Dr. Lin Clark Demander une présentation

Dr. Lin Clark, responsable de la cybersécurité, spécialiste de la gestion des incidents, chercheur et auteur.

Trente ans d’expertise en matière de sécurité.
Dont vingt passés au cœur des incidents.

Si vous êtes ici, c’est sans doute qu’un problème vous empêche de dormir : une faille de sécurité qui n’est pas encore résolue, un conseil d’administration qui exige des réponses, ou un budget de sécurité qui n’assure pas une protection suffisante. C’est exactement mon métier. Je dirige les opérations d’intervention en temps réel, je mets en place des dispositifs permettant de contenir plus rapidement les attaques, et je vous fournis le type de preuves que le conseil d’administration est réellement en mesure de comprendre.

Demander une présentation Trois façons de travailler avec moi

C’est confidentiel, je lis moi-même chaque message, et vous saurez ainsi par quoi commencer pour remédier aux problèmes.

Premier indicateur Analyse Accès de l’adversaire Confinement fin de l'accès ici Détecter Triage Champ d’application Contenir Éradiquer Récupérer Délai avant le «confinement» : la mesure qui régit tout le reste
Voici comment je gère un incident, depuis le premier indicateur jusqu’à l’analyse rétrospective. Un seul compteur importe, et je vais vous montrer lequel un peu plus loin.

Le problème dans son ensemble, et non une partie seulement.

J’ai occupé des fonctions de direction en matière de sécurité au sein d’entreprises de premier ordre, de start-ups, ainsi que pour le compte de gouvernements américains et alliés à tous les niveaux. J’ai passé vingt de ces années sur le terrain, ce qui explique pourquoi ce qui suit est concret plutôt qu’une simple liste de mots à la mode.

En avez-vous besoin dans votre entreprise ? Recruterez-moi pour un poste Faites-moi part d’un problème Inviter-moi à intervenir

  • Leadership en matière de sécurité

    Je dirige la fonction de sécurité en tant que cadre dirigeant et je suis responsable du résultat : une stratégie que votre conseil d’administration financera, une équipe capable de la mettre en œuvre, et des rapports qui vous indiquent ce qui est réellement protégé. Découvrez le service « RSSI virtuel ».

  • Réponse aux incidents

    Lorsque vous avez été victime d’une intrusion, je dirige l’enquête depuis le premier indicateur jusqu’au briefing final, afin que vous sachiez ce qui s’est passé, ce qui a été compromis et quelles décisions vous devez prendre ensuite. Voir « Gestion de la réponse aux incidents ».

  • Opérations de sécurité

    Je mets en place et gère des SOC en m’appuyant sur le seul indicateur que personne ne peut manipuler, à savoir le délai de confinement, et je transforme ce qui n’était qu’un coût de surveillance en une capacité d’intervention concrète. Découvrez le service SOC.

  • Émulation d’adversaire

    Grâce à des environnements d’émulation et des cyber-pistes d’entraînement alignés sur le cadre ATT&CK, vous identifiez les failles de votre défense avant même qu’un attaquant ne les exploite. J’ai mis en place ces environnements et mené les exercices. Consultez les sections consacrées aux tests d’intrusion et aux missions de la red team.

  • Sécurité de l'IA

    Si vous mettez l’IA en production, je vous aiderai à la déployer avec des contrôles efficaces : ce à quoi elle a accès, ce qu’elle peut modifier, et les preuves dont vous avez besoin pour vous fier à ce qu’elle vous indique.

  • Administration et entreprise

    J’ai mis en place des mesures de sécurité dans le cadre des contraintes propres aux institutions publiques et aux grandes entreprises, et je forme des professionnels chevronnés dans des contextes interarmées et internationaux. Si vous avez besoin d’une personne qui connaît le fonctionnement réel de l’administration, c’est moi. Voir FedRAMP et CMMC.

Le champ d’application de ce document

La sécurité ne se cantonne pas à un seul domaine, et moi non plus. Voici les sujets sur lesquels je travaille, que j’étudie de près et sur lesquels j’écris. Si votre problème relève de l’un d’entre eux, j’ai probablement déjà rencontré un cas similaire.

