Objectifs du chapitre
- Définir les notions, objectifs et terminologies fondamentales de la sécurité informatique.
- Identifier les objectifs de sécurité (Confidentialité, Intégrité, Disponibilité).
- Présenter les principes de la méthodologie de la sécurité.
- Identifier les règles et bonnes pratiques essentielles.
1. Définition de la sécurité informatique
La sécurité informatique est l’ensemble des moyens techniques, pratiques et humains destinés à protéger les systèmes informatiques, les réseaux et les données contre les accès non autorisés, les dommages, les vols, etc.
Un système d’information est un ensemble structuré de ressources qui permet de collecter, stocker, traiter, diffuser et distribuer l’information dans une organisation. Ces ressources sont matérielles, logicielles, humaines, des données et des procédures.
Le système d’information d’une organisation contient aussi un ensemble d’actifs : des actifs primordiaux (les processus métiers et les informations) et des actifs supports qui les portent (site, personnel, matériel, réseau, logiciel, organisation). La sécurité du système d’information consiste donc à assurer la sécurité de l’ensemble de ces biens.
2. Les enjeux de la sécurité informatique
La sécurité informatique réduit les risques pesant sur le système d’information, pour limiter leurs impacts sur le fonctionnement et les activités métiers des organisations. Ses principaux objectifs sont :
- empêcher la divulgation non autorisée de données
- empêcher la modification non autorisée de données
- empêcher l’utilisation non autorisée des ressources réseau ou informatiques de façon générale
La gestion de la sécurité n’a pas pour objectif de faire de l’obstruction : elle contribue à la qualité de service que les utilisateurs sont en droit d’attendre, et garantit au personnel le niveau de protection qu’ils sont en droit d’attendre.
3. Les services de la sécurité informatique
Les trois services de base forment le triptyque DIC :
La disponibilité est la propriété d’accessibilité au moment voulu des biens par les personnes autorisées.
L’intégrité est la propriété d’exactitude et de complétude des biens et informations (une modification illégitime d’un bien doit pouvoir être détectée et corrigée).
La confidentialité est la propriété des biens de n’être accessibles qu’aux personnes autorisées.
Un objectif complémentaire, la preuve (ou traçabilité), est la propriété d’un bien permettant de retrouver, avec une confiance suffisante, les circonstances dans lesquelles ce bien évolue. Elle englobe :
- L’authentification : avoir l’assurance de l’identité d’une personne (ou d’un serveur) dans le SI.
- La non-répudiation : le critère qui permet qu’une entité ne puisse pas nier ses actions dans le SI (exemple : l’expéditeur d’un document ne peut nier l’avoir envoyé, ni le destinataire l’avoir reçu).
- L’horodatage : avoir l’assurance de la date et l’heure de l’exécution d’une action (envoi, réception, signature…) sur un document.
Pour atteindre ces besoins DICP, le système d’information s’appuie sur des mécanismes techniques, humains et organisationnels :
| Mécanisme | Rôle |
|---|---|
| Antivirus | Détecter toute attaque virale déjà identifiée par la communauté sécurité. |
| Cryptographie | Implémenter du chiffrement et des signatures électroniques. |
| Pare-feu | Isoler des zones réseau entre elles et n’autoriser le passage que de certains flux. |
| Contrôles d’accès logiques | Restreindre l’accès en lecture/écriture/suppression aux seules personnes dûment habilitées. |
| Sécurité physique des équipements et locaux | Protéger l’intégrité physique du matériel et des bâtiments/bureaux. |
| Capacité d’audit | S’assurer de l’efficacité et de la pertinence des mesures mises en œuvre, et participer à l’amélioration continue de la sécurité du SI. |
| Clauses contractuelles avec les partenaires | S’assurer que les partenaires et prestataires mettent en œuvre les mesures nécessaires pour ne pas impacter la sécurité des SI de leurs clients. |
| Formation et sensibilisation | Expliquer aux utilisateurs, administrateurs, techniciens, PDG, clients, grand public, etc. en quoi leurs actions affectent la sécurité des SI, et diffuser les bonnes pratiques. |
4. Terminologies de la sécurité informatique
Vulnérabilité : une faille ou faiblesse dans un SI, conséquence de faiblesses de conception, de mise en œuvre ou d’utilisation d’un composant matériel ou logiciel. Un attaquant l’exploite pour porter atteinte à la confidentialité, à l’intégrité ou au fonctionnement du système ciblé ; la procédure d’exploitation d’une vulnérabilité logicielle s’appelle un exploit. Une fois découvertes, les vulnérabilités doivent être corrigées par des correctifs publiés par les éditeurs du logiciel.
| Type de vulnérabilité | Exemple |
|---|---|
| Matériel | Maintenance insuffisante, absence de programme de remplacement périodique. |
| Logiciel | Tests de logiciel absents ou insuffisants, interface utilisateur compliquée. |
| Réseau | Connexions au réseau public non protégées, point de défaillance unique. |
| Personnel | Formation insuffisante à la sécurité, travail non surveillé d’une équipe extérieure ou de l’équipe d’entretien. |
| Site | Réseau électrique instable, emplacement situé dans une zone sujette aux inondations. |
| Organisme | Absence de bonne attribution des responsabilités en sécurité de l’information dans les descriptions de postes. |
Menace : une cause potentielle d’un incident indésirable, qui pourrait entraîner des dommages sur un bien si elle se concrétisait. Les menaces peuvent être d’origine naturelle ou humaine, et accidentelles ou délibérées.
