Principles of Information Security

C'est le manuel qui forme les professionnels de la sécurité aux États-Unis et dans de nombreux pays anglophones. Si vous cherchez une façon structurée et défendable de penser la protection de l'information — pas seulement des outils, mais des cadres, des lois et des mathématiques — voici le fondement. Étudiants, responsables informatiques et quiconque prépare des certifications de sécurité utiliseront ces modèles pendant des années.

1. 1Chapitre 1

   Le triangle qui gouverne la sécurité

   Des années 1970 nous viennent trois lettres — C, I, A — pour confidentialité, intégrité et disponibilité. Whitman et Mattord présentent ce triangle C.I.A. comme la norme de l'industrie en matière de sécurité informatique depuis les années 1970. Trois côtés, une seule figure : garder les secrets secrets, garder les données exactes, garder les systèmes en marche. Les auteurs poussent ensuite plus loin, en élargissant dans le texte le triangle pour y ajouter l'authentification, l'autorisation et la responsabilité (accountability).

   L'idée

   Si le triangle perdure, c'est parce qu'il force un choix : chaque contrôle que vous achetez sert au moins l'un de ses côtés, et chaque défaillance en brise au moins un. L'ajout de l'authentification, de l'autorisation et de la responsabilité répond à une question que les trois notions d'origine laissent ouverte — qui a fait quoi, et en avait-il le droit ? La figure est assez simple pour tenir sur un tableau blanc et assez exigeante pour servir d'étalon à l'audit d'une entreprise tout entière.

   À essayer : Choisissez un système que vous gérez et étiquetez chaque contrôle existant avec la propriété C.I.A. qu'il protège — tout ce qui reste sans étiquette est une faille.

2. 2Chapitre 1

   Les vingt-sept cases du cube

   Le triangle a un défaut : il décrit quoi protéger, mais ni quand ni comment. Les auteurs introduisent donc le modèle NSTISSC — du National Security Telecommunications and Information Systems Security Committee — représenté sous la forme d'un cube 3x3x3. Vingt-sept cases, chacune figurant l'intersection d'une caractéristique de l'information, d'un état de l'information et d'une mesure de sécurité. Chaque case est une question à laquelle l'organisation doit répondre.

   L'idée

   La force du cube, c'est l'exhaustivité. Une équipe qui ne raisonne qu'en termes de triangle peut chiffrer les données en transit et oublier celles au repos ; le cube rend cette omission visible sous la forme d'une case vide. Il transforme la sécurité, d'une liste d'outils à cocher, en une grille de couverture où les lacutes sautent aux yeux, géométriquement.

   À essayer : Esquissez la grille 3x3x3 pour vos propres données et marquez les cases que vos contrôles actuels couvrent réellement.

3. 3Chapitre 2

   Douze façons dont tout peut dérailler

   Le chapitre 2 déploie la taxonomie des menaces : douze catégories de menaces pesant sur la sécurité de l'information. Actes d'erreur ou de défaillance humaine. Actes de la nature. Déviations de la qualité de service par les fournisseurs de services. Espionnage ou intrusion. Défaillances techniques du matériel ou des logiciels. Extrémisme idéologique, politique ou religieux. Ignorance ou mauvaise utilisation. Extorsion d'informations. Sabotage ou vandalisme. Attaques logicielles. Défaillances ou erreurs techniques du matériel. Vol.

   L'idée

   La valeur de cette taxonomie tient à son ampleur. Les défenseurs fixent instinctivement les pirates — les attaques logicielles — tandis que la liste rappelle discrètement que la météo, l'incompétence ou le service défaillant d'un prestataire peuvent causer des dégâts tout aussi graves. Nommer douze catégories maintient un programme de sécurité honnête quant au nombre de directions d'où peut venir l'ennui.

   À essayer : Dressez la liste de vos cinq menaces principales, nommément, à partir de ces catégories, et vérifiez si votre budget actuel couvre les cinq.

4. 4Chapitre 2

   L'escroc à la réception

   Un appelant à la voix assurée, à l'histoire plausible, et une seule question : c'est quoi votre mot de passe ? Le texte décrit l'ingénierie sociale comme « le processus consistant à utiliser des compétences sociales pour convaincre des personnes de divulguer des identifiants d'accès ou d'autres informations de valeur ». Kevin Mitnick apparaît comme un exemple célèbre d'ingénieur social — un homme qui a percé des systèmes non pas en craquant le code, mais en craquant les gens.

   L'idée

   L'ingénierie sociale importe parce qu'elle contourne chaque contrôle technique. Le chiffrement le plus solide ne sert à rien si un employé remet la clé. Le cadrage du livre rend clair que la vulnérabilité ne réside pas dans le logiciel mais dans la conversation — ce qui signifie que la formation à la sensibilisation est une technologie de sécurité au même titre que n'importe quel pare-feu.

