L'avenir du travail est flexible, et c'est une excellente nouvelle pour la cybersécurité.

Une version de cet article a été publiée dans TFIR. Il a été mis à jour et syndiqué ici.

On dit que le changement est la seule constante dans la vie, mais 2020 a véritablement mis le monde entier à l'épreuve. La pandémie mondiale de COVID-19 nous a forcés à réfléchir en profondeur à la manière dont nous tissons des liens. L'auto-isolement et la distanciation sociale sont quelques-unes des adaptations que nous avons dû adopter dans le monde physique. Bien que beaucoup d'entre nous passent déjà énormément de temps en ligne, la situation est bien différente lorsqu'il s'agit de ne plus avoir d'autre choix pour communiquer et, si possible, travailler. C'est à la fois une tragédie et une prise de conscience.

Comme pour beaucoup d'entreprises technologiques, le travail flexible ne nous est pas étranger et le télétravail est l'un des avantages de notre métier. Dès 2009, je travaillais déjà à distance depuis la Belgique pour des entreprises de la Silicon Valley. La technologie était bien moins avancée à l'époque, mais c'était tout à fait réalisable. Même pour nous aujourd'hui, il a fallu s'adapter pour que chaque membre de l'équipe travaille depuis chez soi jusqu'à nouvel ordre. J'ai vu de nombreuses entreprises prendre cette même décision, y compris celles qui étaient moins préparées que d'autres à gérer une main-d'œuvre à distance.

Que l'inconfort provienne de l'incertitude liée à une nouvelle méthode de travail, d'un manque de confiance ou d'un scepticisme vis-à-vis du télétravail, je constate que les entreprises qui y résistent ont tendance à prendre du retard pour attirer les meilleurs talents, maintenir une portée mondiale et, en toute franchise, pour s'adapter à leur époque. Cette crise actuelle n'a laissé d'autre choix à beaucoup que de passer au télétravail, sous peine de voir leur activité s'arrêter complètement dans un climat économique chaotique.

S'il y a un point positif à tirer de cette tragédie, c'est que les gens auront pu constater les avantages d'une main-d'œuvre numérique et la multitude de façons dont une équipe peut rester connectée sans être physiquement réunie. Le secteur de la cybersécurité est l'un de ceux qui peuvent réellement prospérer grâce à une approche de travail flexible et disponible en permanence.

Les attaquants, eux, ne se sont pas confinés : ils sont extrêmement actifs et profitent de cette crise, tirant parti de la panique et de l'incertitude mondiales pour mener des cyberattaques contre des établissements médicaux. Dans une telle situation, il n'est pas surprenant de voir une recrudescence des cyberattaques, en particulier des rançongiciels. Après tout, c'est une forme de vol pour survivre en période d'instabilité économique. Cela ne rend pas la chose acceptable, et le fait demeure que nous pouvons toujours travailler, nous former et lutter contre les cyberattaques partout où il y a une connexion internet.

L'avenir est flexible, et voici comment nous — et l'ensemble du secteur de la cybersécurité — pouvons le concrétiser dès maintenant et pour les années à venir :

Les produits accessibles partout sont universels et précieux

Avant toute situation de quarantaine forcée, les équipes internationales devaient déjà trouver des moyens de collaborer en cas de besoin. Les conférences téléphoniques abordables ont fait leurs débuts la même année que les Rolling Stones (en 1964, pour être précis — et nul doute que ces premiers utilisateurs rencontraient les mêmes problèmes que nous aujourd'hui : « Vous m'entendez ? », « Non, allez-y, je vous en prie », même si nous pouvons désormais nous voir en vidéo).

En 2020, la technologie de communication numérique représente une part immense de l'industrie des TIC, qui se chiffre en milliers de milliards de dollars, avec des plateformes natives cloud, mobiles et sociales qui dominent et remplacent les technologies héritées. Des innovations comme Slack, Zoom et Discord nous ont permis de rester plus connectés que jamais, surtout au travail. Et la communication n'est qu'un aspect de l'histoire.

