Agence Nationale de la Sécurité Informatique. Titre Stratégie Nationale de CYBER-SÉCURITÉ Où sommes-nous

Transcription

1 Agence Nationale de la Sécurité Informatique Titre Stratégie Nationale de CYBER-SÉCURITÉ Où sommes-nous Hassen BAHRI

2 Terminologies سهولة االستعمال Facilité Opportunité d investissement énorme الثقة الرقمي ة Confience numérique أمن المعلومات Sécurité الفعالية Efficacité

3 السرية Confidentialité Terminologies أمن المعلومات Sécurité des informations أمن االنترنت Sécurité des informations المخاطر السيبرني ة Cyber risque الجرائم السيبرني ة Cyber Crime التوفر disponibilité السالمة intégrité

4 Terminologies أمن المعلوماتSecurity - Information : التي تنبني على ثالث أسس وهي مدى سري تها 'confidentialité' وتوفرها وتكاملها' Intérgrité '. 'Disponibilité' الفضاء السيبراني - Cyberspace : البنية التحتية المعلوماتية المترابطة عالميا والمتكونة من شبكات اإلنترنات وشبكات االتصاالت السلكية والالسلكية والنظم المعلوماتية المتصلة بها. األنظمة المعلوماتية المعزولة ليست جزءا من الفضاء السيبراني. أمن االنترناتSecurity - Cyber : هو أمن المعلومات في الفضاء السيبراني. مالحظة : أخذا بعين اإلعتبار تقلص عدد األنظمة المعلوماتية المعزولة سيتم إدماج أمن االنترنات و أمن المعلومات. الهجمة السيبرنيةattack - Cyber : هجمة رقمية تهدف إلى إلحاق الضرر بأحد أو عد ة أنظمة معلوماتية. الجريمة السيبرنيةCybercrime - : هو االستعمال السيئ لتكنولوجيا المعلومات واالتصال إللحاق الضرر عن قصد باآلخرين و تأخذ صورتين: الجرائم التي ترتكب ضد األنظمة والبيانات المعلوماتية. الجرائم التي تكون فيها المعلوماتية هي الوسيلة المستعملة الرتكاب جرائم عادية مثل السرقة التهديد الثلب والذم... المخاطر السيبرنية- Threats : Cyber هي مجموعة المخاطر التي تهدد أمن النظم المعلوماتي ة بالفضاء السيبرني و تتكو ن أساسا من: الجريمة السيبرنية الجوسسة السيبرني ة اإلرهاب اإللكتروني الحروب السيبرني ة. السالمة على اإلنترنت- :Cyber Safety هي أساسا المساعدة لحماية األفراد وخاصة األطفال من التعرض لمحتوى غير قانوني سي ء مثل البلطجة والمطاردة واالستمالة عبر اإلنترنت ألغراض االستغالل الجنسي البنى التحتية الحساسة- : CI هي المنظومات أو المؤسسات ذات أهمية كبرى من أجل الصالح العام والتي تنتج في حالة فشلها أو الحاق الضرر بها عواقب وخيمة واضطراب كبيرة تمس األمن العام. البنى المعلوماتي ة التحتية الحساسة- CII : والتي تتكو ن من شركات االتصاالت و شركات توليد و توزيع الطاقة وكذلك األنظمة المعلوماتي ة للبنى التحتية الحساسة

5 Les attaques en : Les attaques de Anonymous, principalement contre le gouvernement et les grandes institution (DDoS, defacement, vol de données, etc. 4: Les infections virales 2: Les attaques sur les réseaux sociaux (Vol d identité, infections virale, phishing, etc. 5: Le hacking politique (Attaques de sites web, de page facebook, vol de documents, etc.) 3: Les attaques de web defacement 6: Vol, fuite et destruction de données sensibles. Augmentation de 42% «Symantec»

