Présentation générale

Intervenant : B. Martin

Sécurité informatique 12 séances : 6 cours et 6 TD/TP.

But : comprendre le fonctionnement, les usages d’outils de
sécurité pour :
Bruno Martin • une machine
• un réseau local
Université Côte d’Azur
• l’accès à un réseau externe
M1 Informatique • la vie privée
Avec les notions pour comprendre les outils :
• introduction à la sécurité
• principes de cryptologie

1 / 85 3 / 85

Contenu Vu dans la presse

Introduction

Menaces, risques et attaquants

Protection

Services et mécanismes de sécurité

Critères d’évaluation

Métiers de la sécurité

2 / 85 4 / 85
Vu dans la presse Motivation

• Augmentation des échanges sur Internet :

↭ d’information
↭ commerciaux
• Modification des habitudes de travail :
↭ plus de communications
↭ plus de mobilité
↭ plus de sous-traitants
↭ recours aux clouds
Donc moins de contrôle de l’information

5 / 85 7 / 85

Vu au cinéma Environnement «réseau»

• Hier :
↭ centralisé
↭ échanges papier
↭ pas d’accès distants
• aujourd’hui :
↭ distribué, soit sur plusieurs sites, soit localement
↭ externalisé (cloud de stockage ou de service)
↭ accès distants
↭ plus de partenariat
De + en + de dépendance à l’informatique : SI devient l’épine
dorsale des entreprises ; 98% des ents. avouent une
dépendance modérée ou forte.
Conséquences :
• Augmentation des communications, donc des risques :
↭ fraudes diverses
↭ piratage

6 / 85 8 / 85
 Dépenses cybersécurité Quelques chiffres
Dépenses cybersécurité :

2 à 10$ prix moyen de la vente de numéros de cartes

bancaires selon les pays et les plafonds
5$ location d’1h de botnet pour saturer un site
2399 $ malware Citadel pour intercepter des numéros de
cartes bancaires (et un abonnement mensuel de
125 $)
Source : Cyberedu

Quelques autres chiffres : Gartner et McKinsey.

9 / 85 11 / 85

Coût cybercrime Deux grands types de sécurité

• Sécurité des données : celles contenues au sein d’un

système ; (traité par la crypto et la théorie des codes)
• Sécurité des réseaux : pour les données qui transitent
entre des systèmes, dans un environnement distribué ou
par un réseau.
On peut y ajouter la sécurité des infrastructures, des
applications, du cloud et de l’IoT.

327 milliards d’euros en 2014. 445 milliards de dollars en 2015

(budget de la France 2021 390 milliards e ). (2023 trillion : mille
milliards)

10 / 85 12 / 85
 Panorama des menaces Incidents
Classification par le CLUSIF [http://www.clusif.fr/] basées
sur les déclarations de sinistres des entreprises : 58% erreurs de conceptions logicielle ou procédures
47% perte services essentiels (EDF, comms...)
• accidents naturels : incendie, dégâts des eaux, etc.
46% erreurs utilisation
• perte des services essentiels : coupure courant, réseau,
rupture de stocks 44% vols ou disparitions
• erreurs : tous les stades de l’activité : analyse, conception, 37% pannes internes (indisponibilité système)
réalisation, mise en œuvre, utilisation 36% infection virale
• malveillance : vol, vandalisme, fuite d’informations 8% catastrophes naturelles
Voir le rapport des menaces du CERT-FR et celui d’accenture. dans une moindre mesure : divulgation d’informations, attaques
Menaces les plus importantes en 2021 : increased ransomware logiques, actes d’atteinte à l’image, sabotages, intrusion,
demands, abuse of penetration testing frameworks, commodity fraudes, chantage, arnaque au président.
malware and Dark Web enablement of newcomer challenges to Voir le secure access threat report.
IT and OT networks.

