Note : 4 ; Où l’on débusque effectivement (beaucoup) de mythes, mais en s’égarant bien trop souvent !

Au premier regard, l’ouvrage n’attire guère l’attention si ce n’est par l’illustration de la couverture assez médiocre. L’avant-propos écrit par Vint Cerf interpelle beaucoup plus : il s’agit de l’inventeur du protocole TCP/IP ! En fait, les auteurs sont tous de grosses pointures, l’un d’entre eux a pratiquement créé le domaine de la cybersécurité. Est-ce cette aura qui lui a permis d’inclure dans le livre des illustrations réalisées par sa fille ? En tout état de cause, cet élément n’est pas une réussite.

Nous avons là un texte très dense, aussi bien par la rareté des illustrations (une bonne chose, dans le cas présent) que par le propos lui-même. Il ne faut donc pas se laisser surprendre par la taille assez modérée de l’ouvrage qui compte 330 pages. Pour ce total nous avons 16 chapitres répartis sur 4 parties, donc une structure plutôt engageante.

La première d’entre-elles sert de prologue pour camper des éléments de contexte sur l’Internet et la cybersécurité. Elle compte 2 chapitres sur un peu plus de 55 pages. Le premier chapitre aborde les caractères généraux de la cybersécurité. J’en retiens les principes de Robert Courtney sur la gestion de la cybersécurité. Malgré qu’il s’agisse d’un chapitre d’introduction assez général, les auteurs nous assènent quand même quelques mythes assez lourds tels que « le premier but de la cybersécurité est la sécurité »… de quoi bien nous appâter pour la suite ! On ne voit venir certains (le produit X vous permettra d’être sécurisé), mais pour d’autres c’est moins évident (l’open-source est plus sécurisé que le closed-source). Un bon chapitre ! Le second chapitre est le complément du premier : « qu’est-ce que l’internet ? ». Le propos tourne beaucoup autour du protocole de communication. Les auteurs semblent avoir une dent contre la blockchain, ils lui réservent quelques mythes, ainsi qu’au Dark Web qui ne serait pas si dark… Mais finalement, pas tant de mythes au niveau TCP/IP qui est pourtant une vraie passoire !

La seconde partie est consacrée au volet humain, et ce sont 5 chapitres sur 110 pages qui lui sont consacré ! Le chapitre 3 s’attaque aux hypothèses erronées et à la « pensée magique ». Le chapitre accorde une large part aux biais cognitifs, à la sagesse des foules et de manière générale à notre part d’irrationnel ! Beaucoup des mythes qui figurent dans ce chapitre sont assez anciens mais quelques-uns sont moins évidents comme le mythe sur la disponibilité « 5 nine » ou « plus de sécurité est toujours mieux ». Le chapitre 4 consacré aux incompréhensions est plus pointu, ils nous emmène vers les fondamentaux du forensiques. On y parle de causalité (ça va encore) mais aussi de statistiques et de probabilités qui sont associés à certains biais cognitifs (on n’en avait pas fini avec eux). Malgré les efforts évidents des auteurs pour rendre cela accessible, le propos est quand même un peu aride.

Le chapitre 5 s’écarte quelque peu de la structure « mythes » qui gouverne le reste de l’ouvrage pour développer la question des biais cognitifs et de la manière dont ils se manifestent dans l’univers de la cybersécurité. Pour ceux qui n’ont pas lu Kahneman, c’est sans doute une édification très utile. Mais on apprend peu de choses par rapport à « Thinking Fast and Slow ». Le chapitre 6 rassemble nombre de « fausses bonnes idées » auxquelles les auteurs font référence avec le « Cobra Effect », lorsque les autorités Britanniques en Inde ont décidé d’accorder une prime pour désinfecter des régions des cobras, ce qui donna naissance à des élevages de cobras ! Nous avons une belle liste de mythes avec les « bugs bounties », les vendeurs de solutions logicielles, les assurances cyber et bien d’autres choses. J’avoue que l’on se régale bien avec ce chapitre. Le chapitre 7 qui clôt cette seconde partie est un melting pot sur les solutions aux problèmes cyber. On y parle choix des solutions, certifications, échecs de sécurisation et de bien autres choses. C’est un peu décousu mais le message est cohérent: en matière de cybersécurité il n’y a pas d’absolu et il faut savoir faire avec des situations imparfaites !

