Sensibilisation et initiation à la cybersécurité

Sensibilisation et initiation à la cybersécurité Module 4 : La gestion de la cybersécurité au sein d’une organisation Ce document pédagogique a été rédigé par un consortium regroupant des enseignants-chercheurs et des professionnels du secteur de la cybersécurité. Il est mis à disposition par l’ANSSI sous licence Creative Commons Attribution 3.0 France. Plan du module 1. Intégrer la sécurité au sein d’une organisation 2. Intégrer la sécurité dans les projets 3. Difficultés liées à la prise en compte de la sécurité 4. Métiers liés à la cybersécurité 03/11/2017 Sensibilisation et initiation à la cybersécurité 2 1. Intégrer de la sécurité au sein d’une organisation a) Préambule b) Panorama des normes ISO 2700x c) Système de Management de la Sécurité de l’Information (27001) d) Code de bonnes pratiques pour le management de la sécurité de l’information (27002) e) Gestion des risques (27005) f) Classification des informations g) Gestion des ressources humaines 03/11/2017 Sensibilisation et initiation à la cybersécurité 3 1. Intégrer la sécurité au sein d’une organisation a. Préambule Les mesures de sécurité à mettre en place dépendent de l’activité, de l’organisation et de la réglementation et des contraintes de son écosystème. Afin d’évaluer le niveau de sécurité attendue, les questions suivantes peuvent être posées : - Qu’est ce que je veux protéger ? - De quoi je veux me protéger ? - A quel type de risques mon organisation est exposée ? - Qu’est ce que je redoute ? - Quelles sont les normes qui s’appliquent à mon organisation ? L’organisation peut s’inspirer de la famille de norme internationale ISO 27000 et des guides nationaux (ANSSI, CLUSIF, etc.), voire des politiques de sécurité en usage dans l’État (PSSIE, RGS, etc.) pour mettre en place la sécurité. 03/11/2017 Sensibilisation et initiation à la cybersécurité 4 1. Intégrer la sécurité au sein d’une organisation b. Panorama des normes ISO 27K Ensemble de normes internationales de sécurité de l’information, destinées à protéger l’information. Elles découlent d’une recherche de consensus commun sur le domaine. Néanmoins la conformité à une norme ne garantit pas formellement un niveau de sécurité. Les normes ne prennent pas en compte l’état de l’art récent et les exigences réglementaires. Quelques unes des principales normes inclues dans la série 27000 : 03/11/2017 Sensibilisation et initiation à la cybersécurité 5 1. Intégrer la sécurité au sein d’une organisation b. Panorama de normes ISO 2700x Dans le cadre de la mise en place de la sécurité au sein d’une organisation : La norme ISO 27001 permet à une organisation de mettre en œuvre et d’améliorer le système de management de la sécurité : Une certification ISO 27001 délivrée par un organisme certificateur accrédité garantie suite à un audit qu’une organisation a bien appliquée les exigences de la norme en matière de sécurité. Cette certification est valable 3 ans, tous les ans un audit de contrôle est effectué. Il peut être exigé à une organisation d’avoir cette certification pour accéder à certains contrats : par exemple un organisme payeur d’aides agricoles européennes. La norme ISO 27002 définit un ensemble de « bonnes pratiques » en matière de sécurité répartie en plusieurs chapitres, l’organisation dispose : d’un référentiel de mise en œuvre ; d’une « check-list » en cas d’audit. La norme ISO 27005 définit des lignes directrices relatives à la gestion des risques de sécurité dans une organisation. Une organisation peut s’appuyer sur ce processus de gestion de risques pour intégrer la sécurité. 03/11/2017 Sensibilisation et initiation à la cybersécurité 6 1. Intégrer la sécurité au sein d’une organisation c. Système de Management de la Sécurité de l’Information (27001) Une démarche calquée sur ISO 9000 ( Plan / Do / Check / Act ). Phase Plan : Fixer des objectifs et des plans d'actions : Identification des actifs ou des biens ; Analyse de risques ; Choisir le périmètre du SMSI : Quel périmètre ? C’est le domaine d’application du SMSI, son choix est libre, mais il doit être circonscrit, ce sont toutes les activités pour lesquelles l’organisation exige de la confiance. Quelle politique de sécurité ? Quel niveau de sécurité : intégrité, confidentialité, disponibilité de l’information au sein de l’organisation ? Noter que la norme n’impose pas de niveau minimum de sécurité à atteindre. Attention : une entreprise peut donc être certifiée ISO 27001 tout en ayant défini un périmètre réduit et une politique de sécurité peu stricte. 