Pourquoi la sécurité informatique en entreprise?
On peut distinguer des grandes familles de moyens d'attaquer un réseau depuis l'Internet :
- Attaque sur les protocoles de communications : exploitation de failles des protocoles communs de l'Internet (IP, ICMP, TCP, UDP, etc)
- Attaque sur les applications : attaque des applications ou des logiciels (serveurs de mails, de nom de domaines, web, FTP, etc) en exploitant des défauts de conception (bugs) ou en provoquant des surcharges
- Attaque sur l'information : similaire à l'ingénierie sociale, qui consiste à se faire passer pour quelqu'un d'autre pour obtenir des informations internes à une société, il s'agit cette fois d'écouter les données communiquées sur le réseau et de les modifier.
- Attaque sur les systèmes : exploitation de vulnérabilités d'un système d'exploitation afin de donner des droits d'accès et de prendre le contrôle d'une machine à distance.
- Ecoute passive ou "Sniffing" : duplication de paquets IP en se connectant sans autorisation sur un commutateur réseau
- Substitution d'adresse IP ou "Spoofing" : trucage de l'adresse IP source d'une communication réseau
- Virus, vers, chevaux de Troie : propagation d'un programme hostile dans un système informatique dans le but de nuire. Là où hier, les disquettes servaient de vecteur de propagation, certains virus ou vers particulièrement dangereux (par exemple Code Red ou Nimda) se servent aujourd'hui de l'Internet (mail et/ou serveur web) pour infecter de nombreux systèmes informatiques.
- Déni de service (DoS = Denial of Service) : rendre possible l'accès à un système informatique après l'avoir neutralisé ou après l'avoir submergé d'un volume de requêtes tel, qu'il ne sera plus capable de répondre aux utilisateurs normaux. Les virus, vers, ou chevaux de Troie décrits ci-dessus peuvent être utilisés pour sa mise en œuvre.
- Attaque par force brute : découverte d'un code d'accès par test systématique de toutes les combinaisons possibles de caractères
Les moyens décrits ci-dessus peuvent tous avoir différents objectifs suivants :
- se faire passer pour un autre machine afin de bénéficier des droits d'accès de cette dernière ou d'envoyer des données de la part d'un tiers
- intercepter des communications réseau
- donner des droits d'accès non autorisés et de prendre le contrôle de machines à distance
- voler des mots de passe
- voler des données
- accéder à des fichiers ou à des répertoires sans autorisation et utiliser les ressources de stockage
- ouvrir des portes dérobées ou " backdoor ", accès non autorisé supplémentaire connu du seul pirate informatique, qui lui permettra de continuer à avoir accès à la machine cible même si les code d'accès
- rendre indisponible un système informatique ou un serveur
Les enjeux pour l'entreprise soumise à ces attaques potentielles sont importants car elles se traduisent par :
- la pénétration de réseaux privés,
- l'indisponibilité ou baisse de performance des ressources (serveur de messagerie, serveurs applicatifs, etc.),
- le vol de données, ou de ressources (fichiers clients/prospects, propositions commerciales, données financières, etc.),
- le vol de propriété intellectuelle (savoir-faire, brevets, etc.),
- la falsification ou la destruction de données,
- la destruction d'applications ou de développements informatiques.
Afin d'établir un budget en matière de sécurité et de quelles attaques il convient de se protéger, il est important d'évaluer les enjeux financiers potentiels des conséquences décrites ci-dessus.
Ces coûts peuvent simplement être décomposés de la manière suivante :
- Perte de temps : les collaborateurs les partenaires utilisent quotidiennement le système d'information de l'entreprise. La perte de disponibilité de cette ressource partagée entraîne inévitablement une perte de temps coûteuse pour l'entreprise, puisque même si elle est de courte durée, il faut la multiplier par le nombre d'utilisateurs bloqués dans leur travail.
- Perte d'investissement : les investissements réalisés pour la mise en place de votre système d'information, qu'ils soient les salaires de vos collaborateurs ou la prestation achetée à un fournisseur de service, peuvent être irrémédiablement perdus dans le cas de destruction de données ou développements informatiques.
- Nouvel investissement : il sera alors à nouveau nécessaire de ré-investir pour réparer les dégâts causés pour remettre en état de marche le système d'information.
- Perte de revenus : si vous avez un site web e-business, sa perte de disponibilité empêchera des clients potentiels d'y accéder pour y faire des achats et entraînera une perte directe de revenus et si cela se produit à plusieurs reprises une perte d'image de marque.
Les dirigeants d'entreprises ne le savent que très rarement, mais ils sont pénalement responsables de la sécurité du système d'information de leur société (art. 226-17 du nouveau Code Pénal).
Ils ont une obligation de mise en œuvre des moyens suffisants pour protéger ce système d'information.
Ainsi, si aucun moyen suffisant n'a été mis en place, à la suite d'une attaque potentielle, la responsabilité incombe au dirigeant et peut entraîner :
- la fuite d'informations confidentielles (par exemple sur les paies et salaires de vos collaborateurs, sur leur numéro de compte bancaire, etc.),
- l'utilisation de votre système d'information à des fins illégales (par exemple espace de stockage d'un serveur utilisé pour stocker des logiciels piratés ou d'images pédophiles, etc.),
L'installation d'un pare-feu pour protéger le réseau interne n'est pas considérée comme une protection suffisante si ce pare-feu n'est pas géré par une personne compétente, formée sur le logiciel et assurant la maintenance logicielle régulière du pare-feu.
En 2001, 3 dirigeants d'entreprise ont été mis en examen à cause de cette négligence.