Naturellement, le développement de l’IA fait naître de nombreuses craintes de la part des citoyens. Parmi les plus communes, nous retrouvons, par exemple, que l’IA fasse de mauvais choix conduisant à des incidents (voitures autonomes), ou encore qu’elle entraine une violation des données personnelles qu’elle manipule potentiellement (crainte largement alimentée par les scandales éclatant autour de grands acteurs du marché[2]).

En l’absence de règlementations claires en matière d’IA, Wavestone a souhaité étudier, notamment à des fins d’anticipation des besoins à venir, qui sont les acteurs sur le devant de la scène en matière de textes sur l’encadrement de l’IA, quels sont ces textes, les idées qui y sont développées et quels impacts sur la sécurité de systèmes d’IA sont à anticiper.

Réglementation en matière d’IA : le panorama mondial

Législation en matière d’IA

Dans l’ensemble des textes relatifs à la règlementation en matière d’IA, il n’existe pas, à date, de textes législatifs[3][4] à proprement parler. Néanmoins, les textes formalisent généralement un ensemble de grandes lignes directrices pour développer un cadre normatif de l’IA. Il y a, par exemple, des guides/recommandations, des plans stratégiques ou encore des livres blancs.

Ils émergent principalement des Etats-Unis, de l’Europe, de l’Asie ou de grandes instances internationales :

Figure 1: Panorama mondial des textes sur l’IA[5]

Et leur cadence ne faiblit pas ces dernières années. Depuis 2019, de plus en plus de textes en matière de règlementation de l’IA sont produits :

Figure 2 : Chronologie des principaux textes

Deux types d’acteurs portent ces textes avec des connaissances parfois hétérogènes en matière de cybersécurité

Les textes sont généralement portés par deux types d’acteurs :

• Des décideurs. C’est-à-dire des instances dont l’objectif est de formaliser les règlementations et les exigences auxquelles les systèmes d’IA devront répondre.
• Des influenceurs. C’est-à-dire des instances/organisations qui possèdent une certaine autorité dans le domaine de l’IA.

A l’échelle de l’Union Européenne, des décideurs comme la Commission Européenne ou des influenceurs comme l’ENISA ont une importance capitale dans le développement des règlementations ou bonnes pratiques en matière de développement d’IA.

Figue 3 : Principaux acteurs en Europe

De manière générale, les textes adressent un nombre de thématiques variées. Ils donnent par exemple des stratégies à adopter ou des lignes directrices en matière d’éthique d’IA. Ils s’adressent tant aux gouvernements qu’aux entreprises et visent parfois des secteurs particuliers comme le secteur bancaire.

D’un point de vue cybersécurité, les textes sont hétérogènes. Le graphique suivant représente l’appétence cyber des textes :  

Figure 4 : Corpus de textes entre 2018 et 2021

Ce que disent les textes en matière de Cybersécurité

Comme le montre la Figure 4, un nombre important de textes proposent des exigences liées à la cybersécurité. Cela s’explique en partie car l’IA a des spécificités fonctionnelles qui doivent être adressées par des exigences cyber particulières. Pour entrer dans le détail technique des textes, réduisons l’IA à une de ses techniques les plus utilisées à date : le Machine Learning (Les détails du fonctionnement du Machine Learning sont fournis en Annexe I : Machine Learning).

De nombreuses exigences cyber existent pour protéger les actifs supports des applications utilisant du ML Machine Learning (ML) tout au long du cycle de vie des projets. A l’échelle macroscopique, ces exigences peuvent être catégorisées dans les piliers classiques de la cybersécurité^[6] extraits du Framework NIST[7] :  

Figure 5 : Piliers de la cybersécurité 

Le schéma suivant représente ainsi différents textes avec les volets cyber qu’ils comportent :

Figure 6 : Spécificités cyber de quelques textes importants

De façon générale, si nous croisons les résultats de la Figure 6 avec ceux de l’étude de l’ensemble des textes, il vient que trois exigences sont particulièrement adressées :

• Analyser les risques sur les systèmes de ML en prenant en compte leurs spécificités, pour identifier à la fois les mesures de sécurité « classiques » et celles spécifiques aux systèmes de ML. Pour cela, il convient généralement de respecter les étapes suivantes :
  • Comprendre les intérêts des attaquants à attaquer le système de ML.
  • Identifier la sensibilité des données manipulées dans le cycle de vie du système de ML (Par exemple : personnelles, médicales, militaires etc.).
  • Cadrer les besoins juridiques et de droits de propriété intellectuelle (à qui appartient le modèle et les données manipulées dans le cas d’un hébergement dans le cloud par exemple).
  • Comprendre où sont hébergées les différents actifs supports des applications utilisant le Machine Learning tout le long du cycle de vie du système de Machine Learning. Par exemple, certaines applications peuvent être hébergées en cloud, d’autres on-premise. Il convient d’ajuster sa stratégie des risques cyber en conséquence (Gestion des prestataires, des différents flux etc.).
  • Comprendre l’architecture et l’exposition du modèle. Certains modèles sont plus exposés que d’autres aux attaques spécifiques aux Machine Learning. Par exemple certains modèles sont exposés publiquement et peuvent ainsi faire l’objet d’une phase de reconnaissance approfondie de la part d’un attaquant (par exemple en glissant des inputs et en observant les outputs).
  • Inclure les attaques spécifiques sur les algorithmes de Machine Learning. Il en existe trois majeures : les attaques de type évasion (qui vise l’intégrité), de type oracle (qui vise la confidentialité) ou celle de type empoisonnement (qui vise l’intégrité et la disponibilité).
• Tracer et surveiller les actions. Cela comprend au moins deux niveaux :
  • La traçabilité (log des actions) pour permettre une surveillance des accès aux ressources exploitées par le système ML.
  • Des règles de détection plus « métiers » pour vérifier que le système est toujours performant et éventuellement détecter si une attaque est en cours sur celui-ci.
• Avoir une gouvernance de la donnée. Comme expliqué en Annexe I : Machine Learning, Les données sont la matière première des systèmes de ML. Ils convient donc de prendre un ensemble de mesures pour la protéger comme :
  • S’assurer de l’intégrité lors de l’intégralité du cycle de vie de la donnée.
  • Sécuriser l’accès à la donnée.
  • S’assurer de la qualité de la donnée récoltée.

Il y a fort à parier que ces points seront présents dès les premières règlementations publiées.

L’AI Act : l’Europe prendra-t-elle les devants comme pour le RGPD ?

Dans le cadre de cette étude, nous avons approfondi ce qui avait été fait au sein de l’Union Européenne et un texte a particulièrement attiré notre attention.

L’affirmation selon laquelle il n’existe pas encore de texte législatif est en partie vraie. En effet, en 2021, la commission européenne a publié l’AI Act[8] : une proposition législative qui vise à tenir compte des risques associés à certaines utilisations de l’IA. Ses objectifs, pour citer le document, sont de :

• Veiller à ce que les systèmes d’IA mis sur le marché de l’Union et utilisés soient sûrs et respectent la législation en vigueur en matière de droits fondamentaux et les valeurs de l’Union ;
• Garantir la sécurité juridique pour faciliter les investissements et l’innovation dans le domaine de l’IA ;
• Renforcer la gouvernance et l’application effective de la législation existante en matière de droits fondamentaux et des exigences de sécurité applicables aux systèmes d’IA ;
• Faciliter le développement d’un marché unique pour des applications d’IA légales, sûres et dignes de confiance, et empêcher la fragmentation du marché.

L’AI Act s’inscrit dans la logique des textes énumérés ci-dessus. Il adopte une approche basée sur le risque avec des exigences qui dépendent des niveaux de risque des systèmes d’IA. Le règlement définit ainsi quatre niveaux de risque :

• Les systèmes d’IA à risques inacceptables ;
• Les systèmes d’IA à haut risque ;
• Les systèmes d’IA présentant des risques spécifiques ; 
• Les systèmes d’IA présentant des risques minimes.

Chacun de ces niveaux fait l’objet d’un article dans la proposition législative afin de les définir précisément et de construire la réglementation associée.

