La sécurité des systèmes d’information réduit les risques, de la protection des données à la réponse aux incidents
La sécurité des systèmes d’information, souvent désignée par l’acronyme SSI, protège les données, les applications, les réseaux, les équipements et les services d’une organisation. Elle ne promet pas le risque zéro. Elle vise à réduire les risques acceptables, à limiter les conséquences d’un incident et à préserver la continuité d’activité.
La SSI dépasse la seule sécurité informatique
La sécurité informatique concerne principalement les dispositifs techniques : pare-feu, antivirus, chiffrement, sauvegardes, mises à jour et contrôle des accès. La sécurité des systèmes d’information englobe ce socle, mais elle inclut aussi les personnes, les processus, les prestataires, les règles de gestion, les locaux et les obligations juridiques. Elle protège ainsi l’ensemble du patrimoine informationnel de l’organisation.
La cybersécurité désigne généralement la protection contre les menaces issues des environnements numériques connectés : hameçonnage, rançongiciels, exploitation de vulnérabilités, compromission d’identifiants ou espionnage. La SSI possède un périmètre plus large. Une erreur de manipulation, une panne électrique, un mauvais paramétrage cloud ou la perte d’un ordinateur peuvent également provoquer un incident de sécurité.
Ce que l’organisation doit réellement protéger
Un système d’information ne se limite pas aux serveurs de l’entreprise. Il comprend les données clients, les dossiers RH, les outils métier, les messageries, les postes de travail, les terminaux mobiles, les interfaces avec les fournisseurs et les services hébergés. La première étape consiste donc à identifier les actifs critiques, c’est-à-dire ceux dont l’indisponibilité, l’altération ou la divulgation aurait des conséquences importantes pour l’activité, les personnes ou la réputation.
Les 6 objectifs qui donnent un sens concret à la sécurité
La sécurité des systèmes d’information se pilote à partir d’objectifs précis. Les critères CAID, soit la confidentialité, l’authenticité, l’intégrité et la disponibilité, forment le socle. La traçabilité et la non-répudiation complètent ce cadre en facilitant l’analyse d’un incident, l’attribution d’une action et la production d’une preuve.
| Objectif | Ce qu’il garantit | Risque limité | Exemple de mesure |
|---|---|---|---|
| Confidentialité | Seules les personnes autorisées accèdent à l’information. | Vol ou diffusion de données sensibles. | Chiffrement et droits d’accès. |
| Authenticité | L’identité d’un utilisateur ou l’origine d’un message est fiable. | Usurpation de compte ou fraude. | Authentification multifacteur. |
| Intégrité | La donnée n’a pas été modifiée sans autorisation. | Altération de documents ou de transactions. | Hachage, contrôle de version et validation. |
| Disponibilité | Le service reste accessible au moment nécessaire. | Arrêt d’activité, panne ou attaque par saturation. | Sauvegardes et redondance. |
| Traçabilité | Les actions significatives peuvent être reconstituées. | Impossibilité d’analyser un incident. | Journalisation et supervision. |
| Non-répudiation | Une action ou un échange peut être opposable à son auteur. | Contestations et défaut de preuve. | Horodatage et mécanismes de signature. |
L’identification ne doit pas être confondue avec l’authentification. Saisir un identifiant revient à déclarer une identité. Prouver que l’on est bien cette personne passe par un mot de passe, un code temporaire, une clé physique ou un autre facteur. Après cette vérification, l’autorisation détermine les droits réellement accordés. Cette séparation permet d’appliquer le principe du moindre privilège : chacun n’accède qu’aux ressources nécessaires à sa mission.
Partir des risques plutôt que d’empiler les outils
Une protection utile répond à un scénario de risque identifié. Un risque naît de la rencontre entre un actif à protéger, une menace et une vulnérabilité. Par exemple, une messagerie qui contient des données personnelles devient exposée lorsqu’un compte utilise un mot de passe réemployé ou lorsqu’un collaborateur ouvre une pièce jointe malveillante.
Construire une cartographie exploitable
La cartographie des risques recense les actifs, leurs propriétaires, les données traitées, les dépendances techniques et les événements redoutés. Chaque scénario est ensuite évalué selon sa gravité et sa vraisemblance. Cette démarche évite deux erreurs fréquentes : investir dans une solution coûteuse qui ne couvre aucun risque prioritaire, ou négliger une dépendance critique chez un prestataire.
