Le facteur humain, un défi clé pour la sécurité de l’information

Adapter les effectifs

Pour Lüders, la formation contre le hameçonnage en utilisant des exercices de simulation peut être une façon utile de procéder, afin que chacun soit plus conscient de la sécurité et commence à se poser les bonnes questions.

Stanton estime pour sa part que les professionnels de la sécurité doivent s’assurer de rendre la sécurité pertinente pour tous dans l’organisation, adaptant le message aux fonctions et âges des utilisateurs : « expliquez ce que sécurité signifie pour eux ; comment ils sont concernés, et ce qu’ils pourraient perdre si des pirates venaient à compromettre » leur poste de travail.

En la matière, Stanton considère qu’il revient aux professionnels de la sécurité d’influencer le reste de l’organisation pour l’application des bonnes pratiques. Le tout avec un effort continu de formation.

John Colley, co-président du conseil consultatif européen de l’ISC2, suggère pour cela d’en revenir aux bases de la sécurité, et d’expliquer les fondamentaux. Un discours qui résonne comme un écho à celui tenu par Patrick Pailloux, alors patron de l’Agence Nationale pour la Sécurité des Systèmes d’Information (Anssi), aux Assises de la Sécurité, en 2011.

Et John Colley de relever qu’il y a « mille et une choses que nous faisons inconsciemment et considérons comme acquises. Alors, il est important de ne pas négliger les principes clés sous-jacents lorsque l’on cherche à former les autres. Mais il est également important de ne pas sur-compliquer les choses. » Pour lui, les collaborateurs d’une organisation doivent avoir la compréhension et les compétences pour agir de manière appropriée lorsque la technologie touche à ses limites.

Et d’illustrer son propos : « la plupart des avions de transport de passagers sont capables de voler en pilote automatique, mais il y a toujours des pilotes à bord pour prendre le contrôle lorsque c’est nécessaire. »

Des discours qui en rappellent d’autres : ceux des participants à la plénière d’ouverture de l’édition 2014 du Forum International de la Cybersécurité (FIC).

La sécurité du logiciel

Le second défi majeur de la sécurité tient, pour Lüders, au fait que les éditeurs de logiciels continuent de livrer des produits qui ne sont pas sûrs à 100 % : « de nombreux produits logiciels n’ont pas le niveau de sécurité et de sûreté que l’on pourrait  attendre mais, contrairement à ce qui se passe pour d’autres produits, les fournisseurs n’en acceptent pas la responsabilité ».

Ainsi, selon Lüder, comme pour la fiabilité et la disponibilité, les organisations devraient exiger que la sécurité soit un élément automatique de n’importe quel logiciel qu’elles achètent.

Et en ce qui concerne les défis technologiques, Stanton estime que les professionnels de la sécurité devraient concentrer leur attention sur des développements technologiques tels que l’informatique quantique et sur leurs implications en matière de sécurité : « certaines de ces avancées ne sont pas si lointaines que l’on pourrait le penser, et il est important de commencer à s’y préparer ».

Réduire le facteur humain

Pour Lüder, l’humain étant souvent le maillon faible de la sécurité, les technologies nouvelles et émergentes devraient être conçues pour prendre gare à la sécurité de manière automatique. « Nous devons également encourager les gouvernements à rendre publics tous les exploits de sécurité qu’ils connaissent pour aider les organisations à mieux se préparer, plutôt que de s’asseoir sur les renseignements dont ils disposent durant des mois, sinon des années », a-t-il en outre relevé.

Pour Blunkett, il conviendrait en outre que les développeurs accordent plus d’attention à la manière de migrer les données depuis les systèmes patrimoniaux vers des systèmes modernes, plus sûrs, et conçus pour faire face aux menaces informatiques actuelles.

« Nous devrions exiger que l’industrie fasse de la sécurité une priorité majeure dans tous les nouveaux produits et services, et tout particulièrement avec l’émergence de l’Internet des objets », a-t-il ainsi souligner. Une approche qui pourrait également s’appliquer aux systèmes informatisés de contrôle industriel (Scada), comme d’autres l’ont déjà relevé à de multiples reprises par le passé.

Rejoignant le discours d’Art Coviello en ouverture de RSA Conference, en février dernier à San Francisco, Blunkett a appelé les sociétés à « travailler à identifier ce qu’elles vont et ne vont pas accepter de la part des autorités au nom de la sûreté des individus. Même si l’on considère Snowden comme un voleur ou un traitre, il faut lui reconnaître le mérite d’avoir ouvert un débat ».

Avec nos confrères de ComputerWeekly (TechTarget).