Sécurité de l'information
Qu'est-ce que la sécurité de l'information ?
La sécurité de l'information (SI) regroupe l'ensemble des mesures et des processus destinés à protéger les données au sein de votre organisation. Elle est nécessaire pour empêcher que des personnes non autorisées ne volent, n'altèrent ou ne détruisent les données de votre organisation. Cet article approfondit le sujet et fournit des exemples pour prendre le contrôle de votre sécurité de l'information et le conserver.
Rôle et importance de la sécurité de l'information
Dans notre société actuelle, tout repose sur l'information. Même dans les entreprises industrielles, le processus de production dépend aujourd'hui d'informations fiables. Les fuites et vols de données peuvent causer des dommages considérables, et il en va de même pour des informations modifiées à votre insu.
La protection de vos données est donc cruciale, et il ne s'agit pas uniquement des données sensibles de l'organisation telles que les informations financières et la propriété intellectuelle. La protection des données à caractère personnel des clients, élèves et employés est tout aussi critique. Toutes les données permettant d'identifier des personnes doivent toujours être stockées et traitées de manière sécurisée. Même les informations publiques publiées sur votre site web doivent être correctement protégées. Le matériel marketing, les actualités et les rapports annuels peuvent être consultés par tous, toutefois vous ne souhaitez pas qu'ils soient modifiés à votre insu.
Par ailleurs, la sécurité de l'information ne se limite pas aux données numériques. Les données conservées physiquement doivent également être sécurisées et font partie de votre sécurité de l'information. Aujourd'hui, une grande part des incidents de fuite déclarés concernent encore des données physiques telles que des courriers ou des dossiers papier.
Cela met en évidence la différence entre sécurité de l'information et cybersécurité. Les systèmes numériques manipulent par définition des données, il existe donc un fort chevauchement entre les deux notions, mais la sécurité de l'information couvre toutes les informations, y compris celles stockées sous forme de classeurs dans une armoire d'archives. Cela signifie que le contrôle d'accès physique aux espaces d'archives, par exemple, fait également partie de votre sécurité de l'information.
Exemples de mesures de sécurité de l'information
La sécurité de l'information consiste à cartographier vos risques puis à mettre en œuvre des mesures de sécurité afin de maîtriser au mieux les risques pertinents. Voici quelques exemples de telles mesures :
La gestion des accès constitue une mesure essentielle, souvent la plus importante, de la sécurité de l'information. Vous devez garder la maîtrise de qui accède aux applications et aux données dans votre environnement IT et des opérations que les utilisateurs sont autorisés à effectuer. Comme indiqué plus haut, l'accès physique compte également.
Chiffrement des données. Le chiffrement constitue une mesure importante pour empêcher que des personnes ayant obtenu un accès non autorisé à un système puissent consulter ou modifier immédiatement ces données.
Toutes les données ne présentent pas le même niveau de criticité. Une note sur les frais de cantine est naturellement moins sensible qu'un document contenant le projet de budget de l'entreprise. Grâce à la classification des données, par exemple public, confidentiel et secret, vous distinguez facilement différents types d'informations, chacun avec un ensemble de mesures de sécurité adaptées.
La gestion des appareils est importante, car les données ne sont plus uniquement stockées sur des systèmes centraux, mais aussi sur les terminaux des collaborateurs. Il peut s'agir d'ordinateurs portables, de smartphones ou de tablettes. Vous devez pouvoir administrer, sécuriser et, si nécessaire, effacer à distance les données présentes sur ces appareils en cas de vol. Cela vaut pour les équipements appartenant à l'organisation, mais aussi pour les appareils de type BYOD (Bring Your Own Device).
Une bonne protection des données commence par une gestion des informations bien organisée. Il est important non seulement de savoir où vos données sont stockées, mais aussi pendant combien de temps vous devez les conserver. La loi impose souvent des durées de conservation, mais conserver trop longtemps n'est pas souhaitable. Le risque de fuite de données augmente si vous conservez inutilement des informations. Votre gestion des sauvegardes doit également être maîtrisée pour faire face à tout incident éventuel.
Sensibilisation des collaborateurs. Malgré l'importance des mesures techniques et organisationnelles, il est tout aussi essentiel que les collaborateurs soient conscients des risques de sécurité et sachent à quoi prêter attention. De nombreux incidents restent dus non pas à un piratage technique, mais à des erreurs involontaires.
Ce ne sont que quelques exemples. Il existe bien d'autres mesures pertinentes, directement ou indirectement nécessaires pour prévenir les fuites de données. Pensez à la réponse aux incidents, aux procédures de notification, à la sécurité réseau, à la gestion des mises à jour et aux solutions anti-malware.
Gestion de la sécurité de l'information
Quelles mesures de sécurité sont utiles et nécessaires dans votre organisation ? Quelle est la cohérence entre ces différentes mesures et comment les implémenter ? Votre sécurité de l'information doit être planifiée et gérée au moyen d'un système de management cohérent de la sécurité de l'information, que l'on nomme en anglais Information Security Management System (ISMS). Un tel système vous permet d'aborder votre sécurité de l'information de manière structurée.
