[ Actes de conférence - Édition 2018 ]

Conférence Plénière : La sécurité de l’Internet des Objets par les usages (AUDITORIUM - 1er étage)
Les objets communicants qui envahissent notre quotidien sont devenus une source indéniable d’enthousiasme pour les utilisateurs qui voient leur quotidien s’améliorer par les usages de manière quasi « magique ». Toutefois, ils sont aussi source d’inquiétude pour de nombreux experts en sécurité qui les considèrent comme de nouveaux vecteurs d’attaques, mais aussi d’intrusion dans la vie privée. Quels sont les vecteurs d’intrusion via ces objets ? Comment peut-on éviter que notre vie privée ne soit étalée sur le Web ? Quels sont les usages, personnels comme professionnels, qui apparaissent aujourd’hui viables et sécurisés, notamment dans des domaines sensibles, tels que la santé, la domotique ou l’automobile ?
Table ronde avec Sadio Bâ, Coordinateur sectoriel "transport" de l’ANSSI, Philippe LOUDENOT, FSSI, Ministères chargés des Affaires sociales, Marc-Antoine LACOSTE, Expert sécurité des services, Orange Labs, etc.
Modérateur : Hervé SCHAUER, administrateur et co-animateur du groupe de travail cybersécurité des systèmes industriels du Clusif

Privacy by design, théorie et exemples pratiques (AUDITORIUM - 1er étage)
Le RGPD définit le privacy by design comme l’implémentation, dès la détermination des moyens d’un traitement de données à caractère personnel puis au cours de sa mise en œuvre, de mesures techniques et organisationnelles, ainsi que la mise en place de garanties nécessaires permettant d’assurer la conformité du traitement au RGPD. Nous aborderons ce sujet sous la forme de deux présentations complémentaires, en présentant le point de vue du régulateur sur la notion, puis en présentant les mesures qu’un acteur du secteur publicitaire a intégré dès la conception de ses infrastructures.
Armand HESLOT, Ingénieur expert, CNIL, et Frédéric MAS, Directeur R&D, Vectaury

Faciliter la détection d’incidents de sécurité, conseils pratiques (SALLE KARNAK - RDC)
Il est tristement connu qu’il faut en moyenne plusieurs mois à une société pour se rendre compte qu’elle a eu un incident de sécurité… Pourtant, les moyens de détections et les alertes générées par les différents outils sont légions. Dans ce contexte, comment se concentrer sur quelques indicateurs simples permettant de rapidement identifier un dysfonctionnement ? En s’appuyant sur des outils usuels, majoritairement open-sources, nous tacherons de présenter quelques solutions permettant d’identifier plus facilement certains incidents de sécurité et donc de pouvoir réagir plus vite, tout en limitant le bruit et les alertes parasites.
Nous aborderons notamment les particularités des objets connectés pour lesquels peu de sources d’information sont disponibles.
Paul SUCH, Directeur et Fondateur de Hacknowledge

La communication de crise : une nécessité en cybersécurité (AUDITORIUM - 1er étage)
Anticiper et répondre à une compromission de manière transparente et responsable relève de la gestion de crise. De plus, le RGPD impose une communication sortante en direction des personnes concernées par une compromission de données si celle-ci présente un risque élevé pour les personnes touchées. La communication de crise prend ainsi une importance plus grande encore pour le maintien de la confiance en l’organisation. J’aborderai donc quelques cas connus, sous l’angle de la communication sortante et ce qu’elle révèle de la gestion de crise sous-jacente.
Rayna STAMBOLIYSKA, PhD, Consultante sécurité, iDNA

Game of Trust – IoT Security (SALLE KARNAK - RDC)
L’IoT va permettre de connecter plusieurs choses dans nos quotidiens. Pour ce faire, le consommateur doit être prêt à faire confiance à ces dispositifs communicants souvent d’une manière autonome. Mais comment peut-on savoir qu’un objet connecté est digne de confiance ? Existe-t-il un indicateur permettant à la fois de caractériser le degré de confiance et de motiver le consommateur ? Au cours de cette présentation, Red Alert Labs apportera des réponses à ces questions et lancera le débat.
Roland ATOUI, Managing Director & Founder de Red Alert Labs

RETEX sur des missions de mise en conformité au RGPD réalisées conjointement par un cabinet de conseil et un cabinet d’avocat (AUDITORIUM - 1er étage)
La présentation sous forme de retour d’expérience aura pour objectif d’illustrer deux méthodes de mise en conformité au RGPD, la méthode « bottom>>up » démarrant par la cartographie des données et la méthode « top>>down » commençant par les processus métiers. Elle portera ensuite sur les difficultés pour interpréter certaines notions clés du RGPD comme le positionnement en tant que responsable du traitement ou sous-traitant et le positionnement du DPO.
Isabelle THOMAS, Consultante Manager Cybersécurité, ON-X Groupe, et Isabelle RENARD, Avocate au barreau de Paris

