Cyber Expérience : une salle d’entrainement unique pour tester ses biais et émotions pendant une crise cyber

Le groupe d’enseignement supérieur privé Galileo Global Education inaugure le 20 avril prochain, une salle de formation cyber d’un genre nouveau, à destination des comités de direction, des opérationnels et des étudiants.

Quand les volets roulants se ferment, la salle est plongée dans la pénombre pendant quelques instants, avant qu’un écran géant de plus de 10 mètres de long s’illumine. Il nous fait voyager au cœur des forêts des Balkans, jusqu’aux installations d’un groupe mondial de gestion de l’eau, Wateria. L’horloge s’arrête et les informations commencent à tomber, reprises par les chaines de télévision : le groupe subit une cyberattaque majeure menaçant les approvisionnements en eau, dans un contexte de rapprochement de son pays d’accueil avec l’Otan. C’est le début d’un scénario cauchemardesque.

Wateria est un groupe imaginaire, et le scénario de l’attaque, qui se veut hyperréaliste, a été coconçu avec le groupe Suez. Pour les participants qui le vivront néanmoins, la tension va monter très vite, en prenant place dans la salle « Cyber Expérience » au premier étage du Cyber Campus de la Défense.

Cet espace de formation de 90m² tout équipé et hautement sécurisé, sera inauguré le 20 avril prochain. Il proposera de tester dirigeants et collaborateurs face à des scénarios de crise cyber durant toute une journée. Mais au-delà de l’aspect technique, la salle se concentre sur un sujet habituellement délaissé dans ce genre d’environnement : la mesure précise des émotions, du stress et des biais cognitifs des participants. Un focus sur le « savoir-être » qui apporte une nouvelle dimension aux entrainements cyber, face à la difficulté qu’ont les organisations d’accompagner leurs équipes sur le sujet.

Vers une dimension psychologique et neuroscientifique

Vanessa Diriart est la présidente France du géant de l’enseignement supérieur privé, Galileo Global Education (GGE), qui porte cette initiative originale. Présent dans 18 pays, le groupe accueille 220 000 étudiants, dont la moitié dans l’Hexagone. Il compte notamment près de 70 000 apprenants « online » formé à travers ses filiales « Edtech », Elephorm et Studi. « Nous voulons être positionnés sur tous les sujets nationaux d’importance et la cybersécurité en est clairement un, comme l’a rappelé à plusieurs reprises le président Emmanuel Macron ces derniers mois » explique la dirigeante. « L’enjeu était de proposer une alliance entre experts cyber et experts pédagogiques pour proposer une salle unique au monde, dont puissent profiter nos élèves en fin de formation (5^e année, notamment dans l’executive MBA CMSRI pour Cybersécurité et Management Stratégique des Risques de l’Information, NDLR) mais aussi des professionnels déjà en poste, y compris des dirigeants ».

L’idée émerge en 2018, suite à un rapport de l’Assemblée nationale sur le futur de la cyberdéfense, mais il faut attendre 2020 pour que Galileo puisse lancer concrètement le développement de « Cyber Expérience », après avoir validé son concept lors de discussions croisées avec Orange Cyberdéfense par exemple. Avec une question sous-jacente : qu’est-ce qui peut permettre de préparer des individus à la future réalité de la cybermenace, qui verra notamment une augmentation massive du rôle des intelligences artificielles et donc de l’automatisation des tâches, à la fois du côté des attaquants et des défenseurs ?

« Nous avons choisi d’aller vers une dimension plus psychologique et neuroscientifique, que technique, en connaissance de cause. Quand on voit que les IA génératives qui apparaissent sont capables de coder directement des malwares, il est clé de former l’humain et en particulier sa gestion du stress, qui est un facteur critique en cas de crise cyber » analyse Olivier Feix, responsable pédagogique de l’executive MBA CMSRI et coordinateur référent sur le Cyber Campus pour GGE.

Repérer et comprendre ses biais cognitifs en cas de crise

La salle Cyber Expérience, financée à hauteur d’1,4 million d’euros par le groupe, avec le soutien d’Atlas, l’Opco des métiers du numérique, vise à accueillir des groupes de 18 personnes. Ceux-ci, qu’ils soient étudiants, opérationnels de la cybersécurité dans les entreprises ou bien même membre d’un comité de direction (dans une logique de centre de crise opérationnel), devront se préparer plusieurs heures avant de s’installer dans les confortables fauteuils ergonomiques de la salle elle-même. Outre la présentation des outils et logiciels souverains (voir encadré) qui seront utilisés le jour J lors de l’exercice, cette préparation leur permet de passer des tests psychologiques, développé par le groupe d’enseignement avec l’aide de la Gendarmerie. L’occasion de repérer le « profil psychologique » de chaque personne, et ceux des presque deux cents biais cognitifs auxquels elle est le plus sensible et qui peuvent provoquer ou aggraver une crise cyber.