  • Réponse aux incidents et analyse forensic, jusqu’à la mémoire et aux logiciels malveillants
  • Threat hunting et renseignement
  • Red teaming et émulation d’adversaire alignée sur le cadre ATT&CK
  • Cyber-terrains d’entraînement : conçus, exploités et utilisés pour former les professionnels chevronnés
  • Hameçonnage, fraude et criminalité financière
  • Infrastructures critiques : ICS, SCADA, IoT et 5G
  • Sécurité dans le cloud et des plateformes, avec Linux en arrière-plan
  • La sécurité des logiciels et les habitudes qui préviennent les violations
  • IA et apprentissage automatique : comment cela fonctionne, comment cela est attaqué
  • Confidentialité et cryptographie
  • OSINT, contre-espionnage et tromperie
  • Guerre cybernétique, opérations menées par les États-nations et droit du cyberespace

Comment le travail est effectué.

Une opération de sécurité évaluée en termes de confinement, et non en termes d’alertes.

Un SOC n’existe que pour une seule raison : réduire le délai entre la première action d’un attaquant et le moment où cette action n’a plus d’importance. Tout le reste représente un coût. Je conçois et gère donc les opérations de sécurité autour de ce cycle, avec des données télémétriques qu’il vaut la peine de collecter, une détection adaptée au comportement réel des adversaires, un triage aboutissant à une décision concrète et une réponse qui comble la brèche.

Demandez-moi d’examiner votre fonctionnement et de vous indiquer où passe le temps

Sources Pipeline Détection Triage Réponse Termes clés Identité Cloud et SaaS Réseau E-mail et Web Pipeline de télémétrie Normaliser Enrichir Conserver Provenance uniquement ce qui en vaut la peinecollecte Règlescomportement connu Analyseanomalies, chaînes Renseignements sur les menacestechniques de l’adversaire Triage prendre une décision Contenir Isoler Révoquer l'accès Éradiquer Récupérer Preuve : enregistrements indépendants de ce qui s’est produit et à quel moment Conseil d’administration Délai de confinement : la mesure à l’aune de laquelle l’ensemble de l’opération est mené
Comment je mets en place une opération de sécurité : les sources alimentent un pipeline qui ne conserve que ce qui mérite d’être conservé ; la détection et le tri permettent de prendre une décision ; la réponse permet le confinement de l’incident ; et les preuves sont transmises à votre conseil d’administration.

Des défenses testées face à de véritables intrusions avant que la véritable attaque ne survienne.

L’émulation d’adversaire simule une intrusion telle qu’un adversaire compétent la mènerait, étape par étape, et enregistre précisément ce que votre système de défense a détecté et à quel moment. Je conçois ces exercices ainsi que les cyber-terrains d’entraînement sur lesquels ils se déroulent, en conformité avec le référentiel MITRE ATT&CK, afin que votre équipe identifie les failles avant que quelqu’un d’autre ne le fasse.

Demandez-moi de repérer vos lacunes avant que quelqu’un d’autre ne le fasse

émulé détecté Accès initial Exécution Persistance Élévation de privilèges Évolution latérale Collection Exfiltration écart écart

C’est là que je peux vous aider.

Vous avez été victime d’une intrusion. Que faire maintenant ?

Je me consacre à ce sujet depuis vingt ans. Découvrons ensemble ce qui se passe, mettons un terme à ce que nous pouvons et trouvons des réponses à vos questions.

Parlons de votre incident

Vous dépensez une fortune en sécurité. Vous êtes toujours inquiet ?

Disposer de plus d’outils ne vous rendra pas nécessairement plus en sécurité. J’ai mis en place et dirigé ces opérations. Je peux vous aider à déterminer ce qui fonctionne, ce qui ne fonctionne pas, et où votre investissement est réellement efficace.

Examinons votre sécurité

Votre conseil d’administration veut des réponses. Hier.

Je sais ce que c’est que d’être sous pression alors que personne n’a une vue d’ensemble de la situation. Je vous aiderai à faire le tri parmi toutes ces informations et à prendre des décisions que vous pourrez réellement défendre.

Examinons cela ensemble

Votre IA prend des décisions. Qui les vérifie ?

C’est une question à laquelle j’ai longuement réfléchi. Elle est également au cœur de *Boxing Einstein*. L’IA est capable de réaliser des choses extraordinaires, mais quelqu’un doit tout de même assumer la responsabilité de ses actes.

Parlons de l’IA

Discrétion.

Une grande partie de ce que j’ai accompli ne peut être décrite en public, voire, dans certains cas, ne peut être divulguée du tout. C’est la nature même de ce métier, et j’ai entretenu une relation étroite avec les accords de confidentialité pendant la majeure partie de ma vie d’adulte. Ce que je peux dire ici, je le dis ; le reste, nous en discutons en toute confidentialité.

