Joseph Steinberg

La Cybersécurité

La Cybersécurité pour les Nuls

Titre de l’édition originale : Cybersecurity For Dummies

Pour les Nuls est une marque déposée de Wiley Publishing, Inc.

For Dummies est une marque déposée de Wiley Publishing, Inc.

Collection dirigée par Jean-Pierre Cano

Traduction : Daniel Rougé

Mise en page : maged

Edition française publiée en accord avec Wiley Publishing, Inc.

© Éditions First, un département d’Édi8, 2020

Éditions First, un département d’Édi8

12 avenue d’Italie

75013 Paris

Tél. : 01 44 16 09 00

Fax : 01 44 16 09 01

E-mail : firstinfo@efirst.com

Web : www.editionsfirst.fr

ISBN : 978-2-412-05074-3

ISBN numérique : 9782412054161

Dépôt légal : 1er trimestre 2020

Cette œuvre est protégée par le droit d’auteur et strictement réservée à l'usage privé du client. Toute reproduction ou diffusion au profit de tiers, à titre gratuit ou onéreux, de tout ou partie de cette œuvre est strictement interdite et constitue une contrefaçon prévue par les articles L 335-2 et suivants du Code de la propriété intellectuelle. L’éditeur se réserve le droit de poursuivre toute atteinte à ses droits de propriété intellectuelle devant les juridictions civiles ou pénales.

Ce livre numérique a été converti initialement au format EPUB par Isako www.isako.com à partir de l'édition papier du même ouvrage.

Introduction

En l’espace d’une seule génération, le monde a connu certains des plus grands changements depuis l’aube de l’humanité. La disponibilité d’Internet comme outil pour les consommateurs comme pour les entreprises, conjuguée à l'invention des appareils mobiles et des réseaux sans fil, a donné naissance à une révolution de l’information qui a eu des répercussions sur à peu près tous les aspects de l’existence humaine.

Toutefois, cette dépendance à l’égard de la technologie a également engendré d’énormes risques. Il semble qu’il ne se passe pas un jour sans qu’une nouvelle histoire d’atteinte à la protection des données, d’attaque cybernétique ou autre, n’émerge. Simultanément, du fait que l’humanité dépend de plus en plus de la technologie, les conséquences négatives potentielles des cyberattaques ont augmenté de façon exponentielle, au point que les personnes peuvent maintenant perdre leurs biens, leur réputation, leur santé ou même leur vie à la suite d’attaques informatiques.

Il n’est donc pas étonnant que les gens qui vivent dans le monde moderne comprennent la nécessité de se protéger des cyberdangers. Ce livre vous montre comment procéder pour y arriver.

À propos de ce livre

Bien que de nombreux ouvrages aient été écrits au cours des deux dernières décennies concernant un large éventail de sujets liés à la cybersécurité, la plupart d’entre eux ne fournissent pas au grand public l’information nécessaire pour se protéger de manière adéquate.

Le plus souvent, ces livres s’adressent à des publics très techniques et ont tendance à submerger les scientifiques non informaticiens d'informations qui leur sont étrangères, ce qui pose de graves problèmes aux lecteurs qui cherchent à traduire les connaissances qu’ils acquièrent depuis ces livres en actions pratiques. D’un autre côté, divers livres d’introduction à la cybersécurité autoédités par les auteurs souffrent de toutes sortes de sérieuses lacunes, y compris, dans certains cas, d’avoir été rédigés par des non-experts et de présenter une quantité importante d’informations erronées. Quiconque s’intéresse à la cybersécurité ne devrait la plupart du temps pas faire confiance à ces documents. De même, de nombreuses fiches-conseils en matière de sécurité ne font que relayer des clichés souvent répétés et des conseils obsolètes, amenant parfois les personnes qui suivent de telles recommandations à aggraver leur situation en matière de cybersécurité plutôt qu’à l’améliorer. De plus, la répétition presque constante de divers conseils de cybersécurité lancés par des personnalités des médias après des reportages sur des cyberattaques (« N'oubliez pas de réinitialiser tous vos mots de passe ! »), conjuguée à l'absence de conséquences pour la plupart des gens qui ne respectent pas ce genre de directives, a entraîné une forme de fatigue quant aux questions liées à la cybersécurité – si bien que les gens n’agissent pas quand ils le devraient, car ils ont trop souvent entendu crier au loup sans le voir apparaître au coin du bois...

J’ai écrit La cybersécurité pour les Nuls pour fournir aux personnes qui ne travaillent pas en tant que professionnels dans ce secteur un livre de base qui peut leur apprendre ce qu’ils doivent savoir sur la cybersécurité et leur expliquer pourquoi ils doivent le savoir. Ce livre vous offre des conseils pratiques, clairs et simples que vous pouvez facilement traduire en actions susceptibles de vous aider, vous et vos enfants, vos parents, ou encore des petites entreprises à rester « cybersécurisés ».

Ce livre est divisé en plusieurs parties.

Les Parties 1, 2 et 3 donnent un aperçu de la cybersécurité et fournissent des conseils pour vous protéger, vous et vos proches, contre les menaces externes et les erreurs dangereuses (et potentiellement désastreuses). Des sujets tels que la façon de sécuriser vos comptes en ligne ou encore de choisir et de protéger les mots de passe sont traités dans ces parties du livre.

La Partie 4 offre des conseils sur la protection des petites entreprises, conseils qui peuvent être particulièrement pertinents pour leurs dirigeants et leurs employés. Cette quatrième partie traite ensuite de certains des besoins particuliers en matière de sécurité auxquels sont confrontées les entreprises à mesure qu’elles grandissent, et aborde aussi des questions liées à la cybersécurité dans l’administration publique.

