Beruflich Dokumente
Kultur Dokumente
Document ralis par la socit MOLINES CONSULTANTS en accord avec le CLUSIF pour lusage
et la diffusion
MOLINES CONSULTANTS
1862 Avenue du gnral De GAULLE 59910 - BONDUES
Tl. : +33 (0) 603 588 032
Fax : +33 (0) 320 035 914
AVERTISSEMENT DE L'AUTEUR
Sommaire
1 INTRODUCTION ............................................................................................. 3
2 Dossier de prsentation de lentreprise
Senilom ........................................................................................................................... 5
2.1 Prsentation gnrale de lentreprise ....................................... 5
2.2 Prestation fournie .......................................................................................... 5
2.3 Structure de la socit ............................................................................. 5
2.3.1 Organigramme.................................................................................................... 5
2.3.2 La Direction Gnrale ....................................................................................... 6
2.3.3 Le secrtariat........................................................................................................ 6
2.3.4 La Direction Technique ..................................................................................... 6
2.3.5 La Direction des ressources Humaines.......................................................... 6
2.3.6 La Direction Marketing ...................................................................................... 7
2.3.7 La Direction Administration Finances ............................................................ 7
2.3.8 La Direction Commerciale ............................................................................... 8
2.3.9 La Direction des TIC............................................................................................ 8
2.3.10 La Direction des Achats.................................................................................. 8
2.3.11 La Direction Juridique...................................................................................... 8
A1 Bibliographie ............................................................................................. 57
A2 Glossaire .......................................................................................................... 59
tude de cas
1 INTRODUCTION
Ce document prsente une tude ralise laide des ouvrages dcrits dans le chapitre
"Bibliographie" de la mthode MEHARI du CLUSIF et du logiciel RISICARE de la
socit BUC S.A. Il est destin complter la mthode dans le but dapporter un exemple
concret de son utilisation.
La premire partie du document constitue le dossier de prsentation de lentreprise Senilom. La
suite dcrit ltude de scurit, propose des exercices et des solutions. Toutes les tapes et
activits seront prsentes brivement (en italique), avec un petit schma prcisant le niveau
davancement dans la mthode (activit courante noircie).
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Prliminaire :
domaine couvert, base de scnarios, reprise de classification,
dcomposition cellulaire..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Expression
des besoins
de scurit
Phase 2
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Source CLUSIF
tude de cas
tude de cas
Direction
Marketing
Direction
Ressources
Humaines
Direction
Commerciale
Direction
Administration
Finances
Direction
Achats
Direction
des TIC
Direction
Juridique
tude de cas
2.3.3 Le secrtariat
Il est anim par une quipe de cinq secrtaires au sige social Courbevoie. Lune delles
effectue galement laccueil tlphonique. Elles disposent dun micro-ordinateur quip dune
suite bureautique messagerie (connect au serveur).
Sur le site d'Abbeville il y a deux secrtaires qui effectuent galement laccueil tlphonique.
Celles-ci disposent dun micro-ordinateur quip dune suite bureautique messagerie.
tude de cas
Elle est anime par une quipe de quatre personnes au sige social Courbevoie. Lune delles
effectue galement ladministration des personnes (badge, cl daccs, code tlphonique,
code tlcopieur, etc.). Elles disposent dun micro-ordinateur quip dune suite bureautique
messagerie (connect au serveur).
Sur le site d'Abbeville il y a une personne qui effectue galement ladministration des
personnes (badge, cl daccs, code tlphonique, code tlcopieur, etc.). Celle-ci dispose
dun micro-ordinateur quip dune suite bureautique messagerie.
tude de cas
tude de cas
2.5.2 Logiciel
Tous les logiciels ont t acquis lgalement et possdent un numro de licence officielle.
L'entreprise a acquis le logiciel ARC+ pour la visualisation, le logiciel SIFRA pour le travail
partir de la tablette. La bureautique peut tre traite sur les ordinateurs de bureau partir des
logiciels sur les serveurs. Les ordinateurs portables ont une suite bureautique pour leur
autonomie. L'outil de PAO (Pagemaker) est compatible avec les outils de CAO. Les systmes
d'exploitation sont Windows NT et UNIX. L'outil de visualisation permet de donner aux projets
un aspect de photo raliste.
tude de cas
2.6 Scurit
2.6.1 Scurit du Systme d'Information
Il y a une politique de scurit du Systme d'Information, elle fait partie de la politique globale
de la scurit de l'entreprise.
Une charte d'utilisation des ressources informatiques et des services Internet a t labore et
diffuse l'ensemble du personnel. Cette charte prcise les droits et devoirs de chaque
utilisateur.
Des affiches de sensibilisation sont apposes aux panneaux d'affichage contenant les rgles
suivantes :
Le contrle d'accs se fait par identifiant/mot de passe complt par un "token" pour les
quipements mobiles (PC portable).
Principe de sauvegarde de tout fichier.
Chaque utilisateur est responsable du fichier qu'il traite, les fichiers sont sauvegards
sur les serveurs ; paralllement, les documents papiers sont rangs dans une armoire
forte.
Chaque utilisateur est responsable des ressources informatiques mises sa disposition
dans le cadre de son activit.
Chaque utilisateur doit signaler toute anomalie dans les meilleurs dlais vers le "support
utilisateurs" du dpartement des TIC.
10
tude de cas
Les bureaux sont situs au 4me et 5me tage en couronne priphrique d'un immeuble ;
l'accs se fait par 4 ascenseurs dans un hall central ; des portes coulissantes en verre
donnent accs aux couloirs aprs dverrouillage par un badge ou une gche lectrique
actionn depuis l'accueil de l'entreprise ; plusieurs socits constituent son voisinage
dans les tages infrieurs et suprieurs.
Les clients sont reus par les commerciaux, dans des salles de runions spcifiques dans
une zone avec vidosurveillance ; avec possibilit de connecter des quipements
informatiques.
Les ressources informatiques (serveurs) sont situes dans une pice isole contigu au
bureau du "support utilisateurs" de la direction des TIC; bnficiant d'une alimentation
secourue.
2.7 Contexte
La mise en rseau du systme d'information s'est effectue avec succs et a permis de rduire
encore plus les dlais de ralisation des travaux.
