Le projet européen Enhancing Cybersecurity Services for the Luxembourgish Research and Education community - LuCySe4RE destiné à améliorer la protection face aux risques de cybersécurité rencontrés par la communauté luxembourgeoise de la recherche et de l’éducation est une aventure de 3 ans commencée en septembre 2023. Alors que la première année de ce projet co-financé par le programme Digital Europe de l'Union européenne (DIGITAL) se termine, l’été 2024 est le moment idéal pour faire un premier point d’étape. Et même si beaucoup de travail reste encore à faire, les conclusions et les choix des premiers mois ont d’ores et déjà permis de dessiner les contours de la future plateforme de gestion des événements de sécurité dédiée aux institutions de la communauté de la recherche et de l’éducation au Luxembourg.
Des institutions rassemblées
Une des premières avancées du projet réside dans l’évaluation du niveau de sécurité de la communauté de la recherche et de l’éducation, et le moins que l’on puisse dire, c’est qu’il est marqué par une très grande diversité. Des pratiques à l’état de l’art en passant par les connaissances, le budget alloué, la présence de personnel spécialisé : le fossé peut très vite s’avérer colossal entre les grandes institutions et les plus petites qui composent la communauté de la recherche et de l’éducation. Dès le début du projet, Restena n’a d’ailleurs pu que constater ces différences parmi les institutions qui lui ont fait confiance et qui l’aident à mettre en œuvre les objectifs du projet. Rapidement, la collaboration s’est faite, les échanges entre les institutions ont pris forme, et une ligne de conduite pour le projet s’est progressivement dessinée.
C’est ainsi que Restena a commencé dès 2023 à évaluer le niveau de préparation à la sécurité de quatre institutions de recherche et de d’éducation. Pour cela, Restena a recours au modèle de maturité développé au niveau européen par l’association européenne GÉANT et répondant aux spécificités des secteurs recherche et éducation dénommé Security Baseline.
Plusieurs dénominateurs communs reliant les diversités de la communauté de la recherche et de l’éducation au Luxembourg ont émergé. Alors qu’un manque de conscience et de sensibilisation sur les problématiques de cybersécurité, notamment en terme de sécurité interne ainsi qu’une certaine faiblesse dans la gestion des incidents et des vulnérabilités ont pu être constaté, des efforts notables ont d’ores et déjà été entrepris en terme de gestion des risques, de réglementation et protection de la vie privée ou bien encore de la planification de la continuité des activités. À ces points s’ajoutent également l’anticipation d’une future mise en conformité inéluctable aux nouvelles directives européennes en terme de sécurité - notamment le Critical Entities’ Resilience (CER) et le Network information System Security 2 Act (NIS 2) - qui se profilent à l’horizon.
Une infrastructure esquissée
Après près d’une année de réflexion, d’analyse et de décisions, l’esquisse de la future plateforme de gestion des événements de sécurité dédiée aux institutions de la communauté de la recherche et de l’éducation au Luxembourg prend forme. D’un point de vue technique, elle ne sera basée que sur des technologies open-source, engendrant certes des dépenses réduites au minimum mais également un travail de titan pour développer, de la manière la plus efficiente qui soit, les interfaces adéquats et les liens entre eux.
Fluenbit, Logstash, OpenSearch, Suricata ou bien encore MISP platform ne sont là que quelques exemples de technologies sur lesquels Restena s’est basé pour déployer cette infrastructure adaptée aux spécificités de la communauté de la recherche et de l’éducation au Luxembourg, gérée et contrôlée par Restena, sur ses serveurs, dans ses locaux. Aucune des données partagées sur l’outil par les institutions, via leur propre dahsboard personnalisé, ne sera ainsi transmise en dehors des frontières du Luxembourg, et encore moins sur le cloud, l’un des prérequis des institutions partenaires.
Restena est d’ores et déjà entrée en phase de validation de cette infrastructure avec l’aide des équipes IT et des Chief Information Security Officer (CISO) des organisations participantes, qui en seront les futurs utilisateurs. L’Université du Luxembourg, le Luxembourg Institute of Socio-Economic Research et le Centre de gestion informatique de l'éducation (CGIE) ont rejoint l'équipe du projet LuCySe4RE pour cette étape cruciale de validation du concept développé (ou Proof of Concept).
Une sensibilisation engagée
Au-delà de l’aspect technique du projet qui engage pleinement les équipes IT des institutions, le travail de sensibilisation portant sur les chercheurs-ses, professeur-e-s, personnel administratif, étudiant-e-s a pris forme. Au programme des engagements de LuCySe4RE, un investissement dans les événements de sensibilisation et de promotion de bonnes pratiques CyberDay.lu et Data Privacy Day, implantés sur le sol luxembourgeois depuis plusieurs années maintenant, l’intensification des interventions dans le catalogue de formations du Digital Learning Hub. Parmi les thématiques abordées : le système des noms de domaine (Domain Name System - DNS), le protocole Domain Name System Security Extensions (DNSSEC), la gestion des incidents, l’authentification et IPv6 permettant ainsi de lutter contre les points faibles identifiés en début de projet.
Une fiche conseils, reprenant des conseils et astuces clefs pour sauvegarder des données, téléchargeable sur restena.lu, et disponible en version papier sur demande auprès des institutions, complète l’offre ainsi développée.
Arrivé à près d’un an de vie, le projet progresse donc à grands pas, mais il lui reste encore de nombreuses étapes à franchir avant de pouvoir élargir le portfolio des services sécurité de Restena avec un nouveau service pour la communauté de la recherche et de l’éducation.