Figure 7 : La hiérarchie des risques présente dans l’AI Act[9]

Pour les systèmes d’IA à risques élevés, l’AI Act propose des exigences cyber dans la lignée de celles présentées plus haut. Par exemple, si nous reprenons la catégorisation inspirée du NIST présentée dans la Figure 5 :

Même si le texte n’est qu’une proposition (elle peut être adoptée d’ici 1 à 5 ans), nous remarquons que L’Union Européenne, comme avec les données à caractère personnel et le RGPD, prend les devants en proposant un règlement audacieux pour accompagner le développement de l’IA.

Quels avenirs pour la règlementation en matière d’IA et la cybersécurité ? 

Ces dernières années de nombreux textes en matière de règlementation des systèmes d’IA ont été publiés. Bien qu’il n’existe pas, à date, de textes législatifs, on remarque tout de même que la pression s’intensifie avec de nombreux textes comme en témoigne par exemple l’AI Act, une proposition de l’Union Européenne. Ces propositions fournissent des exigences en matière de stratégie de développement d’IA, d’éthique et de cybersécurité. Pour cette dernière, les exigences touchent surtout des sujets comme la gestion des risques cyber, le monitoring, la gouvernance et la protection des données. De plus, il y a fort à parier que les premières règlementations proposeront une approche basée sur les risques avec des exigences adaptées en fonction des niveaux de risques.

Par rapport à son analyse de la situation, Wavestone ne peut qu’encourager à développer une approche comme celle proposée par l’AI Act en adoptant une méthodologie basée sur les risques. C’est-à-dire à identifier les risques portés par les projets et à implémenter des mesures de sécurité adaptées. Cela permettrait d’ores et déjà de se mettre en ordre de marche et d’éviter une mise en conformité à posteriori. 

Annexe I : Machine Learning

Le Machine Learning (ML) se définit comme l’opportunité laissée aux systèmes[10] d’apprendre à résoudre une tâche à l’aide de données sans y être explicitement programmés. De manière heuristique, un système de ML apprend à donner une « sortie adéquat », par exemple est-ce que telle image issue d’un scanner présente une tumeur, à partir de données d’entrées (i-e l’image d’un scanner dans notre exemple).

Pour citer l’ENISA^[11], les spécificités sur lesquelles repose le Machine Learning sont les suivantes :

• La donnée. Elle est au cœur du Machine Learning. La donnée est la matière première consommée par les systèmes de ML pour apprendre à résoudre une tâche puis pour la réaliser une fois en production.
• Un modèle. C’est-à-dire un modèle mathématique et algorithmique qui peut se voir comme une boîte avec un grand ensemble de paramètres ajustables utilisés pour donner une sortie à partir de données d’entrée. Lors d’une phase appelée l’apprentissage, le modèle utilise des données pour apprendre à résoudre une tâche en ajustant automatiquement ses paramètres, puis une fois mise en production il pourra mener la tâche à bien grâce aux paramètres ajustés.
• Des process spécifiques. Ces process spécifiques adressent l’ensemble du cycle de vie du système de ML. Ils portent par exemple sur la donnée (traitement de la donnée pour la rendre exploitable par exemple) ou sur le paramétrage du modèle lui-même (comment le modèle ajuste ses paramètres à partir des données qu’il utilise).
• Des outils et environnements de développement. Par exemple, beaucoup de modèles sont entraînés puis stockés directement sur des plateformes cloud car ils nécessitent beaucoup de ressources pour effectuer les calculs du modèle.
• Des acteurs. Notamment car de nouveaux métiers ont été créés avec l’essor du Machine Learning comme les fameux Data Scientists.

Généralement, le cycle de vie d’un projet de Machine Learning peut se décomposer selon les étapes suivantes :

Figure 8 : cycle de vie d’un projet de Machine Learning[12]

Annexe 2 Liste non exhaustive de textes relatifs à l’IA et à l’encadrement de son développement

[1] Université d’été qui réunissait des scientifiques comme le célèbre John McCarthy. Cependant, les origines de l’IA peuvent être attribuées à différents chercheurs. Par exemple, dans la littérature, des noms comme celui de l’informaticien Alan Turing peuvent être aussi trouvés.

[2] Par exemple, Amazon a été accusé en octobre 2021 de ne pas respecter l’article 22 du RGPD. Pour plus d’information : https://www.usine-digitale.fr/article/le-fonctionnement-de-l-algorithme-de-paiement-differe-d-amazon-violerait-le-rgpd.N1154412

[3] L’IA n’échappe pas à certaines lois et règlement tels que le RGPD pour les pays concernés. Nous noterons par exemple ce texte de la CNIL : https://www.cnil.fr/fr/intelligence-artificielle/ia-comment-etre-en-conformite-avec-le-rgpd.

[4] A l’exception de propositions législatives comme nous le verrons par la suite pour l’Union Européenne et le Brésil.

[5] Cette liste n’est pas exhaustive. Les chiffres renseignés donnent des ordres de grandeurs sur les principaux publieurs de textes en matière d’encadrement du développement de l’IA.

Les textes sur lesquels s’appuient l’études sont disponibles dans l’annexe 2 page 9

[6] Nous avons fait le choix de fusionner la phase d’identification et de protection pour les besoins de l’article.

[7] National Institute of Standards and Technology (NIST), Framework for improving Critical Infrastructure Cybersecurity, 16 Avril 2018, disponible à https://www.nist.gov/cyberframework/framework

[8] Disponible sur : https://artificialintelligenceact.eu/the-act/

[9] Librement inspiré de : Eve Gaumond, Artificial Intelligence Act: What is the European Approach for AI?, in Lawfare, Juin 2021, disponible sur : https://www.lawfareblog.com/artificial-intelligence-act-what-european-approach-ai

[10] Nous parlons de système pour ne pas réduire l’IA.

[11] https://www.enisa.europa.eu/publications/artificial-intelligence-cybersecurity-challenges

[12] https://www.enisa.europa.eu/publications/securing-machine-learning-algorithms

Cet article L’Intelligence Artificielle bientôt réglementée ? est apparu en premier sur RiskInsight.

La crise sanitaire : un ralentissement de l’activité mais pas un coup d’arrêt

Malgré une crise sanitaire d’envergure qui les a impactées de plein fouet, les startups restent en grande majorité confiantes pour leur avenir (plus de 80% des startups interrogées).  Certaines entreprises clientes ont même priorisé leurs activités de cybersécurité pour se renforcer dans ce contexte inédit.

Ainsi, 34% des startups interrogées déclarent être à l’équilibre en termes d’opportunité commerciales, celles décrochées depuis mi-Mars ayant pu compenser celles perdues, 21% d’entre elles ont même constaté une progression !

Un chiffre rassurant, à relativiser car elles sont plus d’un tiers (37%) à avoir subi des pertes de parts de marché, notamment du fait d’arrêts d’investissements chez certains clients. Certaines ayant encore du mal à se prononcer du fait d’un manque de visibilité commerciale (8%).

Sur ce dernier point, la pertinence du secteur d’activité de ces startups vis-à-vis des nouveaux enjeux amenés par la crise sanitaire est probablement en lien. La majorité de celles qui résistent adressent en effet des sujets portés par la généralisation forcée du nomadisme et de l’accès à distance des SI : protection des données et sécurisation des échanges, surveillance et protection des actifs, gestion des accès. La réorientation de leurs efforts commerciaux vers les secteurs résilients, celui du médical par exemple, est probablement un autre facteur de ces résultats.

75% des startups interrogées ont également profité de la période pour se recentrer sur la R&D ou le marketing de leurs produits.

Des chiffres qui nous démontrent la capacité des startups à faire face à la crise, malgré le lot d’adversités et d’incertitudes qu’elle apporte, par leur grande souplesse et réactivité. Ils mettent également en avant la résilience du secteur de la cybersécurité. Elle reste en effet un enjeu principal des entreprises. Même en cette période de crise économique, elles continuent à chercher des solutions toujours plus pertinentes et efficaces pour garantir leur sécurité.