L'entreprise a rpondu au souhait de la majorit des clients qui est de correspondre directement
avec les diffrentes directions via Internet pour transmettre tous les types de documents
(dossiers techniques, devis, appel d'offres, messages, ).
D'autre part, un important contrat avec une chane de magasins franchiss est conditionn par la
capacit de l'entreprise assurer :
La confidentialit relative aux aspects techniques
La disponibilit et la rapidit de fournir les produits finis
11
Document ralis par MOLINES CONSULTANTS en accord avec CLUSIF
tude de cas
12
tude de cas
3 Dmarche MEHARI
La dmarche comporte trois phases :
13
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Source CLUSIF
Mesures palliatives :
STATUS-PALL
1
Source CLUSIF
Source CLUSIF
14
tude de cas
Mesures de rcupration :
STATUSRECUP
Effet trs faible : ce que lon peut esprer rcuprer des assurances ou dun recours en justice
est ngligeable devant lampleur des dgts subis.
Effet moyen : ce que lon peut raisonnablement esprer rcuprer nest pas ngligeable, mais
les sinistres majeurs restent la charge de lentreprise (sinistre non couvert et responsable
non solvable).
Effet important : lentreprise est couverte pour les sinistres majeurs, mais ce qui reste sa
charge (franchise) demeure important quoique supportable.
Effet trs important : lentreprise est suffisamment couverte pour que limpact financier
rsiduel soit ngligeable.
3
4
Source CLUSIF
Le STATUS-RI, dduit de la grille propre au critre de scurit considr (D, I, ou C), est
dfini selon le tableau standard ci-aprs :
STATUS -RI Effet des mesures prises sur la rduction d'impact du scnario
1
Effet trs faible
2
Effet moyen : impact maximum jamais suprieur un impact grave : I<ou = 3
3
Effet important : impact maximum jamais suprieur un impact moyennement grave : I<ou= 2
4
Effet trs important : impact du scnario toujours ngligeable quel que soit l'impact intrinsque
Source CLUSIF
1
1
1
1
2
2
2
1
3
3
2
1
4
3
2
1
STATUS-RI
1
2
3
4
Source CLUSIF
Exposition naturelle :
STATUS-EXPO
1
Source CLUSIF
15
tude de cas
Mesures dissuasives :
STATUS-DISS
1
2
3
4
Source CLUSIF
Mesures prventives :
STATUS-PREV
1
Source CLUSIF
Potentialit
Potentialit faible, ne surviendra sans doute jamais
Possible, bien que potentialit faible
Potentialit certaine, devrait arriver un jour
Trs forte potentialit, surviendra srement court terme
Source CLUSIF
La dfinition des objectifs de scurit fera l'objet d'une rflexion approfondie au plus haut
niveau de l'entreprise puisqu'elle concrtise ses choix stratgiques en matire de scurit.
Dans la mesure o il est utopique de penser supprimer les risques, dfinir les objectifs de
scurit c'est fixer les niveaux de risque que l'entreprise jugera acceptables, inadmissibles bien
que supportables, ou insupportables parce que n'ayant pas les moyens de faire face ses
consquences. L'accord s'tant fait sur ces trois termes, leur dfinition et les limites qu'ils
recouvrent; l'objectif sera de ramener, par des mesures de scurit appropries, tous les risques
au niveau "acceptable".
La mthode propose une grille d'aversion au risque, construite sur la base de l'apprciation du
risque par rapport son impact et sa potentialit. Cette grille est valide lors de la runion
avec la Direction Gnrale et les directions oprationnelles.
C'est sur une grille comme celle reprsente ci-aprs, qu'au moyen d'un graphisme simple, que
sont situs les niveaux de risque.
16
I
4
3
2
1
tude de cas
P 0
Risque insupportable
0
0
0
0
3
2
1
0
4
3
2
0
4
3
2
1
4
3
3
1
Risque inadmissible
Risque tolr
Source CLUSIF
17
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Evaluation de
la gravit
des scnarios
Audit de
l'existant
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Choix
d'inidicateurs
reprsentatifs
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Etape 1 :
Dfinir les domaines
dactivits
Etape 2 :
Dtecter les processus
sensibles
Etape 3 :
Dterminer les critres
dimpact
Etape 5 :
Recenser les
ressources
Etape 4 :
Dfinir les seuils de
gravit
Etape 6 :
Classer les ressources
Source CLUSIF
Source CLUSIF
18
tude de cas
PROCESSUS
DESCRIPTION
Source CLUSIF
Lors d'une runion avec la Direction Gnrale et les directions oprationnelles, nous validons la
cartographie des domaines fonctionnels dans le tableau des processus majeurs de l'entreprise ciaprs :
19
DOMAINES
PROCESSUS
tude de cas
DESCRIPTION
Ensemble des lments contribuant la prise de
dcisions (acquisition, cession, donnes budgtaires et
prvisionnels, etc.)
Travaux de recherche avance conduisant des
nouveaux projets de produits
Dir. Technique
R&D
Recherche
Dir. Technique
R&D
Dveloppement
Dir. Technique
Production
Production
Dir. Technique
Logistique
Logistique
PERSONNEL
Paie
PERSONNEL
Frais
MARKETING
Marketing
FINANCE
Comptabilit
FINANCE
Contentieux
FINANCE
Contrle de Gestion
FINANCE
Trsorerie
COMMERCIAL
Commercialisation
COMMERCIAL
Proposition
commerciale
COMMERCIAL
Gestion des
commandes
COMMERCIAL
Suivi clientle
Architecture
Dir. des TIC
Infrastructures Exploitation
Informatique
Projets informatiques
Dir. des TIC
Projets
Support aux
Utilisateurs
ACHATS
Achats
JURIDIQUE
Brevets
JURIDIQUE
Accords et contrats
SUPPORT
Services gnraux
20
tude de cas
DESCRIPTION DE L'IMPACT
Source CLUSIF
Lors d'une runion avec la Direction Gnrale et les directions oprationnelles, nous validons
les critres d'impact des processus de chaque domaine fonctionnel dans le tableau des critres
d'impact ci-aprs :
Document ralis par MOLINES CONSULTANTS en accord avec CLUSIF
21
tude de cas
IMPACTS
DOMAINES
DESCRIPTION DE L'IMPACT
Perte de savoir-faire
Commercial
Commercial
Commercial
Commercial
Commercial
Commercial
Commercial
Juridique
Juridique
Juridique
Personnel
Management
Source CLUSIF
22
tude de cas
SEUILS D'IMPACTS
Indiquer pour chaque critre d'impact, les seuils de gravit, en se b asant sur les dfinitions suivantes :
Gravit 1 : impact non significatif au niveau de l'entreprise.
