Bruno Kerouanton

Depuis quelques semaines, je ne suis pas vraiment très bavard sur mon blog. Et pourtant j’en aurai des choses à expliquer, mais je ne trouve pas la motivation pour le faire, il y a tellement de belles choses à faire par ailleurs en ce moment.

Entre la finalisation de mon emménagement dans le Jura suisse, les balades aux alentours afin de découvrir des endroits merveilleux à moins de 10mn de la maison et la fête du village (ça change de Paris !!), et le reparamétrage total de mes systèmes informatiques perso, je me suis bien occupé ces derniers temps.

Par exemple, la semaine dernière a été marquée par les inondations qui ont touché gravement le Canton du Jura, et qui ont nécessité le déclenchement de nombreux plans de crise, y compris pour le service de l’informatique. En effet, l’un de nos centraux téléphoniques étant sous l’eau, et l’électricité ayant été coupée par mesure de précaution sur notre site principal, cela nous ayant permis de basculer nos serveurs vers les sites de secours. C’est aussi pour ça que j’aime mon métier de RSSI, les situations de crise mettent un peu de piment au quotidien. Depuis le début de la semaine, les réunions se succèdent pour tirer des bilans et faire avancer le schmilblick. Bien plus instructif qu’une présentation théorique comme celle que j’avais eu l’occasion de présenter à NetFocus il y a 3 ans déjà.

Cela m’amène au sujet suivant… De l’intéret des conférences sécurité !

Comme la plupart des fournisseurs qui me connaissent le savent, j’ai une vraie réticence à accepter leurs invitations de présentations de produits et solutions, même dans les hôtels les plus prestigieux, car la plupart du temps il ne s’agit que de « propagande » commerciale et que je connais déjà les tenants et aboutissants de leur discours car je lis la « presse spécialisée », moi (securityfocus, mailing-list de l’Ossir, blogs etc…), et sais à l’avance si le produit m’intéresse ou non, ce qui m’évite des déplacements inutiles. Je me contente donc d’aller aux conférences qui me semblent plus pertinentes : NetFocus pour retrouver mes homologues RSSI, le SSTIC pour retrouver mes collègues experts, et parfois même les Assises pour y rencontrer les autres RSSI et éditeurs que j’aurais manqués. Trois par an, c’est largement suffisant pour moi (j’en connais qui ne sauraient se satisfaire d’un si modeste ratio), ayant par ailleurs largement à faire avec mes responsabilités de RSSI officiel et de directeur technique officieux.

En lisant comme à mon habitude le blog de Sid, je suis arrivé sur un article de 01Net sur la déception entourant la dernière conférence BlackHat… Sujet que d’autres avaient déjà évoqué et que je constate également… La SSI se cherche un peu. On a presque épuisé le sujets et peu d’innovations réelles arrivent. C’est à mon sens l’expression d’une maturité de ce domaine, on peut *enfn* commencer à réaliser des standards et on a fait le tour des problèmes. Quoique… Lorsque j’avais un peu plus de temps pour préparer mes présentations lors de symposiums, j’avais également pas mal d’idées de sujets en termes de sécurité, sujets que je me promettais d’investiguer et d’exposer par la suite. Puis le temps passant, je remettais à plus tard en me disant que parmi la communauté des experts en SSI il y en aurait bien un ou deux qui feraient les mêmes travaux et les présenteraient. Quelle ne fut pas ma déception lorsque je constate que nous sommes en août 2007, et que certains sujets de sécurité qui m’affectionnent particulièrement n’ont toujours pas été abordés, franchement si j’avais eu le temps j’aurai dû les traiter.

Personne ne semble s’émouvoir des problèmes liés aux firmwares et systèmes embarqués. Personne ne s’intéresse t-il plus aux soucis liés aux composants électroniques et aspects matériels ? Quels mystères renferment les IOS, les firmware des PABX, des caméras Wifi, et j’en passe… ? Peut-on reflasher de tels systèmes pour y insérer des backdoors ? Tant de questions intéressantes qui pourtant ne sont pas traitées, ou de manière marginale.

J’en viens donc naturellement à la dernière newsletter de HSC, et plus particulièrement à la narration fort instructive des échanges entre Hervé Schauer et RIM, la société canadienneà l’origine du Blackberry. Je vous invite à en prendre connaissance en fin de sa newsletter, c’est pour le moins déconcertant.

sur ce, je vous quitte, j’ai mon plan de crise à affiner !