Cybersécurité collaborative : construire un internet plus sûr

Ciaran Martin, ancien PDG du National Cyber Security Centre du Royaume-Uni, et Rahul Powar, PDG de Red Sift

Résumé exécutif : À mesure que la technologie progresse, les risques associés évoluent également. Une conversation entre leaders du secteur souligne que les efforts collaboratifs en matière de cybersécurité sont essentiels pour construire un internet plus sûr et plus résilient.

Cet article :

• Présente une discussion entre Ciaran Martin et Rahul Powar sur le renforcement de la sécurité d'internet.​
• Aborde les défis liés à l'équilibre entre innovation technologique et risques émergents.​
• Propose les efforts collaboratifs comme essentiels à la création d'un environnement numérique plus sûr.

La promesse fondamentale d'internet est celle de la connexion, de l'opportunité et de l'innovation. Mais à mesure que l'innovation technologique progresse, les risques augmentent également. Le défi est clair : comment créer un internet fondamentalement plus sûr tout en permettant aux organisations de toutes tailles de prospérer dans un monde axé sur le numérique ?

Au cœur de cette mission se trouvent la simplicité et la collaboration. Des initiatives comme l'Active Cyber Defence (ACD) du Royaume-Uni démontrent le pouvoir transformateur de protocoles de sécurité accessibles. Cela inclut des outils comme Mail Check, conçu pour évaluer et améliorer la posture de sécurité email d'une organisation en analysant des protocoles d'authentification clés comme DMARC (Domain-based Message Authentication, Reporting & Conformance), réduisant ainsi les risques de sécurité. L'ACD prouve que même des mesures basiques, mises en œuvre à grande échelle, peuvent avoir un impact mesurable, notamment grâce à la collaboration entre le secteur public et privé pour améliorer la sécurité pour tous — pas seulement pour les organisations disposant de budgets importants ou d'équipes de sécurité dédiées.

Fondamentalement, la cybersécurité ne peut pas être une solution ponctuelle ; c'est une pratique continue. Prenons l'exemple de l'email, toujours la colonne vertébrale de la communication pour les entreprises et les gouvernements, et l'un des plus grands points d'entrée pour les acteurs malveillants. Protéger ces organisations contre les dommages, y compris les emails de phishing, nécessite des outils et des solutions innovants comme DMARC pour sécuriser les communications sortantes.

En 2024, nous avons assisté à une augmentation de l'adoption des enregistrements DMARC, de nombreuses organisations se précipitant pour mettre en place une authentification de base (y compris le reporting DMARC), suite à l'annonce de nouvelles exigences par Google et Yahoo pour les expéditeurs en masse. Avec les leaders du secteur poussant pour le changement, un appétit clair pour une vigilance continue est apparu, mais celui-ci reste progressif. Une recherche de Red Sift a révélé que 86,62 % des domaines — sur un échantillon mondial de 72 millions — ne disposaient toujours pas d'un enregistrement DMARC de base un an plus tard. Pour les organisations gouvernementales, la situation semble plus positive avec 52,7 % mettant en œuvre une politique DMARC de quarantaine ou de rejet. Bien que DMARC offre un moyen puissant de bloquer les emails frauduleux sortants, il ne peut atteindre une efficacité maximale que lorsqu'il est correctement appliqué à l'échelle de l'écosystème.

En 2025, la collaboration est essentielle, les organisations des secteurs public et privé devant travailler à l'unisson pour fournir des services vitaux tels que le partage de données, centrés sur un message unifié visant à atteindre l'application de DMARC, atténuant ainsi les cybermenaces. Lorsque les deux mettent en œuvre les mêmes meilleures pratiques et ont accès aux outils les plus innovants, il est possible d'atteindre une visibilité complète sur les communications email et de créer un internet plus sûr pour tous.

La cybersécurité est dynamique et complexe. Les acteurs malveillants innovent constamment, trouvant de nouvelles façons d'exploiter les failles des protocoles de sécurité. Il y a dix ans, l'adoption de DMARC était largement portée par les leaders du secteur et les initiatives gouvernementales encourageant une meilleure authentification des emails. Aujourd'hui, les enjeux sont plus importants, et la conformité est souvent obligatoire dans le cadre de référentiels comme PCI DSS 4.0 ou de réglementations telles que le Digital Operational Resilience Act (DORA) de l'Union européenne (UE). Le PCI-DSS et le DORA mettent tous deux l'accent sur la sécurité des emails en tant que composante essentielle de la protection des données sensibles et de la garantie de la résilience opérationnelle. Bien qu'aucune des deux réglementations n'impose explicitement DMARC, elles encouragent fortement les entreprises à mettre en œuvre des mesures d'authentification des emails comme DMARC, SPF et DKIM dans le cadre de leur stratégie globale de cybersécurité.