Gravit 2 : Impact signficatif, rsorb facilement et rapidement.
Gravit 3 : Sinistre grave dont l'entreprise mettra plusieurs mois se remettre.
Gravit 4 : Sinistre extrmement grave menaant la survie de l'entreprise ou dont elle mettra plusieurs annes se remettre.
TYPE D'IMPACT
SEUILS
Gravit 2
Gravit 1
Gravit 3
Gravit 4
Source CLUSIF
Lors d'une runion avec la Direction Gnrale et les directions oprationnelles, nous validons
les seuils de gravit d'impact dans le tableau des seuils de gravit d'impact ci-aprs :
SEUILS D'IMPACTS
Indiquer pour chaque critre d'impact, les seuils de gravit, en se basant sur les dfinitions suivantes :
Gravit 1 : impact non significatif au niveau de l'entreprise.
Gravit 2 : Impact signficatif, rsorb facilement et rapidement.
Gravit 3 : Sinistre grave dont l'entreprise mettra plusieurs mois se remettre.
Gravit 4 : Sinistre extrmement grave menaant la survie de l'entreprise ou dont elle mettra plusieurs annes se remettre.
TYPE D'IMPACT
SEUILS
Gravit 2
divulgation
partielle
permettant la
concurrence de
nous rattraper
plus de 6 mois
aprs le
lancement.
Destruction de la copie Indisponibilit de
d'un ou plusieurs fichiers la base
d'un reprsentant en
d'informations
tourne.
techniques pour la
maintenance,
pendant une dure
infrieure 1
semaine
Gravit 1
Divulgation de plans de divulgation partielle ne
nouveaux produits ou de permettant pas la
concurrence de rattraper
savoir-faire
son retard.
Gravit 3
divulgation permettant
la concurrence de
nous rattraper au
dbut du lancement
d'un produit
stratgique (entre 0
et 6 mois).
Perte de savoir-faire
Destruction de
l'ensemble de l'aide
automatise la
maintenance
(reconstitution :
plusieurs mois) ou
indisponibilit > 1
semaine
Dpart d'une
quipe
hautement
spcialise,
seule
capable
d'assurer la
maintenance
d'un produit
majeur de
l'entreprise.
retard
suprieur 1
an
<5%
Gravit 4
23
tude de cas
Dans les colonnes domaines et processus, "tous" signifie que la ressource est unique pour tous les domaines,
"chaque" sinifie que l'on identifie une ressource diffrente pour chaque domaine.
NOM DE LA RESSOURCE :
TYPE
DOMAINES
PROCESSUS
Source CLUSIF
Nous validons ce travail (dont dpend la suite de l'analyse) en nous assurant (excutants et
hirarchie) que, pour chaque processus majeur identifi dans le tableau des processus, toutes
les ressources ncessaires bien incluses dans le tableau des ressources ci-aprs.
RESSOURCES
Indiquer les ressources que l'on souhaite classifier, leur type,
ainsi que leur domaine et ventuellement les processus auxquels elles appartiennent.
Dans les colonnes domaines et processus, "tous" signifie que la ressource est unique pour tous les domaines,
"chaque" sinifie que l'on identifie une ressource diffrente pour chaque domaine.
NOM
TYPE
DOMAINES
PROCESSUS
Site Courbevoie
Site Abbeville
Local Technique Courbevoie
Local technique Abbeville
Centre de Production Abbeville
Rseau Local Courbevoie
Rseau Local Abbeville
Rseau Global Intranet (FT)
Serveur IBM
Serveurs "mtiers"
Serveur Messagerie
Appli GESCOM
Appli GESPER
Personnel informatique
Site et Btiments
Site et Btiments
Locaux
Locaux
Locaux
Rseau
Rseau
Rseau
Systme
Systme
Systme
Logiciel
Logiciel
Ressource humaine
Tous
Tous
Tous
Tous
Tous
Tous
Tous
Tous
Tous
Tous
Tous
Commercial
Personnel
tous
tous
24
tude de cas
Confidentialit
1
2
1
2
Source JAA
Lors d'une runion avec la Direction Gnrale et les directions oprationnelles, nous validons la
classification des ressources dans le tableau de synthse de la classification des ressources ciaprs :
RESSOURCES
NOM
Site Courbevoie
Site Abbeville
Local Technique Courbevoie
Local technique Abbeville
Centre de Production Abbeville
Rseau Local Courbevoie
Rseau Local Abbeville
Rseau Global Intranet (FT)
Serveur IBM
Serveurs "mtiers"
Serveur Messagerie
Appli GESCOM
Appli GESPER
Personnel informatique
DISPONIBILITE
1
2
2
2
2
4
4
4
2
2
4
2
2
2
INTEGRITE
CONFIDENTIALITE
1
1
2
2
2
4
4
4
2
2
4
2
2
2
2
2
1
1
2
4
4
4
2
2
4
2
2
2
25
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Source CLUSIF
26
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Cette charte doit galement informer les Utilisateurs de lexistence de dispositifs de contrle et
dventuelles sanctions.
Voici un extrait de cette charte :
Source CLUSIF
27
tude de cas
soit partir d'une approche analytique base sur un audit des services de scurit en
place assur principalement, parce que ce sont eux qui en ont la meilleure connaissance,
par des techniciens,
soit partir d'une valuation des facteurs de risque, c'est dire d'une apprciation de
leur incidence sur la gravit du risque. Une telle approche globale, fait d'abord appel
l'apprciation et au raisonnement des utilisateurs des systmes informatiques.
