C’est toujours une question d’équilibre entre le confort et la sécurité.
Gérer les risques
En fait, comme chacun peut le confirmer dans le secteur des TIC, la plupart des experts en sécurité sont extrêmement prudents, voire paranoïaques. Florian Schütz adopte ici une approche pragmatique: «De nombreux professionnels de la sécurité n’utilisent pas Facebook ou LinkedIn. Je pense que c’est une vision à court terme. La vie devient plus numérique et cela a des avantages. Les canaux de réseaux sociaux aident par exemple à penser aux anniversaires. Mais après tout, c’est à moi de décider de ce que j’écris, et je peux toujours déterminer quelles informations je souhaite divulguer et où.» Il y a donc le Florian Schütz privé, dont on ne peut pas tout savoir, même en combinant ses profils en ligne.
Dans ce comportement, la règle numéro un de la sécurité informatique s’applique: être conscient des risques et les gérer en conséquence. Utiliser la technologie avec précaution en fait également partie. Ainsi, Florian Schütz a lui-même trois ordinateurs portables chez lui. Un pour les participations à des conférences, sans données pertinentes au cas où il serait piraté. Un pour l’usage privé et un en réserve. Avec cette approche, il faut considérer un secrétaire communal à la fois comme une personne privée et comme un professionnel. «C’est une obligation de l’employeur de former les collaborateurs à la sécurité, idéalement dès leur entrée en fonction et en organisant régulièrement des événements de sensibilisation».
Ce n'est pas parce qu'une personne tombe dans le piège d'un hameçonnage que tout est perdu !
Considérer les risques dans leur globalité
Florian Schütz relativise également une célèbre phrase concernant la cybersécurité: «On dit souvent : “L’homme est le plus grand point faible”. Ce n’est pas vrai! L’homme n’est qu’un facteur parmi d’autres. Prenons l'exemple d'un e-mail de phishing envoyé à 5 000 collaborateurs et collaboratrices. Et soyons généreux sur le temps de réaction de la sécurité informatique. Si, en l’espace d’une heure, 5 collaborateurs/collaboratrices accèdent via un e-mail à un site web qui n’a encore jamais été consulté par cette entreprise, une alarme devrait se déclencher dans le système informatique. On reconnaît ainsi qu’il s’agit d’un nouveau site de conférence ou que quelque chose ne va pas et qu’il faut renforcer les défenses. Ce n’est pas parce qu’une personne tombe dans le piège d’un hameçonnage que la houppe et le malt sont perdus!»
Quel est le point faible le plus important? «Nous n’avons pas encore appris à penser de manière globale, nous ne pensons qu’à des éléments isolés. Or, la sécurité n’est pas une question de technologies isolées, mais de contexte dans lequel on les utilise et pour quoi faire». Florian Schütz sait que tout le monde et tous les services n’en sont pas encore là. Malheureusement, comme il le dit. «Nous devons penser la sécurité comme une partie intégrante des services numériques. Et nous devons passer d’une sécurité réactive à une sécurité proactive».
Florian Schütz prend congé, une collaboratrice du NCSC nous accompagne à la sortie, la sécurité proactive, mise en œuvre de manière tout à fait classique.
En écoutant Florian Schütz, on pourrait se demander pourquoi tant d’attaques réussissent. Selon le célèbre chercheur en matière de risques Gerd Gigerenzer, chacun pourrait apprendre à gérer les risques de manière réaliste, y compris dans le monde numérique, et à s’immuniser contre les discours alarmistes, tout comme contre la minimisation des risques.
