IAM – 4. Éducation à la sécurité du SI

Que cela soit à la maison ou au travail, nous sommes confrontés à l’inévitable sujet de la sécurité. J’ai perdu le contact avec des amis, avec lesquels je conversais par mail, parce que leur ordinateur est devenu inutilisable suite à la présence de virus. Et quand, l’informatique se résume à Internet, le mail et le traitement de texte, il est inconcevable de se dire qu’on va pouvoir, tout seul, réinstaller son ordinateur « proprement ».

On fait souvent l'analogie entre un ordinateur sans protection sur Internet et un piéton sur une voie d’autoroute. L'estimation de sa durée de vie est très courte.

Le service de sécurité du SI.

En entreprise, un service spécialisé s’occupe pour nous des affaires de sécurité. C’est bien mais est-ce suffisant ?

Mettriez-vous votre sécurité entre les mains d’un service quelconque ?
Faites-vous plus confiance à des hommes ou à des machines ?
Les machines ne sont-elles pas assemblées et programmées par des hommes ?

On pourrait presque dire que l’informatique est le seul domaine où la paranoïa est normale. La menace est tellement présente que certains qualifient de fou celui qui n’est pas protégé.

J'entends jusqu'ici des collègues dire qu'ils ne font pas confiance au service spécialisé de leur entreprise et qu'ils préfèrent gérer eux même la sécurité de leur poste de travail. le service spécialisé en question n'est peut-être pas si spécialisé qu'il n'y parait. Est-ce par manque de moyen ou d'expertise ?

Chaque entreprise a sa propre politique concernant ce service "spécialisé" dans la sécurité du SI.

Une chose est certaine, le service sécurité d'une entreprise peut être performant, il ne remplacera jamais la vigilance de l'utilisateur final.

Éducation.

Nous voilà au coeur de notre sujet. L'éducation à la sécurité !

Un enfant ne devient pas autonome sans éducation. Il fait des erreurs et apprend à les corriger. Il va à l'école, étudie et se construit un savoir et une culture générale.

Face à une agression physique, que peut-on faire, fuir, se défendre, crier... Comment obtenir les bons réflexes d'auto-défense ?

Nous ne sommes pas tous autodidactes mais nous avons tous le désir d'être formé sur le sujet, complexe, de la sécurité informatique.
Par où commencer ?
Ai-je les compétences pour comprendre le jargon informatique ?

Il est pourtant important que chacun sache se protéger contre les attaques informatiques. Dans l'entreprise, la sécurité passe par l'interdiction. Interdiction d'aller sur tel site, interdiction de brancher une clé USB, interdiction de consulter ses mails personnels...

Responsabilité ou interdiction.

Ce qui est certain, c'est que responsabiliser est préférable à interdire, qui reste toutefois nécessaire.

La responsabilité passe par de la sensibilisation des utilisateurs aux enjeux de la sécurité du SI. Il est nécessaire que chacun apprenne à se protéger pour protéger le SI.

La maladresse ou l'inconscience des utilisateurs est la principale cause d'infection. Et parfois, lorsque nous sommes trop confiant, les gens malveillants en profitent.

Chaque entreprise devrait sensibiliser ses employés sur la sécurité du SI, les risque encourus et les effets de l'infection. Un programme d'une journée, un investissement qui peut, non pas rapporter gros, mais éviter de tout perdre.