The Global Shield: Collaborative Cyber Resilience for global e-Commerce and logistics

Mayssam Sabra soutient que le commerce électronique n’est pas simplement une interface d’achat en ligne, mais un système logistique mondial profondément interconnecté. Parce que ce système est relié numériquement entre de nombreux acteurs, une cyberattaque contre l’un de ses composants peut se propager à l’ensemble du réseau, ce qui signifie que la sécurité doit être organisée collectivement plutôt que par des organisations isolées agissant seules.

Elle explique que ce qui ressemble à un simple achat en ligne met en réalité en marche un vaste mécanisme logistique caché, impliquant des avions, des camions, des entrepôts et des bureaux de poste qui travaillent ensemble pour livrer les colis . Elle ajoute ensuite que, parce que ce réseau est numérique et interconnecté, une attaque contre un maillon de la chaîne peut provoquer l’effondrement de tout l’écosystème et que, par conséquent, aucun pays, bureau de poste, organisation ou entreprise ne peut se protéger seul ; le réseau doit être protégé collectivement .

Mayssam Sabra présente la coopération UPU-WCO comme un mécanisme existant de gestion des risques de sécurité postale transfrontalière. Son propos est que cette coordination couvre à la fois les questions stratégiques et opérationnelles, montrant que la cyberrésilience des flux postaux est liée à une coopération plus large en matière douanière et de sécurité.

En réponse à une question du public, elle indique que l’UPU et l’Organisation mondiale des douanes travaillent ensemble par l’intermédiaire d’un comité de contact qui traite des questions de sécurité de manière générale . Elle précise que ces échanges portent notamment sur les marchandises illicites, le trafic, les questions de sécurité physique et la cybersécurité, et que les deux instances se réunissent régulièrement pour traiter ces questions aux niveaux à la fois politique et opérationnel .

André Pharand soutient que le secteur de la logistique et de la poste est structurellement vulnérable, car les envois transitent par de nombreuses organisations interconnectées et de multiples systèmes techniques. Cette interdépendance signifie qu’un seul incident cyber peut entraîner des perturbations majeures en aval, en particulier dans un secteur où la livraison rapide est attendue.

Il note que les marchandises transfrontalières peuvent passer par un opérateur postal d’origine, une administration douanière, un opérateur postal de destination et une compagnie aérienne, tous reliés par des systèmes interconnectés susceptibles de créer des vulnérabilités . Il ajoute que les entreprises de logistique sont des cibles fréquentes, au même titre que le secteur de la santé, en raison de l’impact que les attaques peuvent produire, citant l’exemple d’un transporteur incapable d’assurer des livraisons pendant deux ou trois jours alors que les clients attendent une livraison le lendemain .

André Pharand affirme que l’enquête de l’UPU fournit une base de données probante solide à l’échelle des pays membres, mais que les résultats montrent une adoption inégale et seulement modérée des pratiques élémentaires de cyberhygiène. Il souligne que certains opérateurs n’ont pas seulement omis de mettre en œuvre des mesures, mais n’ont même pas encore envisagé la cybersécurité.

Il indique que l’enquête a été envoyée à 192 membres de l’UPU, a reçu 152 réponses et a atteint un taux de réponse de 76 %, ce qu’il décrit comme un ensemble de données solide avec une bonne participation régionale . Il précise ensuite que l’adoption des huit mesures de cyberhygiène se situe globalement autour de 50 % si l’on combine la mise en œuvre et le développement, et note que certains postes ont abandonné, rejeté ou n’ont même jamais envisagé la cybersécurité .

Il soutient que la principale faiblesse du secteur ne réside pas dans la reconnaissance élémentaire des cyberrisques, mais dans la capacité à répondre aux incidents et à s’en remettre lorsqu’ils se produisent. À ses yeux, ces points faibles sont étroitement liés aux capacités institutionnelles, aux effectifs et aux ressources, et pas seulement aux outils techniques.

En commentant l’analyse régionale, il indique que les plus grandes difficultés apparaissent dans la gestion des risques, la réponse aux incidents et la gestion de crise . Il relie explicitement ces insuffisances davantage aux équipes et aux ressources qu’à des aspects purement techniques , avant de résumer plus tard que la réponse et le rétablissement constituent les véritables points faibles .

