Pourquoi n'applique-t-on pas les correctifs sur les ordinateurs ? Pourquoi égare-t-on encore les mots de passe ? Pourquoi continue-t-on à ouvrir des pièces jointes malveillantes ? Pourquoi n'utilise-t-on pas systématiquement le cryptage ? La difficulté à comprendre la sécurité informatique vient-elle principalement du fait que celle-ci n'est pas tangible ? En effet, elle est impalpable ; inodore ; inaudible. Si l'on peut toucher, sentir et entendre son ordinateur ou son téléphone, on ne peut en faire de même avec les applications ou avec les données. La sécurité informatique est de ce fait un concept abstrait, facile à ignorer, que l'on oublie dès que l'on se concentre sur autre chose.

Dans le monde réel, nous avons pris l'habitude de nous comporter de manière à ne pas nous mettre en danger. Nous fermons notre maison à clef et ne laissons pas les fenêtres ouvertes en partant en vacances. Si une fenêtre ou la serrure d'une porte sont cassées, nous les réparons. Si un tiers nous demande le code PIN de notre carte bancaire, nous lui disons d'aller voir ailleurs. Il en va de même si un inconnu nous demande de traverser la frontière avec dans notre poche un sachet de poudre blanche qu'il nous a donné : nous lui refusons ce service et nous éloignons. Et il va de soi que nous ne crions pas sur tous les toits les détails de notre vie privée, tels que récents problèmes familiaux, maladies ou aventures amoureuses.

Nous stockons cependant beaucoup de valeurs (numériques) dans nos ordinateurs : informations bancaires, correspondance privée, photos et vidéos de famille. Certaines personnes rendent toute leur vie accessible à travers leur ordinateur (voir article du Bulletin « Session ouverte, vie privée exposée »), mais ont de la peine à appliquer les mesures de sécurité informatique les plus simples. Certaines autres répondent à des courriers électroniques reçus de la part d'inconnus, même si le contexte est inhabituel et le message parfois rédigé dans une langue étrangère, voire fournissent leur identifiant Apple, les détails de leur compte Office 365 ou leur mot de passe du CERN. Certes, elles ne donnent pas leur code PIN. Mais les courriers électroniques de ce genre sont semblables à n'importe quelle interaction non sécurisée avec des inconnus. Seul le contexte rend (ou non) la personne et la conversation avec elle fiable et digne de confiance. Il en va de même pour les liens hypertextes : tout segment bleu souligné redirigeant vers une page web n'est rien d'autre qu'un potentiel « sachet de poudre blanche » offert par un inconnu. Seul le contexte nous indique s'il est digne de confiance ou malveillant. Qui plus est, lorsqu'on n'utilise pas les canaux cryptés (tels que HTTPS, SSH ou VPN), toute la communication numérique devient publique, qu'on parcoure le web, qu'on poste sur Facebook ou qu'on lise ses courriers électroniques. Communiquer de façon non cryptée, c'est crier nos informations à ceux qui veulent nous écouter.

Pensons donc un peu plus au monde réel. Pensons à la manière dont nous protégeons nos valeurs tangibles. Pensons aux codes PIN, aux sachets donnés dans des ruelles sombres, à la manière dont nous parlons de notre vie privée ou familiale. Puis transposons cela au monde virtuel. Gardons nos ordinateurs et smartphones à jour, protégeons nos mots de passe, rappelons-nous qu'il faut S'ARRÊTER --- RÉFLÉCHIR --- NE PAS CLIQUER, et assurons-nous que nous utilisons « HTTPS » en naviguant sur le web (en vérifiant que l'on trouve bien « https:// » dans la barre d'adresse URL du navigateur — le « s » est important). 

Pour en savoir plus sur les incidents et les problèmes relatifs à la sécurité informatique au CERN, lisez nos rapports mensuels (en anglais). Si vous désirez avoir plus d’informations, poser des questions ou obtenir de l’aide, visitez notre site ou contactez-nous à l’adresse Computer.Security@cern.ch.