Chronique Renaud Bidou : L’innovation en panne dans la sécurité IT

Lors d’un récent meeting réunissant une centaine de responsables de la sécurité d’entreprise françaises, un sondage a mis en évidence le fait que ces derniers ne voyaient pas (ou très peu) d’innovation de la part des éditeurs de solutions de sécurité.

Un tel résultat ne peut qu’interpeller ces éditeurs et doit inciter à la réflexion.

En effet, si l’innovation n’est pas nécessairement au cœur de la stratégie de tous les acteurs, il semble exagéré de considérer qu’elle en est totalement absente. Quoi que…

Revenons à la source du problème et rappelons-nous que le nerf de la guerre reste le retour sur investissement.

Mettons alors l’innovation en face de la capacité d’adoption de nouvelles technologies par le marché.

Calculons maintenant le risque à court terme : il est considérable.

A un tel point qu’il parait plus pertinent d’investir sur la consolidation de technologies concomitantes, la beauté de l’interface, et le marketing qui va bien pour faire paraître tout çà comme de l’innovation.

De manière étonnante, la sécurité informatique n’est pas un marché « d’early adopters ». Constat d’autant plus paradoxal que les « hackers » sont eux à la pointe des nouvelles techniques.

Cherchons à comprendre les raisons d’une asymétrie aussi surprenante.

La première raison est simplement que peu de responsables de la sécurité sont réellement au fait des technologies d’intrusion récentes.

Certes les principaux concepts sont acquis (fort heureusement), mais de là à comprendre la subtilité des techniques d’évasion reposant sur les représentations no-ASCII de JavaScript ou la complexité masquée de l’analyse de données JSON, il y a une marge considérable.

Par voie de conséquence, ne cherchez pas pourquoi l’éditeur proposant une solution de canonisation des données JSON en données HTTP n’obtient pas le succès escompté.

Une deuxième raison est que l’innovation ne sert à rien. A première vue du moins.

En effet, si quelques (milliers de) « hackers » sont effectivement à même d’implémenter des techniques vraiment évoluées d’attaques, ce n’est pas le cas, loin s’en faut, de l’immense majorité de la population à même d’effectuer des actions malicieuses, sinon illégales.

Ainsi, quel besoin d’innovation quand l’immense majorité des attaquants font usage de technologies datant du début du siècle ?

Pire. L’usage systématique d’outils publics plaide en faveur de mécanismes primitifs se contentant de « signer » ces quelques programmes ou attaques.

Dans ce schéma n’importe quelle technologie bloquera 99% des menaces alors à quoi bon investir sur le dernier mile ?

En troisième place vient le refus du changement, qui se nourrit aussi bien des deux premières raisons que de ces mauvaises habitudes qui ont la vie dure.

(Lire la fin de la tribune page 2)