Journée internationale des droits des femmes (IWD) a lieu le 8 mars. Si cette journée mondiale est consacrée à la célébration des nombreuses réalisations des femmes, elle vise également à accélérer l’égalité entre les genres. Avec le thème de cette année, #EmbraceEquity, elle nous rappelle avec gravité que le secteur de la cybersécurité reste fortement déséquilibré : 75 % des professionnels de la cybersécurité sont des hommes.
Des progrès sont réalisés pour améliorer la situation actuelle. Mais les projections montrent qu’il pourrait falloir plus de 130 ans pour combler les inégalités entre les femmes et les hommes si le monde maintient son rythme actuel.
Afin d’encourager dès maintenant davantage de changements et d’apporter des perspectives uniques sur l’importance de réduire les inégalités entre les genres, je me suis entretenu avec Navpreet Gill pour lancer une série d’articles de blog consacrée à des personnes issues d’identités de genre sous-représentées dans le domaine de la cybersécurité chez F5. Elle m’a fait part de son point de vue sur l’importance de continuer à donner aux femmes les moyens de prendre part à la cybersécurité, non seulement à l’occasion de la Journée internationale des droits des femmes, mais aussi au quotidien.
Navpreet travaille chez F5 depuis plus de trois ans. Son rôle est axé sur le marketing produit des solutions de pare-feu pour applications web (WAF), notamment F5 BIG-IP Advanced WAF et des services de renseignement sur les menaces. Auparavant, Navpreet a contribué au marketing produit et au développement commercial de start-up spécialisées dans la sécurité dans la Silicon Valley. Son expérience auprès de ces start-up lui a donné le goût du positionnement et de la communication autour de produits et de solutions qui répondent au mieux aux cas d’usage des clients et favorisent le développement de l’activité. Pendant son temps libre, Navpreet aime pratiquer l’escalade, le ski et la randonnée avec son chien, Henry.
Rachael : J’ai suivi un parcours professionnel atypique avant de me lancer dans la cybersécurité. Comment avez-vous réussi à intégrer ce secteur ?
Navpreet : Peu après mon passage à l’UCLA, j’ai reçu une lettre de mon organisme d’assurance maladie m’informant que je faisais partie des quelques millions de personnes touchées par une récente violation de données. Je venais de quitter Los Angeles pour m’installer dans la Silicon Valley et je cherchais un emploi. J’ai donc commencé à développer mon réseau dans le secteur de la tech. Mes mentors m’ont incitée à aller plus loin et m’ont encouragée à rechercher des postes dans la cybersécurité.
Au fond, la cybersécurité consiste à protéger les personnes pour éviter qu’elles ne deviennent des victimes. Au cours de ma carrière, j’ai aimé travailler du côté de la défense, protéger les personnes contre les menaces, traquer les acteurs malveillants et apprendre en permanence. J’aime constater l’impact de mon travail. Cet environnement au rythme soutenu m’aide à rester concentrée et rend ma carrière passionnante.
Rachael : De nombreuses personnes se sont faites les défenseures de la diversité et de l’inclusion dans le secteur technologique, mais la cybersécurité peine toujours à réduire les inégalités entre les femmes et les hommes. Quelles possibilités permettraient de combler ce fossé ?
Navpreet : Accroître la présence des femmes sur le lieu de travail est bénéfique pour les entreprises, car cela favorise la diversité des points de vue, des styles de leadership et des expériences. Si cela vaut pour tous les postes au sein d’une entreprise, c’est particulièrement essentiel dans le domaine de la cybersécurité. Nous avons besoin de personnes issues d’horizons différents, car nous traquons des cyberadversaires et des pirates informatiques dont les parcours et les expériences sont eux aussi variés. Plus les profils et les expertises mobilisés pour défendre notre monde numérique seront diversifiés, plus nous aurons de chances de réussir.
Rachael : Je suis tout à fait d’accord. Il y a quelques années, l’Université du Maryland indiquait qu’une cyberattaque se produisait toutes les 39 secondes, et la tâche ne cesse de se simplifier avec l’évolution de tactiques telles que le ransomware-as-a-service. Comment pouvons-nous inciter davantage de femmes à s’orienter vers la cybersécurité ? Que faut-il changer ?
