Cyberattaque grandeur nature à l’université Sorbonne Paris Nord !
- Près de 200 étudiant·es venus de toute la France étaient inscrit·es du 19 au 23 janvier au Trophée Ex Machina organisé par l'université Sorbonne Paris Nord avec de nombreux partenaires privés.
- Après une semaine de formation, ils et elles ont participé à un exercice de simulation de cyberattaque dans un hôpital.
- Ce trophée est un des points forts du projet de l'université Sorbonne Paris Nord qui ambitionne de devenir une référence internationale sur la résilience des crises systémiques.
Dans un amphithéâtre de l’IUT de Saint-Denis, 196 étudiant·es sont tendu·es vers l’orateur : « Dans votre hôpital, à 5h30, plusieurs alarmes informatiques sont signalées, laboratoire, pharmacie, l’imagerie… 6h: L’équipe informatique lance les premières investigations pour comprendre l’origine de l’accident. 7h30: Certains personnels soignants témoignent de ralentissements sur leur poste, ils alertent également le service informatique. 9h30: Après une analyse des signaux faibles, le service informatique redoute une cyberattaque, la décision est prise de prévenir l’administrateur de garde. Ce dernier mobilise la cellule de crise. A vous de jouer ! »
Le Trophée Ex Machina a été créé l’an dernier par l’Université Sorbonne Paris Nord. Pendant une semaine, des étudiant·es venu·es de toute la France et de onze disciplines différentes sont venu·es participer du 19 au 23 janvier à une formation sur la gestion d’une cyberattaque, conclue par un exercice en situation réelle. Et c’est le grand jour ! Tous et toutes se répartissent dans les différentes salles, en autant de cellules de crise. Pendant 4 heures, ils et elles vont devoir faire face à une multitude de problèmes, se concerter, s’écouter, proposer des solutions.
4 heures de gestion de crise
Marc Tolub est manager conseil et audit cyber résilience gestion de crise chez Orange Cyber Défense, il est l’un des concepteur·ices de cet exercice. « Nous nous adressons à des étudiants qui ne sont absolument pas experts en gestion de crise. C’est donc un exercice à visée pédagogique. Il vient en complément des cours qu’ils ont suivis les jours précédents de la semaine. On est vraiment dans le cas pratique d’une crise, une attaque cyber dans un hôpital. Chaque étudiant s’est attribué un rôle compatible avec le fonctionnement d’un véritable hôpital : chef de service, médecin, responsable ressources humaines, urgences, directeur financier… L’objectif de la cyberattaque, c’est de paralyser l’hôpital. Le rôle de la cellule de crise est au contraire d’assurer la continuité des soins ! »
Dans une cellule de crise, chacun a une tâche spécifique et doit communiquer avec les autres pour résoudre la multitude de problèmes de l’hôpital cyberattaqué. Les soins doivent continuer !
En présentant la discipline de gestion de crise aux étudiants, l’université espère leur donner l’envie de s’inscrire dans l’un des deux Masters proposés par l’université Sorbonne Paris Nord. « Et nous, reprend Marc Tolub, en tant qu’employeur, nous espérons identifier des profils intéressants qui pourraient, à l’issue de leur Master, rejoindre les effectifs d’Orange Cyber Défense. »
Des mauvaises surprises scénarisées, minutées
L’exercice est complètement scénarisé, minuté. Dans une salle aux allures de QG, une équipe d’animation constituée de professionnel·les de la gestion de crise suit scrupuleusement les consignes et appelle tel ou tel étudiant, à la minute près.
Exemple : « Bonjour je suis Gaspard Delacroix, secrétaire en consultation et là, les postes fonctionnent très très mal. On n’a pas accès au planning de rendez-vous, les patients arrivent mais on ne peut pas les identifier, c’est vraiment le souk. Je crois que les postes informatiques des médecins ne fonctionnent pas non plus. Les patients se plaignent, les files d’attente s’allongent, alors qu’est-ce qu’on fait ? » Vite, les étudiant·es doivent se concerter et trouver une solution. Et rapidement car les problèmes arrivent toutes les 5 minutes ! Chacun doit jouer son rôle, du responsable logistique qui doit trouver une solution pour les ascenseurs en panne, au responsable des soins qui doit mettre en place une alternative aux dossiers informatisés des patients en carafe et à ses conséquences : résultats d’analyses indisponibles, heure d’opération inaccessible, allergies inconnues…
Une trentaine de professionnel·les mettent les étudiant·es à rude épreuve : à chaque appel un nouveau problème !
Les étudiant·es ont tous une formation différente, tous sont des spécialistes dans leur domaine, avec leur jargon, mais il leur faut trouver un langage commun pour se coordonner et être efficaces. Ensuite ils·elles envoient un mail à la « cellule débordement » où d’autres professionnel·les traitent leurs demandes, comme Julien Champion, consultant sécurité en cyberdéfense : « Nous récupérons les questions des étudiants et nous essayons d’y répondre. Certaines sont un peu farfelues… mais souvent bien réfléchies. Par exemple, quelqu’un me demande d’activer une ligne de crédit qui aurait été négociée entre notre hôpital fictif et la banque. » Marc Tolub reprend : « L’an dernier, une cellule de crise avait pensé évacuer tous les malades par hélicoptère. Bonjour le coût ! Mais ce n’est pas grave, ils imaginent ! »
Des cellules sous surveillance
Dans chaque cellule, des observateurs spécialistes des gestions de crise veillent. Pauline Teillet est coordinatrice management de crise au sein du groupe BNP Paribas. « Notre rôle en tant qu’observateur est de voir comment la cellule de crise se structure, les différentes actions qu’ils vont mettre en place. Et leur donner quelques points d’amélioration pour un exercice futur. Nous sommes particulièrement attentifs à la qualité de communication, comment le coordonnateur et le directeur de crise se positionnent également. Parfois chacun veut parler en même temps et cela peut vite donner un brouhaha ambiant et personne ne s’écoute. Ou alors on donne de l’info mais personne ne la reçoit et personne ne la traite. Il faut savoir travailler en autonomie sur une tâche précise et se réunir pour partager de l’information. Le point-clé, c’est le collectif ! »
Katell Gouzerh, future ingénieure informatique, stressée mais ravie de l’expérience Trophée Ex Machina.
