La sécurité n’est pas une entrave

Je me presse de rire de tout, de peur d’être obligé d’en pleurer.
Pierre DAC

Les principaux axes de la sécurité des systèmes d’information (SSI) sont au nombre de trois : la sensibilisation, la sécurité physique et les technologies de l’information (les moyens mis en œuvre).

Au sujet de la sensibilisation, en une petite vingtaine d’années, voici un petit florilège de phrases que j’ai déjà entendues (liste non exhaustive malheureusement) :

• La sécurité ne sert à rien et puis ça coûte cher !
• Il n’y a rien de secret dans ce qu’on fait.
• C’est compliqué !
• Tu es franchement parano…
• Pour la complexité des mots de passe, on va y aller mollo : d’abord la longueur puis ensuite on diversifiera l’alphabet.
• Un filtre de confidentialité ? Pffff, ça ne sert à rien.

Et encore, je vous passe les avis farfelus sur le chiffrement (quand ce ne sont pas les mots cryptage ou chiffrage qui sont utilisés…), la complexité des mots de passe, les sauvegardes non protégées voire sans preuve d’intégrité, les échanges et stockages de couples identifiant/authentifiant, les sessions de travail non verrouillées, etc. On connaît tous un « expert » qui connaît tout sur tout, qui a un avis sur tout, qui ne travaille pas dans le domaine mais qui en parle ex professo, non ?
La sécurité (et par transitivité, la sensibilisation) est importante car il y a des obligations légales, contractuelles dans certains cas, éthiques, déontologiques mais surtout parce qu’il y a des risques (croissance exponentielle des attaques en plus de 10 ans). On ne roule pas dans une voiture sans frein tout de même. En matière de SSI, les cyber-attaques sont aujourd’hui un enjeu majeur.
En effet, le rapport n°2 du Ministère de l’Intérieur relatif à l’état de la menace liée au numérique en 2018 l’indique clairement : « la majorité des entreprises sont touchées par les cyber-attaques ; près de 80% en ont constatées au moins une en 2017 » ([01]). J’ose espérer qu’en 2017 la vague de ransomware (et leur déconcertante facilité pour réussir à s’infiltrer dans les entreprises) a alerté l’opinion publique sur les dangers du monde cyber. En sus, il est clair qu’une cyber-attaque peut également avoir des conséquences plus ou moins dramatiques sur l’Homme (faillites de PME, suicides, etc.).
Mon but n’est pas de me complaire dans une ambiance anxiogène mais il me paraît important que la cybersécurité et les bonnes pratiques qui en découlent soient adoptées par tout à chacun. Aujourd’hui, il est impensable que les règles de l’état de l’art ne soient pas adoptées surtout dans le milieu professionnel. En accord avec sa direction, c’est le rôle du RSSI de fixer les règles dans l’organisation.
Force est de constater qu’il nous faut être en posture de défense de façon continue, l’attaquant (qui peut être d’origine interne, ce n’est pas forcément un barbu avec un T-shirt de métalleux habilement formé aux techniques de camouflage et d’intrusion) profitera de nos faiblesses pour « taper » là où il veut et quand il veut. Alors, autant ne pas lui faciliter la tâche et ne pas nous offrir à lui sans nous défendre, non ?
Eh oui, les cyber-attaques ne se produisent pas par magie. La sécurité c’est comme tout, ça s’apprend et ce, dès le plus jeune âge. Ensuite, la sécurité, ça s’entretient. Des piqûres de rappel doivent donc souvent être faites…
Au niveau des directions des PME et grands groupes, je reconnais qu’aujourd’hui, comparé à il y a une vingtaine d’années, on parle moins de coût de la SSI mais plutôt d’investissement SSI.
La sécurité informatique n’a rien de bien compliqué (n’en déplaise à certains). Son objectif n’est pas de vous empêcher de travailler, ni de vous compliquer la vie mais bel et bien de vous protéger et également de protéger le patrimoine informationnel de votre organisation (code source, données clientes, données comptables, etc.).
Dans le cadre personnel, agissez comme vous le souhaitez (ce n’est pas mon problème, du moment qu’il y a une réelle séparation avec le cadre professionnel) mais, dans le milieu professionnel, obéissez aux règles dictées par un professionnel formé et généralement compétent.
Pour le lecteur qui est arrivé au bout de ma diatribe, voici quelques conseils de bon sens:

• Le RSSI il faut écouter car ce n’est pas l’ennemi des utilisateurs
• Le RSSI il ne faut pas maudire car il a enlevé les droits d’administrateur aux utilisateurs
• Le RSSI il faut aimer car il sue sang et eau pour ses utilisateurs

Références

[01] https://www.interieur.gouv.fr/content/download/110309/879759/file/rapport-etat-menace-2018-vf.pdf