La psychologie de la cyber[1]

Je me suis demandé ce que cela donnerait de transcrire les leçons de l’ouvrage au domaine de la cyber, sachant que certains des chapitres n’ont pas d’alter ego dans ce domaine : la cyber, et plus particulièrement la cyber en santé. J’essaye tout de même, et en gros cela donne ce qui suit (j’ai fait une sélection parmi les 20 chapitres que compte le livre). Cela peut devenir une version alternative des « 10 commandements d’un RSSI qui se respecte », à vous de voir.

a- personne n’est fou
Un acte irrationnel sur le plan cyber n’est pas commis par un individu parce qu’il est fou ou malveillant : la plupart du temps, c’est juste de l’ignorance, ou alors son échelle de priorités n’intègre pas la dimension cyber.

b- la différence entre risqué et dangereux
Le risque suppose une appréciation mathématique : on sait ce que l’on risque, on sait le quantifier, on connaît le coût de la réduction, on prend une décision rationnelle. Le danger, c’est quand on y va au doigt mouillé, voire sans connaissance de la situation. Et c’est ça qui doit focaliser les efforts du RSSI : traiter en priorité non pas les risques mais le danger cyber.

c- se sécuriser ou le rester
C’est l’éternel débat entre le RUN et le BUILD : rien ne sert de dépenser des tonnes de fric pour déployer un produit de sécurité qu’après on ne saura pas utiliser, dont on ne saura pas traiter les alertes. « Qui trop embrasse mal étreint », « on ne vit pas au-dessus de ses moyens », « l’efficience plutôt que l’efficacité » : j’ai des tonnes de proverbes pour illustrer le concept.

d- la cyber, c’est ce qui ne se voit pas
Ou plutôt ce qui ne se vend pas, en tout cas pas de manière simple. Le coût de la cyber est un coût en creux : il frappe le porte-monnaie quand l’incident arrive sur un actif non protégé.

e- raisonnable plutôt que rationnel
Il y a ce que l’on devrait protéger en théorie (le rationnel), et il y a ce que l’on doit protéger en priorité, parce que l’incident s’est récemment produit chez le voisin ou est le scénario de risque le plus courant de l’année (le raisonnable).

*** jingle publicité
Votre serviteur a déjà sévi sur le sujet : vous trouverez ici[2] le Guide du RSSI intergalactique.
On paye en deux fois : zéro euro à la commande, zéro euro à la livraison.
*** fin du jingle

f- des choses qui ne s’étaient jamais produites…
… il s’en produit tous les jours. Le Titanic n’avait jamais coulé, la navette Challenger n’avait jamais explosé. Baser une décision sur le passé doit alerter l’intellect.

g- la marge d’erreur
La notion fait évidemment référence au concept de risque résiduel formellement accepté par le propriétaire du processus / de l’asset.

h- l’agilité
Les priorités cyber évoluent constamment, et doivent être réinterrogées régulièrement.

i- rien n’est gratuit
Certes, les produits de sécurité ont un coût, mais leur absence encore plus. Ne pas sécuriser un dispositif, c’est juste déplacer la dette dans le temps (ce sont les suivants qui vont devoir payer vos factures) ou dans l’espace (le service métier qui doit encaisser le coût interne de dysfonctionnement de ce qui est tombé en panne car non sécurisé).

j- seuls les pessimistes survivent, seuls les optimistes construisent
Pas besoin de détailler.

k- du concept de zone d’humiliation
La zone d’humiliation, c’est le truc qu’on savait qu’il ne fallait pas faire, qu’on savait qu’on allait se faire attraper si on le faisait. Et on l’a quand même fait. Genre pas de MFA sur un VPN, ou une faille IDOR laissée sur un serveur exposé.

Ah, j’allais oublier : une bonne partie de ces maximes sont couvertes, en partie ou en totalité, par la 27001. Et l’autre par le bon sens.

[1] Article 100 % généré par un humain

[2] https://apssis.com/articles/403/guide-cyber-resilience-opus-6-gouvernance-le-guide-du-rssi-intergalactique