L’optimisme à long terme du CISO de Google Cloud pour la cybersécurité

Google figure parmi les plus grands fournisseurs d’infrastructures technologiques au monde, englobant des solutions de stockage, d’applications et de services basés sur le cloud. Dans son dernier rapport trimestriel, Google Cloud a été l’un des principaux moteurs de croissance pour l’entreprise, enregistrant une augmentation des revenus de 35 % par rapport à l’année précédente, avec un bénéfice opérationnel de 1,9 milliard de dollars. Une plateforme de cette envergure nécessite des défenses en cybersécurité de premier ordre. J’ai eu l’occasion d’échanger avec Phil Venables, CISO de Google Cloud et reconnu dans la liste CIO Next 2024 de Forbes, sur la manière dont il assure la protection contre ces menaces pour Google et ses clients cloud.

Cette conversation a été abrégée pour des raisons de longueur, de clarté et de continuité. Elle a été extraite de la newsletter CIO de Forbes.

Comment se porte le secteur de la cybersécurité actuellement ?

Venables : Nous constatons que des clients de toutes tailles sont de plus en plus victimes d’attaques, qu’il s’agisse de logiciels de rançon, de crimes financiers, voire d’espionnage. Un nombre croissant d’organisations migrent vers Google Cloud pour améliorer leur sécurité. Beaucoup d’entre elles constatent une augmentation de leur sécurité et de leur résilience en s’adaptant à un environnement cloud mieux défendu.

Nous avons une entreprise de réponse aux incidents assez conséquente, issue de notre acquisition de Mandiant. Cela crée des opportunités pour nos clients, qui, après avoir traversé un incident, peuvent ensuite collaborer avec nous pour identifier des moyens de mieux se défendre dans le cloud. Les organisations modernisent souvent leur infrastructure technologique, en privilégiant des plateformes plus défendables où la sécurité est intégrée dès le départ plutôt que d’être ajoutée ultérieurement. Bien que certaines optent pour des centres de données sur site, beaucoup modernisent vers le cloud.

Quelles sont les principales difficultés rencontrées pour fournir une plateforme aussi sécurisée ?

Nous avons une infrastructure globale cohérente pour Google, y compris l’immense infrastructure qui soutient Google Cloud. Nous intégrons la sécurité dans cette structure, qu’il s’agisse des câbles sous-marins que nous exploitons ou du matériel propriétaire que nous utilisons pour construire nos centres de données, tous équipés de puces de sécurité spécifiques fournissant une couche de sécurité fondamentale.

Nous gérons également notre chaîne d’approvisionnement logicielle. Tous nos déploiements logiciels sont sous le contrôle de Google, et nous investissons énormément de temps et d’efforts pour intégrer et tester la sécurité. Nous avons des équipes d’évaluation internes qui valident constamment la sécurité et cherchent toujours à l’améliorer, tirant parti de notre perspective inégalée sur les menaces grâce à nos équipes de renseignement sur les menaces.

Toutefois, la sécurité est un processus en constante évolution face à de nouvelles attaques. Notre objectif est de concevoir une plateforme capable de contrer l’ensemble des classes d’attaques tout en étant rapide à moderniser notre environnement en réponse à de nouvelles menaces. Nous considérons maintenant le monde en termes de destin partagé. Le modèle de responsabilité partagée dans le cloud nous semble insuffisant, c’est pourquoi nous communiquons sur un concept que nous appelons « destin partagé » : comment collaborer avec nos clients pour les aider à assurer leur sécurité dans le cloud ?

Quelles sont, selon vous, les plus grandes menaces actuelles en matière de cybersécurité ?

De façon honnête, de nombreuses menaces sont opportunistes. Les attaquants de logiciels de rançon se concentrent généralement sur des cibles présentant des vulnérabilités qu’ils peuvent exploiter. Un aspect majeur de notre partenariat avec les organisations est de les aider à atteindre un niveau de sécurité de base plus élevé, également connu sous le nom de « cybersécurité de base ». Cette base de contrôle permet d’éviter que les attaquants ne trouvent une opportunité facile d’agir.

Il existe également des attaques plus avancées, où des acteurs étatiques ciblent des organisations dans un but d’espionnage ou d’influence. Certains de ces acteurs s’attaquent à des infrastructures critiques via des systèmes vulnérables. Bien que cela concerne principalement des cibles opportunistes, un petit segment d’attaquants sophistiqués se concentre sur les infrastructures critiques, les entreprises de défense et d’autres cibles avec des attaques plus élaborées.

Comment Google Cloud, en pleine croissance, pose-t-il des défis en matière de sécurité ?

