1. Approche de la sécurité de l’information
Une information correspond à un élément de connaissance pouvant être collecté, traité, conservé, communiqué au sein d’une organisation ou auprès de ses partenaires. Elle sera sous différentes formes : orale, écrite. visuelle, audiovisuelle, qualitative, quantitative. Un système informatique, interconnectant des ordinateurs via des réseaux informatiques et de télécommunications, ne connait pas les informations véhiculées sous forme numérique. Le système d’information a pour but de traiter et analyser les données, provenant de différentes sources, pour produire des informations exploitables et de les diffuser aux bons acteurs, au bon moment, pour faciliter les prises de décision. Pour mieux cerner les périmètres, il est intéressant de distinguer les différentes sécurités liées à l’information.
- La sécurité de l’information (terme générique) concerne la sécurité des actifs informatiques physiques et des réseaux, des points de terminaison, le chiffrement des données.
- La sécurité informatique est relative à la protection des actifs technologiques informatiques (physiques, numériques) et des centres de données, et non sur l’information elle-même.
- La cybersécurité, dans le cadre de la sécurisation des systèmes d’information numériques, contribue à la protection des données et des actifs numériques contre les cybermenaces. Son périmètre est restreint et elle ne concerne pas la protection des données papier ou non numériques.
- La sécurité des données contribue à la protection des informations numériques contre tout accès non autorisé, corruption ou vol tout au long de leur cycle de vie. Elle comprend la sécurité physique du matériel et des périphériques de stockage, ainsi que les contrôles administratifs et les contrôles d’accès. Elle couvre aussi la sécurité logique des applications logicielles, et les politiques et les procédures organisationnelles.
2. Caractéristiques de la sécurité de l’information (InfoSec)
La sécurité de l'information est importante car elle contribue à sécuriser les actifs d'information, à maintenir la confiance des clients et à respecter les exigences légales et réglementaires. Les mesures de sécurité de l'information sont essentielles pour garantir la continuité des activités et la protection des données sensibles. Lors de crises, il faut assurer la pérennité de l’entreprise. La protection de l’information est indissociable de la résilience globale et de la capacité à gérer l’imprévu. La sécurité de l'information vise à protéger les informations contre tout accès, divulgation, utilisation, modification ou perturbation non autorisés et s'applique à toutes les formes d'information (numériques ou physiques), et inclut des mesures pour assurer la sécurité des systèmes d'information. Les piliers fondamentaux de la sécurité de l'information sont
- Confidentialité : assure que seules les personnes autorisées aient accès aux informations sensibles.
- Intégrité : garantit que les données ne soient pas modifiées par des sources non autorisées.
- Disponibilité : assure que les systèmes et informations soient accessibles en tout temps.
- Non-répudiation : vise à prouver l'identité des utilisateurs. Les différentes phases de la sécurisation de l’information sont les suivantes :
- l’évaluation des risques : risques acceptés/ non acceptés et incidences sur l’entreprise.
- L’identification des vulnérabilités/faiblesses : avant et après réduction des failles de sécurité .
- L’identification des menaces : hiérarchisation et évaluation des occurrences .
- La planification de la réponse aux incidents : définition des réactions à adopter.
3. Menaces sur la sécurité de l’information et conséquences
Une menace est tout ce qui peut mettre en danger la confidentialité, l’intégrité ou la disponibilité d’un système d’information. Les menaces, externes et internes, qui pèsent sur la sécurité de l’information sont très variées.
- Les plus connues sont les cyberattaques : attaques par menace persistante (ou APT), les botnets (réseaux de robots), le déni de service distribué DDoS), les attaques par téléchargement « drive-by », les logiciels malveillants, phishing, ransomwares, virus et vers.
- Les menaces souvent « oubliées » sont à connotation technique : erreur commise par un employé, sécurité inefficace des points de terminaison, pannes techniques, erreurs de configuration sur diverses plateformes et outils informatiques (options de stockage des données dans le cloud /IaaS), des intégrations de logiciel en tant que service (SaaS) et des applications Web.
- Les menaces les plus redoutables sont d’origine humaine : d’une part les employés, partenaires compromettent intentionnellement les informations d’une organisation à des fins personnelles ou par pure méchanceté et d’autre part, les utilisateurs autorisés qui compromettent involontairement la sécurité en ne respectant pas les meilleures pratiques c’est à dire l’ingénierie sociale ( employés divulguant des informations sensibles ou des mots de passe).
Les impacts d’une fuite de données dans le cadre professionnel vont au-delà des pertes financières, avec une combinaison de conséquences juridiques, réputationnelles et opérationnelles pouvant compromettre leur pérennité. La disparition ou l’altération d’informations personnelles, sensibles ou confidentielles (données financières , secrets commerciaux), exposent l’entreprise et parties prenantes à des risques conséquents.
