Entre interconnexions diverses et sécurité optimale

Contexte, tendance et culture…

« Le monde est de plus en plus interconnecté et cette interconnexion est antinomique avec la question de la sécurité ellemême » admet Paul Jaillard. Pour exemple, l’interconnexion de systèmes, le BYOD, génèrent de l’insécurité et brouillent la frontière entre sphères publique et privée.

Le propre de l’informatique n’est-il pas de permettre de se connecter ? Tout est fait en ce sens, les écrans sont installés pour un accès à distance, les serveurs sont interconnectés et les données s’échangent rapidement. Toutes les entreprises « plongent » dans l’interconnexion (BYOD, sites internet, passerelles…) avec tous les problèmes de sécurité qui s’en suivent et qu’il faut traiter impérativement. Ainsi, aujourd’hui, le contexte est plutôt défavorable au maintien du niveau de sécurité imaginé il y a encore quelques années. En effet, jusqu’à présent, l’entreprise était protégée par des barrières relativement étanches et à l’intérieur desquelles, le niveau de confiance envers les utilisateurs et les outils était simple, clair et manifeste. Cette frontière vole en éclat et devient floue. Face aux interconnexions multiples, les droits d’accès deviennent progressifs (visiteurs, utilisateurs simples, administrateurs…) avec des accès permanents ou temporaires, bas ou élevés, en un mot sélectif. Le niveau de sécurité d’un système n’est pas le niveau de sécurité de l’outil le plus puissant installé pour protéger la citadelle. Au contraire, c’est le niveau de sécurité de l’endroit le plus faible de la citadelle.

Tous ces éléments conditionnent la manière dont il faut traiter les problématiques de sécurité, en travaillant en priorité sur les points les plus faibles au lieu de renforcer les points forts.

La notion humaine

« Lorsqu’on évoque la sécurité, la tendance, dans notre monde matérialiste, est d’abord de penser aux outils. Les solutions sont vues comme des choses nouvelles » commente Paul Jaillard. Et pourtant, la sécurité va bien au-delà de simples problématiques d’outils ! « La sécurité, c’est avant tout, une culture accompagnée de procédures ». Derrière la sécurité, se dévoile un aspect complexe et humain, « c’est surtout un problème d’hommes ». La communication avec les utilisateurs est essentielle. Pourquoi mettre en place des mesures de sécurité ? En quoi le comportement des utilisateurs influe-t-il sur la sécurité ?

« Donner son mot de passe » est-ce un acte si anodin que cela ? non, car il est non seulement interdit par toutes les chartes informatiques, mais aussi parce qu’il signifie « dupliquer son mot de passe ». L’utilisateur ne se prive pas de son mot de passe. Certes, il continue à l’utiliser, mais une autre personne peut l’utiliser et voler des informations. Le vol d’information n’est pas perçu de la même façon que le vol d’un objet car l’information volée ne manque pas. L’utilisateur baisse la garde, il n’a pas le sentiment d’être en insécurité. Il est tout aussi difficile de sensibiliser un dirigeant d’entreprise car il ne perçoit pas ce que la sécurité représente ou vaguement, si ce n’est après le désastre… Or, le danger est réel !

L’insécurité provient également du social engineering. Les réseaux sociaux sont une mine d’informations qui permet de pénétrer simplement des réseaux en captant de l’information laissée dans le domaine public. Une voie royale toute tracée pour les personnes mal intentionnées…

Quelle évolution de la sécurité en entreprise ?

D’une protection périmétrique de l’entreprise, il y a encore dix ans, on assiste aujourd’hui à une situation où les données se trouvent à différents endroits et où les utilisateurs accèdent à différentes parties du système d’information et à plusieurs niveaux d’informations, de confidentialité, d’applications en fonction de leur statut, de leur domaine, de la hiérarchie, de l’appareil ou périphérique utilisé, de l’origine de l’accès interne ou externe…

« Au cours des prochaines années, il faudra donc être capable de gérer l’accès à l’information de façon beaucoup plus granulaire » explique Paul Jaillard. La tendance sera sans doute de « bunkeriser » le datacenter pour une protection plus forte de la partie ‘données’ en tant que telle, avec une granularité d’accès très fine, en fonction du type d’informations, de personnes et de « devices ».

En outre, « ces nouveaux devices ont un niveau de sécurité variable. Souvent, insuffisamment protégés, ils accèdent néanmoins à autant d’informations qu’un PC » souligne Paul Jaillard. Les niveaux de protection sont bien inférieurs aux niveaux de protection des PC alors que les smartphones par exemple disposent de capacités analogues ! « Gérer les nouvelles et nombreuses combinaisons de niveau d’informations, de personnes, d’accès, en intégrant la multiplication des réseaux sociaux, va devenir prioritaire » ajoute le DSI.

Jusqu’à 2001, la liberté primait sur la sécurité, mais depuis le 11 septembre, il semble que la priorité se soit complètement inversée. Et de conclure, « Le Patriot Act notamment ne place-t-il pas la sécurité au-dessus de la préservation de la liberté individuelle ? » Il paraît plus important désormais d’être en sécurité plutôt que d’être libre et de respecter la vie privée de chacun. C’est un vrai mouvement de fond qui constitue un réel danger pour tous… Mais là, nous glissons vers un sujet politique qui dépasse évidemment le cadre de l’informatique !