Éviter les idées fausses courantes dans la terminologie de cybersécurité

Les mots sont durs. L'anglais est dur. Comment nous arrivons à communiquer quoi que ce soit est quasi un miracle.

Parfois, je souhaite être Oscar Wilde ou Mark Twain ou l'un de ces autres grands auteurs qui semblent pouvoir décrire sans effort un personnage ou un scénario pour que le lecteur puisse imaginer parfaitement ce qu'ils veulent dire.

Au lieu de cela, je crains d'être plus comme Shakespeare qui inventait des mots et tordait les autres pour les adapter à son mètre insensé, de sorte que des gens ordinaires comme moi peinent à comprendre les significations intentionnelles (incidemment, j'adore Shakespeare).

Malheureusement, mon domaine choisi semble rempli de shakespeariens — des gens qui utilisent les mots en lançant de la soupe d'alphabet contre un mur et en lisant les résultats comme on lirait des feuilles de thé, seulement avec moins de précision.

Qu'est-ce que cela signifie vraiment ?

Lorsque j'ai créé la base de données de termes de cybersécurité, qui est l'épine dorsale du NIST Cybersecurity Glossary, j'ai été émerveillé par la confusion qui régnait même sur des termes ubiquitaires comme « risque » et « sécurité ». Il n'y a toujours pas de véritable consensus sur ce que signifie le mot « cybersécurité » !

Alors, j'ai compilé une liste de certains termes couramment mal utilisés dans le domaine de la cybersécurité (ce sont des descriptions non officielles destinées à être informatives) :

Données vs Information vs Connaissance

Données sont généralement considérés comme les bits et octets dont l'information est composée. Information transforme plusieurs bits et octets en quelque chose d'utile. Par exemple, un capteur de température peut afficher « 102 », mais l'information nous dit qu'il s'agit de 102 degrés Fahrenheit sur un capteur de température qui était dans la bouche d'un humain. La connaissance est ce qui permet à l'information de se transformer en action. Elle dit que 102 degrés Fahrenheit pour un être humain est beaucoup trop chaud. Les frontières entre données, information et connaissance sont floues, mais certains défendent ces frontières avec ferveur.

Menace vs Risque

Une menace est soit utilisée pour signifier quelque chose de mauvais qui pourrait arriver, soit une entité qui pourrait causer quelque chose de mauvais (aussi appelé « acteur de menace »). Le risque inclut la probabilité que la chose mauvaise arrive et le(s) résultat(s) potentiel(s). Les gens utilisent souvent (incorrectement) ces mots de manière interchangeable.

Gestion des risques

Le processus de réponse au potentiel qu'une chose mauvaise puisse arriver. Il y a généralement quatre options : accepter le risque, le transférer, l'éviter ou l'atténuer. Selon qui vous parlez, il y a au moins huit options, mais ce sont les quatre traditionnelles. Quand un professionnel de la cybersécurité parle de gestion des risques, il peut faire référence au processus décrit dans le Risk Management Framework.

Cybersécurité

Fondamentalement, la protection des systèmes informatiques (y compris les réseaux, Internet et tout ce qui est « intelligent »). Cependant, il a été utilisé comme terme parapluie qui englobe également l'assurance de l'information, la protection des données et la vie privée. Ce terme continuera probablement de changer jusqu'à ce que quelqu'un puisse expliquer adéquatement ce qu'est le « cyber ».

Assurance de l'information (ou Sécurité)

La protection de tout fait, nouvelle, connaissance, ou parfois données, sous n'importe quelle forme — papier, électronique, tablette de pierre, signaux, mémorisé, etc. Souvent confondu avec et placé sous le parapluie de la cybersécurité.

Norme (Standard)

Beaucoup de gens nomment à tort les publications spéciales NIST comme des normes, mais c'est un peu plus compliqué que cela. Le NIST développe des normes formelles — Federal Information Processing Standards (FIPS), comme FIPS 200 et FIPS 140-3, par exemple. Le NIST participe également au développement de normes industrielles et internationales. Le mot norme peut aussi signifier un niveau de qualité ou une norme acceptée. Dans ce dernier cas, les publications NIST sont souvent utilisées comme une norme. C'est une différence subtile, mais importante. Néanmoins, en général, il est préférable de s'abstenir d'appeler les publications spéciales NIST (SP), les rapports internes/inter-agences (IR), les livres blancs, ou tout autre chose qu'un FIPS une norme et d'utiliser plutôt les termes « publication », « document » ou « guide ».

Exigences vs Contrôles

Ces deux termes peuvent être utilisés pour identifier des activités, processus, pratiques ou capacités spécifiques qu'une organisation peut avoir ou faire pour gérer son risque de cybersécurité. Les contrôles peuvent ou non être obligatoires, tandis que les exigences le sont généralement. Il est toujours préférable de vérifier quel terme un document utilise. Par exemple, beaucoup de gens réfèrent aux exigences du NIST SP 800-171 comme des contrôles, ce qui est incorrect.

Audit vs Évaluation

En cybersécurité, le terme audit a souvent une connotation plus formelle et négative que dans certaines autres disciplines. Les audits sont effectués après un incident tel qu'une violation de données (généralement un audit interne), à la demande d'un client (généralement un audit externe mené par le client), ou pour obtenir une certification (un audit tierce partie). Les évaluations sont généralement, mais pas toujours, plus comme un check-up de santé amical. Engageant un nombre quelconque d'activités, les évaluations peuvent être étroites ou larges, avec autant de rigueur que l'entreprise évaluée le souhaite, ou qu'il est approprié à la situation. Une exception à cette règle générale est dans le programme Cybersecurity Maturity Model Certification (CMMC), qui utilise le mot évaluation comme méthode formelle par laquelle une entreprise est évaluée.

Conformité

La conformité fait généralement référence au respect d'une exigence (interne ou externe, parfois réglementaire) et est souvent démontrée par une certification ou une attestation de quelque sorte. Les gens utilisent souvent des phrases comme « conforme NIST ». Cela peut être trompeur car beaucoup l'interprètent comme signifiant que le NIST applique une exigence ou certifie ou atteste de la sécurité des produits ou processus d'une entreprise. Ce qui est généralement signifié par « conforme NIST » est que l'entreprise a utilisé les pratiques et procédures dans les publications NIST, souvent pour répondre à une exigence. Bien que cela puisse être vu comme une activité de conformité, il est généralement préférable d'éviter la confusion en indiquant plutôt quelle règle ou exigence est l'objet de la conformité. Par exemple, on peut suivre le NIST SP 800-171 pour être conforme à DFARS. Une exception à cela concerne les algorithmes et modules cryptographiques, auquel cas la terminologie correcte est « validé » et « conforme » indique que le produit global n'a pas été formellement évalué.

Les mots en anglais évoluent presque aussi vite que les mèmes sur Internet — un million de shakespeariens emmenant la langue anglaise au fond du jardin pour la massacrer, la manipuler et la plier en un script à peine reconnaissable. Dans le domaine de la cybersécurité, il semble que cela soit fait avec un abandon insouciant. Mais comprendre certains de ces termes clés et comment ils sont utilisés aidera à comprendre et communiquer vos besoins en cybersécurité.