La Partie 5 vous montre comment identifier les atteintes à la sécurité. La Partie 6 couvre les procédures de sauvegarde, essentielles à appliquer de manière proactive avant que le besoin de récupération des données ne se fasse sentir, ainsi que la façon de s’en sortir après une faille de sécurité.

La Partie 7 se tourne vers l'avenir – à la fois pour ceux qui sont intéressés par une carrière liée à la cybersécurité (ou qui ont des enfants, ou d’autres parents ou des amis qui envisagent de le faire) et pour ceux qui s'intéressent à la façon dont les nouvelles technologies sont susceptibles d'influer sur leur propre cybersécurité personnelle.

La Partie 8 donne plusieurs listes de dix éléments que vous voudrez peut-être conserver sous forme de fiches-conseils.

Gardez à l'esprit que, même si vous assimilez toutes les informations contenues dans ce livre et que vous les mettez en pratique, vous améliorerez certes probablement considérablement votre comportement face aux problèmes de cybersécurité, mais que la lecture de ce livre ne fera pas plus de vous un expert en cybersécurité que la lecture d’un livre sur le fonctionnement du cœur humain ne vous transformera rapidement en cardiologue compétent.

La cybersécurité est un domaine complexe qui évolue rapidement et dans lequel les professionnels passent des années, voire des décennies, à étudier et à travailler à temps plein pour développer, perfectionner et maintenir les compétences et l'expertise qui leur servent constamment. Par conséquent, ne considérez pas les conseils contenus dans ce livre comme un substitut à l’embauche d’un professionnel pour toute situation qui justifierait raisonnablement celle-ci.

De plus, n'oubliez pas que les produits techniques changent assez souvent, de sorte que les captures d’écran incluses dans le livre peuvent ne pas être identiques aux écrans que vous observez lorsque vous effectuez des actions similaires à celles décrites dans le texte. Souvenez-vous : les menaces sur la cybersécurité évoluent constamment, tout comme les technologies et les approches utilisées pour les combattre.

Quelques suppositions stupides

Dans ce livre, je fais quelques suppositions sur votre niveau de compétence technologique :

• Vous avez de l’expérience dans l’utilisation d’un clavier et d’un pointeur, comme une souris, sur un Mac ou un PC Windows et vous avez accès à l’une de ces machines.

• Vous savez comment utiliser un navigateur Internet, comme Firefox, Chrome, Edge, Opera ou Safari.

• Vous savez comment installer des applications sur votre ordinateur.

• Vous savez comment effectuer une recherche Google (ou DuckDuckGo ou bien encore Qwant, plus respectueux de la vie privée).

Conventions utilisées dans ce livre

En explorant chaque partie de ce livre, gardez à l'esprit les points suivants :

• Les mots qui sont définis apparaissent en italique.

• Le code et les URL (adresses Web) sont affichés dans une police à espacement fixe.

Icônes utilisées dans ce livre

Tout au long de ce livre, vous trouverez en marge de petites images, connues sous le nom d'icônes. Ces icônes marquent des informations importantes :

L’icône Astuce identifie les endroits où j’offre des conseils supplémentaires pour rendre ce voyage plus intéressant ou plus clair. Ces conseils couvrent aussi certains raccourcis sympathiques que vous ne connaissiez peut-être pas.

L’icône Se rappeler signale des points importants que vous devriez garder présents à l’esprit.

L’icône Attention vous aide à vous protéger contre les erreurs courantes et peut même vous donner des conseils pour corriger vos propres erreurs.

Où aller à partir d’ici

La cybersécurité pour les Nuls est conçu de telle manière que vous n'avez pas besoin de lire ce livre dans l’ordre, ou même de le lire en entier.

Si vous avez acheté ce livre parce que vous avez, par exemple, été victime d'une attaque concernant la cybersécurité, vous pouvez passer directement à la Partie 5 sans lire les chapitres précédents (bien qu’il soit sage d’y revenir par la suite, car cela peut vous aider à éviter de devenir victime d'une autre cyberattaque).

Partie 1 Premiers pas avec la cybersécurité

Dans cette partie

Découvrez ce qu'est la cybersécurité et pourquoi il est plus difficile de la définir que vous ne le pensez.

Découvrez pourquoi des failles dans la sécurité semblent se produire si souvent et pourquoi la technologie à elle seule ne semble pas les arrêter.

Explorez divers types de cybermenaces courantes et d'outils de cybersécurité également courants.

Comprendre le qui, le comment et le pourquoi concernant divers types d'attaquants et de parties menaçantes mais qui ne sont pas officiellement malveillantes.

DANS CE CHAPITRE

Comprendre que la cybersécurité n'a pas le même sens pour toutes les entités.

•

Clarifier la différence entre cybersécurité et sécurité de l'information.

•

Comprendre pourquoi la cybersécurité est une cible en constante évolution.

•

Comprendre les objectifs de la cybersécurité.

•

Examiner les risques atténués par la cybersécurité.

Chapitre 1 C’est quoi exactement la cybersécurité ?

Pour améliorer votre capacité à assurer votre sécurité et celle de vos proches, vous devez comprendre ce que signifie la cybersécurité, quels devraient être vos objectifs en la matière et contre quoi vous vous prémunissez exactement.

Bien que les réponses à ces questions puissent sembler simples et directes à première vue, elles ne le sont pas. Comme vous allez le constater dans ce chapitre, ces réponses peuvent varier considérablement d’une personne à une autre, d’un type d’entreprise à un autre, d’une organisation à une autre, et y compris au sein d'une même entité à différents moments.

