Présentation
RÉSUMÉ
Qu'entend-on par sécurité des systèmes d'information, dans quels buts et avec quels acteurs ? Cet article commence par énoncer des principes essentiels à la sécurité des systèmes d'information. Puis il aborde le sujet sous l’angle de l’articulation entre la technique et l’organisation, car les moyens techniques sont uniquement là pour arriver à un objectif. Enfin des structures types et des méthodes sont présentées pour illustrer la mise en place d'une politique de sécurité.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleAuteur(s)
-
Robert LONGEON : Chargé de Mission à la Sécurité des Systèmes d’Information - Direction Générale du CNRS
INTRODUCTION
L’organisation de la SSI peut être vue suivant différents éclairages. On peut la voir, par exemple, sous celui de principes essentiels ; le plus important d’entre eux étant sans conteste de ne jamais oublier que la sécurité passe d’abord par les acteurs du système. Mais énoncer des principes n’est pas suffisant, il faut aussi dire quelles conséquences il convient d’en tirer sur le plan de l’organisation. C’est ce qui est fait dans le premier paragraphe pour les plus importants d’entre eux.
Dans le deuxième paragraphe, on aborde la SSI sous l’angle de l’articulation entre la technique et l’organisation, car les moyens techniques, ainsi que la sécurité, ne sont pas une fin en soi, mais sont au service d’objectifs et dans le cadre d’une entreprise ou d’une administration qui ont leurs atouts et faiblesses propres. Dans le troisième paragraphe, on passe en revue quelques structures et procédures qui, sans les poser en modèle pour tous, permettent de mieux comprendre comment mettre en œuvre une organisation de la sécurité. Enfin, dans le quatrième paragraphe on explique pourquoi on ne peut concevoir, appliquer ou piloter une politique de sécurité sans une approche méthodologique, pourquoi on ne peut mettre en place une organisation de sécurité sans commencer par une analyse de risque et en quoi les normes internationales traitant de l’organisation, de l’administration et de l’audit de la sécurité font partie intégrante de cette approche. On termine ce paragraphe en décrivant le contenu d’un tableau de bord et son rôle dans le pilotage de la politique de sécurité qui sans cela ne pourrait que rester figée.
Cet article est réservé aux abonnés.
Il vous reste 93 % à découvrir.
Déjà abonné ? Se connecter
VERSIONS
- Version courante de juil. 2025 par Nicolas DUFOUR
DOI (Digital Object Identifier)
Présentation
ConclusionArticle inclus dans l'offre
"Sécurité des systèmes d'information"
(82 articles)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
4. Méthodes
Plusieurs approches de la SSI sont possibles. La première, la plus simple, est l’approche purement technique, sans politique de sécurité explicite : on ne veut absolument pas toucher à l’organisation existante, juste installer un dispositif qui permette, par exemple, de filtrer les flux, de journaliser les demandes de service ou de partitionner le réseau. C’est une sécurisation reposant sur des systèmes automatiques et correspondant à un « modèle » de sécurité prédéfini que l’on applique « intuitivement » sans études préalables. Pauvre, sans spécification, demandant peu d’effort de conception et de mise en œuvre, il n’offre de couvertures que contre une menace de faible intensité. Protège-t-il contre une malveillance interne ? A-t-on envisagé toutes les conséquences d’un incident de sécurité ? Sait-on comment faire la reprise d’activité après un sinistre ? Ces questions, et bien d’autres, laissées sans réponses resurgiront avec force le moment venu. Cette manière de voir résulte des concepts, encore très prégnants, hérités d’une autre époque, celle de l’informatique centralisée et autonome où la sécurité pouvait se limiter aux contrôles des accès physiques aux machines. Il faut tourner la page et comprendre qu’aujourd’hui, il n’y a pas d’ouverture possible du réseau sans une « politique de sécurité explicite », que celle-ci ne peut se concevoir sans une approche méthodologique comportant une analyse de risques et qu’enfin, la politique de sécurité doit être pilotée afin de l’adapter à l’environnement qui se modifie en permanence. L’instrument de ce pilotage est le tableau de bord de...
Cet article est réservé aux abonnés.
Il vous reste 93 % à découvrir.
Déjà abonné ? Se connecter
Méthodes
Article inclus dans l'offre
"Sécurité des systèmes d'information"
(82 articles)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
BIBLIOGRAPHIE
-
(1) - Sécurité informatique : manager et assurer. - AFNOR normes, fév. 2002. http://www.afnor.fr
-
(2) - CLUSIF, MEHARI - * - août 2000. http://www.clusif.asso.fr
-
(3) - CLUSIF - Les indicateurs de sécurité, - juil. 2001. http://www.clusif.asso.fr
-
(4) - DCSSI - La méthode EBIOS - (1996). http://www.ssi.gouv.fr/fr/confiance/ebios.html
-
(5) - DCSSI - Critères Communs - (1999). http://www.ssi.gouv.fr/fr/confiance/cc21.html
-
(6) - Information Security Risk Assessment Guide. – - Practices of Leading Organizations, US General Accounting Office - Exposure Draft.
-
...
Cet article est réservé aux abonnés.
Il vous reste 94 % à découvrir.
Déjà abonné ? Se connecter
Article inclus dans l'offre
"Sécurité des systèmes d'information"
(82 articles)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