Impact : le changement négatif pénalisant le niveau des objets métier atteints.
| Impact sur | Exemples |
|---|---|
| La disponibilité | Déficience des performances, interruption d’un service, inaccessibilité à un service, interruption de fonctionnement. |
| La confidentialité | Atteinte à la vie privée des usagers, des clients ou du personnel, fuite d’information confidentielle. |
| L’intégrité | Modification accidentelle ou délibérée, résultats incorrects ou incomplets, perte de données. |
| Vulnérabilité | Menace | Impact |
|---|---|---|
| Entrepôt sans surveillance | Vol d’équipement | Pertes financières |
| Interface utilisateur compliquée | Erreur de saisie de données | Base de données corrompue |
| Ligne de communication non protégée | Écoute électronique | Interception des communications |
| Transfert des mots de passe en clair | Hacker | Vol d’information |
| Absence de processus de gestion des documents | Corruption des données | Documentation obsolète |
| Sensibilité à l’humidité | Corrosion | Échec de l’équipement |
Risque : la combinaison d’une menace et des pertes qu’elle peut engendrer, c’est-à-dire la potentialité de l’exploitation d’une vulnérabilité par un élément menaçant et son impact sur l’organisme. Il sert à évaluer la probabilité d’un type d’incident donné. Pour réduire le danger à des niveaux acceptables, il faut réduire les menaces, réduire les facteurs de vulnérabilité, et augmenter les capacités de protection.
Les risques se classent par gravité :
| Classe | Définition |
|---|---|
| Vital | La nature du risque peut mettre en cause la survie de l’entreprise. |
| Critique | La nature du risque peut affecter durablement les performances économiques de l’entreprise. |
| Sensible | La nature du risque peut affecter l’entreprise de manière non négligeable, même si limitée dans le temps. |
| Non critique | Coût lié au risque existant mais limité. |
Les risques humains incluent la maladresse (erreurs, effacement involontaire des données), l’ignorance (introduire des programmes malveillants sans faire attention), la malveillance (introduire des virus, ajouter des fonctions cachées), la cybercriminalité, l’ingénierie sociale et l’espionnage. Les risques logistiques incluent les défauts et pannes de fabrication, les pannes matérielles, les défauts du logiciel (système d’exploitation, programmes), et l’environnement de travail (variation de température ou d’humidité, exposition aux champs électriques et magnétiques).
Attaque : une action malveillante destinée à porter atteinte à la sécurité d’un bien. Une attaque représente la concrétisation d’une menace et nécessite l’exploitation d’une vulnérabilité : elle ne peut avoir lieu, ni réussir, que si le bien est affecté par une vulnérabilité.
Contre-mesure : une mesure qui modifie un risque. Les mesures de sécurité comprennent tous les processus, politiques, dispositifs, pratiques ou autres actions qui modifient un risque ; elles peuvent être administratives, techniques, juridiques ou managériales.
| Type de mesure | Rôle |
|---|---|
| Préventive | Dissuader ou prévenir l’apparition de problèmes. |
| De détection | Rechercher, détecter et identifier les anomalies. |
| Corrective | Remédier aux problèmes découverts et prévenir la répétition des anomalies. |
Quatre principes guident les contre-mesures :
| Principe | Effet |
|---|---|
| Superposition | Une sécurité en couches, plus difficile à percer, résiste à une variété d’attaques. |
| Limitation | Autorisation requise pour l’accès (limité, réduit). |
| Diversité | Différenciation des couches de sécurité et des outils d’attaque : la violation d’une couche de sécurité n’est pas la violation de l’ensemble du SI. |
| Obscurité | Limiter les informations concernant un SI. |
5. Règles de base de la sécurité informatique
La méthodologie de sécurité suit cinq étapes :
- Identifier la menace (qui ou quoi, comment : vulnérabilités).
- Évaluer les risques et les vulnérabilités (probabilité, impact).
- Considérer les mesures de protection par rapport au risque (efficacité, coût, difficulté d’utilisation).
- Mettre en place et opérer les mesures de protection (modification et/ou installation, changer les politiques, éduquer les utilisateurs).
- Auditer, valider et suivre.
| Règle | Principe |
|---|---|
| Interdiction par défaut | Tout ce qui n’est pas autorisé explicitement est interdit. |
| Moindre privilège | N’autoriser que le strict nécessaire. |
| Défense en profondeur | Protection au plus tôt et à tous les niveaux, défenses en série. |
| Goulet d’étranglement | Point de sortie unique permettant le contrôle. |
| Simplicité | Filtrage le plus simple possible. |
| Concertation | Acceptation des contraintes par les utilisateurs. |