03/11/2017 Sensibilisation et initiation à la cybersécurité 7 1. Intégrer la sécurité au sein d’une organisation c. Système de Management de la Sécurité de l’Information (27001) Phase Do : mise en œuvre et exploitation des mesures et de la politique Établir un plan de traitement des risques ; Déployer les mesures de sécurité ; Former et sensibiliser les personnels ; Détecter les incidents en continu pour réagir rapidement. Phase Check : mesurer les résultats issus des actions mises en œuvre Audits internes de conformité et d’efficacité du SMSI (ponctuels et planifiés) ; Réexaminer l’adéquation de la politique SSI avec son environnement ; Suivre l'efficacité des mesures et la conformité du système ; Suivre les risques résiduels. Phase Act : Planifier et suivre les actions correctrices et préventives. 03/11/2017 Sensibilisation et initiation à la cybersécurité 8 1. Intégrer la sécurité au sein d’une organisation c. Système de Management de la Sécurité de l’Information (27001) Avantages Description détaillée de la mise en œuvre des objectifs et des mesures de sécurité ; Audits réguliers qui permettent le suivi entre les risques initialement identifiés, les mesures prises et les risques nouveaux ou mis à jour. Objectif : mesurer l’ efficacité des mesures prises ; Sécurité : une amélioration continue de la sécurité : donc un niveau croissant de sécurité et de maturité en SSI ; Meilleure maîtrise des différents risques ; Élimination des mesures de sécurité non usitées ; Amélioration de la confiance des associés, partenaires & clients ; Référentiel international qui facilite les échanges ; Indicateurs clairs et fiables produisant des éléments de pilotage financier pour les dirigeants. 03/11/2017 Sensibilisation et initiation à la cybersécurité 9 1. Intégrer la sécurité au sein d’une organisation l’information (27002) La norme ISO/IEC 27002:2013 constitue un code de bonnes pratiques. Elle est composée de 114 mesures de sécurité réparties en 14 chapitres couvrant les domaines organisationnels et techniques ci-contre. C’est en adressant l’ensemble de ces domaines que l’on peut avoir une approche globale de la sécurité des S.I. 03/11/2017 Sensibilisation et initiation à la cybersécurité 10 1. Intégrer la sécurité au sein d’une organisation d. Code de bonnes pratiques pour le management de la sécurité de l’information (27002) Exemples de mesures sur le chapitre « Contrôle d’accès » : L’accès aux fichiers/répertoires doit être restreint conformément aux politiques de contrôle d’accès : Seuls les professeurs autorisés doivent pouvoir accéder à un répertoire contenant les épreuves des futurs examens/concours. Les propriétaires de l’information doivent vérifier les droits d’accès à intervalles réguliers : Le responsable des concours doit contrôler les droits d’accès au répertoire contenant les épreuves des futurs examens/concours pour s’assurer qu’il n’y a pas d’étudiants qui auraient été rajoutés. Exemple de mesures sur le chapitre « Sécurité opérationnelle » : L’installation et la configuration de logiciels doivent être encadrés : Seuls les administrateurs doivent pouvoir installés un logiciel sur un poste. Des sauvegardes doivent êtres régulièrement effectuées et testées : Un espace de sauvegarde des données peut être mis à disposition des utilisateurs. 03/11/2017 Sensibilisation et initiation à la cybersécurité 11 1. Intégrer la sécurité au sein d’une organisation e. Gestion des risques (27005) La norme 27005 présente une démarche : Établissement du contexte de l’analyse des risques ; Définition de l’appréciation des risques SSI ; Choix pour le traitement du risque SSI ; Acceptation du risque ; Communication et concertation relative aux risques SSI ; Surveillance et revue du risque en SSI. Avantages Définit une démarche rationnelle qui a donné lieu à des méthodes qui fonctionnent ; Grande souplesse : utilisée en toutes circonstances, surtout lors des changements ; Pragmatique et utilisable seule, elle peut aussi bien convenir aux petites organisations. Limites L'organisation doit définir sa propre approche ; Méthodes nécessitant souvent de la formation et non adaptables à toutes les situations ; Dépendance vis-à-vis de la cartographie du SI : profondeur, étendue etc. ; Tendance à l'exhaustivité ; Accumulation de mesures techniques sans cohérence d'ensemble. 