Cryptique César!

Ça vous dit quelque chose. Vous en avez entendu parler, peut-être en lisant votre journal. Peut-être même plusieurs fois. Mais vous n’avez jamais compris ce qui se cachait derrière. Je parle d’une mode populaire depuis quelques années auprès de gens qui ont pourtant la réputation d’être toujours très sérieux: les zombies. Ou, plus précisément, l’utilisation du thème des zombies dans un contexte de scénario catastrophe.

Pièce à conviction: Cet article, datant du mois dernier, et qui détaille comment le Pentagone utilise ce thème pour entraîner son personnel en planification de mesures d’urgence à grande échelle. Ça aurait pu être une attaque terroriste ou une épidémie, mais non, c’est contre les zombies que les stratèges américains font leur classe. Ce n’est vraiment qu’un exemple – une recherche rapide sur internet vous montrera que le thème a été réutilisé à toutes les sauces dans des circonstances semblables, et ce depuis plusieurs années. Mais cette mode à l’apparence farfelue cache des objectifs bien pragmatiques.

Prenez une organisation quelconque. Cette organisation dépend de personnel, de systèmes et de processus d’affaires pour offrir ses services et est donc vulnérable à toute sorte d’incidents qui pourraient venir perturber ses opérations. Les organisations adoptent des plans de continuité des affaires visant à prévoir ce genre d’évènements et à préparer une réponse qui permettra à l’organisation de poursuivre ses activités. Ces plans de continuité seront ensuite révisés et testés annuellement dans l’organisation.

Dans la grande majorité des cas, « tester » veut dire ici réunir des acteurs clés autour d’une table, et réviser avec eux une à une les étapes du plan. À la base, c’est donc un exercice théorique qui n’a absolument rien d’excitant. Motiver le personnel à participer, alors qu’il considère souvent avoir d’autres chats à fouetter que se préparer contre quelque chose qui n’arrivera probablement jamais, devient donc important. Le thème des zombies permet d’introduire une nouveauté à un exercice ennuyant. Un groupe peu intéressé à réviser pour une énième fois les mesures à prendre en cas d’incendie deviendra soudainement attentif face à quelque chose de complètement différent.

Ce thème permet de revoir un grand nombre d’éléments qui sont tout aussi présents dans d’autres scénarios catastrophes plus réalistes. L’évacuation et le transport de masse, le rôle des premiers répondants, et un tas de questions logistiques auront des réponses semblables, peu importe le scénario retenu. Les efforts déployés peuvent être réutilisés dans ces autres contextes. En bout du compte, le choix du scénario exact n’est finalement pas si important que cela (dans les limites du raisonnable).

Finalement, il existe un dernier avantage aux zombies, plus subtil: personne ne pense qu’ils existent pour de vrai. En testant un plan de mesures d’urgence, il arrive parfois que certains membres d’une organisation soient spontanément sollicités à participer en périphérie. Par exemple, on peut demander à un département de TI une estimation du temps nécessaire à récupérer un système à partir d’une copie de sauvegarde. En situation de test, ce genre de demande doit être accompagné d’une mention précisant qu’il s’agit d’une simulation, question de ne pas faire paniquer des employés qui pourraient se demander si un incendie s’est vraiment déclaré dans la salle des serveurs. Le thème des zombies, lui, ne porte jamais à confusion, et le personnel impliqué saura instinctivement qu’il n’a pas affaire à quelque chose de réel.

Cela n’arrive pas souvent que les professionnels en sécurité ont l’occasion de s’amuser un peu. Et c’est pourquoi ils ont récupéré cette idée partout dans le monde… vraiment partout? Non! Une petite province d’irréductibles aux tendances réactionnaires résiste encore et toujours à l’envahisseur. Alors ça donne des choses comme celle-là, l’année dernière. Je laisse soin au lecteur de deviner ce que j’en pense.

Je suis tombé sur cet article qui m’a fait sourire; une stratégie chinoise pour combattre les transactions commerciales qui ne sont pas rapportées aux autorités.

Le principe est simple: le gouvernement chinois – comme celui de plusieurs autres pays – demande aux commerçants de conserver une trace des transactions effectuées avec leur clientèle. Cette trace existe sous la forme de reçus. Grâce à eux, le gouvernement est en mesure d’imposer des taxes sur le total des transactions effectuées par ces commerces.

Une entreprise qui désire rapporter des ventes plus faibles que la réalité à évidemment avantage à effectuer des transactions sans reçus, ce qui lui permet de les camoufler et donc de diminuer son fardeau fiscal.

Face à ce problème (particulièrement grave en Chine, à cause du haut taux de transactions utilisant la monnaie comparé à ce dont nous sommes habitués ici), le gouvernement chinois a imposé aux commerces sur son territoire l’utilisation d’un format standardisé de reçus. Mais comment encourager les commerces à participer si cela n’est pas à leur bénéfice?