28
tude de cas
Approche
analytique :
audit des
services de
scurit
Approche
globale :
valuation
des facteurs
de risque
Mesures
de protection
- dtection
- intervention
- non propagation
rduisent
Consquences
directes
- matrielles
- donnes
caractrisent
rduisent
Consquences
indirectes
- oprationnelles
- financires
- image
caractrisent
rduisent
Pertes
finales
- financires
caractrisent
Mesures
palliatives
- restauration
- reconfiguration
- secours
Mesures
de rcupration
- assurances
- actions en justice
Valeurs des
ressources :
Classification
Impact
Gravit
du risque
Mesures
structurelles
- localisation
- architecture
- organisation
rduisent
Exposition
naturelle
- attrait
- ciblage
caractrise
Mesures
dissuasives
- identification
- journalisation
- sanctions
augmentent
Risque de
l'agresseur
- tre identifi
- sanction
caractrise
augmentent
Moyens
requis
- matriels
-intellectuels
- temps
Mesures
prventives
- contrle d'accs
- dtection
- interception
Potentialit
caractrisent
Source CLUSIF
Nous utilisons l'approche analytique avec le logiciel RISICARE qui supporte la mthode
MEHARI.
29
tude de cas
V aleurs de
l'entreprise :
class ification
des ressources
Mtrique
des ris ques
et objectifs
de scurit
P olitique
de
s c urit
Charte de
m anagem ent
P h ase 1
P h ase 2 - Un it Z
P h ase 2 - Un it Y
Ph ase 2 - U nit X
P rlim inaire :
dom aine couv ert, base de s cnarios, repris e de clas sification,
dcom position cellulaire..
A udit de
l'exis tant
E valuation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
E laboration d'un
tableau de bord
de la scurit
de l'entreprise
E xpress ion
des besoins
de scurit
P hase 2
Rquilibrages
et arbitrages
entre units
P h ase 3
P lan O prationnel d'entreprise
3.2.1 Prliminaire
3.2.1.1 Etape 1 : Dfinir le domaine couvert ou primtre de l'tude
Le domaine couvert par l'tude la demande de la Direction Gnrale est l'entreprise
SENILOM avec :
les 2 sites,
les locaux techniques au sige Courbevoie et Abbeville,
le centre de production Abbeville,
les rseaux locaux au sige Courbevoie et Abbeville,
Le rseau tendu "Global Intranet" FT
Les serveurs
Les applications GESCOM et GESPER
3.2.1.2 Etape 2 : Base de scnarios
Lors de la runion avec la Direction Gnrale et les Directions Oprationnelles, nous avons
dcid de garder la base de scnarios telle que et de tenir compte des propositions qui sera fait
par le logiciel RISICARE.
3.2.1.3 Etape 3 : Raliser la dcomposition cellulaire
Dans une entreprise comme Senilom possdant plusieurs sites et plusieurs systmes informatiques,
les rponses aux questions daudit seront diffrentes selon les lments audits.
La ralisation de laudit doit mettre en lumire toutes ces diffrences afin davoir une vue relle de
la vulnrabilit des systmes existants. Cette tche est facilite par la dcomposition cellulaire.
Les services de scurit (et donc les questions appartenant ces services) sont rassembls dans des
types de cellules au niveau de la base de connaissances, ce qui facilite lidentification du profil des
rpondants (un type de cellule rassemblant les questions destines un profil de rpondant).
Concrtement la question se poser pour chacun de ces groupes de questions est : combien doisje faire de photocopies de ce paquet de questions pour aller voir les rpondants qui apporteront
des rponses diffrentes ces questions. On aboutit ainsi au nombre de cellules que doit contenir
chaque type de cellule, ce travail aboutissant la dcomposition cellulaire.
Source CLUSIF
30
tude de cas
31
tude de cas
32
tude de cas
33
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Expression
des besoins
de scurit
Phase 2
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Source CLUSIF
3.2.2.1 Etape 1 : Raliser l'audit
Pour chaque cellule, on rencontre la ou les personnes concernes par celle-ci et ayant le profil
associ au type de cellule auquel appartient cette cellule.
Les questions d'audit tant dichotomiques, le rpondant doit indiquer une rponse OUI ou NON
pour chaque question (en cas d'hsitation ou de rponse partiellement affirmative, on choisira de
rpondre NON par prudence).
Les questions d'audit ne concernant pas l'tude (hors sujet), le rpondant doit indiquer une
rponse "Sans Objet" (S.O.).
Dans l'tude de cas, l'ensemble des questionnaires sera prpar, l'exception des cellules
concernant l'architecture des rseaux et tlcom et l'exploitation des rseaux, qui sera
dvelopp dans le chapitre "Travaux Pratiques".
Dans le logiciel RISICARE, nous validons les rponses des questionnaires en cliquant dans la
zone "Votre rponse" sur les boutons "Oui, Non, Sans objet" comme sur la figure ci-aprs.
Source CLUSIF
34
tude de cas
35
tude de cas
Ces tableaux et graphiques permettent un reporting sur la vulnrabilit de la socit. Bien que ce ne
soit pas la finalit de la mthode MEHARI, cela nous facilite la comparaison de diverses cellules
du mme type et nous permettra un suivi dans le temps de cette vulnrabilit.
titre d'exemple, la cotation des services et sous services pour la cellule site "Usine Abbeville"
sera :
titre d'exemple, les graphiques fournis par le logiciel RISICARE pour la cellule site "Usines
Abbeville" seront :
Le logiciel RISICARE propose une palette tendue de type de graphiques, ainsi qu'une
personnalisation possible (tiquette, couleurs, etc..).
Document ralis par MOLINES CONSULTANTS en accord avec CLUSIF
36
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Par exemple pour le scnario 6.22: Altration de donnes ayant pour cause une erreur de saisie et
pour origine lors de la saisie, nous avons pour quantifier les mesures structurelles la formule : MIN
(01B05, 01C01), cela signifie que les sous services 01B05 : "Sensibiliser et former la scurit" et
01C01: "Motiver le personnel" sont impliqus dans la quantification de ces mesures structurelles.
Quand on regarde l'ensemble des sous services impliqus dans la quantification des six types de
mesures pour ce scnario, on constate qu'ils appartiennent au type de cellule Entit, Production
Informatique et Scurit Applicative, nous dirons donc que ce scnario s'appuie pour se raliser
sur ces trois types de cellules.