André Pharand soutient que les opérateurs postaux subissent une pression opérationnelle croissante parce que les responsabilités en matière de cyber sécurité augmentent sans soutien financier correspondant. Cela crée une contrainte structurelle de capacité qui empêche les opérateurs de suivre l’évolution de l’environnement des menaces.

Il indique que les répondants ont classé très haut la hausse de la charge de travail, ce qui montre que la plupart estiment que les exigences en matière de cybersécurité augmentent . Il met cela en contraste avec l’évolution des budgets, affirmant que ceux-ci ne suivent pas, soulignant un écart particulièrement important en Amérique latine et notant que huit opérateurs ont vu leur charge de travail augmenter même après une suppression totale de leur budget de cybersécurité .

Il fait valoir qu’une lacune institutionnelle importante réside dans la faiblesse des liens entre les opérateurs postaux et les organismes nationaux de réponse aux cyberincidents. En l’absence de telles relations, les opérateurs sont moins en mesure de bénéficier de la coordination, du renseignement et du soutien d’urgence au niveau national.

Il déclare qu’environ 35 % seulement des opérateurs postaux ont un lien avec une équipe nationale affiliée de réponse aux incidents . Il décrit cela comme un manque d’alignement, d’interconnexion et d’intégration, alors même que les opérateurs postaux sont souvent liés à la propriété ou à la supervision de l’État .

André Pharand soutient que le défi central réside dans la capacité de mise en œuvre plutôt que dans la simple sensibilisation aux cyberrisques. Les opérateurs, en particulier ceux qui disposent de moins de ressources, ont besoin de financements, de formation et d’un appui d’experts pour transformer la sensibilisation en résilience effective.

Il indique que les commentaires libres des opérateurs portaient largement sur les capacités et le financement, avec des demandes de davantage de formation, de financement, d’orientations et d’accès à des experts du domaine . Il conclut explicitement que la lacune concerne les capacités, et non la sensibilisation, et affirme que même de bons résultats sur les facteurs d’hygiène ne rendent pas les organisations immunisées contre les attaques .

Il soutient que le réseau postal présente de très fortes disparités de maturité cyber, certains opérateurs étant bien dotés en ressources tandis que d’autres sont à peine équipés pour faire face à la cybersécurité. Cette disparité est importante, car la résilience du réseau dépend de l’état de préparation de tous les participants, et pas seulement des plus solides.

Il note plus tôt que les opérateurs vont de très grandes organisations comme USPS à de très petits postes comme Curacao Post, avec des contextes opérationnels différents mais des défis similaires . Dans ses remarques finales, il indique que certains opérateurs disposent de leurs propres services informatiques et de consultants tandis que d’autres ont à peine un support informatique, que certains ne réfléchissent même pas encore à la cybersécurité et que, dans certains cas, la fonction informatique responsable se situe ailleurs dans l’administration publique .

André Pharand soutient qu’un soutien limité devrait être dirigé en priorité vers les opérateurs les moins préparés. Il présente cela à la fois comme une mesure d’équité et d’efficacité, car ce sont ces postes qui demandent activement de l’aide et qui sont susceptibles de tirer le plus grand bénéfice de l’intervention.

En énumérant ses recommandations, il indique que l’UPU devrait accorder la priorité aux postes les moins préparés, car ce sont eux qui demandent un appui et qui en bénéficieront le plus . Cette recommandation découle de conclusions plus larges de son enquête, qui montrent des niveaux de maturité inégaux et des pénuries de ressources parmi les opérateurs .

Il propose un dispositif de soutien pratique pour les pays membres, combinant financement, formation et outils de reprise opérationnelle. L’idée n’est pas seulement de renforcer les systèmes avant les attaques, mais aussi d’améliorer la capacité des opérateurs à se rétablir rapidement lorsque des incidents surviennent.

Il recommande de mettre en place un soutien et d’en assurer le financement pour les postes qui en ont besoin, tout en reconnaissant que tous les opérateurs n’en ont pas nécessairement besoin . Il préconise également la formation, le partage d’experts, un modèle de soutien de type SWAT team, ainsi qu’une assistance au rétablissement au moyen d’un playbook et d’un appui centralisé en temps opportun de la part de l’UPU .

