Projets

Paris 2024 déjà à l'entraînement face à la menace cyber

Compromission des accès aux sites physiques et en ligne, phishing, attaques du SI et des systèmes de diffusion, les menaces cyber sur Paris 2024 sont pléthores. Mais l'organisation s'y prépare. (Photo : Arena Champ-de-Mars - Rugby paralympique - Paris 202

Paris 2024 sera sans nul doute une cible de choix pour les attaques cyber de toutes sortes. À l'occasion de l'événement Champions en scène, l'organisateur des Jeux olympiques et paralympiques a détaillé sa politique de cybersécurité. Au programme, un centre opérationnel de cybersécurité, mais aussi des solutions réseau pour réguler les accès en ligne.

PublicitéLes Jeux olympiques et paralympiques de Tokyo en 2021 avaient déjà donné le ton en matière de cybermenaces, et ceux de 2024 qui se dérouleront à Paris devraient être encore plus exposés. Selon ComCyberGend (Commandement de la gendarmerie dans le cyberespace), le nombre d'événements de cybersécurité devrait être multiplié par un facteur entre 8 et 10 pour atteindre 4,4 milliards. Pour l'organisateur Paris 2024, assurer la résilience des moyens de diffusion, de l'accès aux sites tant physiques que numériques, des spectateurs et des internautes, des personnes accréditées pour rejoindre leurs espaces de travail, représente un défi de taille. Pour le relever, il a déjà entamé un imposant travail de planification, en particulier sur le contrôle d'accès. « Notre SI, ce sont 200 applications distribuées sur une centaine de sites au travers de quelques milliers d'équipements réseau et un peu plus de 12 000 postes de travail, soit l'équivalent d'une entreprise de taille intermédiaire, a rappelé Franz Regul, RSSI de Paris 2024 lors de l'événement Champions en scène organisé par l'équipementier Cisco. À ceci près que nos n'existions pas il y a 4 ans !»

L'expérience de précédents événements sportifs

Pour cet événement d'ampleur inédite en France, le RSSI affiche d'emblée un objectif ambitieux de « zéro incident ». « Nous nous préparons depuis 3 ans et nous avons encore 10 mois devant nous », rassure-t-il. Pour autant, rarement une édition des JO n'aura été autant sous la menace d'attaques potentielles en tous genres (opportunistes, hacktivistes, mafias...). Celles-ci pourraient viser directement le SI en tant que tel pour y placer des bombes logiques par exemple ou le système de billetterie, ou encore les internautes avec du phishing. Les modes opératoires sont donc variés et la surface d'attaque particulièrement étendue nécessitant de travailler tant sur la sécurité des personnes que des accès. « Notre principale préoccupation est d'assurer le bon déroulé des Jeux, a insisté Franz Regul. Il faut que la diffusion fonctionne, que les résultats et les photos s'affichent. » Pour s'en assurer, le RSSI a opté pour une vision holistique de la situation avec une analyse des risques prenant en compte les enjeux business et les impacts sur les métiers nécessitant un accompagnement dédié. « Nous faisons de la sensibilisation et de la formation auprès des équipes, ce qui n'est pas facile, car nos effectifs vont croissant », a-t-il poursuivi. En effet, de 2 000 aujourd'hui, le nombre de personnes travaillant pour l'organisation va grimper à 4 voire 5 000 dans les prochains mois. Sans compter les personnes accédant à tout ou partie du SI via des partenaires.

Il était donc urgent de mettre en place une solution dédiée et personnalisée. « Nous avons mis en place un centre de sécurité opérationnel dédié (SOC, security operation center) pour coordonner les activités des équipes qui surveilleront l'ensemble du SI pour détecter des traces d'activités suspectes, des dysfonctionnements et des vulnérabilités, indique Franz Regul. » Pour tester sa capacité à détecter les incidents de sécurité et à y répondre, Paris 2024 s'appuie sur l'expérience acquise sur des événements sportifs récents (triathlon, tir à l'arc, cyclisme...), sans donner davantage de précision sur les menaces qui ont pu être évitées. « Cela s'est bien passé, sans quoi nous aurions fait la une des médias », a glissé non sans malice Franz Regul.

PublicitéDu zéro trust saupoudré d'IA

Pour déployer le dispositif, Paris 2024 s'est appuyé sur des prestataires comme Orange, Eviden (ex Atos) ou Cisco. Ce dernier fournira l'infrastructure, la cybersécurité et la visioconférence. L'organisation exploitera par exemple l'analytique de données cyber XDR et la plateforme de sécurité cloud Umbrella de l'équipementier, déjà utilisées à l'occasion des Jeux de Tokyo, Londres, Rio, etc. Le Californien s'appuie par ailleurs sur le centre d'études en menaces privées Talos, pour une visibilité sur les données en temps réel.

Paris 2024 déploie aussi une stratégie zéro trust, qu'il qualifie de cruciale, pour différencier toutes les typologies d'accès et les lier avec les profils des personnes se connectant aux applications. Il s'agit de segmenter les droits des utilisateurs en fonction de leurs accréditations et de leurs usages. Des systèmes de filtre, d'analyse, de détection, de remédiation et d'investigation visent à éviter les comportements malveillants, à circonscrire les attaques et à les détecter de façon proactive en se servant pour cela de capacités d'intelligence artificielle.

L'organisation va également exploiter des systèmes Cisco pour déterminer avec des moteurs IA un cadre de connexion afin de modéliser les environnements de trafic réseau et ainsi détecter les comportements suspects. Le but ? S'assurer que les personnes qui se connectent sont légitimes et ne les autoriser à se connecter qu'aux applications pour lesquelles elles sont identifiées.