Cette pièce a été écrite par Damien Manuel, directeur du Center for Cyber Security Research & Innovation (CSRI) de l'Université Deakin. Pour en savoir _plus, consultez notre fil d'actualité numérique du gouvernement .
_

En matière de sécurité des données, il existe une tension inhérente entre sécurité et confidentialité. Le travail du gouvernement est d'équilibrer ces priorités avec des lois qui assureront la sécurité des Australiens, amélioreront l'économie et protégeront les données personnelles d'une surveillance injustifiée.

C'est une ligne délicate à parcourir. Le débat récent a tourné autour de la question de savoir si les sociétés de technologie devraient être tenues d'aider les services répressifs à accéder aux messages cryptés des criminels présumés.

• Tu veux écrire pour nous? Jetez un œil au guide d' Apolitical pour les contributeurs

Bien qu'il s'agisse sans aucun doute d'une question importante, la loi promulguée - la Loi modifiant la législation en matière de télécommunications et autres lois (assistance et accès) - échoue sur les deux fronts. Non seulement il est peu probable qu'il arrête les criminels, mais cela pourrait rendre les communications personnelles entre les gens ordinaires moins sécurisées.

Plutôt que de se concentrer sur l'adoption d'une législation de grande envergure qui dépeint clairement une mauvaise compréhension de la technologie en question, le gouvernement ferait mieux d'investir dans une stratégie globale de cybersécurité qui aura effectivement un impact.

Atteindre les objectifs fixés dans la stratégie que nous avons déjà serait un bon point de départ.

Mauvais progrès en matière de cybersécurité

Le gouvernement Turnbull a lancé la première stratégie de cybersécurité de l' Australie en avril 2016. Il a promis d'améliorer considérablement la sécurité en ligne de toutes les familles et entreprises australiennes.

En 2017, le gouvernement a publié la première mise à jour annuelle pour rendre compte de ses performances. À première vue, des progrès avaient été accomplis, mais de nombreux éléments étaient incomplets - et les liens promis avec les entreprises et la communauté ne fonctionnaient pas bien.

Malheureusement, il n'y a jamais eu de deuxième mise à jour. Les premiers ministres ont été renversés, les cabinets ont été remaniés et il semble que le gouvernement Morrison ait perdu tout intérêt à vraiment protéger les Australiens.

Alors, où tout s'est-il mal passé?

Une érosion constante de la vie privée

Peu d'Australiens ont fait beaucoup attention lorsque les intérêts acquis ont détourné les réformes de la loi sur la technologie. La modification de la loi sur le droit d'auteur en 2015 a contraint les fournisseurs de services Internet (FSI) à bloquer l'accès aux sites contenant du contenu piraté. Les studios de cinéma avaient désormais leur propre version du «grand pare-feu» chinois pour bloquer et contrôler le contenu Internet en Australie.

En 2017, le gouvernement a mis en œuvre ses lois sur la conservation des données, qui ont effectivement permis à des agences gouvernementales spécifiques d'espionner les citoyens respectueux des lois. Les traces numériques (métadonnées) laissées par les appels téléphoniques, les SMS, les e-mails et l'activité Internet ont été conservées par les opérateurs de télécommunications et rendues accessibles aux forces de l'ordre.

Le public était assuré que seules des agences limitées auraient accès aux données pour chasser les terroristes. En 2018, nous avons appris que beaucoup plus d'agences accédaient aux données que prévu initialement.

Alors que le gouvernement se concentre sur la chasse aux terroristes, il néglige les milliers d'Australiens victimes chaque année de cybercriminalité

Entrez la législation Assistance et Accès. Le secteur technologique australien s'est fortement opposé au projet de loi, mais le processus de consultation du gouvernement Morrison a été un blanchiment. Le gouvernement a ignoré les conseils sur les dommages que la législation causerait au développement du cyber secteur décrit dans la stratégie de cybersécurité - le secteur même sur lequel le gouvernement Turnbull comptait pour aider à reconstruire l'économie dans ce monde numérique hyperconnecté.

Alors que le gouvernement se concentre sur la chasse aux terroristes, il néglige les milliers d'Australiens qui sont victimes chaque année des syndicats internationaux de la cybercriminalité et des gouvernements étrangers.

Les Australiens perdent de l'argent à cause de la cybercriminalité via des courriels frauduleux et des appels téléphoniques conçus pour collecter des mots de passe, des informations bancaires et d'autres informations personnelles. Les pertes liées à certaines catégories de cybercriminalité ont augmenté de plus de 70% au cours des 12 derniers mois. L'impact de la cybercriminalité sur les entreprises et les particuliers australiens est estimé à 7 milliards de dollars par an.

Alors, où le gouvernement devrait-il concentrer son attention?

