Confidentialité, intégrité, disponibilité : comprendre la triade CIA

Niveau : débutant.

Prérequis : savoir distinguer une donnée, un compte, une application et un service. Aucune connaissance en cryptographie, administration ou programmation n'est nécessaire. Un éditeur de texte suffit pour l'exercice.

Travaille uniquement sur le scénario fictif fourni. Tu ne dois ni modifier une protection, ni tester un accès, ni utiliser une donnée réelle. L'objectif consiste à formuler des besoins et à vérifier la cohérence de mesures sur le papier.

La confidentialité, l'intégrité et la disponibilité ne sont pas trois produits à installer. Ce sont des propriétés attendues d'une information ou d'un service. Leur utilité commence lorsque tu les appliques à un actif précis, dans un contexte précis. Dire qu'une organisation veut « de la sécurité » reste vague. Dire qu'un dossier médical ne doit être lu que par les personnes autorisées, que ses prescriptions doivent rester exactes et qu'il doit être consultable pendant les soins fournit déjà trois besoins examinables.

Le sigle CIA vient des termes anglais confidentiality, integrity, availability. La norme fédérale FIPS 199 du NIST définit ces trois objectifs et propose de catégoriser l'impact potentiel d'une perte pour chacun. Cette approche rappelle qu'un même système peut avoir des exigences différentes selon la propriété. Une page publique exige peu de confidentialité pour son contenu publié, mais son intégrité reste importante et son indisponibilité peut gêner une démarche urgente.

La triade aide à poser des questions, à classer les conséquences et à expliquer un choix. Elle n'évalue pas seule la probabilité d'un incident, le coût d'une mesure, la vie privée, l'authenticité d'une identité ou la capacité à prouver une action. Il faut donc l'utiliser comme une grille de départ, pas comme une définition exhaustive de la cybersécurité.

La confidentialité vise à empêcher une divulgation non autorisée. Une divulgation peut venir d'une lecture directe, d'un partage accidentel, d'une pièce jointe envoyée au mauvais destinataire, d'un stockage exposé ou de métadonnées trop bavardes. Elle concerne aussi les copies, les journaux, les exports, les sauvegardes et les écrans, pas seulement la base principale.

Commence par identifier les personnes ou rôles qui ont besoin de la donnée et dans quelles conditions. L'authentification contribue à reconnaître une identité. L'autorisation limite ses actions. Le moindre privilège, le chiffrement adapté, la séparation des environnements, le masquage et des règles de conservation réduisent certains chemins de divulgation. Chaque mesure a une limite : le chiffrement du disque protège surtout un support au repos, mais un utilisateur connecté et autorisé peut encore lire puis transmettre le contenu.

Une donnée secrète n'est pas automatiquement mieux protégée parce qu'elle devient difficile à utiliser. Si des soignants contournent une procédure trop lente en partageant un compte, le contrôle peut dégrader la sécurité réelle. Vérifie aussi les destinataires indirects. Un prestataire de support, un outil d'analyse ou une sauvegarde externalisée peut recevoir des informations. La question utile est donc : qui peut apprendre quoi, par quel chemin, à quel moment et avec quelle trace ?

L'intégrité vise à prévenir ou détecter une modification ou une destruction non autorisée. Elle couvre les erreurs accidentelles autant que les actions malveillantes. Une formule de tableur remplacée, un fichier tronqué pendant un transfert, une heure système incorrecte ou une mise à jour légitime appliquée au mauvais périmètre peuvent altérer une décision sans qu'un attaquant intervienne.

Les contrôles d'accès limitent qui peut modifier. La validation des entrées, les transactions, les contraintes de base de données, les signatures numériques, les codes d'authentification de message, les empreintes comparées à une référence fiable et la gestion de versions peuvent prévenir ou révéler des altérations. Une empreinte seule n'établit pourtant rien si la référence a été remplacée avec le fichier. Une signature valide indique qu'une clé donnée a signé un contenu ; sa valeur dépend encore de la protection de la clé et de la confiance accordée à son titulaire.

L'intégrité demande aussi de connaître l'état attendu. Pour une configuration, conserve une version approuvée et l'historique des changements. Pour une donnée métier, définis les règles de cohérence, l'auteur du changement et la procédure de correction. Le NIST SP 800-12 Rev. 1 replace confidentialité, intégrité et disponibilité dans un ensemble plus large de contrôles et de responsabilités. Aucun mécanisme isolé ne garantit que toutes les informations restent justes dans tous les usages.

La disponibilité signifie qu'une information ou un service reste accessible et utilisable à la demande d'une entité autorisée. Elle ne se réduit pas au fait qu'un serveur répond au ping. Une application peut être en ligne mais inutilisable parce que l'annuaire, le DNS, une clé, la base de données ou un fournisseur externe est indisponible. Elle peut aussi répondre trop lentement pour le besoin métier.

Décris la fonction attendue, ses horaires, sa capacité, ses dépendances et la durée d'interruption tolérable. La redondance, la supervision, la maintenance, les pièces de rechange, la gestion de capacité, les protections contre les dénis de service et des procédures manuelles peuvent contribuer à cet objectif. La redondance mal conçue reproduit toutefois une panne commune : deux serveurs sur le même stockage ou sous le même compte d'administration peuvent tomber ensemble.

La disponibilité inclut les personnes et les procédures. Un système techniquement sain peut rester inaccessible si personne ne possède l'autorité ou les informations nécessaires pour le remettre en service. Mesure donc l'expérience complète, depuis la demande jusqu'au résultat utile. Un pourcentage global masque parfois une panne courte au pire moment. Relie les indicateurs aux périodes critiques et aux conséquences réelles.

