Le threat modeling, ou cartographie des menaces, consiste à se demander qui pourrait attaquer votre organisation, ce qu'il aurait à y gagner et par où il passerait. La réponse dit où placer les protections et lesquelles sont prioritaires. Sans elle, un antivirus, un pare-feu et un prestataire peuvent protéger très bien ce qu'aucun attaquant ne vise.
Payer un prestataire ne transfère pas le risque
Beaucoup de TPE, de PME et de communes externalisent leur sécurité en pensant acheter une couverture totale. Quand les données des administrés fuitent ou qu'un rançongiciel arrête l'activité trois jours, c'est pourtant l'organisation qui en répond, devant ses clients, ses administrés et parfois la Commission nationale de l'informatique et des libertés (CNIL). Le prestataire, lui, s'en tient à son contrat. Souvent, personne n'a posé la question de départ avant d'acheter les outils.
Trois exemples courants
Une base de données chiffrée, un site à l'arrêt. Une entreprise chiffre sa base de clients par crainte d'une fuite. Pour un attaquant, saturer le site et bloquer l'activité (une attaque par déni de service) est plus simple et rapporte autant. La protection portait sur la confidentialité, la menace sur la disponibilité.
Un antivirus à jour, un agent non prévenu. Tous les postes d'une mairie ont un antivirus récent. Un agent reçoit un mail qui semble venir du maire et demande un virement urgent ou ses identifiants. Aucun antivirus ne bloque ce message, la faille est dans la confiance accordée à l'expéditeur.
Un partenaire moins protégé. Une PME a investi dans sa sécurité, mais son cabinet comptable, qui accède à ses données, n'a pas fait le même effort. La fuite passe par ce partenaire, invisible depuis l'entreprise.
La démarche
La cartographie se fait avant le choix des outils, en quatre questions :
- Quelles données et quelles activités sont critiques pour l'organisation ?
- Qui aurait intérêt à leur nuire, et pour quel gain ?
- Par où passerait-il, y compris par les partenaires et les personnes ?
- Quelles protections couvrent ces chemins, et lesquelles ne servent plus ?
Elle demande un regard extérieur et la connaissance des méthodes reconnues, centrées sur le système, sur l'attaquant ou sur les données à protéger. Notre audit comprend un volet sécurité (comptes et accès, mises à jour, sauvegardes), et peut commencer par cette cartographie. Pour en parler, contactez-nous.