Navpreet : Je pense qu’il s’agit d’un problème de perception : à la maison comme à l’école, les jeunes filles sont souvent orientées vers des rôles plus traditionnels. Le manque de modèles joue également un rôle important, tout comme d’autres facteurs tels que la prédominance masculine et la pression des pairs, qui contribuent à donner des STEM une image de domaine réservé aux geeks.
Nous pouvons changer la donne en faisant évoluer les mentalités. Les enseignants et les conseillers d’orientation devraient encourager les jeunes filles à s’orienter vers les métiers des sciences, de la technologie, de l’ingénierie et des mathématiques (STEM), et mettre en avant des modèles féminins au sein du système éducatif. Dans le monde du travail, les employeurs devraient mettre en place des programmes visant à recruter et à fidéliser les femmes dans le secteur informatique, en garantissant l’égalité salariale, les mêmes possibilités de promotion et un environnement de travail inclusif, quel que soit le genre.
Rachael : Je suis ravie de voir des initiatives qui remettent en question le statu quo. Et tout ce qui se passe actuellement dans le domaine de la cybersécurité me stimule. Quelles sont les tendances qui retiennent particulièrement votre attention en ce moment ?
Navpreet : Ce qui m’enthousiasme le plus, c’est l’intelligence artificielle (IA) dans le domaine de la cybersécurité.
Les cyberattaques ne vont pas disparaître : leur fréquence et leur sophistication continueront d’augmenter. Il est devenu assez difficile pour les experts en cybersécurité de réagir à chacune d’entre elles. Les pirates informatiques et les cybercriminels utilisent l’IA. Dans de nombreux cas, des algorithmes d’IA servent à repérer les systèmes de sécurité vulnérables qui contiennent des informations précieuses. L’IA peut également créer plusieurs e-mails de phishing personnalisés afin d’inciter leurs destinataires à divulguer des informations sensibles. Les attaques pilotées par l’IA peuvent aussi être plus ciblées et plus efficaces ; leur capacité croissante à comprendre le contexte signifie qu’elles seront encore plus difficiles à détecter.
Rachael : Comme utiliser ChatGPT pour mener des attaques malveillantes. Mais tout espoir n’est pas perdu pour l’IA utilisée à de bonnes fins, n’est-ce pas ?
Navpreet : Tout à fait. Les algorithmes d’apprentissage automatique peuvent analyser plus efficacement l’immense quantité de données qui circulent sur les réseaux en temps réel et apprendre à reconnaître les schémas révélant une menace. Les investissements dans les nouvelles technologies joueront un rôle essentiel face à cette nouvelle réalité et dans cet écosystème en pleine évolution. Il est crucial d’intégrer la technologie à cet écosystème afin de lutter contre l’utilisation malveillante de l’IA grâce à l’IA elle-même.
Par exemple, l’analyse comportementale est indispensable pour détecter les attaques combinées. De nombreuses attaques par déni de service distribué (DDoS) de couche 7 sont furtives et peuvent passer inaperçues. BIG-IP Advanced WAF utilise l’apprentissage automatique et la surveillance des données pour analyser le comportement du trafic et assurer une protection automatique contre les attaques DoS et DDoS.
L’IA dans le domaine de la cybersécurité évolue de manière exponentielle, et j’ai hâte de voir jusqu’où elle ira.
Autres questions-réponses de cette série d’articles
En savoir plus
Découvrez ce qui distingue BIG-IP Advanced WAF
Consultez le dernier rapport de F5 sur la diversité et l’inclusion
Découvrez les carrières dans la cybersécurité chez F5
Chad : pourquoi est-il si difficile pour les architectes et les ingénieurs en sécurité de choisir la solution de protection adaptée aux applications web et aux API ?
Gary : Choisir la bonne solution de protection des applications web et des API (WAAP) peut effectivement s’avérer complexe pour les équipes chargées de la sécurité et des risques. La multitude d’options disponibles complique le processus de décision : fournisseurs de CDN, outils cloud natifs, produits exclusivement dédiés à la sécurité et plateformes WAAP, pour n’en citer que quelques-unes.
