Au-delà de la crypto-monnaie: blockchain 101 pour les cisos et pourquoi c’est important

Quand j’ai entendu quelqu’un suggérer la blockchain pour la cybersécurité d’entreprise, j’ai presque roulé des yeux. À l’époque, j’étais jusqu’aux genoux pour aider une entreprise Fortune 100 à conduire une transformation de sécurité du cloud. Nous nous concentrons sur le durcissement des politiques IAM, le resserrement des contrôles du périmètre et l’alignement avec des cadres comme NIST et CIS. Qu’est-ce qu’un grand livre décentralisé (connu pour Bitcoin) a à voir avec la protection et la sécurisation d’une infrastructure d’entreprise?

Ensuite, j’ai commencé à remarquer un modèle.

Les incidents de sécurité se produisaient non seulement à cause d’un compromis mais aussi parce que nous ne pouvions pas prouver ce qui s’était passé. Les journaux d’accès privilégiés manquaient. Les sentiers d’audit SaaS n’étaient pas dignes de confiance. Les chaînes d’approvisionnement ont été compromises et nous n’avions aucun moyen de valider ce que nous avions réellement déployé.

C’est à ce moment-là que j’ai commencé à regarder plus sérieusement la blockchain non pas en tant que catypto-monnaie, mais comme une primitive de sécurité qui pourrait nous aider à résoudre les problèmes réels des praticiens de la sécurité aujourd’hui: la prouerie, la preuve, l’intégrité des données et la confiance vérifiable.

Blockchain 101: Comprendre l’architecture de la confiance

Commençons par les bases. À la base, Blockchain est un système d’enregistrements partagé sur plusieurs nœuds. Ce n’est pas seulement pour la crypto-monnaie. Il s’agit d’un grand livre distribué qui permet à plusieurs parties d’enregistrer des transactions de manière excitée, cryptographiquement vérifiable et transparente.

Chaque bloc contient un horodatage, qui n’est rien d’autre qu’une liste d’événements ou de transactions validés, et un hachage cryptographique du bloc précédent. Les blocs sont enchaînés d’une manière qui rend l’altération des données arrière impraticable par calcul.

À partir d’un objectif de sécurité, cette architecture offre des avantages uniques:

• Décentralisation. Élimine des points de défaillance ou de compromis uniques
• Immutabilité. Les données écrites à la chaîne sont presque impossibles à changer
• Vérifiabilité. Les parties prenantes peuvent vérifier indépendamment les journaux ou l’intégrité des données
• Transparence + confidentialité. Vous pouvez auditer des métadonnées tout en cryportant du contenu sensible

Selon Gartner, 20% des grandes entreprises utiliseront la blockchain pour les initiatives de confiance numérique d’ici 2025. Ce n’est pas du battage médiatique – c’est le mouvement.

Cas d’utilisation de la sécurité du monde réel pour les leaders de la sécurité

En tant que praticien de la sécurité, j’ai suivi le passage de la Blockchain de la théorie à une considération sérieuse, en particulier lorsque je traite des lacunes persistantes dans l’intégrité de l’audit, la vérification d’accès et la provenance des logiciels.

1. Trails d’audit à l’épreuve

Les journaux ne sont aussi dignes de confiance que les systèmes qui les stockent. Dans les environnements où les menaces d’initiés, l’infrastructure SaaS partagée ou l’accès privilégié sont des préoccupations, l’exploitation de l’exploitation immuable devient critique.

Les journaux d’audit sont fondamentaux de la réponse aux incidents et de la conformité, mais ils sont également vulnérables. Un initié malveillant peut modifier les journaux, et certaines plateformes SaaS n’offrent qu’un accès ou une rétention limités.

Pour résoudre ces problèmes, davantage d’équipes de sécurité explorent désormais des couches d’audit basées sur la blockchain, ancrant des hachages d’événements critiques (comme les changements de privilège ou les appels d’API) en un grand livre immuable. Cela crée un enregistrement vérifiable qui améliore la crédibilité des systèmes de journalisation traditionnels.

La blockchain KSI de l’Estonie est un puissant exemple du monde réel. L’ensemble du secteur public utilise la blockchain pour protéger l’intégrité des dossiers juridiques, médicaux et d’identité, ce qui garantit que les changements non autorisés sont détectables.

2. Identité décentralisée et confiance zéro

Les systèmes d’identité traditionnels sont centralisés et donc vulnérables. Branchez un fournisseur d’identité et vous compromettez tout en aval.

La blockchain permet l’identité auto-souveraine (SSI), où les individus ou les appareils présentent des références signées cryptographiquement sans compter sur une source centrale de vérité. Cela s’aligne bien avec une architecture de fiducie zéro, où chaque identité doit être vérifiée et validée en continu.

Des projets comme Sovrin montrent comment les modèles d’identité décentralisés peuvent réduire la surface d’attaque tout en maintenant une vérification forte sans surexposer des données sensibles.

3. Vérification de la chaîne d’approvisionnement du logiciel

Nous nous souvenons tous de la façon dont les attaques de chaîne d’approvisionnement logiciels comme Solarwinds et les vulnérabilités log4j ont révélé la fragilité de nos systèmes, lorsque la confiance est supposée mais pas vérifiable.

Blockchain fournit un moyen de sabotage pour enregistrer chaque étape du pipeline CI / CD, suivant qui a commis du code, quels outils ont été utilisés pour le construire et ce qui a passé (ou a échoué). Il peut prendre en charge le suivi des artefacts logiciels, notamment l’ancrage de hachages de conteneurs, la construction de métadonnées et la création de signatures dans un grand livre partagé.

