La sécurité numérique enjeu majeur pour la souveraineté nationale

Les appli­ca­tions numé­riques sont aujourd’hui vitales par­tout, a for­tio­ri dans les sys­tèmes d’armes. Assu­rer la sécu­ri­té, ce n’est plus se bar­ri­ca­der, les don­nées sont dans le cloud et les opé­ra­teurs mobiles. La nou­velle concep­tion de la sécu­ri­té est “secu­ri­ty by desi­gn” qui doit être réflé­chie et incluse dès la concep­tion du sys­tème d’information.

En 2018, dans un envi­ron­ne­ment éco­no­mique et tech­no­lo­gique en pleine muta­tion, tous les diri­geants d’organisation ont désor­mais com­pris que la réus­site de leur « trans­for­ma­tion numé­rique ou digi­tale » est stra­té­gique voire vitale. Mais nom­mer les choses, c’est d’abord les définir. 

PASSER D’UNE SÉCURITÉ PÉRIMÉTRIQUE À UNE « SECURITY BY DESIGN »

Le pre­mier constat, c’est qu’Internet et le cloud sont désor­mais incon­tour­nables. Or la sécu­ri­té infor­ma­tique de l’entreprise repose, depuis l’invention des réseaux et du Web, sur une vision de pro­tec­tion péri­mé­trique qui consi­dère que seul tout ce qui à l’extérieur d’un réseau pro­té­gé est l’ennemi.

La pro­tec­tion est réa­li­sée par des tech­no­lo­gies de contrôle et de super­vi­sion du réseau : pare-feux, sys­tèmes de détec­tion d’intrusion (IDS), passe-plats, bas­tions, contrôle des connexions réseaux, deep packet ins­pec­tion (DPI), centre de ges­tion de sécu­ri­té (SOC).

Paral­lè­le­ment, l’accès aux don­nées depuis l’extérieur de l’entreprise passe par des tech­no­lo­gies de chif­fre­ment réseau comme les réseaux pri­vés virtuels. 

PARER LES NOUVELLES MENACES

Mais cette stra­té­gie de pro­tec­tion, de type « ligne Magi­not », n’est pas suf­fi­sante. Elle est inopé­rante face aux nou­velles menaces. 

“ Internet et le cloud sont désormais incontournables ”

Et puis, com­ment paral­lè­le­ment assu­rer l’accès géné­ra­li­sé aux don­nées de l’entreprise alors que cer­tains pays inter­disent les réseaux pri­vés virtuels ? 

Les menaces sont prin­ci­pa­le­ment de deux natures : d’une part, la vio­la­tion des don­nées (Yahoo : 3 mil­liards de comptes uti­li­sa­teurs, Uber : 57 mil­lions de clients et 600 000 chauf­feurs, le Penta­gone : 1,8 mil­liard de mes­sages soit plu­sieurs To de don­nées) ; et d’autre part l’indisponibilité des don­nées, voire leur cor­rup­tion (la cybe­rat­taque du ran­çon­gi­ciel Not­Pe­tya a fait perdre à Saint-Gobain 250 Me de commandes). 

PENSER LA SÉCURITÉ DÈS LE DÉPART

La sécu­ri­té infor­ma­tique de l’entreprise doit désor­mais com­men­cer dès le stade de la concep­tion du sys­tème d’information en par­tant du prin­cipe que la vul­né­ra­bi­li­té prin­ci­pale est le ter­mi­nal uti­li­sa­teur ; en d’autres termes, que c’est le ter­mi­nal (y com­pris sa dimen­sion humaine) qui garan­tit le niveau de sécurité. 

Dans ce cas, la confi­den­tia­li­té des don­nées repo­se­ra sur le secret de la clé pri­vée qui ne devra pas sor­tir du ter­mi­nal uti­li­sa­teur. Le cloud public assu­re­ra quant à lui la rési­lience et la dis­po­ni­bi­li­té. L’authentification, éven­tuel­le­ment forte à plu­sieurs fac­teurs, garan­ti­ra la légi­ti­mi­té de l’utilisateur.

