Aller au contenu

Sécurité de l'information

Un article de Wikipédia, l'encyclopédie libre.
Si ce bandeau n'est plus pertinent, retirez-le. Cliquez ici pour en savoir plus.
Si ce bandeau n'est plus pertinent, retirez-le. Cliquez ici pour en savoir plus.

Cet article ne cite pas suffisamment ses sources ().

Si vous disposez d'ouvrages ou d'articles de référence ou si vous connaissez des sites web de qualité traitant du thème abordé ici, merci de compléter l'article en donnant les références utiles à sa vérifiabilité et en les liant à la section « Notes et références ».

En pratique : Quelles sources sont attendues ? Comment ajouter mes sources ?

Symbole de sécurité de l'information
Symbole de sécurité de l'information.

La sécurité de l'information est un ensemble de pratiques visant à protéger des données.

La sécurité de l'information n'est confinée ni aux systèmes informatiques, ni à l'information dans sa forme numérique ou électronique. Au contraire, elle s'applique à tous les aspects de la sûreté, la garantie, et la protection d'une donnée ou d'une information, quelle que soit sa forme.

Définition

[modifier | modifier le code]

La plupart des définitions de la sécurité de l'information tendent à cibler, quelquefois exclusivement, sur des utilisations spécifiques ou des médias particuliers. En fait, la sécurité de l'information ne peut pas être définie comme synonyme de la sécurité informatique, de la sécurité système et réseau, de la sécurité des technologies de l'information, de la sécurité du système d'information, ou de la sécurité des technologies de l'information et de la communication.[réf. souhaitée]

Chacune de ces expressions traite d'un sujet différent, même si le point commun concerne la sécurité de l'information dans quelques-unes de ses formes (ici, sous sa forme électronique) : par conséquent, tous sont des sous-domaines de la sécurité de l'information[1].

Histoire

[modifier | modifier le code]

Époque romaine

[modifier | modifier le code]

La sécurité de l’information trouve son origine dans le monde militaire. Déjà à l’époque de Jules César, les généraux militaires étaient conscients qu’ils devaient protéger la confidentialité et la fiabilité de leurs communications et les informations transmises. Pour assurer la sécurité de leurs communications ont été mises en place les premières formes de cryptographie avec le chiffre de César, ainsi que des procédures strictes et une sécurité physique (surveillance)[2].

XIXe siècle

[modifier | modifier le code]

Au milieu du XIXe siècle, les premiers systèmes de classification ont été mis au point pour diviser l’information en en différentes classes selon sa sensibilité qui devaient être protégées par différentes mesures.

XXe siècle

[modifier | modifier le code]

La Première et la Seconde Guerre mondiale ont été un vecteur de l’accélération de la sécurité de l’information, la cryptographie hors ligne, la sécurité physique et des procédures strictes mais également l’utilisation des machines électromécaniques portables servant au chiffrement et au déchiffrement de l'information (tel qu'Enygma)[3].

À la fin du XXe siècle, l’information s’est développée de plus en plus sous forme numérique, menant à de nouvelles contraintes relatives à la sécurité de l’information. Pour assurer la sécurité informatique ou cybersécurité ont été mises en œuvre les mesures TEMPEST, la sécurité du réseau (ex. Les pare-feu), le cryptage en ligne (ex.VPN), le contrôle de l’identité et des accès ainsi que le développement du chiffrement par clé, principe développé par Auguste Kerckhoffs, aujourd'hui utilisé sous forme de chiffrement symétrique et chiffrement asymétrique[4].

XXIe siècle

[modifier | modifier le code]

Au XXIe siècle, la majorité des organisations dispose d’un système d’information connecté à Internet[5] et échange des informations via celui-ci. Les informations peuvent donc être amenées à circuler à travers une interconnexion de réseaux. Cette interconnexion est donc d’autant plus exposée aux risques de malveillance pour accéder aux informations sensibles depuis l’intérieur (copie de l’information, utilisation de code malveillant) et depuis l’extérieur.[réf. souhaitée]

Par conséquent, face à ces risques la sécurité de l’information pousse à développer des concepts, tel que l’étiquetage des données[Quoi ?], le chiffrement à clés publiques [6](PKI) et la sécurité multiniveau (MLS).

