Sécurité des systèmes d'information

Il est important de prendre en compte les actifs ayant de la valeur en définissant un périmètre du système de management du système d’information. Il peut être orienté sur l’ensemble de l’entreprise, sur un site précis, sur un service en fonction de la stratégie de l’entreprise. Le capital intellectuel des entreprises intègre des informations sensibles, ce patrimoine informationnel doit être protégé. L’entreprise doit donc mettre en place une politique de sécurité des systèmes d’information, de sécurité des données, et des mécanismes d’identification. De plus, il faut définir une politique du SMSI, qui est l’engagement de l’entreprise sur un certain nombre de points en matière de sécurité. Ces deux points forment la pierre angulaire du SMSI, dans le but d’établir la norme ISO/CEI 27001 et ainsi d’apporter la confiance aux parties prenantes.

Tenter de sécuriser un système d'information revient à essayer de se protéger contre les menaces intentionnelles[2] et d'une manière plus générale contre tous les risques pouvant avoir une influence sur la sécurité de celui-ci ou des informations qu'il traite.

Différentes méthodes d'analyse des risques sur le système d'information existent. Voici les méthodes d’appréciation des risques les plus courantes :

En France, la première méthode développée a été Marion. Aujourd’hui, elle a été remplacée, même si certaines entreprises ont conservé ce modèle initial, par la méthode Méhari (Méthode harmonisée d'analyse des risques) développée par le CLUSIF, et par la méthode EBIOS (Expression des besoins et identification des objectifs de sécurité) développée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI).

En Angleterre, Cramm est une méthode d'analyse des risques développée par l'organisation du gouvernement britannique ACTC (Agence centrale de communication et des télécommunications). C’est la méthode d'analyse des risques préférée par le gouvernement britannique, mais elle est également utilisée par beaucoup d’autre pays.

Les États-Unis utilisent OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation), développée par l'Université de Carnegie Mellon.

À l'international, on utilise ISO/CEI 27005, qui est une norme internationale répondant point par point aux exigences de la certification ISO/CEI 27001. C’est la norme la plus récente, de plus elle est facilement applicable car pragmatique.

Même si le but de ces méthodes est identique, les termes et les expressions utilisés peuvent varier. Celles utilisées ci-dessus sont globalement inspirés de la méthode Feros.

Paradoxalement, dans les entreprises, la définition d'indicateurs « sécurité du SI » mesurables, pertinents et permettant de définir ensuite des objectifs dans le temps raisonnables à atteindre, s'avère délicate. Pour mesurer la performance on peut désigner comme indicateurs les états d'installation d'outils ou de procédures, mais les indicateurs de résultats sont plus complexes à définir et à apprécier, par exemple ceux concernant les « alertes virales »^[évasif].

Cela consiste à faire une liste de tous les éléments importants en matière d’information au sein du périmètre SMSI. Il existe différent types d'actifs :

1. matériel
2. physique
3. logiciel
4. humain
5. documents
6. immatériels

Pour l’identification des actifs, trois problèmes se posent :

1. Le niveau de granularité : plus la notion de granularité est élevée plus la notion d’actif est large.
2. Lister le plus important : le but n’est pas de faire une liste exhaustive d’actifs mais de recenser les plus importants d’entre eux.
3. Ne pas confondre les actifs avec les actifs d’information : un actif est un élément qui possède de la valeur pour l’entreprise, alors qu'un actif d’information est ce qui possède de l’importance en matière d’information.

Il est aujourd'hui indispensable de disposer de plans de sécurisation de l'activité pour en assurer la continuité et la reprise si un sinistre survient (Plan de reprise d'activité). Ces plans tentent de minimiser les pertes de données et d’accroître la réactivité en cas de sinistre majeur. Un plan de continuité d'activité efficace est quasi-transparent pour les utilisateurs, et garantit l'intégrité des données sans aucune perte d'information.

C’est la personne responsable d’un bien qui en répond. Il s’agit en général de celle qui connaît le mieux la valeur et les conséquences de disponibilité, d’intégrité et de confidentialité de l’actif. Dans une entreprise c’est généralement le responsable de la sécurité des systèmes d’information qui connaît le mieux les actifs de l’information.

Chaque actif recensé présente des vulnérabilités, c’est une propriété intrinsèque du bien qui l’expose à des menaces.

Les vulnérabilités précédemment identifiées exposent les biens à des menaces. La norme ISO/CEI 27001 impose l’identification des menaces pour tous les biens recensés.

