Nouvelles
Cybersécurité : création de la chaire GEDAI pour cibler les menaces internes
Le mot qu’elle évoque est à la hauteur de ses ambitions. En démarrant les activités de la chaire institutionnelle GEDAI (prononcé « JEDI ») sur l’identification, l’analyse et l’automatisation de la gestion des déviations et des anomalies internes, Polytechnique Montréal entend s’attaquer au problème des menaces internes, un fléau au moins tout aussi important que les menaces externes en matière de cybersécurité.

Inauguration de l'Institut multidisciplinaire en cybersécurité et cyberrésilience (IMC2) et présentation de la chaire GEDAI à Polytechnique Montréal. (Photo : Denis Bernier)
La création de la chaire GEDAI s'appuie sur le projet Alliance sur les menaces internes qui bénéficie d’un financement de près de 5,4 millions de dollars répartis sur 5 ans provenant du Conseil de recherches en sciences naturelles et en génie du Canada (CRSNG) et de MITACS.
Frédéric Cuppens, professeur au Département de génie informatique et génie logiciel de Polytechnique Montréal et directeur de l’IMC2, pilotera ce projet qui réunit une constellation de collaboratrices et collaborateurs, à commencer par des chercheuses et des chercheurs de HEC Montréal et de l’Université de Montréal au travers de l’Institut multidisciplinaire en cybersécurité et cyberrésilience (IMC2). Ce groupe de recherche s’appuiera également sur ses partenaires industriels Banque Nationale, Desjardins, Qohash, Mondata et Cybereco.
Des menaces imposantes
Les menaces internes constituent la plus importante brèche de sécurité dans les organisations et entreprises, bien avant les menaces externes qui ont accaparé l'attention des chercheurs du milieu au courant des dernières années.
Employés, consultants et tiers de toutes sortes qui accèdent à un réseau informatique représentent chacun une porte d’entrée potentielle pour une attaque ou une intrusion, que ce soit par malveillance, par négligence ou par mégarde. Et cette porte d’entrée est de plus en plus privilégiée par les malfaiteurs.
Selon IBM, la fréquence des événements liés aux menaces internes a plus que triplé entre 2016 et 2020 et cette lancée ne serait pas près de s’essouffler. Selon l’Institut Ponemon, plus de la moitié des organisations auraient même subi au moins un incident lié à une menace interne au cours de la dernière année. Le recours accru au télétravail laisse présager que le phénomène est loin de s’estomper.
Le groupe de recherche mené par Polytechnique Montréal entend colmater ces brèches en développant une solution applicable sur le terrain afin d’aider les organisations et les entreprises à faire face à ce fléau. Leur défi : trouver le juste équilibre entre des contraintes économiques, éthiques et sociales ainsi que celles plus techniques et légales. Ils entendent y arriver en misant sur une approche multidisciplinaire qui prend en compte les contraintes du terrain.
« Les outils de surveillance développés jusqu’ici rencontrent des freins techniques ou humains lorsque vient le moment de les implanter », confie Frédéric Cuppens. « En nous rapprochant de la réalité des utilisateurs, nous avons bon espoir de proposer une approche réaliste de gestion des risques internes, combinant contrôle des accès et supervision, qui sera adoptée par les organisations, et ce, sans alourdir le travail de leurs membres. »
Le projet profitera notamment de l’apport des équipes de Nora Boulahia Cuppens, professeure au Département de génie informatique et génie logiciel de Polytechnique Montréal, d’Alina Dulipovici, professeure au Département de technologies de l’information de HEC Montréal, de Benoît Dupont, professeur à l‘École de criminologie de l’Université de Montréal, et d’Amal Zouaq, professeure au Département de génie informatique et génie logiciel de Polytechnique Montréal.
Le groupe de recherche procédera d’une part à une collecte de données terrain afin d’identifier les processus à risque pour l’organisation. Comme cette étape nécessite d’avoir accès à des sources de données sensibles pour l’organisation et ses employés, cette collecte se fera dans le respect des contraintes réglementaires et éthiques. L’équipe développera en parallèle une solution intégrée de gestion des menaces internes qui prendra en compte des facteurs sociotechniques, économiques, éthiques et réglementaires. La solution reposera notamment sur l’intelligence artificielle afin d’apprendre, de modéliser les connaissances et d’appliquer un raisonnement automatique.
Un événement inaugural pour l’IMC2
L’annonce de la création de la chaire GEDAI s'est faite durant l’événement inaugural de l’IMC2 qui s’est tenu ce mercredi 18 octobre à l’Amphithéâtre Bernard‑Lamarre de Polytechnique Montréal.
L'événement a réuni le temps d'un après-midi près de 200 intervenants et intervenantes du monde de la cybersécurité et de la cyberresilience qui provenaient autant du monde académique que de l'industrie.
À la suite des allocutions de Maud Cohen, directrice générale de Polytechnique Montréal, de Daniel Jutras, recteur de l’Université de Montréal, et de Caroline Aubé, directrice de la recherche et du transfert à HEC Montréal, les personnes présentes à l’événement ont eu droit à un mot préenregistré de Pierre Fitzgibbon, ministre de l’Économie, de l’Innovation et de l’Énergie, ministre responsable du Développement économique régional et ministre responsable de la Métropole et de la région de Montréal, d’Éric Caire, ministre de la Cybersécurité et du numérique, et de Pascale Déry, ministre de l’Éducation supérieure. Tout comme ses collègues, le ministre Éric Caire s’est montré enthousiaste de la création de l’IMC2. « L’IMC2 est l’incarnation pour moi de ce qui doit être fait en cybersécurité », a-t-il souligné, ajoutant que c’est en jumelant les forces de chacun qu’émergeront les solutions pérennes aux problèmes qui occupent le secteur.

Signature du livre d'or de Polytechnique Montréal à l'occasion de l'inauguration de l'IMC2. De gauche à droite : Caroline Aubé, directrice de la recherche et du transfert à HEC Montréal; Marc Gervais, directeur exécutif de l'IMC2; Maud Cohen, directrice générale de Polytechnique Montréal; Frédéric Cuppens, professeur titulaire au Département de génie informatique et génie logiciel, directeur de l'IMC2 et directeur du projet Alliance sur les menaces internes; Daniel Jutras, recteur de l'Université de Montréal. (Photo : Denis Bernier).
Selon Marc Gervais, directeur exécutif de l’Institut, l’exemple apporté par le projet Alliance sur les menaces internes incarne d’ailleurs cette volonté. « Le projet et la création de cette chaire s’inscrivent dans la vision de l’IMC2 et dans son souci de regrouper les expertises complémentaires de ses membres pour développer des solutions qui trouveront leur place dans le monde réel », dit-il.
S’appuyant sur un bassin initial d’une quarantaine de professeures et professeurs et de leurs équipes de recherche, l’IMC2 fournit aux gouvernements, aux citoyens et aux entreprises du Québec et du Canada une expertise de premier plan par ses activités de recherche, par la formation d’une relève aux compétences pertinentes, par l’innovation et le partage de connaissances et par son implication en matière de politiques publiques. L’Institut, issu d’un partenariat entre Polytechnique Montréal, l’Université de Montréal et HEC Montréal, compte inclure éventuellement d’autres partenaires du milieu académique.
En savoir plus
Site de l’IMC2
Fiche d’expertise de Frédéric Cuppens
Site du Département de génie informatique et génie logiciel