15 heures, l’exercice est fini, les observateurs font le point ensemble sur chacune des cellules, relevant les points forts et les points faibles. Pas de classement, le but est avant tout pédagogique. Dans l’amphi d’à côté, les étudiants soufflent, encore sous le coup de l’excitation de 4 heures d’effort. Katell Gouzerh, étudiante à Sup Galillé en 3e année d’ingénieure informatique, redescend doucement : « C’était bien plus intéressant qu’une semaine normale de cours. Des gens de différents univers sont venus nous donner des cours, il y a eu de l’interaction sociale avec des étudiants d’autres filières alors que d’ordinaire nous ne travaillons qu’entre nous. Très enrichissant ! » Appliquée, elle qui devait tenir le rôle de directrice financière, avait la veille préparé un tableau Excel avec tous les postes de dépense, les montants… « J’ai tendance à stresser, mais mon équipe était là pour me rassurer. Nous nous sommes tous entraidés et ça a allégé les choses. Heureusement car il y avait toujours quelque chose de pire qui arrivait ! A un moment les infirmières et aides-soignants étaient en arrêt maladie car trop stressées, les ascenseurs ne fonctionnaient plus… Au début on ne savait pas trop quoi faire, mais ensemble on trouve des solutions. »
Finalement enthousiaste, elle recommande ce Trophée Ex Machina : « Les rencontres sont très enrichissantes, les cours sont excellents comme celui donné par un spécialiste cyber-sécurité du ministère de l’Intérieur. Et en tant qu’ingénieure informatique, on a tendance à se concentrer uniquement sur les programmes. Mais là, avec ce cas d’un hôpital, on se rend compte que notre travail influe directement sur la santé de vraies personnes. »
Photos : Fatima Jellaoui
La résilience s’apprend à l’université Sorbonne Paris Nord
Michel Séjean est professeur droit cybersécurité à l’université Sorbonne Paris Nord et l’un des créateurs du Trophée Ex Machina. Il nous explique son rôle et ses ambitions.
« L’idée est venue avec le plan France relance qui a fait un appel à manifestation d’intérêt sur compétences et métiers d’avenir pour essayer d’imaginer les métiers qui concerneraient la cybersécurité et qui n’existeraient pas encore. La gestion de crise existe depuis très longtemps, mais c’était un métier qui s’apprenait sur le tas. Et dans un monde avec des crises de plus en plus nombreuses et systémiques, dans le cyber, l’environnement, l’énergie, la banque, le sanitaire (Covid), on ne peut pas compter seulement sur des gens qui sont formés sur le tas parce qu’ils ont une bonne expérience. Nous, en tant qu’université nous devons créer une vraie filière résilience. Notre objectif est que l’Université Sorbonne Paris Nord soit identifiée comme une des références qui comptent nationalement et internationalement sur la résilience des crises systémiques, pas seulement la cyber mais nucléaire, sanitaire, environnement etc.
Le projet résilience compte 4 briques :
1 le trophée Ex Machina, mécanisme de détection des talents et de naissance de vocations. Curieusement, ce n’est pas la cybersécurité l’objet principal, mais la communication entre métiers dès l’éducation.
Les 2 briques suivantes sont deux masters qui vont entrer en application en septembre 2027 pour le master résilience français (2 années d’apprentissage du management de la résilience) et un master européen avec 3 pays partenaires, la Finlande, les Pays-Bas et l’Albanie, en septembre 2028.
La dernière brique est un centre d’excellence sur la résilience qui va nous servir d’écosystème. C’est là qu’on va faire le trait d’union entre le public et le privé. En contrepartie, les partenaires institutionnels et privés peuvent envoyer pour moins cher leurs salariés pour de la formation au sein du Master français. Nous les accueillerons en même temps que les étudiants de formation initiale. C’est un élément intergénérationnel important. Nos partenaires ont besoin parfois que leurs salariés retrouvent du sens dans leur métier, et si ces salariés ont un don pour transmettre, ils ont priorité pour enseigner dans nos masters de résilience.
Nous allons créer un centre d’excellence facilitant le recrutement d’étudiants sur tous types de périodes, même courtes. Nous proposons à nos partenaires privés des prestations qui ne sont pas mercantiles, mais qui ont de la valeur.
Le plus des universités est de former des étudiants dans plusieurs disciplines, pas seulement des ingénieurs. Et ces étudiants sont de plus en plus désireux de se rassurer en étant au contact des entreprises. De même que les entreprises sont prêtes à se reposer sur les étudiants. Et c’est ce qu’on pense que les universités doivent devenir. C’est ce à quoi le Trophée sert de vitrine. »
