En sécurité des systèmes d'information, la sécurité des données est la branche qui s'intéresse principalement aux données, en complément des aspects de traitement de l'information.
Rappel sur les données informatiques Depuis le début de l'Histoire (apparition de l'écriture), l'homme manipule des informations, qui se traduisent par des données, plus ou moins structurées.
L'avènement de l'informatique depuis la fin des années 1940 aux États-Unis a introduit une forme numérique de données, enregistrées sur des supports électroniques. Cette évolution est comparable à l'avènement de l'imprimerie au dans les années 1450.
À la base, le support des données est la mémoire de l'ordinateur, sur laquelle opèrent les instructions élémentaires des programmes informatiques.
Il n'est pas possible de traiter la sécurité des données, sans rappeler cet aspect fondamental :
Les données sont traitées avec des matériels informatiques et des systèmes d'exploitation.
Sur les différents types de matériels informatiques (avec leurs périphériques), des supercalculateurs aux micro-ordinateurs, en passant par les ordinateurs centraux et les systèmes ouverts, on trouve toujours les différents types de support physique suivants : La Mémoire de l'ordinateur, Les disques, armoires (périphériques), pour la sauvegarde et le stockage, Les systèmes d'archivage…
Les données peuvent circuler entre ces systèmes dans des réseaux physique de communication : réseaux de télécommunications, réseaux locaux, réseaux de télécommunications par satellites…
Sur les supports physiques, on doit implanter des systèmes qui gèrent les accès aux données et leur traitement : les accès logiques de ces systèmes peuvent être de type séquentiel ou indexé, les fichiers étant le plus souvent remplacés par des bases de données permettant des accès et mises à jour plus évoluées.
Les systèmes de gestion de bases de données (SGBD) sont du niveau logiciel de base, et permettent à l'ordinateur de gérer ces différents types de traitement sur les données.
On distingue les niveaux : conceptuel, logique et physique. Bref historique de la sécurité des données Au cours des dernières années, la mondialisation, spécialement sous ses aspects économiques et financiers, a engendré des projets informatiques de dimension mondiale.
On notera en particulier le passage informatique à l'an 2000 (Y2K), qui a nécessité la vérification et la conversion de 300 à 600 milliards de lignes de programme potentiellement affectées dans le monde (estimation du Gartner Group).
En Europe, le chantier du passage à l'euro a représenté un coût sensiblement équivalent à celui du passage informatique à l'an 2000 sur le périmètre européen. Le projet s'est déroulé en deux phases : première phase début 1999 avec le passage à l'euro des marchés financiers et des applications financières des entreprises, deuxième phase, de loin la plus importante, la conversion de la plupart des autres applications informatiques, qui ne put s'effectuer en général qu'en 2000 et 2001, pour des questions de contraintes par rapport au passage informatique à l'an 2000 (Y2K)Conférence du 30 avril 1998 sur l'internet, et par rapport aux exercices comptables.
Dans ces deux projets, les exigences d'interopérabilité et les données informatiques ont joué un rôle essentiel, puisqu'il s'agissait du format des champs date (une métadonnée) et devise dans les systèmes et les enregistrements informatiques.
Du point de vue du matériel informatique, en Europe, le passage informatique à l'an 2000 a représenté un impact plus important que le passage à l'euro. En d'autres termes, on pourrait dire que le passage informatique à l'an 2000 a comporté des aspects plus techniques, alors que le passage à l'euro a représenté des enjeux plutôt fonctionnels.
En 1991, le département de la Défense des États-Unis a mis au point des critères communs de sécurité (voir TCSEC), et simultanément les organisations européennes ont défini une politique de sécurité des systèmes d'information (ITSEC).
Vol des données personnelles
Les données personnelles peuvent être volées. La non-fiabilité des systèmes d’information permet aux pirates d’accéder à un grand volume de données. Les techniques de piratage qui visent à recueillir des informations confidentielles sont nombreuses. Nous pouvons par exemple citer l'hameçonnage (phishing en anglais). Cette technique consiste à envoyer des e-mails censés provenir d’un tiers de confiance (banques, opérateurs…) avec un lien vers un faux site donc l'aspect sera identique au site original. La victime va ainsi rentrer ses identifiants pour réaliser l'opération indiquée dans le mail, ce qui va aboutir au vol de ces identifiants pour ensuite nuire à la victime (par exemple en effectuant un virement depuis le compte bancaire de la victime).
Le but principal du vol des données est la revente des données volées vu leur valeur économique parce que les données sont au centre de future économie de la connaissance et société de la connaissance.
Différentes méthodes pour voler des données Précédemment nous avons cité la méthode de l'hameçonnage mais elle n'est pas la seule technique de piratage et elle est en général complété par d'autres procédés comme, les arnaques via les mails, les appels téléphoniques.
Les arnaques Les arnaques peuvent cibler une simple personne comme elles peuvent cibler une entreprise, dans le cas des entreprises celui qui pirate peut faire appel à ce qu'on appelle un ransomware (logiciel de rançon), un logiciel faisant partie de la famille des malwares (logiciels malveillants), le hacker peut ainsi effectuer sa demande de rançon en risquant au minimum le risque de se faire tracer. Les arnaques téléphoniques fonctionnent de la même manière qu'un hameçonnage sur internet, l'arnaqueur se fait passer pour une personne de confiance (banquier, opérateur, membre d'associations diverses…) afin de récupérer les données qu'il convoite.
