Loading

Faut-il repenser sa stratégie sécurité en termes de fuite d’informations ?

Dans le monde de la sécurité de l’information, le modèle de la défense en profondeur a été, ces dernières années, le modèle privilégié par une grande majorité des entreprises.

Ses principes de base sont de positionner, entre l’agresseur et les informations importantes de l’entreprise, un ensemble de mesures de sécurité successives devant permettre d’arrêter, de ralentir, éventuellement d’égarer l’agresseur et, dans le même temps, de détecter puis de réagir à l’agression avant que celle-ci n’atteigne les informations sensibles.

Ce modèle, s’il n’est pas encore complétement désuet, doit, a minima, être complété dans un monde où la donnée critique peut se retrouver dans une tablette ou un smartphone personnel d’un dirigeant, accessible via Internet pour des commerciaux itinérants, ou qui peut être exploitée par un infogérant …

La dernière évolution en date et pas la moins dangereuse, est que la donnée critique peut-être partagée, échangée, et traitée dans le « Nuage » par une direction métier, attirée par une optimisation de ses coûts opérationnels. Au vu de ces évolutions, quelle est l’efficacité de notre défense avec ses firewalls, ses IDS, ses proxy, ses antivirus… ?

Face à ces nouveaux usages multiformes, multicanaux, multi-infrastructures, peut-on encore parler de défense en profondeur alors que la plupart des équipements de protection ne sont plus traversés ?

Dans le monde distribué et mutualisé qui se dessine, il va être nécessaire de revoir une grande partie de nos fondamentaux en termes de fuite d’informations car celle-ci sera elle-même multiforme et distribuée.

La sécurité devra forcément, à terme, être portée également par l’information et plus seulement par les droits des utilisateurs accédant. Des mécanismes de sécurité comme le chiffrement et le scellement viendront compléter cet arsenal. Une fois positionnés, les attributs sécurité d’une information devront la suivre quels que soient la manière dont elle est  utilisée, l’endroit où elle est stockée, les moyens permettant de la véhiculer... Les attributs de sécurité de l’objet informationnel, de l’objet technique, de l’objet utilisateur… devront être comparés et le droit d’usage autorisé en fonction de cette comparaison.

Les tentatives de mise en place de solution de DLP, première étape dans cette évolution, ont montré les difficultés auxquelles peuvent être confrontées les métiers dans la définition des comportements vis-à-vis de leurs biens informationnels. Il est plus simple de donner un droit d’usage à un individu ou à un groupe d’individu que de fixer quelles conditions d’utilisation d’une donnée sont licites et par extension celles qui sont anormales. La plupart des solutions sont utilisées pour répondre à des besoins de traçabilité  et n’ont pas encore évolué vers le blocage, probablement par peur des problématiques pouvant en découler (traitement non effectué, envoi important bloqué, VIP n’accédant plus en cas de crise…).

En synthèse, notre modèle de prise en compte de la fuite d’information doit évoluer vers une protection positionnée sur l’information. Elle nécessite une identification des usages licites des informations critiques de l’entreprise. Cette étape passe nécessairement par une prise en compte voir une formalisation des processus métier d’utilisation de ces informations critiques.

Benoit Micaud Benoit Micaud - Consultant Sécurité - Lexsi
Benoit Micaud est Consultant Sécurité Sénior chez Lexsi.
 
Sur iTPro.fr, nous vous aidons à tirer le meilleur profit de vos environnements IT. Découvrez les analyses, les chroniques et plus de 4280 dossiers experts , profitez d’un savoir technologique unique et de ressources stratégiques exclusives pour vous accompagner dans le choix, la gestion et l’optimisation de vos environnements IT Professionnels. Bénéficiez d’une richesse éditoriale incomparable et vivez toute l’actualité IT professionnelle sur twitter avec #iTProFR
 
Guide de Sécurité Byod, Mobile et Cloud en EntrepriseGuide de Sécurité Byod, Mobile et Cloud en EntrepriseCloud et Mobilité ont fait exploser l'ancestrale sécurité périmétrique qui protégeait les infrastructures. Parallèlement, l'ingéniosité, la complexité ainsi que la multiplicité des attaques sur tous les environnements ont rendu encore plus complexe la protection des systèmes et des données...Découvrez les bonnes pratiques de Sécurité

Ressources Informatiques

Libérez le Big Data et le Machine Learning Nous sommes à la veille d'un changement spectaculaire où les machines seront capables d'atteindre et même de dépasser les êtres humains dans leur…
   Comsoft | 12 pages
Découvrez l’article technique
Les 5 clés d’une stratégie mobile performante Smartphones, tablettes, PC ultra-mobiles ont libéré les utilisateurs et transformé les interactions entre les collaborateurs. Encore faut-il que l’entre¬prise…
   HPE Aruba | 4 pages
Découvrez votre Guide de Stratégie Mobile
5 étapes pour optimiser la gestion d’énergie des infrastructures IT La gestion et la supervision des infrastructures IT n’ira qu’en s’aggravant tant que les entreprises n’adopteront pas une vraie gestion dynamique…
   Top 5 Décideur IT | 4 pages
Découvrez votre livre blanc
Office 365 Version E5 en 5 avantages technologiques Collaboration, Mobilité, Cloud, pour rendre les collaborateurs plus agiles, mobiles & productifs tout en garantissant la sécurité et l’intégrité…
   Insight | 4 pages
Téléchargez le TOP 5 spécial Office 365 E5
Hyperconvergence : quels enjeux et bénéfices en 2017 ? En rupture totale avec les anciennes pratiques IT, l’hyperconvergence intéresse et séduit de plus en plus les DSI par leur approche très intégrée…
   Inmac wstore | 4 pages
Découvrez le Top 5 Décideur IT
Guide de sécurité Byod, Mobile et Cloud en entreprise Cloud et Mobilité ont fait exploser l'ancestrale sécurité périmétrique qui protégeait les infrastructures. Parallèlement, l'ingéniosité, la complexité…
   Smart DSI | 4 pages
Découvrez les 5 meilleures pratiques en entreprise
 

Informatique ProfessionnelleActualités, chroniques et dossiers IT experts

Patrick Guimonet Patrick Guimonet Spécialiste SharePoint

Aurélien Bonnin Aurélien Bonnin MVP System Center

Nicolas Milbrand Nicolas Milbrand Consultant Microsoft indépendant

Vidéos Informatiques

Répondre aux défis de l'hyper convergence ?Découvrez en vidéo motion les 5 atouts majeurs du partenariat DELL EMC et Misco-inmac…Par Itpro

Les Assises de la Sécurité 2015 : Yves Rochereau - Check PointCheck Point est une société spécialisée dans l'univers de la sécurité informatique…Par Itpro

Les Assises de la Sécurité 2015: Loïc Guezo - Trend MicroTout comme les entreprises, les administrations publiques qui englobent les Opérateurs…Par Itpro

Les Assises de la Sécurité 2015: Jean Noel de Galzain WallixA la tête d'une entreprise florissante, Wallix, Jean-Noël de Galzain est aussi…Par Itpro

Les Assises de la Sécurité 2015 : Jérôme Robert - LexsiEn quoi consiste cette nouvelle tendance de « Threat Intelligence », Jérôme…Par Itpro

Conseil & Expertise IT

Bénéficiez des analyses, des chroniques et des dossiers
de la nouvelle revue informatique SMART DSI pour conduire
la transformation numérique de votre entreprise.

Abonnez-vous à la revue SMART DSI