Comment Facebook protège ses données avec son service de sécurité physique

Une cybersécurité complète va au-delà de la technologie utilisée : c'est le credo de Facebook et de son responsable de la sécurité générale, Nick Lovrien, qui a déployé des moyens physiques pour protéger les données du réseau social. Oui, normalement les brigades canines et les gardes faits de chair et d'os assurent la sécurité des biens et des personnes, mais aujourd'hui, ils protègent aussi les informations numériques.

Agissant comme le maillon final du périmètre de sécurité, l'équipe de surveillance des datacenters de Facebook garde la propriété intellectuelle. Cela peut prêter à sourire dit comme ça, mais il s'agit d'une approche intégrée où même les bureaux d'une entreprise sont conçus pour assurer une protection physique entre les serveurs et le public. « Tout ce que nous avons à faire est fondé sur une stricte gestion des priorités » explique Nick Lovrien. « Il faut bouger vite et produire. »

Des bureaux accessibles sans badges

Pour accélérer son développement, l'entreprise est pensée comme un open space. « Personne n'a de bureau attribué chez Facebook. Ni Mark [Zuckerberg], ni Sheryl [Sandberg], ni le PDG, ni le COO, personne » assure le chef de la sécurité. La société ne propose pas non plus de badges, ce qui signifie qu'il n'y absolument aucun moyen physique de différencier l'équipe des 20 000 visiteurs qui rentrent dans les locaux chaque jour... C'est évidemment une prise de risque énorme, non seulement du côté des menaces physiques mais aussi pour empêcher ces visiteurs d'accéder et d'embarquer aux données internes.

Nick Lovrien admet qu'un espace de travail où tant de personnes entrent et sortent implique « évidemment une approche différente pour assurer la sécurité de l'endroit, mais le niveau de risque est compensé par la collaboration, les résultats et l'impact que cette approche apporte. » En d'autres termes, l'entreprise a besoin de bureaux ouverts, donc la sécurité doit faire avec. Mais comment font-ils concrètement ?

Une surveillance directe par les employés

Pour commencer, dans cet environnement dit ouvert, chaque endroit a des « espaces sécurisés » - que Nick Lovrien décrit comme des zones partagées une fois les points de contrôle passés. Les datacenters sont bien sûr inclus. « Quand j'ai commencé, il y a cinq ans, nous n'avions qu'un datacenter et un bâtiment » se souvient le chef de la sécurité. « Aujourd'hui, il y a environ 20 datacenters et nous avons besoin d'environ 20 bâtiments par centre de données. » C'est ici que sont stockés les photos, les flux Facebook live, les vidéos et autres fichiers similaires. Le réseau social se base sur AWS pour prendre en charge le versant retail, mais Nick Lovrien précise que les datacenters sont des fermes de serveurs installés en interne pour stocker toutes les images et vidéos.

Pour empêcher les visiteurs d'entrer et de voler des données, Facebook utilise un système de jumelage. Si quelqu'un vient voir un employé au bureau, ce dernier est appelé à toujours rester avec son invité. Si un salarié aperçoit quelqu'un errant seul, il envoie un message à un chatbot de sécurité de l'entreprise pouvant gérer plus de deux millions de conversations simultanément. Le département des services gère physiquement le bureau de réception de chaque lieu pour contrôler les arrivants.

Des enjeux de protection différents selon les bâtiments

Nick Lovrien ajoute qu'une de ses équipes recourt à des outils « de gestion des identités via des caméras et d'autres outils » pour suivre les déplacements des invités. Pour s'assurer du bon fonctionnement de ces systèmes de surveillance, ses équipes et le groupe technologique de Facebook font de la maintenance prédictive. La protection de Menlo Park est plus facile qu'à New York, Singapour et les autres bureaux installés dans les grandes villes qui accueillent les équipes commerciales et marketing. Menlo Park, explique Nick Lovrien, « est en fait aussi grand que l'Empire State Building » si on le couchait au sol. Facebook possède le terrain autour des bureaux, dont une partie sera utilisée pour les futures installations. Cet espace supplémentaire permet à la sécurité de patrouiller autour de la zone s'il y a des situations suspectes. Dans les grandes villes, les bureaux de Facebook ne sont pas les seuls. Les locaux de New York, par exemple, sont situés à East 43rd Street et Madison Avenue - à moins d'un pâté de maisons de Grand Central. Le bureau de Singapour est en bord de rue. Impossible donc de contrôler l'activité alentour.

C'est un défi admet le Monsieur sécurité de Facebook, « mais cela nous permet aussi de penser différemment et de sortir des sentiers battus. » A Londres, ils ont dû faire avec une architecture composée de nombreuses cages d'escaliers. Mais ces escaliers donnent cette sensation d'ouverture en permettant de voir l'activité aux étages et agissent en même temps comme des barrières physiques ralentissant les intrus.

Les locaux de Facebook à Londres sont parsemés de cages d'escaliers ce qui ouvre à la fois les bureaux et permet de créer des barrières de sécurité « naturelles ». (Crédit : Reuters)

Une approche holistique de la sécurité

Certes, le suivi des visiteurs et la conception architecturale ne sont généralement pas des éléments constitutifs de la sécurité. Mais la raison d'être de la sécurité physique selon Nick Lovrien est de « protéger les actifs physiques et électroniques de Facebook, des bâtiments aux serveurs, en passant par les prototypes et les idées. » Quand une menace surgit, les équipes de sécurité ne se demandent pas si le problème vient de l'IT ou des bâtiments, « nous le prenons et nous le résolvons minutieusement ».

Nick Lovrien vend son système comme une organisation intelligente permettant de détecter les menaces avant qu'elles n'arrivent. L'adhésion de toute l'entreprise consolide aussi l'effort de son équipe. « Ce qu'il y a de bien avec Mark [Zuckerberg] c'est qu'il voit et comprend l'importance de ce programme de sécurité générale. Il comprend notre approche holistique pour le protéger lui et tous nos employés. » Alors si Mark Zuckerberg voit le lien entre la sécurité physique et informatique, pourquoi pas nous ?