Entretien: «La sécurité post-quantique repose d’abord sur l’humain, pas sur la technologie»

Dans le cadre de la 4^e Assemblée générale du Swiss FS-CSC, la Prof. Dr Verena Zimmermann, maître de conférences au Département des sciences humaines, sociales et politiques de l’EPFZ, a fait un exposé sur les défis et les opportunités des technologies quantiques en matière de cybersécurité. Son message clé: construire un avenir quantum-safe n’est pas seulement un défi technologique, c’est avant tout un défi organisationnel et humain.

Madame Zimmermann, pourquoi les établissements financiers devraient-ils se pencher sans attendre sur les technologies quantiques?
Les technologies quantiques recèlent un énorme potentiel – par exemple pour des simulations, des analyses de données ou de nouvelles formes de cryptage. Mais elles amènent aussi à s’interroger sur les procédés cryptographiques existants qui, à terme, pourraient ne pas résister face aux puissants ordinateurs quantiques. C’est pourquoi les organisations doivent d’ores et déjà commencer à préparer leurs systèmes à un avenir quantum-safe.

Le quantique est souvent abordé principalement sous l’angle technologique. Vous en avez une vision plus large. Pourquoi?
Parce que bien souvent, les véritables défis ne sont pas d’ordre technologique. Nos recherches montrent combien des aspects tels que la gouvernance, la formation, la collaboration et la communication sont déterminants. Les technologies quantiques ne concernent pas seulement les départements informatiques. Elles exigent de nouvelles compétences ainsi que des décisions éclairées, au niveau du management comme au niveau de la réglementation.

Dans ce contexte, quels sont les domaines d’action prioritaires?
Une étude par entretiens avec des expertes et des experts du quantique ainsi que l’analyse de stratégies quantiques nationales ont permis d’identifier quatre domaines d’action principaux: 1. innovation, recherche et développement, 2. développement de l’infrastructure et du personnel, 3. security & safety, et enfin 4. collaboration, inclusion et diversité. Toute stratégie quantique durable doit intégrer l’ensemble de ces domaines.

Quels sont selon vous les principaux défis à relever pour le secteur financier?
Il y a tout d’abord la migration vers des systèmes quantum-safe. De nombreuses organisations ne connaissent pas réellement les protocoles cryptographiques utilisés dans leurs applications. De plus, elles sont exposées à des attaques dites «store now, decrypt later», c’est-à-dire à des piratages de données dans la perspective d’un décryptage ultérieur. Il est donc très important pour elles de développer leur agilité cryptographique et de planifier la migration en temps utile.

Vous avez aussi évoqué un manque de connaissances chez les personnes décisionnaires. Pourquoi est-ce problématique?
Parce que les transformations technologiques ne sont pas gérées seulement par des spécialistes. Les cadres, les membres des conseils d’administration, les régulateurs prennent des décisions stratégiques sur les investissements, les priorités et les risques. Si ces personnes ne disposent pas des connaissances nécessaires, elles risquent de sous-estimer ou de prendre en compte trop tardivement des évolutions importantes. C’est pourquoi la formation initiale et continue est un élément central de la préparation à l’ère quantique – la quantum readiness.

Une partie importante de votre exposé était consacrée au «facteur humain». Pourquoi ce dernier joue-t-il un rôle si important?
Dans le domaine de la cybersécurité, on a souvent parlé de l’humain comme du «maillon faible». Mais c’est une vision réductrice. L’humain n’est pas seulement source de risques, il peut être aussi un facteur actif de sécurité et de résilience – à condition que les organisations mettent en place un cadre approprié: des processus transparents, des technologies adaptées, une communication claire et une culture d’entreprise qui encourage les comportements sûrs.

Concrètement, qu’est-ce que cela implique pour les entreprises?
Au lieu de se focaliser exclusivement sur la prévention des erreurs, les entreprises devraient autonomiser les collaboratrices et les collaborateurs, les motiver et les soutenir. Les comportements sûrs ne se construisent pas sur du vide. Ils sont influencés par les connaissances, les compétences, les ressources disponibles, la conduite, le feedback et les valeurs de l’organisation. La cyberrésilience est donc toujours aussi une responsabilité du management.

Quel est le message clé que vous aimeriez transmettre aux membres du Swiss FS-CSC?
La sécurité post-quantique n’est pas seulement une question de technologie. Elle résulte d’interactions entre les hommes, les entreprises et les technologies. Dans «informatique quantique», il ne faut pas entendre seulement «informatique». Les organisations performantes en la matière seront celles qui aborderont l’innovation technologique de manière globale et dans son contexte sociotechnique, c’est-à-dire en tenant compte de la culture d’entreprise, des processus et du facteur humain – sachant que le facteur humain ne se limite pas aux utilisatrices et utilisateurs finaux mais intègre toutes les parties prenantes, des régulateurs au personnel des organisations en passant par le management.

Pour terminer: au vu de ce qui précède, quel devrait être l’état d’esprit des établissements financiers?
Il faudrait passer d’une approche centrée exclusivement sur les risques à une approche fondée sur la résilience. Au lieu de considérer l’être humain avant tout comme une source d’erreurs, les organisations devraient se demander: comment rendre possibles les comportements sûrs, donner les moyens d’agir et motiver les troupes? C’est précisément là que se trouve à mes yeux la clé d’un avenir à la fois quantum-safe et cyberrésilient.

A propos de Verena Zimmermann
La Prof. Dr Verena Zimmermann est maître de conférences au Département des sciences humaines, sociales et politiques de l’EPFZ. Son domaine de recherche se situe à l’interface entre l’humain et la technologie, en particulier dans le domaine de la cybersécurité.

La sécurité post-quantique au Swiss FS-CSC
Le Swiss FS-CSC s’intéresse lui aussi à la sécurité post-quantique. Aussi a-t-il créé, au sein de sa section Technologie, innovation et chaîne logistique, le groupe de travail Quantum-safe. Composé d’expertes et d’experts de la cybersécurité issus des établissements membres, ce groupe de travail bénéficie du soutien de la Confédération. Il suit les évolutions en matière d’informatique quantique ainsi que leurs impacts sur le secteur financier et il propose une plateforme de partage d’expériences entre établissements membres. Il est également en train de préparer un guide sur la résilience quantique destiné à la place financière suisse.