Un ralentissement particulièrement visible sur les levées de fonds

Nous comparons ici deux périodes de levées de fonds sur l’écosystème complet (startups et scale-ups cybersécurité) : période 2019-2020 (de Juillet 2019 à Juin 2020) et période 2018-2019 (de Juillet 2018 à Juin 2019).

La résilience qualitative de l’écosystème constaté précédemment masque une situation plus négative sur les levées de fonds. Les 100 millions d’euros levés en cybersécurité sur la période 2019-2020 font pâle figure face aux plus de 260 de la dernière, 2018-2019.

La période 2018-2019 avait cependant été exceptionnelle : 7 startups du radar avaient levé autour de 10 millions d’euros, 2 avoisinaient les 200 millions d’euros à elles seuls. Les levées de fonds des années précédentes n’avaient jamais atteint de tels niveaux.

2019-2020 a été exceptionnelle aussi, mais d’une manière bien différente. De belles levées ont eu lieu jusqu’en février : le top 4 a été réalisé sur cette période. Malheureusement l’activité a rapidement été impactées par la crise sanitaire. Un certain nombre de levées prévues entre Février et Avril ont été reportées.

Toutefois, un redémarrage a été constaté dès Avril (Stamus Networks) et des levées intéressantes ont suivi sur Juin (e.g. Didomi, Quarkslab). Ces résultats laissent présager une fin d’année plus fructueuse.

Comme le pressent également ACE-Management (entretien à retrouver ici), un effet de décalage de quelques mois des investissements semble se profiler et non une diminution, mettant une nouvel fois en avant le dynamisme du marché de la cybersécurité.

Autre aspect intéressant de la période 2019-2020 : les levées plus faibles sont en hausse. 7 startups ont levé entre 2,5 et 5 millions d’euros contre 3 seulement sur la période précédente. Est-ce là un indicateur potentiel de la volonté croissante des startups de réaliser des levées au plut tôt pour accélérer leur développement ? Ou peut-être assistons-nous à la préparation des prochaines générations de scale-ups ? C’est en tous cas un signe très positif pour le dynamisme de l’écosystème.

Compte tenu des caractères exceptionnels des deux périodes, il est toutefois difficile de tirer une analyse définitive. Rendez-vous l’année prochaine pour une prise de recul qui s’avérera nécessaire.

Des évolutions nécessaires dans toutes les facettes de l’écosystème pour en assurer sa réussite

Clients : prenez le risque d’aller au-delà des POCs

Les clients ont également un rôle clé à jouer dans le développement des startups françaises.

A ce titre, nous constatons que les entreprises font de plus en plus confiance aux startups françaises et les soutiennent tout en les testant : 70% d’entre elles réalisent des « Proof Of Concepts » financés par leurs clients contre 67% l’an dernier. Une augmentation que nous ne pouvons que saluer, ces investissements permettant aux pépites françaises de se développer plus rapidement.

Mais pour continuer à soutenir le développement de cet écosystème, il est également nécessaire d’accepter le risque de transformer l’essai en contractualisant avec les pépites testées. Les entreprises ont cette année davantage de mal à le faire rapidement : 30% d’entre elles peuvent mettre plus de 6 mois à signer un contrat après un POC contre 25% en 2019. La crise sanitaire peut expliquer en partie cette situation.

Travailler avec une startup peut certes représenter un risque, mais c’est également un pari sur l’avenir. Elles peuvent apporter des solutions à des problématiques auxquelles le marché « traditionnel » n’apporte pas de réponses satisfaisantes depuis des années, permettre de rester à la pointe, ou encore d’accompagner davantage l’innovation des métiers (e.g. en sécurisant de nouveaux usages), et in fine apporter des différenciants majeurs. Certains pays ont dans leurs gênes de prendre ce type de risque, c’est moins le cas en France mais rien ne nous empêche de nous transformer.

Startups : sachez identifier les prochaines pépites chez vos clients !

Même si cela semble être trivial, il est important de rappeler à quel point il est crucial de se positionner sur des problématiques ayant peu ou pas de réponse satisfaisante sur le marché « classique ».

Pour ce faire, il est essentiel pour les startups d’être à l’écoute des besoins de leurs futurs clients et de se positionner sur leurs problématiques cruciales.

L’identification ne doit pas être que technologique, mais aussi prendre en compte des critères tels que la difficulté d’intégration de la technologie dans le système d’information des clients, l’existence d’une concurrence établie ou la volonté des principaux donneurs d’ordres d’investir dans une nouvelle technologie. C’est la combinaison de ces critères qui permet d’identifier les sujets qui auront le plus de succès sur le marché !

Les produits qui nécessitent d’installer des éléments sur de très nombreux équipements du SI (e.g. un nouvel agent de sécurité sur les postes de travail) sont particulièrement difficiles à “vendre” à des grandes entreprises déjà équipées. Des approches plus passives les séduisent davantage. Cela peut se faire d’autant plus facilement pour les thèmes encore en forte évolution comme la surveillance ou l’analyse de journaux du SI.

Une concurrence d’acteurs d’envergure bien implantés peut être complexe à dépasser pour une jeune pousse. C’est le cas sur le marché des EDR par exemple, de forts arguments différenciateurs seront alors nécessaires pour percer face à des acteurs majeurs déjà reconnus. A l’inverse, des thèmes comme la cyber-résilience et la cryptographie, par exemple, restent sous-adressés par rapport aux attentes du marché, et seraient donc plus faciles à percer de ce point de vue.

Enfin, la volonté d’investissement des donneurs d’ordres est également cruciale à prendre en compte. Si on reprend le sujet de la cryptographie, l’arrivée des ordinateurs quantiques est encore trop lointaine pour qu’il fasse partie de leurs préoccupations imminentes, l’horizon dans le secteur privé se situe certainement vers 2023/2024. Ceux de l’anonymisation des données tout en gardant la cohérence des bases anonymisées (synthetic data), du Data Leakage Prevention ou du Passwordless sont également des préoccupations majeures des entreprises qui n’ont toujours pas de réponses satisfaisantes sur le marché. La rationalisation des outils des RSSI, qui sont plus en recherche d’optimisation actuellement que d’investissement dans des nièmes solutions de sécurité, est un sujet qui sera bien plus présent à court terme.

Startups : n’oubliez pas de saisir les opportunités de financement et d’accompagnement !

Cette année, encore 32% des startups interrogées n’envisagent pas de lever des fonds, et plus de la moitié d’entre elles n’a jamais été accompagné dans leur développement.

Financement et accompagnement sont pourtant des accélérateurs intéressants, d’autant plus dans le marché extrêmement rapide de la cybersécurité, où la rapidité de conquête du marché est un atout crucial (retours d’ACE-Management sur le sujet à retrouver ici).

Cette absence de volonté de faire appel à des accélérateurs, constaté depuis plusieurs années, peut en partie s’expliquer par un manque historique de structures spécialisées en cybersécurité en France, complexifiant les échanges et la valorisation des startups auprès de ces dernières.

La situation a pourtant bien évolué et la considération au niveau national de la cybersécurité s’accélère particulièrement cette année :

• L’état mobilise des fonds pour l’innovation, en particulier dans le secteur de la cybersécurité pour lequel le plan de relance économique prévoit à minima 136 millions d’euros ;
• Un grand défi dédié à la cybersécurité a été lancé, la publication de sa feuille de route en Juillet de cette année a été suivie par un appel à projets de BPI France avec des investissements de plusieurs dizaines de millions d’euros ;
• Le fond français Brienne III, lancé officiellement en Juin 2019 par un premier tour de table à 80 millions d’euros et géré par ACE-Management, est spécialisé en cybersécurité. D’autres investisseurs n’hésitent pas aujourd’hui à financer des initiatives dans ce domaine.

Autant d’opportunités à saisir pour les startups de l’écosystème, dont il serait aujourd’hui dommage de se passer ! L’actualité met d’autant plus en lumière le fait que c’est le bon moment de se tourner vers ces accélérateurs, la cybersécurité apparaissant comme un élément essentiel du « nouveau monde », où le télétravail restera inscrit dans la durée.

