Lexique · Sécurité des données
OPSEC
Operations Security : méthode qui consiste à identifier les informations critiques d'une activité, à analyser les menaces, les vulnérabilités et les risques, puis à appliquer des contre-mesures, en se plaçant du point de vue d'un adversaire. Elle cible les indices non classifiés, souvent issus de données ouvertes, qui permettent de reconstituer ce qu'on veut protéger.
Ce que ça change pour une organisation
La directive américaine NSDD 298, signée en 1988, a institué un programme national d’OPSEC et décrit un processus en cinq étapes : identifier les informations critiques, analyser les menaces, analyser les vulnérabilités, évaluer les risques et appliquer des contre-mesures adaptées. Sa particularité est de porter sur les indices non classifiés, c’est-à-dire des données ouvertes et des actions de routine (administratives, physiques ou techniques) qui, rapprochées, permettent de deviner l’information critique.
L’analyse se conduit du point de vue de l’adversaire. Elle suppose de se demander ce qu’il peut observer, avec quels moyens de collecte, et ce qu’il peut en déduire, avant de choisir des mesures. La décision de protéger tel aspect d’une activité, et de quelle manière, revient aux responsables de l’activité, qui arbitrent à partir de l’analyse des menaces, des vulnérabilités et des risques.
La directive demandait aussi à chaque département concerné de sensibiliser son personnel aux menaces et de réexaminer chaque année ses procédures. Pour une entreprise, la méthode se transpose : la liste des informations critiques peut inclure des projets, des déplacements de dirigeants ou des calendriers de livraison, et les indices à surveiller sont les traces que ces activités laissent en source ouverte.
Exemple
Après la polémique sur la carte d’activité de Strava, le secrétaire adjoint à la Défense américain Patrick Shanahan a adressé en août 2018 aux responsables des armées une note interdisant l’usage des fonctions de géolocalisation dans les zones d’opérations, sauf exception accordée par les commandants. Il y écrit que ces capacités peuvent exposer les informations personnelles, les lieux, les habitudes et les effectifs du personnel. La note prévoit aussi une formation pour utiliser ces technologies sans s’exposer.
À ne pas confondre avec
- La sécurité classique de l’information : classification et contrôle d’accès protègent les contenus sensibles, tandis que l’OPSEC s’intéresse aux indices non classifiés qui permettent d’en déduire l’existence ou le contenu.
- L’OSINT : renseignement obtenu à partir de sources ouvertes ; l’OPSEC se place du côté de la cible et cherche à limiter ce que ces sources permettent de déduire.
