La triade CIA et les propriétés de la sécurité de l'information

Bonne lecture et bon apprentissage ! Junior TSAFACK – 09/10/2026 Temps de lecture estimé : 14 minutes

Le NIST définit la sécurité de l’information comme « les moyens de protéger les informations et les systèmes d’information contre l’accès non autorisé, l’utilisation, la divulgation, la perturbation, la modification ou la destruction, afin d’assurer l’intégrité, la confidentialité et la disponibilité ». Trois mots — confidentialité, intégrité, disponibilité — forment la triade CIA, le socle sur lequel tout le reste se construit. Mais cette triade, à elle seule, ne suffit pas à couvrir tout ce que recouvre réellement la sécurité : il faut y ajouter la responsabilité (accountability) et la vie privée.

Un piège courant : confondre sécurité et technologie

Trop souvent, la sécurité est déléguée entièrement au département informatique, avec l’idée implicite qu’elle n’est qu’une affaire de technique. C’est une erreur. La sécurité est comme un puzzle fait d’innombrables pièces imbriquées : un pare-feu parfaitement configuré ne sert à rien si un attaquant convainc un employé de lui ouvrir la porte, ou si le personnel n’a jamais reçu la moindre formation de sensibilisation. Un point de défaillance unique peut déclencher une cascade de défaillances — et parfois, une simple séance de formation protège mieux qu’un outil coûteux.

Une stratégie de sécurité doit donc s’aligner sur l’activité réelle de l’organisation, sous peine de devenir distante et non pertinente à ses yeux. Elle se traduit par un plan de sécurité — une feuille de route de projets qui font progresser l’organisation de son état actuel vers l’état souhaité, sa posture de sécurité. Cette posture ne vise quasiment jamais 100 % : le niveau de sécurité « adéquat » dépend des objectifs de l’entreprise.

Elle protège des actifs — tout ce qui a de la valeur pour l’organisation, qu’il soit tangible (serveurs, bâtiments) ou intangible (propriété intellectuelle, données). On ne peut protéger ni un actif inconnu (d’où l’importance d’un inventaire, voir le module suivant), ni un actif sans serrure sur la porte qui y mène.

Confidentialité

La confidentialité consiste à autoriser l’accès à une information tout en la protégeant contre toute divulgation abusive — un équilibre délicat, en particulier quand de nombreux utilisateurs (clients, invités) échappent à tout contrôle direct de l’organisation.

Plusieurs catégories de données relèvent spécifiquement de la confidentialité :

Catégorie	Définition
PII (Personally Identifiable Information)	Toute information permettant de distinguer ou de retracer l’identité d’une personne (nom, numéro de sécurité sociale, données biométriques) ou pouvant y être reliée (données médicales, financières, professionnelles).
PHI (Protected Health Information)	Toute information relative à l’état de santé, aux soins ou à leur paiement, telle que définie par la loi américaine HIPAA.
Informations classifiées / sensibles	Informations dont la divulgation non autorisée a été jugée dommageable, et marquées comme telles.

Le RGPD européen regroupe PII et PHI sous une définition large des « informations personnelles sensibles », sans forcément utiliser ces termes nord-américains — mais l’exigence de protection reste la même.

Les conséquences d’une violation de confidentialité dépassent largement le technique : amendes réglementaires, perte de confiance des clients et des investisseurs, perte d’avantage concurrentiel (par exemple si une information stratégique — fermeture d’usine, changement de fournisseur — fuite avant son annonce officielle), poursuites civiles.

La confidentialité s’appuie directement sur le principe du moindre privilège (voir chapitre suivant) : seules les personnes, processus ou systèmes autorisés devraient avoir accès à l’information, selon le principe du besoin d’en connaître. Le chiffrement, l’anonymisation, la fragmentation ou la segmentation des données sont les contrôles techniques les plus directs pour la préserver.

Intégrité

L’intégrité mesure à quel point une donnée est entière, complète, cohérente et correcte en interne — qu’elle n’a pas été modifiée de manière non autorisée, qu’elle soit stockée, en cours de traitement ou en transit.

Deux notions s’y rattachent :

L’intégrité des données : la propriété de ne pas avoir été altérées de façon inappropriée.
L’intégrité du système : le maintien d’une configuration connue et d’un fonctionnement conforme à ce qui est attendu pendant tout le traitement.

Un exemple médical illustre bien l’enjeu : si le système clinique d’un hôpital contenait trois versions différentes du groupe sanguin d’un patient, laquelle serait la bonne ? Une erreur ici n’est pas qu’une question de « propreté des données » — elle peut être fatale. La cohérence interne exige que toutes les instances d’une même donnée soient identiques en forme, en contenu et en signification sur tous les systèmes connectés.

Garantir l’intégrité repose sur la connaissance de l’état : établir une référence (baseline) de l’état des données ou du système à un instant T, puis vérifier périodiquement que l’état courant correspond toujours à cette référence. Les contrôles associés incluent :

Préventifs : validation des données en saisie, contrôle des autorisations de modification, algorithmes de hachage sécurisés.
Détectifs : pistes d’audit, rapports d’équilibrage, antivirus, vérificateurs d’intégrité de fichiers.

