Présentation
EnglishNOTE DE L'ÉDITEUR
La norme NF EN ISO 19011 de janvier 2012 citée dans cet article a été remplacée par la norme NF EN ISO 19011 (X50-136) "Lignes directrices pour l'audit des systèmes de management" Révision 2018
Pour en savoir plus, consultez le bulletin de veille normative VN1806 (juillet 2018).
RÉSUMÉ
La sécurité des systèmes d'information est, depuis toujours, un élément clé de la survie de l'entreprise. L'audit est une brique nécessaire de l'implémentation de la roue de Deming représentative du cycle d'amélioration continue. Dans un contexte de système d'information, l'audit de sécurité doit vérifier que les phases amont sont bien implémentées en vue d'émettre les recommandations nécessaires pour la correction des vulnérabilités éventuellement découvertes. Cet article présente les principales approches et outils utilisés lors des audits de sécurité techniques, que ce soit aux niveaux système, réseau ou applicatif.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleAuteur(s)
-
Laurent BUTTI : Expert sécurité Orange
INTRODUCTION
La sécurité des systèmes d'information (SSI) est l'ensemble des moyens techniques, organisationnels, juridiques et humains, nécessaires et mis en place pour conserver, rétablir, et garantir la sécurité du système d"information. » (source : Wikipedia).
Les trois primitives essentielles de la sécurité des systèmes d'information sont :
-
l"intégrité : les données doivent être celles initialement déclarées, et ne doivent pas être altérées de façon fortuite ou volontaire ;
-
la confidentialité : propriété qu'une information n'est, ni disponible, ni divulguée aux personnes, entités ou processus non autorisés ;
-
la disponibilité : le système doit fonctionner sans défaillance durant les plages d'utilisation prévues, garantir l'accès aux services et ressources installées avec le temps de réponse attendu.
La sécurité des systèmes d'information est, depuis toujours, un élément clé de la survie de l'entreprise. Mais, ce n'est que depuis quelques années qu'une prise de conscience est apparue, du fait probablement d'événements médiatiques majeurs ayant impacté les activités de quelques multinationales ou États.
-
L'année 2011 a été particulièrement riche en événements marquants
ExemplesNous pouvons citer Sony qui n'a pu empêcher la compromission de millions de comptes de ses clients, ainsi que la perte de son service Playstation Network durant plusieurs mois.
Les détails publics sur ces attaques ont malheureusement témoigné d'erreurs majeures de la part de Sony vis-à-vis de ses procédures de sécurité opérationnelle. Cela, combiné à une forte arrogance (ou inconscience), a mené au naufrage de certains de ses services, avec des pertes estimées à plusieurs dizaines de millions de dollars.
Les sociétés dont le métier est la sécurité informatique ne sont pas non plus épargnées, comme l'atteste la compromission des réseaux internes de la société RSA où, malheureusement, les attaquants n'ont utilisé que des techniques et outils classiques (comprendre disponibles sur Internet et utilisables donc par n'importe qui sans requérir de compétences pointues) (voir le Pour en savoir plus).
Les États ne sont pas en reste avec un exemple, parmi tant d'autres, comme la compromission du réseau du ministère des Finances et de l'Industrie française découvert en début d'année 2011.
De la même manière, les organismes étatiques, qui se sont engagés dans la voie de l'informatique offensive depuis de nombreuses années, n'hésitent plus à l'avouer publiquement, comme cela a été le cas de l'Administration américaine vis-à-vis du développement d'armes informatiques (cf. les vers informatiques Stuxnet, Duqu et Flame qui ne sont vraisemblablement que la partie visible de l'iceberg).
-
En juin 2012, près de 6 millions de comptes utilisateurs du réseau social LinkedIn ont été compromis, ce qui dénote que personne n'est à l'abri. Mais, le fait a aussi pu mettre en lumière des lacunes majeures sur les mécanismes de sécurité mis en œuvre par la société en question. Ce n'est pas parce que la visibilité d'une entreprise est importante, et que peu d'incidents de sécurité ont été rendus publics, que les mécanismes de sécurité sont robustes !
