L’événement survenu en 2013 dont les tribulations ont entraîné un bouleversement des consciences : le monde redécouvrait les thèses de George Orwell dans 1984 à propos de la nécessité de sécuriser les infrastructures informatiques et les télécommunications. Il fallait donc revenir sur cet épisode avec une synthèse des répercussions de cette affaire et quelques conseils pour assurer sa sécurité informatique.
Sécuriser ses systèmes d’information
L’espionnage développé par la NSA a mis en pratique une recette extrêmement simple et semble incriminer la faiblesse des protections des systèmes de protection développés par les organisations comme l’Union Européenne et de nombreux Etats. Cette recette, est celle du cheval de Troie : une technique vieille comme le monde, qui, à notre grand dam, fonctionne comme à ses débuts. Ulysse s’introduisant dans la citée imprenable avec une astuce simplement élaborée et une poignée de soldats pour s’emparer de toutes les richesses de Troie. La NSA a organisé la collecte des métadonnées en utilisant des accès cachés dans de nombreux logiciels, applications, réseaux sociaux et smartphones… La faisabilité technique du Man in The Middle était connue mais personne n’imaginait qu’une organisation puisse la mettre en oeuvre à l’échelle planétaire.
Les systèmes d’information des grandes entreprises et des organisations gouvernementales ont ainsi été bernés par l’assurance d’un “pare-feu” à toute épreuve, sans questionner la possibilité que les systèmes de sécurité eux-mêmes soient corrompus. Pire, les médias ont révélé que des protections basiques n’étaient pas mises en place. Un bouclier, plutôt une passoire facilement pénétrable puisque de nombreux ordinateurs et téléphones des parlementaires et haut placés sans que les protections supposées aient pu être efficaces.
Par sa définition, l’information n’est autre qu’un flux par lequel une société échange des données qu’elle valorise économiquement, des informations qui renseignent sur sa stratégie, et pour qui saura les récolter et les analyser, seront un avantage décisif dans la guerre économique. Il est donc primordial de sécuriser ses systèmes d’information et de contrer toute menace par des protections adaptées.
La mobilité : une évolution productive pour l’entreprise, une révolution pour le piratage
Dans un monde en mobilité, on aperçoit les nombreux avantages des terminaux permettant de continuer à travailler en mobilité. Un atout productif utile à créer plus de valeur. Mais face aux risques liés à cette nouvelle utilisation les systèmes d’information adoptent souvent la règle de l’interdiction pour éviter d’exposer l’ensemble d’une organisation.
L’exemple de ce risque lié à l’utilisation de smartphone dans un cadre professionnel : les dérives liées à l’usage privée de ces derniers. Une bataille perpétuelle des responsables en sécurité informatique que l’on comprend mieux par cette information insolite : Angry Birds, le jeu-vidéo le plus téléchargé sur smartphone/tablette et accessoirement disponible sur tous les systèmes d’exploitation pour mobile et tablettes, exportait des métadonnées récupérées par la NSA. Des informations telles que la localisation, de nombreuses données personnelles, les historiques de communication, des pages web, etc. Angry Birds, n’était en définitive pas le seul “mouchard” utilisé, des applications très grands publics comme Facebook ont contribué à exporter quantités de données privées à l’insu des utilisateurs.
Alors qu’un cadre des renseignements américains qualifiait les applications comme Angry Birds de “mines d’or”, la sécurité des outils en mobilité se transforme en un véritable enjeu moderne. Une problématique qui n’est pas tout à fait neuve, puisqu’elle a débuté avec les ordinateurs portables, des machines renfermant de nombreuses informations professionnelles, souvent connectés à des réseaux wi-fi publics. Si un collaborateur en déplacement nécessite un support pour continuer à travailler, la multiplication des terminaux mobiles entraîne un accroissement du risque.
La forte tendance du BYOD (Bring Your Own Device) pour une gestion simplifiée de tous les terminaux mobiles par les DSI, a permis une meilleure appropriation des outils par les salariés. C’est également un excellent moyen de réduction des coûts. Une véritable problématique entre sécurité opposée à un souci de simplification, de réduction des coûts et une quête de productivité.
Ainsi, quel choix pour conserver des outils productifs sans mettre en danger toute son intelligence économique ? La réponse pourrait être située à mi-chemin entre le contrôle total et le BYOD, des outils à usage professionnel et privé dont l’entreprise garde le contrôle et le suivi en termes d’utilisation.
Jouer la carte de l’intelligence économique
L’intelligence, une notion dont la définition porte souvent à confusion. On lui adapte ici un sens qui a trait à l’information. A savoir, la mise en place d’un système d’information capable de gérer les données de manière pertinente et sécurisée. L’intelligence réside dans l’organisation d’un réseau, une organisation pensée pour optimiser le partage de l’information tout en la protégeant en cas d’intrusion.
On prend pleinement conscience de cette nécessité de penser dans le sens de l’intelligence économique lorsqu’il est question de guerre économique et d’espionnage industriel en guise de concurrence. Puisque d’un simple dossier peut dépendre l’avenir et l’innovation de toute une industrie, face à une compétition sur tous les plans, il est logique que les entreprises, et même les États s’attaquent aux infrastructures et aux réseaux informatiques pour dérober des données d’une grande valeur stratégique et économique.
Il est alors question de se préparer à l’espionnage dans un jeu où l’espion à l’avantage. En outre, l’idée machiavélique que “la fin justifie les moyens” a été logiquement reprise par la NSA. Mais elle est clairement à remettre en question par la publicité dont ont souffert les sociétés ayant pris part à l’espionnage massif, les sociétés américaines qui ont pu être avantagées sont depuis peu boycottées et exclues des mises en concurrence. Au final même s’il est quasiment impossible de se protéger d’un espionnage massif au niveau d’un Etat, il y a des règles basiques pour bien se protéger où il faut avoir un comportement adapté lié aux données sensibles et au nomadisme. On verra également les systèmes à double facteur et la traçabilité des accès sur ses comptes pour limiter les possibilités d’intrusion. Enfin, il est urgent de concevoir un « cloud souverain » pour permettre un meilleure sécurité « Etat » contre « Etat ».
Découvrez également nos formations en sécurité informatique et n’oubliez pas de suivre également Philippe de Demos, notre expert en formation informatique sur les réseaux sociaux.
