ICTjournal 05/2021

40 cybersécurité

40 cybersécurité interview «La pandémie a accéléré l’adoption de notre solution» Troisième du dernier programme Tech4Trust, la start-up vaudoise DuoKey multiplie les partenariats et a intégré l’accélérateur global Microsoft for Startups. CEO et fondateur, Nagib Aouini se confie sur la technologie de protection des données qu’il a imaginée. Interview: Yannick Chavanne Nagib Aouini a fondé la start-up DuoKey fin 2020. Dans quelles circonstances avez-vous décidé de fonder DuoKey? Je ressentais depuis longtemps l’envie de me lancer comme entrepreneur. Après plusieurs années à travailler pour Thales puis Elca, j’ai été engagé en 2019 en tant que CISO de la cryptobanque suisse Seba. Avec pour responsabilité de protéger les données et d’être conforme aux réglementations de la FINMA en la matière. L’infrastructure IT reposant entièrement sur le cloud, pour croître et innover rapidement, je me suis heurté à un défi: sans contrôle total sur les clés d’encryptions des données clients stockées dans le cloud, les banques ne remplissent pas les exigences de conformité. Se baser sur des boîtiers hardware de sécurité (HSM) pour gérer les clés de chiffrement aurait été une solution demandant trop de ressources, aussi bien financièrement qu’en effectif. Ainsi m’est venu l’idée de faire appel à des algorithmes de calcul multipartite, ce qu’on appelle le MPC, qui permettent d’avoir des clés de chiffrement distribuées. Cette technologie est aujourd’hui au cœur de la start-up DuoKey, fondée formellement fin 2020. sorise aussi certains financements de brevets. Depuis peu, nous avons intégré le programme global Microsoft for Startups, qui va nous permettre d’accélérer notre développement à l’international, notamment via la commercialisation de notre solution sur la marketplace Microsoft Azure. Nous sommes aujourd’hui bénéficiaires, mais nous devons évidemment poursuivre nos investissements R&D. Dans cette optique, nous réalisons en ce moment un tour de table. En quoi consiste votre programme pour partenaires? Nous avons sélectionné des partenaires qui se chargent de la partie consulting et services, en nous basant sur leurs capacités dans les domaines du cloud et de la sécurité IT. Je peux mentionner One Step Beyond, Kyos, AdNovum ou encore Securosys. Ces prestataires intègrent notre technologie au sein de leur offre respective, parfois en white label. Notre solution a l’avantage d’être compatible à la fois avec des modules MPC et des modules hardware de différents fabricants. Quels sont les principaux bénéfices de votre technologie? Avec notre approche, la clé n’existe nulle part et à aucun moment dans sa totalité. Cette architecture distribuée est une réelle valeur ajoutée, notamment pour les entreprises qui emploient le service de chiffrement à double clé pour Microsoft 365. Avec notre solution logicielle qui découpe les clés et permet de stocker les différentes parties avec une approche multicloud, les entreprises profitent d’une couche supplémentaire de sécurité et de protection des données, tout en se protégeant contre le vendor lock-in. Avec quels fonds avez-vous démarré l’aventure Duo- Key et quels soutiens avez-vous reçu? L’entreprise a démarré grâce à des fonds propres. Nous avons en outre reçu passablement d’aide venant de structures suisses de soutien aux start-up, également pour gagner en visibilité. Nous avons terminé troisième du dernier programme de l’accélérateur Tech4Trust, intégré à la Trust Valley, et avons été incubés à La Forge de l’EPFL Innovation Park. L’association de soutien aux start-up Innovaud spon- Comment se positionne votre offre par rapport aux technologies d’informatique confidentielle et à la blockchain? Le confidential computing protège les données en mémoire dans les workloads cloud. Les fournisseurs cloud contrôlent les machines qui hébergent les données, ainsi que le trafic réseau SSL, et cette approche ne résout pas le problème de la souveraineté des données (car en fait le fournisseur contrôle les clés de chiffrement), contrairement à notre technologie qui encrypte les données avant leur transfert et stockage dans le cloud. Je crois en outre beaucoup à la blockchain. Je suis impliqué dans une autre start-up qui vient de clôturer une levée de fond de 25 millions de dollars, Partisia Blockchain, qui développe des solutions de protection des données combinant blockchain et MPC. Les deux technologies sont très complémentaires. DuoKey collabore avec Partisia sur un projet permettant la gestion de clés de chiffrement pour des domaines telles que l’e-ID et les enchères en ligne via NFT, tout en préservant l’anonymisation du montant des transactions, ce qui n’est pas possible facilement sur les autres blockchains. 05 / 2021 www.ictjournal.ch © netzmedien ag

