Processus d'identification et de protection des informations qui, si elles parvenaient à un adversaire, lui permettraient de déduire des intentions, des capacités ou des vulnérabilités.
OPSEC est un terme d'origine militaire américaine formalisé sous le nom de programme Purple Dragon lors de la guerre du Vietnam, au milieu des années 1960, quand les commandements américains ont réalisé que le Viet Cong semblait anticiper systématiquement leurs opérations, non par espionnage classique, mais en recoupant des informations fragmentaires accessibles de sources ouvertes. Le processus OPSEC en cinq étapes, identification des informations critiques, analyse des menaces, analyse des vulnérabilités, évaluation des risques et application des contre-mesures, a été adopté par la directive présidentielle NSDD-298 en 1988 et s'est progressivement diffusé dans le monde civil de la sécurité informatique. Dans ce contexte, l'OPSEC désigne l'ensemble des pratiques visant à ne pas révéler d'informations exploitables à un adversaire par inadvertance : ne pas annoncer les dates d'une intervention de réponse à incident sur les réseaux sociaux, ne pas publier de captures d'écran révélant des versions logicielles ou des noms d'utilisateurs internes, ou encore ne pas laisser de métadonnées révélatrices dans des documents publiés. En assurance cyber, l'OPSEC d'une organisation est évalué lors de la souscription : la communication externe sur les technologies utilisées, les postes vacants ou les incidents passés constitue une surface d'information exploitable par un attaquant, et les questionnaires de souscription avancés intègrent désormais des questions sur les pratiques de communication de l'assuré. Ironiquement, des attaquants mal formés compromettent souvent eux-mêmes leurs opérations par de mauvaises pratiques OPSEC, réutilisation d'adresses email, utilisation de services commerciaux tracés, ce qui alimente le travail des équipes de threat intelligence.
Un analyste de threat intelligence identifie le développeur probable d'un rançongiciel en recoupant son pseudonyme de forum avec une adresse Gmail utilisée lors d'une inscription à une conférence de développeurs en 2017, une adresse Bitcoin dont les transactions remontent à un échange KYC, et une offre d'emploi LinkedIn pour un poste correspondant à ses compétences. La mauvaise OPSEC de l'attaquant permet une attribution que des années d'analyse technique n'avaient pas fournie.
OPSEC, sécurité opérationnelle, operational security, compartimentage de l'information