Introduction

Jusqu’à présent, nous avons posé trois questions dans notre série sur la sécurité de l’information :

À ce stade, vous devriez être en mesure d'identifier vos informations les plus importantes, de les localiser et de réduire leur empreinte au minimum nécessaire pour réaliser leur valeur. La prochaine étape consiste à considérer :

Quel objectif de sécurité de l’information cherchez-vous à atteindre ?

Objectifs

Il est important de déterminer l’objectif principal de vos mesures de sécurité des informations avant de décider lesquelles mettre en œuvre. Traditionnellement, il s’agirait de l’un des trois objectifs, connus sous le nom de triade de la CIA :

Confidentialité. Protéger les informations contre tout accès ou divulgation non autorisé.
Intégrité. Protéger les informations contre toute modification ou altération non autorisée.
Disponibilité. Garantir que les activités autorisées avec les informations peuvent avoir lieu et ne sont pas refusées.

Pour les militants et les organisations à but non lucratif travaillant dans des espaces civiques fermés ou sur des questions de droits et de justice, il est souvent nécessaire d’envisager un objectif supplémentaire :

Anonymat. Protéger l'identité des parties ou les liens entre elles.

Déterminer l'objectif

Vous devez décider d’un objectif principal pour chacun de vos actifs informationnels les plus précieux et les plus sensibles. Vous pouvez alors mettre en œuvre des mesures de sécurité pour atteindre cet objectif et vous assurer que d’autres mesures de sécurité n’entrent pas en conflit avec cet objectif, ou du moins, si c’est le cas, que le risque est acceptable.

Sur une période suffisamment longue, toutes les informations seront soit rendues publiques, soit détruites. Si les informations sont publiques, les adversaires peuvent alors y accéder et le préjudice identifié peut être pratiquement certain de se produire. S’il est détruit, vous ne pourrez certainement pas l’utiliser pour réaliser le changement positif dans le monde que vos adversaires veulent éviter. Lorsque vous décidez des objectifs de vos mesures de sécurité, vous souhaiterez peut-être déterminer lequel de ces deux résultats serait le meilleur (ou le moins pire). Il existe de nombreuses façons d’échouer, alors échouez bien !

S'il était préférable que l'information soit rendue publique plutôt que détruite, alors disponibilité et intégrité sont susceptibles d'être importants ; cependant, s'il était préférable que les informations soient détruites plutôt que rendues publiques, alors confidentialité et Anonymat sont susceptibles d'être importants.

L’anonymat est généralement l’objectif le plus difficile à atteindre. De nombreuses technologies doivent utiliser des identifiants uniques pour garantir que les messages sont acheminés vers la bonne personne ou le bon appareil. Ces identifiants révèlent potentiellement la personne qui utilise un appareil, l'appareil lui-même et les parties qui interagissent. Compte tenu de la difficulté d’assurer l’anonymat, il convient de vérifier s’il n’existe pas déjà d’autres moyens d’identifier les parties ou les liens entre elles, comme les déclarations fiscales ou les virements bancaires internationaux. Si tel est le cas, l’anonymat a peut-être déjà été compromis.

Une fois que vous avez identifié votre objectif de sécurité, il peut être nécessaire de revenir sur la question posée précédemment dans cette série : où devrait l'information est-elle ? Par exemple, il peut désormais être nécessaire de mettre en œuvre des sauvegardes sécurisées, ce qui entraînera une augmentation du nombre d'emplacements où vos informations doivent se trouver.

Objectifs contradictoires

Il peut être tentant d’essayer d’atteindre la plupart – voire la totalité – de ces objectifs à chaque fois, mais cela est rarement possible. Les mesures utilisées pour atteindre un objectif n’apporteront généralement aucune amélioration pour les autres objectifs – en fait, elles les affaibliront probablement.

Prenons un scénario dans lequel l'objectif de sécurité est le confidentialité d'un actif informationnel (c'est-à-dire que vous souhaitez le protéger contre tout accès non autorisé). C’est généralement le premier (et le seul) aspect de la sécurité de l’information auquel les gens pensent. En général, le cryptage constitue une excellente mesure de sécurité pour atteindre cet objectif. Mais supposons qu’il n’existe qu’une seule copie des informations et qu’elles soient cryptées : que se passe-t-il si vous oubliez le mot de passe ? Cet actif informationnel n'est plus accessible, donc disponibilité est négativement impacté (c'est-à-dire que les activités autorisées avec les informations ne peuvent pas avoir lieu).

Inversement, si disponibilité est l'objectif de sécurité, vous pouvez distribuer plusieurs copies des informations à de nombreux endroits afin d'y parvenir. Mais la probabilité d’une violation augmente alors considérablement, et ainsi confidentialité est négativement impacté. (Remarque : la disponibilité peut bien entendu être compromise sans que la confidentialité soit violée, par exemple dans le cas d'une attaque par déni de service distribué.)

Dans ces scénarios, assurer à la fois la confidentialité et la disponibilité en toute confiance est un défi.

Une note sur la collaboration

Comme indiqué précédemment, les informations peuvent se trouver dans divers états et emplacements. Certains d’entre eux seront sous votre contrôle, d’autres sur lesquels vous aurez un contrôle limité et d’autres sur lesquels vous n’aurez aucun contrôle. Pour réaliser la valeur de vos informations, vous devrez peut-être les partager avec une autre organisation. Malheureusement, vous ne pouvez pas garantir qu’ils ont le même objectif de sécurité des informations que vous et qu’ils mettent en œuvre des mesures de sécurité équivalentes. Si ces informations sont sensibles, vous devrez d’abord réfléchir à l’opportunité de les partager avec eux.

N’oubliez pas que vos adversaires ne limiteront pas leur attention à vous ou à votre organisation, mais qu’ils examineront plutôt la situation dans son ensemble, car ils pourront peut-être atteindre leurs objectifs sans vous impliquer du tout.

Pour aller plus loin

Vous devez supposer que les adversaires sont rationnels et chercheront à trouver des vulnérabilités qui portent atteinte à la confidentialité, à l’intégrité, à la disponibilité et à l’anonymat de vos informations précieuses et sensibles. Ce n’est peut-être pas eux qui sont à l’origine de la violation, et la publication de vos informations dans un vidage de données non ciblé (ou même involontairement par vous) peut être tout aussi nuisible. De même, la violation peut provenir d’une organisation partenaire et ne pas être sous votre contrôle.

Qu’elle soit ciblée ou non, une attaque se concentrera là où la sécurité de vos informations est faible et non là où elle est forte. Votre approche doit correspondre à cette rationalité. Cela commence par identifier l’objectif de vos mesures de sécurité. Lorsque vous savez quelles mesures de sécurité doivent atteindre, vous pouvez prendre une décision éclairée et rationnelle sur ce qu’il faut mettre en œuvre, et également accepter les inévitables inconvénients qui accompagnent ces mesures.

Dans le prochain article, nous examinerons les types de mesures de sécurité que vous pourriez envisager.