Lumières sur la sécurité

jeudi 15 décembre 2016

Dans les commentaires à l'article dédié à la confiance, Mot de passe à vendre. Pas cher ", une discussion s’est engagée sur la possibilité de protéger les informations de l'entreprise. En effet, si la plupart des gens considèrent que la protection antivirus est indispensable pour les entreprises, que les données personnelles (des clients, des employés et des partenaires de l'entreprise) doivent également être protégées, le problème de protection des données de l'entreprise demeure une terra incognita. Pourquoi cela ?

Toute activité conduit à l'accumulation d'informations, et certaines représentent une valeur sur le marché noir. Ce sont les données sur les technologies industrielles, sur les projets en cours de développement, les codes source de logiciels, les données sur la situation économique et financière de l'entreprise, sur les contrats conclus et sur les contractants, sur la structure des fonds et les projets d'investissement, les plans et les campagnes de marketing en vue, sur l'analyse de la capacité concurrentielle des produits, sur les clients.....la liste est longue. De toute évidence, ces informations ne doivent pas être accessibles à des yeux indiscrets et certaines ne sont pas non plus accessibles aux employés de l’entreprise.

Quel est le problème de la protection des informations confidentielles ? Si la protection antivirus peut paraître simple, il suffit de l'installer et de renouveler la licence chaque année, la protection des secrets commerciaux en revanche, se présente comme une tâche plus compliquée.

Tout d'abord, vous devez déterminer quelle information est considérée comme un secret professionnel, et quelle information n’a pas besoin d’être protégée. Il est nécessaire de déterminer qui doit travailler avec quelles informations, où les stocker et comment en organiser l'accès.

En fait, il s'agit de l’audit et de la description des processus business de l'entreprise. Mais les processus d'affaires ne sont pas statiques, et les gens ne respectent pas toujours les règles établies. Par conséquent, il est nécessaire de surveiller le respect des procédures, de vérifier comment les employés suivent les règles adoptées et, si nécessaire, modifier les procédures établies.

On peut imaginer à quel point la tâche est difficile en prenant l’exemple des « encodeurs » (ransomwares à chiffrement) : malgré tous les efforts mis en place pour former et informer, on voit chaque jour des gens qui ouvrent un message contenant un Trojan ou visitent un lien reçu par email.

Il ne suffit pas de prendre des mesures techniques, mais également des mesures organisationnelles, tout en respectant l’équilibre entre les secrets et la possibilité de travailler correctement.

Une question simple. Est-ce qu’un administrateur système ayant accès à tous les ordinateurs de la société doit pouvoir accéder à un ordinateur sur lequel il est susceptible de trouver des documents sur son éventuel licenciement ?