Sécurité des systèmes d'information : cours de Terminale STMG

Dans une entreprise, presque tout passe par le système d'information : les commandes des clients, la paie, les stocks, la comptabilité, les échanges de courriels. Si ce système s'arrête, si ses données sont volées ou si quelqu'un les modifie en cachette, l'activité est directement touchée. La sécurité des systèmes d'information est la réponse organisée à ce risque.

Dans ce cours de Terminale STMG, tu vas voir ce qu'on protège, contre quoi, avec quels moyens et selon quelle démarche. Tu t'appuies sur ce que tu sais déjà des réseaux informatiques et de l'architecture client-serveur ou cloud : plus un système est ouvert et connecté, plus il faut le protéger.

Un point de départ utile : la sécurité n'est plus l'affaire du seul informaticien. Elle est devenue un enjeu majeur pour les entreprises.⁴ Sa finalité à long terme est de garder la confiance des utilisateurs et des clients.⁴ Quand tu réponds à une question de bac sur la sécurité, pense donc toujours à relier la mesure technique à son effet sur l'organisation.

Les deux termes se recoupent. Retiens cette nuance : la SSI parle du système d'information dans sa globalité (y compris les règles internes et les comportements des personnes), alors que la cybersécurité insiste sur les menaces qui arrivent par le cyberespace, c'est-à-dire par les réseaux.

Assurer cette sécurité est une activité du management du système d'information.⁴ Autrement dit, ce n'est pas seulement un sujet d'outils : il faut des décisions, des responsables, des règles et un suivi.

Pour décider quoi protéger et comment, on s'appuie sur des critères. La norme ISO/CEI 27001, qui concerne les systèmes de management de la sécurité de l'information, insiste sur la triade disponibilité, intégrité et confidentialité.⁴ Elle impose aussi une démarche d'amélioration continue.⁴ On rencontre aussi la présentation en quatre objectifs, abrégée C.A.I.D., dont le premier est la confidentialité.⁴

Pour la disponibilité et l'intégrité, voici comment les comprendre à partir d'exemples :

• Disponibilité : les personnes qui en ont besoin peuvent atteindre le système et l'information au moment voulu. À court terme, l'objectif de la sécurité est justement que chacun ait accès aux informations dont il a besoin.⁴ Un site de vente en ligne en panne le jour des soldes pose un problème de disponibilité.
• Intégrité : l'information n'a pas été modifiée par erreur ou par malveillance. Si un fraudeur change l'IBAN d'un fournisseur dans la base comptable, l'intégrité est atteinte même si personne n'a rien volé.

L'éducation à la sécurité numérique couvre de nombreux thèmes : gestion des mots de passe, sécurité des appareils mobiles, cryptographie et chiffrement, sécurité des données personnelles, courriels indésirables, piratage de compte, hameçonnage, virus, rançongiciel, usurpation d'identité, gestion des cookies, protection de la vie privée.² Cette liste te donne une bonne idée de la diversité des risques.

Voici comment les principales menaces se présentent :

• Hameçonnage : un faux message (souvent un courriel) pousse la victime à livrer ses identifiants ou à cliquer sur un lien piégé.
• Rançongiciel : un logiciel malveillant bloque des données ou des postes et exige un paiement.
• Virus : programme malveillant qui s'installe et se propage.
• Piratage de compte : une personne non autorisée prend la main sur un compte, souvent grâce à un mot de passe faible ou réutilisé.
• Usurpation d'identité : quelqu'un se fait passer pour une autre personne.
• Spams : courriels indésirables, qui servent aussi à diffuser des pièges.

Les conséquences d'une sécurité insuffisante ne concernent pas que les organisations. Elles touchent aussi la vie privée de personnes, par exemple quand des informations confidentielles comme des coordonnées bancaires, une situation patrimoniale ou des codes confidentiels sont diffusées.⁴

La définition de la SSI cite quatre familles de moyens.⁴ Pour structurer une réponse, classe tes mesures dans ces familles :

La gestion des droits découle directement de la confidentialité : chaque utilisateur n'accède qu'aux informations qui lui sont destinées.⁴ Dans une entreprise, un commercial n'a pas besoin de lire les fiches de paie. On donne donc à chacun le strict nécessaire pour son travail.

Sécuriser sans méthode conduit à dépenser de l'argent au mauvais endroit. On commence donc par une analyse des risques : quels sont les biens à protéger, quelles menaces pèsent sur eux, quelles seraient les conséquences ? Une des méthodes les plus connues pour l'analyse de risques SSI est EBIOS Risk Manager.⁴

On passe ensuite aux mesures, puis on vérifie qu'elles fonctionnent. La norme ISO/CEI 27001, créée en 2005, impose une démarche d'amélioration continue.⁴ On peut se représenter ce cycle comme une boucle qui ne s'arrête jamais, car les menaces évoluent.

Quand un système contient des informations sur des personnes, la loi Informatique et Libertés impose des obligations pour les préserver.⁴ Cette question sera approfondie dans le chapitre suivant, Cybersécurité et RGPD. Retiens ici que la sécurité n'est pas seulement une bonne pratique : elle répond aussi à des obligations.

À l'échelle de l'Europe, une directive nommée NIS (Network and Information Security) a été votée en juillet 2016 par le Parlement européen et le Conseil de l'Union. Son but : renforcer la sécurité des systèmes d'information du continent.⁴ En 2018, c'est l'ANSSI qui conduit son adaptation dans le droit français.⁵

L'ANSSI a des prédécesseurs. Un service central de la sécurité des systèmes d'information existait en 1986.⁵ La direction centrale de la sécurité des systèmes d'information a été créée par le décret n° 2001-693 du 31 juillet 2001.⁵ L'ANSSI remplace cette direction.⁵

L'agence structure son travail en plusieurs axes. Le premier, défendre, vise la protection des systèmes d'information vitaux du pays : elle bâtit et fait fonctionner des moyens pour repérer les cyberattaques. Un autre axe, connaître, consiste à suivre l'état des connaissances en sécurité, ainsi que les menaces et les risques du cyberespace.⁵

Le CERT-FR est le service gouvernemental chargé de la veille, de l'alerte et de la réponse aux attaques informatiques. Il fait partie de la sous-direction Opérations de l'ANSSI. Il épaule la gestion des incidents dans les ministères, les institutions, les collectivités territoriales et chez les opérateurs d'importance vitale.⁵

Pour comprendre le vocabulaire, le CyberDico de l'ANSSI définit les termes et sigles de la cybersécurité.² Pour les victimes, il existe un dispositif national d'assistance aux victimes de cybermalveillance.²