Sécurité des systèmes d'information
La valeur d'une information est fonction du besoin qu'on en a. Elle est liée à sa confidentialité, son intégrité et sa disponibilité. Les informations se présentent généralement dans un ensemble qu'on appelle "système" parce que chacun des éléments qui le composent est en interrelation étroite avec les autres. Dans la notion de système, il y a la notion de complexité. Le risque est l'éventualité que des menaces exploitent des vulnérabilités pour causer un dommage. La "Sécurité des Systèmes d'Information" (SSI) est la gestion de ce type de risque. Les menaces font partie de l'environnement. On ne peut agir sur elles qu'en intervenant sur les vulnérabilités propres au système ou sur leurs conséquences c'est-à-dire en limitant leurs impacts. Pour cela on identifiera les objectifs de sécurité - qui doivent être adaptés aux besoins de confidentialité, d'intégrité et de disponibilité - en procédant à une analyse de risques.
La SSI repose sur l'utilisation de quelques techniques comme, l'authentification des utilisateurs, le contrôle d'accès aux ressources, la non-répudiation, l'audit des traces de sécurité, etc. Le niveau de sécurité globale d'un système est celui de son maillon le plus faible aussi recherchera-t-on à élever le niveau de sécurité d'une manière homogène. Pour ne citer qu'un exemple : rien ne sert de rechercher la performance sur le plan technique en laissant pour compte les problèmes d'organisation ou de gestion des ressources humaines. La vérification de la cohérence de sécurité des systèmes se fait par une approche de type ISO 17799.
La SSI doit prendre en compte aussi la protection de la sphère privée, classe fonctionnelle des Critères communs (ISO 15408) déclinée en quatre propriétés (FPR Privacy) : Anonymat, Pseudonymité, Non-chaînabilité, Non-observabilité.
La SSI ne se limite pas aux seuls aspects techniques : la réflexion doit se faire sur chacun des trois niveaux, stratégique, organisationnel et technique.
Un Système d'Information (SI) ne se maintient pas dans un état stable de sécurité, il dérive de lui-même vers un état sans sécurité qui est son état naturel d'équilibre. Le maintien du niveau de sécurité se réalise par le pilotage de la politique de sécurité.
Le pilotage de la politique de sécurité s'appuie sur l'évaluation des écarts entre le niveau réel de sécurité et le niveau désiré. Les tableaux de bord sont des ensembles d'indicateurs définis à partir de la politique de sécurité et mise en forme afin de faciliter la perception de ces écarts au niveau technique, organisationnel et stratégique. Sans politique de sécurité la réalisation de tableau de bord n'a aucun sens. La politique de sécurité est corrigée suivant le cycle Prévention - Détection - Réponses.
|
Nouveaux Médias 
http://www.pme-pmi.org/xml/ssi.xml
Newsletter
Notre sélection
Blog
Annuaire