Sécurité informatique : quatre récits, et le temps qu’on met à s’en apercevoir

L’article sur la famille sécurité énumère en un paragraphe ce qui arrive réellement à une petite entreprise. Cette page en raconte quatre correctement, parce qu’une liste ne montre pas la seule chose qui décide du coût.

Cette chose est un intervalle. Dans les quatre cas, l’événement lui-même est bref et pas très grave ; ce qui coûte est le temps qui passe entre le moment où il se produit et le moment où quelqu’un s’en aperçoit.

Cet intervalle se compte en semaines pour un mot de passe réutilisé, en jours pour un ordinateur volé, en heures pour un virement détourné, et en minutes pour un fichier chiffré. Ce ne sont pas les mêmes urgences et cela change ce qu’il faut préparer.

Cette page raconte donc les quatre, dit ce qui les raccourcit, explique ce qu’il faut faire dans la première heure, et contient un chiffre que nous possédons et que nous ne publierons pas — la section 5 dit pourquoi.

C’est le récit dont l’intervalle est le plus long et la cause la plus lointaine, et c’est pour cela qu’il est le plus mal compris : ce n’est pas votre système qui a été percé.

La séquence est toujours la même. Un employé utilise le même mot de passe pour votre messagerie et pour un service sans rapport — une boutique, un forum, une application. Ce service subit une fuite, ce qui arrive régulièrement et ce dont personne n’est prévenu. La liste circule. Des mois plus tard, quelqu’un essaie ces couples d’identifiants un peu partout, automatiquement.

Ce qui se passe ensuite est discret et c’est ce qui rend l’intervalle long : la personne qui entre dans une messagerie ne casse rien. Elle lit. Elle attend un échange qui parle d’argent, et elle intervient au bon moment — ce qui est le récit suivant.

La conséquence est que la sécurité de votre messagerie ne dépend pas que de vous, et qu’aucun équipement du pilier ne traite ce cas. Ce qui le traite tient en deux mesures, toutes deux gratuites.

La première est un mot de passe différent par service, ce qui demande un moyen de les retenir — un gestionnaire, ou à défaut un carnet fermé à clé, qui vaut mieux qu’un mot de passe unique. La seconde est la vérification en deux étapes sur la messagerie, qui rend un mot de passe volé insuffisant. Si une seule mesure de cette page devait être prise cette semaine, c’est celle-là.

À ce point, un article comme celui-ci imprime une statistique : une part d’entreprises touchées, un coût moyen, un délai moyen de détection. Nous n’en citerons aucune, et la raison est différente de toutes celles que les autres articles de ce site ont données.

Les refus précédents portaient sur la qualité du chiffre. Il venait d’un autre pays, il était produit par celui qui vend la solution, il n’était pas daté, il mesurait la mauvaise population, ou il périmait plus vite que la page. Aucun de ces défauts ne s’applique ici.

Nous savons combien d’entreprises nous avons accompagnées après un incident de ce type, sur quelle période, et lequel des quatre récits chacune a vécu. Le chiffre est nôtre, il est daté, il est vérifiable en interne, et il serait exactement le genre de donnée locale qui manque à ce marché.

Il ne sera pas publié parce que ce marché est petit. Une entreprise qui écrit combien de clients d’un secteur donné, dans une ville donnée, sur deux ans, ont subi tel type d’incident, publie une information qui désigne des entreprises identifiables par ceux qui les connaissent. La précision qui rendrait le chiffre utile est exactement celle qui le rendrait nominatif.

C’est le seul refus de ce site qui ne protège pas le lecteur mais quelqu’un d’autre, et nous préférons l’écrire plutôt que de laisser croire que nous n’avons rien à dire. Ce que nous pouvons publier sans nommer personne est ce que fait cette page : les quatre récits, leur ordre de fréquence, et l’intervalle qui décide du coût.

Une réponse à incident dans une entreprise de vingt personnes n’a rien à voir avec ce que décrivent les documents écrits pour des organisations qui ont une équipe dédiée. Elle tient en quatre gestes et ils se préparent à l’avance.

Le premier est de déconnecter plutôt que d’éteindre. Débrancher le câble réseau ou couper le sans-fil arrête la propagation ; éteindre la machine efface ce qui aurait permis de comprendre. Cette distinction est la seule chose technique de cette section et elle vaut d’être sue.

Le deuxième est de ne pas effacer et de ne pas réinstaller tout de suite. La tentation est forte, elle vient du désir de reprendre le travail, et elle supprime la possibilité de savoir ce qui est parti — ce qui est précisément ce qu’une assurance ou un client vous demandera.

Le troisième est de changer les mots de passe depuis une autre machine, en commençant par la messagerie et par ce qui touche à l’argent. Depuis une autre machine, parce que celle qui est concernée ne peut plus servir à cela.

Le quatrième est d’écrire l’heure. L’heure du premier symptôme, l’heure du signalement, l’heure de chaque action. Cette liste vaut plus, trois jours plus tard, que tout ce dont on croit se souvenir, et personne ne la tient si elle n’a pas été décidée avant.

Ce que nous refuserons : vendre un produit de sécurité à une entreprise qui n’a pas encore les trois habitudes de la section 6. Elles sont gratuites, elles traitent trois des quatre récits, et aucune facture ne les remplace.

Nous refuserons de publier nos propres chiffres d’incidents, pour la raison de la section 5, et nous refuserons de citer ceux des autres sans dire d’où ils viennent et sur quelle population ils portent.

Nous refuserons d’ajouter un second logiciel de sécurité à côté de celui du système sans avoir mesuré ce qu’il apporte, et de facturer une prestation de « sensibilisation » qui n’aboutit pas à trois règles écrites et affichées quelque part.

Ce que nous faisons : le chiffrement du disque activé à la préparation de chaque portable ; la vérification en deux étapes posée sur la messagerie avant tout le reste ; la règle d’appel écrite et affichée là où les paiements se déclenchent ; le compte quotidien sans droits d’administration, avec un second compte pour installer ; la copie de sauvegarde hors d’atteinte et restaurée devant vous ; et la liste papier de la section 9, remise en deux exemplaires.

Et ce que vous pouvez faire aujourd’hui sans nous : activez la vérification en deux étapes sur votre messagerie professionnelle. Cela prend cinq minutes, cela traite le récit dont l’intervalle est le plus long, et c’est, de tout ce que ce site a écrit sur la sécurité, la seule chose que nous vous demanderions de faire avant de refermer la page.