Massimiliano Aschi affirme que la cybercriminalité a évolué vers un écosystème industriel hautement organisé, avec des rôles spécialisés et des opérations coordonnées. Il souligne que l’IA amplifie cette menace en accélérant le développement des attaques, en améliorant le ciblage et en permettant à des acteurs moins qualifiés de lancer des attaques sophistiquées.

Il explique que les cyberattaques sont soutenues par une chaîne d’approvisionnement criminelle à l’échelle industrielle, gérée par des organisations structurées aux rôles, capacités et profits répartis, ce qui permet un balayage continu de l’internet public ainsi que des campagnes ciblées et de grande ampleur . Il explique ensuite que l’usage malveillant de l’IA aide à identifier les faiblesses des logiciels, des appareils et des réseaux, à générer des outils d’attaque sur mesure, à réduire la nécessité d’une expertise avancée et à permettre des attaques à une vitesse et une fréquence sans précédent .

Il soutient que la résilience doit être comprise de manière systémique, car les acteurs postaux, logistiques et des services numériques créent désormais de la valeur au travers de chaînes interdépendantes. Cela signifie qu’une protection fragmentée n’est plus adéquate et qu’une coordination de confiance à l’échelle de l’écosystème est essentielle pour réduire la vulnérabilité systémique.

Il affirme que la collaboration au sein des secteurs et entre eux n’est plus facultative, car les services hybrides physiques et numériques sont de plus en plus interconnectés et que la création de valeur dépend de chaînes complexes d’acteurs, de fournisseurs et de prestataires de services qui doivent être considérées comme un écosystème unique . Il ajoute que, sans mécanismes de coordination de confiance, les organisations continueront à fonctionner de manière isolée et resteront exposées à de graves vulnérabilités systémiques .

Massimiliano Aschi présente Post-ISAC comme un mécanisme permettant de traduire le partage d’informations en défense opérationnelle. Sa valeur réside dans le fait de réunir des opérateurs aux capacités variables au sein d’une structure de coordination de confiance, afin qu’ils puissent échanger des renseignements exploitables et renforcer mutuellement leur posture de sécurité.

Il indique que Post-ISAC est une communauté internationale couvrant les cinq continents et un large éventail de niveaux de maturité cyber, de capacités de réponse et de niveaux de ressources, ce qui permet de répondre à des besoins et réalités très différents dans le cadre d’une coordination reconnue . Il ajoute que les opérateurs peuvent partager les menaces, les incidents et les bonnes pratiques, constituant ainsi un corpus collectif de renseignement et de connaissances qu’aucun opérateur ne pourrait créer seul .

Il soutient que la valeur pratique du renseignement partagé réside dans le fait que des incidents locaux peuvent devenir des alertes à l’échelle du réseau. Cela permet au système d’anticiper plus tôt les menaces et de s’adapter avant que le même mode opératoire d’attaque ne se propage ailleurs.

Il indique explicitement qu’une attaque détectée dans un pays peut devenir une alerte précoce pour tous, renforçant les capacités de réponse anticipative à l’échelle du réseau . Il explique en outre que les échanges mondiaux peuvent produire des bénéfices locaux et que l’implantation territoriale des opérateurs postaux crée le potentiel d’un réseau international de capteurs capable de relayer en temps utile des informations sur les schémas de fraude, les abus technologiques et les vagues d’attaques .

Il soutient que la coopération n’est pas seulement stratégiquement souhaitable, mais aussi économiquement efficace. Les initiatives communes peuvent répartir le coût des services et de la formation entre les participants, rendant la préparation avancée et la réponse plus accessibles aux pays et aux opérateurs disposant de moins de ressources.

En répondant à la question sur la coopération avec les CERT, il affirme que l’ampleur et la portée de l’écosystème postal peuvent maximiser l’impact des investissements dans la préparation et la réponse aux menaces, et que les initiatives de formation et de sensibilisation peuvent générer des retours substantiels . Il ajoute que, si l’accès aux services peut être coûteux pour de nombreux pays, ces coûts peuvent être considérablement réduits grâce aux économies d’échelle, et que la participation à des initiatives comme Post-ISAC peut changer la donne .