Vous travaillez de manière pilotée par les risques. Vous n'implémentez pas des mesures au hasard. En partant des objectifs et du fonctionnement de votre entreprise, vous analysez l'ensemble des risques de sécurité possibles, la probabilité de survenance et leur impact. Vous définissez ainsi vos priorités, puis vous concevez et déployez les mesures correspondantes.
Ce travail n'est pas ponctuel. Vous le répétez régulièrement. En fonction des mesures en place, des rapports d'incidents de sécurité et des évolutions de votre organisation et de votre environnement, vous adaptez votre sécurité de l'information. Vous modifiez certaines mesures et en implémentez de nouvelles afin de maintenir la sécurité à jour.
Normes de sécurité de l'information
Pour vous aider à définir votre stratégie et vos plans de sécurité de l'information, vous disposez aujourd'hui de nombreux référentiels. Citons la norme générale ISO 27001 et la certification HAS relative à la sécurité de l'information dans le secteur de la santé. D'autres secteurs, tels que les services financiers et l'éducation, disposent également de normes SI spécifiques à leur branche. Selon le secteur, ces normes constituent des recommandations, sont obligatoires ou requièrent même une certification.
Heureusement, ces référentiels modernes ne sont pas des listes dogmatiques d'exigences à cocher comme preuve de sécurité. Ils constituent au contraire un excellent outil pour mettre en place un Information Security Management System (ISMS) au sein de votre organisation. Ils facilitent l'analyse des risques et la mise en place d'un cycle Plan-Do-Check-Act afin de structurer et de maintenir à jour votre sécurité de l'information. Ils contiennent également des lignes directrices pratiques pour implémenter les mesures requises. Par exemple, quelles exigences définir pour votre politique de mots de passe et quels critères appliquer à la gestion de vos sauvegardes ?
Sécurité de l'information et protection de la vie privée
Nous avons déjà mentionné l'importance de la protection des données à caractère personnel, qui bénéficient d'une attention particulière dans le cadre de la législation sur la protection des données. En France, vous devez vous conformer au Règlement général sur la protection des données (RGPD), ainsi qu'à la loi Informatique et Libertés, qui complète et adapte le règlement européen en droit français. La CNIL (Commission nationale de l'informatique et des libertés) est l'autorité chargée d'en contrôler l'application. Dans ce cadre, votre organisation a diverses obligations lorsqu'elle collecte, stocke, traite et partage des données personnelles.
Une partie de ces obligations est directement liée à votre sécurité de l'information, car les données personnelles doivent être correctement protégées. Il ne s'agit pas seulement de se prémunir contre les attaquants externes. Vous ne souhaitez pas non plus accorder un accès illimité à vos propres employés. Pour prendre un exemple concret dans le secteur de la santé, à l'hôpital un médecin peut accéder aux données médicales, alors qu'un agent d'accueil ne le peut pas. Il s'agit du principe du moindre privilège, qui doit être intégré à votre sécurité de l'information.
Gardez à l'esprit que le RGPD couvre un périmètre bien plus large que la seule sécurité de l'information. Il fournit également un cadre juridique détaillant quelles données personnelles une organisation peut utiliser, à quelles fins et sous quelles conditions. Il précise aussi dans quels cas vous devez recueillir le consentement des personnes concernées, comment les informer et comment gérer les fuites de données éventuelles. Il existe donc un chevauchement entre sécurité de l'information et protection de la vie privée, mais chaque sujet a son propre rôle au sein de l'organisation.
Le rôle de l'IAM pour votre sécurité de l'information
Parmi les mesures essentielles pour maîtriser votre sécurité de l'information figure un Identity and Access Management (IAM) moderne. La sécurité d'accès numérique commence par de bonnes solutions d'authentification des utilisateurs, qui demande l'accès, et les autorisations associées, quels droits l'utilisateur obtient. Les mesures courantes incluent les identifiants et mots de passe. De nombreux mécanismes de vérification supplémentaires existent désormais, tels que l'authentification multifacteur (MFA), ainsi que des solutions biométriques comme la reconnaissance d'empreintes digitales.
Il est important de comprendre qu'au-delà de ces technologies d'accès, l'IAM est surtout un enjeu de gestion complexe. Comment faire en sorte, dans de grandes organisations dotées de multiples systèmes, que chacun n'accède qu'aux applications et données strictement nécessaires. Par exemple, vous souhaitez qu'un infirmier à l'hôpital puisse accéder aux systèmes médicaux, mais uniquement aux données des patients dont il a réellement la charge. Et vous devez le paramétrer correctement lors de l'onboarding, mais aussi lors d'un changement de poste ou de service. La situation se complique encore avec des prestataires externes qui assurent des services ad hoc dans différents services.
Vous souhaitez donc automatiser entièrement l'attribution et la gestion des droits d'accès. Vous voulez également, en tant que responsable, pouvoir vérifier et démontrer à tout moment qui dispose de quels droits et pour quelles raisons, afin d'assurer la conformité. Cette gestion automatisée des identités et des droits devient un élément de plus en plus important de votre sécurité de l'information, et des solutions IAM modernes comme HelloID y accordent une attention croissante.