TRIBUNE : sécurité ou la foire au ‘parano business’

Les marchés de masse qui affichent des progressions à deux chiffres sont rares, mais la sécurité appartient cependant à ceux là. Les éditeurs fleurissent et les solutions se démultiplient à grande vitesse, à un rythme ou l’on se demande parfois si c’est le marché qui pousse aux menaces ou les menaces qui imposent les réactions.

Certes, cette vision est quelque peu caricaturale, mais on est en droit, face à la profusion de l’offre, de s’interroger si elle correspond plus à la réalité ou à une démarche qui relève du marketing de la peur, et alimente un gigantesque ‘paranoïa business’ ?

Attention cependant à ne pas se méprendre pas sur ces propos… Les menaces existent, les failles sont bien présentes ou elles sont potentiellement menaçantes, et la nécessité de se protéger ne se discute pas.

Pour autant, on s’interroge sur la nécessité d’équiper tous les postes exclusivement connectés à un réseau protégé avec un firewall (parefeu) ou un antivirus. On s’interroge aussi sur l’impérieuse nécessité de protéger les appareils mobiles d’hypothétiques menaces qui restent encore des expérimentations de laboratoires.

Au point qu’on en finirait presque par rêver d’un monde peuplé de postes vide de toutes données, sauf stockées en ROM (mémoire non volatile), et connecté à des services d’applications virtualisées accessibles en ligne via des lignes totalement sécurisées.

En réalité, ce qui ressort de ces Assises de la Sécurité – et ce n’est pas nouveau ! – c’est d’abord et surtout que la menace vient de l’intérieur, et que le point de rupture demeure et demeurera longtemps l’humain. Et quoi qu’on en dise, ce maillon faible restera, et pour longtemps…

C’est pourquoi le métier du DSSI évolue sur une corde raide, qu’il est en pleine mutation, et que l’on a rarement vu un poste dans l’entreprise aussi sensible et positionné en équilibre permanent. Et encore une fois soumis à sa principale faiblesse, l’humain. Car on l’oublie parfois là haut, dans les sphèr es du pouvoir, le RSSI est un homme !

Alors on cède à la paranoïa, on se couvre de tous les côtés, on investit massivement dans des systèmes qui protègent de tout et n’importe quoi, mais l’on oublie d’accorder la priorité au facteur humain, celui qui pourtant est le plus menaçant.

Il faudrait pourtant adopter une stratégie plus globale pour intégrer la sécurité dans la stratégie de l’entreprise, et prendre la dimension du phénomène pour traiter de tous les problèmes par le bon bout. Lequel ? Il dépend bien évidemment de l’entreprise. A commencer par former et informer les gens, rationaliser les investissements et ne pas céder à la panique.

Et si l’on rattachait le DSSI à la direction générale et plus seulement au DSI ?