La 3ème partie s’intitule « contextual issues », ce qui signifie que de nombreux sujets différents y seront traités. En l’occurrence ils occuperont 6 chapitres sur 120 pages. Le chapitre 8 qui ouvre cette partie évoque les limites des analogies et des abstractions. Nous avons là une belle brochette de mythes, avec un nombre important comparant le monde cyber au monde physique, ce qui facilité par l’emploi de mots emprunts au monde physique : « firewall », « bug », etc. Le chapitre fait un bon boulot en pointant les limitations de ces modèles empruntés au monde de la médecine ou du conflit armé, par exemple. Les issues juridiques sont au menu du chapitre 9. Un nombre important des points évoqués sont spécifiques de la législation américaine, ce qui en limite un peu l’intérêt. Le propos peut en parti être transposé dans nos contrées, d’autant que l’aspect transfrontalier des attaques cyber y est évoqué.

Au chapitre 10 sont évoqués les outils. Nombres de mythes qui y sont répertoriés n’ont déjà pas passé l’épreuve du temps : configuration, ajout d’outils ad nauseam, etc. Je reste un peu sur ma faim ici. Les vulnérabilités sont au menu du chapitre 1&. On notera que dans la « guerre » MITRE vs NVD, les auteurs campent côté MITRE. Le mythe le plus intéressant concerne sans doute les vulnérabilités zéro day, pourtant l’un des épouvantails cyber. Le propos est globalement très fouillé, la plupart des mythes étant en fait des prétextes pour rentrer en profondeur dans le sujet qui est fort bien exposé.

Au chapitre 12, il est question de malwares. Il y a plusieurs façons d’attaquer le sujet, du côté des outils, des méthodes d’attaques ou de diffusion, etc. Cela donne une petite impression de décousu au chapitre mais qui globalement s’en sort très bien. Le chapitre 13 explore les « forensiques », les autopsies d’attaques. C’est un sujet très vaste. On retiendra surtout de cette partie les délais très longs entre une attaque et sa découverte et la difficulté de remédiation. Quant à l’attribution des attaques, on le sait déjà, dans le meilleur des cas, elle est très difficile…

La dernière partie du livre est consacré aux données. Elle couvre 3 chapitres sur une cinquantaine des pages. Le chapitre 14 ouvre celle-ci et va évoquer les statistiques. En fait il est peu question de mythes dans ce chapitre, mais plutôt du développement de l’utilisation des probabilités dans le contexte cyber. Le propos est d’excellente qualité, mais assez pointu. Il est question de visualisation au chapitre 15. Là encore, les mythes sont un prétexte au développement du propos des auteurs, et celui-ci est tout à fait intéressant : une bonne visualisation peut mettre en évidence des problèmes, tandis qu’une mauvaise peut être contre-productive tout en donnant une illusion de contrôle… Le chapitre 16 qui clôt l’ouvrage nous propose des méta-mythes et des méta-recommandations. Une bonne manière de synthétiser le propos.

Le livre est vraiment très dense, ce n’est clairement pas une lecture en dilettante. Ce n’est pas non plus un premier livre sur la cybersécurité, il est préférable de connaitre un minimum de fondamentaux pour l’aborder. Mon sentiment final est mitigé, car certes les auteurs nous prennent à contrepieds un bon nombre de fois, mais je n’ai pas eu le « ha ha » moment auquel je m’attendais.

Référence complète : Cybersecurity Myths and Misconceptions – Eugene H. Spafford, Leigh Metcalf & Josiah Dykstr – Addison Wesley 2023 – ISBN : 9780137929238