Identifier des signaux faibles via Twitter sur les services de Cybersécurité

Après les Fintech, étudions les façons de détecter des signaux faibles dans un autre secteur innovant : la cybersécurité. Pour rappel, si les données Twitter sont intéressantes à analyser, il faut prendre en compte plusieurs biais / problématiques :

  • Un bruit conséquent sur tous les sujets, notamment innovants. Ce sera d’autant plus le cas sur la cybersécurité où on aura régulièrement des mentions de nouvelles failles, de recommandations d’organismes tels que l’ANSSI, d’études diverses et variées …
  • Un biais propre aux réseaux sociaux, dont la dynamique de propagation de l’information favorise les experts en communication souvent au détriment des innovateurs moins habiles pour se valoriser ;
  • La nécessité d’adapter le modèle d’analyse à ce qu’on recherche. On ne le répétera jamais assez, plus on voudra identifier des éléments précis, moins on pourra reproduire la méthodologie utilisée pour une autre thématique. Je ne crois pas à l’automatisation de la détection des signaux faibles via l’IA.

Mon premier article sur les Fintech montre l’intérêt de l’utilisation de la datavisualisation via Gephi pour identifier des signaux faibles sur Twitter. Pour autant, si la cartographie des réseaux sociaux est très efficace pour résoudre les problèmes de bruit et de biais, il reste toujours nécessaire d’adapter le modèle d’analyse au sujet étudié.

Nous verrons ainsi une approche complémentaire mais différente de celle que j’ai utilisée pour mon analyse des Fintech. L’idée reste la même : identifier des acteurs peu visibles à un instant « t » sur la thématique qui nous intéresse, mais qui proposent des services / produits innovants, et étudier l’évolution de leurs mentions Twitter pour vérifier si l’intérêt pour ce qu’ils proposent se développe. Les données Twitter sont captées pour rappel via l’outil de veille Visibrain.

A. La cybersécurité, parent pauvre des événements dédiés aux innovations technologiques

Le dernier CES, l’événement de la communauté tech par excellence, a été très pauvre sur la cybersécurité, qu’il s’agisse des solutions présentées, ou du volume de mentions du sujet sur twitter. Alors même que l’on y parlait 5G et objets connectés, deux innovations qui vont faire fortement augmenter les risques cyber … D’ailleurs on n’y a pas évoqué le RGPD non plus, sachant que c’est clairement sur la protection des données personnelles que le régulateur sera le moins conciliant.

Le fait que l’on trouve peu de mentions du sujet lors du salon CES 2019, tout comme d’ailleurs sur les tweets du salon français Vivatech, ne permet ainsi pas d’identifier un acteur peu visible qui chercherait à se démarquer des autres. Les tweets français mentionnant la cybersécurité en mai-juin 2019 montrent avant tout une communication d’information et de prévention des risques. 

Nous allons maintenant essayer d’identifier des acteurs intéressants via une recherche sur des pistes d’innovations dans le domaine de la cybersécurité. Dans le contexte français, le RGPD et les contraintes renforcées sur la sécurisation des données personnelles devraient ouvrir des opportunités par exemple. En identifiant des acteurs peu visibles en janvier 2018, nous chercherons à vérifier si leur visibilité augmente en 2019, montrant ainsi qu’ils intéressent les experts.

B. Le RGPD semble peu exploité par les acteurs de la cybersécurité

A partir des tweets en français sur la cybersécurité publiés en janvier 2018, on identifie le compte de la société Sheo Technologie, mentionnée notamment par un consultant influent sur le sujet, Frederic Gouth :

Ces différentes mentions permettent de donner de la visibilité à la startup, qui communique beaucoup sur le RGPD jusqu’en mai 2018 :

 

Pour autant, elle n’est presque plus mentionnée en 2019 sur Twitter. Son PDG, Chafik Mohamed, publie ponctuellement sur Linkedin mais avec peu de visibilité : https://www.linkedin.com/in/chaf007/detail/recent-activity/shares/

Le sujet RGPD est pourtant mentionné régulièrement dans les tweets sur la cybersécurité, avec 3178 tweets entre le 1er mai et le 6 août 2019. Mais il s’agit surtout de pointer les failles de sécurité d’entreprises, sans proposer de solutions ou produits de cybersécurité :

La cartographie des comptes Twitter les plus influents sur la période fait ressortir plusieurs experts sur le RGPD, qui échangent surtout entre eux, avec peu d’autres acteurs à identifier :

On remarque néamoins un acteur potentiellement intéressant dans la communauté jaune de la CNIL, @pradeo, qui propose des solutions de cybersécurité pour les smartphones. La société a été très mentionnée après un tweet de @zataz sur leur alerte concernant une application du Google Play avec mention du RGPD (n’installez des applications gratuites que si vous en avez VRAIMENT besoin) et a récemment remporté un prix en compliance RGPD.

