Commencez par un modèle de menace

Il est tentant d’aborder ce cours en cherchant une liste de tâches : activez ceci, installez cela, et voilà. Le guide Surveillance Self-Defense de l’Electronic Frontier Foundation défend de commencer ailleurs en premier, par un exercice court qu’il appelle « votre plan de sécurité ». La raison est simple : personne ne peut protéger tout contre tout le monde, et essayer mène soit à l’abandon, soit à gaspiller des efforts sur des protections qui ne correspondent pas au risque réel.

Cinq questions, pas un seul réglage

L’EFF présente la planification de la sécurité comme une série de questions à traiter dans l’ordre, plutôt qu’une décision unique :

1. Que est-ce que je veux protéger ? L’EFF appelle cela un actif : « quelque chose que vous valorisez et voulez protéger. Dans le contexte de la sécurité numérique, un actif est généralement une forme d’information. » L’identité de votre source, le dossier d’un client, votre historique de localisation, votre liste de contacts, sont tous des actifs.
2. De qui est-ce que je veux le protéger ? L’EFF définit un adversaire comme « une personne ou une entité qui représente une menace pour vos actifs ». Un proche curieux, un ex-partenaire, un criminel et un service de renseignement d’État sont des adversaires différents, et se défendre contre l’un ne défend pas automatiquement contre l’autre.
3. À quel point les conséquences seraient-elles graves en cas d’échec ? Perdre une photo n’est pas la même chose que le nom d’une source parvenant à la mauvaise personne. Évaluez le dommage réel, pas seulement la possibilité.
4. Quelle est la probabilité que j’aie besoin de le protéger ? Possible n’est pas la même chose que probable. Un plan construit autour du scénario le moins probable ignore souvent le plus probable.
5. Combien d’efforts suis-je prêt à fournir pour éviter ces conséquences ? L’EFF est directe : « il n’existe pas d’option parfaite pour la sécurité », et chaque protection implique un compromis en coût, en temps ou en confort.

L’EFF ajoute une sixième considération facile à oublier : les alliés. Comme le formule le guide, « la confidentialité et la sécurité numériques sont un sport d’équipe », et un plan qui ne couvre que votre propre appareil peut encore être défait par quelqu’un avec qui vous travaillez et qui n’a pas fait les mêmes choix.

Pourquoi l’ordre compte

Répondre à ces questions dans l’ordre change ce que vous faites ensuite. Quelqu’un dont l’actif principal est les documents juridiques d’un client et dont l’adversaire est une partie adverse a un plan différent de celui d’un journaliste dont l’actif est l’identité d’une source et dont l’adversaire peut contraindre un opérateur téléphonique à livrer des relevés. Les quatre leçons restantes de ce cours, les comptes, l’appareil lui-même, le réseau, et les sauvegardes, sont les outils à usage général ; vos réponses ici décident lesquels prioriser, et jusqu’où pousser chacun.