Les pirates éthiques sont embauchés par des entreprises ou des communautés pour tester la résistance aux cyberattaques de leurs systèmes informatiques. Leur guerre silencieuse protège ceux qui doivent protéger nos données
Les experts de la lutte contre la cybercriminalité, les pirates éthiques travaillent pour protéger et renforcer la sécurité informatique des entreprises et des États qui les utilisent. Selon le site de la communauté Hackerone, qui rassemble plus de 600 000 pirates éthiques dans le monde, le premier appareil qui a été constitué de pirates enrichissants pour identifier les problèmes d’un programme informatique ou d’un système d’exploitation remonte à 1983: Nous parlons ensuite de Programme de primes de bugou «Programme bonus chez Bugs» en français.
Depuis lors, ces Programmes de primes de bug multiplié. En 2020, les pirates éthiques de la plate-forme hackerone aurait résolu plus de 300 000 échecs et vulnérabilités informatiques en échange de plus de 200 millions de dollars en primes, ou primes.
En termes de sécurité et de défense, l’utilisation des astuces, quels qu’ils soient, n’est ni en plein air ni avec un grand bruit. Dans une étude pionnière sur ce thème, nous avons examiné ce qui constitue l’éthique silencieuse des pirates éthiques dans la guerre qu’ils ont conduit à des cybercriminels.
En général, les pirates éthiques se spécialisent dans les tests d’intrusion informatique avec des sociétés consentantes, afin d’explorer ses vulnérabilités et de proposer des actions correctives si nécessaire.
Leur silence assure à la fois la transmission des connaissances (par imitation, seule devant l’écran), la formation et l’acquisition de compétences, mais aussi la socialisation au sein d’une communauté et une profession ainsi que la promotion de leur expérience et de leur réputation. Toutes ces dimensions sont liées concrètement et sont en fait réparties vers trois moments: avant, pendant et après la mission de piratage éthique.
Avant la mission
tout d’abord, les pirates éthiques doivent acquérir et développer les compétences techniques nécessaires pour devenir de vrais testeurs capables de détecter des vulnérabilités, plus généralement des défauts de sécurité, à savoir des professionnels qualifiés et légitimes. Cependant, leur formation commence souvent par l’adolescence, isolément, bien avant d’entrer dans l’enseignement supérieur. Par la suite, l’accès à la formation des pirates éthiques est resté difficile depuis longtemps en raison du faible nombre d’approvisionnement en tant que tel. Cependant, ces cours de formation se sont considérablement développés récemment et ont acquis une visibilité en France et en particulier aux États-Unis.
Lorsqu’une entreprise fait appel à des pirates éthiques, il le fait sans trop de publicité. Les appels d’offres sont rares. Des plateformes américaines spécialisées telles que Hackerone racontent des sociétés demandant et des pirates volontaires. Cependant, les contrats ne sont pas rendus publics: ni sur les missions, ni sur le montant de la prime, ni sur les résultats…
Les termes du contrat sont par définition du secret professionnel: avant d’effectuer un test d’intrusion, il est important d’obtenir le consentement des propriétaires du système sur ce qui est possible à faire ou à ne pas faire.
Pendant la mission
Au cours des tests d’intrusion, les pirates éthiques ont accès à des informations sensibles ou confidentielles sur l’organisation (informatique mais aussi des données financières logistiques… sans oublier les brevets) et ses employés (taxe, données administratives, etc.). Le secret professionnel autour des informations recueillies directement ou indirectement est essentielle.
De même, les vulnérabilités et les défauts découverts pendant la mission ne doivent tous être signalés qu’au parrain, sans les rendre publics ni les utiliser plus tard.
Le piratage éthique n’a pas le même cadre juridique d’un pays à l’autre: les lois et réglementations locales correspondent rarement, que ce soit en Europe ou dans les États fédéraux, par exemple en Inde ou aux États-Unis. Le cadre juridique changeant oblige ainsi les pirates à la plus grande discrétion, à la demande et pour le bien de leur employeur.
Après la mission
À la fin d’une mission, les obligations des pirates éthiques ne s’arrêtent pas. Contractuellement, ils n’ont plus le droit de pénétrer dans le système d’organisation client. En même temps, ils doivent effacer toutes les traces de leur passage et leur activité et arrêter toutes les formes de tests.
De plus, les pirates éthiques ne devraient pas divulguer ce qui a été vu (informations stratégiques, données privées, échecs et vulnérabilités identifiés, etc.), ou ce qui a été fait, ou stocker les données collectées. Ils ne devraient pas non plus vendre ces données collectées. Le secret professionnel est essentiel, autant que la maintenance des relations avec chaque client est rendue nécessaire pour garantir le suivi approprié des opérations effectuées.
La difficulté pour les pirates éthiques est due au fait de tirer parti de leur expérience pour les futures missions avec des clients potentiels. Cela doit être fait de manière modérée, à savoir tout en respectant les règles de confidentialité et sans être identifiées à son tour comme une cible par les concurrents potentiels, même, surtout, par des pirates criminels.
Nous trouvons à chaque étape de la mission les règles de confidentialité relatives au secret professionnel. Concrètement, les pirates éthiques peuvent être soumis à un secret professionnel par mission (en tant que fournisseur de services pour une organisation de santé publique par exemple) ou par fonction (en tant que fonctionnaire). Cependant, pour le moment, ils ne sont pas soumis à un secret professionnel en tant que profession.
En tant que numérisation croissante des activités humaines et professionnelles, la cybersécurité phagocyte une grande partie des problèmes de sécurité, qu’ils soient intérieurs et externes, publics et privés. Il ne s’agit plus de travailler dans une synergie opérationnelle entre les services au sein des organisations, mais plutôt d’intégrer systématiquement la cyber-menace et ses soins pour l’ensemble de l’organisation et ses parties prenantes (employés, clients, fournisseurs et société civile en général).
Le silence est l’élément fondamental de la formation (avant la mission), de la socialisation (avant et pendant la mission) et de la réputation (après la mission) des pirates éthiques. Ce silence transmet et enjoint, socialise et favorise, mais protège également ceux qui doivent protéger les données de tout le monde.
Être un pirate éthique constitue finalement un engagement politique opérationnel mais aussi civique, même politique, qui oblige les organisations publiques et privées à aligner la stratégie et l’éthique, au risque de mettre en danger elles-mêmes.