03/11/2017 Sensibilisation et initiation à la cybersécurité 12 1. Intégrer la sécurité au sein d’une organisation f. Classification des informations La classification selon la confidentialité des informations aide à définir des mesures de protection appropriées pour chaque type d’information. Col1 Intitulé Explication Exemple Risque C1 Accès libre Tout le monde peut y accéder Informations publiées sur le site internet Aucun C2 Accès à l’organisation Seul le personnel de l’organisation est autorisé à accéder à l’information Nom, adresse des partenaires et fournisseurs de l’organisation Atteinte à l’image, gêne passagère C3 Diffusion limitée Au sein de l’organisation, seul un groupe de personnes est autorisé comme les membres du même projet Plan technique d’un nouveau laboratoire ; Listes der personnes admissibles avant publication officielle… Situation à risques ; pertes financières acceptables C4 Confidentiel L’information est accessible à une liste très restreinte d’utilisateurs à titre individuel Contenu des brevets déposés ; Recherche en cours ; N° de sécurité sociale et noms… Pertes financières inacceptables, poursuites judiciaires 03/11/2017 Sensibilisation et initiation à la cybersécurité 13 1. Intégrer la sécurité au sein d’une organisation f. Classification des informations Sur la base des niveaux de confidentialité définis, les mesures suivantes peuvent être implémentées : Une politique de gestion des informations est définie : Création d’un modèle de document indiquant le niveau de confidentialité ; Sensibilisation du personnel et des partenaires à cette politique. Les informations de niveau « Confidentiel » doivent être : envoyées par mail de manière chiffrée et le mot de passe communiqué par SMS aux destinataires ; stockées localement dans des conteneurs chiffrés. Les informations de niveau « Diffusion limitée » doivent être échangées au travers au travers d’un système documentaire collaboratif ayant des accès nominatifs contrôlés, par exemple MS SharePoint. 03/11/2017 Sensibilisation et initiation à la cybersécurité 14 1. Intégrer la sécurité au sein d’une organisation g. Gestion des ressources humaines Avant embauche : Sélection des candidats et interviews ; Vérification du CV (contacter les anciens employeurs, vérifier les diplômes, certifications…) du candidat ; En fonction de la sensibilité du poste, un extrait de casier judiciaire peut être demandé. Pendant l’embauche : Fourniture des accès logiques (création de comptes utilisateurs, accès aux répertoires nécessaires…) et physiques (badges) adaptés à la fonction ; Sensibilisation aux politiques et procédures internes de l’organisation ; Sensibilisation régulière à la sécurité adaptée aux fonctions ; Processus disciplinaire en cas de non respect. Au terme du contrat de travail : Retrait des accès et restitution du matériel fourni (badge, ordinateur, …). 03/11/2017 Sensibilisation et initiation à la cybersécurité 15 1. Intégrer la sécurité au sein d’une organisation Conclusion Une politique de sécurité doit être adaptée à l'organisme et à ses évolutions ; la sécurité ne s'improvise pas et nécessite des professionnels ; les normes sont une aide pour mettre en œuvre une démarche d'amélioration continue de la sécurité ; les normes par nature ne délivrent pas un niveau de sécurité ; les normes ne prennent pas en compte toute la sécurité des systèmes d'information. 03/11/2017 Sensibilisation et initiation à la cybersécurité 16 2. Intégrer la sécurité dans les projets a) Préambule b) Sécurité dans l’ensemble du cycle de vie d’un projet c) Sécurité prise en compte en fin de développement d) Approche par l’analyse et le traitement du risque e) Plan d’action SSI 03/11/2017 Sensibilisation et initiation à la cybersécurité 17 2. Intégrer la sécurité dans les projets a. Préambule Il s’agit de bien distinguer : la sécurité du système d’information qui est un des objets du projet ; et la sécurité du projet en lui-même (diffusion et traitement des informations). Concernant la sécurité du SI en lui-même : toute activité étant gérée en mode projet, une bonne intégration de la sécurité dans l’organisation nécessite l’intégration de la sécurité dans chaque projet dans le respect de la réglementation ; isoler les traitements de données sensibles au sein de projet pour avoir une meilleure maîtrise des risques et des mesures de sécurité à mettre en œuvre pour réduire ces risques. 