Une sauvegarde crée une copie conservée pour récupérer des données après une suppression, une corruption ou un sinistre. Elle soutient la disponibilité future et parfois l'intégrité, mais elle ne maintient pas à elle seule un service en fonctionnement. Si un serveur tombe, une archive intacte ne fournit aucun accès tant que l'infrastructure, les logiciels, les identités, les clés et les dépendances n'ont pas été reconstruits et validés.

A l'inverse, une architecture redondante peut maintenir le service sans fournir d'historique récupérable. Une réplication immédiate copie souvent une suppression ou une corruption vers le second nœud. Haute disponibilité, réplication, instantané, sauvegarde et plan de continuité ont donc des rôles distincts. Ils peuvent se compléter, mais ne doivent pas être comptés comme des synonymes.

Le NIST SP 800-34 Rev. 1 décrit une planification de continuité fondée sur l'analyse d'impact, les stratégies de reprise, les procédures, les tests et la maintenance. Pour juger une sauvegarde, vérifie la portée, l'âge, l'intégrité, la séparation et la restauration. Pour juger la disponibilité, ajoute le délai de reprise, la capacité, les dépendances et le fonctionnement dégradé. Une copie jamais restaurée apporte une possibilité théorique, pas une preuve de reprise.

Les objectifs peuvent entrer en tension. Un contrôle d'accès très strict protège la confidentialité, mais peut retarder l'accès lors d'une urgence. Des journaux détaillés aident à détecter une atteinte à l'intégrité, mais peuvent eux-mêmes contenir des données sensibles. Une réplication géographique améliore la résilience à un sinistre local tout en créant de nouvelles copies à protéger. L'arbitrage ne consiste pas à sacrifier automatiquement un objectif. Il consiste à comparer des scénarios, des conséquences et des solutions de rechange.

Prends un système de résultats d'examen. Avant publication, la confidentialité des notes et l'intégrité des calculs dominent. Au moment de l'affichage officiel, la disponibilité devient plus visible. Après une contestation, l'historique des modifications et la preuve de la règle appliquée comptent davantage. Les priorités changent donc avec le cycle de vie, sans que les autres objectifs disparaissent.

Documente l'actif, les utilisateurs autorisés, l'événement redouté, l'impact, la mesure, son coût et son effet secondaire. Définis aussi un risque résiduel et une personne capable de l'accepter. Une classification « élevée » partout ne facilite aucune décision. Des exigences irréalistes poussent aux contournements ou rendent le système trop coûteux. Cherche des critères observables : délai maximal, rôles autorisés, taux d'erreur détecté, point de reprise et test de restauration réussi.

Cadre : crée seulement un fichier texte local nommé triade-bibliotheque.md. Ne configure aucun compte, ne chiffre aucun fichier et ne modifie aucun service. Le scénario concerne une bibliothèque fictive qui gère un catalogue public, les coordonnées de ses membres et les prêts en cours. Elle accepte une interruption de quatre heures pour le catalogue, mais le guichet doit pouvoir enregistrer temporairement les retours sur papier.

Crée un tableau avec les colonnes actif, besoin, événement, impact, mesure, limite et preuve. Ajoute au moins six lignes : lecture non autorisée des coordonnées, modification du statut d'un prêt, erreur dans une date de retour, panne du catalogue, suppression accidentelle et indisponibilité du fournisseur d'identité. Associe chaque ligne à C, I, A ou à plusieurs lettres, puis explique le choix en une phrase.

Pour la suppression, distingue la sauvegarde quotidienne du mécanisme de continuité au guichet. Pour la panne d'identité, propose un mode dégradé borné qui ne révèle pas la liste complète des membres. N'utilise aucun nom réel.

Critère observable

L'exercice est réussi si le tableau contient six événements distincts, les trois propriétés, une mesure et une limite par ligne, ainsi qu'une preuve vérifiable. La ligne « panne du catalogue » doit mentionner un délai, et la ligne « suppression » doit séparer restauration des données et maintien du service. Une mesure générique comme « sécuriser davantage » ne satisfait pas le critère.

• Classer un outil au lieu d'un objectif. Le chiffrement peut soutenir confidentialité ou intégrité selon son usage ; son nom ne suffit pas.
• Oublier les copies et les dépendances. Une base protégée perd son intérêt si les exports, sauvegardes ou comptes d'administration restent exposés.
• Confondre intégrité et secret. Une page publique peut exiger une forte intégrité sans être confidentielle.
• Confondre disponibilité et sauvegarde. La copie aide à reprendre, mais le service dépend aussi des systèmes, identités et procédures.
• Attribuer la même priorité à tout. La criticité dépend de l'actif, du moment, de l'utilisateur et de l'impact.
• Considérer un contrôle comme absolu. Chaque contrôle possède un périmètre, des hypothèses et des modes d'échec.

La triade ne décrit pas explicitement tous les besoins. L'authenticité, la traçabilité, la non-répudiation, la sûreté, la vie privée et la résilience peuvent demander leurs propres analyses. Elle ne remplace pas non plus une appréciation du risque : deux pertes d'intégrité similaires peuvent avoir des probabilités et des impacts très différents. Utilise-la pour rendre les objectifs concrets, puis complète-la avec les acteurs, menaces, obligations, dépendances et preuves adaptées au système.