Les principales menaces auxquelles un système d’information peut être confronté sont :

1. un utilisateur du système : l'énorme majorité des problèmes liés à la sécurité d'un système d'information a pour origine un utilisateur, généralement insouciant. Il n'a pas le désir de porter atteinte à l'intégrité du système sur lequel il travaille, mais son comportement favorise le danger ;
2. une personne malveillante : une personne parvient à s'introduire sur le système, légitimement ou non, et à accéder ensuite à des données ou à des programmes auxquels elle n'est pas censée avoir accès. Le cas fréquent est de passer par des logiciels utilisés au sein du système, mais mal sécurisés. Le Shoulder surfing est également une faille.
3. un programme malveillant : un logiciel destiné à nuire ou à abuser des ressources du système est installé (par mégarde ou par malveillance) sur le système, ouvrant la porte à des intrusions ou modifiant les données ; des données confidentielles peuvent être collectées à l'insu de l'utilisateur et être réutilisées à des fins malveillantes ;
4. un sinistre (vol, incendie, dégât des eaux) : une mauvaise manipulation ou une malveillance entraînant une perte de matériel et/ou de données.

La norme ISO 27001 oblige l’évaluation de conséquences ; tel que : la perte de confidentialité, de disponibilité ou d’intégrité. Cela revient à donner une note en trois dimensions (confidentialité ; disponibilité et intégrité), selon des critères définis, pour chaque actif.

Quatre types de dommages peuvent affecter le système d'information d'une organisation:

1. Les dommages financiers :
   1. Sous forme de dommages directs, c'est l'action de reconstituer des bases de données qui ont disparu, de reconfigurer un parc de postes informatiques ou de réécrire une application,
   2. Sous la forme de dommages indirects, c'est le dédommagement des victimes d'un piratage, le vol d'un secret de fabrication ou la perte de marchés commerciaux ;
2. La perte de l'image de marque :
   1. Perte directe par la publicité négative faite autour d'une sécurité insuffisante tel que l'hameçonnage,
   2. Perte indirecte par la baisse de confiance du public dans une société, par exemple, les techniques répandues de défacement ;
3. Les dommages réglementaires :
   1. L'indisponibilité d'un systèmes d'informations peut mettre en défaut l'entité devant ses obligations légales et juridiques ;
4. Les dommages écologiques et/ou Sanitaires :
   1. La défaillance d'un système peut provoquer des catastrophes écologiques (ex. : AZF, marées noires, etc.),
   2. La défaillance d'un système peut provoquer des dégâts sanitaires (ex. : les centrales nucléaires, etc.).

Il s’agit de remettre le bien d’information dans son contexte environnemental et donc de prendre en compte les mesures qui sont déjà mises en place (ex. : si un fichier client est déjà chiffré, alors la vraisemblance de voir sa confidentialité compromise est limitée). Il est possible d’évaluer la notion de vraisemblance par une note sur une échelle de 1 à 5.

L’attribution d’une note finale reflétera le niveau de risque réel tout en tenant compte des éléments ci-dessus. La norme ISO 27001 n’impose aucune formule c’est donc à l’implémenteur de la choisir. Il peut s’agir d’une note allant de 0 à 100 ou d’un code couleur.

L’entreprise peut traiter les risques identifiés de 4 façons :

Accepter le risque

solution ponctuelle lorsque la survenance du risque entraîne des répercussions acceptables pour l’entreprise.

Éviter le risque

solution lorsque les conséquences d’une attaque sont jugées trop périlleuses pour l’entreprise.

Transférer le risque

solution quand l’entreprise ne peut pas faire face au risque par ses propres moyens (souscription d’une assurance ou contrat de sous-traitance).

Réduire le risque

solution pour rendre le risque acceptable.

Enfin, il ne faut pas oublier de prendre en compte les « Risques résiduels » qui persistent après la mise en place de l’ensemble des mesures de sécurité. Il faut prendre des mesures complémentaires de protection pour rendre ces risques acceptables.

L'implémentation de la norme ISO2/CEI 27001 se déroule généralement en cinq phases complémentaires:

• Phase 1 Réunion de lancement : cette réunion sert à cadrer la prestation et à présenter la démarche des consultants.
• Phase 2 Entretiens : rencontres avec les différents responsables des services clé de l'entreprise dans le but de faire le point sur leur niveau de conformité avec la norme ISO/CEI 27001.
• Phase 3 Prise de connaissance de la documentation : documents de la politique générale (politique de sécurité, charte utilisateurs, etc.), documents de politique spécifiques (mots de passe, accès distant et procédure).
• Phase 4 Rédaction du rapport : rapport tenant compte de tous les éléments obtenus lors des phases précédentes.
• Phase 5 Présentation des résultats : réunion au cours de laquelle les points suivants sont traités ; rappel synthétique des points clé, présentation du plan de mise en conformité ISO/CEI 27001 et discussion.

L’étape de planification identifie les mesures à prendre dans l’organisation, mais ne permet pas de les mettre en place concrètement. Il faut les organiser, sélectionner les moyens nécessaires et définir les responsabilités en établissant un plan de traitement des risques. Cette étape relève de la gestion de projet.