PUBLIREPORTAGE Ajouter une expertise cyber à son offre ou comment devenir MSSP en quelques clics! Les solutions de PAM permettent de se prémunir des risques liés aux accès des prestataires au SI, particulièrement visés par les attaquants cyber. Systancia Cleanroom Session Service permet de mettre le PAM à la portée de toutes les organisations et ainsi à un MSP d’ajouter une expertise cyber à son offre. Une menace cyber croissante qui exige un niveau de sécurité élevé pour les services délivrés par les MSP D’après le baromètre de la cybersécurité du CESIN, en 2020, 80% des attaques rapportées par les entreprises françaises ont consisté à piéger un utilisateur. Les accès des prestataires au système d’information sont des points d’entrée particulièrement visés par les cyber-attaquants de par la surface d’attaque à laquelle ils donnent accès. Et lorsque l’on sait les conséquences lourdes que peut provoquer une cyberattaque réussie, le déploiement de solutions d’accès distants sécurisés devient alors prioritaire pour la pérennité même des organisations. Les fournisseurs de services managés (MSP) doivent ainsi être en mesure de garantir un niveau de sécurité élevé et durable dans la fourniture de leurs services à leurs clients qui s’en remettent à eux en toute confiance pour que ces services soient les plus sécurisés possible. Les outils traditionnels pour gérer les accès distants ne sont plus adaptés aux menaces qui visent les organisations ni aux usages actuels liés au cloud ou à la mobilité (télétravail, astreintes…). Les outils VPN (réseau privé virtuel) ont été créés pour permettre la communication entre deux réseaux de confiance. Or le réseau du collaborateur en télétravail, ou de l’intervenant à distance sur le SI n’est pas maîtrisé et donc ne peut pas être considéré de confiance. Les outils de prise de contrôle à distance n’offrent pas la traçabilité ni le contrôle des accès nécessaires et les moyens d’authentification proposés sont pour la plupart des authentifications simples inadaptées au contexte d’accès distants. Systancia Cleanroom Session Service, pour garantir durablement la qualité et la sécurité des actions d’administration Systancia Cleanroom Session Service est une solution de Privileged Access Management (PAM) qui permet de renforcer simplement et rapidement le niveau de sécurité des accès d’administration à des ressources, en contrôlant les comptes utilisés pour l’authentification sur la ressource et en traçant finement toutes les actions réalisées. La solution propose l’enregistrement Web sans agent sans rebond, qui permet d’enregistrer les sessions des administrateurs sans infrastructure supplémentaire et donc avec des coûts d’exploitation drastiquement réduits. Il suffit de paramétrer une ressource web pour qu’elle soit enregistrée sans que le prestataire n’ait à déployer d’agent et sans que le MSSP (Managed Security Service Provider) n’ait à déployer de machine virtuelle supplémentaire. L’authentification comportementale permet quant à elle de se réassurer que c’est bien l’administrateur qui s’est authentifié qui administre les ressources du système d’information. Cette fonctionnalité, qui s’appuie sur l’IA et le machine learning analyse le comportement de l’utilisateur dans sa manière d’utiliser le clavier et la souris. Systancia Cleanroom Session Service propose également une rotation des secrets d’authentification, consistant à modifier les credentials des administrateurs en coulisse selon des politiques choisies et à réaliser l’authentification secondaire automatique à l’aide de ces credentials, afin de protéger les comptes administrateurs sur les ressources informatiques critiques de l’entreprise. Basée sur un socle zero-trust certifié par l’ANSSI, la solution prend également en charge nativement les accès externes en toute sécurité et sans nécessiter le déploiement d’un agent sur le poste. DataStore et Systancia, un partenariat qui met le PAM à portée de toutes les entreprises grâce au cloud DataStore et Systancia ont signé un accord de partenariat pour la distribution de Systancia Cleanroom Session Service qui permet aux MSP Suisses d’ajouter une expertise cyber à leur offre et ainsi de devenir MSSP en quelques clics en étant en mesure de très facilement et rapidement mettre sur le marché un nouveau service de PAM qui leur permet d’augmenter drastiquement le niveau de sécurité de leurs services, sans investissement d’infrastructure et de temps. DataStore AG Pfadackerstrasse 6 8957 Spreitenbach Tel. 056 419 71 71 L’auteur Peter Mätzler Senior Business Development Manager DataStore AG peter.maetzler@ datastore.ch info@datastore.ch www.datastore.ch