Bases de la sécurité opérationnelle (OPSEC)

La sécurité opérationnelle (OPSEC) est le processus qui consiste à protéger les informations sensibles contre les adversaires en identifiant les informations critiques, en analysant les menaces et en mettant en œuvre des contre-mesures. À l’origine un concept militaire, elle est désormais essentielle aux professionnels de la sécurité, aux journalistes et aux militants.

Le processus formel d’OPSEC :

1. Identifier les informations critiques — que faut-il protéger ?
2. Analyser les menaces — qui veut obtenir ces informations ?
3. Analyser les vulnérabilités — comment pourraient-elles être exposées ?
4. Évaluer le risque — quelle est la probabilité et quel serait l’impact ?
5. Appliquer des contre-mesures — réduire le risque à un niveau acceptable

Des éléments individuels d’informations apparemment inoffensives peuvent être combinés pour révéler des détails sensibles. Publier séparément le café que vous fréquentez, vos horaires de travail, votre quartier et le modèle de votre voiture permet de créer un profil de cible. Les adversaires agrègent des données provenant de sources ouvertes pour produire des renseignements exploitables.

Pour réduire votre empreinte numérique :

• Utilisez des pseudonymes et des adresses de courrier électronique distinctes selon les usages
• Limitez votre exposition publique sur les réseaux sociaux
• Utilisez des moteurs de recherche respectueux de la vie privée (DuckDuckGo, Brave)
• Refusez votre inscription auprès des sites de courtiers en données
• Vérifiez régulièrement les autorisations des applications

Le cloisonnement sépare les identités, les outils et les activités afin de limiter la contamination croisée. Un chercheur en sécurité peut utiliser des appareils, des navigateurs et des comptes de courrier électronique distincts pour différentes identités ou missions auprès de clients.

Choisir des canaux de communication sécurisés :

• Signal — messagerie chiffrée de bout en bout avec messages éphémères
• ProtonMail — courrier électronique chiffré
• Évitez le courrier électronique pour les discussions sensibles lorsque c’est possible
• Sachez que les métadonnées (avec qui vous échangez et quand) sont souvent aussi révélatrices que le contenu

Mesures d’OPSEC physique :

• Utilisez des filtres de confidentialité pour écran sur les ordinateurs portables dans les lieux publics
• Désactivez le microphone et la caméra lorsqu’ils ne sont pas utilisés
• Méfiez-vous de l’espionnage visuel dans les espaces publics
• Utilisez le chiffrement des disques (BitLocker, FileVault, LUKS)
• Broyez les documents sensibles

Échecs notables de l’OPSEC :

• Sabu (LulzSec) : a oublié d’utiliser Tor une fois → adresse IP révélée → arrêté
• Ross Ulbricht (Silk Road) : a utilisé le même nom d’utilisateur sur plusieurs sites, des années avant de créer Silk Road
• Groupes APT : réutilisation de code malveillant ou d’une infrastructure liés à des opérations précédentes

Au cours de leurs missions, les testeurs d’intrusion appliquent l’OPSEC pour simuler de véritables adversaires et éviter d’exposer accidentellement les systèmes des clients à de véritables attaquants :

• Utilisez des VPN ou une infrastructure d’anonymisation
• Faites tourner les signatures des outils
• Supprimez les artefacts après les tests
• Documentez toutes les actions pour les rapports

Votre posture d’OPSEC dépend de votre modèle de menace :

• Personne moyenne : hygiène de base des mots de passe + MFA
• Professionnel de la sécurité : cloisonnement + chiffrement fort
• Journaliste ou militant : utilisation complète de Tor + appareils isolés du réseau pour les travaux sensibles

Une OPSEC excessive sans modèle de menace adapté crée des contraintes contre-productives.

Une OPSEC efficace n’est pas une liste de contrôle, mais un état d’esprit : se demander continuellement « quelles informations suis-je en train de révéler, à qui et que peuvent-ils en faire ? » Cette autoévaluation du point de vue de l’adversaire devient une habitude avec la pratique.

Un analyste utilise le même nom d’utilisateur sur un forum de jeux personnel que celui utilisé lors de la préparation d’une opération clandestine. Quel principe d’OPSEC a-t-il enfreint ?

L’OPSEC protège les informations sensibles au moyen d’un processus en cinq étapes : identifier les informations critiques, analyser les menaces et les vulnérabilités, évaluer le risque et appliquer des contre-mesures. Les pratiques essentielles comprennent le cloisonnement, la réduction de l’empreinte numérique, les communications sécurisées (Signal, ProtonMail) et la sécurité physique. La posture d’OPSEC doit correspondre au modèle de menace réel.