14 / 85 16 / 85

Top 5 des menaces en 2020 Risque de sécurité

Définition (Risque)
La probabilité qu’une menace donnée tire parti des
vulnérabilités d’un actif ou d’un groupe d’actifs et cause dès
• DNS hijacking (→ MiTM) lors du tort à l’organisation.
• Rançongiciels Une équation simple :
• Remote Access Trojan
Risque=Vulnérablité↑Menace [↑Coût]
• Office 365 Phishing
• Menace : ce contre quoi on veut se défendre (DoS,...)
• Digital Extorsion Scams
• Vulnérabilité : faiblesse connue de l’architecture de
sécurité (trop de points d’accès, faible authentification,
vieux logiciel,...)

Tant en interne qu’en externe (voir Cisco Threat Report) • Coût : impact financier
Voir également là.

15 / 85 17 / 85
 Test de vulnérabilité

Connaitre les vulnérabilités permet de déterminer la surface

d’attaque

18 / 85 20 / 85

Coût des incidents Coût d’une cyberattaque

CLUSIF-APSAD (France) : statistiques des erreurs sur 16 ans.

• 800ke : coût moyen d’une violation de sécurité
Pertes en Me ↭ 330 ke pour une entreprise de taille intermédiaire
Origine 1984 1994 2000 ↭ 1,3 Me pour une grande entreprise
Facteur humain 309 280 177 • 9 semaines pour réparer les dégâts
Erreurs 269 426 338
Fraude 335 998 ???
• Préconisation : 5% du budget pour la cybersécurité
• Essayer de chiffrer au mieux l’impact financier de chaque
35% des incidents dus à des fraudes des employés. couple (menace, vulnérabilité) –voir plus loin, coût des
actifs–
Voir la sécurité en quelques chiffres

19 / 85 21 / 85
Méthodes d’estimation du risque Matrice des risques
• Elevé : apporter des
corrections au plus vite
qualitative : utilise une échelle d’attributs qualitatifs pour • Modéré : appliquer des
décrire l’amplitude des conséquences et la proba mesures dans un délai
de l’événement. Facile à comprendre mais raisonnable
subjectif sur le choix de l’échelle. • Faible : accepter le
quantitative : utilise une échelle de valeurs numériques. risque ou le réduire
Dépend de l’exactitude des valeurs et des Exemple : phishing
modèles.
Etude: 14% des cibles donnent leurs identifiants.
probabilité : faible
gravité : élevée
Décision : risque modéré

22 / 85 24 / 85

Classification des risques Gestion des risques

On estime la gravité (ou sévérité) sur une échelle de 3 ou de 5 :

Consiste en la réalisation et le maintien à jour :

1. Nul : risque jugé non significatif
2. Faible : événement génèrant une nuisance • de l’inventaire des actifs
organisationnelle, des pertes financières faibles, peu • de l’expression des besoins de sécurité de ces actifs
gênant pour l’utilisateur • de l’analyse des risques pesant sur les actifs
3. Sensible : événement occasionnant des pertes • du traitement de ces risques pour les réduire
financières significatives, nuisible à l’image, gênante pour Des méthodes (MEHARI, EBIOS, OCTAVE) guident la gestion
l’utilisateur du risque.
4. Critique : événement occasionnant des pertes financières Informer et la sensibiliser les personnels (chartes, lettre de
innacceptables, une perte de clientèle sécurité, RSS RSSI...)
5. Stratégique : événement susceptible d’entraîner un arrêt
immédiat d’une activité de l’entreprise

23 / 85 25 / 85
Processus de traitement des risques Coût des actifs

• coût d’achat
• coût de remplacement
• valeur de la propriété intellectuelle
• coût de maintenance
• coût des responsabilités si des données personnelles sont
compromises
A noter qu’il existe maintenant des assurances contre les
risques de cybersécurité

26 / 85 28 / 85

Actifs/Assets ? Types d’attaques

Regroupent les biens et les RH ; 2 types :

• primordiaux : processus métiers et informations, gérés par le SI

• de support :
• passives :
↭ actifs techniques constituant le SI (logiciels, matériels, ↭ observation non autorisée
moyens de communication) ↭ accès non autorisé à de l’information
↭ actifs relatifs à l’environnement (personnes et bâtiments)
• actives :
Actifs généralement inventoriés : ↭ contrôle non autorisé d’un système
↭ modification de l’information
96% actifs physiques (matériel info/comm) ↭ accès à des services
93% logiciels ↭ refus de service aux utilisateurs légaux
82% informations
57% services info/comm
41% personnels et leurs compétences
20% valeurs immatérielles (réputation, image)

