Méthodologie de la

sécurité informatique
(Système de Management de la Sécurité de
l’Information)

université d’Alger 1 -
Benyoucef Benkhedda
Introduction:

Sécuriser un tel système signifie:

üEvaluer les risques et leur criticité (cartographie des risques)

üLes choix de sécurité Étape difficile

üMettre en œuvre les protections, et vérifier leur efficacité.

“Tout est basé sur la DÈCISION”

2
information security management system :

"An information security management system (ISMS) is a set of

policies and procedures for systematically managing an organization's
sensitive data. The goal of an ISMS is to minimize risk and ensure
business continuity by pro-actively limiting the impact of a security breach.

An ISMS typically addresses employee behaviour and processes as well

as data and technology. It can be targeted towards a particular type of
data, such as customer data, or it can be implemented in a comprehensive
way that becomes part of the company's culture.”

- Techtarget.com
3
Intégration de la sécurité :

1. Intégrer la sécurité au sein d’une organisation

2. Intégrer la sécurité dans les projets

3. Politique de la sécurité des systèmes d’information (PSSI)

4. Difficultés liées à la prise en compte de la sécurité

4
1.Intégrer la sécurité au sein d’une
organisation

5
1. Intégrer la sécurité au sein d’une organisation
Afin d’évaluer le niveau de sécurité attendue, les questions suivantes peuvent être
posées :
• Qu’est ce que je veux protéger ?
• De quoi je veux me protéger ?
• A quel type de risques mon organisation est exposée ?
• Qu’est ce que je redoute ?
• Quelles sont les normes qui s’appliquent à mon organisation ?

6
1. Intégrer la sécurité au sein d’une organisation
L’organisation peut s’inspirer de la famille de norme internationale ISO 2700x et des
guides nationaux (référentiel de sécurité informatique 2016)

• Systèmes de management de la sécurité de

27001 l’information

27002 • Code de bonnes pratiques

27004 • Mesures du management de la sécurité

27005 • Gestion des risques

27035 • Gestion des incidents de sécurité

27037 • Traitement des preuves numériques (forensics)

… • …
7
1. Intégrer la sécurité au sein d’une organisation
Classification des informations
Intitulé Explication Exemple Risque

C1 Accès libre Tout le monde peut y accéder Informations publiées sur le site Aucun
internet

C2 Accès à Seul le personnel de l’organisation est Nom, adresse des partenaires et Atteinte à l’image, gêne
l’organisation autorisé à accéder à l’information fournisseurs de l’organisation passagère

C3 Diffusion limitée Au sein de l’organisation, seul un groupe de Plan technique d’un nouveau Situation à risques ;
personnes est autorisé comme les membres laboratoire ; Listes der personnes pertes financières
du même projet admissibles avant publication acceptables
officielle…

C4 Confidentiel L’information est accessible à une liste très Contenu des brevets déposés ; Pertes financières
restreinte d’utilisateurs à titre individuel Recherche en cours ; N° de sécurité inacceptables,
sociale et noms… poursuites judiciaires

8
1. Intégrer la sécurité au sein d’une organisation
Classification des informations
Sur la base des niveaux de confidentialité définis, les mesures suivantes peuvent être
implémentées :
• Une politique de gestion des informations est définie :
• Création d’un modèle de document indiquant le niveau de confidentialité ;
• Sensibilisation du personnel et des partenaires à cette politique.

• Les informations de niveau « Confidentiel » doivent être :

• envoyées par mail de manière chiffrée et le mot de passe communiqué par SMS aux destinataires ;
• stockées localement dans des conteneurs chiffrés.

• Les informations de niveau « Diffusion limitée » doivent être échangées au travers au travers
d’un système documentaire collaboratif ayant des accès nominatifs contrôlés, par exemple MS
SharePoint.

9
2. Intégrer la sécurité au niveau du projet

10
2. Intégrer la sécurité au niveau du projet

Il s’agit de bien distinguer entre la sécurité du système d’information qui est un des objets du projet
et la sécurité du projet en lui-même (diffusion et traitement des informations).

