Comment tirer profit de la corvée d'évaluation de la mise en œuvre de la PSSI-E dans votre établissement Serge Aumont

Toute ressemblance avec un établissement existant ou ayant existé… Application stricte de l’outil d’autoévaluation de la PSSI de l’Etat Toute ressemblance avec un établissement existant ou ayant existé… Cet établissement est nul Peut-on vraiment rendre une copie pareil au FSSI ? Comment vais-je expliquer cela à l’AQSSI ? C’est surement piraté de partout ! Ce n’est pas un SI protégé, c’est un honeypot XXL.

Application stricte de l’outil d’autoévaluation de la PSSI de l’Etat Il y a quelques incidents certes. Pourtant les étudiants étudient, les chercheurs cherchent, les enseignants enseignent ! Qu’est-ce qui cloche ?

Application stricte de l’outil d’autoévaluation de la PSSI de l’Etat Une vue (un peu) moins inquiétante, mais pourquoi tant de règles non appliquées ?

Les biais de l’outil d’autoévaluation de la PSSI de l’Etat La PSSI-E, n’est pas à la carte : c’est « menu complet », pourtant, certaines mesures ne sont pas recevables ou inaccessibles. Exemples : l’UFR info inclue le BYOD dans son projet pédagogique ce qui est contraire à PDT-GEST ; DEV-SOUS-TRAIT, l’obligation de correction des vulnérabilités par les sous traitants, on en rêve ! L’évaluation de chaque règle est très binaire. Beaucoup de mesures sont appliquées largement à la DSI mais pas toujours dans certains labos qui s ’équipent de leurs briques.

Corriger les biais Idée : reprendre les règles, marquer les règles non retenues et évaluer le degré de mise en œuvre (0%, 10%, 25%, 50%, 75%, 100%), le grain est gros, mais plus fin que le 0%|100% prévu dans l’outil de l’ANSSI.

Corriger les biais Nouveaux résultats ne prenant en compte que les règles retenues avec pondération par leur taux de réalisation.

Toutes les règles ne se valent pas Avec ce nouvel outil d’évaluation, il reste quelques difficultés d’interprétation des résultats obtenus : toutes les règles retenues ont le même poids dans le score final. Cela peut heurter le bon sens : Protection de la confidentialité des mots de passe = 1 point Fourniture par l’établissement des clés USB = 1 point

Toutes les règles ne se valent pas Pondérer le taux de réalisation de chaque mesure par l’importance de celle-ci dans le score final. Le travail peut sembler complexe et arbitraire sans une analyse de risque détaillée. Solution de facilité : 3 niveaux seulement : utiles coefficient 1 importantes coefficient 5 essentielles coefficient 30 L’écart de coefficient est tel qu’il est alors facile de classer chaque règle dans l’un des 3 niveaux, ce qui diminue un peu l’arbitraire du choix. C’est toujours mieux que de les considérer toutes équivalentes.

Comparaison objectif/réalisation par catégorie Protection de la confidentialité des mots de passe : 75 % * 30 = 22.5 Fourniture par l’établissement des clés USB : 10% * 1 = 0.1 Il y a une part subjective dans la répartition de l’objectif par catégorie. Je constate un léger déficit en « maitrise des risques » et en « évaluation »

Comparaison objectif/réalisation par thème

Conclusions En pondérant les règles, je m’écarte de la PSSI-E mais je ne suis pas loin de définir la PSSI de mon établissement. Le résultat est montrable, et l’AQSSI peut l’écouter. L’évaluation a été utilisée pour soutenir le projet de refonte de la gestion des identités en difficulté car le taux de réalisation de nombreuses règles de la PSSI-E dépend de son issue.