1. La triade CIA : Le socle conceptuel universel

Toute stratégie de sécurité de l’information repose sur un triptyque fondateur, traditionnellement désigné sous l’acronyme anglophone CIA (ou DIC en français pour Disponibilité, Intégrité, Confidentialité) :

• Confidentialité (Confidentiality) : Garantie que l’information n’est accessible qu’aux entités, processus ou personnes légitimes ayant un besoin avéré d’en connaître (Need-to-know). Les mécanismes de protection incluent le chiffrement symétrique et asymétrique (AES-256, RSA, ChaCha20), les listes de contrôle d’accès (ACL) et la segmentation physique ou logique des réseaux.
• Intégrité (Integrity) : Préservation de l’exactitude, de la complétude et de l’authenticité des données et des systèmes. Les données ne doivent pouvoir être ni altérées, ni corrompues, ni tronquées de manière accidentelle ou malveillante sans détection immédiate. Les fonctions de hachage cryptographique (SHA-256, SHA-3) et les signatures numériques garantissent cette propriété.
• Disponibilité (Availability) : Assurance que les ressources informatiques, services applicatifs et données sont accessibles et exploitables par les utilisateurs autorisés au moment convenu. Elle implique la redondance matérielle, la haute disponibilité (clustering), l’équilibrage de charge, des sauvegardes régulières et des protections contre le déni de service distribué (DDoS).

2. Extensions doctrinales : Authenticité, Traçabilité et Non-répudiation

Au-delà de la triade CIA élémentaire, les référentiels contemporains (tels que la norme internationale ISO/IEC 27001) adjoignent trois exigences complémentaires indispensables aux environnements d’entreprise :

• Authenticité : Capacité à certifier l’identité réelle d’un utilisateur, d’un terminal ou d’un service avant de lui accorder l’accès à une ressource (certificats X.509, protocoles d’authentification mutuelle).
• Traçabilité (Auditabilité) : Enregistrement horodaté et inaltérable des actions, connexions et transactions dans des journaux d’audit (logs) permettant de reconstituer la chronologie exacte des événements.
• Non-répudiation : Impossibilité pour un émetteur ou un récepteur de nier la transmission, le contenu ou la réception d’une transaction numérique (mécanisme de clé privée et horodatage certifié).

3. Analyse de compromis : Équilibrer sécurité, utilisabilité et coûts

La sécurité absolue est un mythe théorique : un système entièrement inviolable serait totalement inutilisable et déconnecté de tout réseau. L’ingénierie de la cybersécurité consiste à trouver un équilibre pragmatique entre :

1. Le niveau de criticité des actifs à protéger (données médicales, secrets bancaires suisses, propriété intellectuelle industrielle).
2. L’ergonomie et la productivité des collaborateurs métiers.
3. Le coût financier et humain de déploiement et de maintien en conditions de sécurité (MCS).

Atelier de réflexion : Dans le cadre d’un cabinet médical à Lausanne manipulant des dossiers de patients sensibles, analysez les impacts métiers si l’on privilégie la confidentialité à l’extrême (chiffrement asymétrique avec clé sur clé USB physique obligatoire pour chaque médecin) au détriment de la disponibilité en cas d’urgence vitale au bloc opératoire.