La cybersécurité signifie différentes choses pour différentes personnes

La cybersécurité peut sembler un terme assez simple à définir, mais dans la réalité, d'un point de vue pratique, elle signifie des choses très différentes pour différentes personnes dans différentes situations, ce qui conduit à des politiques, procédures et pratiques pertinentes extrêmement variées. Une personne qui veut protéger ses comptes de réseaux sociaux contre de possibles prises de contrôle par des pirates informatiques, par exemple, est extrêmement peu susceptible d’adopter bon nombre des approches et des technologies utilisées par les personnels du Pentagone pour protéger des réseaux classifiés.

Typiquement, par exemple :

• Pour les particuliers, la cybersécurité signifie que leurs données personnelles ne sont accessibles qu’à eux-mêmes et aux personnes qu’ils ont autorisées, et que leurs appareils informatiques fonctionnent correctement et sont exempts de malware.

• Pour les propriétaires de petites entreprises, la cybersécurité peut consister à s’assurer que les données des cartes de crédit sont bien protégées, et que les normes de sécurité des données sont correctement appliquées aux caisses des points de vente.

• Pour les entreprises qui font des affaires en ligne, la cybersécurité peut inclure la protection de serveurs avec lesquels des personnes extérieures non fiables interagissent régulièrement.

• Pour les fournisseurs de services partagés, la cybersécurité peut impliquer la protection de nombreux centres de données qui hébergent de multiples serveurs qui, à leur tour, hébergent des quantités de serveurs virtuels appartenant à de nombreuses organisations différentes.

• Pour un gouvernement, la cybersécurité peut inclure l’établissement de différentes classifications de données, chacune avec son propre ensemble de lois, politiques, procédures et technologies connexes.

En fin de compte, bien qu'il soit facile de définir le mot cybersécurité, les attentes pratiques qu’il évoque dans l’esprit des gens lorsqu’ils entendent ce mot varient beaucoup.

Techniquement parlant, la cybersécurité est le sous-ensemble du champ de la sécurité de l’information qui concerne l’information et les systèmes d’information qui stockent et traitent les données sous forme électronique, tandis que la sécurité de l’information en général englobe la sécurité de toutes les formes de données (par exemple, celles que contient un dossier papier ou encore un classeur).

Cela dit, aujourd’hui, beaucoup de gens échangent facilement ces termes, faisant souvent référence à des aspects de la sécurité de l’information qui, techniquement, ne relèvent pas spécifiquement de la cybersécurité. Un tel usage résulte également du mélange des deux notions dans de nombreuses situations. Techniquement parlant, par exemple, si quelqu’un écrit un mot de passe sur une feuille de papier qu’il laisse sur son bureau, où d’autres personnes peuvent le voir, au lieu de ranger cette feuille dans un coffre-fort, il a violé un principe de sécurité de l’information et non de cybersécurité, même si ses actions peuvent entraîner de graves répercussions sur cette dernière.

La cybersécurité est une cible en constante évolution

Bien que le but ultime de la cybersécurité puisse ne pas varier beaucoup avec le temps, les politiques, les procédures et les technologies utilisées pour y parvenir changent radicalement au fil des ans. De nombreuses approches et technologies qui étaient plus qu’adéquates pour protéger les données numériques des consommateurs en 1980, par exemple, ne valent plus rien aujourd’hui, soit parce qu’elles ne sont plus commodes à utiliser, soit parce que les progrès technologiques les ont rendues obsolètes ou inopérantes.

Tout en dressant une liste complète de tous les progrès réalisés dans le monde au cours des dernières décennies et de la manière dont ces changements ont eu un impact sur la cybersécurité, nous pouvons examiner plusieurs domaines clés de ce développement et leurs impacts sur la nature en constante évolution de la cybersécurité : changements technologiques, changements de modèles économiques et externalisation.

Changements technologiques

Les changements technologiques ont un impact considérable sur la cybersécurité. Les nouveaux risques s’accompagnent en même des nouvelles capacités et commodités qu'apportent les nouvelles offres. Par conséquent, à mesure que le progrès technologique continue de croître, le rythme des nouveaux risques liés à la cybersécurité s’accélère également. Si le nombre des risques créés au cours des dernières décennies par ces nouvelles offres est stupéfiant, les domaines décrits dans les sections suivantes ont eu un impact disproportionné sur la cybersécurité.

Données numériques

Au cours des dernières décennies, on a assisté à des changements spectaculaires dans les technologies existantes, ainsi qu’en ce qui concerne les personnes qui utilisent ces technologies, la façon dont elles le font et à quelles fins elles le font. Tous ces facteurs ont un impact sur la cybersécurité.

Considérez, par exemple, que, lorsqu'une bonne partie des personnes aujourd'hui en vie étaient des enfants, le contrôle de l’accès aux données dans un environnement commercial signifiait simplement que le propriétaire de ces données rangeait un fichier physique contenant l'information dans un classeur verrouillé, et qu’il donnait la clé uniquement aux personnes reconnues comme étant des employés autorisés, et seulement quand elles la demandaient pendant les heures de travail. Pour plus de sécurité, le classeur se trouvait peut-être dans un bureau qui était fermé à clé après les heures de travail, bureau qui se trouvait lui-même dans un immeuble également fermé à clé et pourvu d’une alarme.

Aujourd’hui, avec le stockage numérique de l’information, cependant, les systèmes simples de classement et de protection ont été remplacés par des technologies complexes qui doivent authentifier automatiquement les utilisateurs qui recherchent les données à partir de n’importe quel endroit et à tout moment, déterminer si les utilisateurs sont autorisés à accéder à un élément particulier ou bien à un ensemble de données, et livrer ces données en toute sécurité, tout en prévenant toute attaque du système qui traite les requêtes, ainsi que toute attaque des données pendant leur transit et en opérant les contrôles de sécurité qui protègent les deux.