Le prin­cipe géné­ral est d’intégrer la sécu­ri­té au stade de la concep­tion du sys­tème d’information ou Secu­ri­ty by Design. 

UNE CONSTRUCTION À TROIS NIVEAUX

C’est pour­quoi, il faut construire le sys­tème sur une triple confiance : confiance dans les accès pour garan­tir l’identité et les droits asso­ciés ; confiance dans le trans­port, par exemple en uti­li­sant le HTTPS qui offre une excel­lente garan­tie ; enfin, confiance dans le par­tage qui implique de gérer les clés pri­vés au niveau de l’utilisateur.

Le pira­tage infor­ma­tique a coû­té très cher à Saint-Gobain.

UN CADRE EUROPÉEN POUR LA PROTECTION DES DONNÉES

Le Règle­ment géné­ral sur la pro­tec­tion des don­nées ou RGPD est un règle­ment euro­péen. Contrai­re­ment à une direc­tive qui doit être trans­po­sée en loi natio­nale, il prend effet dans chaque loi natio­nale à comp­ter du 25 mai 2018. En cas de man­que­ment, les sanc­tions vont jusqu’à 4 % du chiffre d’affaires annuel mondial. 

“ La 4G et le wifi sont généralisés presque partout ”

L’entreprise devient res­pon­sable du trai­te­ment, auto­ma­ti­sé ou non, des don­nées per­son­nelles, directes ou indi­rectes, concer­nant une per­sonne phy­sique iden­ti­fiée ou identifiable. 

Le res­pon­sable du trai­te­ment est consi­dé­ré comme l’acteur éco­no­mique res­pon­sable (prin­cipe d’accountability) et en tant que tel, il lui revient de prendre les mesures pour garan­tir la pro­tec­tion des don­nées per­son­nelles : déter­mi­ner les fina­li­tés, docu­men­ter les trai­te­ments, recueillir les consen­te­ments expli­cites, don­ner accès aux don­nées, per­mettre leur effa­ce­ment ou leur portage. 

Le prin­cipe géné­ral est la pro­tec­tion des don­nées dès la concep­tion ou encore Pri­va­cy by Desi­gn. Ce prin­cipe rejoint le pré­cé­dent au niveau de la concep­tion du système. 

DES TERMINAUX MAJORITAIREMENT MOBILES : MOBILITY BY DESIGN

La 4G et le wifi sont géné­ra­li­sés presque par­tout et, à Lis­bonne, les membres de la 3GPP – la coopé­ra­tion inter­na­tio­nale qui fixe les stan­dards de télé­com­mu­ni­ca­tions – se sont mis d’accord en décembre 2017 sur les spé­ci­fi­ca­tions de la 5GNR (New Radio). 

“ Transformation numérique = Sécurité + Protection + Agilité + Mobilité ”

Les ter­mi­naux sont deve­nus mas­si­ve­ment mobiles et c’est d’ailleurs le mode majo­ri­taire de consom­ma­tion de l’Internet.

La mobi­li­té a un impact direct sur l’organisation du tra­vail : la géné­ra­li­sa­tion des orga­ni­sa­tions col­la­bo­ra­tives à dis­tance entraîne la dis­pa­ri­tion des fron­tières phy­siques de l’entreprise. La consé­quence, c’est que les sys­tèmes d’information devront être nati­ve­ment res­pon­sive, c’est-à-dire que leur ergo­no­mie devra s’adapter natu­rel­le­ment au ter­mi­nal, la règle de base de concep­tion des pages étant l’« expé­rience uti­li­sa­teur » ou UX, ce qui com­prend éga­le­ment les normes d’accessibilité.

ÉVITER LES PROGICIELS DE GESTION INTÉGRÉS (PGI)

Une entre­prise qui a construit son sys­tème d’information par briques appli­ca­tives au fil de ses besoins métiers doit gérer au bout de dix à vingt ans un patri­moine de plu­sieurs cen­taines voire mil­liers d’applications indé­pen­dantes trai­tant pour la plu­part des don­nées simi­laires, notam­ment des don­nées per­son­nelles ayant trait aux uti­li­sa­teurs ou aux usagers. 

