Résumé en Français








télécharger 0.73 Mb.
titreRésumé en Français
page14/21
date de publication08.07.2017
taille0.73 Mb.
typeRésumé
ar.21-bal.com > loi > Résumé
1   ...   10   11   12   13   14   15   16   17   ...   21

Sécurité & Qualité

Introduction


La sécurité ne peut pas être traitée sous forme d’un module à part. C’est une notion permanente à appliquer à tous les domaines « IT » et non « IT » de l’entreprise.

Une vision d’ensemble est nécessaire. Un regroupement des domaines similaires ou qui utilisent les mêmes composants est donc fortement souhaitable. Ceci permet de conserver une meilleure cohérence globale.

Figure 20 - Le mur de la sécurité



Dans le ``mur`` de la sécurité, il est risqué ou simplement gaspillé, d’investir énormément sur un seul aspect en ignorant les autres.

Dans l’ exemple ci-dessus, l’entreprise n’a pas de broyeur papier. Il est préférable de mettre en place une sécurité homogène, qui dépasse le simple cadre « IT », et qui soit correctement proportionnée à la ‘valeur’ des objets protégés et aux risques.

80% du budget ``sécurité`` d’une entreprise peut passer dans la protection contre les intrusions externes, alors que 80% des indiscrétions sont internes (source CXP, Gigagroup company).

Figure 21 - Sécurité: Répartition des risques et des investissements (source partielle : CXP/Gigagroup)



J’ai simplifié l’approche sécurité dans une vision en trois volets :

  • « Deny of Services » : Perte d’accès ou de performances d’accès à un service :

  • Par malveillance, le plus souvent en aveugle à travers des virus

  • Involontairement, par erreur ou mauvaises manipulations (bugs)

  • Les fuite d’informations sont rarement involontaires.

il peut arriver par exemple que l’absence de procédure claire provoque la publication de pages ``indiscrètes`` sur le web.

  • La santé des personnes et la sauvegarde des biens ne peuvent être écartées des aspects IT. L’insécurité est plus forte dans certains pays, mais il est nécessaire de s’interroger à la mise en place d’un nouveau système.

Par exemple pour l’installation d’un système « VoIP », les numéros d’urgence sont-ils tous systématiquement accessibles ? Avez-vous pensé au 112 ? Comment cela a-t-il été vérifié ? Est-ce que cela fonctionne toujours depuis la dernière mise à jour majeure ?

Figure 22 - Répartition des Risques (estimation personnelle)



Cette répartition des risques est basée sur mon expérience personnelle, elle varie d’une entreprise à l’autre. J’ai écarté les risques sur les personnes (9 à 12) qui dépendent trop du milieu.

  • (3) Les pertes de disponibilité d’un service sont généralement le fait d’une défaillance technique. La chaîne des composants impliqués dans le bon fonctionnement d’un service applicatif peut être complexe et longue.

  • (2) Toutefois la principale source volontaire de perte de performances avec des arrêts de services provient des virus, à cause de la messagerie et de la navigation sur l’Internet.

  • (5) C’est aussi grâce à des sortes de virus que la plupart des intrusions réussiront à traverser même d’excellents « firewall », via des ``chevaux de Troie`` (« Trojan »).

La sécurité passe d’abord par une bonne connaissance des informations à protéger :

  • Estimation des valeurs qu’elles représentent.

  • Lieux de stockage.

  • Par où et par qui elles circulent sous leurs formes « IT » et non « IT » (papier, téléphones, discussions, …).

Cela implique de maîtriser les inventaires systèmes et applicatifs, les données stockées et les procédures (« process »). Les principes qualités nécessitent la même maîtrise. C’est la raison pour laquelle j’ai regroupé ces deux domaines.

Il est nécessaire de qualifier les données elles-mêmes.

Tableau 10 - Classification de l’accès aux données (« confidentiality »)



Les données confidentielles circulent aussi en dehors de l’entreprise, chez les fournisseurs et partenaires, parfois chez les clients (contrats de ventes, factures). Généralement on peut faire les constats suivants :

  • Les groupes de confidentialité sont souvent flous. (documents avec la mention ``confidentiel``, mais sans désigner la liste de diffusion)

  • Les données confidentielles se perdent au milieu de données à caractère ``interne``.

  • Les membres des groupes de confidentialité peuvent varier dans le temps.

  • Les membres du département « IT » peuvent accéder à ces données (avec leur accès administrateur).

Les données secrètes (un code bancaire, un mot de passe, un contrat de vente très important mais pas encore conclu, …) :

  • Sont strictement limitées à une liste nominative et finie de personnes.

  • Si possible, elles ne sont pas stockées sur un support informatique.

  • Les membres « IT » ne devraient pas pouvoir y accéder sans laisser une trace visible et nominative.

Pour permettre de maintenir des données informatiques limitées à une liste déterminée de personnes, il est nécessaire de pouvoir stocker le fichier sous forme cryptée, avec la liste des personnes autorisées. Ceci nécessite une solution « SSO », « PKI » ou similaire (voir en annexe SSO & PKI).

