TD 1 ? Quels sont les avantages relatifs à la définition d’une politique de sécurité pour une organisation ? Avantage : traiter la problématique de la sécurité de manière globale et cohérente Se poser la question du « pourquoi de la sécurité » Réflexion stratégique sur les enjeux de la sécurité Appréhender les diverses dimensions de la sécurité (organisationnelle, humaine, juridique, technologique)
TD 2 ? Quels sont les éléments qui permettent de justifier la mise en place d’une politique de sécurité pour le système d’information de l’entreprise ? Analyse des valeurs (informationnelles, matérielles) Risques encourus Identification des besoins, exigences, objectifs de sécurité, mesures pertinentes
TD 3 ? Identifiez les principales étapes d’une démarche sécurité : Analyse de l’existant, évaluation des valeurs, des besoins, des menaces, des risques, des niveaux de sécurité Définition des objectifs de sécurité Identification des contraintes Définition d’une politique de sécurité Identification des mesures (outils et procédures ) de sécurité Réalisation d’un cahier des charges Appels d’offre Analyse Choix des solutions Réalisation des mesures Gestion opérationnelle de la sécurité (suivi, maintenance, exploitation) Évaluation de la politique et des mesures de sécurité Optimisation de la politique et des mesures Veille technologique de la sécurité
TD 4 ? Quels sont, pour les entreprises, les avantages et inconvénients potentiels liés à l’externalisation (outsourcing) de leur sécurité informatique par rapport à une gestion interne de la sécurité ? Avantages Services fournis par des professionnels Inconvénients Dépendance Confiance dans les acteurs externes Solutions pas forcément adaptées aux ressources de l’entreprise si ceux-ci sont insuffisamment identifiés Déresponsabilisation des problèmes de sécurité des acteurs internes de l’entreprise
TD 5 ? Quelles sont les principales limites de la norme ISO 17799 pour la réalisation de la sécurité ? Gigantesque « checklist » (identification des points à prendre en considération) Tous les points de la norme ne sont pas forcément pertinents pour une entreprise particulière Travail d’ « appropriation » de la norme Pas une méthode de travail pour la mise en place de la politique de sécurité Pas une méthode d’évaluation des risques Pas de mesures concrètes de sécurité La norme constitue surtout un cadre de référence pour appréhender la sécurité selon une approche globale