Ecosystème : catalysons et amplifions ces initiatives prometteuses !

Nous l’avons vu, les initiatives pour le développement de la cybersécurité fusent : l’état se mobilise (cyberdefense factory, grand défi, contrat de filière, campus cyber…), les investisseurs et incubateurs lancent également des initiatives privées.

L’état s’ouvre largement grâce à ces initiatives et adopte une posture de plus en plus tournée vers l’innovation. Espérons que ces mouvements incitent des collaborateurs des entités concernées à se lancer dans l’aventure entrepreneuriale. En effet, nos acteurs cyber étatiques disposent d’une visibilité sans pareille de la menace et utilisent des outils ou des approches qu’il serait bénéfique d’offrir au secteur privé à court ou moyen terme. La création de spin-off est encore trop timide en France comparé à d’autres pays, par exemple évidemment Israël mais aussi les Etats-Unis, où les entités étatiques sont parmi les premières pourvoyeuses de startuppers.

L’enjeu maintenant va être d’exploiter au mieux cette multiplicité de dynamiseurs potentiels de l’écosystème cyber français. Le risque serait que ces moyens d’accompagnement du marché se fassent concurrence et se dispersent, fonctionnent en silo, au point d’amener de la confusion et de « brouiller » les messages auprès des acteurs de l’écosystème.

Et cela serait vraiment dommageable. Nous sommes à l’aube d’une année charnière pour notre écosystème : toutes les composantes semblent réunies pour réaliser sa transformation et lui permettre de passer à l’échelle. La question nous semble maintenant être : réussirons-nous collectivement à concrétiser ce mouvement ? Car pour se faire, il nous semble essentiel de joindre les forces en présence, de les catalyser vers ce but commun. Un rôle que le campus cyber pourrait jouer ?

2021 : l’année de la concrétisation ?

Malgré l’effet sur 2020 des impacts de la crise sanitaire mondiale, la cybersécurité reste un secteur résilient, l’écosystème des startups françaises dans ce domaine l’a également démontré. Leurs projets de développements sont parfois décalés mais elles restent confiantes pour leur avenir malgré les challenges qu’elles ont eu et auront encore à relever.

Dans ce contexte, il reste primordial de continuer à soutenir le développement de l’écosystème. De plus en plus d’accompagnements spécialisés dans le secteur voient le jour, à ce titre 2021 sera une année charnière pour concrétiser la transformation de notre écosystème et le hisser à un niveau international.

Cet article Radar 2020 des startups cybersécurité françaises: notre analyse (2/2) est apparu en premier sur RiskInsight.

L’année dernière montrait l’amorçage de la transformation de l’écosystème des startups en cybersécurité françaises. Cette année, de nombreuses questions se posent : la dynamique a-t-elle continué en dépit de la crise sanitaire ? Comment l’écosystème y-a-t-il répondu ? Quelles actions permettraient de l’accompagner vers un passage à l’échelle ?

Un secteur toujours dynamique où certaines startups arrivent à maturité

Un panorama des startups en évolution constante

Notre radar recense désormais 152 startups en cybersécurité, ce qui représente 18 startups de plus qu’en juin 2019, soit une croissance de 13%. Concernant leur taille, on constate une forte augmentation (73%) du nombre de « moyennes entreprises », alors que celui des « très petites entreprises » et « petites entreprises » reste stable, ce qui est un signe d’un début de solidification du marché. Au total, les startups représentent plus de 1400 salariés soit 17% de plus que l’an dernier, un chiffre en augmentation pour la 4ème année consécutive.

Au niveau de leur répartition géographique, le constat est assez similaire à 2019 : le bassin parisien reste le pôle principal (on y compte plus de 60% des sièges sociaux des startups du radar). Le pôle rennais arrive en seconde position et continue à gagner en volume pour atteindre 10% de représentativité. A noter que la région de Bordeaux arrive en troisième position avec 4% de startups.

Des créations de startups toujours prometteuses

Le radar compte 16 jeunes startups créées entre début 2019 et août 2020. Parmi ces startups, on peut observer que :

• Plus d’un quart se concentre sur des sujets de protection des données: Olvid, Protected, Pineapple Technology, BusterAI
• Près d’un autre quart sur l’aide à la gestion de vulnérabilités et des activités de sécurité opérationnelle: Patrowl, V6Protect, Purplemet.
• La protection des endpoints (Nucleon Security, Glimps) complète le podium des principales thématiques adressées par ces nouvelles startups.

A noter, l’apparition de la startup Malizen qui se positionne sur le threat hunting et l’aide aux investigations des équipes de réponse à incidents, sujet encore peu représenté dans l’écosystème. Le positionnement de Moabi sur l’aide à l’audit de sécurité des firmware (logiciel embarqué), est également intéressant en regard des enjeux autours de la sécurité des objets connectés.

Ces nouvelles startups tirent le plus souvent leur origine de l’identification d’un manque sur le marché par l’un des fondateurs lors d’une précédente expérience professionnelle. Toutefois, cette année deux structures, Malizen et CryptoNext sont issues de projets de recherche. Un chiffre, certes faible, mais intéressant en comparaison aux années précédentes, d’autant plus dans un contexte français où le monde de la recherche et celui de la cybersécurité restent encore trop dissociés.

Seulement 38% des startups françaises se positionnent sur des thématiques émergentes

Le rapport des startups à l’innovation reste stable par rapport aux années précédentes. 30% des startups sont disruptives et créent de nouvelles solutions de sécurité, 8% sécurisent des nouveaux usages (IoT, Cloud, etc.). Cependant la majorité (62%) de startups réinventent des solutions existantes en proposant des améliorations. Malgré l’absence d’innovation directe, ces startups peuvent connaitre un franc succès si elles font preuves d’agilité commerciale. L’exemple parfait est Egerie Software, qui a attaqué rapidement la question de la digitalisation de la méthode d’analyse des risques Ebios Risk Manager développée par l’ANSSI.

En termes d’innovation, nous pouvons particulièrement noter le domaine de la cryptographie, où les méthodes de chiffrement actuelles sont menacées par l’arrivée des ordinateurs quantiques. C’est justement le thème de la startup Cryptonext, qui s’engage à fournir des solutions de chiffrement robustes face à ces nouvelles menaces, et s’oriente dans la cryptographie post-quantique. De son côté, la startup Cosmian se concentre sur la tendance du « confidential computing », qui permet de chiffrer les données stockées dans le cloud grâce à un algorithme de chiffrement homomorphe, et ainsi utiliser des données chiffrées dans le cloud sans devoir confier la clé au fournisseur du service. La startup Scille, également, qui a introduit le concept CYOK (Create and Control Your Own Key) via sa solution Parsec, fait du poste utilisateur la seule entité de confiance qui génère automatiquement des clés de chiffrement.

Toujours au centre des préoccupations du RSSI, l’utilisateur se voit proposer de nouveaux moyens innovants de sensibilisation, la réalité augmentée chez Cyberzen par exemple, ou de nouvelles méthodes d’authentification, comme celle d’HIA Secure, qui est un concept d’authentification utilisant « l’intelligence humaine ». Plus précisément, l’utilisateur génère lui-même des codes à usage unique après avoir résolu des challenges consistant en une suite de symboles et de caractères.

Avec la généralisation du travail à distance pour tous les salariés, la crise sanitaire de la Covid-19 a également renforcé la nécessité de sécuriser les terminaux. De nouveaux clients de sécurité avancé (EDR) Français continuent d’émerger, comme celui de la startup Nucléon. Néanmoins, certains vont plus loin dans l’innovation et c’est le cas de la startup Glimps, créée par 4 anciens salariés de la DGA, qui essaye de révolutionner la détection et l’analyse des malwares en conceptualisant le code compilé, ce qui leur permet de s’affranchir des modifications induites par la compilation, l’architecture cible et ainsi détecter des menaces inconnues sur des systèmes non standards.

