(Salutations)

La protection des données à l'ère digitale, est-ce compatible ?

Nous sommes nombreux aujourd'hui, pour justement en savoir davantage.

Notre futur sera-t-il plus smart ou moins personnel, ou l'inverse? Comment trouver une balance entre vie privée et vie connectée ?

Permettez-moi un détour historique.

Pendant des milliers d'années, les dieux influençaient, voir dirigeaient, nos actions, nos décisions, nos vies. Dans l'ère moderne, l'humanisme prenait graduellement la relève et l'autorité divine se vît remplacer pas la liberté, la liberté d'expression, la liberté des actions, la liberté de soi.

Comme le disait déjà Rousseau :

"Le seul qui fait sa volonté est celui qui n'a pas besoin, pour la faire, de mettre les bras d'un autre au bout des siens : d'où il suit que le premier de tous les biens n'est pas l'autorité, mais la liberté. L'homme vraiment libre ne veut que ce qu'il peut, et fait ce qu'il lui plaît."

Aujourd'hui une nouvelle autorité semble s'établir : les algorithmes et le "big data", qui permet de rationaliser, de calculer, d'analyser, et même de prédire, ce qui jusqu'ici semblait l'imprévisible.

Un exemple :

En 2009 Google publie une étude expliquant comment ils savent prédire les éruptions de grippe saisonnière, état par état. Ceci "tout simplement" en analysant les requêtes de recherche faites par les gens sur Internet.

Mais y a-t-il vraiment tellement de données ? Oui et encore beaucoup plus, car le "leitmotiv" du "dataïsme", cette nouvelle religion du futur, est le suivant :
Si tu ressens quelque chose - enregistre-le
Si tu enregistres quelque chose - télécharge-le
Si tu télécharges quelque chose - partage-le tes amis
Si tu rencontres quelque-un - devient ami

Ainsi, nous créons de manière continue des données, des données et encore des données...

En une seconde sur Internet nous...

- envoyons +2,5 millions d'emails
- visionnons +130 mille vidéos
- faisons + 55 mille recherches et 2300 appels téléphoniques
- et, téléchargeons 745 photos

Les coûts du "dataïsme" ne sont pas négligeables non plus. L'énergie consommée pour cette seconde d'Internet est de l'ordre de 33MWh, ce qui correspond à plus ou moins la consommation moyenne d'un Luxembourgeois pendant 2 ans !

Mais toutes ces données ne servent à rien, sans CONTEXTE.

Pour que le "big data" fonctionne, il faut des algorithmes, de bons algorithmes, de très bons algorithmes, et de très bons analystes.

Mais cela ne suffit pas, ces algorithmes doivent pouvoir créer le contexte. Un peu comme nos 5 sens le font. Ils créent de manière implicite, un "sentiment", une conscience de la situation, de son "ambiance". Ils contextualisent la situation, les interactions, ainsi que les décisions et actions. Sans ce contexte, prendre des décisions est très difficile et nous semblerait inimaginable, car non réfléchi.

Depuis Rousseau, nous savons que nous les "humanistes", prenons nos décisions nous-mêmes, en combinons nos sentiments aux informations rationnelles extérieures.

Souvent, cependant, les sentiments l'emportent et une décision irrationnelle est prise, en particulier pour des questions de vie privée.

Prenons l'exemple d'une des plus importantes décisions d'une vie.

Qui devrais-je marier ?

Ma mère me conseillait :

"Mon fils, écoute ton coeur ! Si c'est la femme de ta vie, tu le ressens au fond de toi. Rappelle-toi de tes premiers "papillons dans le ventre" et tu sauras."

Ma fille, cependant, écoutera éventuellement "Google Now" ou "Apple Siri". Qui lui dirait :

"Je te connais depuis ta naissance, j'ai lu tous tes emails, enregistré tous tes appels téléphoniques, vu tous tes films. Je connais même ton ADN et tout ton historique biométrique. J'ai enregistré tes battements de coeur, ta pression artérielle, ton taux de sucre, lors de tes rendez-vous galants. Et naturellement je connais autant de choses de Fred, John et Paul. Je te conseille donc, avec une probabilité de 87% de satisfaction dans le long ferme, John."

"Je sais que tu n'aimeras pas cette réponse et que secrètement tu espérais entendre Paul, qui est plus attractif. Mais même en ayant considéré tout cela et me basant sur des études que l'attractivité n'assure qu'à 14% une relation à long terme, je te dis de choisir John."

Bienvenue dans l’âge du "contextual computing".

Cette technologie permet à l'ordinateur de créer du contexte et qui est fondamentale et centrale dans la révolution digitale et donc industrielle que nous vivons actuellement.