De plus, le passage de la communication écrite au courrier électronique et à la messagerie instantanée a fait que d’énormes quantités d’informations sensibles transitent sur des serveurs connectés à Internet. De même, le passage d’une société de la pellicule à la photographie et à la vidéographie numériques a accru les enjeux de la cybersécurité. Pratiquement toutes les photographies et les vidéos prises aujourd'hui sont stockées électroniquement plutôt que sur film ou négatifs – une situation qui a permis à des criminels situés n’importe où de voler les images des gens et de les divulguer, ou de s’en servir pour réclamer une rançon. Le fait que les films et les émissions de télévision soient désormais stockés et transmis électroniquement a également permis aux pirates de les copier et de les offrir au grand public – parfois via des sites Web infestés de logiciels malveillants.

L’Internet

Le progrès technologique le plus important en matière de cybersécurité a été l’arrivée de l’ère d’Internet. Il y a quelques décennies à peine, il était inconcevable que des pirates informatiques se trouvant n’importe où dans le monde puissent perturber une entreprise, manipuler une élection ou voler un milliard de dollars. Aujourd’hui, aucune personne bien informée n’écarterait de telles possibilités.

Avant l'ère d'Internet, il était extrêmement difficile pour le pirate moyen de tirer un profit financier de ses activités. L'arrivée des services bancaires et commerciaux en ligne dans les années 1990 a signifié toutefois que les hackers pouvaient voler directement de l’argent ou des biens et des services – impliquant non seulement que les pirates soient à même de monétiser rapidement et facilement leurs efforts, mais aussi que des personnes dépourvues d'éthique soient fortement incitées à entrer dans le monde de la cybercriminalité.

Cryptomonnaies

L’arrivée et la prolifération des cryptomonnaies au cours de la dernière décennie, ainsi que les innovations qui ont considérablement accru le potentiel de retour sur investissement des cybercriminels, tout en augmentant leur capacité à gagner de l’argent en se cachant dans le même temps, sont venues aggraver ces facteurs. Par le passé, les criminels devaient faire face à un défi lorsqu'ils recevaient des paiements, car le compte sur lequel ils retiraient au final de l'argent pouvait souvent leur être lié. Les cryptomonnaies ont effectivement éliminé ces risques.

Main-d’œuvre mobile et accès omniprésent

Il n’y a pas si longtemps, à l’ère pré-Internet, il était impossible pour les pirates informatiques d’accéder à distance aux systèmes des entreprises, parce que les réseaux de celles-ci n’étaient connectés à aucun réseau public et n’avaient souvent aucune capacité de connexion. Les cadres en déplacement appelaient simplement leurs assistants pour vérifier leurs messages et obtenir les données nécessaires pendant qu’ils étaient au loin.

La connectivité à Internet présentait certains risques, mais au départ, les pare-feu ne permettaient pas aux personnes extérieures à l’organisation de lancer des communications – ainsi, à l'exception d'erreurs de configuration des pare-feu ou de bogues, la plupart des systèmes internes demeuraient relativement isolés. À l’aube du commerce électronique et des banques en ligne, certains systèmes de production devaient bien sûr être accessibles et adressables depuis l’extérieur, mais les réseaux de collaborateurs, par exemple, restaient généralement isolés.

L’arrivée des technologies d’accès à distance – d’abord par des services comme Outlook Web Access et pcAnywhere, puis par des accès VPN complets et de ce type – a totalement changé la donne.

Appareils intelligents

De même, l’arrivée des dispositifs intelligents et de l’Internet des objets (l’univers des dispositifs qui ne sont pas des ordinateurs traditionnels, mais qui sont connectés à Internet) – dont la prolifération et l'expansion se déroulent actuellement à un rythme effarant – signifie que les machines classiques, réputées inviolables, sont rapidement remplacées par des dispositifs qui peuvent potentiellement être contrôlés par des pirates qui se trouvent n’importe où dans le monde. Les risques énormes créés par ces dispositifs sont examinés plus en détail au Chapitre 17.

Big Data

Bien que l’ère dite du big data (ces énormes masses de données) contribue à faciliter la création de nombreuses technologies de cybersécurité, elle produit également des opportunités pour les attaquants. En corrélant de grandes quantités d’informations sur les personnes qui travaillent pour une organisation, par exemple, un criminel peut plus facilement qu'auparavant identifier les méthodes idéales d’ingénierie sociale permettant de se frayer un chemin dans l’organisation, ou de localiser et d’exploiter les vulnérabilités possibles de l’infrastructure de la société. Par conséquent, de nombreuses organisations ont été forcées de mettre en place toutes sortes de contrôles pour prévenir les fuites d’information.

Des livres entiers ont été écrits sur l’impact du progrès technologique. Le principal point à comprendre est que les progrès technologiques ont eu un impact significatif sur la cybersécurité, rendant de ce fait la sécurité plus difficile à assurer et augmentant les enjeux lorsque les parties ne parviennent pas à protéger correctement leurs actifs.

Changements sociaux

Divers changements dans la façon dont les humains se comportent et interagissent entre eux ont également eu un impact majeur sur la cybersécurité. Internet, par exemple, permet aux gens du monde entier d’interagir en temps réel. Bien entendu, cette même interaction en temps réel fournit également aux criminels du monde entier l’opportunité de commettre des crimes à distance. Mais elle permet aussi aux citoyens de pratiquement tous les pays et tous les régimes de communiquer, ce qui crée des opportunités de contrecarrer la propagande de systèmes répressifs. En même temps, cela offre également aux « cyberguerriers » des gouvernements en conflit la possibilité de lancer des attaques via le même réseau.