Les méthodes EBIOS Risk Manager, EBIOS, MEHARI et CRAMM fournissent des cadres pour conduire cette analyse. EBIOS Risk Manager convient notamment à la construction de scénarios stratégiques et opérationnels. MEHARI structure davantage l’évaluation des vulnérabilités et des mesures. CRAMM propose aussi une approche méthodique de gestion du risque. Le choix dépend du périmètre, du niveau de détail recherché et de la capacité des métiers à participer à l’analyse. La méthode retenue doit surtout rester compréhensible et être appliquée régulièrement lorsque le système d’information évolue.
La défense en profondeur évite le point de rupture unique
La sécurité ressemble à un pont suspendu : sa solidité ne dépend pas d’un seul câble, mais de plusieurs éléments qui répartissent la charge. Dans un système d’information, l’authentification forte, la segmentation réseau, les correctifs, les sauvegardes isolées, la détection d’activité suspecte et la sensibilisation n’ont pas le même rôle. Si un utilisateur clique sur un message frauduleux, d’autres barrières peuvent encore empêcher la propagation, détecter l’intrusion et restaurer les services.
Cette défense en profondeur limite la dépendance à un seul dispositif ou à une seule pratique. Elle ne supprime pas les erreurs humaines et techniques, mais elle réduit la probabilité qu’un événement isolé entraîne une compromission généralisée.
PSSI, SMSI et responsabilités : organiser la sécurité dans la durée
La politique de sécurité des systèmes d’information, ou PSSI, formalise les règles de l’organisation : périmètre, objectifs, responsabilités, exigences d’accès, protection des données, gestion des incidents et contrôle des fournisseurs. Elle transforme des orientations générales en décisions applicables et opposables en interne.
Le système de management de la sécurité de l’information, ou SMSI, fournit le cadre de pilotage. Il couvre la définition du périmètre, l’analyse des risques, la mise en œuvre des mesures, le contrôle de leur efficacité et l’amélioration continue. La norme ISO/CEI 27001, créée en 2005, propose un cadre de management reconnu pour structurer cette démarche.
Le RSSI ne porte pas seul le risque
Le RSSI pilote la sécurité, conseille la direction, coordonne les équipes techniques et suit les risques. Il travaille avec les métiers, qui connaissent les impacts opérationnels, avec le DPO sur les données personnelles et avec les utilisateurs, dont les pratiques quotidiennes influencent le niveau de protection. La direction arbitre les priorités et alloue les moyens. Elle reste responsable des décisions liées au risque.
- Identifier les actifs, les données sensibles et les dépendances critiques.
- Définir les règles d’accès, de sauvegarde, de mise à jour et de journalisation.
- Sensibiliser régulièrement aux mots de passe, au hameçonnage et aux usages des IA génératives.
- Tester les restaurations, le mode dégradé et la réponse à une attaque.
- Mesurer les écarts, corriger les insuffisances et réviser la PSSI après un changement majeur ou un incident.
Réglementation et réponse à incident : deux exigences complémentaires
Le RGPD et la loi Informatique et Libertés imposent de protéger les données personnelles avec des mesures adaptées aux risques. Selon leur secteur et leur rôle, certaines organisations doivent également prendre en compte NIS, NIS 2 ou DORA. Ces textes ne remplacent pas une analyse de risques. Ils demandent au contraire de démontrer une gouvernance, une gestion des incidents et un niveau de résilience cohérent avec les services concernés.
La conformité ne suffit donc pas à établir une protection effective. Une organisation peut disposer de documents conformes tout en conservant des faiblesses dans ses accès, ses sauvegardes ou ses procédures. Les exigences réglementaires doivent être reliées aux actifs, aux scénarios de risque et aux mesures réellement appliquées.
Réagir vite sans aggraver la situation
Lorsqu’un incident est détecté, il faut d’abord le signaler selon la chaîne interne prévue, conserver les éléments utiles à l’analyse et éviter les actions improvisées qui pourraient détruire des traces. L’équipe en charge qualifie l’événement, limite sa propagation, restaure les services de façon contrôlée puis conduit un retour d’expérience.
Un CERT est une équipe de réponse aux incidents. Un CSIRT désigne également une équipe spécialisée dans ce traitement. Le CERT-FR intervient dans le paysage français sous l’égide de l’ANSSI. Ces équipes contribuent à organiser la détection, l’analyse et la réponse, mais la première remontée doit suivre les procédures prévues par l’organisation.
La CNIL fournit des repères sur la sécurité des données personnelles, tandis que l’ANSSI publie des recommandations de cybersécurité et accompagne les organisations dans leurs enjeux de protection. Pour rester efficace, la sécurité des systèmes d’information doit être vérifiée par des audits, des exercices de crise, des tests d’attaque et des tests de reprise. L’existence d’une PSSI ou d’un outil ne prouve pas, à elle seule, que les protections fonctionneront lors d’un incident.