Il y a quelques semaines, une «étrange» épidémie de vols de portables a touché des journalistes français.
Des collaborateurs du journal le Monde, de l'hebomadaire Le Point et du site d'information Rue89 ont été victimes du vol de leurs PC portables.
La caractéristique commune de ces personnes est qu’elles avaient toutes travaillé sur des dossiers relatifs à Madame Bettancourt, affaire aux nombreuses ramifications économiques et politiques.
Comme le faisait remarquer l'eurodéputée du MoDem Nathalie Griesbeck, la probabilité que ce soit une «coïncidence» n’est pas très élevée.
Ces journalistes savaient donc que, travaillant sur des documents sensibles, ils étaient plus exposées que d’autres à ce risque.
PC portables ou Cloud Computing, où les données sont-elles le plus en sécurité ?
Ces événements ont remis sur la table, une fois de plus, le thème récurrent de la sécurité et de la confidentialité des données.
J’ai entendu mille et une fois l’argument «anti-Cloud» suivant :
«je ne mettrai jamais mes données sensibles sur les «Nuages», que ce soit les données commerciales avec Salesforce ou mes documents avec Google Apps, car elles n’y sont pas en sécurité et leur confidentialité n’est pas garantie.
La même question se posait, il y a 50 ans, pour la sécurité de son argent, la banque «nuages» étant opposée au matelas «PC».
La sécurité totale n’existant pas, la vraie question à poser aujourd’hui est :
Mes données sont-elles plus en sécurité, mémorisées en local sur un objet mobile ou hébergées sur les serveurs d’un fournisseur professionnel de solutions Cloud computing ?
Je vous propose donc de faire le point sur les principaux «dangers» pour la confidentialité des données posés par l’usage d’un objet mobile.
Principaux risques «confidentialité» liés à l’utilisation d’un objet informatique mobile.
Cloud Computing ou pas, nous sommes tous les jours plus nombreux à utiliser des objets mobiles, et il est illusoire de vouloir s’opposer à cette vague de fond.
PC et Macintosh portables, smartphones, tablettes, les objets mobiles d’accès à Internet et à son système d’information sont déjà, en 2010, beaucoup plus nombreux que les PC fixes.
Comme le montre ce graphique qui vient de la remarquable étude annuelle réalisée par Mary Meeker pour la banque Morgan Stanley, 80 % des objets d’accès à l’informatique seront mobiles à la fin de l’année 2013.
Vol physique de ses objets mobiles.
Chaque semaine, 3 300 portables professionnels sont perdus dans les huit principaux aéroports européens, dont 57 % ne sont jamais réclamés ! La situation est particulièrement grave pour London
Heathrow qui bat tous les records (900 ordinateurs perdus ou volés par semaine), suivi de Amsterdam (750) et de Paris-Charles de Gaulle (733). Ces résultats, inquiétants, sont tirés d'une étude réalisée par l'Institut Ponemon pour le compte de Dell.
Aux États-Unis, pas moins de 12 000 portables professionnels sont perdus chaque semaine ; cumulé sur une année cela représente... 637 000 PC qui disparaissent tous les 12 mois.
Le coût «physique» du vol est de loin le moins important, même s’il est toujours désagréable de voir disparaître un objet dont le prix de remplacement oscille entre 300 et 2 000 €.
Un article de PC Mag estime le coût complet de remplacement d’un PC volé à $ 50 000, 50 à 100 fois plus que le coût du seul remplacement du PC.
Il existe de nombreux moyens de protection physique d’un objet mobile, depuis le simple câble en acier à 20 € jusqu’aux alarmes sonores plus sophistiquées. Je suis toujours très surpris de constater qu’une majorité de personnes ne possèdent aucun moyen de ce type pour attacher leur PC dans une chambre d’hôtel ou pendant une conférence.
Protection des contenus
Les données stockées sur un objet mobile ont une valeur beaucoup plus grande que l’objet lui-même, que ce soit par leur éventuelle valeur pour un concurrent ou pour le simple coût de les recréer.
Oui, je sais, il est possible de crypter les données d’un disque dur, tout le monde a en permanence une copie à jour de toutes ses données sur un support externe protégé...
La réalité est toute autre...
Le cabinet Ponemon, spécialiste reconnu de la sécurité déjà cité, a réalisé, début 2010, une enquête en France sur le «facteur humain» dans la sécurité des PC portables.