La conversion de divers systèmes de gestion de l’information du papier à l’ordinateur, de l’ordinateur isolé à l’ordinateur connecté à Internet, et de l’ordinateur de bureau accessible uniquement au bureau à l’ordinateur ou au téléphone intelligent, a radicalement changé l’équation en ce qui concerne les informations que les pirates peuvent voler. En outre, dans de nombreux cas où, pour des raisons de sécurité, de telles évolutions n’ont pas été opérées dès le début, la pression exercée aujourd’hui par les gens – qui s’attendaient à ce que toutes les données leur soient accessibles en tout temps et de partout – a forcé de telles évolutions à se produire, créant de nouvelles opportunités pour les criminels. Pour le plus grand plaisir des hackers, de nombreuses organisations qui, par le passé, protégeaient judicieusement les informations sensibles en les gardant hors ligne ont tout simplement perdu la possibilité de bénéficier de telles protections si elles voulaient rester en activité.

Les réseaux sociaux ont également transformé le monde de l’information – les gens sont de plus en plus habitués à partager beaucoup plus d’informations sur eux-mêmes qu’autrefois – souvent avec un public beaucoup plus large qu’auparavant. Aujourd’hui, en raison du changement de comportement à cet égard, il est enfantin pour les malfaiteurs, où qu’ils se trouvent, de dresser la liste des amis, collègues professionnels et parents d’une cible, et d’établir des mécanismes de communication avec toutes ces personnes. De même, il est plus facile que jamais de savoir quelles technologies une entreprise utilise et à quelles fins, de connaître les horaires de voyage des gens, leurs opinions sur divers sujets, ou encore leurs goûts en matière de musique et de cinéma. La tendance vers un partage accru se poursuit. La plupart des personnes ignorent aveuglément combien d’informations les concernant sont stockées sur des machines connectées à Internet, et combien d’autres informations les concernant également peuvent être extrapolées à partir de ces données.

Tous ces changements sociétaux se sont traduits par une réalité effrayante : un malfaiteur peut facilement lancer une attaque d’ingénierie sociale beaucoup plus importante et plus sophistiquée aujourd’hui qu’il y a moins d’une décennie.

Modifications du modèle économique

La connexion de la quasi-totalité du monde a permis à l’Internet de faciliter d'autres tendances ayant d'énormes ramifications en matière de cybersécurité. Des modèles opérationnels autrefois impensables, comme celui d’une société américaine utilisant un centre d’appels en Inde et un atelier de développement de logiciels aux Philippines, sont devenus le pilier de nombreuses entreprises. Ces changements, cependant, créent des risques de cybersécurité de toutes sortes.

Au cours des 20 dernières années, on a assisté à une croissance considérable de l’externalisation de diverses tâches, depuis les endroits où elles sont plus coûteuses à exécuter jusqu’aux régions où elles peuvent l’être à des coûts beaucoup moins élevés. L’idée qu’une entreprise aux États-Unis puisse compter principalement sur des programmeurs en Inde ou aux Philippines, ou qu’une personne à New York cherchant à faire fabriquer un logo pour son entreprise puisse, peu de temps avant d'aller se coucher, payer 5,50 $ à quelqu'un qui se trouve à l'autre bout du monde pour le créer, et récupérer le logo dans sa boîte aux lettres électronique dès son réveil le lendemain matin, aurait pu sembler une science-fiction économique il y a tout au plus une génération. Aujourd’hui, non seulement c’est courant, mais dans de nombreux cas, c’est la méthode la plus répandue pour obtenir de tels résultats.

Bien sûr, il en résulte de nombreuses ramifications en matière de cybersécurité. Les données transmises doivent être protégées contre la destruction, la modification et le vol, et il faut s’assurer que des portes dérobées ne sont pas insérées intentionnellement ou par inadvertance dans le code. De plus grandes protections sont nécessaires pour prévenir le vol de la propriété intellectuelle et d’autres formes d’espionnage d’entreprise. Les pirates n’ont plus nécessairement besoin d'attaquer directement une organisation qu'ils cherchent à pirater : ils n'ont qu'à compromettre un ou plusieurs de ses fournisseurs, qui peuvent être beaucoup moins prudents quant à leurs pratiques de sécurité concernant l’information et les personnels que la cible ultime.

Changements politiques

Comme dans le cas des progrès technologiques, les changements politiques ont eu d’énormes répercussions sur la cybersécurité, dont certaines semblent faire en permanence la une des journaux. La combinaison d’un pouvoir gouvernemental et d’une technologie puissante s’est souvent révélée coûteuse pour les citoyens. Si les tendances actuelles se maintiennent, l’impact sur la cybersécurité des divers changements politiques ne fera que croître dans un avenir prévisible.

Collecte des données

La prolifération de l’information en ligne et la capacité d’attaquer des machines dans le monde entier ont permis aux gouvernements d’espionner les citoyens de leur propre pays et les résidents d’autres pays dans une proportion jamais atteinte auparavant.

De surcroît, comme de plus en plus d’activités commerciales, personnelles et sociétales laissent derrière elles des empreintes numériques, les gouvernements ont facilement accès à une quantité beaucoup plus grande d’informations sur leurs cibles potentielles que ce n’était le cas il y a quelques années seulement, et à des coûts beaucoup plus élevés à l’époque. Si l’on y ajoute le prix relativement faible du stockage numérique, l’évolution des technologies du big data et la possible impuissance attendue de nombreuses technologies de cryptage actuelles, les gouvernements sont fortement incités à collecter et stocker autant de données que possible sur autant de personnes qu’ils le peuvent, au cas où elles seraient utiles un jour. Il ne fait guère de doute que certains gouvernements font déjà exactement cela.