Concernant la sécurité du SI en lui-même :

• Toute activité étant gérée en mode projet, une bonne intégration de la sécurité dans l’organisation
nécessite l’intégration de la sécurité dans chaque projet dans le respect de la réglementation ;

• Isoler les traitements de données sensibles au sein de projet pour avoir une meilleure maîtrise
des risques et des mesures de sécurité à mettre en œuvre pour réduire ces risques.

La sécurité doit être prise en compte dans toutes les étapes d’un projet

11
2. Intégrer la sécurité au niveau du projet
Exemple d’intégration

• Perception d’un besoin • Formalisation de besoins • Développement logiciel ou • Déploiement dans • Libération des ressources
Phases

• Expression des besoins fonctionnels matériel l’environnement de production • Fin du projet

• Création d’un projet • Étude de marché • Construction de prototype • Test de performance
• Étude de faisabilité • Tests utilisateurs • Maintien en Condition
• Analyse de coût • Documentation Opérationnelle
• Planification • Exploitation
• Identification des entrée/sortie

Étude / Implémentation / Exploitation /

Conception Fin de vie
Initialisation Prototype / Test Maintenance

• Analyse de risques • Analyse de risques • Développement • Maintien en condition de • Archivage des

amont • Proposition de mesures de • Prise en compte des sécurité informations
• Consultation des sécurité bonnes pratiques • Gestion des incidents • Effacement sécurisé
équipes sécurité • Identification des risques • Top 10 OWASP1 • Analyse Forensique • Réversibilité
Sécurité

résiduels • Validation sécurité • Sauvegarde • Mise au rebut

• Expressions de besoins de • Contrôle des mesures de • Supervision de sécurité • Obsolescence des
sécurité sécurité • Veille de sécurité configurations
• Estimation de coûts • Audit (technique, opérationnel)
• Tests d’intrusion
• Résilience

1Open 12
Web Application Security Project
2. Intégrer la sécurité au niveau du projet
Différentes approches d’intégration

• Sécurité prise en compte en fin de développement

Ø Intégration des solutions de sécurité après finalisation du projet (après développement d’une
application par exemple)
Ø Problèmes de coût, des délais et des efforts supplémentaires
Exemple d’un projet de construction d’une nouvelle salle devant hébergée les serveurs de l’organisation :
• L’audit de sécurité fait le constat que :
• Les baies de stockage des serveurs ne se ferment pas à clé ;
• Pas de mécanisme de contrôle d’accès (lecteur de badge) prévu tracer les accès ;
• Pas de redondance (alimentation, accès de télécommunications) des équipements ;
• Aucune alarme anti-intrusion ou incendie n’est prévue ;
• L’arrivée de câbles dans la salle est exposée à des actes de malveillances ;
• La salle est construite en zone inondable.
• Conséquences :
• Rachat de matériel et d’équipements => coût supplémentaire ;
• Re-câblage de la salle, et travaux de génie civil à prévoir ;
• Relocation de la salle ou reconstruction => coût supplémentaire très importante.
13
2. Intégrer la sécurité au niveau du projet
Différentes approches d’intégration

• L’approche par l’analyse et le traitement du risque

L’analyse de risques doit être effectuée en amont du projet mais doit aussi évoluer au fur et à mesure de
l’exploitation du système et fonction de l’évolution des risques.

L’analyse de risque consiste à :

• identifier les biens à protéger,
• analyser de la fréquence et la gravité du danger pour évaluer la criticité du risque,
• établir une hiérarchisation des risques : fréquence vs gravité,
• établir un seuil d’acceptabilité pour chacun de ces risques,
• seuil au-delà duquel le risque doit être pris en compte par les mesures de sécurité.
• identifier des mesures de sécurité.

Les mesures ainsi identifiées peuvent constituer un cahier de charges sécurité pour le projet qui soit réalisé en
interne ou externalisé.

