Sécurité et protection du SI Système d'Information
Définition sécurité informatique
La notion de sécurité du système d'information couvre l'ensemble des moyens outils, techniques et méthodes pour garantir que seules les personnes ou autres systèmes autorisés interviennent sur le système et ont accès aux données, sensibles ou non.
Avec l'ouverture des systèmes d'information sur l'extérieur et le rôle de support stratégique tenu désormais par ces derniers, la sécurité est un thème majeur bien trop rarement considéré à sa juste valeur.
Les menaces
Elles sont multiples. Avec l'extension de la cybercriminalité, le responsable sécurité doit agir pour prévenir les attaques du type espionnage, vol de données, sabotage, usurpation d'identité, et assurer une protection efficace des biens numériques.
Les responsabilités
Une sécurité pleinement assurée est aussi un gage de confiance autant pour les partenaires que pour les clients qui volontairement -ou involontairement- confient des données sensibles à l'entreprise. Personne n'est à l'abri. Les sites de e-commerce pillés et les vols de numéros de cartes bancaires, les sites d'emploi en ligne piratés, les informations personnelles des utilisateurs publiées en ligne, sans parler du vaste domaine de l'espionnage industriel, ne sont pas une légende mais bien une réalité d'une économie désormais fondée sur les technologies de l'information.
La démarche de sécurité du système d'information
- Une démarche bien conduite commence classiquement par une estimation des enjeux. Puis, l'identification des risques potentiels est une étape fondamentale. Elle est absolument indispensable. Il est totalement absurde de chercher à mettre en place des méthodes de prévention ou de protection sans avoir au préalable estimer exhaustivement les risques potentiels en terme de probabilité et de gravité.
- Une fois les risques potentiels identifiés, quantifiés et qualifiés, il est alors temps de sélectionner les solutions de prévention en comparant le coût d'usage et le risque couvert.
- Puis, dérouler l'étape de détection avec l'identification exhaustive des moyens pour détecter le plus rapidement possible les attaques et intrusions.
- Enfin, identification des plans secours. Comment revenir le plus rapidement possible à la situation précédent l'attaque.
Les méthodes de sécurité
La méthode MEHARI, Méthode Harmonisée d'Analyse des Risques, est proposée par le CLUSIF, Club de la Sécurité de l'Information Français (Réf. plus bas). MEHARI est l'héritière de la méthode MARION (Méthodologie d' Analyse de Risques Informatiques Orientée par Niveaux) plus ancienne. La méthode MEHARI permet d'évaluer la vulnérabilité du système d'information et de préciser les actions correctrices.
ISO 27000
ISO 27000 est une norme d'origine britannique dédiée au système de management de la sécurité de
l'information. Déclinée en plusieurs sous-normes indicées, thématiques et sectorielles, elle traite aussi bien de la gestion des risques que du pilotage de la fonction (
indicateurs et
tableaux de bord).
La norme ISO 27000 est orientée processus et propose en toute logique une démarche d'amélioration continue
PDCA.
Ressources
Sur le même sujet
Lectures recommandées

Principles of Information Security
Michael Whitman, Herbert Mattord
Course Technology Inc
Une bonne introduction à la sécurité informatique vue dans son ensemble.
(Langue anglaise)
3ème édition 2008
550 pages
Prix librairie : 71,30 Euros
Sur le même sujet :
1
2
3
4
5
Recommandez cet article
Piloter.org le portail francophone du pilotage de la performance
Copyright
: Alain FERNANDEZ ©1998-2010 Tous droits réservés Mentions légales