Fondamentaux de la sécurité et défense en profondeur

Les praticiens de la sécurité ne le répéteront jamais assez : assurer un niveau de sécurité acceptable d'un (ou de plusieurs) Système d'Information ne peut et ne doit désormais plus reposer sur l'erreur originelle consistant à uniquement établir puis à se reposer sur une défense aux frontières.

Plus couramment connue sous le nom de défense périmétrique, celle-ci peut être considérée comme l'une des causes majeures de ce qui apparait comme l'échec (1) patent de l'industrie de l'informatique (au sens large). Cette industrie a imposé un modèle, non-remis en cause jusqu'à présent, truffé de vulnérabilités et d'interactions logicielles, souvent non-maîtrisées, accompagnées d'errements technologiques. L'ensemble concourant à conforter un juteux business. 

Ces dernières années, nombre de responsables d'entreprises et de conseils d'administration ont appris à leurs dépens que traiter la sécurité comme la 5ème roue du carrosse ou comme une variable d'ajustement, au profit d'autres départements (2), pouvait causer un tort en terme d'image de marque ou, pire, leur coûter beaucoup d'argent (3). De fait, l'alpha et l'oméga gravitent quelque part du côté de ces deux règles : 1) le retour aux fondamentaux ("Back to basics") souligné par le Directeur général de l'ANSSI en 2011 aux Assises de Monaco 2) la défense en profondeur indispensable pour empêcher de se faire "trouer" son S.I. même et peut-être surtout par un script-kiddie.

A l'heure actuelle, c'est peut-être ce que se disent les responsables de l'entreprise Blue Cross Blue Shield of Tennessee (espérons-le) ?! Cette compagnie d'assurance médicale américaine n'a rien trouvé de mieux que de se faire voler une cinquantaine de disques durs, évidemment non chiffrés, contenant les dossiers de plus de 1 million d'assurés. Ces disques étaient, là aussi évidemment, stockés dans une pièce sans aucune mesure d'accès restreint ou protégé. Nous ferons ici l'économie d'évoquer des mesures organisationnelles, complémentaires aux deux mesures techniques précitées et qui, mises en œuvre, auraient probablement pu éviter ce type d'incident. Qui, sachez-le, se produit plusieurs fois par jour et dans de nombreux pays...

(1) le lecteur averti s'en référera à l'excellente série consacrée au sujet sur le site de l'Alliance Géostratégique
(2) probablement utiles voire stratégiques mais pas nécessairement vitaux (au contraire du S.I., justement
(3) Sony appréciera sans doute !

Les effets inattendus de l'Hadopi

PC Inpact a relayé une information plutôt cocasse. Lors d'une conférence organisée à Londres le 23 avril par la Creative Coalition Campaign (CCC - c'est...doublement cocasse), en charge de réfléchir sur la délinquance IP, pardon du piratage par des internautes, dans le domaine des "industries créatives", la présidente de l'Hadopi a exposé le retour d'expérience de la Haute Autorité, unique au monde et dans son genre.

(La présidente de l'Hadopi Marie-Françoise Marais lors de la CCC à Londres)

Parmi les chiffres, les statistiques et un état des lieux de la législation dans 3 pays européens, on retiendra surtout l'un des effets inattendus de l'Hadopi dont on peut se demander s'il s'agit d'une provocation, d'un aveu ou d'un véritable satisfecit (voire les 3 à la fois) ?! 

La Hadopi aurait donc "enseigné aux consommateurs comment protéger leurs réseaux Wi-Fi" ! Et, dans une impeccable manœuvre oratoire, l'Autorité se voit même à l'avenir comme « un processus à long terme qui viendrait éduquer et soutenir la majorité des consommateurs respectueux de la loi plutôt que de cibler une minorité de pirates déterminés ». Le doute n'est plus permis : l'Hadopi a aussi une mission préventive en qui concerne les bonnes pratiques de sécurité** pour la foule des idiots*. Nous voilà rassurés !

* on ne peut être qu'idiot, délinquant ou pirate.

** que les plus malins n'ont pas attendu (ici et là).