Bonjour ! Dans la leçon précédente, nous avons exploré les cybermenaces courantes et les contre-mesures de base, comme le chiffrement, qui protègent les actifs informationnels. Vous savez maintenant qu'il faut se défendre, mais toutes les défenses ne sont pas identiques. Leur efficacité dépend de quand et comment elles agissent par rapport à un incident de sécurité.
Cette leçon s'attache à classer ces contre-mesures, ou "contrôles", selon leur fonction. Conformément à l'objectif d'apprentissage, vous apprendrez à distinguer les contrôles préventifs, détectives et correctifs. Cette distinction est fondamentale pour un auditeur. Elle vous fournit un cadre d'analyse pour évaluer si la stratégie de sécurité d'une organisation est complète et équilibrée, une compétence qui s'appuie directement sur votre expérience en gestion des risques, où l'on analyse les mesures avant, pendant, et après un événement.
Les Trois Fonctions des Contrôles de Sécurité
Imaginez la sécurité d'un système d'information comme la protection d'une maison. Vous avez des serrures sur les portes pour empêcher les intrus d'entrer (prévention), une alarme qui se déclenche s'ils brisent une fenêtre (détection), et un plan pour appeler la police et réparer les dégâts (correction). Chaque mesure a un rôle distinct mais complémentaire.
En cybersécurité, la logique est la même. Les contrôles sont classés selon le moment où ils interviennent par rapport à un incident.
Pour une définition claire et concise de ces trois catégories, regardez la vidéo suivante.
The 3 Types Of Security Controls (Expert Explains) | PurpleSec
Cette vidéo de PurpleSec, intitulée "The 3 Types Of Security Controls", explique de manière très directe les fonctions des contrôles.
Concentrez-vous sur le passage qui définit les trois types de contrôles : préventif, détective et correctif. Notez l'objectif de chacun.
Pour résumer ce que vous venez de voir :
- Contrôles Préventifs (Preventive Controls) : Leur but est d'empêcher les incidents de se produire. Ce sont des mesures proactives, votre première ligne de défense.
- Contrôles Détectives (Detective Controls) : Leur rôle est d'identifier et de signaler les incidents qui n'ont pas pu être évités, soit en temps réel, soit après coup. Ils n'empêchent pas l'attaque, mais ils la rendent visible.
- Contrôles Correctifs (Corrective Controls) : Leur objectif est de limiter l'impact d'un incident, de remédier aux dommages et de restaurer les systèmes à leur état normal de fonctionnement. Ils interviennent après la détection.
Exemples de Contrôles en Pratique
Maintenant que nous avons les définitions, explorons des exemples concrets pour chaque catégorie. La vidéo suivante, bien que destinée à des candidats à l'examen de CPA, est particulièrement pertinente car elle adopte une perspective d'auditeur.
IT Controls Preventive, Detective & Corrective Controls. CPA Exam
Cette vidéo de Farhat Lectures, "IT Controls Preventive, Detective & Corrective Controls", détaille chaque type de contrôle avec de nombreux exemples pertinents pour un auditeur.
Regardez les extraits suivants pour chaque catégorie : Contrôles Préventifs : Ce passage cite des exemples comme les pare-feux (firewalls), le contrôle d'accès, le chiffrement et la formation des employés. Contrôles Détectives : Cet extrait présente des exemples comme les systèmes de détection d'intrusion (IDS) et la surveillance des journaux d'activité (log monitoring). Contrôles Correctifs : Cette section illustre les mesures correctives avec la restauration des sauvegardes et la gestion des correctifs (patch management).
La Matrice des Contrôles : Une Vue d'Ensemble pour l'Auditeur
Pour aller plus loin, il est utile de combiner la fonction d'un contrôle (préventif, détective, correctif) avec sa nature. Les contrôles peuvent être de nature :
- Physique : Des objets tangibles (ex: une serrure, une clôture).
- Technique (ou Logique) : Des technologies logicielles ou matérielles (ex: un pare-feu, un antivirus).
- Administrative : Des politiques, des procédures et des standards (ex: une politique de recrutement, un plan de réponse aux incidents).
L'image suivante organise ces concepts dans une matrice très utile. C'est un excellent outil de synthèse pour un auditeur, car elle permet de visualiser rapidement la couverture des risques d'une organisation.
En analysant cette matrice, vous pouvez voir comment différents contrôles se complètent :
- Un pare-feu (Firewall) est un contrôle technique et préventif.
- La surveillance par CCTV est un contrôle physique et détective.
- L'implémentation d'un plan de réponse aux incidents est un contrôle administratif et correctif.
En tant qu'auditeur, vous utiliserez ce type de classification pour vous assurer qu'il n'y a pas de lacunes évidentes. Par exemple, une organisation avec de nombreux contrôles préventifs mais aucun contrôle détective pourrait ne jamais savoir si ses défenses ont été contournées.
La Défense en Profondeur (Defense in Depth)
Cette idée de ne pas compter sur une seule ligne de défense nous amène à un concept crucial en sécurité : la défense en profondeur. Puisqu'aucun contrôle n'est infaillible, une stratégie de sécurité robuste consiste à superposer plusieurs couches de contrôles de différents types et fonctions. Si un attaquant parvient à franchir une couche, d'autres sont là pour le ralentir, le détecter ou limiter les dégâts.
L'article suivant explique très bien comment ces couches fonctionnent ensemble.
The Five Types of Security Controls and Why They Matter
Cet article de William Hale résume bien la stratégie de superposition des contrôles.
Veuillez lire la section "How the Five Controls Work Together". Concentrez-vous sur le concept de défense en profondeur et examinez attentivement les deux tableaux d'exemples qui suivent, "Office Environment" et "Digital Systems", pour voir comment cette approche se traduit dans des contextes réels.
La défense en profondeur est le principe directeur derrière la conception d'un système de contrôle interne efficace. Pour un auditeur, évaluer si cette stratégie est bien mise en œuvre est au cœur de la mission. Il ne s'agit pas seulement de vérifier l'existence de contrôles individuels, mais d'évaluer la robustesse de l'ensemble du système défensif.
Conclusion
Dans cette leçon, nous avons structuré le monde des contre-mesures de sécurité en un cadre d'analyse logique. En tant que futur auditeur IT, cette classification est l'un de vos outils de base.
Voici les points clés à retenir :
- Les contrôles de sécurité sont classés selon leur fonction : préventifs pour éviter les incidents, détectives pour les identifier, et correctifs pour y remédier.
- Ces contrôles peuvent également être de nature physique, technique ou administrative.
- Aucun contrôle n'est parfait. Une stratégie de sécurité solide repose sur le principe de la défense en profondeur, qui consiste à superposer plusieurs couches de contrôles pour créer un système de défense résilient.
Vous êtes maintenant capable non seulement d'identifier une menace (leçon 5), mais aussi de classer la défense mise en place pour la contrer. Cette compétence est essentielle pour évaluer la pertinence et l'exhaustivité des mesures de sécurité d'une entreprise.
Dans notre prochaine et dernière leçon de ce module de base, nous nous pencherons sur deux des contrôles préventifs les plus importants : l'authentification et l'autorisation, qui sont au cœur de la gestion des accès aux systèmes d'information.