Massimiliano Aschi soutient que de nombreux opérateurs continuent de se défendre de manière isolée, ce qui laisse l’écosystème dans son ensemble fragmenté et vulnérable. Il appelle à des dispositifs de sécurité participatifs créant une barrière de protection commune à l’échelle du réseau.

Il affirme que la participation à des initiatives telles que Post-ISAC pourrait faire évoluer la cyberdéfense d’un modèle isolé, fondé sur des îlots, vers une approche plus collaborative et participative . Il ajoute que cela aiderait à rompre l’isolement dans lequel de nombreux opérateurs agissent encore et favoriserait une barrière de protection à l’échelle de l’écosystème, atténuant le risque cyber partagé .

Il soutient que la sécurité des envois transfrontaliers devient de plus en plus fondée sur les données, l’évaluation des risques reposant de plus en plus sur les informations échangées entre les réseaux. Il avertit toutefois que cette approche en est encore à un stade précoce et n’a pas encore atteint un niveau de maturité suffisant pour constituer un système hautement efficace.

S’exprimant dans le contexte européen, il indique que l’évaluation des risques s’appuie de plus en plus sur l’échange de données et que les flux de données des réseaux internationaux deviennent particulièrement pertinents pour évaluer les risques liés aux envois . Il ajoute que cela peut rendre les contrôles douaniers plus intelligents, mais estime que cette approche n’en est encore qu’à ses débuts et n’est pas encore suffisamment mature pour produire des résultats pleinement significatifs .

Tracy Hackshaw affirme que la distribution postale et le commerce électronique restent ancrés dans le déplacement physique des marchandises, mais que ce mouvement physique dépend désormais de l’infrastructure numérique. En conséquence, une rupture dans la chaîne numérique peut provoquer des perturbations plus larges, bien au-delà de l’opérateur postal lui-même.

Il demande à l’auditoire de penser d’abord à un colis physique et souligne que le service postal universel repose sur la livraison à tous . Il ajoute ensuite que, dans le monde connecté numériquement, une perturbation dans une partie de la chaîne peut entraîner des effets en cascade sur des systèmes interconnectés tels que les chaînes d’approvisionnement, les systèmes de paiement, les systèmes de transit et de transport .

Tracy Hackshaw présente la proposition de travail 309 comme un cadre de cyberrésilience à l’échelle du secteur. Son objectif est de garantir que chaque pays et chaque opérateur puisse atteindre au moins un niveau minimal acceptable de sécurité, au lieu de réserver la résilience à quelques acteurs avancés.

Il présente la proposition de travail 309 comme la proposition sur la cyberrésilience pour le secteur postal . Il indique que l’objectif est d’établir un socle minimal de sécurité pour le secteur et d’amener tout le monde au moins à un niveau stable ou « bon », les données actuelles servant de base de référence initiale pour de futures recommandations .

Il soutient que la stratégie de l’UPU se veut progressive plutôt que fondée sur une logique du tout ou rien, en aidant les opérateurs les moins avancés à s’améliorer de manière graduelle. En même temps, elle vise à répartir les ressources de manière plus équitable afin que les pays disposant de capacités plus faibles puissent accéder à la formation et au soutien en matière de sensibilisation.

Il explique que le système offre une feuille de route normalisée pour faire passer les pays d’un stade initial à au moins un niveau plus stable, puis, à terme, à un stade de développement plus avancé . Il précise également que l’intégration de cette approche dans le plan de travail de l’UPU vise à permettre une répartition équitable des ressources de développement des capacités, de formation et de sensibilisation pour les opérateurs, le secteur dans son ensemble et les clients .

Tracy Hackshaw soutient que la confiance dans les systèmes numériques est une condition préalable au commerce numérique. Lorsque cette confiance est faible, les consommateurs et les marchés se replient sur l’argent liquide et les processus physiques, ce qui limite la participation à l’économie numérique.

Il dit que si les populations n’ont pas confiance dans l’infrastructure numérique de leur pays, elles n’ont pas confiance dans l’économie numérique ni dans la possibilité d’y faire du commerce . Il relie cela à de nombreuses économies les moins développées où l’argent liquide reste dominant parce que la confiance dans les systèmes numériques n’existe pas, et indique que l’objectif est d’utiliser des normes cyber mondiales pour certifier les pays comme partenaires sûrs dans la chaîne d’approvisionnement mondiale .