03/11/2017 Sensibilisation et initiation à la cybersécurité 18 2. Intégrer la sécurité dans les projets a. Préambule La sécurité doit être prise en compte dans toutes les étapes d’un projet : Application de la démarche d’amélioration continue ; Respect des impératifs et des contraintes notamment juridiques et réglementaires ; Responsabilisation des acteurs, documentations, gestion du temps. 03/11/2017 Sensibilisation et initiation à la cybersécurité 19 2. Intégrer la sécurité dans les projets b. Exemple d’intégration de la sécurité dans le cycle de vie d’un projet Perception d’un Formalisation de Développement Déploiement dans Libération des besoin • Expression des besoins • Création d’un projet Phase besoins fonctionnels • Étude de marché • Étude de faisabilité • Analyse de coût • Planification • Identification des logiciel ou matériel • Construction de prototype • Tests utilisateurs • Documentation l’environnement de production • Test de performance • Maintien en Condition Opérationnelle • Exploitation ressources • Fin du projet • Identification des entrée/sortie • Exploitation Étude / Initialisation Conception Implémentation / Prototype / Test Exploitation / Maintenance Exploitation / Maintenance • Analyse de • Analyse de risques • Développement • Maintien en condition • Archivage d Consultation des équipes sécurité mesures de sécurité Identification des risques résiduels Expressions de besoins de sécurité Estimation de coûts des bonnes pratiques Top 10 OWASP Validation sécurité Contrôle des mesures de sécurité Gestion des incidents Analyse Forensique Sauvegarde Supervision de sécurité Veille de sécurité Audit (technique, opérationnel) Tests d’intrusion Résilience Effacement sécurisé Réversibilité Mise au rebut Obsolescence des configurations 03/11/2017 Sensibilisation et initiation à la cybersécurité 20 2. Intégrer la sécurité dans les projets c. Sécurité prise en compte en fin de développement Exemple d’un projet de développement de site Web : L’audit de sécurité fait le constat que : Les versions de composants logiciels utilisés sont obsolètes et vulnérables ; La base de données n’a pas été correctement isolée, et les tables ont été créées à l’intérieur d’une autre base de données à accès public ; La politique de gestion de mots de passe n’est pas conforme aux bonnes pratiques : création de mots de passe faibles ; stockage de mots de passe en clair… Le niveau de disponibilité attendu pour ce site ne peut être assurer avec l’infrastructure existante. Conséquences : Besoin de rachats de licences logicielles : coût supplémentaire ; Recréation de la base de données sur un espace dédié correctement protégé ; Redéveloppement des modules de gestion des mots de passe : coût supplémentaire ; Modification de l’infrastructure pour assurer le niveau de disponibilité requis. Délai, coût et effort supplémentaires… 03/11/2017 Sensibilisation et initiation à la cybersécurité 21 2. Intégrer la sécurité dans les projets c. Sécurité prise en compte en fin de déploiement Exemple d’un projet de construction d’une nouvelle salle devant hébergée les serveurs de l’organisation : L’audit de sécurité fait le constat que : Les baies de stockage des serveurs ne se ferment pas à clé ; Pas de mécanisme de contrôle d’accès (lecteur de badge) prévu tracer les accès ; Pas de redondance (alimentation, accès de télécommunications) des équipements ; Aucune alarme anti-intrusion ou incendie n’est prévue ; L’arrivée de câbles dans la salle est exposée à des actes de malveillances ; La salle est construite en zone inondable. Conséquences : Rachat de matériel et d’équipements => coût supplémentaire ; Re-câblage de la salle, et travaux de génie civil à prévoir ; Relocation de la salle ou reconstruction => coût supplémentaire très importante. Reconstruction de la salle ou relocation de la salle, délai et coût supplémentaires… 03/11/2017 