Actifs, menaces et choix de contrôles proportionnés

Les efforts de sécurité sont limités : le temps, l’argent et le degré de friction que vous et vos collègues tolérerez avant de renoncer à une mesure de protection. La publication spéciale 800-30 du NIST, le guide d’évaluation des risques du gouvernement américain, existe pour que cet effort aboutisse là où cela compte. Il définit l’évaluation des risques comme « le processus d’identification, d’estimation et de priorisation des risques », et son idée centrale se décline facilement : une ONG composée de deux personnes peut répondre aux quatre mêmes questions qu’une grande agence, mais plus rapidement et avec moins de paperasse.

Les quatre termes qui font que l’évaluation des risques fonctionne

Un exemple concret : la liste des donateurs

Prenez la feuille de calcul des donateurs d’une petite ONG, conservée dans un dossier cloud partagé. L’atout est constitué des noms, adresses e-mail et montants des dons des donateurs. Une menace plausible est l’envoi d’un e-mail de phishing adressé à toute personne disposant d’un accès en modification, dans le but de voler son identifiant. La vulnérabilité est que le lien vers le dossier n'a besoin que d'un mot de passe, pas d'un deuxième facteur, et que ce mot de passe est réutilisé ailleurs. La probabilité est significative (le phishing est courant, comme dans la leçon précédente) et l'impact est réel mais pas catastrophique : embarras, éventuellement inquiétude du donateur, pas danger physique. Cette combinaison indique des contrôles proportionnés : une authentification multifacteur sur le compte, un mot de passe unique et une limitation de l'accès aux modifications aux personnes qui en ont réellement besoin - sans, par exemple, mettre la liste entièrement hors ligne ou acheter un logiciel de sécurité d'entreprise que l'organisation ne peut pas gérer.

Un exemple concret : l’identité de la source

Prenons maintenant la connaissance d’un journaliste d’une source confidentielle au sein d’une agence gouvernementale. L’atout est l’identité de la source. La menace est un acteur étatique doté du pouvoir légal d’exiger des archives et suffisamment de motivation pour réellement l’utiliser (rappelez-vous le modèle de l’adversaire de la première leçon : cet acteur dispose de ressources réelles et d’une faible aversion pour le risque). La vulnérabilité pourrait être que l’opérateur téléphonique du journaliste enregistre qui a appelé qui, ou que des notes existent dans une application de notes ordinaire et non cryptée. La probabilité peut être inférieure à celle du cas de phishing, mais l'impact est grave : la source pourrait perdre son emploi, sa liberté ou sa sécurité. Cette combinaison justifie des contrôles disproportionnés par rapport à l'exemple de la liste des donateurs : des appareils séparés pour les rapports sensibles, la communication via Signal plutôt que de simples appels ou SMS et, selon la leçon suivante, traiter cela comme un cas d'aide d'experts plutôt que de défenses autodidactes.

Faire correspondre l'effort au risque, sans craindre

Le NIST 800-30 définit cela comme une évaluation du risque « par rapport à la technologie, aux processus, aux individus, [et] à l’entreprise » et le choix d’une réponse : accepter un petit risque, le réduire avec un contrôle ou, dans de rares cas, le transférer ou l’éviter complètement (par exemple, simplement en ne conservant pas du tout une information). La discipline résiste à deux erreurs opposées : traiter chaque risque comme catastrophique, ce qui épuise les personnes et les budgets à cause de contrôles que personne ne suit, et traiter chaque risque comme acceptable, ce qui laisse la seule menace réelle sans réponse. Une version de cinq minutes de cette analyse, écrite et revisitée lorsque les circonstances changent, bat le sentiment non écrit selon lequel « nous devrions probablement être plus prudents ».

Une courte liste de contrôle à réutiliser

• Énumérez les deux ou trois choses que vous voudriez le moins exposer, perdre ou détruire.
• Pour chacun, nommez l’adversaire réaliste de la première leçon – pas le plus effrayant que vous puissiez imaginer.
• Nommez une faiblesse concrète que l’adversaire pourrait réellement exploiter.
• Évaluez honnêtement la probabilité et l’impact, puis choisissez un contrôle adapté à cette note.
• Notez la décision ; revisitez-le si votre travail, vos données ou l’adversaire changent.