Il plaide pour une approche universaliste de la cyberrésilience dans le secteur postal. Étant donné que l’ensemble du réseau dépend de tous les participants, une protection cyber de base devrait être accessible à chaque pays comme norme commune, et non comme une capacité haut de gamme réservée aux opérateurs bien financés.

Il indique que l’UPU souhaite que les prochaines années de travail garantissent l’inclusion numérique et construisent un cadre mondial dans lequel la cyberrésilience ne soit pas un luxe réservé aux mieux dotés en ressources, mais un service standard pour tous . Il renforce ce point en affirmant que le réseau mondial n’est sécurisé qu’à la hauteur de son opérateur le plus vulnérable et que la résilience doit être renforcée à chaque étape de la chaîne .

Tracy Hackshaw présente Post-ISAC comme un canal opérationnel concret pour un soutien sécurisé de pair à pair. Sa fonction n’est pas seulement de diffuser des informations sur les menaces, mais aussi de permettre aux opérateurs d’échanger les enseignements tirés d’incidents et d’obtenir de l’aide pendant des attaques en cours.

Il donne l’exemple concret d’une attaque contre une poste en Asie et explique que l’ISAC permet à cette poste de partager, de manière sécurisée et confidentielle, les informations à l’origine de la menace avec d’autres participants afin qu’ils puissent se préparer à une attaque généralisée ou future . Il ajoute que l’ISAC aide également les organisations à apprendre ce que d’autres ont fait pour survivre à des attaques et à demander de l’aide alors qu’elles sont elles-mêmes en train d’être attaquées .

Il soutient que le domaine de premier niveau .post est un mécanisme de sécurité et de confiance, et non un simple choix de marque. Comme l’accès y est limité aux entités vérifiées, il contribue à réduire l’usurpation et offre aux utilisateurs un identifiant numérique plus fiable pour les services postaux.

Il affirme que de nombreuses attaques passent par le système de noms de domaine et que .post fonctionne comme une marque de confiance soutenue par une institution du système des Nations Unies . Il explique que les domaines ordinaires peuvent être facilement achetés et usurpés, en particulier lorsque des lettres comme A, I, L et O peuvent être visuellement manipulées, alors que seules des entités vérifiées et authentifiées peuvent accéder à .post, sans possibilité d’enregistrement individuel .

Tracy Hackshaw présente Secure.post comme la couche de service public de l’effort de cyberrésilience de l’UPU. Elle est conçue pour mettre directement à disposition des outils de sécurité pratiques et des ressources pédagogiques, y compris pour des personnes au-delà des seuls opérateurs postaux.

Il indique que Secure.post a été officiellement lancé et offrira un environnement accessible au public avec des informations et des outils . Il cite comme exemples un outil en direct de vérification de liens, de futurs générateurs de mots de passe, des informations de formation fournies par des partenaires, des tests d’e-mails et de sites web, ainsi qu’un accès aux bonnes pratiques et aux normes pour les particuliers comme pour les organisations .

Il soutient que les initiatives de l’UPU doivent être reliées aux institutions nationales de cybersécurité plutôt que de fonctionner en parallèle. En se reliant aux autorités nationales, aux CERT et aux structures propres au secteur, le secteur postal peut bâtir une résilience à plusieurs niveaux qui fonctionne à l’échelle nationale comme internationale.

Il indique que la feuille de route de l’UPU prévoit de travailler avec les autorités nationales de cybersécurité et que cela est mesuré comme un KPI plutôt que laissé au rang d’aspiration informelle . Il ajoute que ces autorités sont généralement liées aux CERT et aux C-CERT nationaux, et idéalement aussi aux CERT sectoriels, l’objectif étant de créer une chaîne supplémentaire de résilience au sein des pays tout en assurant une connexion mondiale et une coopération avec d’autres ISACs .

Tracy Hackshaw fait valoir que les partenariats internationaux sont nécessaires parce que les ressources propres de l’UPU sont limitées. La coopération avec des communautés de réponse établies comme FIRST permet à l’UPU d’étendre sa portée et d’améliorer son efficacité grâce à l’expertise et aux réseaux partagés.