Sensibilisation et initiation à la cybersécurité 22 2. Intégrer la sécurité dans les projets d. L’approche par l’analyse et le traitement du risque L’analyse de risques doit être effectuée en amont du projet mais doit aussi évoluer au fur et à mesure de l’exploitation du système (analyse de risque dynamique dans la supervision du système (SOC)) et fonction de l’évolution des risques (évolution des vulnérabilités, des menaces, du système d'information). L’analyse de risque consiste à : - identifier les biens à protéger, - analyser de la fréquence et la gravité du danger pour évaluer la criticité du risque, - établir une hiérarchisation des risques : fréquence vs gravité, - établir un seuil d’acceptabilité pour chacun de ces risques, - seuil au-delà duquel le risque doit être pris en compte par les mesures de sécurité. - identifier des mesures de sécurité. Les mesures ainsi identifiées peuvent constituer un cahier de charges sécurité pour le projet qui soit réalisé en interne ou externalisé. 03/11/2017 Sensibilisation et initiation à la cybersécurité 23 2. Intégrer la sécurité dans les projets d. L’approche par l’analyse et le traitement du risque Une démarche d’analyse de risque peut être schématisée ci-dessous : Risque 1 Risque 2 Risque 3 Risque 5 La hiérarchisation des risques permet de déterminer les risques qui : doivent absolument être traités et donc réduits par des mesures ; ceux qui sont acceptables et avec lesquels le système peut exister. Risque 1 Risque 2 Risque 3 Risque 4 Risque 5 Seuil de prise en compte du risque 03/11/2017 Sensibilisation et initiation à la cybersécurité 24 2. Intégrer la sécurité dans les projets d. L’approche par l’analyse et le traitement du risque Pour les risques dont le niveau est supérieur au seuil de prise en compte : Définir les objectifs de sécurité ; Définir les mesures techniques et organisationnelles qui vont permettre d’atteindre ces objectifs. Pour les risques dont le niveau est inférieur au seuil de prise en compte : un risque résiduel est le risque subsistant après le traitement de risque (car – par exemple – le coût pour compenser ce risque est trop élevé par rapport au risque encouru). Risque 4 Risque 5 Plan d’actions de SSI que l’entreprise va devoir mettre en œuvre pour protéger son S.I. 03/11/2017 Sensibilisation et initiation à la cybersécurité 25 2. Intégrer la sécurité dans les projets d. L’approche par l’analyse et le traitement du risque Une analyse de risque peut être assez complexe et nécessite rigueur et méthode, il faut notamment trouver le bon niveau abstraction. Voici 3 exemples de méthodes d’analyses de risque compatibles avec les lignes directrices de l’ISO 27005 : EBIOS : Expression des Besoins et Identification des Objectifs de Sécurité développée par le Club EBIOS auquel participe l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information MEHARI : MEthode Harmonisée d'Analyse de Risques développée par le CLUSIF, Club de la Sécurité de l’Information Français OCTAVE : Operationally Critical Threat, Asset, and Vulnerability Evaluation développée par l’Université de Carnegie Mellon. 03/11/2017 Sensibilisation et initiation à la cybersécurité 26 2. Intégrer la sécurité dans les projets e. Plan d’actions SSI Le défi vis-à-vis de la mise en place des mesures de sécurité est asymétrique entre « attaquer » et « défendre » : L’attaque peut réussir par l’exploitation d’une seule vulnérabilité ; Tandis que la défense doit prendre en compte l’ensemble du système. Un plan d’action des mesures de sécurité à mettre en place à l’issue de l’analyse de risques devrait respecter le principe de « défense en profondeur » qui recommande : d’avoir plusieurs lignes de défenses indépendantes ; que chaque ligne constitue une barrière autonome contre les attaques ; que la perte d’une ligne de défense implique qu’on passe à un niveau de défense plus fort. Les objectifs de la défense en profondeur sont : prévenir, bloquer, limiter, détecter, alerter, réagir, réparer. 