formations/securite_entreprise/presentation/securite_informatique_intro.md

10 KiB
Raw Blame History

La sécurité informatique en entreprise

Tour d'horizon

William Petit - S.C.O.P. Cadoles - 2017


Qu'est ce que la sécurité ?

Menaces, vulnérabilités, contre-mesures et risque


Menace

Cause potentielle d'un incident, pouvant causer des dommages à un système ou une organisation.

-- Définition (traduite) de "menace" dans le standard ISO/IEC 27000

Source: ISO/IEC 27000 - Wikipédia


Vulnérabilité

Faiblesse d'un "bien" ou d'un "contrôle" pouvant être exploité par une ou plusieurs "menaces".

-- Définition (traduite) de "vulnérabilité" dans le standard ISO/IEC 27000

Source: ISO/IEC 27000 - Wikipédia


Contre-mesure

Disposition prise pour s'opposer à une action, à un effet, à un événement, ou pour les prévenir.

-- Définition de "contre-mesure"

Source: Wiktionnaire


Risque

Possibilité dun événement négatif, péril possible, hasard dangereux.

-- Définition de "risque"

Source: Wiktionnaire

Formule empirique

Risque= \frac {\mathit{Vuln	\acute{e}rabilit\acute{e}} \times \mathit{Menace}} {\mathit{ContreMesure}}

Responsabilité légale

Responsabilité et peines pour l'attaquant

Responsabilité et peines pour l'entreprise


Responsabilité et peines pour l'attaquant

Le fait d'accéder ou de se maintenir, frauduleusement, dans tout ou partie d'un système de traitement automatisé de données est puni de deux ans d'emprisonnement et de 60 000 € d'amende. [...] Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l'encontre d'un système de traitement automatisé de données à caractère personnel mis en œuvre par l'Etat, la peine est portée à cinq ans d'emprisonnement et à 150 000 € d'amende.

-- Extrait de l'article 323-1 du Code Pénal

Source: Légifrance


Responsabilité et peines pour l'entreprise

Qu'est ce qu'une "donnée personnelle" ?

Toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée») ; est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu'un nom, un numéro d'identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale

-- Extrait de l'article 4 du RGPD

Source: CNIL


Responsabilité et peines pour l'entreprise

Réponsabilité au niveau national

Le responsable du traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.

-- Article 34 de la loi n° 78-17 du 6 janvier 1978

Source: Légifrance


Réponsabilité au niveau européen

[..] le responsable du traitement doit mettre en oeuvre les mesures techniques et d'organisation appropriées pour **protéger les données à caractère personnel contre la destruction accidentelle ou illicite, la perte accidentelle, l'altération, la diffusion ou l'accès non autorisés, notamment lorsque le traitement comporte des transmissions de données dans un réseau, ainsi que contre toute autre forme de traitement illicite.

-- Extrait de l'article 17 de la directive européenne 95/46/CE du 24 octobre 1995

Source: EURLex


Peines au niveau national

Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites à l'article 34 de la loi n° 78-17 du 6 janvier 1978 précitée est puni de cinq ans d'emprisonnement et de 300 000 euros d'amende.

-- Article 226-17 du Code Pénal

Source: Légifrance


Objectifs de la sécurité informatique

Maintenir l'intégrité des données

S'assurer du niveaux d'authentification et d'autorisation

Maintenir la disponibilité des services

Assurer la traçabilité des échanges

Éviter la fuite d'informations


Maintenir l'intégrité des données

  • Mitiger les risques de corruption de données (volontaire ou involontaire)
  • Mitiger les risques de perte de données

S'assurer du niveaux d'authentification et d'autorisation

  • S'assurer que les acteurs (humains ou non) de l'infrastructure sont correctement identifiés
  • S'assurer que les acteurs ne peuvent effectuer que les actions que leur niveau d'accréditation permet
  • S'assurer que chaque acteur n'a pas un niveau d'accréditation supérieur à ce que requiert ses missions

Maintenir la disponibilité des services

  • S'assurer que les services de l'infrastructure sont accessibles aux acteurs autorisés
  • S'assurer que la qualité de service correspond aux attentes "métier"

Assurer la traçabilité des échanges

  • S'assurer que pour toute opération sur une ressource "sensible", on est capable d'identifier l'acteur à l'origine de celle ci
  • S'assurer qu'on est capable d'identifier les "chaines d'opérations" d'un acteur donné

Éviter la fuite d'informations

  • Protéger les ressources sensibles des accès non autorisés
  • S'assurer que chaque acteur n'a accès qu'aux informations nécessaires à ses missions

Une politique de sécurité, plusieurs niveaux d'application

Identifier les différents contextes et leurs spécificités

Nécessité de la démarche globale et intégration du facteur humain


Identifier les différents contextes et leurs spécificités

Le lieu de travail

Le poste de travail

L'intranet

L'extranet

L'utilisateur


Le lieu de travail

  • Y a-t-il un inventaire des ressources techniques/matérielles avec leur localisation ?
  • Quelle est la politique de ségrégation des ressources techniques vis à vis de leur niveau de criticité pour l'entreprise ?
  • Quels personnels ont potentiellement accès aux ressources matérielles ? Quels mécanismes sont utilisés pour filtrer les accès ?

Le poste de travail

  • Quelle est la politique d'authentification des utilisateurs sur leur poste de travail ?
  • Quelles libertés les utilisateurs ont ils quant à l'installation/configuration de leur poste de travail ?
  • Quelle est la politique de supervision des postes de travail ?
  • Quelles données sont sauvegardées ? Comment sont elles sauvegardées ?

L'intranet

  • Quelle est la politique d'authentification des utilisateurs sur l'intranet ?
  • Quelle est la politique d'accès des utilisateurs itinérants ?
  • Quelles données sont sauvegardées ? Comment sont elles sauvegardées ?

L'extranet

  • Quelle est la politique d'authentification des utilisateurs sur l'intranet ?
  • Quelles sont les données d'utilisateurs externes stockés dans le système d'information ?
  • Quels sont les échanges entre l'extranet et l'intranet ?
  • Quelles données sont sauvegardées ? Comment sont elles sauvegardées ?

L'utilisateur

  • L'utilisateur est il sensibilisé aux problèmatiques de sécurité dans l'entreprise ?

Nécessité de la démarche globale et l'intégration du facteur humain

  • Les chartes d'utilisation
  • La formation continue des salariés
    • L'approche "dépénalisante" et l'identification des référents
    • Actions de sensibilisation
    • Bulettins d'information
  • Un processus continue avec une réévaluation constante

La démarche d'audit

Les différents types d'audit

Déroulement d'un audit

Source : ANSSI - PASSI 2.1 - Référentiel d'exigences pour les auditeurs


Les différents types d'audit

Audit darchitecture

Audit de configuration

Audit de code source

Tests dintrusion

Audit organisationnel et physique

Audit de systèmes industriels


Déroulement d'un audit

Établissement dune convention

Préparation et déclenchement de la prestation

Exécution de la prestation

Restitution

Élaboration du rapport daudit

Clôture de la prestation


Travaux pratiques

Tests d'intrusion sur les applications Web


Licence

CC BY-NC-SA 3.0 FR

Creative Commons - Attribution - Pas dUtilisation Commerciale - Partage dans les Mêmes Conditions 3.0 France