Audits de sécurité - Méthodologies, outils et retour d'expériences

La sécurité des systèmes d'information (SSI) est l'ensemble des moyens techniques, organisationnels, juridiques et humains, nécessaires et mis en place pour conserver, rétablir, et garantir la sécurité du système d"information. » (source : Wikipedia).

La sécurité des systèmes d'information est, depuis toujours, un élément clé de la survie de l'entreprise. Mais, ce n'est que depuis quelques années qu'une prise de conscience est apparue, du fait probablement d'événements médiatiques majeurs ayant impacté les activités de quelques multinationales ou États.

• L'année 2011 a été particulièrement riche en événements marquants

  Exemples

  Nous pouvons citer Sony qui n'a pu empêcher la compromission de millions de comptes de ses clients, ainsi que la perte de son service Playstation Network durant plusieurs mois.

  Les détails publics sur ces attaques ont malheureusement témoigné d'erreurs majeures de la part de Sony vis-à-vis de ses procédures de sécurité opérationnelle. Cela, combiné à une forte arrogance (ou inconscience), a mené au naufrage de certains de ses services, avec des pertes estimées à plusieurs dizaines de millions de dollars.

  Les sociétés dont le métier est la sécurité informatique ne sont pas non plus épargnées, comme l'atteste la compromission des réseaux internes de la société RSA où, malheureusement, les attaquants n'ont utilisé que des techniques et outils classiques (comprendre disponibles sur Internet et utilisables donc par n'importe qui sans requérir de compétences pointues) (voir le Pour en savoir plus).

  Les États ne sont pas en reste avec un exemple, parmi tant d'autres, comme la compromission du réseau du ministère des Finances et de l'Industrie française découvert en début d'année 2011.

  De la même manière, les organismes étatiques, qui se sont engagés dans la voie de l'informatique offensive depuis de nombreuses années, n'hésitent plus à l'avouer publiquement, comme cela a été le cas de l'Administration américaine vis-à-vis du développement d'armes informatiques (cf. les vers informatiques...