Les raisons de se préoccuper de la cybersécurité de l’entreprise sont multiples. Il ne saurait être question de faire l’économie d’une réflexion approfondie sur ce sujet qui se décline dans de nombreux domaines.
Les révélations, il y a moins d’un an, concernant le programme confidentiel de surveillance PRISM opéré par l’Agence de Sécurité Nationale (NSA) des Etats Unis ont sans doute été le déclencheur d’une préoccupation latente depuis longtemps. Alors que le Cloud (l’informatique dans les nuages) tend a devenir un standard il est essentiel de se prémunir sur la sécurité des données qui y sont stockées, en termes de piratage, de récupération (défaillance éventuelle de l’opérateur), de vol d’identité ou de données sensibles et de propriété intellectuelle de ces données. En effet, le coût de la cybercriminalité est particulièrement élevé pour les entreprises attaquées, selon une enquête récente de Dell. Et en cas d’attaque, il faut en moyenne 7 heures (9 heures en France) avant d’identifier la nature de la brèche de sécurité et réagir.
La question des objets connectés à internet est importante, surtout dans le secteur industriel lourd. En 2008 un adolescent de 14 ans, à Lodz dans le centre de la Pologne, avait construit un émetteur à rayons infrarouges permettant de modifier à distance l’aiguillage des rails de trams, comme dans un jeu grandeur nature. Il a ainsi fait dérailler plusieurs tramways, causant notamment un accident qui a fait douze blessés. Cet exemple donne une idée des enjeux pour le monde industriel. La plupart des équipements industriels sont pilotés par des SCADA (Supervisory Control and Data Acquisition), c’est à dire des automates programmables qui ont été conçus par des automaticiens par nécessairement enclins à prendre en compte les aspects de sécurité. Pour ne citer que des sujets sur lesquels il m’ a été donné de travailler, l’automate de pilotage d’une presse d’emballage de produits textiles, le SCADA de supervision d’un réseau urbain de distribution d’eau ou un four de cimenterie sont des équipements industriels potentiellement concernés. Le risque est d’autant plus fort que ces équipements industriels ont une durée de vie longue, sont de conception souvent ancienne et qu’il n’est pas envisageable de les remplacer rapidement pour des raisons économiques évidentes. Face à la soudaineté des attaques, le système de défense doit être mis en œuvre rapidement; de ce fait il ne peut reposer uniquement sur l’action humaine. Selon les experts de ces question il faut envisager à terme une supervision entièrement automatique de la sécurité, par analyse comportemental des flux par exemple. Pour faire face à ces menaces l’Agence nationale de la sécurité des systèmes d’information (ANSSI) développe des actions d’information et des guides d’intervention.
De façon plus quotidienne l’utilisation régulière d’internet doit également donner lieu à réflexion. Si l’usage de Google ne peut être évité il doit au moins être contrôlé, qu’il s’agisse des courriels ou des traces laissées sur le moteur de recherche. Pour éviter d’être pisté on veillera à choisir un moteur confidentiel.
Et si vous avez envie, pour une raison ou une autre, de supprimer toutes traces de vous sur la toile, ce n’est pas forcément simple, mais c’est possible. Vous trouverez des explications sur ce billet qui vous explique comment effacer toutes traces de vous sur Internet.
Les acteurs de la petite entreprise qui voudraient approfondir ce thème pourront consulter en ligne l’ouvrage « La sécurité informatique pour les nuls » (76 pages) téléchargeable à la même adresse.
Activeille 