7
Source CLUSIF
37
tude de cas
Comme nous avons dans notre dcomposition cellulaire, 1 entit et 2 domaines techniques
(Production informatiques et scurit applicative), nous avons deux possibilits de ralisation de ce
scnario (rsultat de toutes les combinaisons possibles de cellules). C'est ce que nous appelons la
rplication d'un scnario type issu de la base de connaissances dans les cellules, il conviendra de
quantifier l'ensemble des scnarios jugs pertinents.
38
tude de cas
Avec :
STATUS-EXPO = 1
STATUS-PREV = 2
La potentialit est donc gale 2.
39
tude de cas
On obtient :
STATUS-PROT = 2
STATUS-PALL = 2
STATUS-RECUP = 4
La rduction dimpact est donc gale 3.
40
tude de cas
Sachant que le STATUS-RI = 3, et que la ressource Application GESPER a une valeur gale 2, on obtient
un impact gal 2.
Source CLUSIF
41
tude de cas
Sachant que le STATUS-P = 2 et le STATUS-I = 2, on obtient une gravit gale 2 pour le scnario 06.22 :
Altration de donnes par erreur lors de la saisie .
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Expression
des besoins
de scurit
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
Source CLUSIF
42
tude de cas
Partant du fait que l'efficacit des mesures retenues pour rpondre aux risques majeurs est
fonction de la qualit des services de scurit qui y contribuent, MEHARI propose une autre
solution qui consiste valuer le besoin de chacun des services appels pour assurer les
diffrentes mesures spcifiques retenues.
Au niveau de chaque cellule, le "BESOIN DE SERVICE" est l'expression de la
ncessit de ce service face un scnario donn. I
Le "besoin de service", pour un service spcifique et vis vis d'un scnario donn, sera
d'autant plus important :
que son efficacit (traduite par son coefficient d'efficacit), pour ce scnario, sera forte,
que la gravit du scnario considr sera leve.
que la qualit actuelle du service sera faible
Ainsi, pour un service i face un scnario k, le besoin de service sera calcul par la formule :
BS ik = eik * Gk * (4-i)
dans laquelle :
BS
eik
Gk
i
=
=
=
=
Source CLUSIF
Par exemple : Si le service i est jug trs efficace vis vis du scnario k, ce que les rgles de calcul
traduiront par un coefficient de 2, si la gravit du scnario k est estime 3 et si la qualit actuelle du
service i vis vis de ce scnario est de 1, le Besoin de service est valu : 2x3x(4-1) = 18.
Pour l'ensemble des cellules de l'entit tudie, le besoin de service pour un service i donn,
qui doit participer la scurit vis vis des scnarios envisags, est valu par sommation des
besoins de service de chaque service vis vis de chaque scnario, ce qui se traduit par la
formule :
BSi = k BSik
Ainsi, trs logiquement, on obtient un besoin de service BSi d'autant plus important :
que le service a t demand par de nombreux scnarios,
que ces scnarios sont graves,
que le service peut avoir une influence directe sur la gravit des scnarios (et
qu'au moment de l'valuation, il n'est pas ou peu oprationnel).
Cependant le choix d'installer un tel service peut ne pas tre cohrent avec le choix pris pour
l'ensemble de l'entreprise au niveau du Plan Stratgique Scurit. Lorsque l'on a dfini la
Politique de scurit. Aussi MEHARI propose t'elle la dmarche suivante :
Trier les scnarios pour faire apparatre en premier ceux faisant appel aux services
ayant le plus fort besoin global,
Dterminer, par rfrence aux directives de politique gnrale, si ce service peut tre
retenu. Une rponse ngative peut ventuellement entraner une remise en cause de la
politique gnrale.
43
tude de cas
Avec le logiciel RISICARE les tapes fastidieuses dcrites ci-dessus sont traites de faon
automatique. Aprs le choix du scnario 6.22 Altration de donnes par erreur lors de la
saisie .
Pour mmoire le rappel des diffrentes mesures permettant de rduire l'impact et la potentialit
du scnario 6.22 Altration de donnes par erreur lors de la saisie
44
tude de cas
Le logiciel RISICARE quantifiera l'expression des besoins de scurit pour les mesures
spcifiques suivantes :
Le plan d'action scurit dfinit la priorit des actions mener en fonction de la gravit des
consquences des scnarios auxquelles elles s'opposent. Ainsi seront prioritaires les actions
rpondant aux sinistres insupportables (dont la ralisation mettrait l'entreprise en pril) puis
inadmissibles (dont le rsultat aurait des consquences ngatives qui dpasseraient un seuil
critique fix).
A partir de maintenant nous pourrons laborer le plan d'action des mesures spcifiques soit de
faon manuelle soit de faon automatique, en redressant les notes des questions de chaque sous
service impliqu.
En manuel nous aurons :
Document ralis par MOLINES CONSULTANTS en accord avec CLUSIF
45
tude de cas
Nous rpondrons alors chaque question comme ceci, avec la possibilit de quantifier le cot
pour chaque question.
46
tude de cas
Quand l'ensemble des questions concernant un sous service sera rpondu, le logiciel
RISICARE fournira alors les informations suivantes :
Et ainsi de suite pour l'ensemble des sous services traiter dans les besoins de scurit. Le
logiciel fournira les informations suivantes en fonction bien sr des rponses valides par la
direction oprationnelle et des budgets estims. A ce niveau, le budget est globalis, il
contiendra la partie investissements, les frais de fonctionnements, les charges, les cots
d'implmentation par des ressources humaines internes ou externes, etc...
47
tude de cas
Pour la cellule scurit de la Production Informatique "Exploitation des serveurs" nous aurons :
48
tude de cas
Pour laborer le plan d'action des mesures gnrales, nous prendrons en compte les contraintes
organisationnelles, techniques mais aussi financires. Pour l'ensemble des mesures gnrales
nous pourrons traiter les sous services traitant des aspects lgaux ou rglementaires (preuve et
contrle, traabilit, auditabilit, ).