Cette société créée par des français en 2013 a déjà de nombreux clients. Sa spécificité est de s’être intéressée très tôt au RGPD, et d’avoir développé des solutions adhoc. Peu visible sur les mentions cybersécurité française en janvier 2018, elle a depuis intégrée des communautés plus influentes comme on le voit sur cette cartographie à partir des tweets français sur la cybersécurité publiés entre le 1er mai et le 1er juillet 2019 :

L’engouement pour le sujet reste néanmoins plutôt faible.

C. Partir de l’analyse des hashtags pour identifier des services innovants

Contrairement à l’analyse sur les Fintech, où l’identification de nouveaux acteurs peut se faire en partant des frustrations / critiques des clients sur les produits et services actuels : délais des prêts, frais peu transparents et trop élevés, manque d’accompagnement et de personnalisation sur les offres … le problème de la cybersécurité est qu’il ne semble pas y avoir vraiment d’attentes de l’utilisateur final, si ce n’est dépenser le moins possible sur un poste de coûts. Le sujet étant du reste mal compris, que ce soit par le grand public ou par les professionnels.

On pourra identifier via les livres blancs et études diverses des indications sur les enjeux du secteur : RGPD donc, objets connectés, notamment sur les données de santé, smart city, APT, credential stuffing, etc … mais in fine, on ne part pas réellement d’un besoin exprimé lié à un service concret. De plus, il est difficile de se positionner sur une solution de cybersécurité globale, car les systèmes d’information se complexifient et il est illusoire d’espérer se protéger de tous les risques.

Dans ces conditions, pour découvrir des produits innovants susceptibles d’intéresser des utilisateurs, nous pouvons exploiter la cartographie des hashtags issus des tweets sur la cybersécurité. A partir des termes les plus mentionnés, on pourra identifier des thématiques innovantes invisibles sinon dans le flux Twitter. Cela ne permettra pas d’identifier ceux qui maîtrisent les codes du hashtag, mais à minima de repérer des démarches qui commencent à attirer l’attention des experts.

#safecity : une évolution de la vidéosurveillance qui peine à décoller

 

A partir d’une cartographie dynamique des hashtags contenus dans les tweets sur la cybersécurité publiés en janvier 2018, via #smartcity, on identifie le hashtag #safecity qui est peu utilisé. Il correspond au tweet d’une élue marseillaise déléguée à la sécurité https://twitter.com/CPozmentier/status/955343922498240512.

#safecity a été mentionné en français en moyenne 50 fois par mois depuis le mois de janvier 2019. Une expérimentation est en cours à Nice, mais sinon le sujet reste peu visible.

Des #donnéessensibles à la #dataprotection

 

Le hashtag #donnéessensibles, également peu utilisé, est plus intéressant car il est relié au terme plus populaire de #dataprotection. Sur la cartographie qui suit, tous les hashtags grisés sont ceux mentionnés avec #dataprotection, ceux surlignés ont été utilisés avec #donnéessensibles :

Ces hashtags correspondent à un tweet de Nesrine Benyahia, PDG de DrData, une startup spécialisée dans la protection des données de santé :

On découvre ainsi un concept peu associé aux termes liés à la cybersécurité sur Twitter, mais très régulièrement au RGPD : la #dataprotection. Il y a en effet un enjeu très fort de protection des données sensibles dans le domaine de la santé, où les besoins sont énormes pour les acteurs souhaitant utiliser ce type de données. Si le compte Twitter DrData est aujourd’hui peu visible avec moins de 300 abonnés, en exploitant le hashtag #dataprotection qui est mentionné en moyenne 1000 fois par mois en français, il touchera plus facilement ses cibles potentielles qu’en utilisant les termes liés à la cybersécurité.

C’est donc en identifiant un besoin spécifique de la protection de données, à savoir les informations sensibles, et plus particulièrement celles liées à la santé de patients, que l’on a pu retrouver cette société intéressante. Une recherche sur Linkedin permet de constater que la société et sa PDG communiquent régulièrement et développent des partenariats.

 

On notera que dans le cas de la cybersécurité, rechercher des signaux faibles en ne s’intéressant qu’aux mentions de la cybersécurité risque de ne faire ressortir que des acteurs connus du secteur, institutionnels ou entreprises, ainsi que des actualités sur les failles et menaces diverses et variées : les mentions Twitter du sujet correspondent à une bulle de filtre d’experts et de passionnés.

C’est en élargissant la veille aux enjeux de la cybersécurité qu’on pourra trouver des solutions répondant à des besoins précis : protéger des données sensibles donc, mais aussi sécuriser des transactions en ligne, des échanges entre prestataires et clients, des données biométriques, etc …

Si vous voulez explorer la cartographie des hashtags de janvier 2018 : https://master-iesc-angers.com/Gephi_Sigma/hashtags%20cyber%202018/

 

Si on sort du domaine francophone, une innovation très intéressante s’est diffusée ces dernières années grâce à Twitter, répondant à un besoin concret non adressé par les sociétés de cybersécurité : protéger ses logins / mots de passe de leur réutilisation suite à des data leaks. C’est un excellent exemple de signal faible devenu fort d’un service innovant de protection des identifiants en ligne, pris en compte tardivement par les prestataires cyber et institutionnels en France. Et une bonne démonstration de l’intérêt de suivre les échanges entre experts sur Twitter d’un domaine donné, pour anticiper ce type d’innovation.