14
2. Intégrer la sécurité au niveau du projet
Différentes approches d’intégration

• L’approche par l’analyse et le traitement du risque

Identifier les biens à

Risque 1
protéger

Niveau de risque
Risque 2
Gravité
Risque 3
Seuil de prise
Menaces en compte du
Probabilité Risque 4 risque
d’occurrence
Risque 5

15
2. Intégrer la sécurité au niveau du projet
Différentes approches d’intégration

• L’approche par l’analyse et le traitement du risque (zones de risque)

16
2. Intégrer la sécurité au niveau du projet
Différentes approches d’intégration

• Plan d’action du SSI

Le défi vis-à-vis de la mise en place des mesures de sécurité est asymétrique entre
« attaquer » et « défendre » :
• L’attaque peut réussir par l’exploitation d’une seule vulnérabilité ;
• Tandis que la défense doit prendre en compte l’ensemble du système.

Un plan d’action des mesures de sécurité à mettre en place à l’issue de l’analyse de

risques devrait respecter le principe de « défense en profondeur » qui recommande :
• d’avoir plusieurs lignes de défenses indépendantes ;
• que chaque ligne constitue une barrière autonome contre les attaques ;
• que la perte d’une ligne de défense implique qu’on passe à un niveau de défense plus fort.

Ce plan d’action est élaboré et décrit dans un document appelé « politique de

sécurité du système d’information (PSSI) » 17
2. Intégrer la sécurité au niveau du projet
Différentes approches d’intégration
• Plan d’action du SSI

Politique de sécurité, procédure de secours, Politique,

sensibilisation… procédures

Sécurité
Gardiens, verrous, contrôle d’accès… physique

DMZ
Pare-feu, VPN, Zone démilitarisée…

Réseau
Interne
Sous-réseau, NIDS, VLAN…

Machine
Antivirus, Correctifs de sécurité, HIDS, Authentification

Contrôle des entrées, test d’intrusion, Application

communication (https, ssh…), traçabilité…
Donnée 18
Chiffrement, mots de passe, droit d’accès par fichier/répertoire
3. Politique de sécurité de système
d’information (PSSI)

19
3. Politique de sécurité de système d’information (PSSI):

üUn plan d'actions définies pour maintenir un certain niveau de

sécurité.
üL'ensemble des orientations suivies par une entité en termes de
sécurité.
üElle reflète la vision stratégique de la direction de l'organisme en
matière de sécurité des systèmes d'information .

20
3. Politique de sécurité de système d’information (PSSI):

üLa politique de sécurité des systèmes d'information est intrinsèquement

liée à la sécurité de l'information.

üNe se limite pas à la sécurité informatique.

üElle est généralement organisée autour de 3 axes majeurs:
Ÿ physique des installations,
Ÿ la sécurité logique du système d'information
Ÿ la sensibilisation des utilisateurs aux contraintes de sécurité.

üElle constitue alors un véritable outil de communication sur

l'organisation et les responsabilités.
21
3. Politique de sécurité de système d’information (PSSI):
méthodologie d’élaboration de PSSI:

üLa démarche se base sur:

Ÿ Le référentiel de l’organisme :schéma directeur, meilleures pratiques,
directives internes...
Ÿ Une analyse des risques

üL’objectif de la méthode consiste à construire un document de politique

comprenant des éléments stratégiques et des règles de sécurité
pour l’organisme étudié.

üLes règles de sécurité : définissent les moyens et les comportements

définis dans le cadre de la PSSI.

22
3. Politique de sécurité de système d’information (PSSI):

23
PSSI (phase 0): préalables

24
PSSI (phase 0): tache 1 - Organisation du projet
üconsiste à définir l'organisation du "projet PSSI" afin d'élaborer le cadre
de réalisation.

üDémarche:
Ÿ nommer un chef de projet.
Ÿ constituer un comité de pilotage.
Ÿ constituer un groupe d’experts.
Ÿ attribuer un budget.
Ÿ formaliser des objectifs détaillés.
Ÿ établir un calendrier.

