Nadya Bartol: Better cybersecurity starts with honesty and accountability | TED

Transcriber:

Traducteur: Jules Daunay Relecteur: Claire Ghyselen

Today, I'm going to talk about a shameful topic.

Aujourd’hui, je vais parler d’un sujet honteux.

This has happened to many of us, and it's embarrassing,

C’est arrivé à beaucoup d’entre nous et c’est embarrassant,

but if we don't talk about it, nothing will ever change.

mais si nous n’en parlons pas, rien ne changera jamais.

It's about being hacked.

Je veux parler d’être victime de piratage.

Some of us have clicked on a phishing link and downloaded a computer virus.

Certains d’entre nous ont cliqué sur un lien d’hameçonnage

et téléchargé un virus informatique.

Some of us have had our identities stolen.

D’autres se sont fait voler leurs identités.

And those of us who are software developers

Et ceux parmi nous qui sont développeurs

might have written insecure code with security bugs in it

peuvent avoir écrit du code non sécurisé contenant des bogues de sécurité

without realizing it.

sans s’en rendre compte.

As a cybersecurity expert,

En tant qu’experte en cybersécurité,

I have worked with countless companies on improving their cybersecurity.

j’ai travaillé avec beaucoup d’entreprises pour améliorer leur cybersécurité.

Cybersecurity experts like me have advised companies

Les experts en cybersécurité comme moi ont conseillé les entreprises

on good cybersecurity practices,

sur les bonnes pratiques en matière de cybersécurité,

monitoring tools

les outils de suivi

and proper user behaviors.

et les bonnes attitudes à adopter.

But I actually see a much bigger problem that no tool can fix:

Mais je constate un problème bien plus grand qu’aucun outil ne peut résoudre :

the shame associated with the mistakes that we make.

la honte associée aux erreurs que nous faisons.

We like to think of ourselves as competent and tech savvy,

Nous aimons nous croire compétents et très forts en technologie.

and when we make these mistakes that can have a really bad impact

Quand nous faisons ces erreurs qui peuvent avoir un très mauvais impact

on us and our companies --

sur nous et nos entreprises –

anything from a simple annoyance,

n’importe lequel d’une simple gêne,

to taking a lot of time to fix,

à quelque chose qui prend du temps à être réparé

to costing us and our employers a lot of money.

et nous coûtera beaucoup d’argent à nous et à nos employeurs.

Despite billions of dollars that companies spend on cybersecurity,

Malgré les milliards que les entreprises dépensent en cybersécurité,

practitioners like me see the same problems over and over again.

les spécialistes comme moi constatent les mêmes problèmes, encore et encore.

Let me give you some examples.

Voici quelques exemples.

The 2015 hack of Ukrainian utilities

En 2015, le piratage des services publics ukrainiens,

that disconnected power for 225,000 customers

qui a entraîné la coupure de l’électricité pour 225 000 clients

and took months to restore back to full operations

et a pris des mois pour revenir à un fonctionnement normal,

started with a phishing link.

a commencé par un lien d’hameçonnage.

By the way, 225,000 customers is a lot more 225,000 people.

Au passage, 225 000 clients, c’est bien plus que 225 000 personnes.

Customers can be anything from an apartment building

Les clients sont aussi bien un immeuble d’habitation

to an industrial facility

qu’une usine

to a shopping mall.

ou un centre commercial.

The 2017 data breach of Equifax

En 2017, la violation des données d’Equifax

that exposed personally identifiable information

qui a divulgué les données personnelles

of 140 million people

de 140 millions de personnes

and may ultimately cost Equifax something on the order of 1.4 billion dollars:

et qui pourrait coûter au final à Equifax environ 1,4 milliard de dollars

that was caused by an exploitation of a well-known vulnerability

a été causée par l’exploitation d’une vulnérabilité bien connue

in the company's customer consumer complaint portal.

dans le portail des réclamations clients de l’entreprise.

Fundamentally, this is about technology and innovation.

Au fond, c’est une question de technologie et d’innovation.

Innovation is good; it makes our lives better.

L’innovation est une bonne chose ; elle améliore notre vie.

Most of the modern cars we drive today are fundamentally computers on wheels.

La majorité des voitures actuelles sont en réalité des ordinateurs sur roues.