L’intégrité soutient aussi la non-répudiation (chapitre suivant) via les signatures numériques, et conditionne la recevabilité de preuves lors d’actions judiciaires — un journal système dont l’intégrité est compromise ne vaut plus rien devant un tribunal. Des textes comme la loi Sarbanes-Oxley (SOX) ou l’article 32 du RGPD imposent explicitement des contrôles de sécurité pour protéger l’intégrité des informations financières ou personnelles.

Disponibilité

La disponibilité garantit que les données, systèmes et services restent accessibles aux utilisateurs autorisés, au moment, à l’endroit et dans le format requis — sans pour autant impliquer une disponibilité permanente à 100 % : l’objectif est de répondre aux exigences réelles de l’activité.

Elle est étroitement liée à la criticité : plus un système est critique pour la mission de l’organisation, plus son niveau de disponibilité exigé est élevé. Les contrôles de disponibilité les plus courants :

RAID matériel et logiciel, contrôleurs redondants ;
onduleurs (ASI/UPS) ;
sauvegarde et restauration, mise en miroir, journalisation ;
équilibrage de charge et bascule automatique (failover) ;
plans de continuité d’activité.

Une défaillance de disponibilité a des conséquences concrètes et parfois graves : interruption de revenus, erreurs de traitement de transactions, décisions mal informées, voire — dans un contexte industriel ou médical — mise en danger de vies humaines si un capteur critique devient injoignable au mauvais moment.

Responsabilité (accountability)

La responsabilité est un processus de mesure : comparer une norme ou une exigence légale à un comportement observé, pour vérifier qu’elle est respectée. Elle exige que des enregistrements soient conservés sur les décisions, les actions et leurs résultats.

La norme PCI DSS (paiement par carte), par exemple, exige que les organisations démontrent, via audit, trois choses à propos de leurs contrôles :

Ils font partie intégrante des processus opérationnels réels.
Ils fonctionnent comme prévu.
Les résultats de leur utilisation correspondent à l’objectif déclaré.

Cette exigence n’est pas nouvelle : la plupart des systèmes d’exploitation intègrent depuis longtemps des mécanismes de journalisation — à l’origine conçus pour facturer l’usage des ressources, devenus aujourd’hui le socle de toute capacité d’audit.

Sécurité (safety) : quand l’information touche le monde physique

Un terme souvent oublié dans la liste : la sûreté/sécurité physique (safety), qui se concentre sur la prévention des dommages aux personnes ou aux biens. L’information touche de plus en plus le monde physique via l’Internet des objets, les véhicules autonomes ou les systèmes de contrôle industriel : un défibrillateur connecté compromis, une station de traitement de l’eau piratée, ou un système de freinage automobile désactivé à distance ne sont plus de la science-fiction mais des scénarios démontrés par des chercheurs en sécurité. Dans ces cas, une défaillance de sécurité de l’information peut directement causer des dommages matériels, des blessures, voire la mort.

Vie privée

La vie privée est un droit fondamental, défini par les Nations Unies comme la présomption que chaque individu doit bénéficier d’un espace de développement autonome, à l’abri de toute intervention non sollicitée. Le droit à la vie privée inclut la capacité de déterminer qui détient des informations sur soi et comment elles sont utilisées.

L’OCDE a formalisé huit principes directeurs, repris pour l’essentiel par le RGPD européen :

Limitation de la collecte — n’obtenir des données personnelles que par des moyens légaux, avec le consentement de la personne.
Qualité des données — exactitude, pertinence, tenue à jour.
Spécification des objectifs — préciser l’usage au moment de la collecte.
Limitation de l’utilisation — ne pas utiliser les données à d’autres fins sans consentement.
Garanties de sécurité — protection raisonnable contre perte, accès ou divulgation non autorisés.
Ouverture — transparence sur les pratiques et politiques de traitement.
Participation individuelle — droit de consulter, contester et faire corriger ses propres données.
Responsabilité — le responsable du traitement doit répondre du respect de ces principes.

Un professionnel de la sécurité n’a pas vocation à interpréter la loi — c’est le rôle du service juridique — mais doit comprendre comment ces principes s’appliquent concrètement à son organisation en tant que membre de l’équipe de protection des données.

Synthèse

La sécurité de l’information ne se résume pas à la technologie : c’est un ensemble de contrôles organisationnels, humains et techniques qui doivent s’aligner sur la stratégie de l’entreprise.
La triade CIA (confidentialité, intégrité, disponibilité) reste le socle, mais deux propriétés supplémentaires sont indispensables : la responsabilité (traçabilité et conformité aux normes) et la vie privée (droit des personnes sur leurs propres données).
La sûreté physique (safety) rappelle que l’information peut désormais causer des dommages dans le monde réel via l’IoT et les systèmes de contrôle industriel.
Chacune de ces propriétés appelle des contrôles spécifiques, souvent encadrés par une réglementation sectorielle (RGPD, HIPAA, PCI DSS, SOX).

Prochain chapitre

Défense en profondeur, non-répudiation et moindre privilège

Junior TSAFACK – 09/10/2026