Cybersecurity Guards

Martin Blatter a toujours rêvé de devenir développeur de logiciels. Encore enfant, il bricole des calculatrices de poche, des consoles de jeux et de vieux PC. Il est fasciné par la manière dont on peut en tirer des fonctionnalités supplémentaires. Il suffit d’un peu de créativité. Alors qu’il est encore étudiant en informatique de gestion à l’Université de Zurich, il fonde la start-up Relog. Celle-ci développe des logiciels pour le Commodore Amiga et aussi des plateformes web comme le moteur de recherche Search.ch, qui existe toujours aujourd’hui. Il est ensuite devenu CTO de la start-up Olmero, reprise plus tard par Tamedia. Puis, en 2014, Martin Blatter crée Threema avec deux ingénieurs logiciels, Silvan Engeler et Manuel Kasper. Le siège de la société se trouve à Pfäffikon (SZ), commune qui est aussi son lieu de résidence. Aujourd’hui encore, Martin Blatter consacre deux bons tiers de son temps de travail au développement de logiciels, notamment des applications sur Android.

Forte de 40 collaborateurs pour environ 11 millions d’utilisateurs, Threema réalise un chiffre d’affaires d’environ 60 millions de francs. Deux tiers de ce chiffre provient des entreprises clientes. L’application de chat est considérée comme l’alternative la plus sûre et la plus respectueuse de la protection des données, ce qui lui permet de supplanter WhatsApp, l’application de Facebook. Pour l’utiliser, pas besoin d’avoir une adresse e-mail ou un numéro de téléphone. Tous les contenus sont cryptés de bout en bout. Les serveurs de Threema sont situés en Suisse. Avec le produit Threema OnPrem, les entreprises peuvent même exploiter les serveurs sur leur propre site (on premise). Threema a récemment refusé de transmettre des données d’utilisateurs réclamées par la Russie, préférant payer une amende de 800 000 roubles (12 300 francs). Pour Martin Blatter, la question ne se pose même pas puisque la protection de la vie privée figure dans les droits humains.

Theodora Dragan est experte en matière de conseil aux entreprises sur le respect des principes de protection des données et les stratégies de commercialisation de données. Elle a débuté dans un cabinet d’avocats italien qui a été l’un des premiers de la Botte à se spécialiser dans ce domaine. Elle a acquis une expérience auprès d’entreprises soucieuses de cet aspect avant même que l’Union européenne ne fixe des règles complètes en la matière, avec son règlement général sur la protection des données. La jeune femme a approfondi le sujet en travaillant pour l’opérateur de paquebots genevois MSC et le CyberPeace Institute Suisse. Au fil des ans, elle est devenue l’une des expertes les plus demandées dans sa spécialité. Selon elle, la complexité du thème est particulièrement flagrante dans l’industrie du voyage. Lorsqu’un bateau de croisière se déplace dans différents pays, au travers de différents fuseaux horaires et d’eaux internationales, il y a un nombre énorme de réglementations à prendre en compte. 

Aujourd’hui, Theodora Dragan est responsable de la protection des données au sein du groupe Pictet, à Genève. Active dans le private banking suisse, l’experte travaille ainsi dans le secteur soumis aux règles les plus strictes en matière de sécurité des données. Selon elle, la pandémie a définitivement fait entrer la protection des données dans les mœurs. Les autorités en la matière ont apporté des contributions très pertinentes sur des sujets tels que le télétravail, les applications de recherche de contacts et les carnets de vaccination numériques. A l’heure où la sécurité des données est devenue un thème majeur dans chaque entreprise, la mission de Theodora Dragan est cruciale pour les aider à maîtriser l’équilibre entre la sécurité et l’exploitation des données.

Des piscines qui ne peuvent plus émettre de billets, des universités et des administrations paralysées, des attaques guerrières liées à l’invasion de l’Ukraine par la Russie… Les cyberattaques sont devenues quotidiennes. Pionnière de la cybersécurité et de la cyberdéfense, Solange Ghernaouti suit ce sujet depuis des décennies. Décorée au niveau international, cette professeure à l’Université de Lausanne dirige l’unité de recherche Swiss Cybersecurity Advisory and Research Group, dont l’objectif est de rendre le monde numérique plus sûr. Cette universitaire est aux avant-postes quand il s’agit de mettre en garde et de clarifier les thèmes, par le biais d’interventions dans des conférences et de publications. 

Depuis 2013, la diplômée de la Sorbonne est membre de l’Académie suisse des sciences techniques. Un honneur qui n’est accordé qu’à quelques scientifiques et chercheurs chaque année. Selon elle, la population est de plus en plus sensible aux dangers que représentent les cybercriminels. Mais la prise de conscience est beaucoup trop lente et, surtout, la lutte contre ces dangers n’est pas assez systématique. Selon elle, il est important de minimiser les surfaces d’attaque et de rendre les modèles commerciaux des entreprises moins vulnérables. Dans la perspective de la prochaine étape de la numérisation, soit la réalité augmentée, il faut clarifier les responsabilités, savoir qui prend en charge la sécurité et comment les risques sont répartis, selon la spécialiste. Elle souligne que, dans le cyberespace aussi, il y a des règles à respecter.