Il déclare que l’UPU finalise un partenariat avec FIRST, le Forum of Incident Response and Security Teams, et règle les derniers détails d’un accord de coopération . Il précise que l’intention est d’optimiser les ressources de l’UPU en travaillant avec les équipes FIRST dans le monde entier, car l’UPU ne peut pas faire cela seule et doit coopérer pour aider tout le monde .

Il soutient que la cyberrésilience dans le secteur postal n’est pas seulement une question institutionnelle de back-end, mais aussi une question de protection des consommateurs visible par le public. Parce que les attaquants exploitent le sentiment d’urgence des personnes au sujet de la livraison de colis, l’éducation des clients devient une mesure défensive essentielle.

Il indique que de nombreuses attaques dans le secteur prennent la forme de messages ou d’e-mails affirmant qu’un colis est en retard ou urgent, ce qui pousse les utilisateurs à cliquer sur des liens malveillants parce qu’ils veulent recevoir leur colis . Il conclut qu’il est d’une importance vitale de sensibiliser les clients aux lieux et aux modalités de ces attaques .

Tracy Hackshaw fait valoir que les opérateurs postaux manquent souvent de visibilité sur l’utilisation abusive de leurs propres marques dans des escroqueries. Il en résulte une posture de sécurité réactive plutôt que proactive, puisque les opérateurs peuvent ne découvrir l’usurpation qu’après avoir été alertés par les clients.

Il indique que de nombreux opérateurs postaux ne savent même pas que des clients reçoivent des messages frauduleux, à moins que ces derniers ne les en informent . Il ajoute que cela signifie que les opérateurs peuvent ignorer que leurs URL ou leurs adresses électroniques sont usurpées ou utilisées de manière abusive, une lacune que l’UPU souhaite combler en partie par la sensibilisation des clients .

Les contributions du public montrent que les gens envisagent souvent le commerce électronique sous l’angle des plateformes visibles destinées aux consommateurs plutôt que de l’infrastructure qui les sous-tend. Cela permet d’illustrer l’écart entre la perception du public et l’écosystème numérique et logistique beaucoup plus large évoqué par le panel.

Lorsqu’on leur a demandé ce qui leur venait d’abord à l’esprit à propos du commerce électronique, les membres du public ont répondu « Amazon » et « Platform, platform » . Ces exemples appuient l’observation du modérateur selon laquelle les utilisateurs ont tendance à se concentrer sur les sites web et les places de marché plutôt que sur les systèmes interconnectés qui les sous-tendent .

Les interventions du public ont attiré l’attention sur une question concrète de confiance : la possibilité que les noms de domaine eux-mêmes fassent l’objet d’usurpation et la manière dont les contrôles de sécurité répondent à ce risque. Cela montre que le nommage, la vérification et la confiance des utilisateurs sont perçus comme des préoccupations opérationnelles concrètes, et non comme de simples questions de politique générale abstraites.

Un participant du public a demandé directement comment le panel traite le fait qu’il y ait un « O » dans le mot « post » et de même un « I » dans « first », soulevant ainsi le problème des caractères visuellement similaires et de l’usurpation dans les noms de domaine . La question elle-même illustre l’inquiétude des participants quant à la fiabilité, en pratique, des mécanismes sûrs de nommage et de vérification .

Le public a mis en évidence deux domaines opérationnels où la résilience dépend d’une coordination plus large : la coopération avec les CERT et le partage d’informations pour l’évaluation transfrontalière des risques douaniers. Ces questions montrent que les participants considéraient la connectivité institutionnelle et l’échange de données comme des leviers concrets pour améliorer la sécurité du secteur.

Un participant a demandé quel était le principal défi et la principale opportunité pour aider les CERT à renforcer la prévention et la coopération avec les entreprises et les partenaires de la chaîne d’approvisionnement . Un autre a demandé comment la coopération de l’UPU avec l’Organisation mondiale des douanes pourrait améliorer l’évaluation des risques et le partage de données pour les envois postaux transfrontaliers dans le contexte de la croissance du commerce électronique .