03/11/2017 Sensibilisation et initiation à la cybersécurité 27 2. Intégrer la sécurité dans les projets e. Plan d’actions SSI sensibilisation… Sous-réseau, NIDS, VLAN… 03/11/2017 Sensibilisation et initiation à la cybersécurité 28 2. Intégrer la sécurité dans les projets Conclusion La sécurité des systèmes d'information : un élément indispensable d'un projet ; une sécurité globale et cohérente, et non une accumulation de mesures et de produits de sécurité ; une politique de sécurité réaliste et pragmatique ; un élément clé : la connaissance du système d'information (cartographie) et de son niveau de sécurité (contrôle, audit) ; une difficulté et une nécessité : le maintien en condition de sécurité du système d'information ; un accroissement des besoins de sécurité : besoin en compétences et en professionnels. 03/11/2017 Sensibilisation et initiation à la cybersécurité 29 3. Difficultés liées à la prise en compte de la sécurité a) Compréhension insuffisante des enjeux b) Implication nécessaire de la direction c) Difficulté pour faire des choix en toute confiance d) Délicat arbitrage entre commodité et sécurité e) Suivre l’évolution des technologies f) Frontières floues entre sphères professionnelle, publique, et privée 03/11/2017 Sensibilisation et initiation à la cybersécurité 30 3. Difficultés liées à la prise en compte de la sécurité a. Une compréhension insuffisante des enjeux… …liée à un problème d’éducation L’information a une valeur importante pour l’entreprise, pour les concurrents, pour les États. On parle aujourd’hui de « guerre de l’information ». Chaque année des centaines de compagnies en France sont victimes d’espionnage industriel ou économique : Écoute des conversations ; Espionnage des écrans d’ordinateurs ; Social engineering, etc. Des actes aisés dans les transports : train, avion, etc. Les voyageurs aux USA perdent environs pc portables chaque semaine* 12 000 *source : Ponemon Institute 03/11/2017 Sensibilisation et initiation à la cybersécurité 31 3. Difficultés liées à la prise en compte de la sécurité a. Une compréhension insuffisante des enjeux …liée à un problème de formation Des dirigeants qui n’ont pas tous une culture sécurité ; Des évolutions vers le poste de « RSSI », sans formation complémentaire adéquate : personnel issu de la technique : administrateur réseau, système… personnel issu de la qualité : responsable qualité… ; Un coût lié à la sécurité qui rebute en période de crise : Authentification forte : achats de jetons/carte à puce ; Plan de secours : acheter en double certains équipements ; Personnel : former aux bonnes pratiques en sécurité… 03/11/2017 Sensibilisation et initiation à la cybersécurité 32 3. Difficultés liées à la prise en compte de la sécurité a. Une compréhension insuffisante des enjeux… …entrainant de nombreux risques pour l’entreprise ou pour l’organisation Perte d’informations essentielles ; Arrêt de la production ; Détérioration de l’image/réputation ; Risques juridiques/réglementaires… …entrainant de nombreux risques pour les États Indisponibilité de services ; Perte de crédibilité ; Divulgation d’informations sensibles ; Risques de conflits avec d’autres États… 03/11/2017 Sensibilisation et initiation à la cybersécurité 33 3. Difficultés liées à la prise en compte de la sécurité b. L’implication nécessaire de la direction Rien ne peut se faire sans l’aval de l’exécutif. Le chef d’entreprise doit être conscient des enjeux de sécurité pour l’avenir de son entreprise : Être proactif plutôt que réactif. La PSSI est une réflexion stratégique : Elle permet de prévoir l’avenir de l’organisation ; Prendre le temps de comprendre, ne pas être absorbé que par ses marchés, ses clients, ses concurrents, son relationnel ; La sécurité : va au-delà de la technique . L’humain joue un rôle central ; ne doit pas rester un domaine d’experts . La sécurité est l’affaire de tous et une préoccupation de tous les responsables ; n’est pas seulement une contrainte coûteuse mais elle est aussi un investissement , un atout supplémentaire pour l’organisation. 03/11/2017 Sensibilisation et initiation à la cybersécurité 34 3. Difficultés liées à la prise en compte de la sécurité b. L’implication nécessaire de la direction Investir dans la sécurité ne suffit pas. Il faut être conscient des enjeux visà-vis de l’organisation. La dynamique sécurité viendra de la direction. Le dirigeant doit montrer l’exemple d’abord en y accordant un intérêt : charismatique, il est le premier à sensibiliser les personnes concernées ; Motiver son RSSI ou ses administrateurs pour faire appliquer la politique de sécurité de l’organisation et maîtriser leurs systèmes le mieux possible ; Responsabiliser : en désignant un responsable de la coordination, qui distribuera les tâches au sein des équipes ; Réagir en cas d’attaque avérée : mettre des ressources à disposition, permettre l’expertise juridique et porter plainte ; Impliquer ses personnels, les sensibiliser et leur permettre de suivre des formations. 