De nombreux moyens techniques peuvent être mis en œuvre pour assurer une sécurité du système d'information. Il convient de choisir les moyens nécessaires, suffisants, et justes. Voici une liste non exhaustive de moyens techniques pouvant répondre à certains besoins en matière de sécurité du système d'information :

1. Contrôle des accès au système d'information ;
2. Surveillance du réseau : sniffer, système de détection d'intrusion ;
3. Sécurité applicative : séparation des privilèges, audit de code, rétro-ingénierie ;
4. Emploi de technologies ad hoc : pare-feu, UTM, anti-logiciels malveillants (antivirus, anti-spam, anti-logiciel espion) ;
5. Cryptographie : authentification forte, infrastructure à clés publiques, chiffrement.
6. Plan de continuité d'activité : sauvegarde et restauration de données, Plan de Reprise d'activité.

Une des nouveautés de la norme ISO/CEI 27001 est d’exiger une vérification régulière de la sécurité. Le responsable doit choisir des indicateurs qui permettent de mesurer sa fiabilité. Ils peuvent être de deux sortes :

1. indicateurs de performance : ils mesurent l’efficacité des mesures ;
2. indicateurs de conformité : ils mesurent l’adéquation des mesures aux normes.

L’information du personnel est primordiale dans la réussite d’un projet de sécurisation du SI, pour qu’il en comprenne l’utilité et sache l’appliquer. Une bonne pratique est donc de sensibiliser l’ensemble du personnel aux enjeux de la sécurité informatique pour leur organisation, de manière généraliste. Cette explication doit rappeler les engagements de l’organisation, et donner des exemples très pratiques et des procédures internes pour éviter les incidents les plus habituels. Les employés directement concernés par la sécurité informatique doivent être formés pour qu’ils sachent utiliser correctement les outils.

Une formation incluant l’inoculation psychologique contre les techniques d’ingénierie sociale, permet aux gens de résister aux tentations de s’écarter des procédures et des principes de sécurité.

La norme ISO/CEI 27001 n’impose pas seulement de mettre en place un système de sécurité, mais aussi de prouver son efficacité. Les entreprises doivent donc gérer correctement leurs ressources et développer la traçabilité.

Cette phase repose sur la théorie de time-based security. Le principe est de prendre en compte le délai nécessaire pour qu’une attaque contre la sécurité réussisse. Pendant ce laps de temps, l’entreprise doit être capable de détecter la menace et de la contrer, avec une marge de sécurité supplémentaire.

Il doit y avoir des moyens de contrôle pour surveiller l’efficacité du SMSI ainsi que sa conformité.

Il existe des outils pour vérifier cela comme :

Les audits internes : Audit planifié longtemps en avance et faisant appel à des auditeurs.

Le contrôle interne : Contrôle en permanence au sein de l’organisation, pour vérifier que chacun applique les procédures au quotidien.

Les réexamens : Prendre du recul pour mettre en adéquation le SMSI et son environnement.

On peut s’aider de :

• COBIT : permet l’analyse des risques et le contrôle des investissements
• ITIL : l’objectif est de favoriser l’efficacité des affaires dans l’utilisation du SI dans le but de satisfaire les demandes d’organisation pour réduire les coûts tout en maintenant ou améliorant les services informatiques
• ISO/CEI 27007 : lignes directrices pour aider les auditeurs internes ou externes à contrôler si le SMSI est correctement développé.

Après la mise en lumière de dysfonctionnements grâce à la phase Check, il est important de les analyser et de mettre en place des :

• Actions correctives : Il faut agir sur le dysfonctionnement et en supprimer les effets.
• Actions préventives : On agit avant que le dysfonctionnement ne se produise.
• Actions d'amélioration : On améliore les performances d’un processus.

• Daniel Guinier, Sécurité et qualité des systèmes d'information : Approche systémique, Masson, 1992, 298 p. (ISBN 978-2-225-82686-3)
• Laurent Bloch et Christophe Wolfhugel, Sécurité informatique : Principes et méthode, Paris, Eyrolles, 2011, 325 p. (ISBN 978-2-212-13233-5, lire en ligne)
• Fernandez-Toro, Management de la sécurité de l'information. Implémentation ISO 27001 et audit de certification, Eyrolles, 2012
• Bernard Foray, La fonction RSSI (Responsable Sécurité Système d'Information) : Guide des pratiques et retours d'expérience - 2e édition, Dunod, 2011
• Laurent Bloch et Christophe Wolfhugel, Sécurité informatique : Principes et méthodes à l'usage des DSI, RSSI et administrateurs, Eyrolles, 2009, 292 p. (ISBN 978-2-212-12525-2, lire en ligne)

• Portail du management
• Portail de la sécurité de l’information
• Portail de la sécurité informatique