Pour l'tude de cas concernant une PME (l'entreprise SENILOM), nous traiterons les sous
services suivants :
08F01 Identification de l'origine (signature, .),
Document ralis par MOLINES CONSULTANTS en accord avec CLUSIF
49
tude de cas
Ce chapitre "3.2 PHASE 2 Plans Oprationnels de Scurit" devra tre effectu pour chaque
unit oprationnelle de l'entreprise en fonction :
de sa structure,
de sa rpartition gographique,
de son statut juridique (filiale, ..),
etc.
Remarque :
Dans certains cas, l'tude peut tre initialise par une direction oprationnelle pour son primtre,
le Plan Stratgique Scurit n'tant pas initialis au niveau de l'entreprise, devra tre intgr dans
l'tape "Prliminaire" vu au chapitre 3.2.1 ci-dessus. Le droulement du Plan Stratgique Scurit
dans la phase prliminaire devra tre fait avec un recul pour que la validation des mtriques et des
objectifs de scurit soit applicable l'ensemble de l'entreprise.
50
tude de cas
51
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
06.22
D'autres indicateurs peuvent tre choisis partir de l'ouvrage du CLUSIF "Indicateurs de Scurit
publis en 2001.
Source CLUSIF
52
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
10
10
Source CLUSIF
53
tude de cas
D'autre tableau de bord avec des indicateurs spcifiques11 avec le temps d'indisponibilit et/ou
retour une situation normale pourra tre fourni vers la direction sous la forme suivante :
ENTREPRISE SENILOM
Nombre d'incidents lis au mot de passe
Nombre de tentatives infructueuses de
connexions sur le systme
Nombre de tentatives d'intrusion
Nombre de blocage du logiciel mtier
Nombre de restauration de donnes
Nombre de virus ayant infect la messagerie, le
S.I.
03/2003
Nombre
7
Temps (H)
3
04/2003
Nombre
7
Temps (H)
3
5
10
10
2
15
10
2
12
2
1
18
2
25
50
10
20
Sous de graphique :
ENTREPRISE SENILOM
30
25
20
15
10
Nombre de restauration de
donnes
5
0
03/2003
04/2003
11
54
tude de cas
Valeurs de
l'entreprise :
classification
des ressources
Mtrique
des risques
et objectifs
de scurit
Politique
de
scurit
Charte de
management
Phase 1
Phase 2 - Unit Z
Phase 2 - Unit Y
Phase 2 - Unit X
Etape prparatoire :
domaine couvert, base de scnarios, reprise de classification, ..
Audit de
l'existant
Evaluation de
la gravit
des scnarios
Choix
d'inidicateurs
reprsentatifs
Elaboration d'un
tableau de bord
de la scurit
de l'entreprise
Expression
des besoins
de scurit
Phase 2
Rquilibrages
et arbitrages
entre units
Phase 3
Plan Oprationnel d'entreprise
12
Dans cette tude de cas, le primtre de l'tude tait gnral l'entreprise SENILOM, donc
nous ne pourrons pas faire de rquilibrage et arbitrage entre les units.
12
Source CLUSIF
55
tude de cas
56
tude de cas
A1 Bibliographie
CAS PRATIQUE APPLICATION DE MEHARI A UNE SOCIETE FICTIVE :
CLUSIF Septembre 2000
Document labor par la Commission Mthodes.
COBIT Control Objectives for Information and related Technology 3me Edition: 07/ 2000
Rfrentiel & IT Governance cre par la fondation de l'ISACA (Information Systems Audit and
Control Association.
DOCUMENTATION DES SYSTMES D'INFORMATION : Etude AFAI 1995 Association
Franaise de l'Audit et du Conseil Informatique. L'AFAI est le reprsentant franais de
l'Information Systems Audit and Control Association (ISACA).
LE RISQUE INFORMATIQUE : modlisation valuation- rduction
Livre de Jean-Philippe JOUAS Albert HARARI Jean-Marc LAMERE Jacques TOURLY
(Octobre 1992) dans la "Collection Ingnirie des Systmes d'Information " par "Les Editions
d'Organisation".
LES INDICATEURS DE SECURITE : CLUSIF 2001
Document labor par la Commission Mthodes.
MTHODE MHARI / BASES de CONNAISSANCES Vol1 & Vol2 :
Mthodes CLUSIF. Document labor par la Commission Mthodes.
PROTECTION DES SYSTMES D'INFORMATION : Qualit et Scurit informatiques :
Les rfrentiels DUNOD avec Mise jour permanente sous la Direction de Philippe Ros.
SECURISER LENTREPRISE CONNECTEE : Le virus de la confiance :
Par Pierre-Luc REFALO Les Editions dOrganisation Octobre 2002
57
tude de cas
58
tude de cas
A2 Glossaire
ACCS : Interaction spcifique entre un sujet et un objet qui a pour rsultat dautoriser ou
non le transfert dun flux dinformations de lun vers lautre. Il sagit, plus
gnralement, de lensemble des moyens ncessaires pour accder, stocker ou prlever
des donnes, pour communiquer ou pour utiliser des ressources dun systme
dinformation.
ACCIDENTS : Toute atteinte dont l'origine est en gnral lie des lments naturels, ou
certaines causes de nature involontaire. Les consquences dues aux accidents sont
tangibles et se manifestent surtout sur l'environnement physique.
AGRESSION (ATTAQUE) : Concrtisation d'une menace qui provoquera une atteinte sur
l'environnement physique, logique ou organisationnel de la donne et/ou de
l'information. Les mesures de scurit retenues pour lutter contre l'agression seront la
dissuasion et, un niveau plus fort, la protection dont le premier objectif sera de dtecter
l'agression, de tenter de la neutraliser ou dfaut d'en attnuer les effets.
ANALYSE DE RISQUES : Processus didentification des risques, de dtermination de
leur gravit et didentification des mesures correctrices ncessaires. Lanalyse de
risques constitue une partie du management de risques.
APPLICATION STRATGIQUE : Application ou information qui en cas de destruction,
de perte dintgrit, de vol ou de copie, peut entraner des risques majeurs.
APPROCHE ANALOGIQUE : Approche pragmatique s'appuyant sur des scnarios qui
se sont dj produits et qui servent d'exemples des fins de sensibilisation ou
d'apprciation d'enjeux.