27 / 85 29 / 85
 Types d’attaques & menaces

• l’intrusion : quelle que soit sa provenance (par le réseau,

par un terminal local ou par programme)
• le refus de service : DoS. Conséquence des virus ou des
attaques du type ping of death
• le vol d’informations : il n’est pas nécessaire de pénétrer
un système pour obtenir de l’information. Une attaque
passive peut suffire (exemple du login).
• rançonnage : maliciel conçu pour interdire l’accès à un
système en attendant le paiement d’une rançon.

30 / 85 32 / 85

Attaques physiques Qui écoute ou falsifie ?

Nécessitent un accès physique aux installations. • les gouvernements :
↭ NSA aux états unis cf. Le Monde et, en plus technique
• interception : récupération du signal électromagnétique ↭ les groupes APT (Advanced Persistent Threat)
de l’écran de l’ordinateur, des émissions satellites, radio. ↭ DGSE/DGSI en France

• brouillage : permet de rendre le système inopérant. • le crime organisé

• écoute : sur le réseau conduit l’attaquant à analyser les • les concurrents
informations qui transitent. • les pirates (hackers) ; typologie :
↭ hacker “canal historique” : par prestige, améliorer la
• balayage : on envoie au système un ensemble
qualité des logiciels (espèce en voie de disparition)
d’informations de nature diverse qui suscitent un retour
↭ hacktiviste : passer un message politique (anonymous)
d’information positif. ↭ cyber-délinquant : pour gagner de l’argent (espèce en
• piégeage : l’attaquant tentera d’intruire des fonctions forte croissance, jusqu’aux organisations mafieuses)
cachées, notamment en phase de conception. ↭ cyber terroriste : pour marquer les esprits et déstabiliser
avec des attaques importantes.
↭ cyber-mercenaire : cf. cyber-terroristes mais agissant seul

31 / 85 33 / 85
 Et que fait la police ? Protéger
Plusieurs services spécialisés traitent les intrusions en France :
• Sous direction de lutte contre la cybercriminalité à
compétence nationale • Ses ressources
Coût des ressources (disque, imprimantes, CPU) à ne pas
• service d’enquêtes aux fraudes aux techniques de
laisser à disposition d’un intrus.
l’information sur Paris et la région parisienne
On ne souhaite ni réinstaller le système ni laisser à un
• brigades spécialisées de gendarmerie
intrus la possibilité de pivoter (se servir de vos ressources
• DGSI
comme d’un tremplin).
↭ saisie pour les piratages à connotation d’espionnage
industriel ou scientifique • Sa réputation
↭ enquêtes Cas où un indiscret usurpe votre identité et commet des
↭ de sécurité, traitement du cadre judiciaire actions illicites en votre nom (problèmes légaux . . .)
↭ enquêtes informelles à la demande et en collaboration avec
Même sans usurper votre identité, une faille dans votre site
les victimes, en dehors du dépot de la plainte
↭ objectif : comprendre le plus rapidement possible les
conduit à une méfiance envers votre organisme.
causes et l’orientation vers un autre service compétent.
Voir le site cybermalveillance
35 / 85 38 / 85

Que veut-on protéger ? Comment protéger ?

• les données : informations conservées dans un système
• les ressources : systèmes (généralement les ordinateurs) • pas de protection : ne rien ajouter à l’installation de base

• sa réputation • sécurité par l’obscurité : masquer l’existence du système

en espérant que le serveur d’une PME ou d’une machine
Caractéristiques essentielles de la protection des données :
domestique ne présente pas d’intérêt.
• Confidentialité : l’information doit rester secrète
• sécuriser l’hôte : sécuriser chaque machine séparément.
• Intégrité : l’information ne doit être ni altérée ni détruite Cela marche bien pour des machines individuelles mais ne
par un utilisateur non autorisé passe pas à l’échelle.
• Authentification : déterminer si un individu ou un système
• sécuriser le réseau : contrôler les accès réseau aux
est réellement qui il prétend être. différents hôtes et services proposés. Cette approche
• Disponibilité : l’information doit être disponible aux utilise les coupe-feux, l’authentification et le chiffrement
utilisateurs autorisés. des données
• Preuve : traçabilité de l’information

