229
Tendances des pratiques de sécurisation des SI
Chapitre 11
Idée stupide n
o 6 : l’action vaut mieux que l’inaction
M. Ranum vise ici, plutôt que l’action, l’activisme. Il est clair que le responsable de
site qui veut toujours adopter avant tout le monde les plus récentes technologies
s’expose davantage à des incidents de sécurité que l’administrateur prudent qui
attend deux ans la stabilisation du système et les retours d’expérience avant de
l’implanter. En outre, pendant ce délai le coût induit par le déploiement aura
probablement diminué.
On peut aussi citer l’aphorisme suivant : « Il est souvent plus facile de ne pas faire
quelque chose d’idiot que de faire quelque chose d’intelligent » (attribué abusivement à l’Art de la guerre de Sun Tzu).
Quelques idioties de seconde classe
M. Ranum énumère pour finir quelques assertions et pratiques stupides de
moindre ampleur :
• « Nous ne sommes pas une cible intéressante » : or, tout le monde est visé,
les vers et les virus ne sont pas capables d’identifier les cibles qui en valent
la peine ;
• « en déployant < mettre ici le nom de votre système ou pare-feu préféré > nous
serons protégés » : non, le système ou le pare-feu qui protège, c’est celui
pour lequel il y a sur le site un ingénieur (oui, un ingénieur, les gens qui
savent faire ça sont des ingénieurs) compétent, qui le connaît bien et qui
consacre beaucoup de son temps à s’en occuper ;
• « pas besoin de pare-feu, notre système est sûr » : non, même avec un système sûr, sans pare-feu toute application réseau est une cible facile ;
• « pas besoin de sécuriser le système, nous avons un bon pare-feu » : non, le
trafic légitime qui franchit le pare-feu comporte des risques ;
• « démarrons la production tout de suite, nous sécuriserons plus tard » : non,
ce ne sera jamais fait, et si cela doit l’être, cela prendra beaucoup plus de
temps et de travail que de l’avoir fait au départ ;
• « nous ne pouvons pas prévoir les problèmes occasionnels » : si, vous pouvez ;
prendriez-vous l’avion si les compagnies aériennes raisonnaient ainsi ?
Tendances des pratiques de sécurisation des SI
Chapitre 11
Idée stupide n
o 6 : l’action vaut mieux que l’inaction
M. Ranum vise ici, plutôt que l’action, l’activisme. Il est clair que le responsable de
site qui veut toujours adopter avant tout le monde les plus récentes technologies
s’expose davantage à des incidents de sécurité que l’administrateur prudent qui
attend deux ans la stabilisation du système et les retours d’expérience avant de
l’implanter. En outre, pendant ce délai le coût induit par le déploiement aura
probablement diminué.
On peut aussi citer l’aphorisme suivant : « Il est souvent plus facile de ne pas faire
quelque chose d’idiot que de faire quelque chose d’intelligent » (attribué abusivement à l’Art de la guerre de Sun Tzu).
Quelques idioties de seconde classe
M. Ranum énumère pour finir quelques assertions et pratiques stupides de
moindre ampleur :
• « Nous ne sommes pas une cible intéressante » : or, tout le monde est visé,
les vers et les virus ne sont pas capables d’identifier les cibles qui en valent
la peine ;
• « en déployant < mettre ici le nom de votre système ou pare-feu préféré > nous
serons protégés » : non, le système ou le pare-feu qui protège, c’est celui
pour lequel il y a sur le site un ingénieur (oui, un ingénieur, les gens qui
savent faire ça sont des ingénieurs) compétent, qui le connaît bien et qui
consacre beaucoup de son temps à s’en occuper ;
• « pas besoin de pare-feu, notre système est sûr » : non, même avec un système sûr, sans pare-feu toute application réseau est une cible facile ;
• « pas besoin de sécuriser le système, nous avons un bon pare-feu » : non, le
trafic légitime qui franchit le pare-feu comporte des risques ;
• « démarrons la production tout de suite, nous sécuriserons plus tard » : non,
ce ne sera jamais fait, et si cela doit l’être, cela prendra beaucoup plus de
temps et de travail que de l’avoir fait au départ ;
• « nous ne pouvons pas prévoir les problèmes occasionnels » : si, vous pouvez ;
prendriez-vous l’avion si les compagnies aériennes raisonnaient ainsi ?