« Tout le monde est concerné par de tels biais cognitifs. L’objectif est d’en avoir conscience, non pas pour les éviter totalement, ce qui est presque impossible, mais pour rester dans l’erreur le moins longtemps possible, alors que lors d’une cyberattaque chaque minute compte. Les professionnels de la cybersécurité en particulier ont tendance à se dire qu’en tant qu’experts, cela ne les concerne pas. Mais c’est faux. » indique Olivier Feix en faisant visiter la salle.

Tout sera d’ailleurs fait pour exploiter ces faiblesses. Deux opérateurs pilotent depuis leurs postes le scénario joué, mais aussi l’environnement de la salle. A travers une simple commande tactile, la zone peut s’assombrir ou se parer de couleurs rougeoyantes pour créer des stimuli supplémentaires, facteur de stress pour les participants.

A leur bureau, les émotions et réactions de ceux-ci sont d’ailleurs monitorés en permanence : force de frappe sur le clavier, eye tracking (suivi du comportement de l’œil), rythme cardiaque (à travers un bracelet biométrique), et surtout émotions présentes dans la voix, lors des échanges oraux avec les micro-casques fournis pour l’occasion.

Debrief avec le Cours Florent

En surplomb, un mur de 18 écrans permet d’afficher des flux d’informations divers : les médias et les réseaux sociaux simulés pour le scénario joué, mais aussi, potentiellement, les indicateurs individuels de participants en termes de performance et de stress. Une fonctionnalité de suivi temps réel prisé notamment des militaires, qui peuvent ainsi disposer d’un étalonnage inter-individuel au sein de leurs équipes. De quoi permettre concrètement l’évaluation des compétences.

A l’issu de l’exercice, au-delà des rapports individuels, la formation peut être complétée par un débriefing collectif complet, réalisé en partenariat avec le Cours Florent, la célèbre école de théâtre, ainsi que le GIGN et ses négociateurs. Objectif : comprendre minute par minute les réactions que les participants ont eues, leur état d’esprit à ce moment, et comment ils auraient pu mieux maîtriser leurs émotions et leurs biais décisionnels.

Toutes les données récoltées durant l’entrainement sont anonymisées et protégées sur les serveurs locaux de la salle, sous haute protection. Les deux opérateurs qui animent l’exercice sont tous deux accrédités Secret Défense. De quoi rassurer les observateurs, comme le Medef venu également visiter l’installation, qui s’inquiétaient d’une possible exploitation des « profils psychologiques » des membres des comex français ou des futurs experts cyber en formation.

Anticiper les sujets cyber de demain

Cette riche et unique matière première pourra cependant servir l’avancée de la recherche. Galileo Global Education constitue ainsi un centre de recherche partenarial avec l’Inria, les laboratoires ISIR et LISP du CNRS, et l’institut Jean Nicod rattaché également à l’ENS et à l’EHESS. Les données issues des simulations menées dans Cyber Expérience serviront ainsi améliorer la compréhension des relations entre l’humain, la cybersécurité et les intelligences artificielles. Des programmes de recherche dédiés par exemple à la psychologie comportementale en cyberdéfense pourront aussi émerger de cette collaboration.

Les premiers scénarios seront ouverts aux entreprises clientes, pour un tarif évalué à 1500 euros environ par participant, pour deux jours et demi de programme, à partir du 1^er juin prochain. Au total pour l’année 2023, ce sont sept scénarios différents qui ont été conçus, sur des secteurs aussi divers que l’énergie, la finance, le transport, le BTP ou encore les télécoms. Les exercices englobent à la fois la gestion de crise au niveau transverse, les réponses aux attaques réputationnelles, le reporting des attaques, mais aussi la veille de la menace… Tous ont été créés à plusieurs mains, avec des logiques partenariales, pour en assurer le réalisme. « Nous sommes sur des scénarios qui anticipent ce qui pourra arriver : il ne s’agit pas de reproduire des attaques ayant déjà eu lieu et qui sont bien documentées, mais de se baser sur des tendances émergentes et de les croiser avec des faits réels » détaille Olivier Feix, qui explique s’être aussi appuyé sur les experts de la Red Team cyberdéfense pour ce travail d’anticipation. Chaque année, de nouveaux scénarios plus actuels encore seront ajoutés, intégrant aussi de nouvelles réalités sectorielles. « Nous avons été sollicité par le monde du Luxe récemment. On intègrera sans doute cet univers en 2024 » souffle Olivier Feix, qui voit dans ces demandes un signe clair que la proposition de GGE est complémentaire des salles de simulation de gestion de crise dont se sont dotées en interne certaines grandes entreprises ces dernières années.

Autre signe que la salle Cyber Expérience intrigue et intéresse : après la visite du ministre du numérique Jean-Noël Barrot, le Cyber Campus a reçu de nombreuses demandes d’acteurs américains pour pouvoir visiter également le dispositif. Pour l’heure, en vain. De quoi préserver encore un peu le caractère unique de l’installation, qui ne veut pas être assimilée à une opération de « sensibilisation » selon Olivier Feix : « L’entrainement n’a jamais été aussi réel ».