37 / 85 39 / 85
 Où se porte la protection ? Politique de sécurité

La sécurité informatique recouvre à la fois :

But : informer les utilisateurs, personnels et responsables des
• l’aspect physique : vols inondations incendie, accidents
électriques etc. . . conditions à satisfaire pour protéger les avantages
technologiques et en information.
• l’aspect logique : intrusions, bombes logiques, virus,
sabotage, utilisation frauduleuse des ressources Définit les mécanismes de protection et sert de fil conducteur
Il faut éviter tout ce qui nuit à la disponibilité des systèmes et pour la configuration et l’audit des systèmes d’information.
aux services qui y résident. Elle commence généralement par la phrase :
La sécurité du système est celle de son plus faible maillon Tout ce qui n’est pas autorisé est interdit
Pour plus de détails, se reporter à la RFC2196

40 / 85 42 / 85

Politique de sécurité Politique de sécurité : mise en œuvre

Ensemble de règles qui définissent ce sur quoi porte la sécurité 1. identifier les besoins en terme de sécurité, les risques et
les conséquences
• définir l’importance de l’information enregistrée, sa 2. trouver les règles et procédures à mettre en œuvre pour
protection et l’accessibilité des ressources identifiées. les risques identifiés
• une politique de sécurité par organisme 3. surveiller et détecter les vulnérabilités du SI et effectuer
une veille technique
• elle peut couvrir le secret et/ou l’intégrité
4. définir les actions à entreprendre et qui contacter en cas
• elle est mise en place par une autorité
de détection d’une menace.

41 / 85 43 / 85
 Qui la définit ? Politique de sécurité : contenu
• politique d’achat de matériel de sécurité
Tous les membres d’une même organisation doivent être • une politique de respect des droits des individus (lecture
d’accord avec la politique de sécurité pour qu’elle devienne d’e-mails)
effective. Elle est plus spécifiquement définie par
• définir une politique d’accès et de droits sur les données
• l’administrateur de sécurité du site (RSSI) avec des messages d’alerte adéquats
• le personnel technique • une politique de gestion des comptes qui définit les
• les chefs de service responsabilités et les mesures d’audit
• le groupe d’audit de sécurité • définir une politique d’authentification des utilisateurs
• des représentants des utilisateurs • définir la disponibilité des ressources pour gérer les
pannes et les mises à jour logicielles et matérielles
• le directeur général
• un conseiller juridique le cas échéant • définir une charte de maintenance du système et des
ressources
• tenir à jour un cahier des intrusions et de leur type

44 / 85 46 / 85

Politique de sécurité : caractéristiques Politique de sécurité : flexibilité

Il faut assurer la viabilité de la politique de sécurité. Celle-ci doit

être basée sur un concept d’architecture de la sécurité. Elle
1. implémentable par l’administrateur doit être la plus indépendante possible de matériels et de
2. améliorable par des mesures de sécurité et le cas échéant logiciels spécifiques qui peuvent être facilement remplacés.
par des sanctions
Ne pas oublier qu’il y a des exceptions à chaque règle. Il faut
3. définit les domaines de responsabilité de chacun essayer de tenir à jour une liste des exceptions de sécurité. P.e.
dans quel type de situation un administrateur a le droit
d’explorer le contenu d’un compte utilisateur.

45 / 85 47 / 85
 Exemple : classification des Exemple « léger »
documents sensibles
• toute information possède un niveau de sécurité
• toute personne dispose d’un niveau d’habilitation • traitement de l’information