Certains utiliseront plutôt le terme "smart" ou "smart computing", mais dans l'essence c'est la même chose.

La maîtrise du "contextual computing” passe inévitablement par la maîtrise des "5 forces du contexte".

Elles représentent en quelque sorte nos 5 sens, et permettent aux ordinateurs de prendre des décisions pour nous.

Pour le meilleur et pour le pire (!)

La première force : le mobile, notre interface avec les algorithmes.

Ils sont petits, on les porte toujours sur nous, ils font éventuellement même partie de nos habits, sont omniprésents et très puissants.

Un iPhone par exemple est 1000 fois plus puissant que l'ordinateur qui a permis à Armstrong, Aldrin et Collins d'atterrir sur la Lune.

On dit même qu'ils sont "smarts".

Que ce soit des smart-phones, smart-watchs ou autres smart-qqchose, les ordinateurs sont devenus nos compagnons intelligents. Ils constituent notre interface directe avec le "big data" et le pouvoir prédictif du "contextual computing".

Descarts nous a appris: Je pense, donc je suis.

Aujourd'hui, pour être, penser ne suffit plus, il faut :
- communiquer,
- partager,
- aimer (ou "liker"),
- socialiser.

Le "social media" est donc la deuxième force.

C'est avec nos interactions sur le net, nos commentaires, nos "likes" et "unlikes", nos sentiments que le "contexte" prend forme

Ce n'est qu'ainsi que notre contexte se construit petit à petit et que l'ordinateur commence à penser comme nous.

La troisième force c'est le DATA, naturellement! Sans données rien ne va, c'est l'élément central.

Même si on nous parle toujours de "Big Data", la question n'est forcément sur la quantité, ni même la qualité, mais la capacité d'agréger, de corréler, d'analyser, de calculer pour finalement trouver l'information utile, intelligible, smart.

Les données seules, même en de grosses quantités (big data), vont contenir qu'une intelligence minimale. La combinaison avec les autres "forces" fait le contexte, donne de la valeur ajoutée, permet de la prédiction.

"Location" : la quatrième force.

Le succès de services comme "Google Maps", mais surtout les systèmes comme le GPS, nous démontre que la connaissance précise de la localisation est essentielle pour se déplacer, se retrouver et savoir où on est, et avec qui.

Sans information de localisation, il n'y a pas de point de départ, les algorithmes ne seraient pas ou commencer, où s'arrêter, comment délimité les donnés et quelles données de contacts (d'amis) seraient intéressants.

Last but not least, "l'internet des objets".

Des objets qui communiquent et interagissent entre eux sans influence décisionnelle humaine. Que ça soit des télés, des voitures, des chaudières, frigo ou encore des chaussures de sport, aujourd'hui tout est truffé d'électroniques et connecté.

Ces objets se réduisent souvent à leurs capteurs, cette petite chose qui mesure et enregistrer tout changement, qui peut être attachée partout et à tout, pour observer, pour écouter, pour surveiller tout ce qui s'y passe et comprendre l'environnement.

En quelque sorte, ces capteurs émulent les 5 sens de l'homme, et ainsi donnent à l'ordinateur les moyens d'être conscient de son environnement.

Il y en a déjà plein partout et encore beaucoup plus à venir. Par exemple :

Dans les voitures, qui s'ouvrent automatiquement lorsque vous vous en approchez et vous indique que selon la situation de trafic, il va falloir 20min pour arriver à votre prochaine réunion. Vous avez donc le temps de prendre un café au bar du coin de la rue, qui, justement, fait le cappuccino, comme vous l'aimez. Votre collègue, qui vient de recevoir un SMS, vous y attend d'ailleurs déjà.

Ces 5 forces forment un ensemble cohérent, complémentaire et inséparable, rendant notre futur plus smart! Mais à quel prix ?

Le revers de la médaille se fait déjà ressentir.

L'IoT ouvre de nouveaux terrains de jeux pour les criminels et c'est plus facile que jamais.

Un exemple, l'attaque récente de type DDOS contre le site de Brian Krebs (journaliste/blogueur spécialisé en cybercriminalité), qui surpasse tout ce qu'on a vu jusqu'ici (allant jusqu'à 1Tbps). Et cela à partir d'un réseau de caméras, vidéo-enregistreurs et autre home-cinémas.

Rien qu'au Luxembourg mon équipe CIRCL, détecte bien au-delà du demi-million de tentatives d'attaques, par jours.