Chaque solution présente des fonctionnalités, des capacités et des architectures différentes, ce qui complique leur évaluation et leur comparaison. Cela entraîne souvent des recherches chronophages, un risque de négliger certains aspects et la possibilité de choisir une solution inadaptée susceptible d’exposer l’organisation à des menaces de sécurité. Sans oublier l’écart entre la théorie et la pratique : quelles seront ses performances réelles ?
Chad : Pouvez-vous nous présenter le nouveau comparatif « Meilleures solutions de sécurité pour les API et les applications web » et nous expliquer son objectif ?
Gary : Absolument. Ce nouveau guide a été conçu pour répondre précisément aux difficultés rencontrées par les architectes et les professionnels des SecOps que j’ai évoquées précédemment. Il propose une comparaison claire, structurée et côte à côte des principales solutions, en mettant en avant des éléments clés tels que la flexibilité architecturale, la portabilité des politiques, l’adaptabilité aux menaces, l’intégration au cycle de vie et l’efficacité de la sécurité. Son objectif est de simplifier le processus de décision en offrant une vue d’ensemble complète qui aide les professionnels à choisir la meilleure approche pour mettre en œuvre la sécurité des applications.
Chad : Comment le guide comparatif simplifie-t-il le processus de prise de décision ?
Gary : Le guide comparatif simplifie considérablement le processus de prise de décision en faisant gagner du temps et en réduisant la complexité. Il offre une vue d’ensemble concise et structurée des différentes catégories de solutions, en comparant clairement les points forts et les points faibles de chaque option. Les professionnels peuvent ainsi déterminer rapidement quelles solutions répondent à leurs besoins spécifiques, ce qui limite le risque d’oubli et leur permet de choisir la protection la plus efficace pour leurs environnements numériques particuliers.
Chad : Quels sont les principaux critères sur lesquels se concentre le guide comparatif, et pouvez-vous donner des exemples précis illustrant leur importance ?
Gary : Bien sûr. Le guide se concentre sur plusieurs critères clés. Par exemple, en matière de flexibilité architecturale, les solutions WAAP de F5 se distinguent par leur capacité à sécuriser les applications et les API où qu’elles se trouvent, sans nécessiter de nouvelle conception, de refactorisation ni de migration. Cette flexibilité est essentielle pour les organisations disposant d’environnements distribués, notamment de centres de données sur site et de plusieurs plateformes cloud, une configuration de plus en plus courante avec l’essor des architectures basées sur les API et des écosystèmes d’IA. Elle permet d’appliquer une politique de sécurité cohérente dans tous les environnements et de mettre en œuvre rapidement et partout des mesures correctives grâce à des défenses fondées sur l’IA avec assistance humaine. À l’inverse, les offres de CDN exigent généralement que le contenu soit diffusé via leur réseau, ce qui peut ne pas convenir aux architectures multicloud modernes. Ces plateformes sont autonomes et ne proposent pas de pile de sécurité unique pouvant être appliquée de manière cohérente à vos centres de données, à vos environnements de cloud public et à vos sites en périphérie. Cette limitation peut entraver l’agilité des déploiements et l’évolutivité, accroître les risques de mauvaise configuration et mobiliser les précieuses ressources des équipes de sécurité pour ajuster les politiques, répondre aux incidents et mettre en œuvre les mesures correctives, ce qui rend ces offres moins adaptées aux organisations ayant une empreinte numérique complexe.
Chad : Le guide met-il l’accent sur d’autres critères clés ?
Gary : Oui, il y a aussi la portabilité des politiques. Les solutions WAAP de F5 permettent de déployer des politiques de sécurité de manière cohérente dans les environnements cloud et sur site. Vous pouvez ainsi mettre en œuvre votre stratégie numérique sans compromettre la sécurité. Une même pile de sécurité robuste et unifiée accompagne vos applications et vos API, où qu’elles se trouvent et où qu’elles doivent être déployées. Cette uniformité réduit le risque d’incohérences dans les politiques et d’erreurs de configuration entre les différents environnements, tout en simplifiant la gestion de la sécurité. À l’inverse, les solutions cloud natives sont souvent cloisonnées dans leur propre environnement, ce qui complexifie les opérations en imposant la gestion de plusieurs piles de sécurité. Cette absence de portabilité d’une pile unifiée peut entraîner une fragmentation des politiques de sécurité et alourdir la charge de gestion.