They tell us where to go to avoid traffic, when to take them in for maintenance

Elles nous disent quand les faire réviser, comment éviter les embouteillages

and then give us all kinds of modern-day conveniences.

et nous offrent toutes sortes de fonctionnalités modernes.

Many people use connected medical devices like pacemakers

Plein de gens utilisent des systèmes médicaux connectés comme des pacemakers

and glucose monitors with insulin pumps.

et des moniteurs de glucose avec des pompes à insuline.

These devices make these people's lives better

Ces appareils améliorent leur vie

and sometimes even extend their lives.

et parfois même la prolongent.

But anything that can be interconnected can be hacked when it's connected.

Mais tout ce qui est interconnectable peut être piraté s’il est connecté.

Did you know that the former US Vice President Dick Cheney

Saviez-vous que l’ancien vice-président américain Dick Cheney

kept his pacemaker disconnected from Wi-Fi before he received a heart transplant?

avait déconnecté son pacemaker du Wi-Fi avant sa transplantation cardiaque ?

I will let you figure out why.

Je vous laisse deviner pourquoi.

In a digitally interconnected world, cyber risks are literally everywhere.

Dans un monde interconnecté au numérique, les cyber-risques sont partout.

For years, my colleagues and I have been talking about

Depuis des années, mes collègues et moi avons discuté

this elusive notion of cybersecurity culture.

de cette notion insaisissable de culture de la cybersécurité.

Cybersecurity culture is when everybody in the organization

La culture de la cybersécurité, c’est quand tout le monde

believes that cybersecurity is their job,

estime que la cybersécurité fait partie de son travail,

knows what to do and what not to do

sait ce qu’il faut faire ou non

and does the right thing.

et fait le nécessaire.

Malheureusement, je ne peux pas vous dire quelles entreprises y parviennent,

Unfortunately, I can't tell you which companies do this well,

because by doing so, I would put a juicy target on their backs

sinon j’en ferai une cible attirante

for ambitious attackers.

pour des pirates audacieux.

But what I can do is make cybersecurity less mysterious,

Mais ce que je peux faire, c’est rendre la cybersécurité moins mystérieuse,

bring it out into the open and talk about it.

la révéler au grand jour et en parler.

There should be no mystery or secrecy within an organization.

Il ne devrait pas y avoir de mystère ou de secret au sein d’une organisation.

When something is invisible and it's working,

Quand quelque chose est invisible et qu’elle fonctionne,

we don't know that it's there until it's not there.

on ne sait pas qu’elle existe jusqu’à ce qu’elle disparaisse.

Kind of like toilet paper.

Un peu comme le papier toilette.

When the COVID-19 pandemic began,

Quand la pandémie de COVID-19 a commencé,

what has been there all of a sudden became super important

ce qui avait toujours été là est soudainement devenu très important

because we couldn't find it anywhere.

car on ne pouvait en trouver nulle part.

Cybersecurity is just like that:

La cybersécurité, c’est comme ça :

when it's working, we don't know, and we don't care.

quand elle fonctionne, on ne le sait pas et on ne s’en soucie pas.

But when it's not working,

Mais quand elle est défaillante,

it can be really, really bad.

ça peut devenir extrêmement grave.

Toilet paper is pretty straightforward.

Le papier toilette, c’est assez simple.

Cybersecurity is mysterious and complex.

La cybersécurité, c’est mystérieux et complexe.

And I actually think it starts with the notion of psychological safety.

Je pense en fait que ça vient de la notion de sécurité psychologique.

This notion was popularized by an organizational behavior scientist,

Elle a été popularisée par une spécialiste du comportement organisationnel,

Amy Edmondson.

Amy Edmondson.

Amy studied behavior of medical teams in high-stakes situations like hospitals,

Amy a étudié le comportement des équipes médicales

dans des contextes à fort enjeu comme à l’hôpital,

where mistakes could be fatal.

où les erreurs peuvent être fatales.

And she found out that nurses were not comfortable

Elle a découvert que les infirmières n’étaient pas à l’aise

bringing up suggestions to the doctors

de faire des suggestions aux médecins

because of the fear of questioning authority.

à cause de la peur de remettre en question l’autorité.

