Publicité en cours de chargement...
Cyber : le paradigme de la falsification
On dispose devant vous quatre cartes prises au hasard dans le jeu, retournée chacune soit côté valeur, soit côté couleur. Ce qui donne l’échantillon d’expérience suivant :
Dame Face bleue 10 Face rouge
On vous demande de vérifier la « loi » selon laquelle si une figure est présente sur une face, alors le bleu couvre l’autre face. La question est : Quelles sont les seules cartes que vous devez retourner pour vérifier la « loi » de l’expérience ?
Cet exercice a l’air tout à fait anodin, mais il ne l’est pas du tout. La plupart des gens échouent à trouver la bonne réponse pour deux raisons : l’une relève de la psychologie, l’autre des sciences.
Pour le volet psychologique de l’analyse, il s’agit du thème classique du biais de confirmation. On a tous tendance (vous, moi, tout un chacun) à chercher dans ce qui nous entoure ce qui confirme nos avis, nos décisions, nos positions sur les sujets les plus variés. Pour le volet scientifique, un peu plus complexe, l’explication tient à l’incapacité à comprendre de quoi est réellement faite la science. Ce second thème a longuement été traité par Karl Popper[1], aux yeux duquel pour qu’une assertion ait une valeur scientifique, elle doit être reproductible (point que nous ne développerons pas ici) et falsifiable. Il est très compliqué d’expliciter ce second point, mais l’expérience ci-dessus aide énormément. En d’autres termes, il ne sert à rien de vouloir trouver des cas qui confirment une théorie scientifique, il faut au contraire chercher des cas qui l’infirment, c’est-à-dire tenter de la mettre en défaut.
Dans l’expérience proposée, la plupart des gens échouent car ils cherchent à retourner les cartes qui vont confirmer la loi « Figure/bleu ». Alors qu’il faut faire exactement l’inverse, c’est-à-dire retourner les cartes qui (potentiellement) vont mettre en défaut cette loi, donc trouver une exception – au moins une.
Le rapport avec la cyber, me direz-vous ? Eh bien, je viens de vous résumer 90 % du temps de RSSI/CISO, voire celui de DPO ou de qualiticien. En tout cas son fil conducteur, le paradigme qui sous-tend son activité à la fois opérationnelle et stratégique. Qu’est-ce qu’un contrôle (au sens ISO) si ce n’est chercher ce qui ne fonctionne pas ? Les trains qui arrivent à l’heure me font bâiller au possible, mais qu’est-ce que j’aime ceux qui se pointent en retard ! Qu’est-ce qu’une roue de Deming PDCA, si ce n’est la quintessence d’un Check – qu’est-ce que j’aime un Check qui sort des anomalies, sinon qu’aurais-je à me mettre sous la dent ? Et le sommet du vice : contrôler les procédures de contrôle et y trouver des anomalies ! Mieux qu’une crêpe banane-chocolat devant Les Tontons flingueurs !
Article connexe → En direct de l’APSSIS - Cyberattaque : le retour d’expérience et les conseils du GHT de Dordogne
Comment ? Que dites-vous ? Ah ! vous voulez la solution au test ci-dessus ? Les cartes qu’il faut retourner et celles qu’il faut laisser sur la table ?
Apparemment, vous n’avez pas totalement compris mon propos. L’objectif n’est pas de trouver les RSSI qui réussissent, mais ceux qui échouent. C’est plus clair comme ça ?
[1] https://fr.wikipedia.org/wiki/Karl_Popper
L'auteur
Responsable Sécurité des systèmes d’information et correspondant Informatique et Libertés au CHU de Nantes, Cédric Cartau est également chargé de cours à l’École des hautes études en santé publique (EHESP). On lui doit aussi plusieurs ouvrages spécialisés publiés par les Presses de l’EHESP, dont La Sécurité du système d’information des établissements de santé.
Avez-vous apprécié ce contenu ?
A lire également.

Dedalus France : une nouvelle étape dans la trajectoire de transformation
24 juin 2025 - 07:50,
Actualité
- DSIHDedalus France annonce le départ de Frédéric Vaillant, Directeur Général Délégué, au 30 juin 2025, après plus de 25 ans d’engagement. Fondateur de Medasys, acteur central des grandes étapes de structuration de l’entreprise, il a contribué à façonner Dedalus France comme acteur majeur du numérique en...

HLTH 2025, un Salon sous le signe de l’innovation distribuée
23 juin 2025 - 21:18,
Actualité
- DSIH, Mehdi LebranchuHLTH Europe 2025, qui s’est tenu cette année à Amsterdam, a offert un panorama dense et incarné de l’écosystème européen de la santé numérique. Le Salon a rassemblé géants technologiques, institutions publiques, start-up prometteuses et hôpitaux à la recherche de nouveaux modèles de collaboration. U...

Cour de cassation versus RGPD : 2-0. Et ce n’est pas une bonne nouvelle !
23 juin 2025 - 18:14,
Tribune
-Ça fait deux fois.

Approche hétérodoxe du concept de risque résiduel
02 juin 2025 - 22:42,
Tribune
-Vous voulez être le bon élève de l’auditeur 27001 qui vient constater, de visu, comment vous mettez en œuvre un SMSI. Le bon élève, avec les félicitations, le bisou sur le front et le petit papier qui va bien.