La majorité des entreprises souhaitent démocratiser l’utilisation des méthodologies agiles, alors que l’intégration de la sécurité dans ces processus reste un réel défi dans la plupart des cas. Intuitem essaye d’y remédier en fournissant l’outillage nécessaire pour suivre leur Agile Security Framewok.

Enfin, avec l’émergence des objets connectés, le besoin d’une plateforme IoT sécurisée est plus important que jamais, c’est ce que Tarides propose à travers sa solution OSMOSE.

Une évolution des startups qui montre une arrivée à maturité des  premières « scale-ups »

20 startups quittent le radar cette année, soit 6 de moins que l’an dernier. Parmi ces sortantes, 5 sont à croissance très rapide (dépassant les 35 employés en moins de 7 ans d’existence), 1 est due à un rachat. Cette continuité par rapport à l’année dernière démontre une capacité croissante de l’écosystème français à sortir des premiers niveaux de “scale-ups” dans le domaine de la cybersécurité, qui peuvent réussir à attirer les plus gros acquéreurs ou des fonds de taille plus importante. A ce titre nous lançons, en commun avec BPI France, un premier suivi non exhaustif de cette catégorie. Il s’agira de continuer à enrichir la liste des scale-ups par les prochaines startups qui quitteront le radar du fait d’une croissance très rapide.

Une proportion moindre de startups sort du fait de son ancienneté uniquement (20% cette année contre 37% en 2019). Nous constatons cette année de premières mises en pause de projets (20%, sans rapport avec la crise sanitaire) et pivots hors cybersécurité (20%).

Un écosystème en plein renouveau

L’international : de plus en plus une réalité pour les startups

La crise sanitaire ne semble pas avoir ébranlé la volonté d’internationalisation des startups : cette année, près de 63% du radar déclare avoir des clients à l’étranger contre la moitié l’an dernier. Également, 13% des startups réfléchissent à s’y lancer. La cybersécurité est effectivement un enjeu mondial et se tourner vers l’international peut s’avérer une opportunité pour les startups, avec des pays où leur marché est plus mature ou important qu’en France.

Concernant les cibles d’expansion des startups, 55% souhaitent s’étendre au-delà des marchés européens. Le marché américain est la cible privilégiée par un tiers des startups désirant s’internationaliser, et certaines pépites françaises comme Sqreen ou Alsid ont déjà pris cette direction.

Toutefois, il ne faut pas négliger le marché asiatique qui, même s’il a moins le vent en poupe (seulement 18% de startups intéressées), peut s’avérer prometteur. C’est un vaste marché, où il est nécessaire d’adopter une approche ciblée. En effet, il peut être intéressant de commencer par cibler les centres économiques de Hong-Kong et Singapour, réputées de bonnes passerelles entre l’Europe et l’Asie. Singapour est particulièrement dynamique sur le sujet de la cybersécurité avec un investisseur historique (SingTel) et des structures d’incubation largement mobilisées sur le sujet, telles que ICE71 ou l’antenne de l’incubateur anglais CylonLab. Mais Hong Kong n’est pas en reste, avec un nombre important de programmes d’accélération tels que Cyberport ou le DIP (Design Incubation Programme).

2019-2020 : l’année des initiatives à l’échelle nationale

L’écosystème français en cybersécurité est en plein renouveau. De nombreuses initiatives ont vu le jour entre 2019 et 2020.

Le Ministère des Armées a ainsi inauguré en octobre 2019 la « Cyberdéfense Factory ». Il s’agit d’un lieu d’innovation croisée entre le monde civil et le monde militaire. Basé à Rennes, ce lieu permet aux startups, aux PME et aux universitaires de travailler au contact des experts de la DGA et des opérationnels des armées sur les sujets de cybersécurité. Il permettra également l’accès pour les structures sélectionnées à certaines données issues du Ministère.

D’autre part, le Comité Stratégique de filière « Industries de sécurité » a vu son contrat stratégique signé avec l’état. Ce dernier comprendre une section dédiée à la cybersécurité dont l’objectif est de faire émerger le potentiel de la France en matière de cybersécurité en alignant et mobilisant les différents acteurs sur des politiques d’éducation, d’innovation et de développement technologique. Concrètement, il favorisera les relations entre le secteur privé et l’état, mais aussi des initiatives sur le volet de l’innovation. Des premiers résultats majeurs sont attendus sur 2021.

L’initiative des Grands Défis, issus des travaux de Cédric Villani sur l’intelligence artificielle, a vu la publication de sa feuille de route cybersécurité en Juillet de cette année. Disposant d’un budget de 30 millions d’euros, elle met en avant des thèmes clés comme l’automatisation de la cybersécurité, la sécurité des PME/ETI et de l’IoT. Un appel à candidature a été ouvert via BPI France, il clôture en 2021 également. La feuille de route met aussi en avant l’importance de l’amorçage en cybersécurité, poussant à la création d’une structure dédiée pour aider les entrepreneurs à se lancer et les accompagner au plus tôt.

Enfin, le projet de Campus Cyber a été validé au plus haut niveau de l’Etat. La création de ce lieu emblématique a pour ambition de réunir les forces vives de la cybersécurité française, évidemment pour mieux protéger notre pays et ses actifs stratégiques, mais aussi pour développer son économie et faire rayonner la France à l’étranger sur ce thème. Le sujet de l’innovation devrait y être largement représenté avec la présence de startups, d’espace de démonstration ou encore potentiellement d’initiatives d’accélération ou d’incubation en cybersécurité. L’ouverture est prévue dans le courant de l’année 2021.

Ici s’achève la première partie de notre analyse sur la dynamique de l’écosystème des startups cybersécurité en France. Le panorama des startups demeure constant, avec des startups nouvellement créées montrant déjà de belles promesses. D’autres, avec déjà plusieurs années d’activité à leur actif, n’ont cessé de croître, à tel point qu’il nous a été nécessaire de créer une nouvelle catégorie: les scale-ups. Cependant, cet écosystème fait face à deux nombreuses adversités, telles que la crise sanitaire actuelle et le ralentissement des échanges internationaux qui en découle. Nous verrons donc dans une seconde partie, quelles sont les évolutions nécessaires à cet écosystème startups.

Cet article Radar 2020 des startups cybersécurité françaises : notre analyse (1/2) est apparu en premier sur RiskInsight.

Les levées de fonds cybersécurité semblent plus poussives sur l’exercice 2019-2020 (de Juin 2019 à Juin 2020), comment l’expliquer ? 

On constate effectivement une baisse très nette des montants levés par les start-ups « tech » en France en mars/avril 2020. Ceci est d’autant plus flagrant en comparaison avec l’exercice précédent, 2018-2019, qui avait été particulièrement exceptionnel pour l’écosystème de la cybersécurité (autour de 300 millions d’euros levés, en comptant les levées de Vade Secure et Dashlane). 

2019-2020 est à notre sens une année extraordinaire à bien des égards :  

• D’importantes levées ont été réalisées sur la fin d’année 2019 et début 2020 : 33 millions d’euros pour CybelAngel, de belles levées également pour Trust–in–Soft, Egerie, Dust Mobile et Quarkslab que nous avons pu accompagner ; 
• Celles planifiées sur le premier semestre 2020 ont rapidement été impactées par la crise sanitaire : plusieurs prévues sur la période Février-Avril ont été reportées. 

Pour autant, un redémarrage des levées a été initié dès mi-avril à un rythme soutenu, et nous avons pris la décision en début d’année d’investir dans quatre nouvelles sociétés (trois en France, une en Europe). Ainsi, même si la crise sanitaire a conduit à un ralentissement à court terme, la fin de l’année 2020 devrait apporter de nouvelles levées, et potentiellement inverser la tendance, en particulier dans le domaine de la cybersécurité qui reste en croissance malgré la crise Covid-19.

Certaines start-ups décident de ne pas lever de fonds. Qu’en pensez-vous ? 

Il est possible de créer une entreprise de manière « organique » en autofinancement en particulier dans les activités de service, mais son développement sera beaucoup plus lent.  

