Par Célestin Bénière, Pierre-Simon Picot et Inès Radovanovic, M2 AlterEurope 2024-2025
Dans le cadre du cours « Les relations externes de l’UE », Livia Tibirna intervenait le 05 décembre 2024. Diplômée du master Altereurope, elle est aujourd’hui analyste Cyber Threat Intelligence à Sekoia.io, à Paris. L’objectif principal de cette conférence était donc de comprendre son parcours, la cybersécurité n’étant pas un débouché attendu du master, mais aussi de s’intéresser aux principaux enjeux de ce domaine. Ainsi, après une brève présentation de son entreprise et de son rôle au sein de celle-ci, la conférence a été animée autour de trois thèmes majeurs : le parcours de l’intervenante, les enjeux de la coopération internationale et interinstitutionnelle du travail d’analyste des cybermenaces, et enfin une mise en perspective avec les tendances et défis sectoriels. Nous vous proposons ici un résumé des différents thèmes abordés.
Sekoia.io et le métier d’analyste cyberthreat intelligence
Selon Livia Tibirna, Sekoia, société bretonne fondée il y a plus de 10 ans, occupe une place stratégique dans l’écosystème de la cybersécurité. En tant que prestataire de services, elle répond aux besoins croissants en cybersécurité des entreprises et des collectivités. Ses clients, souvent à la recherche de connaissances approfondies sur les menaces cyber, utilisent les analyses de Sekoia pour des applications diverses, notamment dans les secteurs stratégiques. L’entreprise, qui emploie une équipe de 20 experts spécialisés dans le renseignement sur les menaces (Cyber Threat Intelligence, CTI), se distingue par la taille de son pôle CTI en comparaison avec les autres entreprises du même domaine.
C’est en 2020, dans un contexte marqué par le début de la pandémie et l’essor des questions cyber en France, que Livia Tibirna a intégré le secteur de la cybersécurité. Sa maîtrise du russe, langue rare très recherchée, a été un atout décisif dans l’obtention de ce poste. En effet, selon elle, le russe est souvent utilisé dans le monde cyber et est donc très utile afin de repérer des cyberattaques. Issue d’une formation en économie, elle a suivi pendant le master un cours sur l’intelligence économique. Ainsi, les techniques de veille en sources ouvertes développées au cours de sa formation lui ont également été utiles pour rejoindre le domaine cyber. Elle a développé les connaissances spécifiques sur le domaine de la cyber une fois en entreprise, notamment par le biais de la formation continue en interne.
Sekoia se qualifie sur sa page LinkedIn de « leader des solutions de détection et de réponse étendues (XDR) ». L’entreprise se place ainsi comme acteur clé du milieu cyber à la fois en protégeant les entreprises et en participant à la montée en compétence globale face aux menaces numériques.
Du master Altereurope au monde de la cybersécurité
Pour passer de la veille économique à l’analyse cyber, l’un des principaux défis réside dans l’apprentissage de la terminologie spécifique. Le secteur cyber est complexe et technique, de par la diversité des menaces, et de l’évolution des technologies et attaques. Cependant, les méthodologies de veille économique et d’analyse cyber partagent des bases communes, notamment en matière de collecte, d’organisation et d’analyse de données. Un défi majeur pour les acteurs du monde cyber consiste à sensibiliser le public à la cybersécurité tout en déconstruisant les clichés véhiculés par les médias, tels que l’image des pirates en capuche ou les discours sensationnalistes.
La cybersécurité est un domaine intrinsèquement pluridisciplinaire, mobilisant des compétences variées, et employant des linguistes, des ingénieurs, des juristes ou encore des analystes, comme Livia Tibirna, issus de cursus en relations internationales.
Cette diversité reflète la sophistication croissante des cyberattaques, qui ne se limitent plus à des virus automatisés, mais sont souvent des attaques humaines ciblées (human-operated attacks). Ainsi que le souligne l’analyste en cyberthreat intelligence, les plus grands groupes d’attaquants peuvent mobiliser jusqu’à 300 personnes, opérant dans des structures comparables à celles d’entreprises. Par exemple le groupe Lazarus venant de Corée du Nord comprenant des milliers de membres selon l’armée américaine.
D’après les propos de Julien Nocetti dans son article « Géopolitique de la cyber-conflictualité», il apparait que les campagnes cyber sont souvent imbriquées dans des contextes géopolitiques . Elles constituent une forme de guerre hybride, visant à saboter, espionner ou influencer des adversaires dans un cadre stratégique. Il peut également y avoir des motivations économiques. Par exemple, la Corée du Nord effectue des attaques afin d’obtenir des devises qu’ils leur sont interdits comme des dollars ou des euros. C’est ce qu’indique un article de France info intitulé « En Corée du Nord, une nouvelle source de devises : le cyber-braquage » paru en octobre 2017. Les réactions à des déclarations politiques ou des tensions internationales peuvent se traduire par des attaques ciblées . Par exemple, le virus américain et israélien Stuxnet a attaqué les centrifugeuses d’uranium iraniennes en 2010. Les États-Unis et Israël souhaitant empêcher l’Iran de développer un programme nucléaire militaire. Une analyse fine des liens entre ces campagnes et les tendances géopolitiques est donc essentielle.