Des initiatives comme SBOM évoluent rapidement pour améliorer la transparence et la sécurité de la chaîne d’approvisionnement des logiciels, et la blockchain peut jouer un rôle crucial dans l’ancrage ou l’horodatage de ces enregistrements logiciels dans un format de sabotage.

Quand la blockchain a du sens – et quand ce n’est pas

Comme toutes les technologies, la blockchain n’est utile que lorsqu’elle est appliquée aux bons problèmes. Il brille lorsque nous avons besoin de confiance vérifiable, mais il n’est pas bien adapté pour le traitement à grande vitesse ou les applications dynamiques lourdes de données.

Choisir le bon type de blockchain:

La plupart des cas d’utilisation de la sécurité de l’entreprise s’alignent mieux sur les chaînes privées ou consortium, qui établissent le bon équilibre entre le contrôle, les performances et la confidentialité.

Comment la blockchain pourrait façonner la gouvernance de l’IA

À mesure que l’adoption de l’IA augmente, la nécessité de suivre la provenance du modèle. De nombreuses organisations aujourd’hui ne savent pas vraiment qui a formé leurs modèles, quelles données ont été utilisées ou comment les décisions sont prises. À mesure que la pression réglementaire se renforce, ce manque de transparence devient un risque.

La blockchain émerge comme un outil pour enregistrer ces métadonnées du cycle de vie d’IA, créant des histoires transparentes de version et d’accès du modèle. Des projets comme Ocean Protocol construisent déjà des cadres pour l’échange de données décentralisé avec une gouvernance et une auditabilité intégrées.

Dans un avenir où les réglementations sur l’IA exigeront l’explication et la responsabilité, la blockchain pourrait devenir un catalyseur clé: non pas de performance, mais de preuve.

Ce que j’encourage les chefs de sécurité à considérer

Je ne préconise pas la blockchain en remplacement des outils de sécurité existants. Mais je crois qu’il est temps pour les CISO et les équipes de sécurité de commencer à évaluer le potentiel de la blockchain dans des zones spécifiques et de grande valeur où les modèles de confiance d’aujourd’hui ne sont pas en retard.

Voici comment commencer:

• Commencez par un écart de confiance. Recherchez des liens faibles dans la validation de l’auditabilité, de l’accès ou de la chaîne d’approvisionnement. Fondamentalement, recherchez des endroits où vous ne pouvez pas prouver ce qui s’est passé.
• Évaluer la blockchain pour l’ancrage, pas le remplacement. Utilisez la blockchain pour améliorer la visibilité et la vérification, et non pour réinventer chaque outil.
• Restez conscient de la réglementation. Alors que les régulateurs de NIST et internationaux évoluent les politiques de la blockchain et de l’IA, les premiers déménageurs seront mieux préparés à se conformer et à diriger.
• Apportez-le à la table. Soulevez la conversation lors de réunions interfonctionnelles avec les juridiques, l’informatique, le risque et l’ingénierie. Même si vous n’êtes pas encore prêt à se déployer, vous serez en avance sur la courbe en comprenant où il s’intègre.

Réflexion finale: la blockchain est un état d’esprit de sécurité

En tant que praticiens de la sécurité, on nous demande constamment de sécuriser les systèmes que nous ne contrôlons pas entièrement, de défendre les données que nous ne stockons pas directement et n’établissons pas la confiance dans un écosystème numérique qui n’a jamais été conçu avec la confiance. La surface d’attaque augmente, la chaîne d’approvisionnement est de plus en plus complexe et les enjeux n’ont jamais été plus élevés. Dans cet environnement, la confiance ne peut pas être supposée.

Il doit être vérifiable.

C’est pourquoi la blockchain mérite un deuxième regard sérieux. Pas comme un mot à la mode ou une tendance passagère, mais comme une technologie fondamentale avec le potentiel de redéfinir la façon dont nous abordons la confiance numérique. Je ne suggère pas qu’il s’agit d’une solution universelle, et je ne pense pas qu’elle remplacera nos cadres de sécurité existants. Mais je vois son potentiel pour améliorer ce que nous avons déjà.

La blockchain propose un nouveau modèle de confiance. Il apporte la transparence grâce à des livres partagés, à l’intégrité par l’immuabilité et l’assurance par décentralisation. Qu’il soit utilisé pour sécuriser les identités, préserver les sentiers d’audit ou protéger les chaînes d’approvisionnement des logiciels, la blockchain nous permet de passer de la confiance supposée à une assurance prouvable.

Nous n’avons pas besoin de devenir des experts en blockchain. Mais nous devons comprendre où et quand cette technologie peut aider à résoudre des problèmes que les modèles traditionnels ne peuvent pas résoudre. C’est le changement d’esprit que je préconise. En tant que leaders de la sécurité, notre responsabilité n’est pas de suivre le battage médiatique mais de contester les hypothèses, d’évaluer les technologies émergentes tôt et de préparer nos organisations à ce qui arrive.

La blockchain n’est peut-être pas la réponse à chaque défi auquel nous sommes confrontés. Mais dans un monde où la confiance est fragile et constamment menacée, elle fait de plus en plus partie de la solution. Il appartient au radar stratégique de chaque CISO.

Cet article est publié dans le cadre du réseau de contributeurs d’experts Foundry.
Vous voulez rejoindre?