#noussommesNAVCANADA

Le 31 octobre, 2018

Portrait des risques de cybersécurité par Tom Bornais

Tom Bornais, directeur du Bureau de la sécurité des technologies de l’entreprise, joue un rôle de leader et de conseiller dans la gestion des nombreux risques de cybersécurité qui menacent NAV CANADA.

Octobre 2018 marque le 15e anniversaire du Mois de la sensibilisation à la cybersécurité au Canada, qui vise à conscientiser la population à l’importance de la cybersécurité. Cette question prend une place de plus en plus importante dans tous les secteurs de l’économie mondiale, et l’aviation ne fait pas exception : elle doit impérativement accroître sa cyber-résilience. À la lumière des discussions sur le risque de cyberattaques dans le secteur de l’aviation, il est indéniable que la collaboration entre NAV CANADA, les aéroports, les compagnies aériennes et les autres parties prenantes est essentielle à une bonne préparation aux problèmes et aux défis qui nous attendent.

Notre collègue Tom Bornais, directeur du Bureau de la sécurité des technologies de l’entreprise, nous dresse le portrait de la cybersécurité dans le secteur de l’aviation et nous présente les efforts déployés par NAV CANADA pour renforcer sa résilience face aux menaces.

Tom, parlez-nous de votre rôle à NAV CANADA.

En collaboration avec tous les groupes, principalement l’Ingénierie, je joue un rôle de leader et de conseiller dans la gestion des nombreux risques de cybersécurité réels et potentiels qui menacent une organisation comme la nôtre. Mais bien sûr, je ne travaille pas tout seul : je peux compter sur une direction extraordinaire, une équipe et des pairs ayant la collaboration à cœur, et énormément de soutien du reste de l’organisation. Notre programme ne se limite pas aux technologies et aux contrôles de cybersécurité : nous mettons en œuvre une approche globale fondée sur les risques et adaptée à notre contexte organisationnel.

À quel point le risque de cyberattaques dans le secteur de l’aviation est-il sérieux ?

Fournisseurs de services de navigation aérienne, fabricants et transporteurs : nous avons tous un rôle à jouer dans la cybersécurité. La priorité numéro un est bien entendu la sécurité, mais nous devons également tenir compte des éventuelles atteintes à la réputation, de la continuité et de la résilience de nos activités, ainsi que de la protection des données sensibles de l’entreprise et des renseignements personnels et privés que nous conservons.

La plupart des organisations savent que les cyberattaques augmentent non seulement en nombre, mais aussi en force et en complexité. Sans nier l’importance des capacités de défense, nous devons absolument être le mieux préparés possible en cas d’atteinte à la sécurité.

D’après vous, pourquoi quelqu’un voudrait-il attaquer un fournisseur de services de navigation aérienne ?

Bonne question. Malheureusement, nous sommes une cible de choix pour plusieurs bonnes raisons. Toutes les organisations de même envergure que la nôtre représentent une cible toute désignée pour les suspects habituels : le crime organisé, qui souhaite nous exploiter financièrement ; les hacktivistes, qui veulent nous utiliser pour faire avancer leur cause ; les pirates, qui cherchent simplement à se faire un nom ; les États, qui veulent nous espionner pour voler notre propriété intellectuelle ; et les opportunistes, qui ne cherchent qu’à profiter d’une bonne occasion. Ce sont les scénarios les plus plausibles.

Cela dit, pour revenir à ce qui fait d’un fournisseur de services de navigation aérienne une cible de choix, je dirais que nous sommes considérés comme une infrastructure critique qui fournit des services essentiels. Si un incident cybernétique nous forçait à interrompre nos services, que ce soit du côté des activités ou de l’entreprise, les répercussions pourraient être considérables, selon l’ampleur du problème.

Carte mondiale des menaces générée en temps réel à partir des données recueillies par Kapersky Lab et son réseau de sécurité.

