REVUE

techniQue
LA CyBErSéCurITé EFFICACE, unE AFFAIrE DE CuLTurE
cas. Dans ce même rapport, on apprend
que pour le secteur public 85 % des
compromissions portent sur 3 modèles
d’attaques et que le dénominateur
commun de ces modèles est l’humain :
– logiciels criminels (50 % des
compromissions) : Il s'agit d'une
catégorie large, couvrant toute utilisation
d'un logiciel malveillant pour
compromettre des systèmes. Cette action
est habituellement opportuniste et
motivée par l'appât du gain ou la volonté
de nuire aux institutions. L’activation de
l’attaque par ces logiciels criminels est
toujours le fait des utilisateurs, la plupart
du temps sans qu’ils en aient l’intention,
par exemple en ouvrant une pièce jointe
compromise ou en cliquant sur un lien
malicieux…
– erreurs diverses (23 % des
compromissions) : on peut citer l'envoi
d'informations sensibles à des
destinataires incorrects, la publication de
données non publiques sur des serveurs
Web publics et la destruction non
sécurisée de données personnelles et/ou
médicales.
– menace interne (12 %) par délit d’initié
et abus de privilèges : Il s'agit
principalement d'une utilisation abusive
de données ou de fonctionnalités par les
employés de l’administration mais le plus
souvent par des personnes extérieures
(du fait d'une collusion) et par des
partenaires (parce que des privilèges leur
ont été accordés).
– attaques des applications Web :
L'utilisation d'identifiants volés ou
l'exploitation de vulnérabilités dans des
applications Web — comme les systèmes
de gestion de contenu (CmS) ou les
plateformes de commerce électronique.
– vol ou perte physique : La perte ou le
vol d'ordinateurs portables, de clés uSB,
de documents imprimés et d'autres actifs
d'information, principalement dans les
bureaux et les véhicules. Dans ce cas
également la responsabilité des
utilisateurs est évidente.
développer une culture de la sécurité
Il ne faut donc pas limiter son regard aux
seuls environnements techniques mais
s’intéresser aussi à la composante
humaine des systèmes d’information.
L’oCDE (l’organisation de coopération et
de développement économique) l’avait
identifié dès 2002. Dans les "Lignes
directrices régissant la sécurité des
systèmes et réseaux d’information »,
sous-titrée « Vers une culture de la
sécurité », la préface indiquait : « Du fait
de leur connectivité croissante, les
systèmes et réseaux d’information sont
désormais exposés à un nombre
croissant et à un éventail plus large de
menaces et vulnérabilités, ce qui pose de
nouveaux problèmes de sécurité. Les
présentes lignes directrices s’adressent
4 e trimestre 2016 Revue de la Gendarmerie Nationale
149