   À essayer : Faites un exercice de cinq minutes : demandez à un collègue de vérifier l'identité d'un appelant avant de partager quoi que ce soit, et voyez à quelle fréquence la vérification est sautée.

5. 5Chapitre 2

   Quel risque pouvez-vous avaler ?

   La direction générale décide — non pas en toutes lettres, mais dans les budgets et les signatures — du danger que l'organisation acceptera de porter. Le chapitre appelle cela l'appétit pour le risque : la quantité et la nature du risque que les organisations sont disposées à accepter, et il est déterminé par la direction générale. En dessous se situe la tolérance au risque, la variation par rapport à ce niveau que l'organisation peut tolérer.

   L'idée

   L'appétit pour le risque fait de la sécurité une décision de gestion, non une décision technique. Les techniciens peuvent mesurer les menaces, mais seuls les dirigeants peuvent décider combien ils sont prêts à en vivre. La distinction entre appétit et tolérance donne aux organisations un cadran à deux niveaux : la posture générale venue d'en haut, et la marge de manœuvre en dessous.

   À essayer : Demandez à votre direction de dire en une phrase quel risque elle est prête à accepter — puis comparez avec ce que les contrôles actuels impliquent.

6. 6Chapitre 3

   Quand la loi frappe à la porte

   Une cartographie du droit américain pour le professionnel de la sécurité : le Computer Fraud and Abuse Act de 1986, qui criminalise l'accès non autorisé aux ordinateurs protégés et fut amendé par le USA PATRIOT Act de 2001. L'Electronic Communications Privacy Act. Le Health Insurance Portability and Accountability Act de 1996 — la HIPAA — qui régit les données de santé. Le Sarbanes-Oxley Act de 2002, qui s'étend jusqu'à la manière dont les entreprises gèrent leurs archives. Chaque loi transforme une défaillance technique en défaillance juridique.

   L'idée

   Le chapitre juridique relit la sécurité comme une question de conformité. Une intrusion n'est plus une simple panne ; elle peut constituer une infraction fédérale, une violation du droit de la santé ou un problème boursier. Savoir quelle loi couvre quelles données indique à une organisation quels contrôles sont facultatifs et lesquels sont obligatoires — et ce qu'une assignation à comparaître viendra chercher.

   À essayer : Reliez un jeu de données que vous traitez à la loi précise qui le régit, et notez un contrôle que cette loi exige.

7. 7Chapitre 5

   L'arithmétique de la perte

   Le chapitre 5 tend au lecteur une formule. L'ALE — Annualized Loss Expectancy, l'espérance de perte annualisée — se calcule comme l'ARO multiplié par le SLE : le taux annuel d'occurrence multiplié par l'espérance de perte d'un incident unique. Et le SLE lui-même égale la valeur de l'actif multipliée par l'EF, le facteur d'exposition. Multipliez ce que coûte un incident par sa fréquence annuelle, et vous obtenez le chiffre qui justifie — ou enterre — une demande de budget sécurité.

   L'idée

   Cette arithmétique convertit la peur en finance. La formule donne aux professionnels de la sécurité une langue que les dirigeants parlent déjà : des dollars par an.

   À essayer : Prenez une menace, estimez la valeur de l'actif concerné, son facteur d'exposition et son taux annuel, puis calculez l'ALE avant votre prochaine réunion budgétaire.

8. 8Chapitre 6

   Des capteurs sur le fil et sur l'hôte

   Le chapitre 6 déploie les sentinelles : les systèmes de détection d'intrusion et les systèmes de prévention d'intrusion. Le texte distingue les systèmes réseau — NIDS — des systèmes sur hôte — HIDS : l'un surveille le trafic, l'autre une machine unique. Il scinde ensuite la détection elle-même en deux philosophies : par signatures, qui reconnaît des motifs d'attaque connus, et par anomalies statistiques, qui signale les comportements s'écartant de la norme.

   L'idée

   Ces deux philosophies de détection révèlent un compromis permanent. Les signatures sont précises mais aveugles à toute nouveauté ; la détection d'anomalies attrape l'inconnu mais crie au loup à chaque changement légitime. Placer des capteurs sur le réseau et sur les hôtes couvre des angles morts différents. Aucune configuration ne voit tout, et c'est pourquoi le livre les traite comme des couches complémentaires.

   À essayer : Vérifiez si votre environnement dispose à la fois d'une surveillance réseau et d'une surveillance sur hôte, et notez la méthode de détection utilisée par chacune.

9. 9Chapitre 6

   Deux clés, une serrure

   Dans le même chapitre apparaît la boîte à outils cryptographique. Le chiffrement symétrique — la même clé verrouille et déverrouille — avec AES et DES comme exemples nommés. Le chiffrement asymétrique, illustré par RSA, fonctionne autrement : une paire de clés, publique et privée, où l'une chiffre et seule l'autre déchiffre. Le concept de clés publique et privée est expliqué simplement : publiez l'une, gardez l'autre, et des inconnus peuvent vous transmettre des secrets.

