Dans un article de « the Atlantic », l’expert en sécurité Bruce Schneier expose sa philosophie en matière de sécurité et notamment de sécurité informatique. Après une période d’enthousiasme excessif pour les technologies de chiffrement en tant que solution absolue pour la sécurité informatique, Bruce Schneier a constaté que, davantage que la « force » d’une technologie de sécurité, il convient d’évaluer les conséquences de ses défaillances. Et si il est bien une règle reconnue en matière de sécurité, c’est qu’il n’existe pas de sécurité absolue. Les défaillances doivent être considérées comme inévitables et donc gérées. Bref, la diminution de l’alea (probabilité d’occurence d’un incident) ne suffit pas pour pouvoir gérer le risque. Il faut également évaluer l’enjeu (les conséquences de l’incident) (risque = enjeu * alea).
C’est pourquoi M. Schneier se méfie des solutions technologiques aux problématiques de sécurité nationale face au terrorisme : elles peuvent « mal » défaillir alors que des mesures plus simples et « défaillant mieux » seraient non seulement plus sûres mais aussi moins coûteuses. Il convient selon lui de se méfier d’une stratégie de sécurité consistant à s’appuyer sur le secret entourant un dispositifs de sécurité ; les systèmes de sécurité reposant sur le secret défaillent mal, en général. Selon Schneier, pour concevoir un système de sécurité, il convient d’abord de répondre à la question des finalités (pourquoi concevoir un tel système) mais aussi celle des conséquences de la mise en place de ce système, en particulier lorsqu’il défaille.
Par exemple, si votre sécurité informatique repose sur un système à base d’empreinte digitale ultra-moderne, que faites-vous lorsqu’une personne malveillante dérobe une copie de votre empreinte ? Lorsque votre carte bleue est volée, la banque peut faire opposition et vous donner une toute nouvelle carte. Mais on ne peut pas en faire autant avec vos doigts ! De même, mettre en place des cartes d’identité sécurisées aux USA n’aurait pas empêché les terroristes du World Trade Center d’entrer sur le territoire : ce n’était leur identité qu’il fallait pouvoir authentifier (ils sont entrés aux USA sous leur véritable identité) mais leurs intentions. Enfin, Bruce Schneier estime qu’appuyer la sécurité nationale américaine sur des systèmes centralisés et massivement informatisés n’est pas la manière la plus sûre de faire, étant donnée la faiblesse générale de la sécurité des réseaux informatiques. Même les réseaux nationaux sécurisés et non connectés à l’Internet ont été l’objet de contaminations par les récents vers et virus de Windows et d’Outlook. Il suffit qu’un utilisateur y ait connecté son portable après que celui-ci a été contaminé sur le Net. Sans compter les mesures de sécurité contournées par les utilisateurs lorsque ceux-ci décident de privilégier leur confort d’utilisateur et leur productivité à l’application de règles trop contraignantes.
Schneier recommande de privilégier les mesures physiques et humaines aux mesures informatiques. Il donne plusieurs suggestions concernant la sécurisation des vols aériens vis-à-vis des actes de terrorisme. Dans la même veine, Schneier explique que les systèmes de sécurité doivent s’appuyer sur le comportement des gens (et non contraindre celui-ci) : c’est pourquoi le moyen le plus efficace pour prévenir le vol de sa voiture consiste non pas à l’équiper d’un système ultraperfectionné mais à la garer dans un parking gardé ou dans un quartier bien fréquenté dans lequel les gens remarqueraient toute effraction. Et la formation des personnes (et donc des utilisateurs informatiques) semble le meilleur levier pour la sécurité, y compris la sécurité informatique.