Amy helped improve medical teams

Amy a aidé les équipes médicales à s’améliorer

to make nurses more comfortable bringing up suggestions to the doctors

pour que les infirmières fassent plus de suggestions aux médecins

for patient treatment

pour traiter les patients

without the fear of being scolded or demeaned.

sans craindre d’être grondées ou rabaissées.

For that to happen, doctors needed to listen and be receptive --

Pour que cela se produise, les médecins doivent écouter et être réceptifs –

without judging.

sans juger.

Psychological safety is when everybody is comfortable speaking up

La sécurité psychologique, c’est quand tout le monde est à l’aise pour s’exprimer

and pointing things out.

et signaler les choses.

I want cybersecurity to be the same.

Je veux qu’il en soit de même pour la cybersécurité.

And I want cybersecurity practitioners to be comfortable bringing suggestions up

Je veux que les professionnels de la cybersécurité

puissent faire des suggestions

to senior executives or software developers,

aux dirigeants ou aux développeurs,

without being dismissed as those people who continue to talk about

sans être catalogués comme les gens qui parlent

horrors and errors,

d’horreurs et d’erreurs

and say no.

et qui disent non.

Not doing so is really hard

Ne pas le faire, c’est très difficile

for the individuals who are responsible for the creation of digital products

pour les personnes chargées de créer des produits numériques

because fundamentally, it's about their pride and joy in their creations.

parce que dans le fond, il est question de fierté et de joie dans ce qu’ils créent.

I once tried talking to a senior software development executive

Un jour, j’ai essayé de parler avec un directeur informatique

about the need to do better security.

de la nécessité d’améliorer la sécurité.

Vous savez ce qu’il m’a dit ?

You know what he said?

"Are you telling me we're developing insecure code?"

« Vous me dites que nous développons du code non sécurisé ? »

In other words, what he heard was, "Your baby is ugly."

En d’autres termes, il a entendu : « Votre bébé est hideux ».

What if instead of focusing on what not to do,

Et si au lieu de se focaliser sur ce qu’il ne faut pas faire,

we focused on what to do?

on se préoccupait de ce qu’il faut faire ?

Like, how do we develop better software

Par exemple, comment développer de meilleurs logiciels

and protect our customer information at the same time?

tout en protégeant les données de nos clients ?

Or how do we make sure that our organization is able to operate

Ou comment faire en sorte que notre organisation soit capable de fonctionner

in crisis, under attack or in an emergency?

en cas de crise, d’attaque ou d’urgence ?

And what if we reward good things that people do in cybersecurity in some way

Et si on récompensait ce que les gens font de bien pour la cybersécurité

and encourage them to do so,

et on les encourageait en ce sens,

like reporting security incidents,

par exemple à signaler des incidents de sécurité,

reporting potential phishing emails,

des courriels d’hameçonnage potentiels

or finding and fixing software security bugs

ou à trouver et corriger les bogues de sécurité

in the software that they develop?

dans les logiciels qu’ils développent ?

And what if we tied these good security actions to performance evaluations

Et si on faisait un lien entre ces bonnes actions et les évaluations de performance

to make it really matter?

pour leur donner une vraie importance ?

I would love for us to communicate these good cybersecurity things

J’aimerais qu’on communique sur ces bonnes pratiques de cybersécurité

et les encourager dans des communications au sein de l’entreprise :

and encourage them in some sort of company-wide communications

like newsletters, blogs, websites, microsites --

newsletters, blogs, sites Web, micro sites –

whatever we use to communicate to our organization.

tout ce qu’on utilise pour communiquer dans notre organisation.

What if a company announced a competition for who finds the most security bugs

Et si une entreprise lançait un concours pour trouver le plus de bugs de sécurité,

and fixes them in a two-week development sprint

les corriger dans un sprint de développement de deux semaines

and then announces the winner of the competition for the quarter

puis annonçait le gagnant du concours pour le trimestre

at a large company virtual town hall,

à l’assemblée générale virtuelle de cette grande entreprise,

and then rewards these people, these winners, with something meaningful,

et récompensait ensuite les gagnants en leur offrant une récompense conséquente,

like a week's vacation or a bonus.

comme une semaine de vacances ou une prime.

Others will see the celebration and recognition,

Les autres verront la récompense et la reconnaissance

and they'll want to do the same.

et ils voudront faire de même.

