Bibliographie & annexes
Présentation
RÉSUMÉ
Qu'entend-on par sécurité des systèmes d'information, dans quels buts et avec quels acteurs ? Cet article commence par énoncer des principes essentiels à la sécurité des systèmes d'information. Puis il aborde le sujet sous l’angle de l’articulation entre la technique et l’organisation, car les moyens techniques sont uniquement là pour arriver à un objectif. Enfin des structures types et des méthodes sont présentées pour illustrer la mise en place d'une politique de sécurité.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleAuteur(s)
-
Robert LONGEON : Chargé de Mission à la Sécurité des Systèmes d’Information - Direction Générale du CNRS
INTRODUCTION
L’organisation de la SSI peut être vue suivant différents éclairages. On peut la voir, par exemple, sous celui de principes essentiels ; le plus important d’entre eux étant sans conteste de ne jamais oublier que la sécurité passe d’abord par les acteurs du système. Mais énoncer des principes n’est pas suffisant, il faut aussi dire quelles conséquences il convient d’en tirer sur le plan de l’organisation. C’est ce qui est fait dans le premier paragraphe pour les plus importants d’entre eux.
Dans le deuxième paragraphe, on aborde la SSI sous l’angle de l’articulation entre la technique et l’organisation, car les moyens techniques, ainsi que la sécurité, ne sont pas une fin en soi, mais sont au service d’objectifs et dans le cadre d’une entreprise ou d’une administration qui ont leurs atouts et faiblesses propres. Dans le troisième paragraphe, on passe en revue quelques structures et procédures qui, sans les poser en modèle pour tous, permettent de mieux comprendre comment mettre en œuvre une organisation de la sécurité. Enfin, dans le quatrième paragraphe on explique pourquoi on ne peut concevoir, appliquer ou piloter une politique de sécurité sans une approche méthodologique, pourquoi on ne peut mettre en place une organisation de sécurité sans commencer par une analyse de risque et en quoi les normes internationales traitant de l’organisation, de l’administration et de l’audit de la sécurité font partie intégrante de cette approche. On termine ce paragraphe en décrivant le contenu d’un tableau de bord et son rôle dans le pilotage de la politique de sécurité qui sans cela ne pourrait que rester figée.
L'expertise technique et scientifique de référence
DOI (Digital Object Identifier)
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(75 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
Méthodes3. Structures et procédures
Parmi les éléments d’organisation, commençons par citer les structures, c’est-à-dire les organigrammes hiérarchiques et fonctionnels, et les procédures, ensemble des règles, des formalités, qui doivent être observées, des actes qui doivent être accomplis lors de certaines opérations effectuées au sein de l’entreprise et ayant un caractère normatif. Les méthodes d’introduction de la SSI dans une organisation, plus particulièrement les techniques de conduite du changement, ont beaucoup à emprunter à l’expérience acquise dans le domaine de la qualité .
3.1 Exemple d’une structure SSI
3.1.1 Niveaux de responsabilité
Dans un groupe multiétablissement, une organisation de la sécurité peut se décliner sur trois niveaux, le niveau central, le niveau établissement (local) et éventuellement un niveau « correspondant » (service). Lorsque l’entreprise est monoétablissement ou lorsque les liens entre les différents établissements sont assez lâches, le niveau central et le niveau établissement se confondent simplement.
Le niveau central, directement rattaché à la direction générale, doit assurer la cohérence des politiques locales, la coordination des actions (formation et sensibilisation centralisée, élaboration de documents généraux, planification des moyens), l’élaboration et la mise en œuvre de la politique stratégique (figure 6), la remontée des informations et la réalisation du tableau de bord stratégique pour le comité de direction. Il ne faut surtout pas, à ce niveau, mobiliser des effectifs pléthoriques ; quelques individualités (suivant l’importance de l’entreprise) motivées et correctement formées, responsables, matérialisant clairement l’engagement de la Direction dans la SSI, se révèlent en général extrêmement efficaces.
Le...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(75 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Structures et procédures
BIBLIOGRAPHIE
-
(1) - Sécurité informatique : manager et assurer. - AFNOR normes, fév. 2002. http://www.afnor.fr
-
(2) - CLUSIF, MEHARI - * - août 2000. http://www.clusif.asso.fr
-
(3) - CLUSIF - Les indicateurs de sécurité, - juil. 2001. http://www.clusif.asso.fr
-
(4) - DCSSI - La méthode EBIOS - (1996). http://www.ssi.gouv.fr/fr/confiance/ebios.html
-
(5) - DCSSI - Critères Communs - (1999). http://www.ssi.gouv.fr/fr/confiance/cc21.html
-
(6) - Information Security Risk Assessment Guide. – - Practices of Leading Organizations, US General Accounting Office - Exposure Draft.
-
...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Sécurité des systèmes d'information
(75 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