Les services numériques accessibles partout avec une connexion internet, à la demande, et qui répondent à un besoin fondamental — qu'il s'agisse de connexion, de divertissement ou de productivité — font partie de notre avenir flexible. En tant que clients, nous recherchons l'hyper-personnalisation, et en tant qu'entreprise, nous cherchons à offrir une expérience numérique personnelle, d'une qualité irréprochable, quel que soit l'endroit d'où elle est consultée.

Dans chaque secteur, chaque jour, des applications web sont créées pour rationaliser les processus, révolutionner nos modes de vie et de travail actuels, et résoudre des problèmes dont nous n'avions peut-être même pas conscience. Nous sommes loin d'avoir atteint le sommet en matière d'outils et de formation en cybersécurité accessibles à la demande, de manière engageante et utile pour l'utilisateur, avec des avantages tangibles pour l'entreprise.

Les développeurs apprécient la flexibilité dans leur travail quotidien, et notre approche axée sur une formation au codage sécurisé pratique et ludique, ainsi que sur l'intégration des flux de travail, est conçue pour ces utilisateurs finaux. Les outils doivent être intuitifs et prêts à l'emploi pour être utilisés sans effort, afin que la formation ne soit pas perçue comme une corvée. Le secteur de la cybersécurité étant un vaste terrain de jeu, le moment est venu d'innover dans de multiples domaines d'attaque et de défense, où les méthodologies axées sur la sécurité comme le DevSecOps peuvent prospérer même si tout le monde travaille à domicile. Il s'agit de collaboration et d'une suite d'outils réfléchie permettant à chaque membre de l'équipe d'effectuer son travail efficacement, quel que soit son emplacement physique.

Se former quand vous en avez le plus besoin (ou quand vous voulez varier votre journée)

L'un des avantages du travail flexible est la suppression des trajets domicile-travail les jours où vous exercez vos fonctions depuis chez vous. Pour certains, cela représente environ deux heures de temps de qualité et de concentration récupérées. Dans un monde idéal, tout le personnel disposerait de temps pendant ses heures de travail habituelles pour apprendre et développer ses compétences, ce qui est beaucoup plus facile à gérer dans le bon environnement de télétravail. C'est bénéfique pour vos talents à distance, qui peuvent se sentir stimulés et soutenus par un apprentissage continu.

Le paysage de la cybersécurité évoluant à chaque seconde, une formation fréquente est indispensable pour suivre le rythme des menaces potentielles qui pourraient affecter l'organisation. Une formation complète, mesurable et adaptée aux besoins de l'entreprise est un grand pas dans la bonne direction. Ce sont là quelques-uns des facteurs clés qui ont présidé à la conception de la plateforme Secure Code Warrior ; nous voulions une formation accessible partout, au moment précis où vous en avez besoin, dans le langage de développement et le framework de votre choix.

Les développeurs entretiennent une relation complexe avec la sécurité et, à bien des égards, ils n'ont pas été suffisamment pris en compte pour s'engager correctement dans les meilleures pratiques de sécurité. Une formation gamifiée à la demande peut les convaincre, où qu'ils se trouvent ; c'est également impératif pour garantir que les équipes offshore et les prestataires font preuve d'une sensibilisation adéquate à la sécurité, surtout lorsqu'ils sont impliqués dans la manipulation du logiciel d'une organisation.

Maintenir l'engagement et la montée en compétences de vos équipes grâce à une formation qui aidera l'organisation (sans parler de leur propre carrière) est un levier très efficace pour fidéliser vos meilleurs talents... une nécessité absolue alors que nous sommes confrontés à une pénurie persistante de compétences en cybersécurité.

