1
Sécurité des Systèmes d’Information
(SSI)
Politique de Sécurité
Dr. C. M. BENTAOUZA M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
[email protected]
https://sites.google.com/site/coursbentaouza
2
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Plan de sécurité
• les cinq phases suivantes sont importantes en
matière de sécurité pour réduire les risques :
▫ Inspection
▫ Protection
▫ Détection
▫ Réaction
▫ Réflexion
3
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Inspection
• L'inspection permet de faire :
• L'identification des besoins (inventaire des ressources)
▫ Personnes, fonctions, matériels, réseau, communications,
données et etc.
• L'analyse des risques
▫ Evaluation de la menace (faible, moyenne, haute)
▫ Analyse des pertes (analyse de l'impact commercial)
▫ Identification des vulnérabilités
• La définition de la politique de sécurité
▫ Organisation de la protection
▫ Sauvegardes, etc.
▫ Nb
Charte de sécurité : ensemble de lois (règlement)
Politique de sécurité : manière de diriger (stratégie)
4
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Protection
• La protection permet de protéger l’information
définies dans la politique de sécurité avec :
▫ Sécurité physique
▫ Contrôle d’accès
▫ Chiffrement des données
▫ Pare-feu, antivirus
▫ Sauvegardes
▫ NB:
audit de sécurité: consiste à s’appuyer sur une société
spécialisée en sécurité afin de valider la politique de
sécurité définies.
5
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Détection
• La détection doit permettre de détecter les :
▫ Incidents
Prévoir des détecteurs de fumée
▫ Intrusions
Analyse des traces
Analyse du trafic
Analyse des événements
▫ NB:
IDS (Intrusion Detection Systems) en générant des alertes
6
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Réaction
• La réaction consiste à la mise en place d’un plan de secours
d’urgence :
• Surveiller et avertir : dès qu’un incident est détecté un
responsable en est averti.
• Réparer et signaler : tenter de remédier à l’incident le
plus vite possible, signaler au responsable.
• Poursuivre en justice : Rassembler les preuves et alerter
le plus vite possible le service juridique de l’entreprise.
▫ Exemple :
Extinction du disjoncteur (si c’est physique)
Obtention de l'adresse du pirate
Extinction de l'alimentation de la machine
Débranchement de la machine du réseau
Restauration
7
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Réflexion
• La réflexion sont les procédures à suivre après un
incident
▫ Documentation de l’incident
▫ Évaluation de l’incident
▫ Relations publiques
▫ Suites judiciaires
▫ NB:
Répétition du plan de sinistre pour sensibiliser les
responsables de cet acte.
8
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Cybercriminalité
• La cybercriminalité, c'est l'ensemble des infractions
pénales commises sur les réseaux de
télécommunication (Larousse).
NB :
▫ Infractions liés aux :
Technologies (virus, ver, …)
Contenus (racisme, …)
▫ Infractions facilitées par les :
Réseaux (copies illicites de logiciels ou d’œuvres
audiovisuelles …)
• Il n'existe à l'heure actuelle aucune législation
véritablement internationale concernant la criminalité
informatique.
9
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
• La cybercriminalité recouvre deux types d’infractions
pénales :
• les infractions spécifiques aux technologies de l’information
et de la communication (TIC) dans lesquelles l’informatique
est l’objet même du délit.
les infractions aux cartes bancaires.
• les infractions liée ou facilitée par les TIC et pour lesquelles
l'informatique n’est qu’un moyen.
les atteintes aux personnes.
les escroqueries en ligne.
la violation de propriété intellectuelle.
10
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Cybercriminalité
• Actes contrevenants aux traités internationaux ou
aux lois nationales, utilisant les réseaux ou les
systèmes d’information comme moyens de
réalisation d’un délit ou d’un crime, ou les ayant
pour cible.
11
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Cybersécurité
• C’est un état recherché pour un système d’information lui
permettant de résister à des événements issus du
cyberespace susceptibles de compromettre la disponibilité,
l’intégrité ou la confidentialité des données stockées,
traitées ou transmises et des services connexes que ces
systèmes offrent ou qu’ils rendent accessibles.
• La cybersécurité fait appel à des techniques de sécurité des
systèmes d’information et s’appuie sur la lutte contre la
cybercriminalité et sur la mise en place d’une
cyberdéfense.
• NB: ensemble des procédés informatiques visant à
protéger les données transitant par Internet
12
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Autres définitions
• Cyberespace :
Espace de communication constitué par
l’interconnexion mondiale d’équipements de
traitement automatisé de données numériques.
• Cyberdéfense :
Ensemble des mesures techniques et non
techniques permettant à un État de défendre dans
le cyberespace les systèmes d’information jugés
essentiels.
13
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Méthode de sécurité
• Méthode M.A.R.I.O.N
▫ Méthode d'Analyse des Risques Informatiques optimisée par Niveau.
(à partir de 1984)
▫ C’est une méthode d’audit, visant à évaluer le niveau de sécurité
informatique d’une entreprise.
• Méthode MEHARI
▫ Méthode harmonisée d’analyse des risques
▫ C’est une méthode visant à la sécurisation informatique d’une
entreprise ou d’un organisme
ISO 27001
• Méthode EBIOS
▫ Expression des besoins et identification des objectifs de sécurité
▫ Elle permet de comprendre les risques Sécurité des systèmes
d'information et de contribuer à leur traitement.
Compatible avec la norme ISO 17799
14
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Norme de sécurité
• Norme = règle
• ISO Organisation internationale de normalisation
(International Organization for Standardization)
• ISO 17799
▫ Sécurité de l'information 2000
• ISO 27001
▫ Système de gestion de la sécurité de l'information 2005
• ISO 27005
▫ Complément de 27001 2008
15
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
Mieux vaut Prévenir
que Guérir
16
M1 ISI – Sécurité des Systèmes d’Information - SSI - C. M. BENTAOUZA