Les conséquences à long terme de ce phénomène sont évidemment encore inconnues, mais une chose est claire : si les entreprises ne protègent pas correctement les données, il est probable que des pays pas vraiment amis les obtiendront et les conserveront pour les utiliser à court ou à long terme, ou les deux.

Ingérence électorale

Il y a une génération, l’ingérence d’un pays dans les élections d’un autre pays n’était pas anodine. Bien sûr, cette pratique existait – c’est le cas depuis qu’il y a des élections – mais mener d’importantes campagnes d’ingérence la rendait coûteuse, gourmande en ressources et risquée.

Pour diffuser de la désinformation et d'autres formes de propagande, il fallait imprimer et distribuer physiquement le matériel, ou l’enregistrer et le transmettre par radio, ce qui signifiait que des campagnes individuelles n'atteindraient probablement qu'un public restreint. De ce fait, de tels efforts produisaient souvent des résultats très faibles en termes d'efficacité, et le risque que le parti qui menait la campagne se trouve publiquement exposé était relativement élevé.

Manipuler les bases de données des inscriptions électorales pour empêcher les électeurs légitimes de voter et/ou pour permettre à de faux électeurs de voter était extrêmement difficile et comportait des risques énormes. Quelqu'un « travaillant de l'intérieur » aurait probablement dû être un traître. Dans un pays comme les États-Unis, où les bases de données électorales sont décentralisées et gérées au niveau des comtés, il aurait probablement été impossible de recruter suffisamment de saboteurs pour vraiment influer sur une élection majeure, et les chances de se faire prendre en tentant de le faire étaient tout aussi probablement extrêmement élevées. De même, toujours dans le cas des États-Unis, à l’époque des bulletins de vote papier et du dépouillement manuel, il était pratiquement impossible pour une puissance étrangère de manipuler à grande échelle le décompte réel des voix.

Aujourd’hui, cependant, le jeu a changé. Un gouvernement peut facilement diffuser de la désinformation par le biais des réseaux sociaux pour un coût extrêmement bas. S’il élabore une campagne bien pensée, il peut compter sur d’autres personnes pour diffuser la désinformation – ce que les gens ne pouvaient pas faire en masse à l’époque des enregistrements radiophoniques et des tracts imprimés. La capacité d’atteindre beaucoup plus de gens, à un coût beaucoup plus bas que jamais auparavant, a permis à un plus grand nombre de partis d’intervenir dans les campagnes politiques et de le faire avec plus d'efficacité que par le passé. De même, les gouvernements peuvent diffuser des informations erronées pour attiser le mécontentement des citoyens au sein de nations adverses, et répandre l’hostilité entre groupes ethniques et religieux vivant dans des pays étrangers.

Les bases de données d’inscription des électeurs étant stockées électroniquement et parfois sur des serveurs qui sont, au moins indirectement, connectés à Internet, il est possible d'ajouter, de modifier ou de supprimer des enregistrements à l’autre bout du monde sans être détecté. Même si un tel piratage est, en réalité, impossible, le fait que de nombreux citoyens y croient aujourd’hui a conduit à miner la confiance dans les élections, un phénomène dont nous avons été témoins ces dernières années et qui a gagné toutes les couches de la société. Par exemple, Jimmy Carter, ancien président des États-Unis, a déclaré qu’il croyait qu’une enquête complète sur l’élection présidentielle de 2016 montrerait que Donald Trump avait perdu les élections – bien qu’il n’y ait absolument aucune preuve pour appuyer une telle conclusion, même après une enquête approfondie du FBI en la matière.

Il n'est pas difficile non plus d'imaginer que, si jamais le vote en ligne devait voir le jour, le potentiel de manipulation de ce vote par des gouvernements étrangers, des criminels et même des partis politiques au sein de la nation – mais aussi de disparition du contrôle des bulletins de vote tel qui existe actuellement – augmenterait de façon astronomique.

Il y a moins d’une décennie, les États-Unis ne considéraient pas les systèmes informatiques liés aux élections comme des infrastructures essentielles, et ne subventionnaient pas directement la sécurisation de ces systèmes par des fonds fédéraux. Aujourd’hui, la plupart des gens comprennent que le besoin de cybersécurité dans ces domaines est d’une importance capitale, et le comportement qui prévalait il y a quelques années à peine semble aujourd’hui tout simplement fou.

Hacktivisme

L'expansion de la démocratie à l'occidentale depuis l'effondrement de l'Union soviétique il y a une génération, associée à l’interaction via Internet entre les peuples du monde entier, a inauguré l’ère du hacktivisme (un mot-valise formé à partir de hacker et d’activisme). Les gens sont au courant de ce qui se passe dans un plus grand nombre d’endroits que par le passé. Des pirates informatiques en colère au sujet d’une certaine politique ou d’une certaine activité gouvernementale à un endroit donné peuvent cibler ce gouvernement, ou même les citoyens du pays qu’il gouverne, depuis des contrées éloignées.

Une plus grande liberté

Dans le même temps, les personnes opprimées peuvent maintenant être plus conscientes du mode de vie des habitants des pays plus libres et plus prospères, un phénomène qui a à la fois forcé certains gouvernements à libéraliser leurs politiques, et motivé d’autres à mettre en place ou renforcer des contrôles de type cybersécurité pour empêcher l’utilisation de divers services sur Internet.

Sanctions

Une autre ramification politique de la cybersécurité concerne les sanctions internationales : les états visés par des mesures d'embargo ont pu utiliser la cybercriminalité sous diverses formes pour contourner ces sanctions.

Par exemple, on pense que la Corée du Nord a répandu des logiciels malveillants s'installant sur des ordinateurs dans le monde entier afin de miner de la cryptomonnaie, permettant ainsi au pays de contourner les sanctions en obtenant de l’argent frais qui peut facilement être dépensé n’importe où.

