Si quelqu'un voulait nuire à votre organisation demain, sauriez-vous dire ce qu'il aurait à y gagner ? Et surtout : est-ce vraiment ce que vous protégez aujourd'hui ?
Beaucoup de dirigeants de TPE/PME et d'élus locaux répondraient sans hésiter "oui, on a un antivirus, un pare-feu, un prestataire qui gère tout ça". Mais la question n'était pas "êtes-vous équipés ?". Elle était : savez-vous *contre quoi*, précisément, ces outils vous protègent, et contre quoi ils ne vous protègent pas ?
Le chèque en blanc
C'est le contresens le plus répandu : externaliser sa sécurité informatique en se disant que payer suffisamment cher revient à acheter une couverture totale. "On a un prestataire, il gère, tout va bien", et si un jour ça tourne mal, ce sera de sa faute.
Sauf qu'en pratique, ce n'est pas lui qui trinque. Quand une mairie voit les données de ses administrés fuiter, ou qu'une PME se retrouve à l'arrêt trois jours à cause d'un rançongiciel, c'est elle qui est sur la sellette, devant ses clients, ses administrés, parfois devant la CNIL. Le prestataire, lui, invoquera son contrat.
C'est un problème profond qu'il ne faudrait pas simplement et trop rapidement placer sur le dos de l'incompétence du prestataire : personne, ni le client ni parfois le prestataire lui-même, ne s'est vraiment demandé *qui* pourrait vouloir nuire à cette structure précise, *pourquoi*, et *par où*. La solution a déjà été achetée avant que cette question ne soit posée.
Une carte avant la bataille
Il existe une démarche, empruntée à la culture militaire, qui permet d'éviter ce piège : le Threat Modeling (ou *cartographie des menaces*, en bon français).
Le principe est simple à énoncer : Savoir qui va attaquer, ce qu'il va attaquer, pourquoi, et comment, et utiliser cette connaissance comme base de réflexion pour construire une défense cyber cohérente.
Pour passer par une analogie militaire (et le monde de la cybersécurité en rest rempli) : si je sais que mon ennemi compte attaquer un port par la mer, alors je prévois des torpilles, mais s'il attaque par les airs et que je n'ai que des torpilles, alors je suis mal en point. Aussi, est-ce que mon ennemi à intérêt à rentrer dans mon port et le détruire ? Ou est-ce que l'assiéger de loin lui suffit ?
L'analogie peut sembler étrange de prime abord, mais c'est exactement la même logique de réflexion que l'on suit dans le domaine de sécurité informatique. On ne se demande pas seulement "comment je protège mon système" ou "quelle système de défense manque à mon arsenal" mais "si quelqu'un voulait me nuire, qu'aurait-il à y gagner, et par où passerait-il ?" C'est une question de bon sens, car elle permet de construire une défense en cohérence avec ce que l'on défend, au lieu d'une défense copiée sur le voisin qui n'a en fait pas les mêmes contraintes.
Malheureusement, ce qu'il se passe aujourd'hui trop souvent avec cette logique du "chèque en blanc", c'est que cette cartographie des risques, qui avait pour but d'amener à des conclusions quant à l'organisation de la défense, vient à être oubliée pour passer directement à un plan de défense prédéfini, séduisant pour les décideurs, mais au final inadapté à la réalité de terrain.
quelques exemples fréquents
Ce qui rend cette démarche indispensable, c'est qu'elle révèle presque toujours des failles insoupçonnées. Voici trois exemples qui devraient vous en convaincre :
La base de données bien gardée, mais le site à l'arrêt. Une entreprise chiffre soigneusement sa base de données clients, redoute la fuite d'informations. Mais pour un attaquant, il est parfois bien plus simple, et bien plus rentable, de saturer le site pour bloquer l'activité (une attaque par déni de service) que de percer un chiffrement. Toute l'énergie a été mise sur la confidentialité, alors que la vraie menace visait la disponibilité.
L'antivirus à jour, mais l'humain non prévenu. Tous les postes d'une mairie sont protégés par un antivirus récent, les mises à jour sont faites religieusement. Mais un agent reçoit un mail qui semble venir du maire, lui demandant un virement urgent ou ses identifiants, et clique. Aucun antivirus ne protège contre ça : la faille n'est pas dans la machine, elle est dans la confiance qu'on accorde à un message.
L'externe pas au niveau. Une PME a investi dans sa propre sécurité informatique. Mais son cabinet comptable, son prestataire RH, ou son expert-comptable, qui a accès à ses données, n'a pas fait le même effort. C'est par ce maillon, invisible depuis l'intérieur de l'entreprise, que la fuite arrive. Les dispositifs internes sont bons, mais le même niveau de rigueur n'a pas été demandé aux collaborateurs qui pourtant traitent des données de la même importance.
Reprendre la question à la racine
Dans chacun de ces cas, l'organisation n'était pas négligente. Elle avait simplement répondu à la mauvaise question, "comment je me protège" plutôt que "de quoi, précisément, ai-je à me protéger". La cartographie des menaces ne remplace pas les outils de sécurité : elle décide où ils doivent être placés, et lesquels sont réellement prioritaires.
C'est une démarche qui demande un regard extérieur, qui demande une expertise particulière, une connaissance des différentes bonnes pratiques, des différentes normes et familles d'approches (centrée sur le système, sur l'attaquant, ou sur les cibles). L'objectif n'est pas de vendre plus d'outils (un bon consultant doit aussi pouvoir dire quand un outil actuel est devenu inutile), mais surtout de poser avant toute chose, les bonnes questions sur une organisation, ses adversaires potentiels, et ce qu'ils auraient réellement à gagner en l'attaquant, pour ensuite construire une défense appropriée.