Le défi principal réside dans notre capacité à soutenir le nombre croissant de clients. Nous y parvenons en veillant à construire une plateforme sécurisée et des outils qui permettent à davantage de clients de renforcer leur sécurité sans nécessiter beaucoup d’assistance de notre part. Cela reflète l’adoption croissante du cloud, qui est souvent plus facile à sécuriser, grâce à la variété des outils que nous fournissons et au degré de normalisation. Une partie substantielle des systèmes informatiques mondiaux est encore afférente à des centres de données obsolètes, difficiles à protéger. L’opportunité réside dans le fait d’aider ces environnements à évoluer vers le cloud, ce qui nous permet de continuer d’élargir notre portée et de soutenir nos clients.

Quel est l’impact de l’IA sur la cybersécurité ? Est-elle un obstacle ou un atout ?

Globalement, nous considérons qu’il s’agit d’une opportunité majeure. Nous utilisons déjà des formes d’IA, notamment l’apprentissage machine, depuis plus d’une décennie pour renforcer notre défense en cybersécurité. Par exemple, si vous utilisez Gmail, c’est grâce à l’IA que votre boîte de réception n’est pas inondée de spam. Dans le cas de Chrome, notre système de navigation sécurisée repose également sur l’IA pour éviter les sites malveillants.

La vague actuelle de l’IA générative représente également une transformation significative. Bien qu’elle puisse introduire des risques – les attaquants l’utilisant pour créer de meilleures tentatives de phishing ou de fausses informations –, il existe aussi des moyens de contrebalancer cela. Nous travaillons avec les utilisateurs et le secteur pour développer des solutions.

Mais l’IA représente avant tout ce que nous appelons un « avantage du défenseur ». Elle permet d’améliorer la compréhension des menaces. Nous avons créé un modèle de langage spécifique à la sécurité et partagé nos meilleures pratiques avec nos clients afin qu’ils puissent bénéficier de notre expertise en matière de sécurité. On nous entend parfois dire que Google peut devenir une partie de l’équipe de sécurité de nos clients – c’est une dimension importante de notre approche.

Où se situent les plus grands risques de cybersécurité liés à l’IA ?

Le principal risque réside actuellement dans la création de fausses voix ou vidéos pour tromper les individus. Nous observons une augmentation des cas où des groupes criminels organisés parviennent à capturer la voix ou l’image d’une personne pour générer un avatar réaliste utilisé dans des processus frauduleux. Cependant, ces risques peuvent être atténués par d’autres contrôles de sécurité ou des technologies de détection des deepfakes.

Pour l’instant, nous n’avons pas encore constaté d’attaquants utilisant l’IA pour générer des malwares ou concevoir de nouvelles formes d’attaques. Il est inévitable que cela arrive, c’est pourquoi il est crucial pour les organisations d’adopter l’IA pour renforcer leurs défenses et rester en avance sur les potentiels attaquants.

Y a-t-il eu des évolutions qui ont complexifié votre travail et poussé vos mesures de sécurité à être révisées ?

Il ne faut pas s’étonner de notre vigilance, compte tenu de notre envergure et de la diversité des entreprises et des personnes que nous soutenons à l’échelle mondiale. Nous testons en permanence nos systèmes en fonction de l’évolution des menaces. La priorité de nos efforts se concentre aussi sur les normes ouvertes et les meilleures pratiques à partager au sein de l’industrie. Nous avons plaidé et introduit des améliorations de sécurité dans Gmail, lancé des clés d’accès pour renforcer l’authentification et cofondé des initiatives telles que la Coalition pour une IA sécurisée, permettant à l’industrie de partager ses meilleures pratiques.

Cette démarche revêt une dimension altruiste, car notre mission est d’améliorer le monde, tout en renforçant la confiance dans l’infrastructure cloud, ce qui du même coup renforce notre entreprise.

Comment envisagez-vous la cybersécurité dans dix ans ?

Je me décrirais comme pessimiste à court terme, mais optimiste à long terme. À court terme, de nombreuses organisations n’ont pas modernisé leur technologie. Elles continuent d’utiliser des infrastructures obsolètes qui engendrent des problèmes de sécurité. Je pense que nous allons assister à une augmentation des attaques dans les prochaines années.

Néanmoins, en matière de perspectives à long terme, alors que nous collaborons avec des organisations à l’échelle mondiale – des conseils d’administration aux CEO, et pas seulement aux CIO et aux CISO – tous reconnaissent que la clé de la sécurité réside dans l’investissement dans la modernisation de leurs infrastructures, avec une intégration de la sécurité dès la conception. Cette tendance va compliquer les actions des attaquants, qui devront s’adapter face à cette avancée technologique.

Quels conseils donneriez-vous aux CIO et CISO d’aujourd’hui ?

Il est essentiel de collaborer. Les CIO et CISO doivent unir leurs forces avec le CEO et le conseil d’administration pour envisager non seulement des investissements en cybersécurité, mais aussi en modernisation de leurs infrastructures, afin que la sécurité soit intégrée de manière structurelle. Nous avons constaté que les organisations qui réussissent bien investissent de manière stratifiée dans leur infrastructure pour la rendre plus sûre et défendable.