Cependant, il existe des bonnes pratiques afin de réduire le risque du vol des données comme l’utilisation d’un mot de passe différent pour chaque service et ne jamais faire confiance à n’importe quel lien reçu par e-mail.
L'utilisation des données personnelles volées Les données personnelles volées sont alors utilisées de diverses façons. Trois grandes catégories d’utilisation de ses données se sont distinguées : l’ouverture de nouveaux comptes, particulièrement bancaires où l’on peut retrouver des demandes de cartes de crédit, des emprunts bancaires, etc. ; l’utilisation des comptes bancaires (sans cartes de crédit) et enfin l’utilisation illicite de comptes bancaires par le biais d’une carte de crédit. Les vols des comptes et cartes bancaires existants vont alors servir à ouvrir des comptes chèques ou des comptes épargnes, des comptes de paiements sur Internet ou encore des comptes d’assurance médicale, etc.
D’autres fraudes peuvent être également soulignées, en effet, les victimes de vol d’identité déclarent que le voleur a utilisé leurs informations pour ouvrir au moins un compte nouveau. Les comptes nouveaux les plus fréquemment ouverts à l’aide des informations personnelles sont : services téléphoniques, compte de carte de crédit, prêts, comptes chèque/épargne, compte de paiement sur Internet, assurances.
Les enjeux de la sécurité des données Au niveau des personnes et des organisations Les enjeux de la sécurité des données sont les suivants (cette liste est loin d'être exhaustive) : Libertés individuelles : protection de la vie privée (voir vie privée et informatique), Bureautique : sécurité des données enregistrées sur le disque dur du micro-ordinateur (courriels, répertoires, fichiers documents, données des tableurs et des présentations…), Communication : ciblage des parties prenantes internes et externes en fonction de leurs intérêts, ne pas divulguer inutilement trop d'informations non structurées sur l'internet, Hygiène et sécurité : identification des données nécessaires aux procédures de protection de la santé des employés, Secret des affaires : protection du capital intellectuel de l'entreprise Marketing : identification des marchés sensibles, veille concurrentielle, Recherche et développement : alignement du processus de R&D sur les besoins du marché, identifiés et validés par le marketing : sécurisation des données issues de la veille en entreprise, de la veille technologique, et développement du capital intellectuel de l'entreprise. Exemple dans la chimie : fiche de données de sécurité, pour les substances chimiques pour l'industrie du pneumatique, de l'automobile… Traçabilité des documents et responsabilité du fait des produits défectueux : pouvoir donner la preuve de la qualité d'un produit. Achats : demandes d'achat (dans l'aéronautique, l'automobile… par exemple), critères utilisés pour le choix des fournisseurs.
La sécurité des données implique certaines façons de structurer les données.
Au niveau macroéconomique En ingénierie des systèmes, les enjeux de sécurité des données sont aujourd'hui très importants, du fait des interconnexions multiples entre systèmes hétérogènes et répartis, que ce soit dans les systèmes de contrôle industriels, dans les systèmes de transport, dans les applications de gouvernance d'entreprise et de gestion intégrée, dans les applications d'ingénierie des connaissances, dans les systèmes décisionnels, dans les systèmes des marchés financiers…
Ces systèmes se rencontrent aujourd’hui dans des organismes très différents : entreprises, services publics, institutions internationales, administrations centrales et territoriales (régions et villes), centres d'études et de recherches, universités, grandes écoles, chambres de commerce et d'industrie. On parle quelquefois de parties prenantes (traduction de l'anglais stakeholder, littéralement, détenteur d'enjeux).
On trouvera une illustration de la diversité des systèmes physiques concernés dans l'article cohérence des données en univers réparti.
Pour approfondir : Sur les différents aspects de la sécurité, voir l'article sécurité. Sur les aspects liés à la communication, voir communication, Sur les enjeux liés spécifiquement à l'interconnexion des systèmes physiques, on peut consulter l'article interopérabilité. Sur les risques, voir risque.
Avec l'avènement des technologies de l'intelligence collective et de la connaissance (TICC, expression de Bernard Besson), il y a des risques de perte de compétences dans les entreprises, si les usages des informations ne sont pas bien définis par rapport au contexte, et si la communication est mal contrôlée.
Voir : Usage Communication contexte humain de la communication, et modèles employés en communication,
L'enjeu le plus important est avant tout humain : il s'agit de préserver le capital intellectuel.
En termes techniques, on parle d'une classification des "actifs", indispensable surtout pour l'ingénierie des connaissances.
Ces enjeux sont tels qu'ils posent des questions de souveraineté.
Rappel des concepts de sécurité de système d'information Les aspects de la sécurité des systèmes d'information
On distingue en sécurité de l'information plusieurs aspects, qui sont d'ailleurs liés aux données : La confidentialité, L'intégrité, La disponibilité.
La norme ISO 13335 (qui n'existe qu'en anglais) mentionne également la non-répudiation et l'authentification : L'authentification correspond à l'une des trois phases du contrôle d'accès, qui est du domaine de la confidentialité ; il y a également une notion d'authenticité qui n'est pas liée directement au contrôle d'accès : il s'agit pour celui qui consulte une donnée, de se convaincre de l'identité de l'émetteur ou du créateur de la donnée. La non-répudiation vise à empêcher que l'auteur d'une donnée puisse prétendre ensuite qu'il n'en est pas l'auteur ; elle implique l'intégrité, mais s'étend au-delà.