Pourquoi la sécurité des TI ?

« Sécurité de l'information » peut vouloir dire bien des choses, toutefois le principe de base consiste à reconnaître que les biens et l'information de grande valeur méritent d'être protégés. La gestion du risque demande que l'on connaisse les points de vulnérabilité des systèmes et que l'on comprenne l'environnement des technologies de l'information (TI), de manière à pouvoir diminuer ou accepter le niveau de risque. Si la haute direction décide d'accepter le niveau de risque, il faut que ce soit une décision éclairée.

En matière de sécurité, il y a des exigences autant dans le secteur privé que dans le secteur public, exigences qui doivent être ajustées en fonction des affaires à mener. La Politique de sécurité du gouvernement du Canada, la Loi d'accès à l'information et la Loi sur la protection des renseignements personnels et les documents électroniques (projet C-6), mettent en place des mesures de nature législative pour assurer une sécurité adéquate en ce qui a trait à la cueillette, à l'utilisation et à la divulgation des renseignements personnels. En plus de ces contraintes légales, la protection de l'information exige une continuelle gestion du risque, un minimum de prudence et, du côté de l'industrie, des pratiques exemplaires en matière de protection des systèmes de TI. C'est la façon sécuritaire de brasser des affaires.

La sécurité des TI est désormais indispensable. Les sites Internet du gouvernement du Canada (GdC) ont été les victimes notoires d'attaques de pirates informatiques aussi bien à partir de l'intérieur du pays que de l'extérieur. Pour évaluer objectivement l'importance de la menace qui pèse sur les points de présence Internet du GdC, le Centre de la sécurité des télécommunications (CST) a réalisé, en 1999, une étude visant à recueillir des données sur le sujet. Le CST a installé un système de détection d'intrusions (SDI) aux points de présence Internet de six ministères fédéraux. Des 160 signatures SDI, quarante-quatre ont été désactivées pour minimiser la saisie involontaire de données de l'usager.

La collecte de données a duré deux mois. Pendant cette période, un total de plus de 80 000 alarmes ont été déclenchées sur l'ensemble des six sites. L'analyse des données a révélé que 531 cas constituaient des actes malintentionnés. Quatre-vingt-neuf pour cent de ces cas ont été associés à des agressions faites pour identifier les faiblesses de cibles potentielles, alors que les onze pour cent restants ont été soit des attaques résultant en refus de service (34 incidents) soit des tentatives pour obtenir un accès clandestin au réseau (11 incidents). Des 531 cas, dix-neuf ont été considérés comme des tentatives sérieuses de violation de la sécurité nécessitant une enquête.

Dans l'ensemble, la sécurité du cyberespace va se détériorer avant de s'améliorer. Bien que l'on soit de plus en plus conscience du besoin de renforcer la sécurité du cyberespace, et qu'il y ait une demande croissante pour des activités visant à protéger le cyberespace, ainsi qu'une volonté toujours plus grande de fournir des fonds pour ces activités, il n'en demeure pas moins que la réalité financière du moment limite les moyens d'action.