   L'idée

   Les deux familles résolvent des problèmes différents. Comprendre pourquoi elles coexistent éclaire l'essentiel des communications sécurisées modernes.

   À essayer : Identifiez une connexion chiffrée que vous utilisez chaque jour et déterminez si elle repose sur une méthode symétrique, asymétrique, ou les deux.

10. 10Chapitre 9

    Quand l'extinction incendie noie les serveurs

    Un incendie se déclare dans la salle des serveurs. Le système d'extinction s'active — et l'eau qui sauve le bâtiment détruit les machines. Le chapitre 9 passe en revue les systèmes d'extinction : tuyaux en charge (wet pipe), tuyaux à sec (dry pipe), pré-action et systèmes à gaz. Le texte note sans détour que les systèmes à base d'eau peuvent endommager les équipements électroniques. L'option à gaz se distingue précisément parce qu'elle ne laisse aucune trace d'eau.

    L'idée

    La sécurité physique impose des choix que l'informatique pure ne connaît jamais : le remède à une menace peut être la cause d'une autre. Le propos du chapitre est que protéger l'information, c'est protéger la pièce où elle réside — avec le bon agent extincteur, pas n'importe lequel.

    À essayer : Découvrez quel type d'extinction incendie protège votre salle des serveurs et s'il fait peser un risque d'eau sur l'équipement.

11. 11Chapitre 9

    La salle à deux portes

    Quelqu'un s'élance derrière un employé autorisé vers la porte sécurisée, badge ou pas badge — c'est le « tailgating », la plus vieille astuce de l'intrusion physique. La parade, c'est un sas de sécurité, aussi appelé vestibule de contrôle d'accès : une petite pièce à deux jeux de portes verrouillés en cascade. La première porte se ferme et se verrouille avant que la seconde ne s'ouvre. Il n'existe aucun instant où une personne non autorisée peut se glisser aux côtés d'une personne légitime.

    L'idée

    Le sas de sécurité agit en maîtrisant le temps, pas l'identité. Il ne vérifie pas mieux qui vous êtes qu'un lecteur de badge ; il supprime la fenêtre pendant laquelle la pression sociale et la vitesse viennent à bout de la serrure. Les portes verrouillées en cascade transforment un instant de courtoisie en une pause contenue et observable — une personne, un cycle, à chaque fois.

    À essayer : Observez pendant une journée l'entrée la plus sensible de votre bâtiment et comptez combien de personnes s'y introduisent en suivant quelqu'un.

12. 12Chapitre 11

    La porte qui s'ouvre dans les deux sens

    Un employé démissionne. Le chapitre 11 décrit le processus des procédures de départ des employés qui quittent l'entreprise : la révocation des droits d'accès et la restitution du matériel. Bien mené, le départ est propre ; mal mené, un ancien employé conserve indéfiniment un chemin d'accès vivant vers le réseau.

    L'idée

    Les procédures de départ existent parce que les accès survivent à la confiance. Dès qu'une personne cesse de travailler pour vous, chaque identifiant qu'elle détient devient une menace potentielle, et seul un processus délibéré permet de les fermer un à un. L'association de la révocation et de la restitution du matériel couvre à la fois les résidus numériques et physiques de l'emploi — et négliger l'un ou l'autre laisse une porte ouverte.

    À essayer : Examinez la liste de contrôle de départ de votre organisation et vérifiez que la révocation des accès a bien lieu le dernier jour, et non la semaine suivante.

13. 13Chapitre 12

    Chassez vos propres faiblesses

    Le dernier chapitre retourne la défense vers l'intérieur. Le chapitre 12 décrit la gestion des vulnérabilités comme un processus à trois composantes : l'analyse de vulnérabilités, les tests d'intrusion et la gestion des correctifs. Puis vient l'outil le plus affûté — le test d'intrusion, dans lequel des testeurs autorisés tentent d'exploiter les vulnérabilités d'un système pour en identifier les faiblesses. L'organisation paie des professionnels pour l'attaquer, avec son autorisation, avant que quelqu'un d'autre ne le fasse gratuitement.

    L'idée

    La gestion des vulnérabilités remplace l'espoir par la preuve. Cette discipline est cyclique — nouveaux logiciels, nouvelles failles, nouvelles analyses — et c'est pourquoi le livre la place au chapitre consacré à la maintenance plutôt qu'à celui de la construction. La sécurité n'est jamais achevée, seulement vérifiée pour l'instant.

    À essayer : Planifiez cette semaine une analyse de vulnérabilités d'un système et engagez-vous à corriger sa vulnérabilité la plus critique dans les sept jours.

Les étudiants en cours de sécurité de l'information et les professionnels préparant des certifications trouveront ici les cadres canoniques. Les responsables informatiques qui doivent justifier des budgets en dollars et défendre des décisions avec des modèles structurés en tireront la valeur la plus immédiate.