Préambule : Edito paru dans l Collection numérique de l’Amue N°17 – Sécurité des systèmes d’information, octobre 2021
Des cibles fort probables pour les pirates
Dans le monde entier, les universités et établissements sont des cibles « intéressantes » pour les pirates. Et pour cause, elles concentrent en un seul point, des données personnelles sensibles en nombre (les usagers comme les membres) mais aussi des données de recherche potentiellement stratégiques économiquement (brevet, jeu de données, …) : il y a peu d’organisations publiques qui concentrent autant d’intérêt en termes de marchandisations des données collectées. Leur probabilité d’attaques est donc forte, et quotidiennement. Vivre un piratage, c’est souvent l’occasion d’améliorer les pratiques numériques de l’organisation, de repenser les mécanismes, non pas comme un échec, mais comme une mise en évidence de pistes d’amélioration.
Des vulnérabilités au niveau du système d’information
Comme vous le lirez dans la plupart des articles, les risques de vulnérabilité du Système d’Information (SI) ne sont pas uniquement liés à des technologies pas ou peu entretenues (accès au matériel ou mise à jour logiciel), ce sont aussi des pratiques et usages d’employés ou d’usagers qui permettent ce type d’intrusion illégale. Par inadvertance, par manque de formation ou par négligence, il peut arriver que l’une des portes du SI (login ; Mot de Passe) s’ouvre en un seul point du système d’information, par exemple l’ouverture d’une pièce jointe associée à un mail.
Un impact sur l’organisation
On l’a vu dans le cas des Ransomwares, la perte des données produites par l’établissement, qu’elles soient scientifiques ou administratives, met l’activité de l’établissement dans une situation proche de la paralysie pour plusieurs jours voire semaines. C’est un sujet stratégique pour l’organisation que de mieux appréhender la sécurité numérique.
Le risque de sécurité numérique et son traitement
Probabilité, vulnérabilité et impact sont les trois composants d’un risque en sécurité du système d’information (SSI) (CNRS, 2014). Traiter comme un risque pour l’organisation devient un autre paradigme de résolution, celui de rendre robuste son organisation en évaluant le risque : c’est bien de la stratégie de l’établissement ou de l’université dont on parle.
Ce numéro propose de regarder ce risque droit dans les yeux, en faisant ainsi la part belle à la vulgarisation des termes employés, à des recommandations d’institutions mais aussi à des témoignages de praticiens luttant au quotidien pour éviter le pire ou réparer les destructions.
Au fait, c’est quand la dernière fois que vous avez changé vos mots de passe ?
Bonne lecture.
Bibliographie
CNRS. (2014). Guide de Bonnes Pratiques pour les Administrateurs Systèmes et Réseaux. Repéré à https://gbp.resinfo.org/?p=70
ISO/CEI 27002. (2021). Dans Wikipédia. Repéré à https://fr.wikipedia.org/w/index.php?title=ISO/CEI_27002&oldid=180977061
Nunès, P. E. (2021). Les universités, cible de choix des hackeurs. La Matinale du Monde. Repéré dans Europresse