu avec l'organisme de formation.
20:08
Précisément. Élever le niveau de défense
20:10
global du ministère en le couplant à celui des fédérations
20:13
sous l'égide de l'Anssi, reste l'unique approche stratégique
20:17
viable pour stopper cette contagion.
20:18
On assiste au passage forcé d'une défense artisanale
20:22
fragmentée, réactive à une posture de résilience collective
20:25
et anticipative. L'écosystème du sport français
20:28
se trouve par conséquent à un point de bascule historique, les
20:32
compétitions ne se gagnent plus uniquement sur les terrains, les
20:34
pistes ou dans les gymnases. Le secteur doit désormais mener
20:37
et surtout remporter une bataille décisive sur ce terrain
20:40
beaucoup plus sombre, complexe et invisible qu'est la
20:43
cybersécurité. C'est le nouveau grand défi
20:46
sportif. Assurer la protection des
20:48
données personnelles de 1000000 de citoyens, qu'ils soient de
20:51
simples foyers, des candidats à l'encadrement ou des sportifs
20:54
licenciés, exige un effort d'adaptation colossal.
20:58
Cela passe par une refonte des architectures, une sécurisation
21:02
drastique des accès tiers. Et l'unification des stratégies
21:05
de défense face à des menaces technologiques qui vont
21:07
continuer d évoluer. Pour conclure cette analyse, et
21:10
si l'on se penche rigoureusement sur la mécanique précise de la
21:13
faille ayant touché la plateforme forums, une ultime
21:16
réflexion s'impose pour ceux qui nous écoutent.
21:19
Elle permet de mesurer l'étendue vertigineuse du chantier de
21:22
sécurisation qui s'annonce. Quelle est cette réflexion ?
21:25
Nous avons établi que la simple compromission des identifiants
21:28
d'un seul compte légitime appartenant à un unique
21:31
organisme de formation de taille modeste.
21:33
A été suffisant pour exposer et exfiltrer les données critiques
21:36
de 450000 personnes. Une seule petite.
21:39
Plaie perdue, sachant. Cela, la question centrale des
21:42
futurs audits est la suivante, combien d'autres comptes
21:46
externes d'accès tiers légitimes ou de portails partenaires
21:50
similaires dorment actuellement de manière totalement vulnérable
21:53
dans l'immense architecture des systèmes d'information ?
21:56
Des dizaines d'autres fédérations sportives
21:58
françaises. En attendant le pire ?
22:00
A tendance simplement d'être identifié par les hackers ou
22:03
sécurisés par l'anssi. La surface d'attaque du sport
22:06
français est incroyablement vaste et la course contre la
22:09
montre est bel et bien lancée. À très vite pour un nouveau
22:11
podcast du café du sport business.