ING : IT New Generation - ITnation

Technical Development Manager
le grand dossier
Sécurité
Sécurité : au revoir
le maillon faible…
La stratégie de sécurité doit être calquée sur la stratégie globale
de l’entreprise, selon Sogeti. L’expérience de l’utilisateur inspire
les politiques de sécurité réussies.
Souvent, le collaborateur est un risque latent pour l’entreprise… un maillon fort
ou un maillon faible. «Les entreprises ne réfléchissent pas assez à leur gestion
de personnel, explique Jérôme Jacob, expert sécurité chez Sogeti. Les menaces
ne sont maîtrisées que quand la sécurité prend en compte tous les aspects
qui concernent les utilisateurs.»
En fait, la vulnérabilité peut cohabiter avec la
menace sans causer de dommages. Le tout
est d’adapter le niveau de prévention aux besoins
de l’entreprise. «Quand on démarre un
projet sécurité et qu’on arrive avec ses grosses
valises, les utilisateurs pensent ‘oh non,
pas eux’, explique Jérôme Jacob. Pour faire
adhérer les utilisateurs, il faut qu’ils soient au
centre du projet.» Et le rôle du responsable
de la sécurité (RSSI) est tant relationnel que
technique. «On s’appuie sur l’expérience
des gens pour établir un état d’esprit», dit
Jérôme Jacob. Après avoir défini la meilleure
approche et «périmétré» ce qui doit être protégé,
les politiques sont traduites en gestes
quotidiens pour les utilisateurs. «Le suivi des
procédures est assuré par un quizz qui sert
aussi de feedback à l’incident manager»,
explique Jérôme Jacob.
PREVENTION
OU DÉTECTION ?
Le métier de RSSI est encore souvent un
métier de l’ombre, dont les utilisateurs ne
perçoivent la portée qu’en cas de problème.
Or, le RSSI a un rôle essentiel de veille. «Il
faut sans cesse améliorer ses connaissances
et sa réactivité, faire du benchmarking pour
suivre l’évolution des menaces, profiter de
l’expertise d’un réseau comme le Clussil,
explique Jérôme Jacob. Beaucoup de gens
font encore dans la détection et pas assez
dans la prévention.» Un métier ingrat ? «Tous
les jours, il y a de nouvelles menaces, et
tous les jours, un utilisateur peste contre
une nouvelle politique, dit Jérôme Jacob.
L’important est donc de gérer le changement
permanent tout en correspondant aux
investissements, souvent importants,
réalisés dans le domaine de la sécurité.»
Depuis 2001, les grandes entreprises ont
en effet investi beaucoup plus, créant un
mouvement général d’ «ultra-sécurité».
INACCESSIBLE
RISQUE ZÉRO
L’audit est devenu central pour gérer une
politique de sécurité efficace, par exemple
via la norme ISO 27.001 comme «un fil à
suivre pour évaluer le niveau de vulnérabilité»,
explique Jérôme Jacob. Le Business
Impact Analysis (BIA) permet d’assurer la
continuité du business en mettant chaque
élément sous contrôle et en le mesurant.
«On ne peut pas faire de la sécurité informatique
sans analyse et sans BIA, qui sont de
bonnes bases pour la suite», estime Jérôme
Jacob. Et la suite implique de savoir gérer
les sensibilités humaines, dont les accès…
La réactivité des utilisateurs, de même que
leur sensibilisation au secret, deviennent
essentielles par rapport au «mal nécessaire»
qu’est la sécurité.
42 AVRIL 08