Les équipes en télétravail peuvent être autonomes, productives et sécurisées

L'idée selon laquelle il faut être présent au bureau de neuf à dix-sept heures pour être productif est une vision bien dépassée. Pourtant, de nombreuses entreprises (y compris certaines des plus récentes et innovantes) fonctionnent encore avec cette notion en tête. Elles témoignent d'une profonde méfiance envers leurs propres employés, comme si la simple évocation du travail à domicile leur faisait imaginer leurs équipes en train de jouer aux jeux vidéo en sous-vêtements plutôt que de faire leur travail.

Ou alors, elles n'ont tout simplement pas encore franchi le pas vers un télétravail viable.

Naturellement, les membres d'une équipe doivent prouver qu'ils peuvent maintenir leur productivité à domicile en montrant des résultats. Cependant, vous devez donner à vos collaborateurs les meilleures chances de réussir en dehors du bureau. Posez-vous les questions suivantes :

• Disposent-ils du matériel adéquat ?
• Avez-vous réellement mis en place l'un de ces formidables outils de communication dont nous avons parlé précédemment ?
• Vous êtes-vous assuré que chaque manager reste en contact et présent numériquement auprès de son équipe, avec des points quotidiens réguliers ?
• Avez-vous pensé à des outils de productivité pour suivre les projets et aider à donner à chaque membre de l'équipe une orientation, des objectifs clairs et un sentiment d'accomplissement à mesure qu'ils terminent leurs tâches ?

Dans le contexte actuel, de nombreuses entreprises ont dû choisir entre passer au télétravail ou fermer complètement leurs portes. Certaines entreprises ayant opté pour le télétravail n'y étaient peut-être pas tout à fait préparées, et il est possible qu'il y ait quelques ajustements à faire... mais le problème majeur est que ces entreprises s'exposent probablement aussi à certains risques de sécurité.

Éviter les erreurs de sécurité dans les environnements de télétravail

Il existe plusieurs vecteurs de menace à prendre en compte, car le personnel utilise probablement son propre réseau et peut se servir d'une variété d'appareils pour accéder aux comptes de l'entreprise, chacun ayant ses propres besoins en matière de sécurité qui peuvent ou non être respectés.

En situation de télétravail, tout le monde a tendance à recevoir davantage d'e-mails, en plus de devoir gérer divers identifiants, systèmes et configurations. Il est bien trop facile pour les attaques par ingénierie sociale et les logiciels malveillants de passer à travers les mailles du filet sur une multitude d'appareils situés hors du périmètre de sécurité interne.Ce n'est pas une raison pour abandonner le télétravail, c'est une occasion en or d'apprendre par la pratique et de le rendre aussi robuste que possible pour l'avenir. Et pour les organisations axées sur la sécurité, c'est une excellente opportunité d'auditer les processus et d'appliquer à soi-même les meilleures pratiques de sécurité pour tout le monde.

En parlant d'erreurs, il est également important d'évaluer votre espace de travail à distance pour détecter toute menace potentielle... surtout pour votre dignité, comme ce pauvre couple. La morale de l'histoire : assurez-vous que tout le monde est habillé correctement si vous êtes en appel vidéo.

Les cyberattaques ne s'arrêtent pas parce que nous sommes en crise

Il est profondément bouleversant de constater les effets du COVID-19 dans le monde entier, et il est plus que jamais temps de se serrer les coudes et de penser aux autres dans cette crise sanitaire mondiale. Le fait est que les attaquants profitent activement de cette peur et de ce chaos généralisés, peut-être par désespoir. En tant que société, nous sommes incroyablement vulnérables en ce moment.

Les établissements de santé, y compris un centre de test de vaccins, ont été frappés par des rançongiciels et des attaques DDoS, sans parler de ceux qui tentent de profiter d'organisations financières et gouvernementales distraites et surmenées en lançant des campagnes de phishing et de logiciels malveillants contre elles. Une autre menace plane sur le vaccin lui-même ; il a été rapporté que l'administration Trump avait offert à une entreprise allemande de grosses sommes d'argent pour développer un vaccin contre le COVID-19 à l'usage exclusif des États-Unis. Les données sur le vaccin sont peut-être les informations les plus précieuses sur Terre à l'heure actuelle, ce qui constituerait une cible très attrayante pour un attaquant.