Les lois de protection des données imposent aux entreprises des obligations pour garantir la sécurité des données personnelles. Le Code Pénal, dans son article 323-11, prévoit des sanctions en cas de violation de données et le RGPD, DORA ou NIS2 imposent, de leur côté, des amendes additionnelles.
D’autres conséquences ne doivent pas être sous estimées. Le vol de données entraîne des perturbations opérationnelles ; l’organisation doit interrompre ses activités pour identifier et corriger la faille de sécurité (restauration des systèmes compromis, et données chiffrées ou corrompues peuvent être irréparablement perdues). De plus, les coûts associés aux réparations techniques, à l’indisponibilité des systèmes et aux pertes de productivité s’accumulent rapidement. Dans les pires cas, une mauvaise gestion de la fuite de données peut aussi rendre l’entreprise vulnérable à d’autres cyberattaques, augmentant le coût global de la remédiation.
En règle générale, les données personnelles aspirées comprennent des noms complets, des adresses électroniques, des adresses postales ou des numéros de téléphone. Parfois, des coordonnées bancaires sont aussi récupérées par les pirates.
4. Recommandations pour renforcer la résilience du système d’information
La protection de l'information est un domaine en constante évolution qui nécessite une vigilance continue et l'adoption de nouvelles technologies et pratiques pour faire face aux menaces émergentes. Les entreprises doivent mettre en place des politiques et des procédures robustes pour assurer la sécurité de leurs informations et de leurs système, agir en proactif et par anticipation (préparation). Une des premières mesures est la classification des informations par niveau de confidentialité pour assurer leur protection adaptée à leur sensibilité, leur durée de vie et à la cible des détenteurs de ces informations. Par souci de protections juridique et assurantielle et de cohérence fonctionnelle, il est impératif de respecter des législations, règlements et normes en vigueur (ISO 27000, RGPD, DORA, REC, NIS2). Pour s’assurer de la « bonne santé » du système d’information , il est fortement recommandé de faire des audits réguliers pour vérifier la conformité et, aussi, des tests sur la résilience pour identifier les capacités des systèmes d’information pour réagir. De plus, concevoir des scénarios de fonctionnement en monde dégradé et jouer des exercices de crise avec implication des acteurs identifiés pourraient être utiles le cas échéant. La définition de l’architecture d’un système d’information doit être raisonnée afin d’assurer une sécurité de fonctionnement dans la profondeur, de ménager des « ilots » autonomes de fonctionnement, de fonctionner en mode dégradé, d’isoler les zones/applications attaquées, de reconstruire rapidement le système après attaques. Pour cela, la connaissance des technologies, des équipements et des applications de sécurité pouvant être déployés utilement est fortement conseillée afin de ne pas construire un « château de cartes » très vulnérable. Mentionnons quelques composants devant être intégrés :
- Système de détection des intrusions (« Intrusion Detection System » ou IDS) et système de prévention des intrusions (« Intrusion Prevention System » ou IPS).
- Systèmes de gestion de la sécurité de l’information (« Information Security Management Systems » ou ISMS).
- Gestion des informations et des événements liés à la sécurité (SIEM).
- Centres des opérations de sécurité (« Security Operations Centers » ou SOC),
- Mesures d’authentification forte.
- La prévention des pertes de données (DLP).
- Détection et réponse des terminaux (EDR).
- Analyse du comportement des utilisateurs et des entités (UEBA). Il convient d’ajouter des moyens physiques pour renforcer la sécurité physique des sites et des locaux : contrôles d’accès, cartes d’accès, caméras, …Par ailleurs, la sensibilisation régulière des utilisateurs et un durcissement des clauses sécuritaires dans les contrats seront souvent nécessaires. Quelques conseils peuvent être formulés : rester en contact régulier avec les instances étatiques et leur rendre compte de toute suspicion sur le fonctionnement technique ou un comportement humain et, surtout, ne jamais » cacher sous le tapis » un problème meme petit et analyser immédiatement tous les signaux faibles.
En conclusion, le système d’information d’une entreprise peut être considéré comme le système nerveux de l’entreprise car il véhicule tous les échanges d’informations. L’improvisation vis-à-vis d’un système d’information est à bannir car il doit pouvoir fonctionner, face à toutes sortes de menaces, en permanence et en toutes circonstances ; pour cette raison, il doit faire l’objet d’une attention continue grâce à un management et une organisation sécuritaires efficaces. Le PSSI (Politique de Sécurité des Systèmes d’Information) est le document stratégique et indispensable qui définit les règles et objectifs d’une entreprise en matière de sécurité de l’information qui constitue un pilier de la sécurité globale d’une entreprise.