03/11/2017 Sensibilisation et initiation à la cybersécurité 35 3. Difficultés liées à la prise en compte de la sécurité c. Difficulté pour faire des choix en toute confiance Il est important de faire des choix éclairés en prenant en compte la sécurité. Le Gouvernement Chinois a adopté une nouvelle régulation exigeant aux entreprises qui vendent des ordinateurs aux banques chinoises de fournir le code source et de se soumettre à des audits. 03/11/2017 Sensibilisation et initiation à la cybersécurité 36 3. Difficultés liées à la prise en compte de la sécurité c. Difficulté pour faire des choix en toute confiance Quels sont aujourd’hui les matériels ou logiciels de confiance ? Ceux issus de l’industrie nationale vs ceux de nos partenaires de confiance : alliés, fournisseurs ; Ceux issus du monde libre (« open source ») ; Les matériels qualifiés par l’ANSSI. Quels sont les organismes de confiance ? Les entreprises nationales ou européennes (mais qui sont les actionnaires ) ; Nos partenaires de longue date ; Les autorités gouvernementales ; Les prestataires de service qualifiés par l’ANSSI. 03/11/2017 Sensibilisation et initiation à la cybersécurité 37 3. Difficultés liées à la prise en compte de la sécurité d. Le délicat équilibre entre productivité et sécurité : contexte Authentification requise pour chaque application dans l’entreprise Problème pour l’utilisateur : « J’ai besoin de travailler chaque jour avec 5 applications et je dois à chaque fois y saisir un mot de passe différent ». Réaction pour l’utilisateur : « Je note certains mots de passe sur papier ». Utiliser une application de chiffrement pour partager les fichiers chiffrés avec des partenaires Problème pour l’utilisateur : l’interface de Crypt&Share n’est pas ergonomique. Réaction de l’utilisateur : « Je vais utiliser Box ou DropBox pour partager les informations avec mes partenaires ». Les informations classifiées au niveau 4 (niveau de sensibilité le plus élevé) ne doivent pas sortir du S.I. Problème pour l’utilisateur : J’ai besoin de l’avis d’un prestataire extérieur sur certaines informations de niveau 4. Réaction de l’utilisateur : Déclassification des informations de manière à ne jamais avoir de niveau 4 mais uniquement des niveaux 3 ou 2. 03/11/2017 Sensibilisation et initiation à la cybersécurité 38 3. Difficultés liées à la prise en compte de la sécurité d. Le délicat équilibre entre productivité et sécurité Les usages fondent les pratiques… entre ce qui est acceptable à l'utilisateur, ce qui est nécessaire au bon fonctionnement de l'organisme et ses besoins de sécurité. D’où l’importance : De la pédagogie : expliquer à quoi servent les procédures, leurs bienfondés, leur intérêt pour l’organisation ; De l’implication des dirigeants : qui viendront renforcer ces convictions ; De la prise en compte des remarques et éventuelles oppositions des utilisateurs : ergonomie, pratique, simplicité de mise en œuvre etc. ; La mise en place d’une charte informatique signée et connue de tous ; De régulièrement rappeler les règles : changer les mots de passe, rejouer les procédures, créer une check-list etc. ; De sensibiliser en évoquant les incidents réels qui se produisent et peuvent se produire dans l’organisation. 03/11/2017 Sensibilisation et initiation à la cybersécurité 39 3. Difficultés liées à la prise en compte de la sécurité d. Le délicat équilibre entre productivité et sécurité Écouter les utilisateurs et prendre en compte leurs besoins lors de l’étude de solutions de sécurité : Proposer des mesures en concertation et avec l’adhésion des utilisateurs concernés autant que possible ; Former les utilisateurs pour les aider à prendre en main les nouveaux outils et à bien appliquer les mesures. Tester les procédures , dans le but d’évaluer son efficacité (applicabilité, réalisation des objectifs, risques encourues) : Éviter de multiplier les moyens de pr...