25
PSSI (phase 0): tache 2 - Constitution du
référentiel
üIdentifier le référentiel documentaire de l'organisme.
üDémarche sert à construir:
Ÿ Aspects légaux et réglementaires.
Ÿ Grands principes d'éthique.
Ÿ Le référentiel de sécurité interne.
Ÿ Obligations contractuelles engagé par l’organisme vis à vis de ses clients ou
partenaires spécifiques.

26
PSSI (phase 1): élaboration des éléments
stratégiques

27
PSSI (phase 1): tache 1 - Définition du périmètre
üDécrire les domaines d'activités à couvrir et à affiner le périmètre,
notamment les échanges entre les domaines et l’extérieur du périmètre

üDémarche:
Ÿ lister l’ensemble des domaines d'activités jouant un rôle dans le système
Ÿ sélectionner et décrire les domaines d'activités essentiels au fonctionnement de
l'organisme.
Ÿ identifier ceux qui constituent le périmètre de la PSSI et ceux qui en sont exclus.

28
PSSI (phase 1): tache 2 - Détermination des
enjeux et orientations stratégiques
üprésenter les enjeux et orientations stratégiques liés au périmètre de la
PSSI.

üDémarche: prendre en compte

Ÿ la contribution du système d'information à la qualité du service rend
Ÿ la satisfaction des contraintes externes ;
Ÿ la rentabilité économique du projet ;
Ÿ les contraintes (techniques, financières, d'environnement...) et exigences
(techniques ou organisationnelles) de l'organisme et du système d'information.

29
PSSI (phase 1): tache 3 - Prise en compte des
aspects légaux et réglementaires
üprésenter l'ensemble du référentiel légal, réglementaire et contractuel
applicable au périmètre de la PSSI.

üDémarche: il est nécessaire de prendre en compte l'ensemble des

éléments issus majoritairement du référentiel identifié dans la phase
préalable
Ÿ aspects légaux et réglementaires ;
Ÿ grands principes d'éthique ;
Ÿ obligations contractuelles ;
Ÿ obligations contractuelles des prestataires ou partenaires ayant un impact sur le
périmètre de la PSSI.

30
PSSI (phase 1): tache 4 - Elaboration d'une
échelle de besoins
üdéfinir une échelle de mesure utile à l'expression des besoins de
sécurité pour les domaines d'activités identifiés.

üDémarche:
Ÿ sélectionner les critères de sécurité à prendre en compte
(disponibilité, l'intégrité et la confidentialité). par exemple: une échelle de
confidentialité comme suit:

31
PSSI (phase 1): tache 5 - Expression des besoins
de sécurité
üidentifier de manière générale les besoins de sécurité associés à
chaque domaine d'activités

üDémarche: exploiter les résultats des étapes précédentes

Ÿ la liste des domaines d'activités (et éventuellement des fonctions et
informations) définissant le périmètre de la PSSI.
Ÿ la liste des critères de sécurité retenus .
Ÿ l'échelle de besoins (impacts et valeurs de référence).

32
PSSI (phase 1): tache 6 - Identification des
origines des menaces
üidentifier et caractériser les origines des menaces qui pèsent sur le
périmètre de la PSSI.

üDémarche:Les méthodes d'attaque retenues sont ainsi caractérisées :

Ÿ Les critères de sécurité qui peuvent être affectés sont identifiés
Ÿ Les éléments menaçants qui pourraient les employer peuvent et être
caractérisés par :
Ÿ un type.
Ÿ une cause.
Ÿ un potentiel d'attaque estimé.

33
PSSI (phase 2): sélection des principes et
rédaction des règles

34
PSSI (phase 2): tache 1 - Choix des principes de
sécurité
üSélectionner les principes de sécurité à utiliser.
üDémarche: un choix qui doit être effectuer sur la base de:
Ÿ le référentiel du système d’information
Ÿ la définition du périmètre de la PSSI
Ÿ la liste de besoins de sécurité identifiés
Ÿ la liste des origines de menaces retenues.