Bien que le renseignement open-source (OSINT) facilite l’accès à une masse de données, celui-ci implique aussi de composer avec des sources peu fiables ou biaisées. Ces manipulations sont parfois utilisées par les adversaires eux-mêmes dans leurs méthodes d’attaque. Ce fut le cas en 2020 lorsque le groupe « Ghostwriter » a publié de fausses informations visant à déstabiliser l’OTAN, comme le relate l’article de la BBC « Hackers post fake stories on real news sites ‘to discredit Nato’ » paru en 2020.
Les enjeux de la coopération internationale et interinstitutionnelle du travail d’analyste des cybermenaces
Selon Livia Tibirna, la cybersécurité repose sur une collaboration essentielle entre acteurs publics et privés, bien que leurs objectifs diffèrent souvent. L’État, via des entités comme l’Agence nationale de la sécurité des systèmes d’information (ANSSI) ou le Commandement Cyber, doit souvent s’appuyer sur le secteur privé pour pallier le manque de ressources internes et assurer une surveillance continue. Les entreprises privées, quant à elles, cherchent à maintenir une visibilité exhaustive sur les menaces, mais leur efficacité reste limitée aux informations liées à leurs clients, laissant potentiellement de côté des cibles non couvertes. Une collaboration entre les secteurs public et privé permet une meilleure réponse aux menaces cyber.
D’après les observations de l’analyste, en dépit d’une apparente concurrence, les entreprises privées savent souvent dépasser les enjeux commerciaux au profit du partage d’informations, permettant de ne pas travailler isolément sur les mêmes menaces. Cette collaboration se manifeste fréquemment dans des associations et groupes de travail, comme l’ONG Oasis Open qui s’est spécialisée dans les échanges de données en Open source notamment dans le domaine de la cybersécurité.
L’Union européenne joue un rôle de plus en plus marqué dans ce domaine, principalement en tant que puissance normative, nous apprend Livia Tibirna. Bien que des initiatives de l’UE comme le Cybersecurity Act ou l’action de l’ENISA (Agence de l’Union européenne pour la cybersécurité) aient un impact indirect sur des entreprises comme Sekoia, elles touchent davantage leurs clients en renforçant les obligations de sécurité. Des collaborations plus spécifiques, notamment avec Europol, permettent néanmoins d’intégrer des experts privés dans des groupes consultatifs pour discuter de thématiques cyber critiques. Ces échanges réguliers enrichissent la coopération et renforcent les capacités de réponse aux menaces, ainsi que le souligne l’intervenante.
Toujours d’après cette dernière, l’externalisation des infrastructures numériques reste une problématique majeure. De nombreuses entreprises délèguent la gestion de leurs systèmes à des opérateurs basés dans des pays tiers au Maghreb ou à l’Inde pour des raisons économiques, ce qui pose un risque de vulnérabilité systémique en cas d’attaque ciblant ces régions. Cette dépendance à des droits locaux et à des acteurs étrangers pourrait constituer une faille critique dans un contexte de conflit ou de crise géopolitique.
Mise en perspective avec les tendances et défis sectoriels
La cybersécurité est un domaine profondément influencé par les dynamiques géopolitiques au sens où les rivalités cyber peuvent être le miroir des rivalités géopolitiques. Les cyberattaques, qu’elles soient issues d’États ennemis ou alliés, reflètent les tensions internationales. L’invasion de l’Ukraine a marqué une intensification notable des attaques, tandis que l’espionnage entre États alliés demeure une réalité constante dans le cyberespace selon Livia Tibirna. Par exemple, l’affaire d’espionnage de 2021 impliquant les États-Unis et le Danemark, visant la France et l’Allemagne, n’a pas provoqué de rupture de coopération avec des entreprises de ces pays – ces activités sont souvent discutées de manière restreinte et servent de moyen de dissuasion ou de pression diplomatique toujours d’après l’intervenante.
Les entreprises privées, comme Sekoia, adoptent une approche stratégique pour anticiper les menaces, notamment lors d’événements sensibles comme les Jeux Olympiques. En effet, l’entreprise a ciblé les potentiels attaquants, et quels outils ils utiliseraient (DDoS, Malware…). D’après les informations de l’ANSSI, ce ne sont pas moins de 548 attaques cyber qui sont survenu lors des JO et qui ont été contrées avec succès. Les entreprises privées travaillent également sur les tendances globales, notamment géopolitique, pour identifier les acteurs susceptibles de poser un risque.