Demander une présentationTrois façons de travailler avec moi
Couverture de *Boxing Einstein : How to Control What You Cannot Understand*, de Lin Clark. Un cube noir, ouvert sur deux faces, renfermant un enchevêtrement lumineux, dont l’une des arêtes brille d’une lueur rouge.

Ouvrage à paraître

Boxing Einstein

How to Control What You Cannot Understand

Le problème n’est pas de savoir si les renseignements fonctionnent. Il s’agit de ce qui se passe lorsqu’ils fonctionnent si bien que nous ne pouvons plus nous permettre de les remettre en question.

À propos de l’ouvrage

Le cas difficile n’est pas celui d’une machine qui annonce une intention hostile. C’est celui d’une machine utile, généralement fiable, de plus en plus indispensable, et trop performante ou opaque pour que les personnes qui la pilotent puissent la contrôler dans le domaine qui importe. Vous conservez la signature et le droit de veto. Ce que vous perdez, ce sont les preuves, le temps, la compétence et les alternatives qui donnent tout son sens à ce droit de veto.

Mon argument est que le contrôle relève d’un problème d’ingénierie et de gouvernance, et non d’une promesse de maîtrise. Le cadre consiste en un ensemble de limites définissant ce que le système peut décider, atteindre, modifier et maintenir en fonctionnement, et chacune de ces limites nécessite un responsable du contrôle, des preuves mesurables, une condition de défaillance et une réponse capable de résister à la pression. J’ai défini sept contrôles de ce type, et j’accorde une grande importance à la rapidité, car un retard inutile dans les domaines de la science, de la médecine, de la sécurité ou des infrastructures coûte également des vies.

  • Pouvoir de décision
  • Accès, outils et autorisations
  • Conséquences et actions irréversibles
  • Vérification indépendante et preuves
  • Compétences humaines préservées
  • Dépendance, alternatives et sortie
  • Intervention, isolation et arrêt testés

C’est le même critère que j’applique lorsque vous me recrutez : un contrôle n’est réel que s’il dispose d’un responsable du contrôle, de preuves mesurables, d’une condition d’échec et d’une réponse capable de résister à la pression. Cela vaut aussi bien pour un SOC, une violation de données ou un déploiement d’IA.

Je l’ai rédigé à l’intention des responsables de la sécurité nationale, des législateurs, des directeurs de laboratoires, des professionnels de la sécurité, des assureurs et des responsables techniques, ainsi que de toute personne qui souhaite s’appuyer sur des arguments plutôt que de céder à la panique.

Lisez un court extrait adapté du livre :

Renseignez-vous sur cet ouvrage Comment je l’applique pour vous

Une bibliothèque destinée à ceux qui doivent passer à l’action.

Quatorze recueils de recherches, d’analyses et de documents de référence sur la cybersécurité et l’IA. Je les rédige dans le but qu’ils soient utilisés plutôt que simplement parcourus, et chacun d’entre eux se termine par une action concrète que vous pouvez mettre en œuvre dès lundi matin.

Toutes les collections sont accessibles : 79 articles de recherche dont vous pouvez vérifier les sources, et 276 documents de travail plus courts pour vous aider à vous orienter, dont 183 abordent un sujet sous cinq angles différents sur une seule page. Parcourez les articles, ou si votre question ne peut attendre, demandez-moi un briefing.

Trois façons de travailler avec moi.

Si vous cherchez quelqu’un pour vous vendre une plateforme, je ne suis pas la personne qu’il vous faut. Si vous cherchez quelqu’un qui vous dira ce qui est réellement exposé et qui restera ensuite pour y remédier, poursuivez votre lecture.

Commencez par le briefing destiné aux dirigeants.

Un entretien confidentiel avec moi pour faire le point sur votre situation réelle : où se situe le risque, comment le confiner et ce qu’il faudrait mettre en œuvre pour mener la riposte.

Demander une présentation

Décrivez le problème en quelques lignes. Je lis moi-même chaque message, je réponds en toute confidentialité et je vous propose un moment pour en discuter de manière approfondie. Il ne s’agit pas d’un appel commercial.

  • Les conseils d’administration et les dirigeants évaluent un dirigeant, un programme ou un incident qui n’est peut-être pas encore terminé.
  • Recruteurs et agences recherchant un RSSI, un directeur ou un responsable pour pourvoir un poste.
  • Des organisateurs qui recherchent un intervenant ayant dirigé la réponse, et non pas simplement lu des articles à ce sujet.