Quels outils, pour quoi faire ?

Assurer sa protection est une gageure pour l'entreprise qui ne peut s'offrir l'expertise d'un Responsable de la Sécurité Informatique. Pour elle, nous dressons un panorama de bonnes pratiques et d'outils efficaces.

 «Il ne sert à rien d’avoir une politique de sécurité très élaborée, sur la base de standards internationaux, s’il n’y a même pas de politique de changement des mots de passe». Cet appel au pragmatisme, c’est un haut fonctionnaire de l’Etat qui le lance. Patrick Pailloux, Directeur de la DCSSI, l’organisme gouvernemental en charge de la cyber-sécurité, enfonce ici un clou bien nécessaire : à l’heure où le marché de la sécurité foisonne de certifications plus compliquées les unes que les autres, de processus complexes et autres rapports élaborés, un retour à la simplicité s’impose. Alors certes, les standards internationaux sus nommés obligent à avoir, entre autres, une politique de changement des mots de passe. Et certes, avant d’être une affaire de produits, la sécurité est avant tout une affaire de processus. Mais à trop vouloir rabâcher ce discours de consultant premier de la classe, on en oublie la réalité des milliers de petites et moyennes entreprises qui sont encore très loin de formaliser leur sécurité. Pour elles, seul le business compte et la sécurité est vue comme une charge plutôt qu’un atout. Et, même si cela n’était pas le cas, beaucoup d’entre elles n’ont tout simplement pas les ressources suffisantes pour consacrer un temps plein à la gestion de la sécurité : le responsable informatique, voire le DSI lorsqu’il existe, devra s’occuper aussi de la sécurité. Cela ne signifie évidemment pas qu’elles aient raison : si le fameux ROI (retour sur investissement) de la sécurité demeure difficile à évaluer, on sait en revanche très bien ce que l’absence de sécurité peut coûter : au mieux, ce sera du temps et de la désorganisation lorsqu’il faudra réinstaller les postes de travail devenus inutilisables à cause d’une infection généralisée de spyware. Et cela pourra devenir sérieux si, au passage, aucune sauvegarde correcte (c’est-à-dire régulièrement testée) n’était réalisée. Mais ce pourra aussi être de l’argent, par exemple à cause du manque à gagner lié à une activité contrainte de fonctionner au ralenti (serveurs compromis, suivis des commandes à l’arrêt, perte d’information clients, des devis, etc.).