«Les fuites de Wikileaks montrent les limites de la sécurité de l'information»

© DR

En basculant sur la Toile une petite partie des 250.000 télégrammes diplomatiques en sa possession, le site Wikileaks sème une nouvelle fois la panique parmi les entreprises, qui se sentent vulnérables à des fuites d'une ampleur jusqu'ici inconnue. Au-delà de la sécurité de leurs systèmes d'information, ce sont un certain nombre de leurs procédures organisationnelles qui devraient être remises en cause.

Après la divulgation de câbles diplomatiques confidentiels, le voile sera-t-il bientôt levé sur les secrets les plus gênants de certaines grandes entreprises internationales ? C'est en tout cas ce qu'a affirmé hier Julian Assange, fondateur du site Wikileaks, spécialisé dans la divulgation d'informations sensibles, dans un entretien au magazine Forbes. Il a brandi la menace d'une publication, début 2011, d'un autre lot copieux de documents, qui concerneraient cette fois une grande institution financière américaine. Et ces nouvelles données sensibles devraient, d'après lui, révéler de croustillantes informations sur « le comportement des exécutifs des banques ».

Tremblez, administrations et banquiers... Mais pas seulement. Car, selon plusieurs spécialistes de la sécurité, les mésaventures du Pentagone avec Wikileaks pourraient de plus en plus concerner d'autres entreprises, dans tous types de secteurs.

Le facteur humain négligé

Que révèle la dernière affaire Wikileaks ? « Indépendamment de l'utilisation ou non de certains produits de sécurité, cela témoigne d'une défaillance des procédures mises en oeuvre par l'administration américaine, notamment dans la gestion des identités numériques et des droits d'accès à l'information », estime Thierry Rouquet, PDG d'Arkoon, un spécialiste français de la sécurité des réseaux et des postes de travail. « Dans cette affaire, il semblerait en effet que c'est un soldat de première classe qui a eu les privilèges d'accès à une énorme quantité d'informations classifiées et les a ensuite divulguées », précise-t-il (en référence à Bradley Manning, soupçonné d'être à l'origine des fuites).

« Ce type de fuites va au-delà de la sécurité mais touche à la gestion du facteur humain », renchérit Guillaume Lovet, responsable Europe de l’équipe de recherche des menaces informatiques chez l'américain Fortinet, l'un des principaux spécialistes internationaux de la sécurité réseau. « On atteint ici les limites de la sécurité de l'information », martèle-t-il : « Vous pouvez avoir le réseau le plus sûr du monde, si quelqu'un a accès de façon légitime à vos documents et décide de les voler, vos pare-feux ou vos serveurs Linux sécurisés ne l'en empêcheront pas. C'est un domaine qui dépasse la sécurité informatique mais touche aux politiques de sécurité, qui englobent la gestion de l'informatique et la gestion des ressources humaines ».

La numérisation facilite les fuites

Pourquoi ce type de problème se présente-t-il maintenant ? « Wikileaks ne date pas d'hier », tempère Guillaume Lovet (la création du site remonte à 2006). « Mais ce qui est nouveau c'est que ce site a acquis un degré de notoriété auprès d'un certain public souhaitant faire passer davantage d'informations », relève le spécialiste, en précisant qu'il est finalement assez aisé de voler aujourd'hui 250.000 documents textuels. Lesquels « se compressent assez bien et tiennent sur une simple carte mémoire ».

Le Web est un autre « facilitateur », d'après lui : « Internet permet de publier et d'héberger ces documents de façon résiliante (sans que personne ne puisse les supprimer), en partie du fait des différences de juridiction et des protocoles redondants, qui permettent de réagir aux attaques en déni de service en déplaçant l'hébergement du site ».

La difficulté de concilier la sécurité et l'ouverture

Pour Thierry Rouquet, les difficultés de l'administration américaine pourrait en outre trouver leurs origines dans une volonté post-11 septembre « d'offrir davantage de convergence et de transversalité entre les différents services, quitte à en oublier les règles les plus élémentaires de la sécurité de l'information ».

À l'heure où nombre d'éditeurs de progiciels vantent le décloisonnement des silos informationnels, c'est une question qui devrait faire réfléchir les entreprises. En effet, « les sociétés vont devoir trouver un compromis entre le décloisonnement et le partage, qui offrent de nombreux avantages, et la gestion des risques de fuites », affirme le PDG.

Actuellement, les moyens pour se prémunir contre les vols existent : Arkoon propose notamment aux entreprises des outils de chiffrement, des logiciels de contrôle des périphériques amovibles et des solutions permettant de s'assurer que les informations chiffrées ne sont partagées que par des personnes « habilitées ». « Mais la mise en oeuvre de ces solutions amènent les dirigeants à se poser des questions de management et d'organisation, notamment en ce qui concerne la classification de l'information, ce qui est toujours plus compliqué que d'acheter un logiciel et de l'installer », conclut-il. Plus que jamais, ils vont aujourd'hui devoir trancher entre, d'un côté, la vitesse et l'ouverture, et, de l'autre, la sécurité.

Christophe Dutheil