Les professionnels de la sécurité évaluent les menaces et les vulnérabilités en fonction de leur impact potentiel sur la confidentialité, l’intégrité et la disponibilité des actifs d’une organisation, à savoir ses données, ses applications et systèmes critiques. Sur la base de cette évaluation, l’équipe de sécurité met en œuvre un ensemble de contrôles de sécurité pour réduire les risques dans leur environnement. Dans la section suivante, nous fournirons des explications précises et détaillées de ces principes dans le contexte d’InfoSec, puis nous examinerons les applications concrètes de ces principes.
Confidentialité
Confidentialité fait référence aux efforts d’une organisation pour garder ses données privées ou secrètes. Dans la pratique, il s’agit de contrôler l’accès aux données pour éviter toute divulgation non autorisée. En règle générale, cela implique de s’assurer que seules les personnes autorisées ont accès à des actifs spécifiques et que celles qui ne le sont pas sont activement empêchées d’y accéder. Par exemple, seuls les employés autorisés de la paie devraient avoir accès à la base de données de paie des employés. En outre, au sein d’un groupe d’utilisateurs autorisés, il peut y avoir des limitations supplémentaires, plus strictes, concernant précisément les informations auxquelles ces utilisateurs autorisés sont autorisés à accéder. Autre exemple: il est raisonnable pour les clients du commerce électronique de s’attendre à ce que les informations personnelles qu’ils fournissent à une organisation (telles que carte de crédit, contact, expédition ou autres informations personnelles) soient protégées de manière à empêcher tout accès ou exposition non autorisés.
La confidentialité peut être violée de nombreuses manières, par exemple par des attaques directes conçues pour obtenir un accès non autorisé aux systèmes, applications et bases de données afin de voler ou de falsifier des données. La reconnaissance du réseau et d’autres types de scans, l’écoute électronique (via une attaque de type « man-in-the-middle ») et l’élévation des privilèges système par un attaquant ne sont que quelques exemples. Mais la confidentialité peut également être violée involontairement par une erreur humaine, une imprudence ou des contrôles de sécurité inadéquats. Les exemples incluent l’échec (par les utilisateurs ou la sécurité informatique) à protéger adéquatement les mots de passe; partage de comptes utilisateurs; écoute physique (également connue sous le nom de surf sur l’épaule); l’incapacité de crypter les données (en cours, en transit et lorsqu’elles sont stockées); systèmes d’authentification médiocres, faibles ou inexistants; et le vol d’équipement physique et de dispositifs de stockage.
Les contre-mesures visant à protéger la confidentialité comprennent la classification et l’étiquetage des données; contrôles d’accès et mécanismes d’authentification solides; cryptage des données en cours de traitement, en transit et en stockage; stéganographie; capacités d’effacement à distance; et une éducation et une formation adéquates pour toutes les personnes ayant accès aux données.
Intégrité
Dans l’usage quotidien, l’intégrité se réfère à la qualité de quelque chose qui est entier ou complet. Dans InfoSec, l’intégrité consiste à s’assurer que les données n’ont pas été falsifiées et, par conséquent, peuvent être fiables. Il est correct, authentique et fiable. Les clients du commerce électronique, par exemple, s’attendent à ce que les informations sur les produits et les prix soient exactes, et que la quantité, les prix, la disponibilité et d’autres informations ne seront pas modifiés après avoir passé une commande. Les clients bancaires doivent pouvoir être sûrs que leurs informations bancaires et les soldes de leurs comptes n’ont pas été falsifiés. La garantie de l’intégrité implique la protection des données en cours d’utilisation, en transit (par exemple lors de l’envoi d’un e-mail ou du téléchargement ou du téléchargement d’un fichier) et lors de leur stockage, que ce soit sur un ordinateur portable, un périphérique de stockage portable, dans le centre de données ou dans le cloud .
Comme c’est le cas avec la confidentialité, l’intégrité peut être compromise directement via un vecteur d’attaque (comme la falsification des systèmes de détection d’intrusion, la modification des fichiers de configuration ou la modification des journaux système pour échapper à la détection) ou involontairement, par des humains erreur, manque de soin, erreurs de codage ou politiques, procédures et mécanismes de protection inadéquats.
Les contre-mesures qui protègent l’intégrité des données incluent le cryptage, le hachage, les signatures numériques, les certificats numériques. organisations pour vérifier leur identité aux utilisateurs du site Web, de la même manière qu’un passeport ou un permis de conduire peut être utilisé pour vérifier l’identité d’une personne., systèmes de détection d’intrusion, audit, contr ol, et des mécanismes d’authentification et des contrôles d’accès solides.
Notez que l’intégrité va de pair avec le concept de non-répudiation: l’incapacité de nier quelque chose. En utilisant des signatures numériques dans les e-mails, par exemple, un expéditeur ne peut pas nier avoir envoyé un message, et le destinataire ne peut pas prétendre que le message reçu était différent de celui envoyé. La non-répudiation aide à garantir l’intégrité.
Disponibilité
Les systèmes, les applications et les données ont peu de valeur pour une organisation et ses clients s’ils ne sont pas accessibles lorsque les utilisateurs autorisés en ont besoin. Tout simplement, la disponibilité signifie que les réseaux, les systèmes et les applications sont opérationnels.Il garantit aux utilisateurs autorisés un accès rapide et fiable aux ressources quand ils en ont besoin.
De nombreux facteurs peuvent compromettre la disponibilité, y compris les pannes matérielles ou logicielles, les pannes de courant, les catastrophes naturelles et les erreurs humaines. L’attaque la plus connue qui menace la disponibilité est peut-être l’attaque par déni de service, dans laquelle les performances d’un système, d’un site Web, d’une application Web ou d’un service Web sont intentionnellement et malicieusement dégradées, ou le système devient complètement inaccessibles.
Les contre-mesures pour assurer la disponibilité comprennent la redondance (dans les serveurs, les réseaux, les applications et les services), la tolérance aux pannes matérielles (pour les serveurs et le stockage), les correctifs logiciels réguliers et les mises à niveau du système, les sauvegardes, la reprise après sinistre complète plans et solutions de protection contre le déni de service.
Application des principes
En fonction des objectifs de sécurité d’une organisation, du secteur, de la nature de l’entreprise et des exigences réglementaires applicables, l’un de ces trois principes pourrait avoir préséance sur un autre. Par exemple, la confidentialité est vitale au sein de certaines agences gouvernementales (comme les services de renseignement); l’intégrité est prioritaire dans le secteur financier où la différence entre 1 $ et 1 000 000 $ pourrait être catastrophique; et la disponibilité est essentielle à la fois dans le secteur du commerce électronique (où les temps d’arrêt peuvent coûter des millions de dollars aux entreprises) et dans le secteur de la santé (où des vies humaines pourraient être perdues si les systèmes critiques ne sont pas disponibles).
Un concept clé à comprendre à propos de la triade de la CIA, c’est que donner la priorité à un ou plusieurs principes peut signifier le compromis des autres. Par exemple, un système qui requiert une confidentialité et une intégrité élevées peut sacrifier les performances à la vitesse de l’éclair que d’autres systèmes (comme le commerce électronique) pourraient apprécier davantage. Ce compromis n’est pas nécessairement une mauvaise chose; c’est un choix conscient. Chaque organisation doit décider comment appliquer ces principes compte tenu de ses exigences uniques, en équilibre avec son désir de fournir une expérience utilisateur transparente et sûre.
Pour en savoir plus sur d’autres concepts de sécurité fondamentaux, lisez Que sont les contrôles de sécurité?