OMM01
Disponibilité
La disponibilité d’une ressource est relative à la période de temps pendant laquelle le service qu’elle offre est opérationnel. Le volume potentiel de travail susceptible d’être pris en charge durant la période de disponibilité d’un service détermine la capacité d’une ressource à être utilisée. Il ne suffit pas qu’une ressource soit disponible, elle doit pouvoir être utilisable avec des temps de réponse acceptables. Sa disponibilité est indissociable de sa capacité à être accessible par l’ensemble des ayants droit.
La disponibilité des services, systèmes et données est obtenue par un dimensionnement approprié et une certaine redondance ainsi que par une gestion opérationnelle et une maintenance efficaces des ressources. Un service nominal doit être assuré avec le minimum d’interruption, il doit respecter les clauses de l’engagement de service établies sur des indicateurs dédiés à la mesure de la continuité de service. Des pertes ou destruction de données, donc une indisponibilité de celles-ci, sont possible si les procédures de sauvegarde et de restitution ainsi que les supports de mémorisation associés ne sont pas gérés correctement ou il y a malveillance. Une politique de sauvegarde ainsi qu’un arbitrage entre le coût de la sauvegarde et celui du risque d’indisponibilité, supportable par l’entreprise doivent être préalablement établis pour que la mise en œuvre des mesures technique soit efficient.
Intégrité
Le critère d’intégrité des ressources physiques et logiques (équipement, données, traitement, transaction, services) est relatif au fait qu’elles sont demeurées intactes, qu’elles n’ont pas été détruites ou modifiées à l’insu de leurs propriétaires tant de manière intentionnelle, qu’accidentelle. Préserver l’intégrité des ressources et s’assurer que les ressources sont intègres sont l’objet de mesures de sécurité. Ainsi, se prémunir contre l’altération des données et avoir la certitude qu’elles n’ont pas été modifiées collabore à la qualité des prises de décision basées sur celles-ci
Confidentialité
La notion de confidentialité est liée au maintien du secret, elle est réalisée par la protection des données contre une divulgation non autorisée. Il existe deux types d’action complémentaires permettant d’assurer la confidentialité des données :
– Limiter et contrôler leurs accès afin que seules les habilitées à les lire ou à les modifier puissent le faire ;
– Les rendre inintelligible en les chiffrant de telle sorte que les personnes qui ne sont pas autorisées à les déchiffrer ne puissent les utiliser.
Authentification :
L’authentification permet de vérifier l’identité d’une entité afin de s’assurer de son information spécifique qu’elle est censée être seule à détenir telle que, par exemple, un mot de passe ou une empreinte biométrique.
Non-répudiation :
La non-répudiation est le fait de ne pouvoir nier ou rejeter qu’un événement a eu lieu.
À ce critère de sécurité peuvent être associées les notions d’imputabilité, de traçabilité ou encore parfois d’auditabilité.
Domaines d’application
Toutes les sphères d’activité de l’informatique et des réseaux de télécommunication sont concernées par la sécurité informatique. En fonction de son domaine d’application, celle-ci peut se décliner en :
Sécurité matérielle, physique et environnementale :
La sécurité matérielle, physique et environnementale concerne tous les aspects liés à la sécurité des composantes, équipements et systèmes de l’environnement dans lequel ils se situent. Sans vouloir être exhaustif, nous retiendrons que la sécurité physique repose essentiellement sur :
– La fiabilité des matériaux (éléments matériels constitutifs des systèmes) et usage d’équipement qui possèdent un bon degré de sûreté de fonctionnement, de fiabilité et de robustesse ;
– Protection des sources énergétique et de la climatisation (alimentation électrique, refroidissement, etc.) ;
– La redondance physique des infrastructures et des sources énergétiques ;
– Le plan de maintenance préventive.
Sécurité logique, sécurité applicative et sécurité de l’information :
La sécurité logique fait référence à la réalisation de mécanismes de sécurité par logiciel contribuant au bon fonctionnement des programmes, des services offerts et à la protection des données. Elle s’appuie généralement sur :
Sécurité des réseaux de télécommunication
La sécurité des télécommunications consiste à offrir à l’utilisateur final et aux applications communicantes, une connectivité fiable de « bout en bout ». Cela passe par la réalisation d’une infrastructure réseau sécurisée au niveau des accès au réseau et du transport de l’information (sécurité de la gestion des noms et des adresses, sécurité du routage, sécurité des transmissions à proprement parler). Cela s’appuie sur des mesures architecturales adaptées, l’usage de plate-forme matérielles et logicielles sécurisées et une gestion de réseau de qualité.
Cybersécurité
L’objet de la cybersécurité est de maîtriser les risques liés à l’usage du numérique et du cyberspace. Cela concerne toutes les infrastructures, tous les systèmes d’information, services et données ainsi que tous les acteurs qui dépendent du numérique. Désormais, toutes les activités de la société intègrent un élément de traitement informatisé dont il faut assurer le bon fonctionnement, la cohérence, la sûreté de fonctionnement, la fiabilité, la sécurité et la résilience.