6 2012 en chiffre

7 2012 en chiffre

8 2012 en chiffre

9 2012 en chiffre

10 2012 en chiffre

11 2012 en chiffre

12 Attaques web zone-h

13 Attaques web zone-h

14 Nombre de malwares téléchargés/mois

15 Type des malwares AVR-2013 ~90000

16 Attaque MAP

17 Les prédictions Prédiction n 1: Le Cyber conflit devient habituel entre les pays, les organismes et les individuels. Prédiction n 2: les Ransomwares deviennent les nouvelles scarewares. Prédiction n 3: Augmentation exponentielle des malwares. Prédiction n 4: L introduction de la commerce électronique dans les réseaux sociaux introduit des nouvelles menaces. Prédiction n 5: Comme les utilisateurs utilisent de plus en plus les appareils mobiles et le cloud, les attaquants les suivent. Source: Symantec

18 Les prédictions Prédiction n 1: Les criminels bénéficieront de conséquences non intentionnelles de l'espionnage. Prédiction n 2: Les pirates utiliseront de plus en plus les applications, les films et les musiques pour installer des malwares. Prédiction n 3: les attaques DRIVE-BY DOWNLOAD et CROSS-SITE SCRIPTING seront les attaques les plus favoris. Prédiction n 4: la mises à jour des logiciels devient plus facile et l exploitation des failles devient plus difficile. Prédiction n 5: Les rootkits va évoluer en 2013 avec la virtualisation. Source: Microsoft

19 Les prédictions Prédiction n 1: Une cyber attaque en résulte une mort humaine. Prédiction n 2: Augmentation exponentielle des malwares qui visent les hyperviseurs. Prédiction n 3: Augmentation exponentielle des malwares qui visent les navigateurs. Prédiction n 4: Le Cyber conflit devient habituel entre les pays, les organismes et les individuels. Prédiction n 5: Augmentation des attaques IPv6. Prédiction n 6: Vole de l argent (solde) par des escrocs en utilisant l Android. Prédiction n 7: Les malwares mobiles montent en flèche. Prédiction n 8: La vente des exploits des vulnérabilités et des zéro-days sera la menace persistante avancée (APT) de la prochaine années.. Source: WatchGuard

20 Comment procéder

21 Il nous faut une stratégie Stratégie de sécurité

22 Chacun a un rôle à jouer

23 Stratégie de Source d inspiration: les entreprises Stratégie de sécurité 1. Démarrage: A. Alignement stratégique B. Appui du top management C. Alignement aux exigences réglementaires 2. Développement de la stratégie A. Définition du Framework pour la stratégie de sécurité de l information (NIST, ISO 27002, CMMI, CobiT, ITIL, COSO) B. Détermination de l état actuel (analyse des risques) C. Détermination de l état projeté (certification) 3. Développement d une feuille de route (Etat actuel L état projeté) A. Framework pour le programme de sécurité (PDCA) B. Développement du programme de sécurité (Les projets de sécurité: Court, moyen et long termes) C. Développement des KPI D. Do-Check-Act

24 Source d inspiration : les entreprises Politique de sécurité Organisation de la sécurité PLAN Implémenter SMSI Revue de direction Identification des actifs et leur classification DO Implémenter & Faire fonctionner SMSI ACT Maintient & amélioration Action correctives et préventives Sélection et implémentation des contrôles CHECK Surveiller et examiner le SMSI Vérifier les processus Opérationnaliser les processus

25 Source d inspiration : les entreprises Audit de la sécurité Sécurité des applications Formation, éducation et sensibilisation Organisation de la sécurité Conformité Sécurité du périmètre Gestion des risques Développement et maintenance des systèmes Gestion des incidents Business Continuity Planning Monitoring Contrôle d accès Disponibilité Gestion des identités Gestion des actifs Sécurité physique Sécurité des ressources humaines Gestion des communication et des opérations Sécurité du endpoint Gouvernance Prévention de la fuite de données Forensic Politique de sécurité

26 Stratégie de Source d inspiration : les entreprises Le cœur de tout programme de sécurité sera basé sur la gestion des risques, politique, procédures et standards, les structures de sécurité, la classification de l'information, la sensibilisation et l'éducation

