Assurer adéquatement la sécurité des systèmes informatiques représente non seulement un défi de taille mais s'avère essentiel à la survie des entreprises. Malheureusement, encore trop peu de dirigeants sont conscients des réels dangers que leurs sociétés courent. Jacques Viau, directeur du nouvel Institut de la sécurité de l'information du Québec (ISIQ), leur prodigue ici quelques conseils.
Assurer adéquatement la sécurité des systèmes informatiques représente non seulement un défi de taille mais s'avère essentiel à la survie des entreprises. Malheureusement, encore trop peu de dirigeants sont conscients des réels dangers que leurs sociétés courent. Jacques Viau, directeur du nouvel Institut de la sécurité de l'information du Québec (ISIQ), leur prodigue ici quelques conseils.
«Premier constat: plusieurs dirigeants s'en remettent totalement à un seul spécialiste pour assurer la sécurité de leurs systèmes informatiques, déplore d'entrée de jeu Jacques Viau. Par surcroît, ils s'attendent à ce que ce technicien soit expert en tout: sécurité, réseautique, transactions électroniques, site Web...» Cela est impossible, compte tenu que les technologies évoluent trop rapidement pour se tenir à jour dans tous ces domaines. Rien qu'en sécurité, 300 nouvelles failles font leur apparition par mois.
«Sans une formation continue et une recherche quotidienne d'information, nul ne peut prétendre être qualifié pour répondre aux besoins d'une entreprise, affirme le directeur de l'ISIQ. Il existe plusieurs aspects de la sécurité de l'information qui exigent des connaissances approfondies (architecture de sécurité, configuration de serveur, gestion des systèmes de prévention et détection d'intrusion, analyse de journalisation, etc.)».
Pas dans le même panier
En outre, au même titre qu'on ne remet pas toutes les clés de son organisation à tous ses employés, il est stratégique de ne pas confier le contrôle entier de ses systèmes informatiques à un seul responsable, si expert soit-il. Par ailleurs, tous les spécialistes de la question s'accordent pour dire que la sécurité informatique ne doit pas dépendre uniquement des gestionnaires et techniciens en technologies de l'information.
À ce chapitre, l'expert propose de procéder dans un premier temps à l'inventaire des actifs informationnels de l'entreprise et d'en déléguer la responsabilité aux gestionnaires responsables de chacun des secteurs. Par exemple, les systèmes comptables deviennent la responsabilité du VP finances; le système de gestion des ressources humaines (RH) incluant les informations sur les employés, au VP ou directeur RH, etc.
Participez
Pour mieux comprendre les risques potentiels encourus par leurs entreprises, Jacques Viau recommande aussi aux dirigeants de suivre une formation de base. Cette séance de sensibilisation- qui peut être élaborée sur mesure- leur permettrait d'acquérir des connaissances minimales pour évaluer le niveau de sécurité de leurs systèmes et vérifier si les mesures en place correspondent bien au niveau de risque qu'ils jugent acceptable. Elle les rendrait également aptes à déterminer si les budgets consentis sont adéquats.
«Pour avoir l'heure juste sur la sécurité de ses systèmes, nous suggérons aussi fortement de faire appel à des ressources externes pour effectuer un audit de sécurité complet ou au minimum des tests sur la vulnérabilité des infrastructures informatiques, conseille Jacques Viau. Cette mesure permet d'évaluer l'efficacité des procédures internes et les compétences du personnel en place. Pour ce faire, nous déconseillons toutefois d'utiliser les services de son impartiteur car son objectivité est difficile à assurer. Enfin, les responsables et le personnel des TI redoutent souvent ce genre de test et sont, dans certains cas, réfractaires, craignant que les résultats les feront paraître incompétents.»
Auquel cas, l'expert recommande de rassurer son personnel en lui disant qu'il s'agit en fait d'une mesure préventive permettant d'identifier les lacunes et les faiblesses potentielles des systèmes d'information et pouvant causer des pertes importantes à l'entreprise. Ces tests permettent aussi de d'identifier avec plus de précision quel programme de formation est essentiel à son personnel et de mettre en place des moyens pour mieux gérer les risques.
Surveillez vos intérêts
«Nous recommandons aussi aux entreprises de se doter d'une politique de sécurité évolutive et de faire participer activement la haute direction à sa promotion et à sa mise en oeuvre. Trop souvent, hélas, la direction n'accorde aucune attention aux activités reliées à la sécurité de l'information. Plus souvent encore: une fois la politique écrite, et très souvent par des consultants externes, cette dernière est mise de côté!» Résultat: personne ne la respecte.
Autre conseil: s'assurer que les contrats avec les partenaires ou les impartiteurs prévoient les clauses nécessaires pour ne pas mettre en danger les informations ou les systèmes de son entreprise. Différents aspects des contrats d'impartition doivent faire l'objet d'une attention particulière ayant un impact potentiel sur la sécurité de l'information des entreprises: les pratiques d'embauche, le contrôle des accès, la détection et réaction aux incidents, la relève à la suite d'un incident, etc.
«Il faut même prévoir une clause obligeant l'impartiteur à vous aviser lorsqu'il est victime d'une attaque informatique, affirme Jacques Viau. Dans certains dossiers d'espionnage industriel et incidents de sécurité, il s'est avéré que l'impartiteur- même s'il était doté d'une politique de sécurité- ne mettait pas en pratique les règles qui y étaient décrites et les failles qui en résultaient ont permis aux concurrents d'avoir accès à des données confidentielles.»
Enfin, c'est par l'exemple qu'on démontre sa volonté réelle de faire avancer les choses. Ainsi, prendre part aux activités de sensibilisation à l'intention de tout le personnel, participer personnellement aux efforts de sécurité et mettre en pratique ce que l'on prêche vaut beaucoup plus que tous les discours que l'on peut tenir sur le sujet.
Liette D'Amours est directrice des communications au CEFRIO, un centre de recherche-action et de transfert spécialisé en appropriation des technologies de l'information.