Les ter­mi­naux sont avant tout mobiles. © MARIA_SAVENKO

Toutes ces appli­ca­tions sont géné­ra­le­ment construites sur des archi­tec­tures obso­lètes « trois tiers » ou « client-ser­veur » qui com­portent de nom­breuses failles de sécu­ri­té. Il est impos­sible de bou­cher tous les trous. 

Dans le meilleur des cas, l’entreprise a orga­ni­sé ses pro­ces­sus autour de pro­gi­ciels de ges­tion inté­grés ou PGI, cen­sés cou­vrir tous ses besoins fonc­tion­nels, moyen­nant un para­mé­trage métier, mais néces­si­tant géné­ra­le­ment de nom­breux déve­lop­pe­ments spé­ci­fiques et une longue et dou­lou­reuse période de migra­tion et de changement. 

À l’heure de la révo­lu­tion numé­rique, conti­nuer à orga­ni­ser son sys­tème d’information autour de pro­gi­ciels et de solu­tions appli­ca­tives est une erreur stratégique. 

Com­ment assu­rer un accès uni­ver­sel au sys­tème d’information de l’entreprise ? Com­ment adap­ter quo­ti­dien­ne­ment le sys­tème d’information à la stra­té­gie de l’entreprise, aux pro­ces­sus et aux orga­ni­sa­tions en per­pé­tuel mou­ve­ment ? Et com­ment garan­tir que toutes les don­nées de même nature seront trai­tées de la même manière et de façon synchrone ? 

PRIVILÉGIER L’OPEN SOURCE

Au final, la meilleure approche consiste à recons­truire inté­gra­le­ment le sys­tème d’information à par­tir d’une pla­te­forme d’échange inter­sys­tème, sur la base de briques libres construites, d’une part à par­tir des pro­ces­sus métiers (le fron­tend), et d’autre part, sur la base d’une restruc­tu­ra­tion métier des don­nées (le backend). 

Pour l’utilisateur, la tran­si­tion sera douce puisque la pla­te­forme inté­gre­ra une mes­sa­ge­rie inter­sys­tème qui syn­chro­ni­se­ra tous les appli­ca­tifs his­to­riques avec la pla­te­forme via des inter­faces de pro­gram­ma­tion appli­ca­tives ou API. 

Le choix de l’open source par une orga­ni­sa­tion per­met­tra d’assurer la réver­si­bi­li­té et la péren­ni­té, et l’ouverture du code sera une garan­tie sup­plé­men­taire que les failles de sécu­ri­té seront plus rapi­de­ment corrigées. 

L’adoption très rapide de Kuber­netes, conçu par Google pour auto­ma­ti­ser le déploie­ment et la mon­tée en charge d’applications, est un autre exemple qui illustre la force du modèle open source. 

UNE NOUVELLE VISION DU SYSTÈME D’INFORMATION

La conclu­sion pour­rait s’écrire sous forme d’une équa­tion : « Trans­for­ma­tion numé­rique = Sécu­ri­té + Pro­tec­tion + Agi­li­té + Mobi­li­té ». Cette trans­for­ma­tion numé­rique pro­cède d’une vision nou­velle du sys­tème d’information qui se décline désor­mais en quatre axes stra­té­giques by desi­gn : sécu­ri­té dans le cloud ; pro­tec­tion des don­nées per­son­nelles ; mobi­li­té ; agi­li­té et open source.

---

Articles similaires :

Cin­quante années de poli­tique indus­trielle d’armement : l’envol de SAFRAN Les révo­lu­tions de l’intelligence artificielle Ce qui peut moti­ver un jeune poly­tech­ni­cien pour l’armement : une démarche de choix La DGA, une recon­nais­sance internationale Les 50 ans du corps de l’armement