Rechercher
Toggle location

Médiateur

Valéry MARCHIVE, Rédacteur en chef adjoint - LeMagIT

Participants

  • Dominique BOLIGNANO, Président - PROVE & RUN
  • Benoit GEIMER, ingénieur Avant-Vente Réseau et Sécurité - VMWARE FRANCE SAS
  • Jean-Jacques CAMPS, Global E&C Director, IT Security - AIR LIQUIDE
  • Nicolas PIERSON, Expert Cyberdéfense - Ministère des Armées

Résumé

Sitôt conçu, un nouveau système, un nouvel équipement doit être sans délai industrialisé et commercialisé pour répondre aux impératifs du business. Dans cette course à la rentabilité, la sécurité est souvent oubliée. La sécurité by design est-elle alors un avantage compétitif ?

La sécurité by design passe avant tout par une culture d’acceptation de l’insécurité. Bien qu’un système ne puisse jamais être totalement protégé, il est primordial de lister toutes les attaques potentielles dès la rédaction du cahier des charges et mettre en place des mesures de défendabilité.

Aujourd’hui, les attaques peuvent être d’ordre physique (sur le hardware) ou logique (sur le software). Afin de se protéger des constantes évolutions, les applications doivent être construites de manière dynamique. En effet, il est nécessaire de prendre en compte les changements qui interviendront dans cette application, notamment en matière de sécurité.

L’architecture est cruciale car elle représente le socle de la confiance.

Différents modèles d’architecture existent, notamment le modèle « aéroport » avec des contrôles récurrents et une surveillance constante, ainsi que le modèle « citadelle » dans lequel tout est cloisonné et on peut observer vers l’extérieur depuis n’importe quel point. Bien qu’il n’existe pas d’architecture universelle, certains principes restent fondamentaux : ségrégation, liste de privilèges, maintenabilité et cloisonnement.

Malgré la meilleure infrastructure et les meilleures applis, la faille est souvent due aux utilisateurs.

Toutes les applications n’auront pas le même besoin de niveau de sécurisation, une analyse très fine pour chacune sera nécessaire. Cependant, une connaissance du bon fonctionnement de l’application sera toujours nécessaire afin de détecter un fonctionnement anormal, premier signe d’une attaque.

More insights