11Pierre-Luc Réfalo La sécurité numérique de l entreprise L effet papillon du hacker, 2013 ISBN : 978-2-212-55525-7
Sommaire Avertissement...11 Préambule...13 Introduction...23 Première partie Tout est risque à l ère du numérique...33 Chapitre 1 - Au cœur de la complexité...35 L écosystème des entreprises...35 L entreprise numérique et ses risques...36 Chapitre 2 - Les risques numériques : défis du xxi e siècle...39 Des risques naturels aux risques psychologiques et numériques...39 De Mafiaboy à Zeus, ou l essor des botnets et l avènement des groupes cybercriminels...41 De «I Love You» à Conficker, ou l industrialisation du malware...42 De l infrastructure à l information ou le ciblage de l attaque...44 De Serge Humpisch à Albert Gonzales ou comment l économie de la cybercriminalité impose sa loi...46 Vieille comme le monde : l ingénierie sociale...48 Des perspectives au cœur de la globalisation...49 Chapitre 3 - Au-delà des risques, les réponses juridiques...53 De la protection des données et du secret à la dissuasion/sanction...53 Chapitre 4 - Au-delà des risques et des lois, les réponses du marché...69 Un marché privilégié qui entre dans la crise...69 De l antivirus à l anti-tout À l anti-rien?...71 De l application des correctifs à la gestion des vulnérabilités : une quête sans fin?...72 De la défense périmétrique à la défense en profondeur : les leçons de l histoire...74 De la détection/prévention d intrusion au SIEM : boucler la boucle...76 Des tendances fortes pour un marché à bout de souffle...77 Chapitre 5 - Les dés sont jetés...79
6 La sécurité numérique de l entreprise Deuxième partie La fonction sécurité SI : à la croisée des chemins...81 Chapitre 1 - La sécurité numérique au cœur de la sécurité globale...83 Des changements structurels...83 Le concept de sécurité globale...85 La démarche engagée en France...87 Chapitre 2 - Les mutations de l univers de la sécurité numérique...91 Essence de la fonction sécurité SI...91 Une question de pouvoirs...93 Trois axes clés : gouvernance, culture et économie...95 Chapitre 3 - Une fonction désormais reconnue, mais...97 immature et en quête de professionnalisation...97 aux activités très variées et en manque de structuration...98 Aujourd hui incontournable voire stratégique...100 Désormais sous la menace...101 Chapitre 4 - De Doctor No à «Yes we can»...105 S il était un animal, le RSSI serait un caméléon...105 Six enjeux cadrant son champ d action...106 Attraits et dangers de la transversalité et du pilotage...107 Impacts des normes ISO/IEC 2700x sur la sécurité des SI...108 Trop d activités pour pas assez de résultats?...110 S il était un métier, le RSSI serait missionnaire ou médecin...111 Chapitre 5 - Le RSSI un «faux métier» pris en étau...115 Entre menaces et opportunités...115 Intelligence économique et cyberdéfense...116 Conformité et protection des données personnelles...117 Dématérialisation et confiance numérique...119 Des devoirs et des pouvoirs...120 Chapitre 6 - Un pas vers une meilleure gouvernance...123 Stratégie vs opérations...123 Sécurité numérique vs sécurité du business...124 Disponibilité vs confidentialité...125 Troisième partie Que restera-t-il du secret?...127 Chapitre 1 - Confidentialité, secret et vie privée...129
Sommaire 7 Chapitre 2 - Retour aux sources...133 L ère numérique : de l âge de pierre à l âge du silicium...133 La science du secret...135 Trois questions clés...136 Distinguer secret et confidentialité...137 La réalité des faits...138 Chapitre 3 - Importance de la sociologie...141 Les trois sphères : professionnelle, privée, publique...141 Les trois générations : baby-boomers, génération X, génération Y...143 Quelle place pour la cyberéthique?...146 Trois invariants : gouvernance, culture, économie...147 Chapitre 4 - Au cœur du management des organisations...149 La transparence comme valeur de l ère numérique?...149 La transparence : symptôme démocratique de l entreprise...151 La tension