APPROCHE ANALYTIQUE : Approche s'appliquant aux actions ponctuelles, c'est--dire
celles qui correspondent des incidents imprvus ou une volont imprative de traiter
un point particulier ressenti comme dangereux. Les actions menes dans cette approche
agissent sur des problmes isols o les efforts sont concentrs sur des lments bien
prcis. Elle considre plus la nature des interactions avec les autres systmes que les
effets de ces interactions. Elle valide des faits en effectuant la preuve exprimentale dans
les cadres d'une thorie. L'approche est efficace lorsque les interactions sont linaires et
faibles. L'ensemble des actions est programm dans le dtail mais le but est mal dfini.
APPROCHE SYSTMIQUE : Approche permettant d'aborder un problme avec une
vision globale. Elle est utilise en particulier pour faire face aux complications
caractrisant les systmes. Elle fait prendre conscience de nouvelles proprits que ne
possdent pas individuellement les lments du systme. L'approche systmique se
concentre sur les interactions entre les lments, dont elle considre les effets. Elle valide
les faits par comparaison du fonctionnement d'un modle avec la ralit. L'approche
systmique conduit une action par objectif o le but est bien dfini mais o les dtails
sont flous. Elle permet de s'lever pour mieux voir, pour mieux comprendre, pour mieux
situer et relier, et surtout pour mieux agir.
59
tude de cas
60
tude de cas
CAUSE : L'vnement, l'tat, le contexte, l'entit, l'action... qui sont l'origine et qui
produisent "l'effet" dont on subira les "consquences".
CLASSIFICATION : Opration permettant dvaluer conventionnellement la valeur dun
objet ou d'une ressource du systme dinformation en fonction de plusieurs composantes
(Disponibilit, Intgrit, Confidentialit, Preuve et contrle).
COMIT DE DCISION : Groupe de personnes dont la principale fonction est
dlibrative. Il est compos de membres qui occupent des postes haut niveau de
responsabilit : la Direction Gnrale sera reprsente par un "financier" ou par un
spcialiste du contrle de gestion budgtaire ayant le pouvoir d'affecter des budgets, le
responsable des services centraux de scurit, l'informatique, qui est reprsente par son
Directeur, assist par les responsables des tudes et de l'exploitation / systme. Les
fonctions de secrtaire et d'animateur seront assures par le RSSI.
COMIT DE SCURIT OPRATIONNELLE : C'est un groupe de travail compos
de spcialistes oprationnels. Il traitera l'ensemble des problmes de scurit selon les
urgences prconises par le schma directeur pralable ou simplement en fonction de
l'intuition.
COMPENSATION : C'est la mesure de scurit qui aura un effet indirect sur les
consquences des atteintes mmes, et surtout pour celles o il n'est prvu aucune action,
mais simplement un report sur l'assurance en cas de "sinistres" ou de "pertes". Elle
attnuera les consquences de l'atteinte (pertes financires rsiduelles) non prises en
compte par les autres mesures. Elle intgrera galement les rcuprations financires
d'ordre juridique.
CONCEPT : (1) C'est une "ide" abstraite, gnrale... qui exprime un principe fondamental.
C'est la fois aussi : UN AXIOME, c'est--dire le point de dpart d'un raisonnement
"indmontrable" mais vident par lui-mme, UN POSTULAT qui reprsente une
proposition que l'on demande d'admettre avant un raisonnement et qui n'est ni vidente,
ni dmontrable, mais admise comme base de raisonnement, UN PRINCIPE de base qui
exprime les ides dont les autres propositions dcoulent et qui sert de norme directrice.
(2) Schma mental associ un symbole (mot, donne, schma, dessin, ) ; il est
reprsent par lensemble des usages du symbole dans le langage. Un concept nest pas
une donne mais est reprsent par des donnes.
CONFIDENTIALIT : Caractristique d'une donne ou d'une information, qui, selon son
degr, permet d'accorder, ou non, son accs en lecture des individus, en fonction de leur
habilitation prendre connaissance de son contenu.
CONSQUENCE : Rpercussion de l'effet, au second degr, sur d'autres plans, qui
pourront tre successivement de niveaux : physiques (destruction matrielle), logiques
(atteinte organisationnelle), puis conceptuels (atteinte stratgique, pertes financires ou
ralisation d'enjeux).
61
tude de cas
62
tude de cas
DMARCHE : C'est un itinraire jalonn qui dcrit le cheminement phase par phase et
tape par tape.
DONTOLOGIE : Caractristique de comportement d'un individu par rapport aux rgles
de bonne conduite dans le cadre de sa profession.
DISPONIBILIT : Caractrise une donne ou une information attendue, qui, prise dans un
contexte de rsultat, lui donne les facults d'tre obtenue en temps voulu. On peut par
extension y associer la notion de PRENNIT, c'est--dire la notion de conservation
dans le temps qui contribue cette disponibilit.
DISSUASION : Mesure de scurit qui limitera la concrtisation de la menace en agression
et aura un effet attnuateur sur des agressions en cours de ralisation. Elle correspond la
mise en oeuvre de moyens appropris, en vue de dcourager un ventuel "agresseur", de
tenter contre "l'entreprise" un acte d'agression via ses systmes d'information. Les actions
qui la composent tendront lui prouver que la valeur de l'enjeu qu'il convoite est
infrieure celle des dommages que le systme menac peut lui infliger.
DIVULGATION DINFORMATIONS : Utilisation non autorise des ressources du
systme dinformation, entranant la divulgation des tiers dinformations
confidentielles.
DOCUMENT : C'est un "tout" qui associe l'information et la donne leur support.
DONNE : (1) C'est une reprsentation conventionnelle d'un fait, d'un objet, d'un tat.
(2) Reprsentation dune information sous une forme conventionnelle destine
faciliter son traitement (en anglais : data) (J.O. 17/1/1982). Au niveau conceptuel, cette
information est reprsente par des entits, proprits, relations.
EFFECTIF : Ce qui est en gnral concret, rel et qui a eu lieu (dans les causes qui sont
l'origine de cette atteinte, la pntration est un lment effectif du processus de
l'agression).
EFFET : Ce qui est produit par la cause. Nous retiendrons la dfinition restrictive suivante
: c'est le rsultat direct, tangible, de ce qu'un vnement, une action, un auteur, un
contexte... matrialisant la cause, produit au premier degr sur l'environnement physique,
logique et organisationnel de la donne et de l'information.