Cependant sur le marché de la cybersécurité la vélocité nous semble primordiale pour une start-up : une idée innovante à un instant T peut très rapidement devenir obsolète et passer à côté de son marché.  Nous pensons qu’une levée de fonds est une étape incontournable pour une entreprise avec une offre logiciel/SaaS en cybersécurité voulant atteindre la taille critique pour être un leader dans un marché par nature très international. 

De notre point de vue le sujet particulièrement technique de la cybersécurité, nécessite un fonds spécialisé avec une équipe « sachante » et donc capable de comprendre les enjeux, la technologie, le marché, de faire les bons choix d’investissement et d’être pertinente dans l’accompagnement des sociétés. Ceci rend le positionnement d’Ace encore plus pertinent (pour les entrepreneurs) et différenciant sur le marché (pour les investisseurs dans nos fonds). 

Sur ce sujet, il est également important de noter que si Brienne III est aujourd’hui le seul fonds spécialisé en cybersécurité en France, il existe des fonds similaires dans d’autres pays européens (Allemagne, Pays-Bas …) qui sont des partenaires naturels pour nous. 

Les investisseurs ont tous leur recette magique pour identifier les pépites sur lesquelles investir, nous partageriez-vous quelques ingrédients de la vôtre ? 

Concernant le fond Brienne, nous ciblons des start-ups qui ont déjà une certaine maturité et cherchent à faire des levées conséquentes (au moins 5 millions d’euros, plutôt des séries A ou B). 

Sans dévoiler toute la recette, voici quelques éléments clefs que nous recherchons : 

• Un management ambitieux, sachant s’entourer des compétences adéquates pour le développement de leur structure ; 
• Une proposition de valeur solide techniquement, potentiellement issue de financement de R&D de grands groupes ou laboratoires de recherches ; 
• En adéquation avec les besoins du marché, répondant par exemple à une problématique récurrente non adressée ou à des enjeux de protection mis en lumière par de récentes attaques. 

En parlant des besoins du marché, quelles sont pour vous les prochaines tendances en cybersécurité ? 

Nos échanges avec différents RSSI pendant la crise sanitaire, nos analyses du marché et de l’actualité nous amènent à identifier les suivantes : 

• La sécurité des postes de travail revient sur le devant de la scène, notamment avec la généralisation des accès distants ; 
• La gestion des tiers de manière plus fluide tout en restant en sécurité et en limitant leurs accès ; 
• Les questions de souveraineté se posent davantage mais, sauf contraintes réglementaires, ne devraient pas rester le principal critère de sélection ; 

• Il nous semble également que le cap de l’utilisation du modèle en SaaS (Software As A Service) pour des solutions de sécurité est passé pour un certain nombre de structures, qui sont plus matures sur les modèles Cloud et les appréhendent bien moins. Un élément à garder en tête pour nos start-ups ! 

A propos de Brienne III et ACE Management : 

En juin 2019, avec un premier closing de 80 millions d’euros, Ace Management a lancé le fonds Brienne III, le premier fonds d’investissement français dédié au financement d’entreprises innovantes en cybersécurité et le plus important d’Europe continentale dans ce domaine. Les premiers souscripteurs de ce fonds sont Tikehau Capital (actionnaire d’Ace Management), Bpifrance, EDF, Naval Group, Sopra Steria et la région Nouvelle Aquitaine. D’autres investisseurs stratégiques et institutions, qui souhaitent soutenir l’émergence de solutions cyberdéfense de confiance, sont en discussions avancées avec Ace pour participer au second closing. 

Ace Management, filiale de Tikehau Capital, est une société de capital-investissement spécialisée dans les secteurs industriels et technologiques, avec un milliard d’euros d’actifs sous gestion. Fondé en 2000, Ace Management investit via des stratégies sectorielles, comme les industries stratégiques, la cybersécurité et les technologies de confiance. Ace Management a construit son modèle sur des partenariats avec de grands groupes investisseurs dans ses fonds (notamment Airbus, Safran, EDF). 

Cet article Entretien avec ACE Management – Radar 2020 des startups cybersécurité est apparu en premier sur RiskInsight.

Je suis en mesure d’envoyer toutes mes données à un algorithme de Machine Learning, va-t-il m’en sortir de la valeur ?

Non, absolument pas. #GarbageInGarbageOut

C’est même la meilleure manière d’être déçu par le Machine Learning ! Ce n’est pas un outil magique : si n’importe quoi lui est donné en entrée, il n’en sortira pas magiquement des résultats pertinents.

Il est non seulement nécessaire de définir précisément son cas d’usage avant de se lancer, mais également de choisir intelligemment les données qui vont nourrir le modèle.

Justement, quel cas d’usage choisir ?

Le problème est pris à l’envers !

La question est plutôt de savoir si :

• Aujourd’hui, des cas d’usages vous posent problème (e.g. chronophages parce que les alertes levées nécessitent beaucoup de retraitement et finalement remontent beaucoup de faux positifs).
• Le Machine Learning pourrait permettre d’apporter des solutions à certains d’entre eux (e.g. levée d’alerte sur un comportement « normal » plutôt que sur des seuils de détection fixes complexes à configurer et maintenir à jour).
• Et les solutions classiques pour y répondre semblent arrivées à la limite de leurs capacités. #JeNeRéinventePasLaRoue

En cybersécurité, devant un problème complexe à décrire explicitement (e.g. qu’est-ce qu’une communication suspecte ?) qui en plus a de fortes chances d’évoluer dans le temps (e.g. les seuils de détections sont constamment à ajuster), il est très difficile de trouver le bon compromis entre détection des cas suspects et faux positifs avec des règles statiques. Dans ce genre de situation il est intéressant d’explorer la piste du Machine Learning.

Qui mène le projet : l’équipe cyber ou l’équipe data ?

Les deux et avec de nombreux échanges ! #OneTeam

Ces deux équipes ont des expertises différentes, technique pour les data scientists, métier pour l’équipe cybersécurité. L’une sans l’autre ne permet pas de conduire un projet de Machine Learning pour la cybersécurité correctement.

Sans data scientists, l’équipe cybersécurité risque par exemple de :

• Se lancer en ayant trop peu de données (e.g. le volume de données ne permet pas à l’algorithme de définir une norme de comportement, il interprète donc des situations normales comme anormales).
• Ne pas penser à combiner certaines données (e.g. chaque première connexion d’un utilisateur à une nouvelle application remonte en anomalie parce qu’on ne lui a pas ajouté de variable lui permettant de comparer ce comportement à celui de la masse des utilisateurs (qui utilisent déjà l’application)).
• Ne pas savoir interpréter les alertes remontées par l’algorithme, et a fortiori ne pouvoir l’optimiser (e.g. l’algorithme remonte des anomalies qui n’en sont pas, l’équipe cybersécurité ne comprend pas sur quoi il base son analyse et ne sait donc pas les réorienter).

Et sans l’équipe cybersécurité, les data scientists risquent de :

• Ne pas pouvoir évaluer si l’algorithme remonte des anomalies pertinentes (e.g. l’algorithme remonte un log en anomalie mais les data scientists ne peuvent pas évaluer s’il s’agit d’un vrai problème de cybersécurité ou non).
• Ne pas pouvoir sélectionner finement les données à communiquer à l’algorithme (e.g. la cybersécurité a donné les logs de ses proxys aux data scientists mais n’a pas trié les champs les plus pertinents pour le cas d’usage : les résultats de l’algorithme sont confus).
• Passer à côté d’éléments cruciaux à intégrer dans le calcul de l’algorithme pour répondre au besoin métier (e.g. voulant optimiser un algorithme, un champ nécessaire à la catégorisation d’une anomalie de cybersécurité est supprimé du jeu de données, les résultats de l’algorithme perdent toute leur valeur cybersécurité).

Combiner les expertises de ces deux équipes est clé pour garantir que les ressources du Machine Learning seront utilisées efficacement pour apporter une réponse à haute valeur ajoutée pour la cybersécurité.

Quels sont les prérequis ?

Les données !

Sans données, fin de l’histoire avant même qu’elle n’ait commencée.

