L’informatique confidentielle : une nouvelle approche de la sécurité informatique

La prochaine tendance de sécurité informatique a pour objectif de répondre à la problématique de vulnérabilité des données en cours d’utilisation.

L’informatique évolue vers une dépendance de plus en plus importante au cloud pour le stockage et le traitement des données. Quant aux logiciels de cryptographie, ils sont, pour la plupart, utilisés pour protéger les données au moment où elles sont envoyées dans le cloud, et une fois qu’elles y sont stockées.

En revanche, à mesure que les réseaux informatiques locaux se sont développés pour pouvoir traiter de plus grandes quantités de données, les pirates informatiques ont pu en tirer profit en décelant de nouveaux moyens d’accéder sans autorisation aux systèmes informatiques des entreprises. Pour ce faire, ils ont exploité les vulnérabilités des fonctions de traitement des données des réseaux informatiques locaux.

En réponse, une nouvelle approche de la sécurité des données a vu le jour : L’informatique confidentielle.

Les données : types et vulnérabilités

Du point de vue de la sécurité informatique, les données peuvent être divisées en trois catégories :

• Au repos (Data at Rest) : données qui sont stockées soit sur un serveur cloud, soit sur un système de stockage local, comme le disque dur d’un ordinateur.

• En transit (Data in transit) : données transmises sur un réseau, c’est par exemple ce qui se passe lorsque vous envoyez un courriel ou des informations sur une carte de crédit à un vendeur.

• En cours d’utilisation (Data in Use) : données traitées par un système informatique.

Jusqu’à récemment, les logiciels de sécurité et de cryptage des données se concentraient sur la protection des données dans les deux premiers états : au repos et en transit.

Cela est dû à un certain nombre de facteurs :

• Premièrement, les bases de données contenant de grandes quantités de données « au repos » présentent un coût important et suscitent fortement l’intérêt des pirates informatiques qui cherchent à accéder à de gros volume de données.

• Deuxièmement, les données « en transit » ont été considérées comme vulnérables parce qu’elles peuvent être plus facilement interceptées par les pirates informatiques, si elles ne sont pas cryptées avec un logiciel de cryptographie sophistiqué. A l’inverse, comme les systèmes locaux traitaient généralement dans le passé des quantités de données relativement plus faibles, les données « en cours d’utilisation » ne faisaient pas l’objet d’une attention particulière en matière de cryptage et de protection.

Les capacités des systèmes informatiques ont largement augmenté, tout comme la quantité et la complexité des données traitées. Les entreprises et les particuliers ont maintenant la capacité – et le besoin – de traiter de grandes quantités de données, dont certaines peuvent être très sensibles – comme :

• les données de géolocalisation,
• les données financières telles que les informations relatives aux cartes de crédit de plusieurs clients, et bien plus encore.

Et comme les coûts liés à des évènements de violation de données ne cessent d’augmenter – des amendes de plus en plus élevées imposées par les autorités de régulation à la perte de confiance des clients, en passant par les coûts réels de récupération des données auprès des pirates informatiques – la nécessité d’une protection des données plus solide et globale est désormais une problématique vitale à laquelle il faut répondre.

C’est là qu’intervient la notion d’informatique confidentielle.

Qu’est-ce que l’informatique confidentielle ?  

L’informatique confidentielle désigne la création d’environnements d’exécution de confiance (Trusted Execution Environments, TEE) basés sur le matériel pour que le traitement des données se fasse sur des systèmes locaux, en périphérie ou dans le cloud.

Les TEE utilisent essentiellement des techniques de sécurité pour établir un environnement protégé afin que le traitement du code se déroule d’une manière qui ne soit pas visible ou accessible à des acteurs non autorisés.

La création d’un TEE vise à garantir :

• l’intégrité du code,
• l’intégrité des données,
• et la confidentialité des données.

Pour ce faire, un certain nombre de mesures de mise en œuvre sont possibles, telles que :

• les contrôles d’autorisation pour le lancement de processus,
• la vérification croisée par un autre utilisateur ou système de confiance avant le lancement d’un processus,
• la mise en place de systèmes de récupération qui permettent de revenir à un état antérieur si l’on soupçonne que le système a été compromis.

En fin de compte, l’informatique confidentielle est une approche évolutive, complexe et globale de la sécurité des données, qui prend de plus en plus en considération la réalité de notre monde actuel basé sur le traitement de très grandes quantité de données.

Vous avez une idée de projet informatique que vous souhaitez réaliser ? Contactez-nous pour savoir comment Bocasay peut vous aider à la réaliser.