Quelles technologies pour sécuriser la voiture connectée ? (SALLE KARNAK - RDC)
Au cours des dernières années, des chercheurs ont montré que le développement de la connectivité de nos voitures pouvait les rendre vulnérables. Quelles solutions les constructeurs ont-ils ou vont-ils adopter pour les rendre plus sécurisées (et donc plus sûres) ? Modification d’architecture E/E, utilisation de sécurité matérielle ou de solutions tierces… font partie des solutions adoptées.
Il s’agit d’un véritable bouleversement pour cette industrie plus habituée aux problématiques de sûreté qu’à celle de sécurité.
Mehdi BOUCHERAK, Consultant cybersécurité, Sogeti High Tech

Intelligence artificielle : nouveau levier d’attaque et de défense (AUDITORIUM - 1er étage)
L’actualité le montre bien, l’intelligence artificielle (IA) et le machine learning sont des sujets en plein essor, avec des usages déjà très concrets : lutte contre la fraude, relation client, maintenance prédictive de matériel, etc. La conférence s’intéressera aux adhérences entre IA et cybersécurité, en présentant les risques associés et les possibilités d’utilisation de l’IA par les attaquants, mais également en introduisant l’IA comme moyen de défense et de sécurisation.
Gérôme BILLOIS, Partner au sein de la practice cybersécurité et confiance numérique, et Martin DESCAZEAUX, Consultant senior au sein de la practice cybersécurité et confiance numérique - Wavestone

Panorama des nouvelles attaques (SALLE KARNAK - RDC)
Le CLUSIF dresse chaque début d’année le bilan en matière de cybercriminalité de l’année passée. A l’occasion des GS Days, Loïc Guézo (Trend Micro France), animateur du groupe de travail sur le Panorama de la cybercriminalité, a sélectionné les nouvelles attaques de ce début d’année en continuité des faits de l’année écoulée qui touchent principalement l’IoT ou la protection des données.
Loïc GUÉZO, Trend Micro France, Animateur du groupe de travail sur le Panorama de la cybercriminalité du CLUSIF

Démonstrations d’exploitations de failles de sécurité et présentations pratiques de l’ARCSI (AUDITORIUM - 1er étage)
• Web physique, ou comment attaquer vos objets sans fil par Internet
• Attaque par canaux auxiliaires, extraire la clé de chiffrement d’un objet connecté
• Ouverture d’un cadenas connecté façon MacGyver (ou comment les objets connectés sont encore vulnérables aux attaques physiques)
• Ouvrir une serrure connectée sans avoir la clé : exemple de faiblesse cryptographique
Renaud LIFCHITZ, membre et démonstrateur de l’ARCSI (Association des Réservistes du Chiffre et de la Sécurité de l’Information), et Damien CAUQUIL - Experts sécurité chez Digital Security

IoT + Entreprise = BYOD². Et le Droit dans tout cela ? (SALLE KARNAK - RDC)
Quand le déploiement d’objets connectés pour optimiser la performance des salariés se confronte avec la consumérisation de l’IoT, les compromis d’hier ne tiennent plus. L’informatique vestimentaire écarte le COPE (imagine-t-on porter deux montres comme on peut avoir deux téléphones, un personnel et un professionnel ?), entraînant nécessairement l’entreprise vers un BYOD² « revu et corrigé ». Florilège des problématiques juridiques à anticiper.
François COUPEZ, Avocat associé ATIPIC Avocat

Bienvenue dans la Robohumanité ® ! (AUDITORIUM - 1er étage)
Grâce à la technologie robotique, l’émergence de nouveaux « êtres » est en passe de devenir une réalité. Intelligence artificielle oblige, les robots sont aujourd’hui beaucoup plus que de simples automates : leurs capacités grandissantes les amènent à véritablement collaborer avec les hommes. Faut-il s’en inquiéter ou s’en réjouir ? Une chose est certaine : les questions d’ordre éthique mais aussi juridique sont majeures, et les défis à relever immenses. D’où la nécessité de créer un droit des robots les dotant d’une personnalité et d’une identité juridique pour en faire, demain, des sujets de droit. Bienvenue dans une nouvelle civilisation : la robohumanité.
Alain BENSOUSSAN, Avocat à la Cour d’appel de Paris, Lexing Alain Bensoussan Avocats

Pour cette 10ème édition, plusieurs démonstrations techniques (15 min) étaient également au programme (SALLE DENDÉRAH - 3ème étage) :

