Que retenir de Wikileaks
La divulgation de documents classés de la diplomatie américaine par Wikileaks me semble intéressante du point de vue de la gestion des données et de la sécurité. Je n’évaluerais pas le côté déontologique ou moral, mais, pour tout administrateur ou responsable informatique, cette affaire me conduit à deux enseignements :
Le premier est que le facteur humain est toujours plus important que la technologie. Dans le passé lointain (bien avant l’informatique), la divulgation de secrets a toujours existé. L’automatisation du traitement des données n’a eu pour effet que de multiplier le volume de données divulguées. Il est, d’ailleurs, surprenant d’apprendre qu’un simple soldat avait pu avoir accès à de telles quantités de documents classés.
Pour faire un parallèle avec l’administration de système, le risque d’incident, de quelque nature que ce soit, augmente avec le nombre de personnes qui ont la possibilité de commettre, volontairement ou non, une action destructrice. Aussi devriez-vous faire attention à limiter le nombre de membres de groupes tels que “Administrateurs de l’Entreprise” ou “Administrateurs de domaine” pour l’Active Directory ou de membres de groupes qui ont les permissions de gérer une hiérarchie System Center Configuration Manager (ConfigMgr) ou de gérer un groupe d’administration de System Center Operations Manager (OpsMgr).
Sur le plan technologie, le second enseignement est qu’il est utile de mettre en œuvre des méthodes d’isolation et de stratifications d’accès aux données ainsi que de protection des données par des techniques telles que le chiffrement et de gestion des droits numériques ou RMS pour Right Management Services. Dans un contexte tel que celui de Microsoft que je commence à bien connaître, il y a eu, dans le passé des fuites de code source ou de documents internes. Si le risque zéro n’existe pas, je sais qu’il est aujourd’hui, beaucoup plus limité. Il est, parfois, exaspérant de ne pouvoir accéder à des versions internes de certains produit en cours de fabrication, mais c’est le prix à payer pour éviter de retrouver ces versions trop rapidement sur des serveurs publics et hors de contrôle de Microsoft.
La mise en œuvre de Direct Access et sa généralisation ont été précédés de mesures dans lesquelles tout serveur a été considéré comme potentiellement la cible de tentatives d’intrusion, qu’elles soient internes ou externes. C’est une position qui permet de mieux faire face à d’éventuelles attaques, dont chacun sait qu’elles sont plus nombreuses et plus fructueuses lorsque perpétrées par des membres internes de l’organisation.
Au passage, Direct Access est très intéressant et augmente de manière significative ma productivité.