Protéger les données, un combat économique de tous les instants

Théodore-Michel Vrangos
Cofondateur et président d’I-Tracing

La cybercriminalité est un danger économique majeur. L’explosion des données numériques lance un défi sociologique, politique, géopolitique, juridique et économique. La valeur patrimoniale de l’information augmentant, la collecte, le traitement, le partage, l’analyse, le stockage, la protection et la valorisation des données doivent s’adapter.

Sensibiliser tous les acteurs économiques. L’augmentation du nombre de données à protéger, la complexification des actifs à sécuriser et l’interconnexion des systèmes ont une incidence directe sur la protection des données. Sensibiliser chacun d’entre nous à ces problématiques, montrer les dangers pour les entreprises, convaincre chaque salarié, client et partenaire d’adopter les bonnes pratiques de sécurité apportera des réponses à la cybercriminalité. Les États eux-mêmes sont impliqués. En France, la Loi de Programmation Militaire 2014-2019 et le Pacte de Cyber Défense pour protéger les systèmes d’information civils et militaires du pays, prouvent que cette question est devenue une priorité.

Briser le mur du silence. Les cyber-infractions – contrefaçons, espionnage industriel, piratage de systèmes d’information, pillage de données sensibles, vols de données personnelles, fraudes aux moyens de paiement, téléchargements illégaux, etc. – suivent au plus près les innovations technologiques, avec souvent une forte avance sur la réactivité des organisations visées. Ces actes frauduleux procurent des gains élevés et épingler un cyberdélinquant se révèle souvent difficile à cause de l’anonymat, de l’absence de frontières sur la Toile et de l’opacité des techniques utilisées. De plus, les entreprises rechignent à dénoncer les infractions virtuelles. Bien que subissant d’importantes pertes financières, elles craignent de ternir leur image. Et les délits s’amplifient sur la Toile, avec leurs conséquences économiques ! Certains États et organismes publics pratiquent aussi l’espionnage et la surveillance comme l’a révélé le scandale récent de la NSA.

Surveiller les comptes à privilèges. L’externalisation (maintenance et exploitation), l’outsourcing de services (support, centres d’appel, etc.) ont ouvert de nouvelles failles. Le danger est d’autant plus grave qu’il s’agit souvent d’utilisateurs à privilèges (au sens informatique).

Un compte à privilèges peut faire fonctionner n’importe quel programme, effacer n’importe quel fichier, stopper n’importe quel processus… C’est dire les risques de sécurité considérables qu’engendre cette situation. La traçabilité des utilisateurs privilégiés est donc décisive. Elle implique des solutions d’accès tracés, avec le masquage des mots de passe « administrateur », la traçabilité des opérations réalisées par chaque intervenant (qui sont des comptes nominatifs et plus des comptes génériques), la création de coffres-forts de mots de passe, etc.

Comprendre a posteriori ce qui s’est passé. Pour amener les auteurs de cyber-infractions à répondre pénalement de leurs actes, il faut faciliter la détection, l’investigation et les poursuites. Chaque scène de délit numérique doit être examinée par des experts, capables d’analyser les données susceptibles d’apporter les preuves de l’intrusion et d’expliquer la méthode employée. En révélant les failles techniques et organisationnelles, l’analyse qu’ils effectuent devient un outil fondamental de repérage des fraudes.

La lutte contre la cybercriminalité est omniprésente dans notre quotidien, qu’il soit privé ou professionnel, comme le montre le piratage récent des bases de données d’Orange qui touche 800 000 d’entre nous. C’est un combat continuel. En plus des meilleures technologies à mettre en place, des tests de défense ininterrompus sont à exécuter pour découvrir les éventuels incidents. Il faut enfin prévenir les défaillances humaines et contrôler les comportements, par l’éducation permanente du personnel et des partenaires, pour empêcher l’ouverture du système d’information aux cyberdélinquants, dont les objectifs économiques ou de nuisance peuvent être catastrophiques pour l’activité et les résultats d’une entreprise.