Politique de sécurité
L’information s’impose comme un capital des plus précieux pour l’entreprise. Le système d’information, constituer des moyens informatiques, est essentiel à l’activité de l’entreprise. L’utilisation inappropriée du SI, ou son mal fonctionnement peuvent menacer l’existence de l’entreprise. En analysant et définissant les risques, l’on peut construire une politique de sécurité du SI, définissant le cadre d’utilisation des moyens informatiques. La politique de sécurité informatique fixe les principes visant à garantir la protection des ressources informatiques et de télécommunications en tenant compte des intérêts de l’entreprise et de la protection des utilisateurs. Les ressources informatiques et de télécommunications doivent être protégées afin de garantir confidentialité, intégrité et disponibilité des informations qu’elles traitent, dans le respect de la législation en vigueur.
L’entreprise doit se doter d’une organisation et d’une politique de sécurité du système d’information. Cette politique doit ensuite se décliner en un plan d’actions à plusieurs volets : mesure organisationnelles, mesure technique, mesure sociale liées aux ressources humaines, aspects juridiques. L’organisation quotidienne de la sécurité doit poursuivre les efforts réalisés en amont en dotant l’entreprise d’outils de mesure et de pilotage des actions de sécurité.
Contrôle de la sécurité
Elle regroupe l’ensemble des actions permettant de mesurer le niveau de sécurité de tout ou une partie du système d’information : identifications objective et exhaustive des menaces, évaluation de l’efficacité des mesures de protection, suivi des procédures correctrices (mise en conformité). Elle répond ainsi à l’objectif de « contrôle ».
Administration de la sécurité
Cette fonction englobe des actions qui visent la mise en œuvre, la surveillance et l’application des règles de sécurité aux systèmes d’information. Elle couvre les aspects techniques des objectifs de prévention, de défense et de détection. Ainsi les actions de configuration permettent de maintenir les composantes du système d’information à un niveau optimal de sécurité. Les actions de supervision permettent quant à elles de détecter tout évènement anormal identifier et d’initier les actions correctrices.
Pilotage de la sécurité
Cette fonction couvre tous les objectifs de sécurité et joue un rôle central dans le dispositif de gestion de la sécurité. Elle représente la « tour de contrôle » en termes de coordination et d’homogénéité des actions de sécurité au quotidien, de manière proactive et réactive ‘veille de sécurité, solutions réactives). Elle permet de suivre le niveau de sécurité interne et externe (reporting, tableaux de bords) et d’apporter des réponses efficaces aux nouvelles menaces (gestion de crises).
Gestion de la sécurité du SI
Pour maîtriser la sécurité de façon permanente, plusieurs objectifs doivent être remplis. Détection : surveiller pour faire face aux nouvelles menaces il s’agit d’analyser les mesures capables de limiter la probabilité qu’un incident de sécurité ne se produise. Une veille sur les points de vulnérabilité devient indispensable pour identifier, analyser les nouvelles menaces puis décider des actions correctrices à effectuer.
Détection : surveiller l’état de santé du SI
La détection d’une attaque est une information cruciale. En effet, ignorer une attaque interdit tout déclenchement rapide des mesures de défense destinées à limiter les dégâts. La sophistication des techniques d’attaques, exige de disposer des moyens permettant de signaler rapidement toute anomalie du système d’information et de stopper ainsi toute tentative d’intrusion.
Réaction : définir un plan de secours
Cet objectif consiste à définir les actions à suivre lorsqu’un incident survient, afin de minimiser son impact. L’élaboration d’un PCA permet de garantir la survie du SI. Ses caractéristiques premières sont rapidité et cohérence des actions. La rapidité est essentielle pour limiter les impacts et répondre face à la vitesse de propagation d’une attaque. La cohérence permet d’intervenir de manière complète homogène sur l’ensemble du périmètre du système d’information. Il convient cependant de rappeler que le niveau de sécurité du système d’information demeure toujours équivalent à celui du maillon le plus faible. Le PCA doit donc garantir une coordination générale des actions telle que la mobilisation de la structure de gestion de crise ou l’activation des procédures d’escalade pour répondre efficacement aux incidents.
Contrôle : adapter en permanence les processus et les moyens de sécurité
Au cours du temps, risque et besoins évoluent. Il convient donc de contrôler régulièrement la pertinence de la politique de sécurité et de surveiller en permanence les processus et les systèmes de sécurité. Une démarche de pilotage des actions de sécurisation, contrôlée par des indicateurs quantitatifs, permet sa mise en œuvre. Ces indicateurs permettent de fournir à la Leur incrémentation dans des tableaux de bord aide à apprécier l’efficacité des processus de sécurité et à discerner des vecteurs d’ajustement. Ils doivent refléter l’activité liée aux enjeux Business.
La gestion de la sécurité constitue une solution efficace pour atteindre ces objectifs. Cette organisation est nécessaire, et on perçoit aisément les limites d’une démarche « artisanale » dans le domaine. Chaque entreprise doit s’organiser et se doter progressivement d’un centre de pilotage pérenne. Ce travail d’organisation doit permettre de maîtriser les coûts générés par la gestion de la sécurité, en optimisant les ressources et les procédures de gestion de risques.
Télécharger le document complet