C'est un rappel opportun que, tandis que nous nous isolons face à la menace bien réelle d'un virus physique, notre cœur numérique est également sous attaque. La sensibilisation à la sécurité est de la plus haute importance dans chaque organisation, et une formation adéquate doit être dispensée à tous les niveaux - même des mesures comme l'imposition de l'utilisation d'outils de gestion des mots de passe et l'apprentissage de la détection d'un e-mail de phishing sont utiles.

Quant aux développeurs, ils constituent la première ligne de défense pour sécuriser le code produit activement au sein de l'entreprise. Ils peuvent être un atout précieux pour votre équipe AppSec afin d'éviter les conséquences d'une cyberattaque en fermant les portes dérobées créées par des vulnérabilités courantes.

Les entreprises innovantes sur le plan numérique peuvent mieux traverser les tempêtes

Un sous-produit extrêmement malheureux du confinement massif a été le ralentissement économique, forçant de nombreuses personnes à perdre leur emploi dans les secteurs les plus touchés. Tout cela s'est aggravé assez soudainement, et c'est une expérience que beaucoup d'entre nous n'ont probablement jamais vécue de leur vivant.

Bien que toute entreprise nativement numérique ne soit pas automatiquement immunisée contre la récession (loin de là), par leur nature même, les entreprises qui opèrent dans le numérique sont bien plus agiles, adaptables et durables, même lorsque les circonstances les plus imprévues surviennent.

Notre entreprise peut être gérée de manière efficace avec une main-d'œuvre à distance, ce qui constitue une couche de protection supplémentaire pour notre précieuse équipe ainsi que pour les clients qu'elle soutient. Nous considérons la formation à la sécurité du code comme un élément essentiel des entreprises modernes, et si nous sommes choisis, nous pouvons nous adapter selon les besoins. De nombreuses entreprises, de par la nature des produits ou services qu'elles vendent, n'ont pas le même luxe, mais il pourrait être une surprise positive pour elles d'étudier où les processus peuvent être numérisés, pérennisés et rendus aussi flexibles que possible, même dans les secteurs les plus traditionnels.

Trouver de nouvelles façons de se connecter est un défi positif, pas un obstacle

C'est peut-être un peu dramatique, mais cela me rappelle la célèbre réplique de Jurassic Park : « la vie trouve toujours un chemin ». C'est tout à fait vrai, et notre passage au télétravail à l'échelle de l'entreprise l'a clairement démontré. Des équipes qui interagissaient peu auparavant se découvrent des points communs grâce à des discussions informelles, des jeux en ligne et une playlist Spotify collaborative. Il existe toujours un moyen de tisser des liens significatifs ; mon conseil est de laisser les équipes explorer et évoluer naturellement.

Pour nos clients, il est formidable de constater que leur engagement à perfectionner les compétences en codage sécurisé de leurs développeurs a surmonté les obstacles du travail à distance. Ils utilisent notre fonctionnalité de tournois ; bien que ces événements soient habituellement organisés en présentiel avec un certain faste, leurs versions virtuelles suscitent un engagement sain, une compétition amicale et constituent une excellente distraction productive par rapport aux tâches quotidiennes souvent solitaires. Tout comme les jeux vidéo sont devenus bien plus sociaux qu'autrefois, ce type de formation favorise les liens, non seulement avec le contenu pédagogique, mais aussi entre collègues. Et c'est accessible à tous, partout. En tant que passionné de sécurité, je suis forcément partial, mais c'est le moment idéal pour encourager le goût du codage sécurisé chez les développeurs. Ce sont tous des super-héros de la sécurité en devenir, alors renforcez vos premières lignes de la manière la plus ludique qui soit.