La sécurité générale
Il s’agit des aspects organisationnels comme le contrôle physique des accès, les risques quant à l’accès au matériel, le niveau de formation des employés et de conscience des risques. En effet, la majorité des problèmes liés à la sécurité d’un système d’information a pour origine un utilisateur, généralement insouciant. Il n’a pas le désir de porter atteinte à l’intégrité du système sur lequel il travaille, mais son comportement favorise le danger ; La sécurité générale se préoccupe également des sinistres (vol, incendie, dégât des eaux).
La sécurité informatique
Elle pose de nombreuses questions : l’accès et le choix des mots de passe, la mise à jour régulière des logiciels notamment de protection, une relation étroite des utilisateurs et prestataires, la sauvegarde régulière des données, de l’accès Wi-Fi de l’entreprise, des objets connectés (téléphones, tablettes….), de la protection des données lors de ses déplacements, lors de l’utilisation de la messagerie, la vigilance dans les téléchargements (préférer les sites officiels des éditeurs), et lors des paiements sur Internet, la séparation des usages personnels des usages professionnels.
La sécurité matérielle
Virus, maliciels, logiciels espions et autres pathologies numériques ne sont pas la seule façon d’exploiter la vulnérabilité des systèmes informatiques. Moins connues que ces attaques purement logicielles, les attaques matérielles sont tout aussi dangereuses. Elles consistent à tirer directement parti d’une interaction avec les composants électroniques d’un système. Ainsi, en analysant les variations de puissance du microcontrôleur en fonction des données reçues, ils ont pu en déduire la clé cryptographique protégeant la mise à jour. Sur un circuit électronique non protégé, dès lors qu’un accès au matériel est possible et permet d’observer sa réaction lorsque le système traite de l’information, cette sécurité est compromise, puisque les clés cryptographiques peuvent être déduites. Pour se protéger, on peut par exemple exécuter les codes et les opérations de calcul de façon décalée ou découpée dans le temps pour qu’il soit plus difficile de comprendre à quelle tâche est liée une activité plus importante des processeurs. On peut aussi masquer les données, effectuer les calculs sur des données masquées, et les démasquer une fois l’opération terminée. L’attaquant n’obtient alors des informations que sur les données masquées, et ne peut pas remonter aux données réelles. Par ailleurs, des capteurs permettent de repérer les attaques par perturbation, en détectant une illumination laser ou un changement dans l’alimentation.
L’ANSSI
Service du Premier ministre, rattaché au Secrétariat général de la défense et de la sécurité nationale (SGDSN), l’Agence nationale de la sécurité des systèmes d’information (ANSSI) est l’autorité nationale chargée d’accompagner et de sécuriser le développement du numérique. Acteur majeur de la cyber sécurité, l’ANSSI apporte son expertise et son assistance technique aux administrations et aux entreprises avec une mission renforcée au profit des opérateurs d’importance vitale (OIV). Elle assure un service de veille, de détection, d’alerte et de réaction aux attaques informatiques.
Déclinaison pour le Responsable de sécurité des SI au sein d’une PME / TPE
Au sein d’une PME / TPE, la fonction de Responsable de la sécurité des systèmes d’information n’est pas un poste dédié et les missions et activités peuvent être portées par le DSI, le responsable informatique, un administrateur, un exploitant ou bien un responsable de projet informatique.
Sources : ANSSI – www.ssi.gouv.fr/guide/panorama-des-metiers-de-la-cybersecurite/