Définition

Avant de voir comment créer son modèle de menaces il faut commencer par définir cette notion. Un modèle de menaces peut être représenté sous forme d’un diagramme dans lequel on inscrit d’un côté ses actifs numériques, de l’autre côté les menaces auxquelles ces actifs sont confrontés et enfin, au milieu, les procédures et les outils pour défendre ses actifs des menaces.
Pour plus d’information je vous renvoie à mon document Introduction aux modèles de menaces (2016).

Il n’est pas possible de se prémunir de toutes les menaces existantes, c’est pourquoi un modèle de menaces se concentrera sur les menaces qui ont le plus d’impact ou les menaces les plus probables. Les risques les plus critiques pour le système d’information et/ou ses utilisateurs devront apparaître.

Qui a besoin d’un modèle de menaces ?

Tout utilisateur d’outils numériques a besoin d’un modèle de menaces, qu’il soit conscient ou non.

Par exemple un citoyen lambda veut probablement protéger

• ses comptes bancaires d’accès non autorisés
• les informations contenues dans son smartphone (SMS, messageries instantanées, photos) d’accès non autorisés ou de fuite de données publique sur internet du à un cloud mal sécurisé
• son ordinateur des programmes malveillants (virus, cryptolockers...)

Pour cela il va sans doute choisir des mots de passe complexe, installer des logiciels de sécurité (antivirus, pare-feu), éviter de partager des informations personnelles sur internet...

Les militants politiques doivent avoir un modèle de menaces plus élaboré.
Ils peuvent craindre des accès frauduleux à leurs données sensibles de la part

• de militants politiques adverse (espionnage)
• de la police ; conversations, lieu de réunion, membre du réseau...
• des journalistes d’investigations

De même les entreprises, les états, les associations et les collectifs ont également besoin d’un modèle de menaces. Puisque ces entités génèrent des données numériques qu’elles ont besoin de protéger, elles ont également besoin de réfléchir aux risques que courent leurs actifs numériques et aux moyens de les protéger.

Un modèle de menaces s’arrête t-il à la sécurité numérique ?

Un modèle de menaces ne s’arrête pas à la sécurité numérique. Il y a également d’autres aspects à prendre en compte comme la perte ou la corruption de données numériques. Des données stratégiques peuvent être perdues ou corrompues, il faut donc envisager leur sauvegarde.

Le logiciel et la stratégie de sauvegarde à utiliser va dépendre du modèle de menaces établi. Par exemple on peut utiliser un logiciel de sauvegarde privateur et en cloud si on n’a pas peur de se faire voler les données ou des accès non autorisés. Si l’intégrité des données est la confidentialité des sauvegardes est importante, on privilégiera un logiciel libre sur un support de stockage de confiance ou sur le cloud si la sécurité du logiciel est robuste et éprouvée. Il faudra respecter la règle 3-2-1 si le modèle de menaces indique que la perte des données est irréversible.
Voir à ce sujet mon article sur le Tao de la sauvegarde.

Quand le modèle de menaces est cassé

La plupart des problèmes de sécurité numérique et des arrestations de militants viennent de modèles de menaces cassés plus que des outils ou logiciels utilisés. Ce qu’on appelle « un modèle de menaces cassé », c’est lorsque les menaces n’ont pas été suffisamment pris en compte et/ou que les outils et/ou les stratégies utilisées ne répondent pas aux risques du modèle de menaces établi.

Par exemple, des militants écologistes espagnoles se sont fait arrêter, car leurs modèles de menaces étaient cassés dès le départ. Ils ont utilisé des adresses mail « sécurisées » pour converser entre eux. Il a été facile pour la police d’identifier les militants faisant partie du réseau écologiste au moyen d’une réquisition de justice après du fournisseur de service email.

Dans un contexte d’utilisation d’outils numériques par des militants, les adresses email ne doivent jamais être utilisés comme moyen de communication de base. En effet quand on utilise des adresses mail, même si celles-ci sont soit-disant chiffrées, le contenu des métadonnées ne l’est pas. Dans le contenu des métadonnées on retrouve les dates et heures de connexion, les adresses email qui se connectent ainsi que les adresses IP.

Après une réquisition de justice, la police peut remonter jusqu’au titulaire de la ligne internet via son FAI. La police n’a pas besoin de savoir quel est le contenu des emails, elle a seulement besoin de savoir qui sont les personnes qui se parlent entre elles et cela suffit à obtenir une cartographie du réseau des membres d’une association ou d’un collectif.

Je me suis fait « pirater » est-ce que mon modèle de menaces est défaillant ?

Se faire « pirater » ne veut pas forcément dire que son modèle de menaces est défaillant. L’expression « se faire pirater » et une expression populaire et doit être explicité en sécurité numérique.

Le terme « piratage » se traduit souvent par « accès non autorisé » en sécurité numérique. Lorsqu’on subit un « piratage », en réalité, ce n’est généralement pas notre ordinateur qui subit un accès non autorisé. Cela peut être un serveur mal sécurisé ou encore une usurpation d’adresse email.

Si vous êtes dans cette situation, il faut commencer par vérifier quels sont les accès qui ont été usurpés ou quels sont les ordinateurs qui ont subi des accès frauduleux. Si votre mot de passe a été compromis il est indispensable de le modifier. Vous devez vérifier si votre modèle de menaces prend en compte les accès non autorisés à vos comptes en ligne et quelles sont les stratégies retenues. Le cas échéant, appliquer les stratégies du modèle.

Comment créer son modèle de menace

Pour créer son modèle de menace, vous pouvez commencer par créer un diagramme sur un logiciel de dessin (par exemple LibreOffice DRAW) et y inscrire vos actifs numériques.

Exemple d’actifs numériques ;

• fichiers personnels (Documents)
• historique de navigation Web
• mots de passe de comptes en lignes (boite email, réseaux sociaux)
• SMS
• photos
• discussions sur messagerie instantanée...

Ensuite vous pouvez lister les menaces auxquelles ces actifs vont être confrontés.

Exemple de menaces pour vos actifs ;

• panne du stockage de votre ordinateur (disque dur)
• perte de données accidentelle (écrasement ou suppression)
• logiciel malveillant (virus, cryptolocker)
• revente de vos données par les GAFAM
• panne de votre smartphone
• accès non autorisé à votre smartphone
• panne du stockage des sauvegardes
• fuite de données d’un serveur sur internet

Enfin vous pouvez relier vos actifs numériques et vos menaces via des procédures, des stratégies et des logiciels pour les protéger.

Parmi les réponses aux menaces on peut citer ;

• l’utilisation d’un logiciel de sauvegarde fiable sur disque dur externe
• l’utilisation d’un logiciel de sauvegarde fiable sur un serveur distant
• l’installation des mises à jour du système pour corriger les failles de sécurité
• l’utilisation d’un logiciel antivirus et d’un pare-feu
• le paramétrage du navigateur web pour plus de confidentialité numérique
• l’utilisation de services éthiques en remplacement des GAFAM

Conclusion

En tant que libriste je vais fortement vous conseiller d’utiliser le plus possible de logiciels libres non cloud, mais, évidemment ce n’est pas toujours possible dans certains contextes. Dans tous les cas votre modèle de menaces doit, a minima, prendre en compte les menaces les plus probables et les plus conséquentes, un logiciel ou une stratégie couvrant très souvent plusieurs menaces à la fois.
Je peux vous aider à créer votre modèle de menaces et vous conseiller sur les logiciels à utiliser.