Anton Shingarev, Kaspersky Lab: «Aujourd’hui, la Suisse héberge une de nos infrastructures clés»

Pourquoi Kaspersky a-t-il déménagé son centre de données en Suisse?

Lorsque nous nous sommes rendu compte que l'ancien site en Russie constituait un problème, ou du moins un défi, pour de nombreux régulateurs, partenaires et intéressés, nous avons cherché des alternatives. Nous avons réfléchi à l'endroit où nous pourrions relocaliser le centre de données et avons finalement choisi la Suisse. De notre point de vue, cela allait de soi.

Pouvez-vous préciser?

Depuis des siècles, la Suisse attache une grande importance au maintien de sa neutralité. Elle ne forge ni alliances politiques ni liens militaires. La neutralité est également l'un des principes de base d'une entreprise de cybersécurité. Nous nous voyons un peu comme des médecins: nous aidons tous ceux qui ont besoin de nos services, indépendamment de leur nationalité, parti ou autre affiliation. C'est pourquoi nous avons choisi la Suisse pour notre centre informatique. De plus, la Suisse dispose d'une législation solide en matière de protection des données. Il est par exemple, presque impossible pour les autorités policières d'obtenir un mandat de perquisition permettant l'accès à des données de tiers.

Quelle importance stratégique la Suisse revêt-elle pour Kaspersky du fait de ce centre de données?

Auparavant, la Suisse n'était qu'un pays dans lequel nous étions actifs. Aujourd’hui, le pays héberge une de nos infrastructures clés. Notre base de données de logiciels malveillants est un avantage concurrentiel et elle se trouve ici. Le datacenter de Zurich desservira toute l'Europe et pourrait le faire pour d’autres régions ultérieurement, comme l'Asie ou l'Amérique du Nord. Nous prévoyons donc de rester en Suisse pour un certain temps.

Que signifie ce changement pour les utilisateurs?

Si un client installe l'un de nos produits, il a la possibilité de rejoindre notre service de sécurité en ligne Kaspersky Security Network. Si l'utilisateur donne son accord, il enverra des échantillons de logiciels malveillants dans le cloud en cas d'infection. Le service offre également une protection plus rapide et plus efficace contre les menaces les plus récentes.

Le datacenter sera pleinement opérationnel au plus tard au quatrième trimestre de cette année.

Le datacenter est-il déjà pleinement opérationnel?

L'ensemble est un peu plus compliqué que de mettre un bouton sur On ou de mettre du matériel dans un rack. Le centre se chargera de nombreuses fonctions, dont le sandboxing et les algorithmes automatisés. Il sert aussi à de nombreux services internes. Nous devons réécrire partiellement le code source et redévelopper nos produits. Les différentes fonctions sont progressivement transférées vers la Suisse. Le datacenter sera pleinement opérationnel au plus tard au quatrième trimestre de cette année. Ensuite, tous les échantillons de logiciels malveillants collectés seront également envoyés en Suisse, où ils seront stockés et traités. Celui qui en est capable, peut vérifier par lui-même quels services sont déjà connectés à la Suisse.

La succursale suisse va-t-elle également s'agrandir?

Nous ne voulions pas transférer des citoyens russes en Suisse. Il y en a actuellement quelques uns sur place pour mettre en place le centre de données. Lorsqu’il sera opérationnel, tout sera automatisé, comme dans tous les centres de données modernes. Nous envisageons d’engager certains spécialistes suisses pour s’occuper de l'intégration plus profonde. Mais le problème c’est que les salaires suisses sont très élevés. Pour le salaire d'un spécialiste moyennement expérimenté en Suisse, je peux probablement employer environ cinq experts de haut niveau en Russie.

Vous venez de dire que vous ne vouliez pas transférer des citoyens russes en Suisse. Pourquoi?

Les accusations auxquelles nous sommes confrontés actuellement concernent surtout la politique et les émotions - pas les faits. S'il s'agissait de faits, ceux qui nous accusent pourraient présenter des preuves et nos produits seraient alors interdits dans le monde entier. Ce n'est pas le cas. Seuls les États-Unis les ont interdits et même leurs alliés les plus proches, comme le Royaume-Uni, s'y sont opposés. Nous voulions que notre centre de données suisse soit indépendant que possible de la Russie. C'est pourquoi nous préférons faire appel à des spécialistes suisses.

Comment comptez-vous procéder contre cette interdiction aux Etats-Unis?

Le problème, comme je l'ai dit, c'est qu'il s'agit d'émotions. La décision américaine d'interdire nos produits était motivée par des raisons politiques. C'est pourquoi il est également difficile de prendre des mesures concrètes à son encontre. Les audits indépendants, le programme de bug bounty et un aperçu de notre code source ne les ont pas convaincus. Pour que l'interdiction soit levée, les relations politiques entre les États-Unis et la Russie doivent changer. Mais cela n'arrivera pas du jour au lendemain.

Comment les autres pays réagissent-ils?

Lorsque nous parlons aux régulateurs européens, ils écoutent nos arguments. L'Allemagne, la France, l'Italie et la Suisse ont une attitude très mesurée à notre égard. Il n'est pas prévu d'interdire nos produits, parce que les faits parlent contre une interdiction.

C’est pourquoi vous avez également ouvert un Centre de la transparence à Zurich…

C'est vrai. Lorsque nous avons discuté des allégations avec les organismes de réglementation, deux grands groupes de problèmes sont apparus. D'une part, la sécurité et la protection des données. Nous avons résolu ces problèmes en déménageant le centre de données en Suisse. D'autre part, le produit lui-même a également été remis en question: Y a-t-il des vulnérabilités exploitables ou même des portes dérobées dans nos solutions? Pour répondre à ces préoccupations, nous avons ouvert le Zurich Transparency Center en novembre. Et en avril, nous avons ouvert un centre supplémentaire à Madrid.

N'importe quelle autorité règlementaire du monde entier peut nous envoyer une demande et nous serons heureux de l’inviter à vérifier le code source.

Sont-ils simplement ouverts aux parties intéressées?

N'importe quelle autorité règlementaire du monde entier peut nous envoyer une demande et nous serons heureux de l’inviter à vérifier le code source. Nous aimerions également montrer comment fonctionnent les différents modules. Les spécialistes des autorités peuvent tester le code avec leurs propres outils. Nos experts sont prêts à répondre à leurs questions.

Comment peuvent-ils s’assurer que le code source est bien le bon?

C'est exactement la question que nous ont posée les autorités réglementaires. Mais la réponse est très simple. Nous avons également les compilateurs nécessaires dans le Centre de Transparence. Celui ou celle qui vérifie le code source, peut également vérifier le code compilé et le comparer avec les produits disponibles sur le marché. Certes, ils ne sont jamais identiques à 100 %. Chaque expert sait que certaines différences se produisent lors de la compilation. Mais, nous pouvons toujours expliquer ces différences. C'est ainsi que nous prouvons que tout est authentique.