secret/transparence...153 Chapitre 5 - La législation «secret» et «confidentialité» : entre «trop-plein» et «manque»...155 Définitions...155 Secret bancaire et secret médical...158 Secret des correspondances...159 Les hypothèses d atteintes...160 Quelles perspectives?...161 Chapitre 6 - Normes et référentiels «Sécurité» : un langage enfin partagé?...165 Le poids grandissant des normes...165 La méthode EBIOS...167 Le référentiel général de sécurité...168 L IGI 1300...169 Chapitre 7 - Le secret et la confidentialité en pratique...171 Une boîte à outils à l efficacité incertaine...171 Le chiffrement : pour quels usages?...172 Les atteintes à la confidentialité et au secret...173 De l importance de la réglementation...174 Les questions en suspens...175 Chapitre 8 - Mission impossible?...177 La fin du secret?...177 Gérer la confidentialité...177 Le poids des lois le choc des normes...178 Pas de classification sans acculturation...178
8 La sécurité numérique de l entreprise Quatrième partie Acculturation «sécurité numérique»...181 Chapitre 1 - La clé du facteur humain...183 Tout est risque! Et rien n est sûr...184 Sentiment de sécurité et marché de l insécurité, ou l inverse?...185 De la parole aux actes...187 Les trois axes : communiquer, sensibiliser, former...189 De l inconscience à la malveillance...189 Chapitre 2 - Culture et culture des risques...191 Qu est-ce que la culture?...191 La culture du risque numérique...192 Individuel vs collectif...195 Chapitre 3 - État de la culture de la sécurité numérique...197 Critères d évaluation...197 Enjeux majeurs et risques redoutés...197 La culture du pilotage...198 La culture de l action...200 La culture des synergies...201 Les cinq points de la culture des risques numériques...203 Chapitre 4 - Vers un processus d acculturation...205 De quoi parle-t-on?...205 Une boîte à outils complète mais à bien exploiter...207 Gouvernance et pédagogie...210 Évaluation et économie...213 «Best of» de la communication/sensibilisation...214 Implication des pouvoirs publics et des acteurs privés...216 Chapitre 5 - Entre culture des risques et culture de crise...219 Cinquième partie Dépenser moins ou dépenser mieux?...223 Chapitre 1 - Culture du risque et principe de précaution...225 On protège ce qui a de la valeur...225 Une question de professionnalisation...226 Une des clés du futur...227 Marché contre démocratie...229 Chapitre 2 - Création d un nouveau marché...233 Les cinq phases d évolution du marché...233 Les questions clés de l économie de la sécurité numérique...234
Sommaire 9 Chapitre 3 - Apports des travaux européens...239 Université de Cambridge...239 Les travaux de l ENISA...241 Les travaux du Cercle européen de la sécurité...243 Chapitre 4 - Connaître ce qu on dépense...245 Pas si simple que cela...245 Le champ de la consolidation...246 Utilité et pertinence des dépenses de fonctionnement...246 Quelle progression des dépenses?...248 Types de dépenses prioritaires en 2010-2011...248 Facteurs d augmentation des dépenses...250 Chapitre 5 - Indicateurs ratios des dépenses...253 Une innovation porteuse d espoir...253 Les ressources humaines de pilotage de la sécurité numérique...254 Les actions d acculturation...255 La protection des postes de travail...256 Pratiques de contrôle et audit...257 Processus de gestion des accès logiques...258 De grandes inégalités face à l achat...259 Une place de marché traditionnelle...260 Chapitre 6 - Impacts économiques des incidents...261 Incidents vécus et quête du risque zéro...261 Analyse d impact économique...262 Le rôle limité de l assurance...263 Chapitre 7 - Trois évolutions structurelles...265 Pression croissante sur le marché...265 L impact du cloud computing...266 Trois processus de gestion de la sécurité numérique...267 Au-delà de la politique sécurité...267 Conclusion - Que restera-t-il de la sécurité numérique?...269 Annexes - Associations et groupes de travail...285 Bibliographie...286 Remerciements...289 Index...291