Intelligence économique : sécurité et protection de l'information

 

La session qui s’est déroulée au salon i-expo le jeudi 14 juin 2007 et qui avait pour intitulé : sécurité et protection de l’information avait pour objectif de dresser le tableau des risques potentiels et d’apporter les ripostes.

La 1^ère présentation de Mr Stéphane Kyre, Responsable du Bureau protection du patrimoine à la Direction de la Surveillance du Territoire (DST) a commencée par une exposition des menaces sécuritaires auxquels  font face les entreprises vu la concurrence mondiale exacerbée.

Tout d’abord les menaces financières, qui, vu leurs enjeux considérables, sont cause de délocalisations, de fournisseurs prédominants, … Mais également les OPA hostiles, le détournement possible des ADR (American Depositary Receipt).

Ensuite les vulnérabilités qui peuvent être des sociétés de renseignement privé liées aux concurrents, des ONG soudoyés par des concurrents, des services de renseignement étrangers pouvant agir au profit de leurs entreprises nationales ou tout simplement les concurrents nationaux ou étrangers.

Les voies d’accès au patrimoine concurrentiel d’une entreprise sont diverses. Tout d’abord les employés (risques comportementaux) puis les intervenants extérieurs de l’entreprise et aussi les sociétés à relation commerciale.

 Enfin Mr Kyre a donné deux parades afin de protéger le patrimoine de l’entreprise. La 1^ère consiste en la mise en œuvre de mesures préventives de formation et de sensibilisation au sein de l’entreprise pour les cadres et les personnes sensibles, pour les voyageurs et les expatriés mais globalement pour l’ensemble du personnel de l’entreprise. La seconde est le développement d’une action méthodique de recueil de renseignement à vocation défensive. Selon les différentes voies d’accès existantes ou potentiellement existantes (sociétés de services, sous traitants, stagiaires, commerciaux, …).

La seconde présentation à été tenue par Mr Eric Balança, Responsable du groupe de travail « maîtrise et protection de l’information » au CLUSIF Club de la Sécurité de l’Information Français.

Elle a porté sur la sécurité de l’information selon une approche structurée :

- prendre en compte toutes les dimensions de l’information

- identifier les sources et mode de propagation

- s’intéresser à son environnement.

Par la suite Mr Balança a identifié les différentes catégories de flux :

- Les informations internes à l’entreprise couvertes par le « secret des affaires internes »

- les informations qui circules librement dans l’entreprise ou entre l’entreprise et l’extérieur

 - les informations concernant l’entreprise, mais dont la société n’est ni l’initiatrice, ni la destinatrice.

Il a insisté sur la vérification des informations en les recoupant, chose qui n’est pas systématique dans les entreprises.

En ce qui suit quelques exemples de sources de vulnérabilités liés à l’entreprise. Des risques internes pouvant venir de la ligne téléphonique, la voie IP, le Wifi (choix du type de l’information à faire circuler la dedans), l’imprimante avec disque dur interne (qui garde une copie de tous les documents ayant été imprimés), …

Les risques externes pouvant venir du Web 2.0, le télétravail, les déplacements (avion, TGV, …).

Afin d’appréhender les menaces technologiques, quelques habitudes peuvent contribuer à la sécurité de l’information dans l’organisation comme par exemple d’éteindre le Modem de télémaintenance connecté au PABX (Private automatic branch exchange qui permet la communication téléphonique entre les postes internes et externes d’un établissement) afin que personne ne puisse intervenir de l’extérieur sur l’Intranet de l’entreprise.

Selon Eric Balança, la sécurité est liée à 20% à la technologie et à 80% à l’organisation, le réalisme et le bon sens. Donc une protection absolue est loin d’exister si l’on croit ces chiffres. 

Comme le dit Francis Blanche avec humour « Mieux vaut penser le changement que changer de pansement ».

La 3^ème partie de l’Atelier a été présentée par Monsieur David Tartonne de l’Agence Européenne de Gestion des Risques Informationnels et d’Intelligence Stratégique (ASGARD). L’objectif est la réduction des risques informationnels générés par les situations concurrentielles et les politiques de déstabilisation.

Une typologie du risque informationnel a été élaborée, elle étale la relation entre la vulnérabilité et les menaces d’une entreprise dans le but de la fragiliser. Ceci en semant le doute sur l’image de marque, la réputation des dirigeants, …

Il a dénoncé les deux mythes suivants :

- Taille et Réputation = Protection

- Immunité = ça n’arrive qu’aux autres