Introduction

Dans la première partie de notre série sur la sécurité de l’information, nous avons posé la question :

1. Quelles sont vos informations les plus précieuses et les plus sensibles ?

Dans cette deuxième partie, nous vous présentons la prochaine étape à considérer :

2. Où sont ces informations ?

La sécurité de l'information est une discipline défensive ; cependant, elle est aussi intrinsèquement contradictoire. Il est donc essentiel de garder à l’esprit le point de vue d’un attaquant. Le succès d'un adversaire ne peut se produire qu'à des endroits spécifiques. Par exemple, si des informations précieuses et sensibles se trouvent sur un service cloud et les appareils des utilisateurs associés, mais que l'adversaire n'a compromis qu'un appareil spécifique qui n'a pas (et ne peut pas) accéder aux informations, alors il n'y parviendra pas.

Vous devez donc sécuriser les informations partout où elles se trouvent, sous une grande variété de formes, notamment papier, numérique et mentale.

Formulaires

Vous devez considérer les formes que prennent vos informations avant de regarder l’emplacement de chacune d’entre elles. Dans le monde moderne, l’information sous forme numérique est la norme ; cependant, la propension aux représentations numériques de l’information ne doit pas signifier que vous négligez la sécurité des autres formes.

N'oubliez pas que vos adversaires chercheront à compromettre vos informations de diverses manières ; ils essaieront souvent d’abord les méthodes les plus simples, les moins chères et les plus fiables. Par exemple, si vous jetez une copie imprimée d'un document, la recherche de vos déchets leur permettra d'atteindre leurs objectifs sans avoir à déployer des efforts pour compromettre les systèmes. Interroger des personnes connaissant l’information sera tout aussi efficace. Encore une fois, il s'agit de considérer le point de vue de l'adversaire plutôt que de s'appuyer uniquement sur une position défensive.

Il est généralement assez évident où se trouvent les informations sous forme physique. En revanche, le domaine numérique est complexe et opaque. De nombreux experts en technologie expérimentés ignorent la complexité sous-jacente de nombreux systèmes et les copies supplémentaires créées lors de l’utilisation de ces systèmes. Cette duplication est généralement considérée comme une chose positive en termes de fonctionnalité, mais elle est extrêmement difficile en termes de sécurité. Ces copies multiples doivent être considérées parallèlement à des représentations numériques plus évidentes de vos informations.

États

La complexité des informations numériques est aggravée par le fait que les données peuvent également se trouver dans l'un des trois états suivants :

• Au repos: Sur un appareil éteint.
• Utilisé: Sur un appareil sous tension.
• En mouvement: Être transféré entre deux appareils.

Ce n’est pas académique ; il est absolument essentiel que vous compreniez la distinction entre le premier et le deuxième élément. Par exemple. de nombreux services cloud annoncent le chiffrement au repos. Cela implique que les informations sont cryptées du côté du fournisseur de services (et sont souvent confondues par les utilisateurs avec un cryptage de bout en bout). Cependant, ce n’est le cas que si leurs systèmes sont éteints et que les données sont au repos. Des affirmations supplémentaires selon lesquelles la disponibilité du service (ou temps de fonctionnement) est proche de 100 % signifient que vos données ne seront pas au repos mais plutôt utilisées – et donc non cryptées – presque tout le temps.

Lieu

Outre les États, une distinction supplémentaire concernant les informations numériques est l'emplacement :

• Interne: Sur les appareils que vous ou l'organisation possédez et contrôlez.
• Les services Appareils appartenant à un tiers mais partiellement sous votre contrôle.
• Externe: Sur les appareils sur lesquels vous ou l’organisation n’avez aucun contrôle.

Bien que vous puissiez avoir un certain contrôle sur les appareils et services internes que vous utilisez, vos informations peuvent exister sur de nombreux appareils externes sur lesquels vous n'avez aucun contrôle. Les appareils externes incluent les appareils personnels, les appareils appartenant à ceux avec lesquels vous partagez des données et communiquez, ainsi que les services utilisés par ces appareils. Il est essentiel que vous déterminiez si vos données précieuses ou sensibles se trouvent sur des appareils externes, car vous ne pourrez peut-être rien y faire pour le moment. La meilleure option ici est la prévention.

Conclusion

Vous devriez maintenant être en mesure de répondre aux questions suivantes :

1. Quelles sont vos informations les plus précieuses et les plus sensibles ?
2. Où se trouve-t-il sous toutes les formes et dans tous les états ?

Si vous ne parvenez pas à localiser vos informations les plus précieuses et les plus sensibles, vous ne pouvez pas espérer les sécuriser. En effet, les adversaires chercheront dans de nombreux endroits jusqu'à ce qu'ils le trouvent. Ils peuvent collecter des informations auprès d'autres personnes, de fournisseurs de services ou même de moteurs de recherche pour voir s'ils ont déjà ou peuvent facilement trouver ce qu'ils veulent.

Dans le prochain article, nous examinerons quelques mesures de sécurité simples mais très efficaces. La première consiste à réduire le nombre de copies d’informations et le moment où elles peuvent être vulnérables. Cela présente deux avantages cruciaux :

1. Cela offre moins de chances à l’adversaire de réussir.
2. Cela peut réduire l’étendue et la profondeur des autres mesures de sécurité requises.

Le deuxième avantage est essentiel, car il peut transformer une tâche impossible en une tâche réalisable, même avec des ressources limitées. Il offre également la simplicité, qui est la meilleure amie de la sécurité.