Aujourd'hui, on dépend de plus en plus de systèmes informatisés pour exécuter de nombreuses fonctions quotidiennes essentielles. Il faut donc que les personnes chargées de l'opération de ces systèmes en connaissent les faiblesses et prennent les mesures de sécurité qui s'imposent. Les mesures de sécurité informatique doivent protéger adéquatement les systèmes, les données et les services informatisés contre les atteintes accidentelles ou délibérées à la confidentialité, à l'intégrité et à la disponibilité. Il est irréaliste de viser la sécurité absolue. Un adversaire motivé et ingénieux qui dispose de ressources suffisantes peut souvent compromettre la sécurité des systèmes les plus perfectionnés. Un sinistre peut avoir le même effet. Les meilleures mesures de sécurité sont donc celles qui permettent de réduire suffisamment les risques pour contrebalancer les frais de mise en oeuvre. « Mieux vaut prévenir... » Quoiqu'il puisse en coûter cher de faire installer un système de sécurité, ce coût est négligeable comparativement aux conséquences d'une éventuelle atteinte à la sécurité. Étapes à suivre pour établir et maintenir un programme de sécurité informatique adéquat : Dresser la liste des éléments à protéger (données, logiciels, matériel, supports, services et fournitures). Déterminer la valeur de chaque élément. Évaluer les menaces possibles pour chaque élément. Déterminer à quel point le système informatique est vulnérable à chacune de ces menaces. Évaluer les risques d'exposition à la menace de chaque élément. Choisir et mettre en oeuvre des mesures de sécurité. Contrôler et améliorer régulièrement l'efficacité des mesures de sécurité. La sécurité informatique comporte sept éléments essentiels : La sécurité administrative et organisationnelle ; La sécurité du personnel ; La sécurité matérielle ; La sécurité des communications et du matériel électronique ; La sécurité du matériel informatique ; La sécurité des logiciels ; La sécurité des opérations. Délits informatiques courants Comme pour la plupart des autres domaines de l'informatique, il existe un jargon particulier pour décrire les formes de piratage les plus répandues. En voici une liste. Contrefaçon de données Il s'agit d'une forme de piratage simple, sûre et courante qui consiste à changer des données avant ou pendant la saisie. Les données peuvent être changées par n'importe quelle personne chargée de créer, d'enregistrer, d'encoder, d'examiner, de vérifier, de convertir ou de transporter des données destinées à la saisie. La meilleure façon de réduire ce risque est d'appliquer des contrôles internes fondés sur des méthodes bien connues. Cheval de Troie Cette tactique consiste à introduire subrepticement des instructions dans un programme afin que l'ordinateur hôte exécute une fonction non désirée ou non autorisée. Les instructions entrent dans le système sous le couvert d'un autre message ou programme, d'où le nom « cheval de Troie ». Pour réduire le risque que des données soient introduites dans un système de cette façon, il suffit de contrôler toutes les données d'entrée contenant des éléments cachés. Bombe logique Une bombe logique est un programme informatique exécuté à un moment opportun de façon à endommager par malveillance des programmes ou des données informatiques. Ce genre de programme entre souvent dans un système de la même façon qu'un cheval de Troie, à la différence que sa présence est détectée après « l'explosion ». Par exemple, un employé mécontent peut concevoir un programme qui bloquera le système informatique de la compagnie après une certaine date. À la date et l'heure précisées, le système tombe en panne, et la compagnie doit consacrer des heures et des heures à le réparer. Les bombes logiques peuvent causer de graves dommages. Encore une fois, la meilleure façon de réduire les risques de contamination consiste à contrôler le système pour voir s'il contient des éléments suspects. Usurpation d'identité La méthode la plus courante pour entrer dans un système dont l'accès est contrôlé à l'aide de mots de passe et d'ID-utilisateurs, c'est d'usurper l'identité d'un usager autorisé. Dans certains cas, le pirate n'a qu'à s'asseoir au poste de travail d'un usager qui n'a pas quitté le système. Toutefois, le plus souvent, il doit avoir accès à deux éléments d'information : L'ID-utilisateur ou le numéro de compte ; Le mot de passe de l'usager. Pour télé-accéder au système, l'intrus a besoin du numéro téléphonique du port d'accès. Pour réduire le risque d'usurpation d'identité, il faut mettre en place des mesures de sécurité et mettre à jour les mots de passe. Pour maximiser la sécurité, il faut que les mots de passe comptent un certain nombre de caractères. Les systèmes qui assurent la mise à jour des mots de passe devraient en exiger l'actualisation à intervalles réguliers. De plus, ils devraient être programmés pour déclencher une alarme si les tentatives d'ouverture de session sont anormalement nombreuses. Enfin, tout port d'entrée devrait automatiquement se mettre hors service ou déclencher une alarme après un nombre déterminé de tentatives d'ouverture de session infructueuses. Le réseau Internet et les babillards électroniques L'Internet et les babillards électroniques permettent aux usagers de communiquer ou d'échanger des renseignements sur divers sujets et, du même coup, aux pirates d'obtenir les informations nécessaires pour commettre des délits informatiques. Un pirate qui obtient ainsi un mot de passe peut le transmettre à un nombre indéterminé de ses semblables partout dans le monde. Une fois ce renseignement diffusé, des centaines de pirates pourront tenter d'accéder sans autorisation au système informatique en question. De même, il suffit d'un moment pour qu'un numéro de carte de paiement ou d'appel fasse le tour de la planète. Virus informatiques Un virus est un code de programme qui peut s'introduire dans d'autres programmes afin que ceux-ci deviennent porteurs. Le virus peut aussi modifier des données ou agir comme un cheval de Troie ou une bombe logique. Les dommages vont du simple affichage d'un message interrompant temporairement le service au blocage total du système infecté. Les virus qui contaminent le matériel et les logiciels peuvent provenir de diverses sources, dont les logiciels du domaine public, les babillards électroniques, l'Internet, les logiciels de clubs informatiques, les disquettes d'un ami ou d'un collègue et les progiciels commerciaux trafiqués. Il existe de nombreux progiciels de détection de virus qui aident à réduire le risque de contamination. Aucun de ces progiciels ne vous mettra à l'abri de tous les virus, puisqu'un nouveau virus peut être créé à tout moment. La détection de virus peut être intégrée aux modalités d'ouverture de session, et tout nouveau logiciel devrait être soumis à un contrôle anti-virus avant d'être utilisé. Difficultés inhérentes à la sécurité informatique La criminalité informatique n'est pas toujours facile à détecter. Souvent, il est difficile de déterminer comment le délit a été commis, faute de vérification rétrospective. La prévention et la détection de la criminalité informatique relèvent de la sécurité informatique, qui est généralement aussi efficace que son maillon le plus faible. On commet régulièrement l'erreur de se concentrer sur certains domaines, comme la sécurité du personnel et la sécurité matérielle, au détriment des autres, ce qui amène les intrus à s'attaquer aux secteurs plus vulnérables, auxquels on a consacré moins de temps et d'efforts (l'équipement de communication et les logiciels, par exemple). La sécurité informatique relève du technique, mais elle exige quand même une saine gestion fondée sur le bon sens et des contrôles périodiques en profondeur. Toute stratégie de prévention doit comporter une évaluation des risques et des objectifs précis. Elle doit permettre de : Décourager les tentatives d'accès non autorisées Prévenir le piratage Détecter les tentatives de piratage, y mettre fin, prendre des mesures correctrices et rétablir le système Réduire les risques de dommages. Source : www.rcmp.ca