À notre époque, l’incapacité des individus à sécuriser de manière adéquate leurs ordinateurs personnels peut donc avoir un impact direct sur des négociations politiques.

Créer un nouvel équilibre des pouvoirs

Si les armées de certaines nations sont depuis longtemps devenues plus puissantes que celles de leurs adversaires – la qualité et la quantité des armes varient considérablement d’une nation à l’autre – l’équilibre des pouvoirs en matière de cybersécurité est totalement différent.

Si la qualité des cyberarmes (cyberweapons en anglais) peut varier d'un pays à l'autre, le fait que le lancement d'une cyberattaque coûte peu cher ne signifie pas que toutes les armées disposent d'un approvisionnement effectivement illimité des armes qu’elles utilisent. En fait, dans la plupart des cas, lancer des millions de cyberattaques ne coûte guère plus cher que d’en lancer une seule.

De plus, contrairement à ce qui se passe dans le monde physique où tout pays qui aurait bombardé des maisons civiles sur le territoire de son ennemi peut faire face à de sévères représailles, les gouvernements voyous piratent régulièrement et en toute impunité des personnes dans d’autres pays. Souvent, les victimes ignorent totalement qu’elles ont été compromises, signalent rarement de tels incidents aux forces de l’ordre et ne savent certainement pas à qui imputer la faute.

Même lorsqu’une victime se rend compte qu’une violation s’est produite, et même lorsque les experts techniques désignent les véritables coupables, les états à l'origine de ces attaques affichent souvent un déni plausible, empêchant ainsi tout gouvernement de riposter publiquement. En fait, la difficulté de déterminer la source des cyberattaques ainsi que la facilité avec laquelle il est possible de les nier incitent fortement les gouvernements à utiliser ces méthodes pour attaquer un adversaire de manière proactive, en répandant diverses formes de désordres sans craindre d’importantes représailles.

De plus, le monde de la cybersécurité a créé un énorme déséquilibre entre agresseurs et défenseurs qui profite aux nations moins puissantes.

Les gouvernements qui n’ont jamais pu se permettre de lancer d’énormes tirs de barrage contre un adversaire dans le monde physique peuvent facilement le faire dans le monde cybernétique, où lancer chaque attaque ne coûte presque rien. Par conséquent, les agresseurs peuvent se permettre de continuer à attaquer jusqu’à ce qu’ils réussissent – et ils n’ont besoin de violer les systèmes qu’une seule fois pour « réussir » – créant un énorme problème pour les défenseurs qui doivent protéger leurs biens contre chaque attaque. Ce déséquilibre s’est traduit par un avantage majeur pour les attaquants par rapport aux défenseurs et a fait que même des puissances mineures peuvent briser avec succès des systèmes appartenant à des superpuissances.

En fait, ce déséquilibre contribue à la raison pour laquelle les atteintes à la cybersécurité semblent se produire si souvent, car de nombreux hackers continuent simplement à attaquer jusqu’à ce qu’ils réussissent. Si une organisation se défend avec succès contre 10 millions d'attaques mais ne parvient pas à en arrêter 10 000 001, alors elle peut subir une violation grave et faire la une de l'actualité. Les rapports qui sont rendus publics ne mentionneront probablement même pas le fait qu'elle a un taux de réussite de 99,99999999 % dans la protection de ses données et qu'elle a réussi à arrêter les attaquants un million de fois d'affilée. De même, si une entreprise a installé 99,999 % des correctifs possibles, mais a négligé de se protéger contre une seule vulnérabilité connue, elle risque de subir une brèche en raison du nombre de portes d’entrée disponibles pour les criminels. Les médias souligneront l’échec de l’organisation à corriger correctement ses failles, en négligeant son dossier presque parfait dans le domaine de la cybersécurité.

De même, l'ère de la cybernétique a également modifié l'équilibre du pouvoir entre les criminels et les forces de l’ordre.

Les criminels savent que les chances d’être arrêtés et poursuivis avec succès pour un méfait cybernétique sont nettement plus faibles que pour la plupart des autres crimes. De ce fait, des tentatives répétées et infructueuses pour commettre un crime cybernétique ne constituent pas un risque avéré de se faire arrêter, comme pour la plupart des autres délits. Les pirates sont également conscients que les organismes chargés d’appliquer la loi n’ont généralement pas les ressources nécessaires pour poursuivre la grande majorité des cybercriminels. Traquer, arrêter et poursuivre avec succès quelqu’un qui vole des données à l’autre bout du monde via de multiples sauts dans de nombreux pays et un réseau d’ordinateurs appartenant à des personnes parfaitement respectueuses des lois mais piratées sans qu’elles ne s’en aperçoivent, par exemple, exige de rassembler et de consacrer beaucoup plus de ressources que le simple fait d’attraper un petit voleur qui a été enregistré par une caméra de surveillance dans un magasin.

Vu le faible coût des attaques répétées et les chances de succès en leur faveur, les risques de se faire prendre et punir sont très faibles. De surcroît, les profits potentiels augmentent avec l’accroissement de la numérisation, et les criminels savent que la cybercriminalité paie, ce qui souligne d’autant plus les raisons pour lesquelles vous devez vous protéger.

Examiner les risques que la cybersécurité atténue

Les gens expliquent parfois que la cybersécurité est importante parce qu’elle « empêche les pirates de pénétrer dans les systèmes et de voler des données et de l'argent ». Mais une telle description sous-estime dramatiquement le rôle que joue la cybersécurité dans la protection de la maison, de l’entreprise ou même du monde moderne.