Le travail des analystes, comme dans le cas du dark web, repose sur la capacité à automatiser le tri des informations et à évaluer leur pertinence. La fiabilité des sources et la qualification des informations sont fondamentales, notamment lorsque l’identification des auteurs d’attaques reste incertaine. Ce processus nécessite une méthodologie rigoureuse où chaque élément est noté selon son degré de confiance. Si une information ne peut être confirmée, cela doit être explicitement indiqué pour éviter toute interprétation erronée. On peut alors citer Livia Tibirna, qui affirme : « Il n’est pas grave de ne pas être certain d’une information, cependant ça l’est de ne pas en être sûr et de ne pas le dire ».
L’intelligence artificielle (IA) joue un rôle croissant dans ce domaine, notamment en facilitant la recherche et le traitement de données massives. Les logiciels intègrent de plus en plus d’outils basés sur l’IA pour aider les clients à analyser les menaces en temps réel. Selon Livia Tibirna, bien que la spécialisation sectorielle soit limitée en France, Israël et les États-Unis sont relativement avancés dans le domaine. En effet, sur 1.9 millions d’ingénieurs spécialisé dans l’IA, environ un million travaillait aux États-Unis en 2018 selon un rapport de l’Observatoire de la politique de défense américaine.
En cas de cyberattaque, l’analyste commence par identifier les techniques utilisées par les attaquants, en suivant une chronologie spécifique. Les premières étapes, comme l’entrée dans le réseau et les reconnaissances initiales, sont prioritaires, car elles permettent de comprendre les modes opératoires des agresseurs. D’après les observations de Livia Tibirna, les victimes d’attaques, bien qu’étant parfois hésitantes à partager des informations par crainte de stigmatisation, sont encouragées à le faire, car leurs expériences fournissent des renseignements cruciaux pour prévenir d’autres incidents.
Cette conférence a permis d’engager une discussion approfondie sur la cybersécurité, combinant une présentation des enjeux techniques et stratégiques de ce domaine au parcours professionnel de Livia Tibirna, ancienne étudiante du master. Son expérience illustre la transversalité et la pluridisciplinarité du secteur, où compétences en veille, analyse, et adaptation sont essentielles. Les participants se sont particulièrement intéressés à des thématiques telles que la coordination entre acteurs publics et privés dans la sphère de la cybersécurité, l’impact des dynamiques géopolitiques sur le travail ainsi qu’aux avancées technologiques, notamment l’intelligence artificielle et ses implications dans ce secteur. La conférence a mis en lumière les perspectives professionnelles accessibles après le Master et nous a apporté de nombreuses connaissances dans un domaine qui nous était jusqu’alors méconnu.
Bibliographie
- Agence nationale de la sécurité des systèmes d’information. (2024). Bilan cyber des Jeux Olympiques et Paralympiques de Paris 2024. Rapport, 10 septembre 2024.
- BBC News. (2020, 30 juillet). Hackers post fake stories on real news sites ‘to discredit Nato’. BBC News.
- Douzet, F. (2014). La géopolitique pour comprendre le cyberespace. Hérodote, 152-153(1), 3-21. CAIRN.INFO. Consulté le 23 décembre 2024 à l’adresse https://shs.cairn.info/revue-herodote-2014-1-page-3?lang=fr.
- Morel, A. (2017, 20 octobre). En Corée du Nord, une nouvelle source de devises : le cyber-braquage. En direct du monde.
- Nocetti, J. (2018). Géopolitique de la cyber-conflictualité. Politique étrangère, 83(2), 15-27. CAIRN.INFO. Consulté le 23 décembre 2024 à l’adresse https://shs.cairn.info/revue-politique-etrangere-2018-2-page-15?lang=fr.
- OASIS Open. (n.d.). OASIS Open [Site web]. Consulté le 23 décembre 2024 à l’adresse https://www.oasis-open.org/.
- Sekoia.io. (n.d.). Sekoia.io [Site web]. Consulté le 23 décembre 2024 à l’adresse https://www.sekoia.io/en/homepage/.
- United States Army. (2020). North Korean tactics. Rapport de l’armée américaine, juillet 2020.
OpenEdition vous propose de citer ce billet de la manière suivante :
Admin blog (Pascal Bonnard) (17 janvier 2025). Cybersécurité et Géopolitique : Parcours, Enjeux et Perspectives selon Livia Tibirna, analyste Cyber Threat Intelligence. AlterEurope. Consulté le 22 avril 2025 à l’adresse https://doi.org/10.58079/1342g