“Si vous ne pouvez expliquer un concept à un enfant de six ans, c’est que vous ne le comprenez pas complètement” - Albert Einstein.

Présentation au sujet: "“Si vous ne pouvez expliquer un concept à un enfant de six ans, c’est que vous ne le comprenez pas complètement” - Albert Einstein."— Transcription de la présentation:

1 “Si vous ne pouvez expliquer un concept à un enfant de six ans, c’est que vous ne le comprenez pas complètement” - Albert Einstein

2 Pourquoi parler de sécurité ?

3 La sécurité - Pourquoi ? Confiance Affaires e-Business / e-Commerce
PME Confiance Affaires Clients Marché e-Business / e-Commerce

4 Pourquoi la sécurité ? (suite)
Mais aussi... PME Protéger la réputation Eviter des pertes financières Satisfaire aux exigences légales, assurances Il est important de noter que nous ne protégeons pas nos biens pour des besoins de sécurité mais nous appliquons des mesures de sécurité pour protéger nos biens

5 La sécurité informatique, une entrée en matière

6 { La sécurité, une entrée en matière
La sécurité = {mesures} permettant d’assurer la protection des biens / valeurs. Information & Systèmes La sécurité = {mesures} permettant d’assurer la protection de l’information & Systèmes { la confidentialité, l’intégrité, la disponibilité, la non-répudiation.

7 Se protéger contre quoi ?

8 Menaces & Vulnérabilités
Menace = Action Vulnérabilité = Réactif Générique Fonction de l’environnement Ex: Activation et diffusion d’un virus au sein de la PME Absence d’anti-virus centralisé et à jour Utilisation du lecteur de disquette Possibilité de téléchargement,…

9 Menaces liées à l’utilisation de l’Internet

10 Vulnérabilités Absence ou manque de procédures organisationnelles
et mesures techniques Ex: Absence du suivi des problèmes et solutions, Fichier de traces non configurés / non contrôlés, Présence d’utilisateurs fantômes, Absence ou faible niveau de ségrégation du réseau, Manque de contrôle des fichiers téléchargés, Absence de contrôle des médias de sauvegarde, Présence de service non requis sur les machines, Absence de tests négatifs, ... Ex: Absence de support et compréhension du management Absence de politique de sécurité Absence de programme de sensibilisation, Absence de personnel qualifié, ...

11 Faut-il se protéger et jusqu’à quel niveau ?
Tout dépend de notre environnement, de nos besoins propres. Comment définir ses besoins en sécurité ? En passant par une gestion des risques

12 Gestion des risques Face à un risque, trois types de réactions possibles: L’ignorance complète des risques La protection totale La gestion de risques

13 Gestion des risques Principes de bases
Un risque n’existe que dans le cas où ses trois composantes sont présentes: Un Bien, une Menace et une Vulnérabilité. Un risque ne peut être éliminé. Il peut seulement être réduit soit par la mise en place de meilleures protections soit en réduisant l’impact. L’acceptation d’un risque est, en soi, un risque

14 Gestion des risques Niveau de Risque ? IMPACT PROBABILITE FAISABILITE
Exemple: Quel est le risque pour votre entreprise que des systèmes d’informations (serveurs, stations de travail) soient infectés par un virus ? Niveau de Risque IMPACT PROBABILITE FAISABILITE ? Pour votre entreprise H: Haut M: Moyen F: Faible Fonction du marché / environnement Fonction de la présence de vulnérabilités Le pire des risques est celui dont vous ignorez l’existence

15

16 Identification des mesures applicables
Sécurité Organisationnelle Analyse de risques Politique de sécurité Organisation Sécurité des utilisateurs Gestion des utilisateurs / mots de passe ou authentifications fortes Utilisateurs internes / externes Sécurité Applicative Definition des profiles /roles Verification des autorisation, Chiffrement des données E-Applications / E-Services Sécurité des serveurs Unix/ NT fortification Stations / Serveurs / Bases de données La sécurité réseau Firewall & détecteurs d’intrusions Chiffrement en ligne Infrastructure réseau

17 Identification des mesures applicables
Tenir compte des contraintes liés à votre environnement Le budget octroyé L’environnement technique Les ressources disponibles La politique de sécurité de l’entreprise Les nouvelles vulnérabilités introduites

18 Identification des mesures applicables

19 Identification des mesures applicables
Questions à prendre en considération dans le choix d’une solution Quel problème est-ce que la solution permet de résoudre ? Comment est-ce que la solution permet de résoudre le problème ? Quels autres problèmes la solution permet de résoudre ? Quels nouveaux problèmes la solution engendre ? Quels est le coût de la solution ? Est-ce que la solution vaut la dépense ?

20 L’ouvrage étudie et répond à ces questions pour les mesures de sécurité suivantes:
Mécanismes d’authentification Mot de passe statique Générateurs de codes dynamiques Cartes à puce Systèmes biométriques Signatures digitales et infrastructure à clés publiques Authentification unique et administration centralisée La Cryptologie la cryptographie symétrique la cryptographie asymétrique la cryptographie hybride SSL, PGP, VPN la stéganographie La sécurité des réseaux firewall détecteurs d’intrusions La sécurité du commerce électronique paiement par carte de crédit monnaie électronique Le Copyright sur l’Internet

21 Implémentation et gestion de la sécurité
3 scénarios envisageables: Utilisation de ressources internes Outsourcing (hébergement) Utilisation de ressources externes

22 Conclusion S’il fallait mentionner deux qualités essentielles de tout bon responsable ou consultant en sécurité, ce serait la paranoïa et le bon sens. La paranoïa pour pouvoir identifier le plus grand nombre de scénarios de désastres et de vulnérabilité exploitables. Le bon sens pour pouvoir mitiger ces scénarios, identifier des priorités et des mesures de sécurité réalistes et cohérentes pour l’environnement étudié. Didier Godart

23 Contacts & liens didier.godart@skynet.be