Cette approche classique en matière de sécurité oublie une information importante pour « IT » : La détermination des auteurs autorisés (« writer » ou « author »), qui est surtout critique pour assurer l’intégrité des informations publiques. De plus, la création de ces groupes d’auteurs ou de lecteurs nécessite d’identifier les gestionnaires autorisés à en modifier les membres (« coordinator » ou « owner »).

Tableau 11 - Gestion des groupes (« integrity »)

Type of data

Groups creation

Groups Membership decision

Public

Writer Group (Author)

WG Coordinators list (Owners)

Internal

Writer Group

WG Coordinators list

Confidential

Confidential Reader Group

Writer Group

RG + WG Coordinators list

Secret

Restricted Reader list

Restricted Writer list

Initiate from the owner (Creator)

« List » = liste de personnes nominativement désignées (pas de comptes génériques ou de groupes)
« Group »  = groupe dont la liste les membres peut changer dans le temps

La détermination des auteurs autorisés (« Writer »), permet de fixer un paramètre de contrôle d’intégrité, complémentaire à la notion de confidentialité.

Tableau 12 - Protections selon le risque et l'origine



Ensuite, il faut définir les délais de disponibilité ou plus précisément, la tolérance de non-disponibilité. C’est un facteur qui peut varier dans le temps (sur une durée de vie, ou sur une période de l’année plus cruciale).

Tableau 13 - Classification de la disponibilité des données (« criticity »)



Un service d’infrastructure fondamental qui ne soutient que des services « Business » ``importants`` peut être classé dans la catégorie « SFT », si le nombre de ces services ``importants`` est suffisant. (voir Figure 11 - Mise en évidence des services fondamentaux)

Les services critiques, même « SFT » peuvent tomber en panne. Ils devraient pouvoir être remis en service en 2 à 4 heures maximum.

Notez qu’un classement de la criticité s’applique plus à un service (un traitement, des applications) qu’à une donnée. Trois autres risques sont prévenus dans ce tableau :

  1. Les défaillances techniques ou erreurs humaines sont couvertes par les sauvegardes (« Backup »). Pour certains services très critiques, dont la rupture peut avoir des conséquences lourdes, il sera nécessaire de tenter la mise en place de solutions « SFT » (à Tolérance de panne). La mise en place de solutions « SFT » sera encore plus nécessaire pour les services d’infrastructure fondamentaux (4), sur les réseaux et les systèmes. Les supports (médias) de certaines sauvegardes vont être déplacées à l’extérieur de l’entreprise pour permettre la couverture du deuxième risque ci-après.

  • Il est superflu d’installer des systèmes « SFT » avec redondances, sur des solutions dont la probabilité de panne est inférieure à une fois tous les 3 ans (fonctionne à 99.9%). A moins d’avoir besoin d’une solution ``SFT+`` à 99.99% (une panne tous les 27 ans).

  • Il est gaspillé d’investir lourdement dans une solution « SFT » sur un service dont les composants d’infrastructure qui le soutiennent ne sont pas eux-mêmes « SFT » (LAN, accès WAN, …)

  • Il peut toutefois être important d’installer du « SFT » pour limiter la perte de données créées pendant la période aveugle (« Backup blind period12 ») entre deux sauvegardes, si la valeur de ces données le justifie. (Solutions « Disk to Disk », « Raid1 » ou « Raid5 », …)

  1. Le désastre : Les plans de recouvrement d’un désastre majeur (Incendie, inondation, Séisme, …) ne sont pas nécessairement associés aux données les plus critiques. L’entreprise peut fonctionner en mode dégradé sur une partie minimale des services. La sélection de ces services dépend totalement du « Business ». Dans les PME cette sélection est trop souvent implicite.

  2. Quant à l’historique, il permet de limiter les risques de perte de données par altération non détectée entre deux sauvegardes (suppressions complètes ou partielles, erreurs de saisies, fichiers détériorés). Il permet aussi une sorte d’archivage qui peut dépendre des législations en vigueur. Il est nécessaire de compléter les informations sur la profondeur de l’historique, avec la période minimale, qui est généralement variable dans le temps.

Par exemple : Une comptabilité, est sauvegardée à vie, mais annuellement. Par contre le dernier exercice (l’année en cours) est sauvegardé et conservé mensuellement (après chaque clôture). Pour le dernier mois en cours, une sauvegarde journalière évitera un lourd travail de resaisie en cas de défaillance. Le délais de recouvrement du service, sera ``Normal`` du 5 au 25 du mois, mais « Fast » du 26 au 4 (80% des écritures sont saisies entre le 26 et le 30, mais surtout, le bilan mensuel doit être remis en direction le 5 au plus tard).

