Que protégeons-nous ?

La cybersécurité consiste à protéger les informations et les systèmes qui les traitent contre les dommages. Ce labo porte entièrement sur la défense : comment repérer les problèmes, comment les réduire et comment s’en remettre. Tu n’y trouveras aucune recette d’attaque, et les menaces que tu rencontreras sont représentées par des formes et des signaux, jamais par des instructions.\n\nChaque entreprise, personne, adresse e-mail et adresse web de ce labo est inventée. Les adresses qui se terminent par .example ou .test et les blocs de nombres 192.0.2.x, 198.51.100.x et 203.0.113.x sont réservés à la documentation : ils ne désignent donc jamais un lieu réel.\n\nAvant de pouvoir défendre quoi que ce soit, nous devons préciser ce que signifie « protégé ». Les spécialistes de la sécurité utilisent trois mots, connus sous le nom de triade CIA (sans rapport avec une quelconque agence) :\n\n- Confidentialité : seules les personnes autorisées à voir les informations peuvent les consulter.\n- Intégrité : les informations n’ont pas été modifiées par quelqu’un qui ne devait pas les modifier, et tu peux le vérifier si c’est le cas.\n- Disponibilité : le système et les informations fonctionnent quand les bonnes personnes en ont besoin.

Un événement réel peut endommager un pilier, deux piliers ou les trois. Voici quelques exemples, tous inventés :\n\n| Ce qui s’est passé | Pilier touché |\n|---|---|\n| La base de données des clients est copiée et publiée en ligne | Confidentialité |\n| Quelqu’un modifie discrètement le numéro de compte sur une facture | Intégrité |\n| Le site web d’un magasin est inaccessible pendant toute une journée | Disponibilité |\n| Les dossiers des patients d’un hôpital sont verrouillés et ne peuvent pas être ouverts | Disponibilité (et éventuellement intégrité) |\n| Un message privé est lu par quelqu’un qui n’était pas censé le voir | Confidentialité |\n\nRemarque que la sécurité peut échouer sans qu’aucun secret ne soit divulgué. Une page web inaccessible est également un problème de sécurité, même si rien n’a été volé.

Les différents systèmes classent les piliers différemment. Il n'existe pas un seul ordre correct.

• Un album photo sur ton téléphone : la confidentialité est très importante (photos privées), tandis que la disponibilité l'est moins (tu peux attendre un jour).
• Le système de gestion des médicaments d'un hôpital : l'intégrité est essentielle (une dose modifiée peut blesser quelqu'un), tout comme la disponibilité (les infirmiers en ont besoin immédiatement).
• Un site météo public : la confidentialité importe peu, car les données sont destinées à être publiques, mais l'intégrité et la disponibilité sont importantes.

Les bons défenseurs commencent chaque projet par cette question : lequel des trois compte le plus ici, et à quoi ressemblerait une défaillance ? La réponse détermine où consacrer du temps et de l'argent.