Offre de service Sécurité des systèmes d’information Projet DIGSIT 20 Octobre 2004 DESS IGSI - UT1 Présentation Michel Dedieu ingénieur projet Société Sogéti Mission : Définition de processus de mise en œuvre des recommandations du SPI de Nancy et du SNAP de la DIST Première journée de prise de contact afin d ’élaborer ensemble les contours de ces processus sécurité

Plan de la présentation  Pourquoi sécuriser un SI  Approche fonctionnelle et organisationnelle  Approche globale de la sécurité  Catalogue des outils de sécurité

Pourquoi sécuriser un SI ? Objectifs : - Disponibilité, intégrité et confidentialité des ressources - Traçabilité et contrôle d’un événement ou d’un traitement Risques : - destruction ou vol d’informations confidentielles, détérioration de qualité de service, utilisation frauduleuse d’informations Coûts : - humains, matériels, logiciels - une absence de sécurité peut coûter plus cher à l’entreprise à terme

Approche fonctionnelle et organisationnelle

Approche fonctionnelle et organisationnelle Objectifs de la politique de sécurité : Orientations générales de sécurité, identification, sensibilisation, moyens, diffusion et appropriation Champs d’application: Ressources, utilisateurs internes externes Cadre de référence: Schéma d ’organisation, cadre légal, charte, bonnes pratiques, guides opérationnelles, standards techniques, guides d’implémentation. La Poste s ’est doté d ’un Schéma directeur définissant le cadre de Sécurité de ses Systèmes d ’Information Ce cadre présente les objectifs de la Politique général de la sécurité des SI un champ d ’application un schéma d ’organisation Norme et méthode : ISO 17799, MEHARI

Approche fonctionnelle et organisationnelle Le schéma d ’organisation de la sécurité des Systèmes d’Information précise :  Une organisation hiérarchique,  Un ensemble de fonctions,  Les structures de décisions. Les rôles des responsables de la sécurité (RSSI, RSIT, CSSI, …) consiste :  Élaboration et proposition de la Politique Sécurité,  Définir des règles claires et applicables  Contrôler leur mise en œuvre  S'assurer de leur bonne diffusion et compréhension

Gestion de la sécurité Mesurer et Rapporter Définir Appliquer  Définir : Politique de sécurité  Mesurer et rapporter : Contrôle  Appliquer : Règles

Les indicateurs majeurs  Contrôler le niveau de menace et de vulnérabilité, le niveau de protection actuel, les événements de sécurité, l ’avancement des projets de sécurité des applications.

Approche globale Définition des Étude fonctionnelle Planification besoins Étude fonctionnelle et technique Planification Mise en oeuvre Production Exploitation Maintenance Tests de vulnérabilité Audit de sécurité Standards de sécurité

Approche globale L'organisation de la sécurité La sécurité physique Les pratiques d'administration / exploitation La sécurité des systèmes et applications ...

Catalogue des outils de sécurité Les outils "papier" Outils méthodologiques Référentiels de sécurité Politique de sécurité Politiques techniques, directives, procédures, ... Les outils "Tests de configuration système" Outils antivirus : VirusScan, NetShield, Interscan Protocoles sécurisés : OpenSSH, FSecure Outils de recherche de vulnérabilité : ESM, Nessus, Internet Scanner Outils d’administration d’équipements de sécurité : Solsoft, Policy Manager Outils de surveillance de sécurité : Netsecure log, Netview, RealTime Monitor Pare-feu anti intrusion : PIX, Firewall, NetScreen Sondes de détection d’intrusion réseau : Sondes, SNORT, Provential Real Secure

Conclusions La sécurité des systèmes d’information est une image de marque et une qualité de service d’une entreprise. Le développement du pôle de compétence relative à cette activité est indispensable. Cette conclusion doit être l ’occasion de faire le lien avec la discussion qui doit s’engager après la présentation.

Que la SECURITE soit avec vous . Merci à vous tous Que la SECURITE soit avec vous . Fin de la présentation de éléments préliminaires du processus de prise en compte des recommandations du SPI de Nancy On propose aux présents de faire leur commentaires et d ’engager un échange constructif sur le futur de ce processus, leurs motivations, leur adhésion …