• niveau de sécurité et le niveau d’habilitation consistent en ↭ faire installer et gérer le réseau par des personnels qualifiés
↭ un degré de confidentialité (non-classifié, confidentiel, ↭ limiter les actions d’administration à du personnel qualifié
secret, secret-défense)
↭ un ensemble de domaines (chiffre, OTAN, nucléaire,. . .) • email et accès Internet/Intranet/Extranet
↭ des relations d’ordre : ↭ utiliser des détecteurs de virus
non-classifié < confidentiel < secret < secret-défense ↭ utiliser des outils de confidentialité
ensemble de domaine A domine ensemble de domaine B ↭ mettre en place un firewall
si B ↓ A. ↭ traiter avec précaution tout mail non sollicité
↭ vérifier from et to de tout email
• la personne X a le droit de lire le document D si ↭ limiter la taille d’expédition des messages
habilitation(X ) ↔ confidentialité(D) et
ensemble de domaine(X )↗ ensemble de domaine(D)
Cette politique ne couvre pas l’intégrité de l’information.
Il faut adapter la politique de sécurité.
48 / 85 50 / 85

Exemple « léger » Modèles de sécurité

• Matériel, périphériques et équipements
Expression formelle (mathématique) de la politique de sécurité
↭ utiliser un onduleur
↭ supprimer les données des vieux équipements et contrôler Un modèle de sécurité comprend :
l’infrastructure réseau • des variables d’état (p.e. sujets, objets, droits)
↭ verrouiller chaque poste de travail
• des fonctions de transition
• travail à distance But : prouver que chaque état possible d’un système est
↭ définir le cadre de travail d’un collaborateur extérieur cohérent avec un ensemble de propriétés souhaitées
↭ sensibiliser le personnel aux risques de l’utilisation d’un
ordinateur portable et du travail à distance
Exemple
Modèles de sécurité pour le secret :
• contrôle de l’accès au SI et à ses contenus
↭ avoir une authentification uniforme et centralisée
• modèles de contrôle d’accès de sujets à des objets.
↭ classifier l’information ; l’associer à des profils d’utilisateurs • modèles de flux d’information : contrôlent le transfert
↭ bien définir les rôles des utilisateurs d’informations
↭ avoir une politique de sélection des mots de passe
↭ Très peu de modèles traitent l’intégrité ; aucun la disponibilité.
placer les serveurs et équipements réseau dans des locaux
à accès restreint
49 / 85 51 / 85
 Principes généraux Généralisation BSD/WIN/OSX
UNIX standard : Bob veut donner à Alice l’accès à UN fichier.
Généraliser méthode user/group/others d’UNIX par ACL ;
• identité : est-ce que chaque utilisateur, programme, objet contrôle + fin des accès aux fichiers.
et ressource peut être identifié de manière unique ? ACL définit actions d’un rôle sur une ressource.
• responsabilité : les utilisateurs peuvent-ils être tenus Rôle : utilisateur ou groupe
responsables de leurs actions ? Ressource : fichier ou répertoire
Permissions : action comme lire ou écrire
• audit : les actions des utilisateurs sont-elles enregistrées ?
• autorisations : gèrer qui a le droit de faire quoi. • sur SGF : delete, readattr, writeattr, readextattr, writeextattr,
readsecurity, chown
• moindre privilège : quel est le minimum nécessaire pour
mener à bien le travail demandé ? • sur fichiers : read, write, append, execute

• étanchéité : non interférence d’actions différentes • sur répertoires : list, search, add_file, add_subdirectory,
delete_child
• redondance : gestion des sauvegardes et de la
chmod +a “alice:allow:read” ./ressource.txt
redondance, gestion des pannes
un + est ajouté en sortie d’un ls et détaillé par un ls -le
ACL exécutées avant les permissions UNIX comme suite
ordonnée de règles
52 / 85 54 / 85

Modèle par matrice d’accès Services et mécanismes

(Bell-Lapaluda)
• Politique de sécurité implémentée par les services de
Modèle de contrôle d’accès sécurité.
Certains services inutiles pour une politique donnée.
• objets : entités passives du système
Exemple : action de communication ne requiert pas l’intégrité.
• sujets : entités actives qui peuvent accéder aux objets
• Chaque service traite un ensemble particulier de menaces
• droits d’accès : {propriétaire, lire, écrire, exécuter, Exemple : le service de confidentialité prémunit contre l’accès
fusionner} non-autorisé à l’information.
• primitives de base :
• Les services de sécurité sont implémentés par les
↭ accorder/refuser un droit
mécanismes de sécurité
↭ créer/supprimer un sujet/objet
certains services peuvent utiliser le même mécanisme
• règles de transition : si Si a le droit Dj sur Ok alors Exemple : chiffrement utilisé par confidentialité et
primitivel authentification.