Néanmoins, l'application n'est qu'une partie de la solution. Une véritable protection nécessite un engagement continu pour maintenir la conformité et s'adapter aux nouvelles menaces. Par exemple, à mesure que les organisations se développent et adoptent de nouvelles technologies, leur infrastructure d'envoi d'emails évolue souvent. Les nouveaux serveurs, les domaines expirés, les plateformes marketing et les outils tiers introduisent des complexités qui doivent être soigneusement gérées pour éviter les failles de sécurité. Sans surveillance et maintenance continues, même des protocoles de sécurité bien mis en œuvre peuvent se dégrader avec le temps, laissant les entreprises exposées à des risques qu'elles pensaient avoir atténués.

C'est là qu'interviennent l'automatisation et les outils avancés. Les outils offrant une surveillance en temps réel, des rapports d'analyse et une résolution automatisée des problèmes permettent aux organisations de suivre les exigences de la cybersécurité moderne. En réduisant la charge pesant sur les équipes informatiques, ces outils rendent possible, même pour les PME, la mise en œuvre et le maintien de mesures de sécurité robustes. Le résultat est un internet plus sûr pour tous.

Au-delà des défis techniques, il existe également un aspect culturel dans la construction d'un internet plus sûr. La cybersécurité doit être considérée comme une responsabilité partagée. Les gouvernements, les organisations du secteur privé et les praticiens individuels ont tous un rôle à jouer. Des programmes comme l'ACD démontrent comment les partenariats public-privé peuvent créer un changement significatif. En travaillant ensemble pour résoudre des problèmes systémiques, nous pouvons obtenir des résultats qu'aucune entité seule ne pourrait accomplir. Par exemple, le retrait automatisé de sites web malveillants — un élément clé de l'ACD — n'a été possible que grâce à la collaboration entre les agences gouvernementales et les prestataires du secteur privé. Les résultats parlent d'eux-mêmes : moins de sites malveillants, moins d'opportunités d'exploitation, et un environnement numérique plus sûr pour tous les utilisateurs.

En tant que praticiens, il est facile de se concentrer sur les dernières technologies qui font la une des journaux — l'intelligence artificielle, la détection d'anomalies, ou le renseignement avancé sur les menaces, pour n'en citer que quelques-unes. Bien que ces éléments soient importants, ils ne doivent pas éclipser les fondamentaux. S'assurer que chaque email envoyé depuis votre domaine est authentifié, que vos serveurs sont chiffrés par défaut, et que vos enregistrements DNS sont correctement configurés n'est peut-être pas glamour ni susceptible d'enthousiasmer un conseil d'administration, mais ces mesures sont fondamentales. Elles réduisent les risques à grande échelle et fournissent un niveau de sécurité de base qui protège tout le monde, des utilisateurs individuels aux grandes organisations.

La communauté de la cybersécurité est confrontée à une question importante : comment nous appuyer sur ces succès pour créer une résilience encore plus grande ? La réponse réside dans une innovation qui privilégie l'accessibilité. Les solutions de sécurité doivent être faciles à adopter et évolutives pour les organisations de toutes tailles. Qu'il s'agisse de simplifier le déploiement de protocoles comme MTA-STS (Mail Transfer Agent Strict Transport Security) ou de créer des tableaux de bord intuitifs qui rendent des tâches complexes simples et exploitables, l'accent doit être mis sur l'autonomisation des utilisateurs pour qu'ils prennent le contrôle de leur posture de sécurité.

Le besoin d'éducation et de sensibilisation sont également des facteurs essentiels. De nombreuses organisations ignorent encore les outils et protocoles à leur disposition ou manquent de l'expertise nécessaire pour les mettre en œuvre efficacement, sans parler des conséquences à grande échelle de rester non sécurisées. Combler cet écart nécessite non seulement des solutions techniques, mais aussi de la sensibilisation, de la formation et des ressources qui rendent la cybersécurité accessible à tous.

Le chemin vers un internet plus sûr peut sembler ardu, mais s'il est mis en œuvre efficacement, il sera transformateur. Aujourd'hui, nous devrions œuvrer à garantir que chaque entreprise, quelle que soit sa taille ou ses ressources, ait accès aux informations, conseils et outils disponibles pour rester protégée, tout en construisant une responsabilité partagée pour atteindre l'application, à travers DMARC et d'autres protocoles. En nous concentrant sur un objectif collectif et en exploitant des protocoles de sécurité évolutifs, nous pouvons construire un internet qui ne soit pas seulement innovant, mais résilient. Ensemble, nous pouvons créer un environnement accessible à tous, sans compromettre la sécurité ou la confiance.