En complément des problèmes de liaison entre les réseaux, il est de plus en plus facile de déplacer de grandes quantités d’informations (et ce de façon relativement difficile à détecter dans le cas de piratage informatique) mais également de les transporter de manière physique via des clés USB ou carte mémoires. Par conséquent, les systèmes d’information contenant des informations sensibles sont de plus en plus conçus comme un environnement System high mode (en), c’est-à-dire souvent des réseaux séparés sans connexion à d’autre réseaux et sans ports USB.[réf. souhaitée]

System high mode : Mode de fonctionnement de la sécurité du système d'information, où l'accès direct ou indirect de chaque utilisateur au système d'information, à ses équipements périphériques, au terminal distant ou à l'hôte distant présente toutes les caractéristiques suivantes : 1) L'autorisation de sécurité est valable pour toutes les informations du système d'information; Pour toutes les informations stockées et / ou traitées (y compris tous les compartiments, sous-compartiments et / ou procédures d'acquisition spéciales) l'approbation formelle d'accès et les accords de confidentialité signés; 3) Il est nécessaire de savoir si certaines informations contenues dans le système d'information sont valides. Raison: Suppression du système avancé et d'autres termes connexes.[1]

Critères de sensibilité

[modifier | modifier le code]
Représentation de la triade Disponibilité (D), Intégrité (I) et Confidentialité (C).

Trois critères de sensibilité de l'information sont communément acceptés : Disponibilité, Intégrité et Confidentialité[7].

Un quatrième est aussi souvent utilisé (sous différents noms) : Traçabilité, Imputabilité, Auditabilité (se référant aux audits informatiques) ou Preuve.[réf. souhaitée]

Un cinquième est également utilisé : Non-répudiation, qui permet d’assurer les échanges entre l’envoyeur et le destinataire.[réf. souhaitée]

Risques et Menaces

[modifier | modifier le code]

Les risques liés aux données sont de deux sortes :

  • Les risques d'intelligence : L'accès des données permet soit d'avoir un avantage politique, économique, industriel ou militaire ; soit d'obtenir des informations privés que la source souhaite garder confidentielle (donnant lieu à une négociation forcée ou "chantage")
  • Les risques de corruption de données, sont liées à des problématiques d'effacement, de perte/destruction du support ou de chiffrement (la remise clef de "déchiffrement" étant en général liée au paiement d'une rançon)

Les risques de corruption de données peuvent avoir des origines internes (mauvaise manipulation, perte de matériel, obsolescence non maîtrisée, erreur de copie ou de sauvegarde, etc.). Néanmoins, un des principaux risques est l'accès volontaire à des données privées, c'est ce que l'on appelle le piratage informatique.

Piratage informatique logiciel

[modifier | modifier le code]
Article détaillé : piratage informatique logiciel.

Le piratage informatique logiciel vise essentiellement le vol de propriété intellectuelle, le vol d'identité, le vol d'appareils ou d'informations, l'attaque de logiciels, la destruction et l'extorsion d'informations. Il est effectué via l'utilisation de programmes malveillants tels que les virus[8], vers, les attaques d'hameçonnage[9] (phishing) et les chevaux de Troie.

Piratage informatique matériel

[modifier | modifier le code]

Via l'amélioration des protections logicielles (pare-feu, antivirus, ségrégation des réseaux, éducation des utilisateurs, etc.) les attaques logicielles peuvent devenir très complexes. Aussi l'accès direct à du matériel contenant des données sensibles devient une solution alternative. Les principaux moyens d'acquisition sont le vol et la récupération (légale) de matériel usagé, notamment sur les sites de revente de matériel électronique. Il n'est d'ailleurs pas rare de pouvoir acheter à bas prix de vieux disques durs, pouvant avoir anciennement été sur des serveurs d'entreprises.