Selon Akamai, un grand de l'Internet, c'est la plus grosse attaque enregistrée (“This was the biggest attack we’ve ever seen,” Martin McKeay, the senior security advocate for Akamai). Et ceci, seulement quelques jours après la publication d'un article, de ce même Brian Krebs, exposant un réseau de criminel qu'il avait dévoilé, et qui on pu être arrêté par la suite. Cela montre que les criminels sont organisés, rapides et connaissent les nouvelles technologies ainsi que leurs failles.

Pire encore, Mirai, le malware qui infecte ces vidéo-enregistreurs, etc., a été programmé de manière très amateur, car, ne teste que 63 des mots de passe par défaut souvent utilisés. Il faut savoir que le ver Morris, datant de 88', utilisait 432 mots dans sont attaque brute-force !

Cela n'est que le début, la tempête, le hurricane, est encore à venir.

Préparons-nous pour le changement, car, je crains, il est inévitable. Vivons le changement. Faisons en sorte qu'il soit bénéfique pour tous.

Ce changement et donc le futur, nous apportera le PCA : "Personal Contextual Assistant"

C'est évolution naturelle du "smart-phone", qui utilise déjà aujourd'hui les 5 forces, dont j'ai parlé, pour nous aider dans nos décisions et actions.

Il fera en sorte que notre véhicule freine avant même que notre cerveau puisse réaliser qu'il y a un obstacle. Il nous conseillera quoi manger et quand faire du sport, il se chargera même de planifier nos voyages, d'arranger nos logements, et même nos rendez-vous galants.

Tout cela parce qu'il nous connaîtra mieux que nous même.

"Glass", "Google Glass", un PCA, qui déjà aujourd'hui sait anticiper nos choix, en enregistrant tout mouvement de nos yeux et analysant ce, sur quoi nous regardons.

Glass saura ce que nous voulons voire, et nous le montrera.
Glass saura ce que nous voulons manger, et nous le commandera.
Glass saura ce que nous voulons acheter, et nous le livrera à la maison.

Ce futur aura besoin que nous nous en occupions.

Que nous veillerons à ce que toutes ces données, tous ces ordinateurs, toute cette connaissance ne soient pas abusés, usurpés, et notre vie privée violée.

La confiance sera la valeur du futur. La confiance, en des services qui respectent la vie privée, qui traitent les données, nos données, notre vie, de manière respectable, éthique et morale.

Il est plus important que jamais, de protéger et d'assurer la confiance en ce monde qui se digitalise.

L'histoire récente nous l'a bien démontré :

- que la technologie est usurpée et abusée
- que nos données sont utilisées comme moyen de surveillance
- que la vie privée, l'anonymat est sous-planté
- qu'il y a perte de confiance

Et, malheureusement, on ressent une fatalité, une impuissance, de ne rien pouvoir faire.

Ce n'est pas une situation nouvelle.

Déjà Richelieu excellait dans le "data analytics".

Aujourd'hui, la globalisation, l'automatisation et le fait que la "surveillance de Goliath", comme l'appel Bruce Schneier, expert mondialement reconnu, soit économiquement viable, doit nous alerter.

Il est "moins cinq" !

Il faut agir!

Je me permets de rephraser une fois de plus Bruce Schneider :

"Europe leads the way,
don't wait, act now!
We have to try,
for our grandchildren
to make them proud."

Un premier concept fondamental, en vue de renforcer la protection de nos données et des services utilisant ces données, consiste en faire en sorte que dés le "design" des considérations de "résilience" soit intégré. Faire en sorte que l'abus et l'usurpation ne soient pas possibles ou en tout cas prévisibles et donc gérables.

C'est ce qu'on appelle aussi "privacy où security by design" !

Et bien il faut les deux : Privacy AND Security

L'un n’est pas faisable sans l'autre. Ce sont des approches complémentaires, intrinsèquement liées utilisant des moyens similaires pour atteindre des objectifs communs.

La "privacy" c'est de la sécurité de l'individu. Et de la sécurité sans "privacy" c'est de la mauvaise sécurité.

Il n'y a pas de compris, il faut le consensus.

La "protection des données à caractères personnelles" ET la "cybersécurité".

Ne gaspillons pas d'énergie ni de compétences, travaillons main dans la main.

Nous sommes tous concernés, nous utilisons tous le même réseau : Internet.

Il nous faut UNE solution commune et internationale.

L'Europe montre le chemin, et, je suis convaincu, le Luxembourg peut être leader dans l'implémentation de la GDPR au profit, des citoyens et des entreprises, en vue de construire pour nos enfants un monde meilleur.

Merci pour votre attention.

SECURITYMADEIN.LU

Je ne suis qu'un nain sur les épaules de géants, et voici les géants qui m'ont inspiré pour cette présentation.