53 / 85 56 / 85
 Services de sécurité Service de confidentialité
Empècher la divulgation non-autorisée

Définis dans la norme ISO 7498-2 comme : • de l’information

1 authentification d’entités
• du trafic

2 contrôle d’accès 1. confidentialité orientée connexion : protection des PDU

3 confidentialité avec/sans connexion (Protocol Data Units ou paquets)
4 intégrité de connexion avec/sans récupération 2. confidentialité sans connexion : protection des SDU
5 non répudiation avec preuve d’origine (Service Data Units ou charge utile).
non répudiation avec preuve de dépot 3. confidentialité sélective : protection de champs
sélectionnés d’un PDU ou d’un SDU.
4. confidentialité d’un flux de données : protéger contre le
contrôle du trafic

57 / 85 59 / 85

Service d’intégrité des données

Service d’authentification
Vérifier que la partie distante est bien qui elle prétend être
• intégrité de l’information d’identification
• fonctionnalité particulière pour les réseaux. Empècher la modification accidentelle ou maligne des données
1. intégrité orientée connexion : protection des PDU avec ou
Service de contrôle d’accès sans récupération.
Empècher l’utilisation non-autorisée de ressources 2. integrité sans connexion : protection des SDU.
• information 3. integrité sélective : concerne un ou plusieurs champs
• entités (utilisateurs, terminaux, nœuds intermédiaires) choisis.
• liens, connexions, routes Observons que l’integrité n’assure pas la confidentialité.
• services (réseau ou application)
Dépend fortement de la politique de sécurité.

58 / 85 60 / 85
 Service de non-répudiation

Confirme le fait qu’un sujet a accompli une opération malgré

une possibilité de démenti.
1. non-répudiation avec preuve d’origine : fournit la preuve de
l’origine au destinataire : empèche l’expéditeur de
démentir l’envoi.
2. non-répudiation avec preuve de dépot : fournit la preuve de
dépot du message à l’expéditeur : empèche le destinataire
de démentir la réception.
Indispensable pour les paiements électroniques EDI, EFT.

61 / 85 64 / 85

Services de sécurité par couche Mécanismes de sécurité

Implémentent les services de sécurité

1 2 3 4 5 6 7 • chiffrement
Authentification x x x x • signatures numériques
Contrôle d’accès x x x x • mécanismes de contrôle d’accès
Confidentialité x x x x x x • mécanismes d’integrité des données
Confidentialité sélective x x
• mécanismes d’authentification
• empaquetage pour le trafic
Secret du trafic x x x • contrôle de routage
Intégrité x x x x • tiers de confiance (notariat électronique)
Non-répudiation x • gestionnaire de sécurité (gestion des clés)
• audit
• détection d’intrusion

63 / 85 65 / 85
 Différents critères Livre Orange
• National Computer Security Center (NCSC) ; 2 livres :
↭ Orange 1985 : Trusted computer system evaluation criteria
Au centre, modèle de sécurité de Bell & Lapadula
↭ Rouge 1987 : Trusted network Interpretation of the TCSEC
Systèmes (matériel et logiciel) doivent satisfaire aux conditions
• Communauté Européenne requises en matière de politique de sécurité, gestion des
↭ Information Technology System Evaluation, 1991 comptes, assurance et documentation
↭ provient de travaux sur les modèles de sécurité
↭ important pour le marché gouvernemental et de la défense • gestion des comptes : identification, authentification, audit

• Bundesamt für Sicherheit in der Informationstechnik • assurance que le système vérifie bien ses specs en
↭ cahier des charges pour la sécurité des coupe-feux matière de sécurité avec tests, protection des mécanismes
↭ centres de certification de sécurité et sauvegarde/ restauration des mécanismes
de sécurité
• En France, l’ANSSI : héritier du service du chiffre, créé
pendant la guerre. Evalue les procédés de chiffrement, les • documentation sur les fonctionnalités de sécurité, les tests
produits et systèmes relevant des technologies de et la conception
l’information et les procédés de protection contre les
signaux électronique compromettants.