Pour rappel, le Machine Learning est l’ensemble des techniques permettant aux machines d’apprendre, sans avoir été explicitement programmées pour. Et pour cela, nos algorithmes apprennent en se nourrissant de données que nous allons pouvoir leur fournir.

• Il les leur faudra en quantité pour qu’ils puissent tirer une « norme » la plus affutée possible, car définie et confrontée à des volumes importants de cas réels. A noter que « quantité » ne veut pas forcément dire « diversité » : il est important de sélectionner uniquement les données pertinentes pour le cas d’usage.
• Il les leur faudra également en qualité pour ne pas tromper l’apprentissage de l’algorithme, n’introduisant pas de biais par exemple.

Il sera donc nécessaire d’identifier les types de données intéressantes à analyser (e.g. logs de sécurité), les sources où elles seront collectées (e.g. proxy web) et les ressources qui permettront de les enrichir (e.g. CMDB pour faire le lien entre IP et nom de machine), si nécessaire.

J’ai peu de données disponibles pour mon cas d’usage, le Machine Learning n’est donc pas pour moi ?

Pas forcément !

Si les données disponibles sont particulièrement pertinentes pour le cas d’usage à adresser et bien réparties (e.g. représentatives d’une situation habituelle sur une période de temps pour qu’un algorithme non supervisé puisse apprendre la situation « normale ») il est possible d’avoir des résultats intéressants.

A titre indicatif, avec un cas d’usage est bien défini (e.g. cible d’une population d’utilisateurs spécifique) et des logs adéquats collectés, des comportements suspects peuvent être détectés dans des logs proxy avec seulement deux semaines de trafic (suivant la verbosité des logs, cela ne représente que quelques centaines de Go).

Quel algorithme j’utilise ?

En fait, « peu importe » !

L’élément déterminant qui permettra de répondre de manière plus ou moins adaptée à un cas d’usage est plutôt le type d’apprentissage : supervisé ou non.

Le choix d’un algorithme non supervisé plutôt qu’un autre a ensuite peu d’importance : il existe plusieurs algorithmes adaptés à un même cas d’usage, dont la performance dépendra plutôt du contexte (e.g. besoin d’interpréter les résultats, volume de données d’entrainement…).

Les data scientists orientent le choix sur la base de leur veille, pour proposer des algorithmes plus reconnus pour être performants sur un cas d’usage et dans un contexte défini.

Je fais moi-même ou je sous-traite ?

Ça dépend, et ça peut évoluer dans le temps !

Notre premier article détaille un exemple d’implémentation : le développement avec ses propres outils, en partant de zéro. Mais dans les faits, trois possibilités d’implémentations sont possibles. Le choix dépend des cas d’usages envisagés, des ressources disponibles et de ses ambitions.

Chacun de ses scénarios présente ses avantages et ses contraintes, et il est possible de les utiliser de concert. Par ailleurs, il est essentiel de resonder régulièrement le marché afin d’étudier si de nouvelles solutions innovantes et plus performantes ne sont pas apparues depuis le déploiement de la solution initiale.

#TakeAStepBack

Est-ce facile à tester ?

Si le cadrage est bien fait, oui ! #Test&Learn

Une fois le cas d’usage sélectionné, la disponibilité des données vérifiée et le choix d’une implémentation en fonction de son contexte faite, il est plutôt simple de réaliser un test de l’apport du Machine Learning avant d’investir davantage.

Ce type de projet se prête très bien à des démarches itératives ou par sprints. Cela permet d’éprouver rapidement les solutions retenues et d’en démontrer la pertinence par la valeur apportée, ou au contraire mettre en évidence que pour ce cas d’usage les résultats ne sont pas suffisamment satisfaisants pour poursuivre.

Dans tous les cas, une démarche par PoC à la suite d’une étude d’opportunité permet de se faire rapidement une idée. Cette étape, avant de se lancer à grande échelle permet également de prendre de la hauteur pour évaluer les gains potentiels (e.g. gains de temps car moins de faux positifs à traiter, meilleure réactivité globale car les alertes levées sont plus pertinentes) par rapport aux investissements à réaliser (e.g. infrastructures de calcul spécifiques, compétences à recruter) avant de se lancer.

Une fois que j’ai fait mon PoC comment je passe à l’échelle ?

Encore une fois, pas à pas !

Une fois les premiers résultats concluants obtenus sur un cas d’usage, il est possible d’envisager son passage en production. Attention toutefois à ne pas aller trop vite : le passage en production amène de nouvelles questions auxquelles il est nécessaire de répondre avant de poursuivre, par exemple :

• Quels volumes de données seront à analyser ? Quelles opérations de pre-processing (préparation des données) seront à réaliser ? A quelle fréquence ? (Temps réel, différé…)
• A quelle fréquence l’algorithme devra-t-il refaire son apprentissage ? Sur quels volumes de données ?
• Quelles infrastructures seront donc nécessaires ?
• Quelles compétences et ressources permettront de maintenir la solution dans le temps ?

Il sera alors le moment de prendre un pas de recul et de faire des choix opérationnels, en ayant en tête une vision long terme.

Combien ça coûte ?

Tout dépend du stade de réflexion et de ses ambitions.

Pour un PoC, un cadrage permet de limiter l’investissement tant que l’apport du Machine Learning n’est pas démontré (e.g. activation d’une option sur un outil de sécurité le temps de tester, pas d’investissement en infrastructures).

Une fois la valeur ajoutée démontrée, se pose la question des coûts à engager pour la mise en production et le maintien dans le temps. Plusieurs éléments sont à considérer pour évaluer l’investissement total qui sera nécessaire :

• Investissements matériels (e.g. boîtiers pour les solutions du marché, infrastructures et ressources pour gagner en puissance de calcul pour les développements internes) et logiciels (licences, activation des fonctionnalités Machine Learning sur les SIEM, outils de Big Data pour la data science…). Il est clé de ne pas négliger la puissance de calcul nécessaire au fonctionnement de certains modèles. C’est une raison en plus de la qualité des résultats pour cibler au maximum les données les plus pertinentes pour répondre à un cas d’usage.
• Acquisition des compétences : tant les nouveaux profils à intégrer (e.g. data scientists, data engineers) que les profils métiers et experts pertinents, qui seront sollicités non seulement en phase projet mais également dans la durée (traitement des alertes, réapprentissage, tests de non-déviation de la solution, etc.)

En synthèse, quels sont les principaux pièges à éviter ?

#Reminder

Cet article Booster sa cybersécurité grâce à du Machine Learning ? Partie 2 – « Oui, mais pas n’importe comment ! » est apparu en premier sur RiskInsight.

Nous allons au travers de deux articles explorer les capacités de l’IA, en particulier celles du Machine Learning, pour la cybersécurité. Dans ce premier article, nous allons parcourir pas à pas les étapes d’un projet de Machine Learning focalisé sur un cas d’usage cybersécurité : l’exfiltration de données depuis le SI, sur un cas très simplifié. Nous en avons choisi un, mais les concepts de cet article sont applicables à tous les projets de Machine Learning et peuvent être transposés à tout autre cas d’usage, notamment cyber. 

Avant toute chose, de quoi parle-t-on ? 

Le terme d’Intelligence Artificielle (IA) regroupe toutes les techniques permettant aux machines de simuler l’intelligence. Aujourd’hui toutefois, lorsqu’on parle d’IA on parle très souvent de Machine Learning, l’un de ses sous-domaines. Il s’agit des techniques permettant aux machines d’apprendre une tâche, sans avoir été explicitement programmées pour. 

Pour nous professionnels de la cybersécurité, cela tombe bien : nous avons bien souvent du mal à décrire explicitement ce que nous voulons détecter ! Le Machine Learning nous offre alors de nouvelles perspectives, avec déjà de nombreux cas d’application, dont les principaux sont illustrés ci-dessous:

L’exemple d’un cas d’usage pour la cybersécurité ML-augmenté : le DLP 

Pour illustrer l’apport du Machine Learning à la cybersécurité, nous avons choisi de nous intéresser à l’extraction frauduleuse de données depuis le système d’information d’une entreprise. Autrement dit, le cas du DLP (Data Leakage Prevention), problématique rencontrée par un grand nombre d’entreprises. Nous souhaitons détecter les communications suspectes vers l’extérieur afin de pouvoir les empêcher. 

