les responsables de systèmes d'information se préoccupent depuis longtemps de sécuriser les données. Le cas le plus répandu, et sans aucun doute précurseur en matière de sécurité de l'information, reste la sécurisation de l'information stratégique et militaire : Le Department of Defense (DoD)

e de mettre en évidence des failles de sécurité sur un serveur web. Ces personnes peuvent aussi profiter de ces vulnérabilités pour diffuser de fausses informations sur son propriétaire (on parle alors de désinformation).
Les conséquences peuvent aussi concerner la vie privée d'une ou plusieurs personnes, notamment par la diffusion d'informations confidentielles comme ses coordonnées bancaires, sa situation patrimoniale, ses codes confidentiels. De manière générale, la préservation des données relatives aux personnes fait l'objet d'obligations légales régies par la Loi Informatique et Libertés.
Pour parer ces éventualités, les responsables de systèmes d'information se préoccupent depuis longtemps de sécuriser les données. Le cas le plus répandu, et sans aucun doute précurseur en matière de sécurité de l'information, reste la sécurisation de l'information stratégique et militaire : Le Department of Defense (DoD) des États-Unis est à l'origine du TCSEC, ouvrage de référence en la matière. De même, le principe de sécurité multi-niveau trouve ses origines dans les recherches de résolution des problèmes de sécurité de l'information militaire.
Aujourd'hui, l'hypothèse réaliste demeure que la sécurité ne peut être garantie à 100 % et requiert le plus souvent la mobilisation d'une panoplie de mesures y compris celle des « leurres » reposant sur l'idée qu'interdire ou en tout cas protéger l'accès à une donnée peut consister à fournir volontairement une information « calibrée et visible » servant de paravent à l'information sensible…
Démarche générale[modifier | modifier le code]

Pour sécuriser les systèmes d'information, la démarche consiste à :
évaluer les risques et leur criticité : quels risques et quelles menaces, sur quelle donnée et quelle activité, avec quelles conséquences ?
On parle de « cartographie des risques ». De la qualité de cette cartographie dépend la qualité de la sécurité qui va être mise en œuvre.
rechercher et sélectionner les parades : que va-t-on sécuriser, quand et comment ?
Etape difficile des choix de sécurité : dans un contexte de ressources limitées (en temps, en compétences et en argent), seules certaines solutions pourront être mises en oeuvre.
mettre en œuvre les protections, et vérifier leur efficacité.
C'est l'aboutissement de la phase d'analyse et là que commence vraiment la protection du système d'information. Une faiblesse fréquente de cette phase est d'omettre de vérifier que les protections sont bien efficaces (tests de fonctionnement en mode dégradé, tests de reprise de données, tests d'attaque malveillante, etc.)
Méthodes d'attaque portant at