Fiche de révision : Sécurité de l’information stratégique

📋 Plan du Cours

1. Une menace devenue stratégique
2. Héritages historiques de l’information
3. Propriétés et périmètre de sécurité
4. Pourquoi les entreprises perdent de l’argent
5. L’illusion d’une portée stratégique
6. Signes d’immaturité organisationnelle
7. Construire une stratégie efficace
8. Bénéfices et responsabilité collective

📖 1. Une menace devenue stratégique

★ À maîtriser

• Dans une société numérisée, l’information est une ressource centrale qui soutient la performance, l’innovation et la confiance entre individus, entreprises et institutions.

Compléments

• En Côte d’Ivoire, plus de 1 500 documents sensibles liés à des institutions gouvernementales, notamment le ministère des Impôts, ont été piratés.

• Le groupe KelvinSecurity aurait piraté près de 50 Go de données appartenant à l’armée ivoirienne et aurait mis ces documents en vente sur le dark web pour environ 9 millions FCFA.

• Le groupe Lockbit a exfiltré environ 280 Go de données, soit 200 000 documents, de la Nouvelle Parfumerie Gandour Côte d’Ivoire avant leur diffusion publique.

💡 Astuce mémo

Information mal protégée → crise, pertes et perte de souveraineté

📖 2. Héritages historiques de l’information

🔑 Notions clés & Définitions

• Tams-tams parleurs : Instruments de l’Empire Ashanti qui transmettaient des messages codés grâce au langage tonal du twi, seuls les initiés pouvant les composer et les déchiffrer.
• Jeliw : Griots mandingues qui conservaient et transmettaient la mémoire historique, juridique et politique de génération en génération.

📝 Points essentiels

• En avril 1235, Soundiata Keïta remporta la bataille de Kirina contre Soumaoro Kanté grâce à la révélation de la faiblesse liée à un talisman, ce qui permit la fondation de l’Empire du Mali. — Djibril Tamsir Niane

💡 Astuce mémo

Soundiata révèle, les Ashanti codent, les jeliw transmettent

📖 3. Propriétés et périmètre de sécurité

🔑 Notions clés & Définitions

• Sécurité de l’information : La sécurité de l’information est la préservation de la confidentialité, de l’intégrité et de la disponibilité de l’information, ainsi que de la traçabilité et de la non-répudiation.
• Confidentialité : Garantit que l’information n’est accessible qu’aux personnes autorisées.
• Intégrité : Garantit que l’information est exacte, complète et protégée contre toute modification non autorisée.

📝 Points essentiels

📌 La cybersécurité protège le cyberespace, la sécurité des systèmes d’information ajoute les équipements, personnes, processus, supports papier et exigences réglementaires, tandis que la sécurité de l’information protège l’information sous toutes ses formes durant tout son cycle de vie.

💡 Astuce mémo

CI-D-T-N : confidentialité, intégrité, disponibilité, traçabilité, non-répudiation

📖 4. Pourquoi les entreprises perdent de l’argent

★ À maîtriser

• L’indisponibilité des applications métiers, réseaux, serveurs, Internet, personnels ou bases de données empêche l’entreprise de fournir le service attendu et provoque une perte financière.

• La divulgation de données sensibles peut provoquer une atteinte à l’image, une perte de confiance, un boycott des clients et, dans certains cas, la faillite de l’entreprise.

Compléments

• La fraude et la cybercriminalité, qu’elles soient internes ou externes, peuvent rendre les systèmes partiellement ou totalement indisponibles, nuire à la santé financière et compromettre les activités.

• Les réclamations, plaintes et sanctions pour non-conformité peuvent entraîner des amendes, pénalités et dédommagements, surtout lorsqu’elles se répètent.

📖 5. L’illusion d’une portée stratégique

🔑 Notions clés & Définitions

• Illusion incantatoire : Situation où une organisation multiplie les discours, politiques et communications ambitieuses sans engager les ressources nécessaires ni traduire ses intentions en actions concrètes.

★ À maîtriser

• Les dirigeants considèrent encore souvent la sécurité de l’information comme une exigence technique ou normative plutôt que comme un levier de confiance, de compétitivité et de résilience.

Compléments

• L’absence d’attaque antérieure conduit certaines entreprises à croire à tort qu’elles n’ont pas besoin de se protéger, selon le raisonnement « Cela n’arrive pas chez nous ».

💡 Astuce mémo

Discours stratégique ≠ ressources et actions concrètes

📖 6. Signes d’immaturité organisationnelle

★ À maîtriser

• Une entreprise révèle son immaturité lorsqu’elle ne possède aucun expert en sécurité, laisse le RSSI seul ou subordonné au DSI, ne dispose pas de politique de sécurité et n’implique pas le directeur général.

• L’absence d’inventaire et de classification empêche l’entreprise d’identifier ses informations confidentielles et d’adapter leur protection à leur sensibilité.

Compléments

• Au niveau opérationnel, l’absence de SIEM, pare-feu, WAF, EDR ou XDR, d’audits, de mises à jour, d’antispam et de formation signale une approche insuffisante de la sécurité.

💡 Astuce mémo

Une entreprise sans inventaire, sans budget et avec un RSSI isolé

📖 7. Construire une stratégie efficace

★ À maîtriser

• Une gouvernance solide doit réunir: des politiques, des procédures, des processus, des comités, des analyses de risques, des plans de continuité et de reprise d’activité

📌 Le directeur général est le premier garant de la sécurité de l’information et doit la suivre régulièrement au moyen de reportings fondés sur des indicateurs précis.

📌 Le RSSI doit diriger une équipe dédiée, définir la stratégie et la gouvernance, conseiller le DG et disposer d’une autorité suffisante pour agir efficacement.

Compléments

• La Côte d’Ivoire s’est dotée le 30 octobre 2024 d’une Agence Nationale de la Sécurité des Systèmes d’Information, appelée ANSSI-CI.

📌 Un budget de sécurité distinct et autonome permet au RSSI de déployer sa feuille de route sans dépendre des arbitrages de la DSI.

💡 Astuce mémo

Organiser → protéger → aligner

📖 8. Bénéfices et responsabilité collective

★ À maîtriser

• Une stratégie de sécurité réussie réduit les cyberattaques, fuites de données, risques juridiques et erreurs humaines avant leur impact sur les opérations.

• Les dispositifs de gestion de crise, de continuité et de reprise d’activité ainsi que les sauvegardes permettent à l’entreprise de rester opérationnelle après un incident majeur.

Compléments

• La sécurité de l’information renforce la confiance des clients, partenaires et investisseurs et influence les relations commerciales, les appels d’offres et les investissements.

• Une stratégie claire responsabilise les collaborateurs, améliore la gouvernance de l’information, réduit les coûts d’incidents et facilite l’adoption maîtrisée du cloud, de l’intelligence artificielle et de la mobilité.

💡 Astuce mémo

Stratégie robuste → résilience, confiance et compétitivité

📊 Tableaux de synthèse

Périmètres de sécurité