On me demande tout le temps ce que je fais dans la vie. C'est le genre de métier qui, quand j'essaie de l'expliquer, me vaut surtout un regard vide. Ma mère sait seulement que ma carrière va bien. Mon frère a une vague idée que ça touche au petit cadenas dans le navigateur quand on va sur le site de sa banque. Quand je n'ai pas envie d'embarquer là-dedans, je dis juste « sécurité informatique », ce qui déclenche une réaction sur deux : « ah, tu pourrais peut-être m'aider avec mon portable », ou une perte d'intérêt immédiate et totale.

Ça fait douze ans que je travaille avec Active Directory Certificate Services. Non, je n'ai pas géré une de ces hiérarchies de confiance mondiales qui tiennent discrètement tout l'internet debout. Mais j'ai conçu et bâti les systèmes qui reposent directement sur les données personnelles de millions de gens. Des agences de santé partout en Amérique du Nord, toutes en train de protéger des renseignements sur des patients à peu près aussi privés que ça se peut. Des institutions financières, où un seul système mal configuré peut devenir un vrai problème pour l'argent de quelqu'un. Des universités, des collèges, des corps policiers, des municipalités, du pétrole et gaz. J'ai touché à la PKI derrière la plupart des industries que vous pourriez nommer.

Je ne peux pas vous dire lesquelles — les ententes de confidentialité sont plus longues que cet article — mais il y a de bonnes chances que j'aie aidé à sécuriser quelque chose qui touche votre vie à moins de six poignées de main.

J'aimerais vous dire que tous ces clients ont pris les recommandations au sérieux et compris ce qui était en jeu. La vérité, c'est que la plupart ne savent pas vraiment ce que leur PKI fait pour eux, et encore moins comment une mauvaise conception se transforme en mauvaise journée. Et ces défaillances ne sont pas petites quand elles arrivent. Une autorité de certification que personne n'avait prévu de renouveler. Une racine qui expire tranquillement et fait tomber l'authentification de tout un réseau à 2 h du matin — pendant que les gens qui ont réellement besoin de se connecter pour faire leur travail restent bloqués dehors. Ce n'est pas une hypothèse que j'ai lue quelque part. C'est le genre de chose qu'on m'appelle pour nettoyer.

Ce qui m'amène à la partie qui m'est restée après douze ans de ce métier.

Il y a des entreprises que j'évite maintenant. Pas à cause de quoi que ce soit qu'elles admettraient publiquement — leurs sites web ont tous le même paragraphe rassurant sur le sérieux avec lequel elles prennent votre vie privée — mais parce que j'étais dans la pièce. J'ai vu la « tolérance au risque » de près. J'ai vu une organisation regarder un problème connu et réparable, puis décider que c'était trop dérangeant, trop cher, ou que « ça ne les affecterait pas de toute façon ». Célèbres dernières paroles. Après avoir entendu ça quelques fois, de l'intérieur, on commence à tenir une liste privée. Ces entreprises-là, je ne leur confierai pas mon identité, mon argent ou mes renseignements si je peux l'éviter — et je sais exactement pourquoi.

Voici la partie inconfortable pour vous autres : vous ne pouvez pas faire cette liste, parce que vous n'étiez pas dans la pièce. Le beau site web ne vous dit rien. Et quand ça tourne mal, ce n'est habituellement pas l'entreprise qui paie le vrai prix. Les lois sur la divulgation ont beaucoup évolué, mais elles s'appliquent de façon inégale, et la facture retombe sur le client ou le citoyen. Sur nous.

Alors non, je ne pense pas que la plupart des gens savent vraiment si les entreprises auxquelles ils font confiance protègent leurs données. J'en ai vu trop qui ne le faisaient pas. J'ai juste l'avantage injuste de savoir lesquelles.