In the energy industry,

Dans le secteur de l’énergie,

there is a really strong culture of safety.

la culture de la sécurité est très forte.

People care about this culture, are proud of it,

Les gens y tiennent, en sont fiers

and there is a collective reinforcement of this culture

et renforcent collectivement cette culture

to make sure that nobody gets hurt.

pour s’assurer que personne ne soit blessé.

One of the ways they exhibit and keep this safety conscious culture going

L’une des façons de montrer et de maintenir cette culture de la sécurité,

is by counting and visibly displaying days since the last safety incident.

c’est de compter et afficher les jours depuis le dernier incident de sécurité.

And then everybody works really hard not to have that count go back to zero

Tout le monde s’efforce de ne pas laisser ce chiffre revenir à zéro,

because that means that somebody did get hurt.

car cela signifie que quelqu’un a été blessé.

Cybersecurity is the same as safety.

La cybersécurité, c’est pareil que la sécurité.

What if we all agree

Et si nous acceptions tous

to keep that count of days since the last cybersecurity incident

que le décompte des jours depuis le dernier incident de cybersécurité

going on forever

soit permanent

and then work really hard not to have it reset to zero?

et que nous nous efforcions de ne pas le remettre à zéro ?

And then certain things are a no-no,

Et puis certaines choses sont à proscrire,

and we need to clearly communicate to our organizations what they are

et nous devons clairement les communiquer dans nos organisations

in an easily digestible and maybe even fun way,

d’une manière simple à assimiler, peut-être même amusante,

like gamification or simulations,

comme la ludification ou les simulations,

to make sure that people can remember this.

pour s’assurer que les gens puissent s’en souvenir.

And if somebody does something they're not supposed to do,

Et si quelqu’un fait une chose qu’il n’est pas censé faire,

they should face some sort of consequences.

il doit en subir les conséquences.

So, for example, if an employee buys equipment on Amazon or eBay

Ainsi, par exemple, si un salarié achète du matériel sur Amazon ou eBay

or uses personal Dropbox for their company business,

ou utilise sa Dropbox personnelle pour les activités de son entreprise,

then they should face some sort of consequences.

il doit en subir les conséquences.

And when this happens, executives should get the same treatment

Si cela arrive, les dirigeants doivent être traités de la même manière

as regular employees,

que les autres salariés,

because if they don't, then people won't believe that it's real

sinon les gens ne prendront pas ça au sérieux

and will go back to their old behaviors.

et reprendront leurs anciens réflexes.

It's OK to talk about mistakes,

Il n’y a pas de mal à parler de ses erreurs,

but just like a teenager who violates the rules tells us about it,

mais tout comme un adolescent qui enfreint les règles et nous le dit,

we appreciate that they told us about it,

nous le remercions de nous en avoir parlé,

but there should still be some sort of consequences.

mais il doit quand même en assumer les conséquences.

Cybersecurity is a journey.

La cybersécurité est une aventure.

It's not a destination,

Ce n’est pas une fin en soi

and we need to keep working on it.

et il faut y travailler constamment.

I would love for us to celebrate cybersecurity people

J’aimerais que nous célébrions les acteurs de la cybersécurité

like the heroes that they are.

tels les héros qu’ils sont.

If we think about it, they are firefighters,

Si l’on y réfléchit bien, ils sont des pompiers,

emergency room doctors and nurses,

des médecins et des infirmières urgentistes,

law enforcement, risk executives and business strategists

des policiers, des gestionnaires de risques et de stratégie d’entreprise,

all in the same persona.

tout cela à la fois.

And they help us protect our modern life that we like so much.

Ils nous aident à protéger la vie moderne que nous aimons tant.

They protect our identities, our inventions, our intellectual property,

Ils protègent notre identité, nos inventions, la propriété intellectuelle,

our electric grid, medical devices,

notre réseau électrique, nos appareils médicaux,

connected cars and myriad other things.

nos voitures connectées et une myriade d’autres choses.

And I'd like to be on that team.

J’aimerais faire partie de cette équipe.

So let's agree that this thing is with us to stay,

Alors convenons que la cybersécurité est avec nous pour rester,

let's create a safe environment to learn from our mistakes,

créons un cadre sécurisé pour apprendre de nos erreurs

and let's commit to making things better.

et engageons-nous à améliorer les choses.

Thank you.

Merci.