Un ransomware chiffre les postes de travail un vendredi soir, et la production s’arrête. Le lundi, la question n’est pas de savoir quel antivirus manquait, mais lequel des trois piliers de la sécurité de l’information a cédé en premier. Confidentialité, intégrité, disponibilité : on regroupe ces trois propriétés sous le nom de triade CIA (Confidentiality, Integrity, Availability). Chaque décision de sécurité revient à arbitrer entre elles.
Priorité variable selon le contexte métier : la triade CIA n’est pas figée
La plupart des guides présentent confidentialité, intégrité et disponibilité comme trois colonnes de même hauteur. Sur le terrain, leur poids relatif change radicalement d’un environnement à l’autre.
A lire également : Comment améliorer la sécurité informatique ?
Dans un hôpital, la disponibilité du dossier patient prime : un accès bloqué retarde un diagnostic. Dans un cabinet d’avocats, c’est la confidentialité qui structure toute la politique d’accès. Et sur une chaîne de production industrielle (OT/ICS), la disponibilité peut primer sur la confidentialité : arrêter un automate ou appliquer un correctif au mauvais moment risque de provoquer un arrêt de production, voire un incident physique.
On ne peut donc pas plaquer un modèle unique. Avant de déployer un contrôle de sécurité, il faut cartographier les actifs critiques et décider quel pilier protéger en priorité pour chaque périmètre.
A découvrir également : Quels sont les trois types de protection ?
Confidentialité des données : le pilier sous pression
La confidentialité garantit que seules les personnes autorisées accèdent à une information. En pratique, on parle de contrôle d’accès, de chiffrement et de cloisonnement réseau.
De l’indisponibilité vers l’exfiltration
Les attaquants ne se contentent plus de bloquer un système. Selon le Panorama de la cybermenace 2025 publié par l’ANSSI, la menace évolue vers un risque accru d’exfiltration de données. Le chiffrement par ransomware reste courant, mais il s’accompagne désormais d’une copie préalable des fichiers pour exercer une double extorsion.
Ce glissement a une conséquence directe sur les priorités : la confidentialité n’est plus un principe théorique qu’on coche dans une politique de sécurité. C’est un enjeu opérationnel qui conditionne la survie réputationnelle d’une organisation.
Mesures concrètes pour renforcer la confidentialité
- Appliquer le principe du moindre privilège : chaque compte utilisateur n’accède qu’aux ressources nécessaires à sa fonction, pas davantage
- Chiffrer les données au repos et en transit, y compris les sauvegardes externalisées
- Segmenter le réseau pour limiter les mouvements latéraux en cas de compromission d’un poste
- Mettre en place une authentification multifacteur sur tous les accès distants et les comptes à privilèges
Intégrité de l’information : détecter la falsification avant qu’elle ne se propage
L’intégrité garantit que les données restent exactes et n’ont pas été modifiées sans autorisation. Une facture dont le RIB a été altéré, un firmware industriel corrompu, un journal d’événements purgé par un attaquant : dans chaque cas, c’est l’intégrité qui a été compromise.
Contrôles de détection en environnement réel
Sur le terrain, la vérification d’intégrité passe par des mécanismes de hachage et de signature. On calcule une empreinte numérique d’un fichier ou d’une configuration, puis on compare cette empreinte à intervalles réguliers. Toute divergence déclenche une alerte.
Les journaux d’audit doivent eux-mêmes être protégés en intégrité. Si un attaquant efface ses traces dans les logs, l’investigation post-incident devient quasi impossible. Envoyer les journaux vers un collecteur centralisé en écriture seule (WORM) est une mesure simple qui change la donne en cas de compromission.
Intégrité et sous-traitance
Le risque ne s’arrête pas au périmètre de l’organisation. Un prestataire qui modifie une base de données sans traçabilité, un fournisseur TIC dont les mises à jour ne sont pas signées : ces scénarios remettent en cause l’intégrité à la source.
Le règlement européen DORA (UE 2022/2554), applicable depuis le 17 janvier 2025, impose que les contrats avec les fournisseurs TIC du secteur financier traitent explicitement de l’intégrité, de la confidentialité, de la disponibilité et de l’authenticité des données. Les exigences sont renforcées pour les fonctions critiques.
Disponibilité des systèmes : tester la restauration, pas seulement la sauvegarde
La disponibilité assure qu’un service ou une donnée reste accessible quand on en a besoin. On pense immédiatement aux sauvegardes, à la redondance serveur, aux plans de reprise d’activité. Tout cela est nécessaire, mais insuffisant si on ne va pas au bout de la démarche.
Sauvegarder ne suffit pas
La disponibilité doit être démontrée par des exercices de restauration réguliers. DORA exige des tests de restauration documentés, et non la simple existence de copies. En pratique, beaucoup d’organisations découvrent lors d’un incident que leurs sauvegardes sont incomplètes, corrompues ou que le temps de restauration dépasse largement le délai tolérable.
Planifier un test de restauration complet au moins une fois par trimestre, sur un échantillon représentatif de systèmes, permet de mesurer le temps réel de reprise. Les retours varient sur ce point : certaines équipes constatent des écarts significatifs entre le délai théorique et le délai réel.
Arbitrage disponibilité et correctifs de sécurité
Appliquer un correctif de sécurité peut nécessiter un redémarrage, donc une interruption de service. En informatique industrielle, ce dilemme est permanent. Patcher un serveur bureautique un dimanche soir est rarement un problème. Arrêter un automate de chaîne de production en plein cycle pour appliquer la même mise à jour, c’est un autre calcul.
L’arbitrage se fait au cas par cas, en pesant le risque d’exploitation de la vulnérabilité contre le coût de l’indisponibilité. Il n’existe pas de réponse universelle.
DORA et triade CIA : quand les trois piliers deviennent des obligations contractuelles
Le règlement DORA transforme la triade CIA en exigences vérifiables pour le secteur financier européen. Son article 30 impose que les contrats avec les fournisseurs TIC couvrent explicitement confidentialité, intégrité, disponibilité et authenticité. Pour les fonctions critiques ou importantes, les obligations sont encore plus strictes : tests de résilience, plans de sortie, droit d’audit.
Ce cadre réglementaire dépasse le secteur financier dans ses effets concrets. Les fournisseurs TIC qui travaillent avec des banques ou des assureurs doivent se conformer à ces exigences, ce qui tire vers le haut les pratiques de tout leur écosystème.
- Clauses contractuelles sur les niveaux de disponibilité et les délais de notification d’incident
- Exigences de tests de restauration documentés, pas seulement de sauvegardes
- Traçabilité des accès et protection de l’intégrité des données échangées avec le prestataire
La triade CIA reste un modèle simple, trois mots que l’on retient en quelques secondes. Sa force tient justement à cette simplicité : elle oblige à poser les bonnes questions avant de choisir un outil ou de signer un contrat. L’ordre de priorité entre confidentialité, intégrité et disponibilité dépend du métier, du contexte réglementaire et du niveau de risque accepté. C’est cet arbitrage, renouvelé à chaque évolution du système d’information, qui constitue le vrai travail de sécurité.