« Très bien mais… comment caractériser une communication suspecte ? » 

Par des volumes échangés importants ? Par une destination étrange ? Par une heure de connexion inhabituelle ?  

En réalité, notre problème est complexe à expliciter et ce que nous devons évaluer a de fortes chances d’évoluer dans le temps. C’est pourquoi, en utilisant uniquement des règles de détection statiques, nos équipes sécurité ont du mal à être exhaustives. Elles peuvent jouer sur les seuils de ces règles pour affiner les éléments détectés, mais se retrouvent malheureusement encore avec un nombre important de faux positifs à traiter. 

On comprend que le Machine Learning tel que nous l’avons défini précédemment peut nous être utile ici. Et si on essayait ? 

Etape 1 : Clarifier le besoin 

C’est ce que nous venons de faire ! 

Etape 2 : Choisir les données 

Quand on entend les mots Machine Learning, il faut généralement comprendre « données » pour alimenter les algorithmes. Beaucoup de données, et de qualité ! 

En demandant où aller chercher des données utiles pour notre cas d’exfiltration des données à notre métier demandeur (qui pour une fois est la cybersécurité !), le proxy web ressort comme grand gagnant : il voit passer quasiment tout le trafic sortant du SI. Nous récupérons donc ses logs, ils ressemblent à ça. 

« Ca m’a l’air bien compliqué tout ça… » 

Les data scientists ont en effet de quoi être perdus : d’une part l’ensemble est peu digeste, de l’autre, après consultation du métier-cybersécurité, tous les champs ne sont pas vraiment utiles pour notre cas d’usage. Nous en sélectionnons donc quelques-uns avec lui avant de poursuivre. 

Le résultat est plus exploitable par les data scientists ! 

Etape 3 : préparer les données 

Les data scientists peuvent maintenant « explorer les données » afin de garantir un apprentissage optimal de l’algorithme. Ici, ils nous remontent un élément surprenant dans la répartition de nos requêtes suivant leur volume d’upload. Puisqu’on souhaite détecter des exfiltrations de données, cette variable nous intéresse en effet particulièrement. 

La valeur de notre variable n’est pas distribuée, nous avons même un très fort volume à 0. 

« Mais, elles sont quand même nombreuses ces requêtes avec un volume d’upload nul, est-ce que c’est vraiment pertinent de les garder dans notre cas ? ».  

Effectivement, après discussion avec le métier-cybersécurité, il ressort que ces données n’apportent pas grand-chose pour notre cas d’usage. Nous décidons donc de les retirer, notre jeu est alors distribué comme suit : 

Après plusieurs allers-retours entre les data scientists challengeant les données avec un point de vue statistique et les équipes cybersécurité répondant avec leur œil métier, les données sont simplifiées au maximum. Elles sont ensuite : 

• Enrichies en créant de nouvelles variables plus denses en information utile. Nous avons introduit un volume d’upload relatif vers chaque site, mesurant l’écart entre le volume d’upload d’une requête et sa valeur moyenne observée sur les 90 derniers jours. Nous pourrions également ajouter la durée de connexion par exemple. 
• Normalisées en réduisant l’amplitude de chaque variable pour diminuer une sur ou sous-pondération de certaines variables.
• Numérisées, la plupart des algorithmes ne pouvant interpréter que des variables numériques.  

Nous pouvons maintenant séparer notre jeu de données en deux : un jeu allant servir à l’entraînement de notre modèle, un jeu qui nous permettra de tester sa performance. Plusieurs méthodes de séparation existent, permettant de conserver certaines caractéristiques des données (e.g. la saisonnalité), mais l’objectif reste le même : garantir une mesure d’évaluation au plus proche des performances réelles du modèle, en présentant au modèle des données qu’il n’a pas eu a disposition durant l’entraînement. 

Etape 4 : Choisir la méthode d’apprentissage et entrainer le modèle 

Certains algorithmes sont plus performants que d’autres pour une problématique donnée, il convient donc de faire un choix raisonné. 

Il existe deux principales catégories d’algorithmes de Machine Learning :  

• Supervisés, lorsque l’on a des données labelisées comme référence à donner en exemple à notre algorithme. Ces algorithmes sont par exemple utilisés en cybersécurité par les solutions anti-spam : ils peuvent apprendre via la classification des emails comme spam par les utilisateurs par exemple. 
• Non supervisés, lorsque l’on ne sait pas précisément ce qu’on souhaite détecter ou que l’on manque d’exemples à fournir à l’algorithme pour son apprentissage (i.e. nous manquons données labélisées). 

Comme expliqué plus haut, le contexte de notre cas d’usage nous oriente plutôt vers la deuxième option. C’est d’ailleurs pour les mêmes raisons que nous avions initialement pensé au Machine Learning. Nous choisissons ensuite notre algorithme d’apprentissage non supervisé (Isolation Forest ici, mais nous aurions pu en choisir un autre) et entrainons notre modèle. 

Etape 5 : Analyser les résultats 

Nous utilisons notre jeu de données de test pour évaluer l’efficacité de notre modèle pour détecter les cas d’exfiltration.  

Le modèle conçu permet de détecter des patterns dans les données (requêtes), pour ensuite comparer les nouvelles données (requêtes) avec ces patterns et mettre en lumière celles qui s’éloignent de ce qu’il considère comme la norme de par son apprentissage (score d’anomalie).  

Voici nos résultats :  

« Ok, mais comment j’interprète tout ça ? » 

Le graphique à gauche représente les scores d’anomalie associés à chaque requête du jeu de test, triés par ordre chronologique. A droite se trouvent les logs présentant les scores d’anomalie les plus importants. 

Après investigation avec le métier-cybersécurité : 

• Le pic en jaune, correspond à un upload de volume beaucoup plus important que les autres, d’un utilisateur qui extrait un large volume de données. Cette anomalie est légitime. Toutefois, une alerte sur la base d’une règle statique sur le volume par requête aurait également permis de détecter cette communication suspecte. 

• Plus intéressant maintenant, les pics en rouge, correspondent à des requêtes de faibles volumes d’upload régulières vers des sites inconnus depuis le même utilisateur. Ces anomalies sont plus difficiles à détecter avec des moyens classiques, pourtant notre algorithme leur a attribué le même score d’anomalie que pour un large volume. Elles deviennent donc tout aussi prioritaires à qualifier pour nos équipes de gestion des alertes de cybersécurité. 

Maintenant, focalisons-nous sur le large paquet au centre du graphique (en orange). Le premier jour, on observe un score d’anomalie important, il s’agit d’un envoi soudain de données par de nombreux utilisateurs vers le site web de transport en commun de la ville. Après investigation on se rend compte qu’il ne s’agit pas d’un vrai incident de sécurité, mais de l’envoi annuel de justificatifs pour poursuite des abonnements de transport (nous sommes début septembre…). On observe par la suite que l’algorithme « comprend » que ces flux reviennent chez plusieurs utilisateurs et les intègre progressivement comme une habitude. Le score de risques décroit donc jour après jour. 

Le modèle détecte donc ce qui sort de la norme, quelle que soit la norme et s’autocorrige avec l’expérience. C’est en cela que le Machine Learning tient une vraie valeur ajoutée par rapport aux méthodes classiques de détection. 

Si la performance du modèle sur ce premier cas d’usage simplifié permet d’attester de la valeur potentielle du Machine Learning, il peut être temps de passer à l’étape 6 – le déploiement à l’échelle !  

Dans un second article nous reviendrons sur ces étapes pour mettre en lumière les facteurs de réussite et pièges à éviter lorsqu’on souhaite étudier les possibilités du Machine Learning en cybersécurité. 

Cet article Booster sa cybersécurité grâce à du Machine Learning ?  Partie 1 – « Absolument, voici comment! » est apparu en premier sur RiskInsight.