Le nombre de menaces intérieures au sein des entreprises - identifié par le CLUSIF dans son rapport 2012 - est assez édifiant. Parmi les entreprises interrogées, 25% ont subi un incident de sécurité de l’information consécutif à une « attaque » d’origine interne, au cours des 12 derniers mois. Par Frédéric Couradin, Ingénieur Commercial Jaguar Network.

Il peut s’agir d’infections involontaires par virus, d’erreurs d’utilisation, de vol de matériel portable, de négligence ou encore de malveillance. Ainsi il n’est pas rare que des salariés licenciés emportent massivement des informations confidentielles ; en ces temps de crise, ce type de comportement est de plus en plus fréquent.

Si les cas de dommages volontaires sont marginaux et difficilement évitables, les risques liés à une pratique insouciante des technologies mises à la disposition des employés peuvent, eux, être circonscrits. Parmi les recommandations citons :

• la gestion des identités,
• le chiffrement,
• la biométrie,
• la mise en œuvre d’architectures VLAN qui isolent judicieusement les segments entre eux,
• l’utilisation de solutions de stockage centralisé des données.

L’homme est toujours le maillon faible de la chaîne”, rappelle Emmanuel Lehmann, consultant spécialisé et auteur du « Petit traité d’attaques subversives contre les entreprises » (Chiron, 2009).

Il est donc important d’appliquer une consigne simple, favorisée par la mise en œuvre d’une solution de sécurité centralisée : aucun fichier n’est stocké localement sur ordinateur. Les collaborateurs accèdent à leur environnement et à leurs informations, via une connexion sécurisée, y compris en situation de mobilité. Ainsi si le terminal est volé ou perdu, personne ne peut accéder aux données confidentielles. Dans ce genre de configuration, il est également plus simple de protéger les fichiers stockés contre les virus.

Nous sommes bien loin des traditionnels Antivirus/Firewall ! Pour limiter l’impact des menaces internes, il est par exemple possible de combiner des solutions de segmentation logique du LAN (adresses MAC, authentification, numéro de port, protocoles...) et d’encapsulation des informations, avec des systèmes de gestion des identités et des droits d’accès, qui tiennent compte des profils et des rôles des collaborateurs.

« Interdire ou autoriser n’est souvent pas un réglage suffisamment fin pour les entreprises », remarque Thierry Karsenti, titulaire de la Chaire de recherche du Canada, sur les TIC. Il est évident qu’avec le développement de la mobilité des collaborateurs, il devient essentiel de mettre en œuvre des systèmes de chiffrement, de contrôle d’accès avancé, via des solutions d’authentification forte, voire la biométrie. Ainsi par exemple, la reconnaissance des empreintes digitales par ordinateur portable réduit considérablement les risques de vol d’informations.

Les autorités publiques prennent parfois des mesures exemplaires afin que les entreprises protègent plus efficacement leurs données sensibles et augmentent leur intelligence économique. Ainsi, en Grande Bretagne, en août dernier, la Financial Services Authority infligeait une amende record de 2,7 millions d’euros à une grande compagnie d’assurance pour la perte de données personnelles de quelque 46000 clients, incluant numéros de comptes et de cartes bancaires.

Malgré les prises de conscience, les recommandations d’usage, les restrictions, et la mise en place de solutions qui limitent les risques, une faille peut toujours exister... D’ou l’utilité de mener un audit des modes de fonctionnement interne de l’entreprise, sans paranoïa, pour pointer les faiblesses éventuelles, évaluer les impacts, et trouver le bon dosage entre pilotage technique et management adéquat du comportement des salariés.

Frédéric Couradin, Ingénieur Commercial Jaguar Network