Il semblerait que la collaboration, particulièrement avec les partenaires du secteur, soit efficace dans la protection contre les cyberattaques. Qu’en pensez-vous ?

Je suis tout à fait d’accord. NAV CANADA tient chaque année un sommet sur la cybersécurité, auquel elle convie de nombreux acteurs du secteur de l’aviation. Le nombre de participants croît exponentiellement d’une année à l’autre. C’est le signe que tous s’entendent sur le fait que l’union fait la force (le thème du sommet de l’an dernier). Nous gérons tous des cyberincidents régulièrement et différemment – pourquoi ne pas apprendre les uns des autres ? Grâce à l’échange de renseignements, notamment, nous pouvons éviter que l’un de nous devienne la prochaine cible.

Notre chef de la direction de l’information, Claudio Silvestri, a  énormément contribué à l’établissement d’importants partenariats en la matière au fil des ans. La collaboration en cybersécurité a récemment atteint un sommet : les principaux aéroports et transporteurs et certains fournisseurs de services de navigation aérienne se concertent désormais sur les enjeux propres au secteur de l’aviation. Il ne fait aucun doute que nous profitons tous des fruits de cette collaboration.

Et parlant de collaboration, j’ajouterais que nous participons activement aux initiatives d’organisations gouvernementales comme le Centre canadien de réponse aux incidents cybernétiques et à de nombreux services de signalement des menaces.

Outre l’échange de renseignements avec nos partenaires, que fait NAV CANADA pour accroître la cybersécurité ?

Sensibilisation, formation, évaluations de tiers, gestion des risques en continu, sans oublier un engagement ferme à protéger nos employés, au travail comme à la maison. La pierre angulaire de notre programme est toutefois le Centre des opérations de sécurité, où un flux constant d’information et de registres de sécurité est consigné dans un système de gestion des événements liés à la sécurité de l’information. Il s’agit en fait d’un écosystème de surveillance et d’alertes mettant à profit le meilleur de l’intelligence artificielle et de l’apprentissage automatique. Le système met en relation une quantité toujours croissante de données afin d’aider nos analystes de la sécurité à se concentrer sur les événements importants et à repérer les anomalies auxquelles il faut s’attarder.

Un peu comme quand notre fournisseur de carte de crédit nous appelle après avoir repéré des transactions inhabituelles dans notre compte ?

Oui, exactement.

L’apprentissage automatique et l’intelligence artificielle sont d’une grande aide, mais ils n’en sont qu’à leurs balbutiements dans le domaine de la cyberdéfense. Parmi nos initiatives de cybersécurité, mentionnons aussi les évaluations des risques de menaces, notamment les tests d’intrusion et d’ingénierie sociale. Le personnel représente souvent la meilleure protection contre les atteintes à la cybersécurité ; c’est pourquoi il est tout aussi important de prendre les devants en lui montrant les protocoles et les politiques de cybersécurité. Nous veillons à ce que tous soient informés et préparés, et à ce que notre approche préventive et défensive soit bien intégrée à notre culture organisationnelle.

On entend souvent que les cyberattaques sont si fréquentes que la question n’est plus de savoir « si », mais bien « quand » elles se produiront. Est-ce bien la réalité ?

Oui. Pour nous remettre rapidement d’une attaque, nous devons nous entraîner à intervenir quand l’inévitable surviendra, par exemple par des exercices de simulation. L’objectif est bien sûr de détecter les menaces et de remettre les systèmes en état le plus vite possible. Nous voulons reprendre rapidement nos activités après une éventuelle attaque.

Beaucoup d’organisations transforment leur culture en matière de cybersécurité. De notre côté, notre culture « la sécurité avant tout » est bien établie, et j’ai pour priorité d’atteindre un même niveau de conscientisation par rapport à la cybersécurité.

0 Comments

À suivre

Parlons drones avec Brian Guimond

Vu la croissance de l’industrie des RPAS et la nouvelle réglementation de ces appareils proposée au pays, NAV CANADA collabore avec s...

Abonnez-vous