Serguey Asael Shinder – IT Professional

par Serguey Shinder

Pendant des années, j’ai vécu avec une frontière imaginaire dans la tête. D’un côté, l’extérieur : Internet, les inconnus, les menaces, tout ce dont il fallait se méfier. De l’autre, l’intérieur : notre réseau, nos serveurs, un espace que je considérais, sans jamais l’avoir décidé, comme sûr. Ce qui venait de l’intérieur était digne de confiance. Ce qui venait de l’intérieur pouvait passer.

Cette croyance a volé en éclats un après-midi, quand une machine de notre propre réseau s’est mise à se comporter d’une manière qu’elle n’aurait jamais dû. Elle n’avait pas été attaquée de l’extérieur au sens où je l’imaginais. Un poste ordinaire, à l’intérieur du périmètre, avait été compromis par quelque chose d’aussi banal qu’une pièce jointe. Et une fois à l’intérieur, l’attaquant se déplaçait librement, parce que tout notre système reposait sur une hypothèse silencieuse : ce qui est déjà dedans a le droit d’être là.

J’ai réalisé, avec un certain malaise, que nous avions construit une forteresse avec des murs épais et un intérieur en papier. Solide dehors, mou dedans. La moindre brèche dans le mur, et il n’y avait plus rien pour ralentir qui que ce soit. Le réseau interne n’était pas sûr. Il était seulement inexploré, et je confondais les deux.

Ce moment a réordonné ma façon de concevoir la sécurité. J’ai cessé de traiter l’emplacement comme une preuve de confiance. Qu’une requête vienne de l’extérieur ou du bureau d’à côté, elle doit prouver qui elle est et ce qu’elle a le droit de faire. Chaque service vérifie l’appelant. Chaque accès est limité au strict nécessaire. Aucun composant n’a le droit de tout atteindre simplement parce qu’il partage le même réseau que les autres.

Ce n’est pas de la paranoïa ; c’est le refus d’un pari que je faisais sans m’en rendre compte. Je pariais que personne ne franchirait jamais le mur extérieur. C’est un pari qu’on finit toujours par perdre. La vraie sécurité ne suppose pas un intérieur sûr. Elle suppose qu’un jour, quelqu’un sera déjà dedans — et elle fait en sorte que cela ne suffise pas.

– Serguey Asael Shinder