D. Haveibeenpwned, le service innovant devenu incontournable pour se protéger des conséquences des fuites de données de logins et mots de passe

Lancé fin 2013 par Troy Hunt, alors directeur régional de Microsoft en Australie, le service https://haveibeenpwned.com/ que je vous conseille de consulter si vous n’en avez jamais entendu parlé, est avant tout une démonstration parfaite de l’utilisation du web dans ses meilleurs aspects : la création d’un outil gratuit et performant accessible à tous, qui s’améliore grâce au travail assidu de son créateur et aux nombreux retours d’utilisateurs et d’experts en cybersécurité, jusqu’à devenir une référence dans la lutte contre les failles de sécurité dues aux data leaks.

Le principe est simple : permettre à n’importe qui de vérifier gratuitement si ses adresses mails, personnelles ou professionnelles, sont présentes dans une fuite de données connue, le tout de manière sécurisée ET éthique : les data leaks de sites de rencontres entre adultes type Ashley Madison sont vérifiables uniquement par les personnes prouvant qu’elles possèdent le mail en question. Assez confidentiel au départ, l’initiative de Troy Hunt a connu un succès croissant grâce à la communication d’experts en cybersécurité, et est devenu incontournable depuis l’été 2017, après avoir été cité dans de nombreux articles. Notons pour les sceptiques que ce service est un modèle d’optimisation de bande passante et de sécurisation des données par le chiffrement, démontrant au passage que ce qu’un individu peut faire de son côté, n’importe quelle entreprise de plus de 500 salariés devrait pouvoir le mettre en oeuvre. Troy Hunt documente en permanence les évolutions du service et notamment les outils mis en place pour éviter les abus et protéger les données. Là aussi, cet exemple pourrait être repris, surtout dans le contexte du RGPD …

 

Et le service va évoluer : ce que constate Troy Hunt en collectant les informations de ces fuites de données, c’est que les même mots de passe sont constamment réutilisés. Ce qui fait qu’une fuite de données provenant d’un service que vous n’utilisez plus peut permettre d’accéder à votre compte très actif sur Paypal, Amazon, Twitter … si le mot de passe est le même. Les hackers utilisent aujourd’hui cette démarche appelée « credential stuffing », qui consiste à tester mails et mots de passe glanés via des fuites de données sur d’autres services. En juillet 2018, HSBC America a été attaquée de cette façon.

Pour éviter ces risques, Troy Hunt propose à tout service en ligne d’exploiter les mots de passes issus des data leaks afin d’informer les utilisateurs si leur mot de passe est déjà compromis pour le changer, empêchant ainsi ce type d’attaque. Il est intéressant de noter que l’usage de ce service ne s’est pas encore généralisé, alors même que c’est une excellente idée. Le projet continue d’évoluer, pour adresser de nouveaux besoins.

Revenons à la cybersécurité francophone : si on s’intéresse aux mentions du service haveibeenpwned de 2013 à janvier 2017, on retrouve seulement 43 tweets français. Alors même qu’il existait depuis plusieurs années, la plupart des acteurs français de la cybersécurité ne connaissaient pas ce service :

Pour autant les choses changent, notons pour le coup le tweet de la députée LREM Paula Forteza pour promouvoir ce service le 17 janvier 2019.

Pour finir, quand il ne profite pas du beau temps en Australie, Troy Hunt contribue avec son ami Scott Helme à promouvoir le passage du web au protocole sécurisé HTTPS. Théoriquement obligatoire avec le RGPD, il est loin d’être utilisé sur tous les sites professionnels, souvent mal configurés (par exemple en ne protégeant qu’une partie d’un nom de domaine). Sachant que Chrome et Firefox poussent à son adoption également, il y a surement des choses à faire pour mettre en place des prestations de sécurisation de sites web, peu coûteuses et simples à déployer, qui en plus amélioreront le référencement des sites concernés … Les mentions entre le 1er mai et le 31 juillet 2019 du protocole HTTPS sont faibles sur les tweets Cybersécurité français, elles étaient inexistantes en janvier 2018 :

Répondre

Entrez vos coordonnées ci-dessous ou cliquez sur une icône pour vous connecter:

Logo WordPress.com

Vous commentez à l'aide de votre compte WordPress.com. Déconnexion /  Changer )

Photo Google

Vous commentez à l'aide de votre compte Google. Déconnexion /  Changer )

Image Twitter

Vous commentez à l'aide de votre compte Twitter. Déconnexion /  Changer )

Photo Facebook

Vous commentez à l'aide de votre compte Facebook. Déconnexion /  Changer )

Connexion à %s