246
Sécurité Informatique
et ne peut pas être contenue dans un dispositif ni dans un ensemble de dispositifs,
qu’elle ne peut pas non plus être contenue dans les limites temporelles d’un projet,
mais qu’elle est un processus ou, si l’on veut, une activité. Nous entendons par là que
les ingénieurs de sécurité du SI doivent se consacrer à cette activité, pas forcément
à plein temps, mais en permanence, sur plusieurs fronts : veille scientifique et
technologique, surveillance des journaux d’événements, audit des infrastructures et
des applications, sensibilisation et formation des utilisateurs, expérimentation de
nouveaux outils et de nouveaux usages. La démarche de sécurité doit être active : la
détection des failles et des attaques, et les réponses qui leur sont données, ne sont
pas suffisantes, mais elles sont nécessaires, parce qu’avec l’ubiquité de l’Internet
nous sommes entrés dans une ère où le régime de menaces est de basse intensité,
mais les menaces sont permanentes. Il faut savoir que parmi ces menaces certaines
se réaliseront, qu’il faut s’y préparer et apprendre à leur survivre, ce qui suppose
que l’on y ait pensé avant.