Comment adresser le RGPD – Plan d’action type pour la Vie privée & la Sécurité
Avec l’arrivée d’une nouvelle ère de régulation de la vie privée, les professionnels de la sécurité et de la conformité doivent faire du RGPD une priorité. Il est essentiel de construire un plan d’action avec en tête à la fois la vie privée et la sécurité. Dans cette session, nous allons échanger sur l’importance de la gestion de la vie privée dans le contexte de votre écosystème sécurité et conformité existant. Nous verrons comment l’intégrer dans une vue d’ensemble, pourquoi elle a été grandement négligée par le passé, mais aussi comment l’intégrer sans effort comme une fonction parmi la sécurité, l’informatique, la gestion du risque, l’audit et la conformité, ainsi que les fonctions légales dans votre entreprise. Nous mettrons, en outre, l’accent sur l’importance de démontrer continuellement votre conformité avec les régulations relatives à la vie privée, comme le RGPD, et la manière dont un logiciel de gestion de la vie privée peut supporter les équipes sécurité et GRC dans cette démarche.
Martin CLAICH, OneTrust

Utilisation d’un outil d’Intelligence Artificielle dans le cadre d’un SOC
L’approche conventionnelle par règle ne protège pas contre les attaques ciblées ou inconnues. Les entreprises restent les victimes d’attaques malveillantes qui déjouent les défenses traditionnelles. Pour optimiser la défense, il faut être en mesure de détecter rapidement les intrusions dans le Système d’Information ou les comportements anormaux caractéristiques d’une cyberattaque. C’est l’apport de l’Intelligence en Cybersécurité qui vient compléter les outils traditionnels et se retrouve utilisé régulièrement dans les SOC.
Christopher HALMA, Directeur Technique d’ITrust

Menaces sophistiquées : dissection d’une attaque sans fichier
Les malwares sans fichier sont des menaces de nouvelle génération, échappant aux technologies de détection classiques. Comme son nom l’indique, ce type de malwares n’a pas besoin d’enregistrer un fichier sur le disque pour s’exécuter, le code malveillant étant exécuté directement dans la mémoire de la machine infectée. Ces malwares, placés dans les entrées de registre et combinés à des techniques de persistance, peuvent être exécutés à chaque redémarrage du système d’exploitation, permettant ainsi d’allier discrétion et pérennité.
Découvrez lors de notre démonstration technique comment protéger votre entreprise contre ce type de menaces de nouvelle génération, particulièrement sophistiquées.
Vincent MEYSONNET - Responsable Technique Avant-Vente Bitdefender

Supervision des IIOT
Démonstration de la solution Keenaï (SIEM de Gfi Informatique) et de la sonde Cypres (IDS de Cybelius) pour détecter des comportements anormaux sur des automates industriels (IIOT).
Keenaï SCADA est la solution pour superviser l’IT & OT permettant de prendre en compte les attaques de chaque infrastructure pour en faire bénéficier l’autre.
Mathieu BERTRAND, Directeur Technique Keenaï

L’Intelligence Artificielle au service de la protection contre le Spear Phishing (harponnage)
Le Spear Phishing devient la menace la plus importante pour la sécurité. Nous sommes tous des cibles : les individus, les entreprises et le gouvernement. Les attaques (ex : arnaques au président) réussissent car elles sont hautement personnalisées et les solutions traditionnelles échouent dans leur détection – ce qui coûte des milliards en termes financier, de réputation et de dommages de la marque.
Venez assister à la présentation de Barracuda Sentinel, la solution cloud qui utilise l’intelligence artificielle pour protéger les personnes, le business et les marques, du spear phishing, de l’usurpation d’identité, des attaques BEC (Business email compromise) et de la cyber fraude.
Christophe RUP, PreSales Engineer France, Barracuda Networks

Scénario d’une attaque dans un cloud public et détection/traitement de cette attaque
Ludovic MARCHAND, Responsable SOC Coreye Entreprise

Optimisez la protection du poste de travail avec SentinelOne !
Prévention, Détection, Visualisation et prise d’action automatisée contre tous les vecteurs de menace.
Franck TROGNÉE, Channel Manager Europe du Sud, SentinelOne

95% des problèmes de sécurité informatique peuvent être résolus par une meilleure gestion
Ne vous contentez pas d’assurer le fonctionnement de l’entreprise au jour le jour. Modernisez votre IT, répondez aux attentes de plus en plus exigeantes de vos utilisateurs, et gérez tous les périphériques des utilisateurs depuis une seule suite de gestion unifiée du poste client (UEM).
Promisec Endpoint Manager est une solution de gestion des clients et serveurs fiable et éprouvée, essentielle pour les opérations suivantes :
1) découverte de tous les éléments qui touchent votre réseau,
2) Recherche de process ou fichiers infectés,
3) Découverte des vulnérabilités au niveau de tous vos systèmes d’exploitation et applications.
Rachid MEKDOUD, Directeur Technique Europe de Promisec

Le Machine Learning au service de l’automatisation et de la sécurisation IT
Découvrez comment Ivanti Labs utilise le Machine Learning pour vous aider à repenser votre sécurité, en analysant les vulnérabilités et en automatisant les tâches de remédiation.
Bastien BOBE, Security Evangelist, EMEA South, Ivanti