Tout le monde est potentiellement une cible, pour peu bien entendu que vos infrastructures, vos données ou votre image de marque, présentent un intérêt pour des personnes ou organisations malveillantes. Dans ce contexte d'insécurité, où toute faille de sécurité peut être exploitée, et donc impacter l'activité de l'entreprise ciblée, il s'agit alors de réduire les risques autant que possible. Le risque « zéro » n'existant pas par nature, du moment que l'on prend certaines hypothèses (entreprise multinationale par exemple), le but est alors d'identifier ses biens et d'évaluer leur exposition à ces risques afin de sélectionner les mesures de réduction, ou de couverture, du risque les plus adéquates.
-
Enfin, les futures législations européennes relatives à la protection des données personnelles prévoient des sanctions financières aux contrevenants (les entreprises dont des données clientes seraient compromises) avec « une amende égale à 5 % du chiffre d'affaires mondial ». Du même acabit, les failles de sécurité relatives à la compromission de données personnelles devront aussi donner lieu à une notification officielle vers les victimes et les autorités.
Si cela n'est pas déjà fait, ces nouveaux éléments vont fortement inciter les entreprises à engager des moyens conséquents pour assurer leur niveau de sécurité.
La sécurité est certes l'affaire de tous, mais elle est aussi, et surtout, une question de politique d'entreprise et de moyens dédiés à cet effet.
MOTS-CLÉS
DOI (Digital Object Identifier)
CET ARTICLE SE TROUVE ÉGALEMENT DANS :
Accueil > Ressources documentaires > Technologies de l'information > Sécurité des systèmes d'information > Sécurité des SI : organisation dans l'entreprise et législation > Audits de sécurité - Méthodologies, outils et retour d'expériences
Cet article fait partie de l’offre
Sécurité et gestion des risques
(475 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
Cet article fait partie de l’offre
Sécurité et gestion des risques
(475 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
BIBLIOGRAPHIE
-
(1) - SHEWHART, WALTER (A.) - Economic control of quality of manufactured product/50th Anniversary Commemorative Issue. - American Society for Quality, déc. 1980, ISBN 0-87389-076-0. OCLC 223422287 (1930).
-
(2) - ANSSI - * - Recommandations et guides (2013) http://www.ssi.gouv.fr.
-
(3) - CLUSIF - * - Guide de développement d'une base de connaissances d'analyse de risque MEHARI (2012) PDF à télécharger sur le site http://www.clusif.asso.fr.
-
(4) - FARMER (D.), VENEMA (W.) - Improving the security of your site by breaking into it. - (1993) PDF à télécharger sur http://www.des.ed.ac.uk.
-
(5) - MITNICK (K.) - L'art de la supercherie. - CampusPress (2005).
-
(6) - EAGLE (C.) - The unofficial guide to the world's most popular disassembler. - IDA ProBook 2e...
DANS NOS BASES DOCUMENTAIRES
• Aircrack-ng http://www.aircrack-ng.org
• Arachni http://arachni-scanner.com https://github.com/arachni
• Clang http://clang-analyzer.llvm.org
• CFEngine http://cfengine.com
• Coverity Prevent http://www.coverity.com
• Findbugs http://findbugs.sourceforge.net
• Fortify Source Code Analyzer http://www.fortify.com
• GDB http://www.gnu.org/software/gdb
• HashCat https://hashcat.net/hashcat/
• Hex-Rays C/C++ Decompiler http://www.hex-rays.com/products/decompiler/index.shtml
• Hping http://www.hping.org
• Hydra http://www.thc.org/thc-hydra
• Interactive Disassembler (IDA) http://www.hex-rays.com/products/ida/index.shtml
• IPv6 Toolkit http://www.si6networks.com/tools...
Cet article fait partie de l’offre
Sécurité et gestion des risques
(475 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive