“Si vous ne pouvez expliquer un concept à un enfant de six ans, c’est que vous ne le comprenez pas complètement” - Albert Einstein

Pourquoi parler de sécurité ?

La sécurité - Pourquoi ? Confiance Affaires e-Business / e-Commerce PME Confiance Affaires Clients Marché e-Business / e-Commerce

Pourquoi la sécurité ? (suite) Mais aussi... PME Protéger la réputation Eviter des pertes financières Satisfaire aux exigences légales, assurances Il est important de noter que nous ne protégeons pas nos biens pour des besoins de sécurité mais nous appliquons des mesures de sécurité pour protéger nos biens

La sécurité informatique, une entrée en matière

{ La sécurité, une entrée en matière La sécurité = {mesures} permettant d’assurer la protection des biens / valeurs. Information & Systèmes La sécurité = {mesures} permettant d’assurer la protection de l’information & Systèmes { la confidentialité, l’intégrité, la disponibilité, la non-répudiation.

Se protéger contre quoi ?

Menaces & Vulnérabilités Menace = Action Vulnérabilité = Réactif Générique Fonction de l’environnement Ex: Activation et diffusion d’un virus au sein de la PME Absence d’anti-virus centralisé et à jour Utilisation du lecteur de disquette Possibilité de téléchargement,…

Menaces liées à l’utilisation de l’Internet

Vulnérabilités Absence ou manque de procédures organisationnelles et mesures techniques Ex: Absence du suivi des problèmes et solutions, Fichier de traces non configurés / non contrôlés, Présence d’utilisateurs fantômes, Absence ou faible niveau de ségrégation du réseau, Manque de contrôle des fichiers téléchargés, Absence de contrôle des médias de sauvegarde, Présence de service non requis sur les machines, Absence de tests négatifs, ... Ex: Absence de support et compréhension du management Absence de politique de sécurité Absence de programme de sensibilisation, Absence de personnel qualifié, ...

Faut-il se protéger et jusqu’à quel niveau ? Tout dépend de notre environnement, de nos besoins propres. Comment définir ses besoins en sécurité ? En passant par une gestion des risques

Gestion des risques Face à un risque, trois types de réactions possibles: L’ignorance complète des risques La protection totale La gestion de risques

Gestion des risques Principes de bases Un risque n’existe que dans le cas où ses trois composantes sont présentes: Un Bien, une Menace et une Vulnérabilité. Un risque ne peut être éliminé. Il peut seulement être réduit soit par la mise en place de meilleures protections soit en réduisant l’impact. L’acceptation d’un risque est, en soi, un risque

Gestion des risques Niveau de Risque ? IMPACT PROBABILITE FAISABILITE Exemple: Quel est le risque pour votre entreprise que des systèmes d’informations (serveurs, stations de travail) soient infectés par un virus ? Niveau de Risque IMPACT PROBABILITE FAISABILITE ? Pour votre entreprise H: Haut M: Moyen F: Faible Fonction du marché / environnement Fonction de la présence de vulnérabilités Le pire des risques est celui dont vous ignorez l’existence

Identification des mesures applicables Sécurité Organisationnelle Analyse de risques Politique de sécurité Organisation Sécurité des utilisateurs Gestion des utilisateurs / mots de passe ou authentifications fortes Utilisateurs internes / externes Sécurité Applicative Definition des profiles /roles Verification des autorisation, Chiffrement des données E-Applications / E-Services Sécurité des serveurs Unix/ NT fortification Stations / Serveurs / Bases de données La sécurité réseau Firewall & détecteurs d’intrusions Chiffrement en ligne Infrastructure réseau

Identification des mesures applicables Tenir compte des contraintes liés à votre environnement Le budget octroyé L’environnement technique Les ressources disponibles La politique de sécurité de l’entreprise Les nouvelles vulnérabilités introduites

Identification des mesures applicables

Identification des mesures applicables Questions à prendre en considération dans le choix d’une solution Quel problème est-ce que la solution permet de résoudre ? Comment est-ce que la solution permet de résoudre le problème ? Quels autres problèmes la solution permet de résoudre ? Quels nouveaux problèmes la solution engendre ? Quels est le coût de la solution ? Est-ce que la solution vaut la dépense ?

L’ouvrage étudie et répond à ces questions pour les mesures de sécurité suivantes: Mécanismes d’authentification Mot de passe statique Générateurs de codes dynamiques Cartes à puce Systèmes biométriques Signatures digitales et infrastructure à clés publiques Authentification unique et administration centralisée La Cryptologie la cryptographie symétrique la cryptographie asymétrique la cryptographie hybride SSL, PGP, VPN la stéganographie La sécurité des réseaux firewall détecteurs d’intrusions La sécurité du commerce électronique paiement par carte de crédit monnaie électronique Le Copyright sur l’Internet

Implémentation et gestion de la sécurité 3 scénarios envisageables: Utilisation de ressources internes Outsourcing (hébergement) Utilisation de ressources externes

Conclusion S’il fallait mentionner deux qualités essentielles de tout bon responsable ou consultant en sécurité, ce serait la paranoïa et le bon sens. La paranoïa pour pouvoir identifier le plus grand nombre de scénarios de désastres et de vulnérabilité exploitables. Le bon sens pour pouvoir mitiger ces scénarios, identifier des priorités et des mesures de sécurité réalistes et cohérentes pour l’environnement étudié. Didier Godart

Contacts & liens didier.godart@skynet.be http://users.skynet.be/fa104514/livre_securite.html http://www.ecci.be http://www.technifutur.be