  • Les supports magnétiques ne sont pas adaptés pour des sauvegardes au delà de 5 à 10 ans. La perte progressive du magnétisme rend caduque la garantie de disponibilité au delà. (comme une cassette VHS)

La prise en charge des aspects qualité et sécurité d’une entreprise pour « IT » passe par les domaines suivants :

  • Les inventaires

  • Les documents et leurs manipulations

  • Les procédures internes et externes

  • La supervision de la sécurité



« Asset Management » ou Gestion des inventaires


Une pièce fondamentale du rôle d’un service « IT » est d’assurer une gestion étendue et complète des ressources sous sa responsabilité, cela peut comprendre :

  • Hardware (informatique et télécoms)

  • Software (gestion des licences)

  • Staff (gestion des équipes et des compétences)

  • Equipements généraux et accessoires (meubles, consommables, …)

  • Contrats (commerciaux, télécoms, support, …)

  • Approvisionnements (ERP)

  • Budgets & Amortissements

  • Projets & services




Il est fortement souhaitable de ne pas limiter la solution de gestion des inventaires, ni aux simples équipements matériels, ni aux objets exclusivement « IT ». La gestion des licences est un des points le plus délicat pour les structures « IT »

(voir en annexe Gestion des licences)

« Document (Information) Management »


La gestion des informations et de la façon de les présenter comprend :

  • « File Sharing » : L’organisation des groupes d’accès sur les dossiers partagés.

  • « Storage » : Comprenant la maîtrise des espaces disques, du niveau de confidentialité des contenus et des groupes y accédant.

  • Archivage électronique : En conformité avec les réglementations en vigueurs.

  • Intranet : Correspond à un « file Share » sophistiqué.

  • Internet : Déterminer clairement les règles de mise à jour et de contrôle avant publication.

  • Services & applications : Les données des applications, et la façon dont elles vont être diffusées (Emails, Impressions, Fax, …)

  • Accès à la formation pour les usagers : Une mauvaise compréhension des utilisateurs peut présenter des risques.

  • Gestion des groupes et des accès : La gestion du contenu (membres des groupes et de leurs accès est une pièce fondamentale.





« Process Management »


Les procédures doivent permettre d’assurer l’intégrité des objets cités précédemment. Mais il est nécessaire pour les objets les plus critiques, de prévoir la mise en place de procédures de contrôle :

Tableau 14 - Procédures et contrôles

Procédures

Objets

Proc. Contrôles

arrivées-départs-mutations-réorganisations (registration desk)

Inventaires

Groupes d’accès

Contrôle d’inventaires

Groupes d’accès

help desk, hot line

Inventaires

Formations

Qualité

« Escalation » (escalade)

service desk (new projects)

« Service catalog »

« Projects catalog »

« Escalation »

Sauvegardes (« Backup »)

« Disaster recovery »

Disponibilité

Relectures de bandes

Essais de restaurations

« Disaster plan »

Services/Systèmes

Essais

« Tuning » 

Systèmes/Réseaux

Audits

« Monitoring »

Systèmes/Réseaux

Audits

Mesure des disponibilités











« Security Management »


Ce module assure l’organisation et la gestion des comptes utilisateurs des systèmes et des applications. Il va prendre en charge les éléments suivants :

Tableau 15 - Sécurité: Rôles et Actions

Role

Actions

Intrusion protection

Servers & Clients hardening

Virus update

Firewall

SSO



Information confidentiality

Groups & Security Management

SSO

Crypting solutions



Deny of service protection

Servers & clients hardening

Virus update



Availability: SFT, DOS (Deny of Service)

Monitoring (System & Network)

« Disaster & crash Recovery »

Electricity

PKI



Epilogue
1   ...   10   11   12   13   14   15   16   17   ...   21

similaire:

Résumé en Français iconResumé Maya Husseini Ayoub [ francais]
«verre au chalumeau», animé par le Maestro italien Luccio Bubacco à Sars-Poteries (France)

Résumé en Français iconRésumé : Cette étude sur les processus de production urbaine du Val...

Résumé en Français iconRésumé : Noms communs et noms propres. Les points les plus importants...

Résumé en Français iconM aïa Grégoire Odile Thiévanaz Professeur de français langue étrangère...

Résumé en Français iconBeauté Prestige International (Groupe Shiseido)
«mètre d’argent» à l’Institut Français du Merchandising / Janus du Commerce à l’Institut Français du Design

Résumé en Français iconCours de français à Alliance française de Dnipropetrovsk, cours privés...

Résumé en Français iconLe français reconquiert l’Algérie
«C’est le paradoxe. On donne des visas à des trabendistes [trafiquants sur le marché noir, ndlr] et on les refuse à des types comme...

Résumé en Français iconProgramme de français : Le français et les langues anciennes
«Langues et cultures de l’Antiquité» et «Culture et création artistiques» en lien avec les langues anciennes et l’histoire»

Résumé en Français iconRésumé a partir des travaux portant sur l’image des points de vente,...
«information» des sites web, mais aussi la capacité des dimensions classiques du concept d’image des magasins à être appliquées aux...

Résumé en Français iconProgramme de français








Tous droits réservés. Copyright © 2016
contacts
ar.21-bal.com