Présentation
RÉSUMÉ
La sécurité des systèmes d'information est, depuis toujours, un élément clé de la survie de l'entreprise. L'audit est une brique nécessaire de l'implémentation de la roue de Deming représentative du cycle d'amélioration continue. Dans un contexte de système d'information, l'audit de sécurité doit vérifier que les phases amont sont bien implémentées en vue d'émettre les recommandations nécessaires pour la correction des vulnérabilités éventuellement découvertes. Cet article présente les principales approches et outils utilisés lors des audits de sécurité techniques, que ce soit aux niveaux système, réseau ou applicatif.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l'articleAUTEUR(S)
-
Laurent BUTTI : Expert sécurité Orange
INTRODUCTION
L a sécurité des systèmes d'information (SSI) est l'ensemble des moyens techniques, organisationnels, juridiques et humains, nécessaires et mis en place pour conserver, rétablir, et garantir la sécurité du système d"information . » (source : Wikipedia).
Les trois primitives essentielles de la sécurité des systèmes d'information sont :
l"intégrité : les données doivent être celles initialement déclarées, et ne doivent pas être altérées de façon fortuite ou volontaire ;
la confidentialité : propriété qu'une information n'est, ni disponible, ni divulguée aux personnes, entités ou processus non autorisés ;
la disponibilité : le système doit fonctionner sans défaillance durant les plages d'utilisation prévues, garantir l'accès aux services et ressources installées avec le temps de réponse attendu.
La sécurité des systèmes d'information est, depuis toujours, un élément clé de la survie de l'entreprise. Mais, ce n'est que depuis quelques années qu'une prise de conscience est apparue, du fait probablement d'événements médiatiques majeurs ayant impacté les activités de quelques multinationales ou États.
-
L'année 2011 a été particulièrement riche en événements marquants
ExemplesNous pouvons citer Sony qui n'a pu empêcher la compromission de millions de comptes de ses clients, ainsi que la perte de son service Playstation Network durant plusieurs mois.
Les détails publics sur ces attaques ont malheureusement témoigné d'erreurs majeures de la part de Sony vis-à-vis de ses procédures de sécurité opérationnelle. Cela, combiné à une forte arrogance (ou inconscience), a mené au naufrage de certains de ses services, avec des pertes estimées à plusieurs dizaines de millions de dollars.
Les sociétés dont le métier est la sécurité informatique ne sont pas non plus épargnées, comme l'atteste la compromission des réseaux internes de la société RSA où, malheureusement, les attaquants n'ont utilisé que des techniques et outils classiques (comprendre disponibles sur Internet et utilisables donc par n'importe qui sans requérir de compétences pointues) (voir le Pour en savoir plus ).
Les États ne sont pas en reste avec un exemple, parmi tant d'autres, comme la compromission du réseau du ministère des Finances et de l'Industrie française découvert en début d'année...
Cet article est réservé aux abonnés. Il vous reste 92 % à découvrir.
Déjà abonné ? Se connecter
MOTS-CLÉS
Informatique | sécurité
DOI (DIGITAL OBJECT IDENTIFIER)
CET ARTICLE SE TROUVE ÉGALEMENT DANS :
Audits de sécurité - Méthodologies, outils et retour d'expériences
Quid des audits
Sources bibliographiques
Cet article est réservé aux abonnés. Il vous reste 92 % à découvrir.
Déjà abonné ? Se connecter
Article inclus dans l'offre
"Sécurité et gestion des risques"
(
510 articles
)
Actualisée et enrichie d’articles validés par nos comités scientifiques.
Quiz, médias, tableaux, formules, vidéos, etc.
Opérationnels et didactiques, pour garantir l'acquisition des compétences transverses.
Un ensemble de services exclusifs en complément des ressources.