En fait, le rôle de la cybersécurité peut être examiné sous différents angles, chacun présentant un ensemble d'objectifs différents. Bien sûr, les listes suivantes ne sont pas complètes, mais elles devraient vous donner matière à réflexion et souligner l’importance de comprendre comment vous protéger et protéger vos proches sur Internet.

L’objectif de la cybersécurité : la triade de la CIA

Les professionnels de la cybersécurité expliquent souvent que l’objectif est dans ce domaine d'assurer la confidentialité, l'intégrité et la disponibilité (CID) des données, parfois appelées la Triade de la CIA, avec un jeu de mots évident pour les anglicistes :

NdT : En anglais, l'expression classique est Confidentiality, Integrity, Availability, soit en résumé CIA.

• La confidentialité consiste à s’assurer que l’information n’est pas divulguée ou mise à la disposition d’entités non autorisées (y compris des personnes, des organisations ou des processus informatiques) de quelque manière que ce soit.

Ne confondez pas confidentialité et vie privée : la confidentialité est un sous-ensemble du domaine de la vie privée. Elle traite spécifiquement de la protection des données contre les visiteurs non autorisés, alors que la protection de la vie privée en général est beaucoup plus large.

Les hackers qui volent des données compromettent la confidentialité.

• L'intégrité consiste à s’assurer que les données sont à la fois exactes et complètes.

L’exactitude signifie, par exemple, que les données ne sont jamais modifiées de quelque façon que ce soit par une partie non autorisée ou suite à un problème technique. La complétude fait référence, par exemple, aux données qui n’ont pas été partiellement supprimées par une partie non autorisée ou par un problème technique.

L’intégrité inclut également la non-répudiation, ce qui signifie que les données sont créées et traitées d’une manière telle que personne ne peut raisonnablement soutenir qu’elles ne sont pas authentiques ou sont inexactes.

Les cyberattaques qui interceptent des données et les modifient avant de les relayer vers leur destination – parfois appelées attaques de l’homme du milieu – minent l’intégrité.

• La disponibilité consiste à s’assurer que l’information, les systèmes utilisés pour la stocker et la traiter, les mécanismes de communication permettant d’y accéder et de la relayer, et tous les contrôles de sécurité connexes fonctionnent correctement pour répondre à certains critères spécifiques (par exemple, un temps de disponibilité de 99,99 %). Les personnes extérieures au domaine de la cybersécurité considèrent parfois la disponibilité comme un aspect secondaire de la sécurité de l’information après la confidentialité et l’intégrité. En fait, assurer la disponibilité fait partie intégrante de la cybersécurité. Toutefois, il est parfois plus difficile d’y arriver que d’assurer la confidentialité ou l’intégrité. L’une des raisons en est que le maintien de la disponibilité exige souvent la participation d’un plus grand nombre de professionnels qui ne sont pas des spécialistes de la cybersécurité, ce qui entraîne un défi du type « trop de cuisiniers dans la cuisine », surtout dans les grandes organisations. Les attaques par déni de service distribué tentent de saper la disponibilité. En outre, considérez que les attaques DDoS utilisent souvent une grande quantité de puissance informatique et de bande passante volées, alors que, en face, les intervenants qui cherchent à assurer la disponibilité ne peuvent tirer parti que de la quantité relativement faible de ressources dont ils peuvent disposer.

D’un point de vue humain

Les risques auxquels la cybersécurité s’attaque peuvent aussi être envisagés en des termes qui reflètent mieux l'expérience humaine :

• Risques sur la vie privée : Risques découlant de la perte potentielle d’un contrôle adéquat ou de l’utilisation abusive de renseignements personnels ou d’autres informations confidentielles.

• Risques financiers : Risques de pertes financières dues au piratage informatique. Les pertes financières peuvent inclure à la fois celles qui sont directes – par exemple, le vol d’argent dans le compte bancaire d’une personne suite à un piratage de ce compte – et celles qui sont indirectes, comme la perte de clients qui ne font plus confiance à une petite entreprise après que celle-ci a subi une atteinte à la sécurité.

• Risques professionnels : Risques pour la carrière professionnelle d’une personne qui découlent de violations. De toute évidence, des professionnels de la cybersécurité risquent de subir un préjudice professionnel s’il est établi qu’une violation s’est produite sous leur surveillance et qu’elle est due à une négligence de leur part, mais d’autres types de métiers peuvent également subir un préjudice professionnel pour des raisons semblables. Les cadres supérieurs peuvent être congédiés, les membres du conseil d’administration peuvent être poursuivis en justice, et ainsi de suite. Des dommages professionnels risquent également de survenir si des hackers divulguent des communications privées ou des données qui montrent quelqu’un sous un mauvais jour – par exemple, des enregistrements indiquant qu’une personne a fait l’objet de mesures disciplinaires pour une action inappropriée, envoyé un courriel contenant du matériel répréhensible, etc.

• Risques d'entreprise : Risques pour une entreprise similaires aux risques professionnels pour un individu. Par exemple, des documents internes ont fait l’objet il y a quelques années de fuites à la suite d’une violation des systèmes de Sony Pictures, montrant l’entreprise sous un jour négatif à l’égard de certaines de ses pratiques en matière de rémunération.

• Risques personnels : De nombreuses personnes stockent des informations privées sur leurs appareils électroniques, qu’il s’agisse de photos explicites ou d’enregistrements de leur participation à des activités qui peuvent ne pas être jugées respectables par les membres de leurs cercles sociaux respectifs. De telles données peuvent parfois causer un préjudice important aux relations personnelles si elles fuitent. De même, le vol de données personnelles peut aider des criminels à dérober l’identité d’individus, ce qui risque d’entraîner toutes sortes de problèmes personnels.