Sept actions qui rendraient l'Australie plus sûre

Si le prochain gouvernement veut sérieusement protéger les entreprises et les familles australiennes, voici sept mesures concrètes qu'il devrait prendre dès son entrée en fonction.

1. Revoir la stratégie de cybersécurité

Travailler avec les associations industrielles, les secteurs commerciaux et financiers, les fournisseurs de télécommunications, les cyber-startups, les agences gouvernementales de l'État et tous les niveaux du secteur de l'éducation pour élaborer un plan de protection des Australiens et des entreprises. Le plan doit être complet, collaboratif et, surtout, inclusif. Il devrait être adopté au niveau fédéral et par les États et territoires.

2. Faire des Australiens une cible plus difficile pour les cybercriminels

Le National Cyber Security Center du Royaume-Uni met en œuvre des contrôles techniques et de processus qui aident les habitants du Royaume-Uni à lutter contre la cybercriminalité de manière intelligente et innovante. Le programme britannique Active Cyber Defense utilise des informations ultra secrètes pour prévenir les cyberattaques et pour détecter et bloquer les campagnes de courrier électronique malveillantes utilisées par les escrocs. Il examine également comment les gens utilisent réellement la technologie, dans le but de mettre en œuvre des programmes de changement de comportement pour améliorer la sécurité publique.

3. Créez une campagne d'éducation communautaire

Un programme d'éducation communautaire complet améliorerait les comportements en ligne et rendrait les entreprises et les familles plus sûres. Nous avons eu l'emblématique Slip! Slop! Gifler! campagne de 1981 pour aider à réduire le cancer de la peau grâce à l'éducation communautaire. Où est la campagne équivalente pour la cybersécurité pour encourager le changement de comportement dans la communauté à tous les niveaux, des enfants aux adultes?

4. Améliorer l'éducation à la cybersécurité dans les écoles

Intégrez la culture numérique à l'éducation du niveau primaire au niveau tertiaire afin que les jeunes Australiens comprennent les conséquences de leurs comportements en ligne. Par exemple, ils devraient connaître les risques de partager des informations personnelles et des selfies nus en ligne.

5. Rationalisez les certifications de l'industrie

Encouragez l'adoption des certifications existantes de l'industrie et empêchez les groupes d'intérêt spéciaux d'en introduire davantage. Il existe déjà plus de 100 certifications industrielles. Des normes minimales pour le personnel gouvernemental devraient être définies, y compris pour les gestionnaires, les technologues et les développeurs de logiciels.

Le Département de la défense des États-Unis a introduit une certification minimale de l'industrie pour les personnes au sein du gouvernement qui manipulent les données. Le gouvernement australien devrait faire de même en choisissant un certain nombre de certifications indépendantes du vendeur comme obligatoires dans chaque catégorie d'emploi.

6. Travailler avec les petites et moyennes entreprises

La cyber-stratégie actuelle ne fait pas assez pour s'engager avec le secteur des entreprises. Les petites et moyennes entreprises constituent un élément essentiel de l'écosystème de la chaîne d'approvisionnement des grandes entreprises, de sorte que les ramifications d'une violation pourraient être de grande envergure.

La Direction australienne des signaux recommande aux entreprises de suivre « The Essential Eight » - une liste de stratégies que les entreprises peuvent adopter pour réduire leur risque de cyberattaque. C'est un bon conseil, mais il ne traite pas du côté humain de l'exploitation, appelé ingénierie sociale, qui incite les gens à divulguer des mots de passe qui protègent des informations sensibles ou confidentielles.

7. Accent sur les secteurs de la santé, de l'enseignement juridique et supérieur

Les secteurs de la santé, de l'enseignement juridique et de l'enseignement supérieur ont un faible niveau de cyber-maturité. Ces derniers figurent parmi les quatre principaux secteurs signalant des violations, selon le Bureau du commissaire australien à l'information .

Alors que les violations du secteur de la santé pourraient entraîner des préjudices personnels et du chantage, les violations dans le secteur juridique pourraient entraîner la divulgation de transactions commerciales et de données personnelles sensibles au facteur temps. Et le secteur de l'enseignement supérieur - un moteur de la recherche intellectuelle - est mûr pour que les gouvernements étrangers volent les connaissances qui sous-tendent les technologies futures de l'Australie.

Une seule personne qui fait la mauvaise chose et commet une erreur peut provoquer une faille de sécurité majeure. Plus de 900 000 personnes sont employées dans le secteur australien de la santé et du bien-être, et le risque qu'une de ces personnes fasse une erreur est malheureusement très élevé. - Damien Manuel

Cet article a été initialement publié sur The Conversation .

(Crédit photo: Unplash)