67 / 85 69 / 85

Livre Orange Livre Orange

Origine : commande DoD US
Utilité : évaluation de la sécurité des systèmes informatiques.
Propose différents niveaux de sécurité pour les OS selon une
A 1 équivalents sauf sur
+sieurs sécurité croissante C1-C2-B1-B2-B3-A1
3 spécification et vérification niveaux À titre d’exemple :
B sécurité
2 analyse canaux de comm.
• A1 : SCOMP Honeywell
1 niveau confidentialité/donnée • B3 : Multics Honeywell, AIX IBM
2
C 1 seul niveau de sécurité • B2 : SunOS, AIX-IBM
1
D 1 le reste
• B1 : Solaris CMW, AIX IBM
• C2 : Solaris BSM, Solaris 2.3, IBM, DEC..
Description
A1 fonctionnellement équivalent à B3 mais meilleure analyse de la sécurité Et initiatives type SELinux (security enhanced) fait par NSA qui
B3 B2+ robustesse aux attaques
B2 B1+ politique de sécurité, gestion niveaux de sécurité, bonne auth. ajoute des règles de sécurité aux distribs standard.
B1 C2+ gestion niveaux sécurité, classification des données
C2 C1+ amélioration du login, audit, isolement des ressources (mémoire)
C1 protection des données sur le besoin d’en connaitre. Sépare util/données
D le reste

68 / 85 70 / 85
 Standardisation (ISO 27001-2) ? ISO 27002
Découpée en 15 articles (chapitres) ; 200 CHF ; aux US : NIST
ISO 17999 en 2000 maintenant 27002 pour la sécurité des SI.
handbook : Introduction to computer security
Destinée aux dirigeants, aux directeurs de système
d’information et aux responsables sécurité (Chief Security • 4 qui définissent le cadre de la norme
Officer, RSSI). Code de bonnes pratiques pour la gestion de la • 11 articles qui proposent 133 mesures définissant les
sécurité de l’information. objectifs de sécurité et les mesures à prendre :
ISO 27001 : norme de gestion de la sécurité de l’information :
Technologies de l’information- techniques de sécurité - • politique de sécurité • contrôle accès
Systèmes de gestion de sécurité de l’information - Exigences. • organisation de la SI • acquisition, dév. maint.
Tout comme la norme ISO9000 pour la qualité, la norme SI
• gestion des biens
ISO17999 a pour objectif d’établir un label de confiance • gestion des incidents
reconnu de tous en ce qui concerne la sécurisation de
• sécurité et RH

l’information sous un aspect global. • gestion télécom • continuité de l’activité

• conformité

71 / 85 73 / 85

Vers une standardisation ISO 27002 – critères de succès

ISO 17999 : importance particulière à des aspects de la sécurité :

• le support des dirigeants quant à la mise en œuvre d’une

politique de sécurité et la détermination des moyens humains

• l’identification des menaces propres à l’organisation et • pointe et évalue les risques encourus
l’évaluation des risques associés • mise en œuvre compatible avec culture entreprise
• la classification des informations afin de ne déployer les moyens • soutien et engagement visible de la Dir.
que sur celles qui le nécessitent
• compétence et moyens pour mettre en place une politique
• les dispositions prendre pour instaurer une "culture sécurité". de sécurité
En conjonction avec des guides techniques : • formation appropriée à tous les échelons de l’entreprise

• ISO13335 : concepts et modèles pour la gestion de la sécurité • accès pour tous aux normes et directives de sécurité

• ISO14516 : gestion et utilisation des services de certification

• ISO15408 : critères d’évaluation de la sécurité

• ISO18044 : gestion des incidents de sécurité

72 / 85 74 / 85
Data Protection Officer Security Analyst

76 / 85 78 / 85

Chief Security Officer Security Consultant

77 / 85 79 / 85
Security Engineer Security Architect

80 / 85 82 / 85

Security Manager Security Officer and Administrator

81 / 85 83 / 85
Security Tester and Pentester

84 / 85