Les cyberattaques passent souvent inaperçues pendant un long moment, jusqu’à deux cents jours dans certains cas. Les intrus peuvent ainsi se servir d’informations sensibles pendant des mois ou endommager le système informatique d’une entreprise en toute quiétude. Le travail de David Gugelmann est de veiller à ce que de telles offensives soient détectées le plus rapidement possible. Sa société, Exeon Analytics, a développé un logiciel qui minimise le temps pendant lequel les attaquants ont accès au système sans être repérés. Spin-off de l’EPFZ créé en 2016, Exeon Analytics trouve sa genèse dans la thèse de doctorat de David Gugelmann. En 2015, le doctorant a été récompensé lors de la Digital Forensics Research Conference à Dublin, pour un projet mené en collaboration avec Fabian Gasser et Bernhard Ager, tous deux de l’EPFZ, ainsi que Vincent Lenders, d’Armasuisse. Les quatre hommes ont esquissé une nouvelle méthode d’analyse forensique des données de trafic réseau comme moyen de lutte contre les menaces dans le cyberespace.

Actuellement, David Gugelmann s’applique à doper la croissance de sa start-up. La firme compte de nouveaux clients, de nouveaux collaborateurs et projette un affinement de son logiciel de détection précoce, qui fonctionne comme un système d’alarme pour les entreprises. D’après le CEO, le recrutement représente le plus grand défi pour la réussite de la firme. L’un des grands obstacles à la numérisation en Suisse est que les experts techniques sont très rares et que, en outre, ils se ressemblent tous. Selon l’entrepreneur, il est urgent que davantage de femmes soient également formées et qu’une plus grande diversité règne dans les équipes de numérisation. 

S’il devait entrer lui-même au Conseil fédéral, sa priorité serait de veiller à la souveraineté des données. «Au vu des développements géopolitiques actuels, il est primordial que nous sachions où se trouvent nos données et où elles sont traitées, voire enrichies. Il n’est certes pas réaliste d’imaginer que toutes les données restent en Suisse, mais c’est précisément pour cette raison qu’une transparence totale sur l’utilisation de nos données est si importante», énonce-t-il. Car, aujourd’hui déjà, des nuisances telles que le mobbing, la discrimination et la surveillance sociale sont favorisées par le manque de transparence du traitement des données, souligne l’entrepreneur.

Après que les communes vaudoises de Montreux et de Rolle ont été attaquées, l’année dernière, par des pirates informatiques, la demande pour le label de sécurité de Christophe Hauert a grimpé en flèche. Quelque 120 communes suisses sont actuellement en train d’obtenir le certificat de l’association à but non lucratif Cyber-safe. L’association dont Christophe Hauert est le secrétaire général établit des normes pour la sécurité informatique et conseille les communes ainsi que les PME. Pour obtenir le label, les organisations doivent payer entre 3000 et 10 000 francs, selon le nombre de postes de travail. C’est peu en regard d’une cyberattaque, qui coûte très vite 100 000 francs. Le montant demandé aux clients permet d’être membre de l’association pendant deux ans. Les communes et entreprises reçoivent ainsi des conseils indépendants ainsi que le label de qualité lorsque leur sécurité informatique est conforme. 

«Nous évaluons l’infrastructure informatique, son organisation et les connaissances en matière de sécurité informatique des personnes au sein de l’organisation», détaille Christophe Hauert, titulaire d’un doctorat en sciences politiques. Pour tester le personnel, on tente par exemple des attaques de phishing sur les entreprises. Les collaborateurs sont incités à divulguer des informations importantes pour la sécurité, comme les mots de passe. Actuellement, l’association tente d’améliorer les normes, de manière à garantir la sécurité sans pour autant surcharger les organisations.

Le Wall Street Journal dresse régulièrement la liste des «100 Israeli Tech Leaders you should know». Cette année y figurait une personne qui ne travaille pas dans la Silicon Wadi ni dans la Bay Area de San Francisco, mais au bord du lac de Zoug: Shira Kaplan. L’entrepreneuse a déménagé cette année de Zurich à Zoug avec ses entreprises Cyverse et Cyverse Capital. Les deux firmes représentent chacune un aspect des activités de la trentenaire. Cyverse fonctionne comme revendeur de technologies de cybersécurité développé par des start-up israéliennes. La société compte environ 120 clients en Allemagne, en Autriche, en Suisse et en Scandinavie.