ENJEU : Ce que l'on peut perdre ou gagner. Ils peuvent tre de diffrents niveaux. L'enjeu
majeur de l'entreprise sera le dpt de bilan.
ENVIRONNEMENT HOSTILE : Regroupement de tous les types de menaces, internes
ou externes l'entreprise, dont l'origine peut tre la malveillance, les erreurs et les
accidents.
ERREURS : Elles englobent la fois les erreurs dutilisation (Erreurs de saisie et de
transmission des donnes quelque en soit le moyen, erreurs dexploitation du systme), et
les erreurs de conception et de ralisation de logiciels et de procdures dapplication.
Menaces qui ont pour origine de mauvaises organisations, conceptions, ralisations,
exploitations et maintenances de systmes d'information. Elles sont surtout lies des
aspects organisationnels.
Document ralis par MOLINES CONSULTANTS en accord avec CLUSIF
63
tude de cas
64
tude de cas
65
tude de cas
tre vrifie tout moment par un tiers. Sans la non rpudiation, des metteurs et des
rcepteurs dinformations pourraient nier les avoir reues ou envoyes.
OBJECTIF : Spcifie, en terme de finalit, le niveau de qualit et de quantit des rsultats
que doit atteindre un systme par son fonctionnement.
ORIGINE SPATIALE : Prcise d'o l'lment provient, c'est--dire le lieu de l'action ou
son point de dpart. Exemple : l'origine de cette fuite d'eau a t localise au sous sol.
ORIGINE TEMPORELLE : Qui indique la premire apparition de l'vnement, ou bien la
priode durant laquelle il s'est produit. Exemples : l'initialisation du systme est
l'origine de l'crasement du disque ; l'origine de la panne qui a stopp le systme date de
l'anne dernire, alors que l'origine de ce type de sinistre remonte aux annes cinquante.
ORIGINE CAUSALE : Qui signale l'auteur, l'vnement, l'objet ou le contexte..., qui sont
la "cause" de ce qui s'est produit, exemples : ce concurrent est l'origine de la
falsification des tarifs ; le vol de ce fichier clients est l'origine des pertes subies par
cette socit.
PANNES (matrielles et logiques) : Ensemble de causes dorigine ou de rvlation
interne entranant lindisponibilit ou le dysfonctionnement (non-conformit aux
fonctionnalits et aux performances nominales) total ou partiel du systme.
PERTES DE SERVICES ESSENTIELS : Ensemble de causes dorigine externe
entranant lindisponibilit ou le dysfonctionnement total ou partiel du systme :
lectricit, tlcommunications, eau, fluides divers.
PERTES DIRECTES : Elles regroupent les frais dexpertise, de dblaiement, de rparation
ou de remplacement des matriels endommags, ainsi que les frais dexpertise et de
restauration des lments non matriels du systme atteint : systme dexploitation,
donnes, programmes, procdures, documentations et divers.
PERTES INDIRECTES : Elles englobent lensemble des frais correspondant des
mesures conservatoires destines maintenir lintrieur du systme des
fonctionnalits ou des performances aussi proches que possible de celles qui taient les
siennes avant le sinistre jusqu sa complte remise en tat (matriel et non matriel). Les
pertes indirectes comprennent galement les pertes dexploitation : pertes de marge dues
des frais supplmentaires et/ou des pertes de revenu directes ou indirectes (pertes
daffaires, de client, dimage, etc.) ; pertes de fonds et de biens (pertes dinformations
confidentielles, de savoir-faire, etc.) ; responsabilit civile encourue par lentreprise ou
lorganisme du fait des prjudices causs autrui, volontairement ou pas, du fait de la
survenance dun sinistre dans son enceinte juridique.
PLAN DE SAUVEGARDE : Ensemble des procdures et des moyens permettant de
disposer de copies des programmes, des fichiers, des procdures, suffisamment jour
pour redmarrer une application aprs un incident. Les plans de sauvegardes sont conus
pour autoriser la slection dune partie seulement des fichiers et permettant galement la
sauvegarde de fichiers volumineux.
66
tude de cas
67
tude de cas
68
tude de cas
69
tude de cas
TRAP DOOR : Porte de derrire en anglais. Mcanisme logiciel ou matriel qui permet de
contourner les protections dun systme. Il peut tre activ distance, par exemple, avec
une combinaison particulire de touches.
TYPE DACCS : Nature des droits accords un utilisateur. Par exemple, lecture,
criture, modification, suppression, cration, excution.
VIRUS : Programme, souvent de trs petite taille qui possde la facult de sintroduire dans
un programme hte et de sauto reproduire, soit lidentique, soit en se modifiant (virus
polymorphe), chaque fois que celui-ci dmarre ou est excut.
VRAISEMBLANCE : Qualificatif qui caractrise la naissance ou l'existence d'un risque
que peut reprsenter une menace. Elle est quantifie par des nombres de 0 4 qui
signifieront : (0) n'existera jamais, (1) a peu de chance d'exister, (2) peut exister mais pas
pour le moment, (3) existera court terme, (4) existe.
VULNRABILIT : En tant que faiblesse, la vulnrabilit est ipso facto relative au couple
[menace, enjeu]. Cela se traduira par le fait qu'un risque (et donc la menace qui l'a fait
natre) et une faiblesse (des impacts potentiels tangibles, de niveau logique ou
stratgique) existent simultanment.
VULNRABILIT LOGIQUE : Elle sera la consquence de l'impact logique pour le
systme de gestion. Ce sera, par exemple, l'impact reprsent par une atteinte la
disponibilit, le systme sensible au retard de certains traitements informatiques qui se
traduiront par des retards de production.
VULNRABILIT STRATGIQUE : Elle traduira des consquences qui pourront tre
de nature financire et "activer" des enjeux majeurs. Cette vulnrabilit sera plus une
caractristique de l'entreprise qu'une particularit de son systme d'information.
VULNRABILIT TANGIBLE : Elle traduit une faiblesse physique, logique ou
organisationnelle de l'environnement informatique. Cette fragilit donnera la possibilit
une agression de faire subir au systme d'information une atteinte qui aura des impacts
tangibles (destructions physiques, logiques et organisationnelles).
70