Dans les coulisses de la rédaction du 4e Livre Blanc « Cybersécurité & Innovations »

Aux côtés de deux autres étudiants de la promo 2022 de l’EPITA, Paul a participé à la rédaction du 4e Livre Blanc « Cybersécurité & Innovations » réalisé à la suite de l’édition 2021 des Assises de la Cybersécurité organisées à Monaco en octobre dernier. Une expérience enrichissante pour ce futur ingénieur de la Majeure Système, Réseau et Sécurité (SRS) qui aspire à rejoindre les forces cyber de la France.

De gauche à droite : les trois étudiants du projet en compagnie de Marie Moin, directrice de SECURESPHERE by EPITA, Philippe Dewost, directeur général de l’EPITA, Florence Puybareau, directrice de la communication des Assises de la Cybersécurité, et Joël Courtois, directeur du Projet Cyber de l’EPITA

Comment t’es-tu retrouvé à prendre part à la rédaction de ce Livre Blanc ?

Paul : Tous les ans, dans le cadre du cursus en SRS, les étudiants travaillent sur la rédaction du Livre Blanc avec Florence Puybareau (la directrice de la communication des Assises de la Cybersécurité). Cela se fait en trois temps. D’abord, on identifie en amont les acteurs selon le thème choisi par l’organisation des Assises de la Cybersécurité. Puis, dans un second temps, une poignée d’étudiants – dont j’ai pu faire partie – se rend à Monaco pour couvrir l’événement, en assistant notamment à des ateliers donnés sur place et en réalisant des interviews de personnalités présentes. Quant au reste de la promotion restée à Paris, elle s’est occupée de suivre les conférences diffusées sur Internet. Tout cela a permis de dresser un état des lieux exhaustif sur ce qui a pu se dire lors de ces quelques jours pour, lors de la dernière étape, regrouper le tout et ensuite rédiger le Livre Blanc.

Participer aux Assises de la Cybersécurité en tant qu’étudiant, ça doit forcément être intéressant, non ?

J’ai vraiment apprécié ces trois jours. Bien entendu, côtoyer autant de directeurs et responsables des systèmes d’information (RSSI) était un peu intimidant au début, mais cela s’estompe rapidement. En effet, avoir un rôle quasi journalistique pour le Livre Blanc vous oblige à aller à la rencontre des gens. J’ai d’ailleurs eu la chance de pouvoir prendre part à un cocktail organisé durant l’une des soirées des Assises et ainsi faire la connaissance de beaucoup de monde, pour me présenter et, surtout, présenter notre démarche. Aborder ce sujet facilite tout de suite le premier contact ! J’ai alors pu croiser des personnes occupant toute sorte de métiers dans la cybersécurité et elles étaient toutes disposées à me parler.

En plus de ces rencontres, les ateliers et les conférences sont aussi très intéressants à suivre, notamment pour les retours d’expérience. Cela vous permet de découvrir un produit innovant en matière de sécurité à travers l’intervention d’un prestataire de service et d’utilisateurs. Vous apprenez comment cela fonctionne, les caractéristiques, etc. Certains RSSI posent des questions très concrètes sur la potentielle application du service dans leur entreprise, avec un contexte très particulier… C’était une expérience très enrichissante. Enfin, l’événement accueillait également un endroit dédié aux startups et plusieurs m’ont vraiment intéressé. J’en retiens notamment une, Glimps, dont l’objectif est d’améliorer les capacités des ingénieurs en retro engineering via l’intelligence artificielle !

À propos des conférences et ateliers, lequel t’as le plus marqué ?

Comme je m’intéresse énormément au sujet de la souveraineté numérique, un domaine majeur de ces prochaines années à mes yeux, j’ai évidemment ciblé les conférences dédiées ! Parmi elles, il y avait une table-ronde vraiment géniale avec Philippe Latombe, le député de la Vendée, qui est particulièrement sensible à la question, et l’entrepreneur Tariq Krim. Les voir échanger sur ce sujet était passionnant.

Ces rencontres t’ont-elles servi en tant que futur professionnel ?

Bien sûr ! D’ailleurs, j’effectue actuellement mon stage de fin d’études chez Intrinsec, une entreprise que j’ai justement découverte à Monaco ! Elle y présentait une enquête qu’elle avait pu mener contre un responsable d’une entreprise alors suspecté de mettre en vente des données sur des forums. La présentation expliquait comment Intrinsec s’y était pris pour remonter la piste, parvenir à identifier le revendeur et transmettre ensuite le dossier aux autorités… Un travail passionnant ! J’en ai profité pour garder contact avec la présentatrice, qui m’a ensuite coopté pour faire ce stage.

Quelle sont tes missions chez Intrinsec ?

Au début, je faisais essentiellement de la surveillance de périmètre : en effet, Intrinsec a de gros clients ayant souvent d’énormes systèmes d’information, avec des équipes disséminées de par le monde. Pour ces clients, il est parfois difficile de tout contrôler, de vérifier que leur système n’est pas exposé à un danger, de savoir si des prestataires exposent des données ou services qui ne devraient pas l’être… C’est là que j’intervenais : mon rôle était de surveiller tout ça et d’alerter le plus rapidement possible les entreprises quand des choses étaient exposées et pouvaient être exploitées à des fins malveillantes. Pour cela, j’utilisais notamment beaucoup d’outils internes très avancés. Depuis, mes missions ont évolué. Même si je procède toujours à de la surveillance de périmètre, je fais plus généralement de la CTI (Cyber Threat Intelligence). Je suis donc aussi amené à faire de la veille technologique et de vulnérabilités sur les TTPs (Technics, Tactics & Procedures) des attaquants. En bref, je fais du renseignement sur la menace cyber dans tous ses aspects.

Qu’est-ce qui te plaît autant dans la cybersécurité ?

Le fait que les mêmes compétences puissent être utilisées de manière différente selon que l’on soit attaquant ou défenseur même si, dans cet univers, les défenseurs ont très souvent bien plus de travail que les attaquants. De fait, je savais qu’en choisissant ce domaine, je trouverais toujours du boulot. Mais-au-delà de ça, le côté fondamental de la cyber me plaît aussi énormément : il y a une réelle nécessite de prendre du recul sur des systèmes pour identifier les failles, vulnérabilités et défauts de conception afin de les exploiter ou non suivant son métier.

Quel serait le métier de tes rêves ?

À court terme, j’aimerais travailler dans la sphère publique, que ce soit dans l’armée, à l’ANSSI ou au sein de la police comme de la gendarmerie, pour évoluer dans les cercles de la défense et de la souveraineté numérique, mais aussi parce ces instituions disposent de moyens considérables par rapport au privé. Par moyens, je parle aussi de la législation : l’État peut faire plus de choses qu’un acteur privé. Les enjeux sont également complètement différents. Au final, mon métier de rêve serait avant tout lié au fait de pouvoir mettre mes compétences au service de la France et de ses citoyens.

Découvrez le 4e Livre Blanc « Cybersécurité & Innovations » avec l’EPITA