L’adaptabilité aux menaces constitue un autre critère essentiel. Les solutions WAAP de F5 s’appuient sur des techniques de leurre pilotées par l’IA et sur l’apprentissage automatique pour rester efficaces à mesure que les attaquants font évoluer leurs tactiques. Cette capacité d’adaptation est indispensable pour garder une longueur d’avance sur les menaces sophistiquées et permettre aux mesures de sécurité d’évoluer en temps réel. À l’inverse, les solutions de sécurité spécialisées ont tendance à se concentrer sur des risques et des menaces spécifiques — souvent les plus courants — et ne peuvent pas s’adapter à l’évolution des stratégies des attaquants, dont les tactiques, techniques et procédures sont désormais décuplées par l’IA. Cette approche statique peut exposer les organisations à des menaces nouvelles et émergentes.
Chad : Pourquoi les guides comparatifs comme celui-ci sont-ils importants ?
Gary : En résumé, le « Comparatif des meilleures solutions de sécurité pour les API et les applications web » constitue une ressource inestimable pour les équipes chargées de la sécurité et des risques. En se concentrant sur des critères clés tels que la flexibilité de l’architecture, la portabilité des politiques et l’adaptabilité aux menaces, ce guide simplifie le processus décisionnel et aide les organisations à choisir les solutions de sécurité des applications web et des API les plus efficaces pour leurs environnements spécifiques. Il est essentiel de s’appuyer sur des guides et des ressources exhaustifs pour prendre des décisions éclairées en matière de sécurité et, à terme, renforcer la posture de sécurité d’une organisation face à un paysage de menaces complexe et en constante évolution.
Consultez le tableau comparatif détaillé : Guide comparatif des meilleures solutions de sécurité pour les API et les applications web
À propos de l’auteur
Articles de blog associés
F5 NGINXaaS pour Google Cloud : des applications résilientes et évolutives
Découvrez comment NGINXaaS s’intègre à Google Cloud pour renforcer les performances et la sécurité, et préparer vos applications critiques à un avenir propulsé par l’IA.
L’intégration de F5 Web Application Firewall (WAF) à AWS est disponible dès aujourd’hui
En faisant appel à un partenaire de déploiement AWS WAF tel que F5, vous pouvez renforcer la sécurité de vos applications web grâce à des règles personnalisées qui bloquent les schémas d’attaque courants, comme les injections SQL ou les attaques par scripts intersites (XSS).
Appliquer le principe de Peter Parker à l’inspection TLS
« Un grand pouvoir implique de grandes responsabilités. » Si l’on en trouve des échos chez Voltaire et Churchill, cette citation est surtout connue grâce aux bandes dessinées Spider-Man, où elle est attribuée à l’oncle Ben. Bien entendu, si cette phrase est si répandue dans la culture populaire, c’est notamment parce qu’elle peut s’appliquer à une multitude de situations et de sujets, y compris à l’inspection TLS.
Le NetOps a besoin de défenseurs, pas d’adversaires
Il est important de reconnaître que les équipes NetOps ne sont pas toujours celles qui font obstacle au déploiement de la dernière nouveauté, application ou service. Les freins à la rapidité sont souvent dus au fait que les organisations n’adoptent pas tous les principes du DevOps lorsqu’elles cherchent à transformer leurs opérations informatiques.
Mise à jour des services applicatifs : sécurité, rapidité et visiteurs suspects
Il est de nouveau temps de nous pencher sur les services applicatifs que les entreprises utilisent réellement pour rendre leurs applications plus rapides et plus sûres. On constate notamment une hausse du recours aux services de protection contre les bots, ainsi que la progression lente mais régulière de HTTP/2. Bien qu’il ne s’agisse pas d’une application…
Les templates prennent le contrôle du cloud
Les modèles s’imposent dans le cloud. Lisez le blog de F5 pour découvrir comment l’infrastructure en tant que code et les API déclaratives automatisent la mise à disposition des applications.