Le blog cybersécurité des PME

Si vous vous intéressez un minimum à la cybersécurité ou à la conformité (ISO 27001, NIS 2, etc.), vous avez forcément croisé le fameux triptyque DIC.

C’est le socle de toute stratégie de protection des données. Avec DIC on chercher à sécuriser les aspects suivants :

Disponibilité : Vous pouvez accéder à vos outils et vos fichiers quand vous en avez besoin.

Intégrité : La donnée est exacte et n’a pas été modifiée par erreur ou malveillance.

Confidentialité : Seules les personnes autorisées voient la donnée (pas de fuite).

C’est très bien. C’est même indispensable. Mais assez rapidement on se rend compte que ce n'est pas suffisant.

Avec l'approche DIC seule, il manque une pièce maîtresse pour que le système soit réellement robuste. Cette pièce, c’est la Traçabilité, aussi nommé Preuve.

De fait, vous trouverez souvent le sigle DICP : Disponibilité, Intégrité, Confidentialité, Preuve.

Sans traçabilité, sans preuve, vos trois piliers DIC sont incomplets, on va voir pourquoi.

La preuve : le témoin de votre système

La traçabilité, c'est la capacité de savoir qui a fait quoi, quand, et comment sur votre système d'information. Sur la base des fameux "logs" ou "journaux d'événements".

Pourquoi est-ce que cela change tout pour la robustesse de votre sécurité ?

Parce que la traçabilité est le seul outil qui permet de donner du sens aux trois autres.

Elle prouve la Confidentialité

Imaginez qu'un fichier ultra-confidentiel soit consulté. Sans traçabilité, vous savez (normalement) que le fichier est là, mais vous ignorez si quelqu'un est venu le consulter discrètement pendant la nuit. La traçabilité transforme un sentiment de sécurité en une certitude factuelle.

Elle garantit l'Intégrité

Si un chiffre change dans un document financier ou si une configuration serveur est modifiée, l'Intégrité est compromise. Mais comment savoir s'il s'agit d'un bug informatique, d'une erreur humaine ou d'un acte malveillant ? La traçabilité permet de remonter le fil : "C’est le compte admin-p-martin qui a modifié ce paramètre mardi à 14 h, 12 minutes et 21 secondes". On peut alors corriger et comprendre.

Elle accélère le retour à la Disponibilité

En cas de panne ou d'attaque, le plus long n'est pas toujours de restaurer les sauvegardes, c'est de comprendre par où le problème est arrivé. Sans journaux d'événements, on avance à l'aveugle. Ou pire, on ne sait jamais.

Comment redémarrer sereinement alors ?

Avec une bonne traçabilité, on identifie la faille, le déroulé des événements, on corrige et on remet les systèmes en ligne en toute connaissance de cause.

La traçabilité est un outil de défense (et de preuve)

Au-delà de l'aspect technique, la traçabilité est votre meilleure alliée en cas de coup dur pour deux raisons majeures :

La non-répudiation : C’est un terme juridique pompeux pour dire que personne ne peut nier avoir effectué une action. Pour un responsable, c'est une protection essentielle. Si une action critique est tracée avec certitude, personne ne peut contester l'évidence.
La conformité et la responsabilité : En cas de contrôle RGPD ou d'audit ISO 27001, on ne vous croira pas sur parole. On vous demandera des preuves. La traçabilité, ce sont vos preuves. C'est elle qui montre que vous avez mis en place des mesures de surveillance et que vous maîtrisez ce qui se passe chez vous.

Notez une condition pour que tout cela fonctionne : il faut en finir avec les comptes génériques, si il vous en reste (vérifiez bien, puis vérifiez encore).

Parce que disposer de traçabilité pour savoir que c'est le compte "admin-serveurs" qui est derrière une action, ça pose plus de question que ça n'apporte de réponses.

Par où commencer ?

Inutile de chercher à tout tracer (vous seriez noyés sous des gigaoctets de données inutiles). La méthode, c'est de cibler l'essentiel :

Tracez les accès "Privilégiés" : Qui se connecte en tant qu'administrateur ? C’est le point le plus critique.
Surveillez les accès distants (VPN) : Qui se connecte à l'entreprise depuis l'extérieur et à quelle heure ?
Protégez vos logs : dans le jeu du chat et de la souris, un acteur malveillant cherchera toujours à effacer ses traces. Assurez-vous que vos journaux d'événements sont stockés dans un endroit sécurisé (ou déporté) où ils ne peuvent pas être modifiés. Même par un administrateur.
Synchronisez les horloges : Cela paraît bête, mais pour que la traçabilité soit utile, il faut que tous vos serveurs et ordinateurs soient exactement à la même heure (via un protocole tel que NTP). Sinon, il devient impossible ou très complexe de reconstituer une chronologie avec précision.

En résumé

Le triptyque CID définit l'état de votre sécurité.

La Traçabilité raconte l'histoire de votre sécurité.

Dans un monde où le risque zéro n'existe pas, savoir ce qui s'est passé est souvent aussi important que d'avoir essayé de l'empêcher. C'est la différence entre une entreprise qui subit et une entreprise en maîtrise.

Vous voulez savoir si vos systèmes actuels laissent assez de traces pour vous protéger ? Vous souhaitez mettre en place une gouvernance qui tienne la route face aux auditeurs ? Discutons-en.

Je vous aide à voir clair dans vos logs, sans jargon et avec pragmatisme.