Il ne peut y avoir de gouvernance de ce que l’on ne connaît pas.
Ce seul postulat éclaire une bonne part de ce qui sous-tend toute démarche de cybersécurité. La maîtrise d’un système d’information commence par une connaissance approfondie de ses composants, et des risques qui pèsent sur eux.
Cartographier le système d’information
Cartographie du système d'information
La cartographie permet de représenter le système d’information d’une organisation ainsi que ses connexions avec l’extérieur1.
Cette cartographie autorise une compréhension à des échelles fonctionnelles variées — réseau, logicielle, informationnelle — et comprend, de fait, un inventaire patrimonial exhaustif du SI. On la décline classiquement selon trois vues progressant du métier vers la technique.
La vision métier est la vision macroscopique des flux informationnels qui transitent par le SI, correspondant aux valeurs métiers au sens d’EBIOS RM — c’est-à-dire les processus et informations qui, s’ils étaient compromis, porteraient un préjudice direct à l’activité de l’organisation. La vision applicative comprend l’orchestration logicielle mise en œuvre, dont les questions hiérarchiques se traduisent par des enjeux de périmètre et de privilèges. La vision structurelle, enfin, déroule les supports logiques et physiques qui permettent le fonctionnement du SI — segmentation réseau, équipements matériels.
Cette cartographie répond à quatre enjeux de sécurité numérique majeurs : la maîtrise du SI (pilotage, capitalisation, prise de décision — ce qui permet le maintien en condition de sécurité, c’est-à-dire l’application continue des correctifs et mises à jour nécessaires) ; la protection du SI (identification des éléments critiques et exposés, anticipation des vecteurs d’attaque) ; la défense (point d’appui décisionnel pour la réponse à incident) ; et la résilience (centre névralgique du plan de continuité d’activité, lequel recense les activités clés de l’organisme à préserver coûte que coûte).
Réaliser la cartographie
La démarche répond d’abord aux questions du pourquoi, du quoi et du comment — les enjeux systémiques et organiques — avant de définir modèles, conventions et usages en pensant à leur maintenabilité future. Vient ensuite le passage à l’acte proprement dit, puis la pérennisation : diffuser et promouvoir la cartographie, tout en s’assurant de son maintien à jour dans la durée. Une cartographie non entretenue perd sa valeur presque aussi vite qu’elle a été produite.
Une approche fondée sur le risque identifie d’abord les données sensibles et leurs supports, avant d’élaborer la cartographie du SI proprement dite — sans omettre l’inventaire des comptes privilégiés, dont la revue périodique reste l’un des contrôles les plus rentables qui soient.
Évaluer les risques
La cybersécurité s’articule autour de deux grands axes : la prévention et la réaction. Les deux exigent de délimiter ce qui pèse dans l’évaluation des risques d’une organisation.
La menace cyber
S’il y a risque, c’est qu’il y a menace au préalable. Une menace se compose de quatre éléments : un acteur malveillant, un ou plusieurs objectifs, une cible, et un vecteur d’attaque.
EBIOS Risk Manager
La méthode française de référence structure l’analyse de risque autour de l’évaluation de la gravité (atelier 1) et de la vraisemblance (atelier 4), selon trois événements redoutés : l’accès illégitime (divulgation ou usurpation d’identité), la modification non désirée (altération de l’intégrité des données), et la disparition de données (indisponibilité, typiquement provoquée par un rançongiciel).
Cas pratique : scénarios stratégique et opérationnel
Un risque s’estime en combinant la gravité des impacts — souvent définie dans le scénario stratégique — et la vraisemblance de la menace, étudiée dans le scénario opérationnel. Cette double lecture permet de sécuriser le SI au plus près de la réalité des menaces, en procédant à l’identification des informations et serveurs sensibles à protéger, à l’anticipation des scénarios stratégiques (sources de risque et impacts), puis à l’analyse des scénarios opérationnels pour mettre en œuvre les mesures techniques adéquates.
Prenons le cas d’une communauté de communes, dont les valeurs métiers recensées incluent les crèches, le service d’aide à la population, et le service de comptabilité.
Le scénario stratégique : qui et pourquoi
Cette approche de haut niveau dénote le chemin d’attaque global qu’une source de risque pourrait emprunter, son objectif de compromission — éventuellement via des tiers ou des partenaires —, et les impacts potentiels sur les droits, les libertés et les sources de risques elles-mêmes.
Pour le système de comptabilité de cette communauté de communes : la source du risque est un scriptkiddie, la cible est le SI de la commune, l’événement redouté est l’indisponibilité du SI, et l’objectif de l’attaquant n’est autre que « l’amour du hack ». Les risques concomitants incluent la divulgation de données confidentielles et la rupture fonctionnelle de l’intranet.
Le scénario opérationnel : le comment
Cette seconde approche détaille l’approche technique — les méthodes employées pour réaliser le scénario stratégique sur les supports du SI — et les menaces réalisables : installation d’un logiciel malveillant, vol d’un ordinateur, exploitation d’une vulnérabilité logicielle.
Toujours pour le système de comptabilité : le vecteur d’entrée est l’espace d’identification de l’intranet communal exposé sur le web, et le mode opératoire combine des outils courants — scans, exploitation via des frameworks comme msfvenom, scripts d’élévation de privilèges (LinPEAS/WinPEAS), exfiltration de données, modification de fichiers de configuration.
Le guide d’hygiène de l’ANSSI
Quelques recommandations opérationnelles, tirées du guide d’hygiène informatique de l’ANSSI, méritent d’être rappelées : sensibiliser systématiquement tout nouvel embauché, tracer les équipements remis via un document dédié, tenir un registre d’accès pour les salles serveurs (badges compris), et tester le plan de continuité et de reprise d’activité au minimum une fois par an — un plan jamais éprouvé n’offre, en pratique, aucune garantie réelle le jour où l’on en a besoin.