35
PSSI (phase 2): tache 2 - Elaboration des règles
de sécurité
üInstancier les principes retenues en règles de sécurité en se basant sur
les éléments déclarés dans la note de cadrage et celle de la statégie.

üDémarche: découpage et affinage des principes afin de produire des

règles qui doivent reflèter:
Ÿ la couverture des origines des menaces retenues.
Ÿ les critères de sécurité (disponibilité, intégrité, confidentialité...) que les origines
de menaces concernées peuvent affecter.

36
PSSI (phase 2): tache 3 - Elaboration des notes
de synthèse
üconsiste à synthétiser le travail déja établi afin de le valider et finaliser
le document de la PPSI.

üDémarche: élaborer une note de synthèse justifiant les principes choisis ainsi que
la déclinaison des règles.

üGénéralement, la note de synthèse est élaborée par le groupe des experts à

déstination du comité de pilotage qui, à son tours, aprés validation la propose à la
direction générale.

37
PSSI (phase 3): finalisation

üConduire une étape ultime de validation de la PSSI et du plan d’action

associé par la direction générale.

38
PSSI (phase 3): tache 1 - Finalisation et validation
de la PSSI
üProduire un document déscriptif de la PSSI et validé par l’hiérarchie
üDémarche: consiste à vérifier:
Ÿ la cohérence des règles énoncées.
Ÿ l’exhaustivité de la couverture des risques jugés comme significatifs.
Ÿ la traduction complète de l’ensemble des principes et règles, jugés pertinents
pour l’organisme et énoncés dans le référentiel .
Ÿ l’applicabilité des exigences et règles en fonction des pratiques en vigueur au
sein de l’organisme.

39
PSSI (phase 3): tache 2 - Elaboration et validation
du plan d’action
üAssurer l’application de la politique sur le système étudié.
üDémarche: chaque responsable d’unité opérationnelle ainsi que le responsable
de la sécurité doit construire un document déscriptif d’un plan d’action permettant
de citer le actions prioritaires, par rapport à l’existant, à implémenter

üLa priorité est fixée pour s’assurer la prise en compte des risques les plus
significatifs.

üLe plan d’action sera soumis pour validation au comité de sécurité chargé de la
validation et de l’évolution de la politique.

40
4. Difficultés liées à la prise en compte
de la sécurité

41
4. Difficultés liées à la prise en compte de la sécurité
Une compréhension insuffisante des enjeux…

…liée à un problème d’éducation

L’information a une valeur importante pour l’entreprise, pour les concurrents, pour les
États. On parle aujourd’hui de « guerre de l’information ».

42
4. Difficultés liées à la prise en compte de la sécurité
Une compréhension insuffisante des enjeux…

…liée à un problème de formation

• Des dirigeants qui n’ont pas tous une culture sécurité ;

• Des évolutions vers le poste de « RSSI », sans formation

complémentaire adéquate

• Un coût lié à la sécurité qui rebute en période de crise

43
4. Difficultés liées à la prise en compte de la sécurité
Une compréhension insuffisante des enjeux…

…entrainant de nombreux risques pour l’entreprise ou pour l’organisation

• Perte d’informations essentielles ;
• Arrêt de la production ;
• Détérioration de l’image/réputation ;
• Risques juridiques/réglementaires…

…entrainant de nombreux risques pour les États

• Indisponibilité de services ;
• Perte de crédibilité ;
• Divulgation d’informations sensibles ;
• Risques de conflits avec d’autres États…
44
4. Difficultés liées à la prise en compte de la sécurité
L’implication nécessaire de la direction

Le chef d’entreprise doit être conscient des enjeux de sécurité pour l’avenir de son entreprise :
• Être proactif plutôt que réactif. La PSSI est une réflexion stratégique : Elle permet de prévoir l’avenir de
l’organisation ;

• Prendre le temps de comprendre, ne pas être absorbé que par ses marchés, ses clients, ses concurrents, son
relationnel ;

La sécurité :
• va au-delà de la technique. L’humain joue un rôle central ;
• ne doit pas rester un domaine d’experts. La sécurité est l’affaire de tous et une préoccupation de tous les
responsables ;
• n’est pas seulement une contrainte coûteuse mais elle est aussi un investissement, un atout
supplémentaire pour l’organisation.