Shira Kaplan est frappée par le fait qu’ au début, c’étaient surtout les grandes entreprises qui sollicitaient des moyens de protection contre les cyberattaques, alors qu’aujourd’hui, les PME s’y intéressent de plus en plus. «Dans les domaines de la défense mobile et de la sécurité du cloud, on prend enfin conscience du danger que peuvent représenter les attaques extérieures», considère Shira Kaplan. Avec Cyverse Capital, Shira Kaplan agit en tant qu’intermédiaire d’investissement pour les jeunes entreprises de la scène de la cybersécurité. «Au départ, ces levées de fonds concernaient uniquement des start-up israéliennes. Mais maintenant, les jeunes entreprises suisses de cybersécurité deviennent de plus en plus intéressantes pour nous», détaille-t-elle.

Renouveler l’internet et surtout le rendre plus sûr et plus vert, tel est le projet que défend Adrian Perrig, professeur de sciences informatiques de l’EPFZ. Une réalisation importante dans ce sens a été la création du Secure Swiss Finance Network (SSFN), basé sur l’architecture SCION, selon lui. SCION, le nom de ce nouvel internet, est l’abréviation de Scalability, Control, and Isolation On Next-Generation Networks. Le SSFN a quant à lui été lancé en juillet 2021 par la Banque nationale suisse et l’opérateur boursier SIX.

La technologie d’Adrian Perrig rend les procédés plus rapides, plus sûrs et réduit la consommation d’énergie. Le spécialiste espère que de plus en plus d’entreprises et d’utilisateurs adopteront la technologie SCION. Le professeur a commencé ses recherches aux Etats-Unis, à l’Université Carnegie Mellon de Pittsburgh, où il a été nommé professeur ordinaire en 2009 avant de rejoindre l’EPFZ en 2013. Il a attendu de pérenniser son statut aux Etats-Unis avant de se lancer dans ce projet aux importants enjeux d’un point de vue scientifique.

Personnage clé des années qui viennent, Florian Schütz doit protéger la Suisse des attaques provenant du Net. Le quadragénaire est collaborateur au Centre national de cybersécurité (NCSC), le centre de compétence de la Confédération en la matière, qui fonctionne comme point de contact pour l’économie, l’administration et la population pour les questions de cybersécurité. En raison de l’aspect prioritaire de ce thème, ce centre deviendra bientôt un office fédéral à part entière. Dans ce domaine, la Suisse peut mieux faire, de l’avis général. «En de nombreux endroits, il manque les connaissances et la compréhension nécessaires sur les thèmes de la numérisation et de la cybersécurité», observe Florian Schütz. Selon lui, ces thèmes sont encore trop peu présents dans les esprits, en particulier chez les cadres supérieurs. Actuellement, il s’occupe d’établir des structures dans l’administration fédérale, de définir les responsabilités et de permettre la coopération entre les départements. 

Florian Schütz se distingue par sa façon personnelle de penser en matière de protection informatique et ses propositions inhabituelles. Il pense ainsi que la cybersécurité serait améliorée s’il existait un fonds pour les développeurs de logiciels open source. Il serait souhaitable qu’ils ne travaillent plus pour des projets bénévoles, mais gagnent leur vie. Les entreprises qui utilisent ces logiciels open source alimenteraient ce fonds, qui servirait ensuite à rémunérer les développeurs résidant en Suisse. Ce fonctionnement permettrait non seulement d’améliorer les logiciels et de les rendre plus sûrs, mais aussi d’encourager les talents helvétiques. «L’exemple est hypothétique. Mais je pense que le Centre national de cybersécurité devrait à l’avenir faire exactement ce genre d’analyse», estime Florian Schütz.

Pendant quatre ans, Nicola Staub a travaillé comme procureur, sans arrêter un seul cybercriminel durant cette période. «Face à une cybercriminalité aussi internationale que tentaculaire, les autorités policières et judiciaires ne disposent que de ressources limitées et sont organisées, au mieux, au niveau national», énonce le jeune homme. En conséquence, les enquêtes traînent généralement en longueur et la plupart des cas restent sans condamnation. Avec sa start-up Cybera Global, Nicola Staub veut accélérer les choses, ce qui devrait bénéficier aux institutions financières et aux intermédiaires cryptofinanciers. La personne ou l’entreprise qui a été escroquée signale le cas à la start-up, qui dépose automatiquement une plainte pénale auprès des autorités nationales ou étrangères compétentes et place le compte frauduleux sur une liste de surveillance. Les banques savent immédiatement qu’il y a un problème. Les transactions ultérieures sont bloquées. Les affaires des cybercriminels commencent alors à bégayer.

Pour développer les activités de Cybera, Nicola Staub a quitté son poste de procureur. Il gère les affaires globales de la start-up depuis le siège à New York, avec le soutien de son frère jumeau et cofondateur. Ce dernier est en train de monter une filiale en Grande-Bretagne. Le bureau suisse se trouve dans le district financier de Zurich, où sont aussi basés les investisseurs de la première heure. Parmi eux figurent René Brülhart, ancien surveillant financier au Vatican, et Marcel Rohner, ancien patron de l’UBS, aujourd’hui président de Swiss Banking. Marcel Rohner a investi le montant le plus élevé lors d’un premier tour de financement doté de plusieurs centaines de milliers de dollars.