La politique de Sécurité

La politique de Sécurité Définit la manière dont la sécurité doit être mise en œuvre dans une entreprise. Responsabilise tout le monde. Chacun doit comprendre ce que l’on attend de lui. Etablit des règles de configuration des systèmes et la façon dont les employés doivent agir.

Stratégies Quatre stratégies sont possibles : Tout couper : L’approche paranoïaque Tout couper et autoriser ce qui est utilisé : L’approche prudente Tout autoriser et couper ce qui semble dangereux : L’approche permissive Tout autoriser : L’approche laxiste

Stratégies La politique de sécurité doit être applicable et réaliste ! La mise en place d’une collaboration de tous les utilisateurs du système d’information est indispensable pour la réussite et la pérennité du projet.

Le but Les objectifs doivent être précisément définis. Le document qui traite le sujet doit clairement énoncer pourquoi la procédure a été créée et quel avantage l’entreprise espère en obtenir.

Le champ d’application Chaque procédure doit indiquer les domaines auquel elle s’applique : Ordinateurs Infrastructure réseau Utilisateurs

Responsabilité Un responsable de la mise en œuvre des règles définies par la politique doit être désigné. Cette personne doit être correctement formé et connaître les objectifs des procédures qu’elle applique.

Politiques et procédures : Politique de l’Information Politique de Sécurité Politique d’utilisation des ordinateurs Politique d’utilisation d’Internet Procédures de gestion utilisateurs Procédure d’administration système Procédure de gestion de la configuration

Politique de l’Information Elle détermine quelles sont les informations sensibles dans l’entreprise et comment celles-ci doivent être protégées.

Politique de l’Information Identification des Informations Sensibles Deux ou Trois niveaux de classification : Publiques Exclusives, Sensibles ou confidentielles Limitées ou protégées

Politique de l’Information Eléments à prendre en compte pour chaque niveau : Le support de l’information Le stockage La transmission La destruction

Politique de Sécurité Elle définit les exigences techniques pour la sécurité des systèmes informatiques et des équipements de réseau. Elle définit comment un administrateur système ou réseau doit configurer un système sécurisé.

Politique de Sécurité Identification et authentification Contrôle et droits d’accès. L’audit Les connexions réseaux La protection antivirale Le chiffrement

Politique de Sécurité Mise en place de dérogation. Nécessaire lorsque les obligations de l’entreprise deviennent plus importantes que l’observation de la politique de sécurité/

Politique d’utilisation des ordinateurs Etablit par qui et comment les postes de travail de l’entreprise sont utilisés : Propriété des ordinateurs Propriété de l’information Tolérance d’utilisation des ordinateurs L’absence de confidentialité

Politique d’utilisation d’Internet Souvent incluse dans la politique d’utilisation des ordinateurs, elle peut être traitée séparément en raison de la nature spécifique d’Internet. Elle définit comment Internet peut-être ou ne pas être utilisé dans l’entreprise.

Politique du courrier électronique Elle doit statuer sur l’utilisation du courrier Interne et Externe. Si l’entreprise surveille le courrier électronique en traçant certains mots-clés et certains types de fichiers attachés, elle doit en faire part à ses employés.

Procédures de gestion utilisateur Elles définissent comment les comptes utilisateurs sont gérés Procédure d’arrivée Procédure de transfert Procédure de départ

Procédure d’administration système Détermine comment les services de sécurité et d’administration des systèmes doivent travailler ensemble pour garantir la sécurité des systèmes.

Procédure d’administration système Mise à niveau des logiciels Analyse de vulnérabilité – Correction Contrôle de conformité à la politique Examen des journaux d’évènements

La réponse aux incidents Objectifs de l’ IRP ( Incident Response Procedure) : Protection des systèmes Protection des informations Rétablissement des activités Réduction de l’impact sur l’extérieur Poursuites judicaires

La réponse aux incidents Identification d’événements La procédure d’escalade : Le pouvoir de décision La documentation Le contrôle de l’information Plans de reprise d’activité

Elaboration de la politique Définir ce qui est important Gestion des risques Définir les comportements acceptables Identifier les parties intéressées Définir un plan approprié Développer la politique avec l’entreprise

Application de la politique Obtenir l’adhésion Former Ne pas faire de la sécurité un obstacle au travail de chacun Utiliser de manière efficace la politique : Accorder les projets nouveaux avec l’existant Vérification périodique, audit Révision de la politique

Conclusion En fonction de la taille de l’entreprise la politique de sécurité sera plus ou moins importante. Sa conception et sa mise en œuvre sont des tâches complexes qui nécessitent des compétences diverses. La sécurité est aujourd’hui un métier part entière.