45
4. Difficultés liées à la prise en compte de la sécurité
Difficulté pour faire des choix en toute confiance
Il est important de faire des choix éclairés en prenant en compte la sécurité.

46
4. Difficultés liées à la prise en compte de la sécurité
Difficulté pour faire des choix en toute confiance
Il est important de faire des choix éclairés en prenant en compte la sécurité.
Quels sont aujourd’hui les matériels ou logiciels de confiance ?
• Ceux issus de l’industrie nationale vs ceux de nos partenaires de confiance : alliés, fournisseurs ;
• Ceux issus du monde libre (« open source ») ;
• Les matériels qualifiés par l’ANSSI (ARPT en Algérie).

Quels sont les organismes de confiance ?

• Les entreprises nationales ou européennes (mais qui sont les actionnaires ) ;
• Nos partenaires de longue date ;
• Les autorités gouvernementales ;
• Les prestataires de service qualifiés par l’ANSSI (ARPT en Algérie).

47
4. Difficultés liées à la prise en compte de la sécurité
Le délicat équilibre entre productivité et sécurité

Authentification requise pour chaque application dans l’entreprise

• Problème pour l’utilisateur : « J’ai besoin de travailler chaque jour avec 5 applications et je dois à chaque fois y saisir un mot
de passe différent ».
• Réaction pour l’utilisateur : « Je note certains mots de passe sur papier ».

Utiliser une application de chiffrement pour partager les fichiers chiffrés avec des partenaires
• Problème pour l’utilisateur : l’interface de Crypt&Share n’est pas ergonomique.
• Réaction de l’utilisateur : « Je vais utiliser Box ou DropBox pour partager les informations avec mes partenaires ».

Les informations classifiées au niveau 4 (niveau de sensibilité le plus élevé) ne doivent pas sortir du S.I.
• Problème pour l’utilisateur : J’ai besoin de l’avis d’un prestataire extérieur sur certaines informations de niveau 4.
• Réaction de l’utilisateur : Déclassification des informations de manière à ne jamais avoir de niveau 4 mais uniquement des
niveaux 3 ou 2.

48
4. Difficultés liées à la prise en compte de la sécurité
Le délicat équilibre entre productivité et sécurité
• Écouter les utilisateurs et prendre en compte leurs besoins lors de l’étude de solutions de sécurité :
• Proposer des mesures en concertation et avec l’adhésion des utilisateurs concernés autant que possible ;
• Former les utilisateurs pour les aider à prendre en main les nouveaux outils et à bien appliquer les mesures.

• Tester les procédures, dans le but d’évaluer son efficacité (applicabilité, réalisation des objectifs, risques
encourues) :
• Éviter de multiplier les moyens de protection si ceux-ci ne sont pas respectés ;
• il faut parfois investir moins dans la sécurité mais avoir des procédures efficaces.

• Confier la responsabilité de la sécurité à un collaborateur qui a le pouvoir ou les ressources pour la faire
appliquer.

• Choisir les solutions les plus adaptées à sa propre structure, à son fonctionnement, au niveau de maturité
l’entreprise.

49
Cartographie des métiers et compétence en SSI
Phases

Implémentation, Exploitation / Gestion des

Étude Conception
déploiement Maintenance incidents, des crises

Ingénieur de sécurité, architecte de

sécurité, développeur de sécurité,

Investigateur numérique
Métiers

Auditeur organisationnel

Auditeur technique

RSSI, Technicien support

Consultant

Analyste dans un SOC

50