Afin de prévenir ce risque, les données enregistrées sur des supports de stockage physiques sont au préalablement chiffrées, ce qui permet d'éliminer ce risque. Sauf si des personnes malintentionnées parviennent à obtenir la clef de chiffrement. Cependant il faut bien déchiffrer ces données pour les afficher ou pour être exploitées (ex. le code d'un programme informatique). Il existe donc des puces de chiffrement qui ont leur clef directement intégrée à la fabrication et en théorie inaccessible. Cependant, par des techniques de pointe il est possible pour une personne malintentionnée d'observer le fonctionnement de la puce effectuant le chiffrement, cette observation ne concerne pas les entrées - sorties directes de la puce, car mathématiquement les méthodes de chiffrement sont assez robustes, mais des signaux dérivés, dit "auxiliaires" (consommation de courant, émissions électromagnétiques des transistors lors de leur commutation, rayonnement infrarouge, etc...). On parle alors d'attaque par canal auxiliaire ou SCA (Side Channel Attack).

Il existe un secteur lié à la veille des attaques matérielles permettant d'anticiper et d'assurer la bonne robustesse des composants électroniques effectuant des actions de chiffrage, c'est la "Sécurité des Circuits Intégrés" (IC Security). Ce domaine est constitué de deux familles d'acteurs :

  • les créateurs ou fabricants de circuits intégrés de chiffrement, dont le but est de créer des protections contre les attaques matérielles.
  • les laboratoires d'expertises permettant de vérifier l'efficacité de ces protections.

Exploitation des données piratées

[modifier | modifier le code]

L'usurpation d'identité est une tentative d'obtenir les informations personnelles d'une autre personne en tant que quelqu'un d'autre ou de les utiliser pour obtenir des informations importantes via l'ingénierie sociale. Étant donné que la plupart des appareils sont aujourd'hui amovibles[10], le vol d'appareils ou d'informations est de plus en plus courant, et facile à voler. À mesure que la capacité des données augmente, le vol devient plus probable.

Les gouvernements, les militaires, les entreprises, les institutions financières, les hôpitaux, les organisations à but non lucratif ont accumulé de grandes quantités d'informations confidentielles sur leurs employés, clients, produits. Si des informations confidentielles sur les entreprises clientes ou les conditions financières ou de nouvelles gammes de produits tombent entre les mains de concurrents ou de pirates informatiques, les entreprises et leurs clients peuvent subir des pertes financières importantes et irréparables et nuire à la réputation de l'entreprise. D'un point de vue commercial, un équilibre doit être trouvé entre la sécurité de l'information et le coût.

Pour les individus, la sécurité de l'information a un impact significatif sur la vie privée, et les perceptions des personnes à l'égard de la vie privée sont très différentes selon les cultures.

Sureté des systèmes physiques

[modifier | modifier le code]

Comme vu au chapitre des menaces, de plus en plus de sociétés accumulent de plus en plus de données sensibles. Les sécurités informatiques logicielles augmentant, l'attaque de matériel physique peut devenir une solution plus simple.

Sécurité au niveau européen

[modifier | modifier le code]

Le règlement no 2016/679, dit également Règlement général sur la protection des données (RGPD) est entré en vigueur le .

L’ENISA, l'Agence de l’Union européenne pour la cybersécurité, est un centre d’expertise en matière de cybersécurité en Europe. Elle aide l’Union européenne (UE) et les États membres à être mieux équipés et préparés pour prévenir et détecter les problèmes de sécurité de l’information et y répondre.

Conformément aux règlements (UE) no 460/2004 et no 526/2013 concernant l’Agence de l’Union européenne pour la cybersécurité, l'ENISA comporte un directeur exécutif, un conseil d'administration, un conseil exécutif et un groupe permanent des parties prenantes.