Les Chinois ont eu une idée astucieuse en liant ces reçus avec une nouvelle loterie d’état. Soudainement, ce sont les consommateurs eux-mêmes qui ont tout intérêt à exiger l’utilisation de ces reçus, puisqu’ils obtiennent ainsi l’opportunité de gagner à cette loterie.
Cette stratégie d’encourager indirectement un comportement via un bénéfice marginal est utilisée à toutes les sauces en sécurité, dans toute sorte d’occasions.

Un scénario similaire est celui retrouvé dans certains restaurants qui ont pour politique annoncée d’offrir le repas gratuit à leur clientèle s’ils ne reçoivent pas de reçus suite à leur achat. Cette fois-ci par contre, ce n’est pas le gouvernement qui se protège, mais le propriétaire lui-même: il cherche ainsi à s’assurer que son personnel n’empoche pas tout simplement l’argent sans enregistrer officiellement la transaction, une forme commune de fraude dans ce type d’industrie. Le consommateur a tout intérêt à demander son repas gratuit en l’absence de reçu, et le personnel a tout intérêt à produire ce reçu sous peine de devoir expliquer pourquoi il permet ainsi à la clientèle de profiter de la situation.

Un autre exemple d’une stratégie semblable est dans la déclaration d’incidents de sécurité. Les entreprises (ou du moins, celles qui prennent leur sécurité au sérieux) vont typiquement demander à leur personnel de rapporter les incidents potentiels pouvant avoir un impact sur la sécurité de l’information à travers un processus formel de gestion des incidents. Mais ce personnel peut parfois être enclin à cacher les problèmes qu’il observe, par peur de représailles ou parce qu’il ne désire pas voir la situation se corriger. Une solution consiste à offrir un montant d’argent (ou tout autre bénéfice, comme des points pouvant être échangés contre des prix) pour chaque incident rapporté. Cela représente un coût direct pour l’entreprise, tout comme la création d’une nouvelle loterie nationale représente un coût pour la Chine, mais l’investissement peut être avantageux si cela encourage les employés à rapporter promptement les problèmes de sécurité.

Ces stratégies ne sont pas applicables dans toutes les circonstances, et peuvent également être exploitées par des acteurs malicieux. Un commerçant chinois pourrait se lier à un de ses clients pour produire artificiellement un très grand nombre de transactions, et ainsi augmenter les chances de gagner à la loterie. Ou encore, un employé astucieux pourrait déclarer un très grand nombre d’incidents de sécurité sans réelles conséquences dans le but de recevoir un maximum de récompenses du programme de gestion des incidents de son employeur. Même avec ces problèmes potentiels, ces solutions, appliquées avec un peu d’imagination, peuvent être plus efficace à influencer un comportement que les approches plus traditionnelles.

Les médias québécois ont rapporté mardi un acte de sabotage sur un transformateur du poste Joly, près de Québec. Les malfaiteurs s’en sont attaqués à l’huile minérale nécessaire à leur isolement électrique. Selon la source citée par La Presse, le ou les coupables connaissaient bien le fonctionnement de ces équipements ainsi que leur point faible (question de transparence: j’ai travaillé plusieurs années pour Hydro-Québec, en tant qu’employé et consultant).

Ce n’est pas la première fois qu’on s’en prend ainsi à l’infrastructure électrique; au Québec, certains se souviendront d’une bombe placée sur un pylône en 2004. Plus récemment, un autre poste électrique, Californien celui-ci, a subit d’important dommage – dans ce cas si, les coupables ont tout simplement utilisé des armes à feu pour mettre hors d’usage 17 (!) transformateurs.

Les enquêtes sont en cours, mais peu importe les motivations qui se cachent derrière ces évènements disparates, on peut comprendre l’anxiété des autorités. La grille électrique est une infrastructure critique pour n’importe quel pays industrialisé, et la perte d’un poste électrique névralgique au mauvais moment pourrait avoir des conséquences très fâcheuses pour la région touchée.

On a souvent discuté dans le passé que les compagnies électriques pourraient être la cible de cyber attaques, et l’importance de s’en prémunir, mais ces exemples montrent qu’elles peuvent tout autant être vulnérables à des menaces plus conventionnelles. Et avant qu’on crie à l’incompétence, sécuriser convenablement le tout n’est pas une tâche si évidente que ça quand on parle de centaines de postes, souvent loin des zones urbaines ou difficiles d’accès.

Heureusement, les autorités sont parfaitement au courant de la situation. En Amérique – incluant au Québec – des règles de sécurité particulières doivent être respectées pour l’ensemble des installations et systèmes considérés critiques pour l’intégrité de la grille électrique. Ces règles sont imposées à travers des normes dictées par la North American Electric Reliability Corporation.

Depuis 2 ans, un exercice annuel panaméricain a également lieu, le GridEx, qui rassemble l’ensemble des acteurs privés et publics, et qui a pour but de simuler une panne d’envergure du réseau électrique. Il ne s’agit que d’une simulation papier, aucune « panne » n’a réellement lieu, mais ce genre d’exercice permet quand même aux participants de mieux comprendre et d’échanger sur les risques auxquels ils font face, et sur les moyens disponibles pour les mitiger.