La « cybermenace » interne(Par Serigne Mouhamadane Diop)

Je souhaiterais aborder aujourd’hui un point que je considère essentiel dans l’architecture de la sécurité en entreprise. Il s’agit de la menace interne comme vous l’aurez deviné à travers le titre.

La sécurité à 100% n’existe pas mais nous cherchons toujours des améliorations à apporter à l’existant notamment par la mise en place des moyens de défense de l’entreprise combinée à des tests pour les éprouver.

Dans un challenge auquel j’ai participé pour une certification, j’étais supposé effectuer de la stéganalyse qui consiste à déchiffrer des messages cachés par des techniques de stéganographie.

Une petite digression est nécessaire pour expliquer un peu ce qu’est la stéganographie. Il s’agit, en termes simples, de l’art de la dissimulation de données donc il s’agit de faire passer un message (la vraie information) à travers un autre sans rapport apparent.

Alors pour revenir au challenge, un employé de la structure fictive a utilisé la stéganographie pour cacher des informations confidentielles et très sensibles de l’entreprise dans une image.

Pourquoi cet exemple ? Parce qu’il n’y a, a priori, aucun moyen d’empêcher une personne ayant un accès autorisé à des informations sensibles de les divulguer et les professionnels de la sécurité conviendront avec moi que le maillon faible de la sécurité c’est bien l’Homme. De plus, chaque année nous entendons parler des fuites de données dans des entreprises très connues à travers le monde et souvent il s’agit de fuites provoquées par des ressources internes.

La problématique réside dans le fait qu’il s’agisse d’une menace avec plusieurs vecteurs possibles (toute partie ayant besoin d’accéder aux ressources pour travailler) rendant la protection très complexe.

Aussi, les entreprises ont tendance à mettre toutes les ressources nécessaires pour se prémunir des menaces. Des antivirus, un firewall, un IDS/IPS, une politique de sécurité paranoïaque, le blocage des ports USB suivi d’un audit de conformité et des tests d’intrusion ou scan de vulnérabilités etc. Elles mobilisent la majorité de leurs ressources allouées à la sécurité, si tant est qu’il y en ait (cas du Sénégal), à la protection contre les menaces externes et il devient important de s’interroger sur l’utilité de tous ces outils si la menace est aussi présente en interne ?

Qu’ils soient accidentels ou volontaires, les actes provenant des ressources internes constituent un risque non négligeable que les entreprises devraient prendre en compte dans leur stratégie.

Pour finir, je dirai qu’il est important d’insister sur la sensibilisation et la prise de conscience des employés par rapport à toutes les conséquences pouvant découler d’une fuite d’informations sensibles aussi bien sur le plan légal que sur le plan de la survie de l’entreprise même.

J’aimerais, comme d’habitude, avoir vos avis sur le sujet. Le point de vue du profane comme celui de l’expert en sécurité me sera grandement utile.

Serigne Mouhamadane Diop

(C|EH) EC Council Certified Ethical Hacker, Security Analyst, Pentest, Offensive Security, Audit

Comments are closed.