Concernant le fonctionnement, les activités quotidiennes de l'Agence sont présentées dans son programme de travail annuel, qui est préparé après de vastes consultations avec le conseil d'administration et le bureau exécutif.

L'ENISA a également mis en place un solide réseau de parties prenantes dans les secteurs public et privé. Ce réseau est axé sur :

  • l'expertise : anticiper les défis émergents concernant la sécurité des réseaux et de l'information, en tenant compte de l'évolution de l'environnement numérique, et aider l'Europe à y faire face ;
  • la politique : aider les États membres et les institutions de l'UE à élaborer et mettre en place les politiques nécessaires pour respecter les exigences juridiques et réglementaires concernant la sécurité des informations au niveau national ;
  • la capacité : aider l'Europe à se doter des meilleures capacités qui soient en matière de sécurité des réseaux de l'information ;
  • la coopération : améliorer la coopération entre les États membres et les organismes chargés de la sécurité des informations au niveau national.

L'ENISA travaille en étroite collaboration avec Europol et le Centre européen de lutte contre la cybercriminalité (EC3)EN sur des travaux de recherche et de communication communs[11]

Notes et références

[modifier | modifier le code]
  1. ↑ Isabelle Walsh Michel Kalika Carine Dominguez-Péry, Les grands auteurs en systèmes d'information, EMS Editions, , 628 p. (ISBN 9782376871309, lire en ligne)
  2. ↑ (en) Dennis Luciano et Gordon Prichett, « Cryptology: From Caesar Ciphers to Public-key Cryptosystems », The College Mathematics Journal, vol. 18, no 1,‎ , p. 2–17 (ISSN 0746-8342 et 1931-1346, DOI 10.1080/07468342.1987.11973000, lire en ligne, consulté le )
  3. ↑ Jérôme Segal, Le zéro et le un : histoire de la notion d'information au XXe siècle. Volume 2, (ISBN 978-2-919694-05-1 et 2-919694-05-7, OCLC 1048621603, lire en ligne)
  4. ↑ Camille Bosqué, « Tor, la face chiffrée d'Internet », Vacarme, vol. 69, no 4,‎ , p. 79 (ISSN 1253-2479 et 2107-092X, DOI 10.3917/vaca.069.0079, lire en ligne, consulté le )
  5. ↑ « A Brief History of the Internet », sur www.usg.edu (consulté le )
  6. ↑ Jason Andress, The basics of information security : understanding the fundamentals of InfoSec in theory and practice, (ISBN 978-0-12-800812-6, 0-12-800812-1 et 0-12-800744-3, OCLC 880706587, lire en ligne)
  7. ↑ Marko Cabric, « Confidentiality, Integrity, and Availability », dans Corporate Security Management, Elsevier, (ISBN 978-0-12-802934-3, lire en ligne), p. 185–200
  8. ↑ James M. Stewart et Darril Gibson, CISSP, John Wiley & Sons, , 936 p. (ISBN 978-1-118-46389-5, OCLC 796384204, lire en ligne).
  9. ↑ Peter Stavroulakis et Mark Stamp, Handbook of information and communication security, Springer, (ISBN 978-3-642-04117-4, 3-642-04117-5 et 1-282-83731-1, OCLC 663093967, lire en ligne)
  10. ↑ Eric A. Enge, « Are Links Still A Powerful Google-Ranking Factor? », International Journal of scientific research and management,‎ (ISSN 2321-3418, DOI 10.18535/ijsrm/v4i11.09, lire en ligne, consulté le )
  11. ↑ (en) « European Union Agency for Cybersecurity (ENISA) », sur europa.eu.

Annexes

[modifier | modifier le code]

Articles connexes

[modifier | modifier le code]

Normes ISO

[modifier | modifier le code]

Liens externes

[modifier | modifier le code]
Ce document provient de « https://fr.wikipedia.org/w/index.php?title=Sécurité_de_l%27information&oldid=218846031 ».