Pour Paris 2024, la cybersécurité des JO repose sur des technologies de plusieurs partenaires, lesquelles sont pilotées depuis un centre des opérations de Cybersécurité (SOC) qui fait office de tour de contrôle. « Un SOC unifié est un avantage pour la partie opérationnelle, à titre de comparaison, pour les JO de Tokyo, chaque partenaire disposait de son propre SOC, soit une petite dizaine en tout », souligne Eric Greffier, responsable du partenariat avec les JO de Paris 2024 pour Cisco. A noter que le SOC est intégré au TOC (Technology Operations Center), le centre de commande des opérations technologiques de 610 m² pour les 63 sites olympiques et paralympiques, qu’il s'agisse de sites de compétition ou non. Inauguré par Atos en octobre dernier, ce TOC fonctionnera 24 heures sur 24 et 7 jours sur 7 pendant toute la durée des Jeux. Selon Christophe Thivet, directeur de l'intégration technologique pour les Jeux de Paris 2024 chez Atos, le Centre des opérations technologiques central (CTOC) d’Atos de Barcelone et le Laboratoire des tests d’intégration (ITL) de Madrid viennent aussi en complément du TOC. Parmi les principaux intervenants en matière de cyber sur les JO 2024, citons Cisco, lui-même partenaire des JO 2024 et habitué des grands événements : l’équipementier est notamment le partenaire officiel de cybersécurité de la NFL. En résumé, Cisco fournit les technologies, Eviden, la filiale d’Atos, les intègre et les opère. Selon Eric Greffier, l’équipementier a travaillé en étroite collaboration avec Eviden et Franz Regul, RSSI de Paris 2024. Dans les technologies déployées par Cisco, citons déjà son centre d’analyse intelligente de la menace Talos qui va donner de la visibilité sur les données en temps réel et une compréhension de tout ce qui se passe sur le réseau.  

Beaucoup de tests en amont 

A cela s’ajoute la mise en œuvre de solutions de type Zero Trust, boostées à l’IA pour sécuriser l’accès aux applications. « Nous avons déployé à peu près tous les outils que regroupe l’offre Cisco Secure », admet d’ailleurs Eric Greffier. L’objectif est de bien segmenter les droits des personnes en fonction de leurs accréditations et de leurs usages. Eviden, de son côté, faisant office d’intégrateur, assure aussi la surveillance en temps réel et la remédiation grâce à sa plateforme MDR AIsaac, bien sûr, Eviden profite en parallèle du centre de threat intelligence Talos et de l’offre XDR de Cisco. L’été dernier, des tests réalisés dans 18 sports sur 11 sites de compétition ont permis aux équipes du TOC et du CTOC de tester en conditions réelles les systèmes et applications, préalablement simulés au sein de l’ITL. Des dizaines d’heures de tests devraient être effectuées d’ici à juillet 2024. Pour Eric Greffier, l’entraînement et les tests via les cyber games tous les trimestres depuis 2022, les simulations ou encore les hackatons sont bien la seule réponse pour réagir à une attaque dite sophistiquée. Des tests d’intrusion, c’est aussi ce que mène entre autres la direction numérique d’Île-de-France Mobilités pour sa nouvelle application Transport Public Paris 2024, une solution jumelle à Île-de-France Mobilités mais dédiée aux déplacements vers les sites de compétition selon Hélène Brisset, directrice du numérique chez Île de France Mobilités. Pour Jean-Philippe Isemann, associé Partner au sein du cabinet de conseil RSM France et administrateur pour ISACA-AFAI, cette recette des tests appliqués aux JO s’applique également aux PME et ETI pour comprendre les risques : « Mais ce n’est pas tout, il faut aussi travailler sur la gouvernance, les processus et l’humain. ».  

Plus de sensibilisation 

Et ce travail sur l’humain passe bien sûr par la sensibilisation, elle est essentielle autour des JO, l’ANSSI a d’ailleurs livré un kit « JOP massifié » spécifiquement construit pour implémenter un exercice simulant le contexte des Jeux Olympiques et Paralympiques (JOP24). L’objectif est d’aider les organisations à se préparer à d'éventuelles crises. Le scénario de ce kit est adapté en fonction du type d’organisation (sites de compétition, collectivités hôtes, pouvoirs publics et organisateurs et fournisseurs de service). Au total, les organisations peuvent donc choisir parmi 12 formats d’exercice. Cette sensibilisation passe aussi par la simulation, en exemple, la Gendarmerie qui a publié en mars dernier à ses agents un email frauduleux de phishing lié à des places gratuites pour les JO 2024. Résultat : selon Le Parisien, 10% des agents qui ont ouvert le mail ont cliqué sur la pièce jointe. La sensibilisation fait aussi partie des missions du département de l'anticipation et de la gestion de crises Cyber du Commandement du ministère de l’Intérieur dans le cyberespace (COMCYBER-MI). « Bien sûr, notre mission est d’œuvrer à élever le niveau de cybersécurité et de gestion de crises cyber en France, nous avons aussi un volet important de sensibilisation et de soutien à ces entreprises pour renforcer leur résilience face aux cybermenaces. Je me déplace personnellement dans les entreprises, dans tous les secteurs, pour leur dire la bonne parole, comment se préparer, quels services contacter et surtout anticiper. En France, nous avons cette culture du risque mais pas forcément celle de la crise », souligne Sophie Lambert, lieutenant-colonel et cheffe du département de l'anticipation et de la gestion de crise cyber au ministère de l'Intérieur.