Les résultats de cette étude, malheureusement non publics, sont édifiants ; ils confirment ce que nous savons tous, à savoir que les défaillances humaines sont les plus grandes sources de failles de sécurité. A titre d’exemple, même dans les cas où le cryptage des données est mis en œuvre par l’entreprise, 30 % des dirigeants avouent l’avoir désactivé !
Il existe un autre risque, moins connu, encouru par toutes les personnes qui voyagent aux Etats-Unis.
La loi américaine autorise les douaniers qui vous «accueillent» à l’arrivée à lire toutes les données de votre PC. Si vous les avez codées, ils vous demanderont la clef de décryptage. En cas de refus, votre PC vous sera immédiatement confisqué et remis à des spécialistes qui sauront, très vite, faire parler votre disque dur.
Cloud Computing : quels risques pour les données ?
La sécurité et la confidentialité des données que l’on confie à un fournisseur «Cloud Computing» sont encore, en 2010, les têtes de liste dans toutes les enquêtes sur les freins éventuels à l’utilisation des solutions Cloud Computing, comme le montre cette récente étude réalisée par l’ISACA (Information Systems Audit and Control Association).
A tous les «hypocondriaques» de la sécurité informatique, je recommande chaudement le dernier livre blanc publié par le Syntec Numérique (Ex Informatique). Il leur fournira une large gamme d’arguments leur permettant de justifier une non-migration sur le Cloud.
Pour les personnes plus «ouvertes», je recommande aussi la lecture des livres blancs publiés par deux grands acteurs du Cloud, Amazon (22 pages) et Google (17 pages), qui expliquent avec beaucoup de détails comment ils gèrent la sécurité de leurs infrastructures.
Elles pourront alors poser une question simple : combien d’entreprises ont, pour leurs infrastructures gérées en interne, des niveaux de sécurité équivalents ?
Il reste bien sûr l’argument choc, la confidentialité des données hébergées, ou comment le «grand méchant» Google, le «grand méchant» Salesforce vont passer leur temps à lire vos documents confidentiels ou la liste de vos prospects.
Quand j’explique, calmement, à mon interlocuteur que ces fournisseurs ont mille fois plus à perdre que leurs clients si l’on découvre qu’ils ont trahi leur confiance, je me vois opposer l’argument massue du «Patriot Act» qui permettrait aux sbires du gouvernement américain de lire tous mes documents, même les plus confidentiels.
Sur ce sujet, je vous propose de consulter un autre livre blanc, publié par ThinkStrategies, spécialiste du Cloud Computing et du SaaS ; il ramène ce risque à sa juste valeur, c’est-à-dire nul pour l’immense majorité des entreprises.
Mot de passe : maillon faible de la sécurité Cloud Computing
Tous les professionnels de la sécurité savent bien que les principaux risques viennent des utilisateurs, comme on l’a vu pour les objets portables.
Dans le domaine du Cloud Computing, les mots de passe représentent un risque évident, que ce soit par :
- Un nombre de caractères trop petit.
- Le choix de mots ou chiffres faciles à retrouver.
- L’utilisation du même mot de passe pour de trop nombreux services.
- Et ... beaucoup d’autres déficiences.
Il existe de nombreuses solutions pour réduire fortement les risques induits par le piratage d’un mot de passe, même si aucune ne peut garantir une fiabilité à 100 %.
Un bon exemple est l’initiative prise il y a peu par Google, proposant pour Google Apps un système de double authentification, un OTP en Anglais (One Time Password).
La solution de Google, gratuite, fonctionne par l’envoi d’un SMS sur le téléphone portable de la personne au moment d’un nouvel accès ou avec l’aide d’un logiciel installé sur son smartphone et qui génère des clefs d’accès dynamiques, même en cas de non-accès au réseau téléphonique.
Cet outil, vraiment très simple d’emploi, multiplie par 100 ou par 1 000 la sécurité d’un simple mot de passe et nous l’avons rapidement généralisé chez Revevol.
Résumé
Si j’étais un journaliste amené à travailler demain sur un dossier «sensible», je devrais choisir entre deux options pour stocker les résultats de mes enquêtes :
- Sur mon PC portable.
- Sur les «Nuages» de Google ou d’un autre.
Poser cette question, c’est déjà y répondre !
Il est évident, pour moi, que je dormirais beaucoup plus tranquille avec des dossiers confidentiels «dans les nuages».
Mise à jour du 13 décembre.
Suite aux remarques et propositions de nombreux lecteurs, j'inclus un lien vers la dernière vidéo de Google qui montre les avantages de "ChromeOS" pour un notebook qui subit les "derniers outrages" !