27 Et pour un État?

28 USA Réglementations: Computer Fraud and Abuse Act (CFAA) Electronic Communications Privacy Act (ECPA) National Infrastructure Protection Act Cyberspace Electronic Security Act Digital Millennium Copyright Act Patriot Act of 2001 Cyber Security Enhancement Act (CSEA) Anti-Phishing Act Cybersecurity Act of 2010 Cyber Security and Internet Freedom Act of 2011 USA Cyber Security Information Sharing Act of 2012 SECURE IT Act of 2012 Cyberspace Policy (Draft) Stackholders Department of Defense Cyber Crime Center (DC3) Defense Cyber Crime Institute (DCCI). U.S. Immigration and Customs Enforcement Cyber Crimes Center (C3) The Computer Crime and Intellectual Property Section (CCIPS) Federal Bureau of Investigation National Infrastructure Protection Center National White Collar Crime Center Internet Fraud Complaint Center Computer Crime and Intellectual Property Section of the Department of Justice (DoJ) Central Intelligence Agency (CIA) National Security Agency (NSA) Computer Emergency Readiness Team/Coordination Center (CERT/CC) at Carnegie-Mellon CERT/SCIRT : Computer Emergency Readiness Team/Coordination Center (CERT/CC) at Carnegie-Mellon US- USCERT Sector specific US CERTs Energy NASA Military 2011 Industrial (ICS-CERT) SANS Internet Storm Center AXES: leading from the top building capacity for a digital nation Sharing responsibility for cybersecurity creating Efective information Sharing and incident response Encouraging innovation

29 UK Réglementations: Data Protection Act 1998 UK National Cyber Security Strategy of 2011 (to 2015) Computer Misuse Act 1990 Privacy and Electronic Regulations (ECDirective) 2003 Police and Justice Act 2006 Serious Crime Act 2007 European Directive of 1995 Regulation of Investigatory Powers Act 2000 (also update UK book) Stackholders Government Communications Headquarters (GCHQ) ACPO (Association of Chief Police Officers, ACPO e- crime Committee/ ACPO e-crime strategy) Action Fraud (UK's national fraud and internet crime reporting centre) NFIB (The National Fraud Intelligence Bureau) SOCA (The Serious Organised Crime Agency) CSOC (The Cyber Security Operations Centre) Get Safe Online Home Office Metropolitan Police Force ecrime Unit IWF (The Internet Watch Foundation) OCS (The Office of Cyber Security) PCeU (The Police Central ecrime Unit) London Action Plan on Spam Enforcement CERT/SCIRT : UKCERT GovCertUK Sector specific UK CERTs Academic Military Governmental 2011 objectives: The UK to tackle cyber crime and be one of the most secure places in the world to do business in cyberspace The UK to be more resilient to cyber attacks and better able to protect our interests in cyberspace The UK to have helped shape an open, stable and vibrant cyberspace which the UK public can use safely and that supports open societies The UK to have the cross-cutting knowledge, skills and capability it needs to nderpin all our cyber security objectives

30 AUTRES Country Germany Year 2011 responsable Federal ministry of interior Holistic objective Protection de CIP et tous les organismes gouvernementaux AXES 1) La protection des infrastructures d'information critiques. 2) Fixez les systèmes informatiques en Allemagne. 3) Renforcement de la sécurité informatique dans l'administration publique 4) Centre national d'intervention en cybersécurité 5) Conseil National Cyber Security 6) le contrôle efficace de la criminalité dans le cyberespace 7) coordonnée pour garantir la cybersécurité en Europe et dans le monde 8) Utilisation des technologies de l'information fiable et digne de confiance 9) Développement personnel dans les autorités fédérales 10) Des outils pour répondre aux cyber-attaques France 2011 (ANSSI) Premier ministère Être une puissance mondiale de cyberdéfense -Garantir la liberté de décision de la France par la protection de l information de souveraineté Renforcer la cybersécurité des infrastructures vitales nationales Assurer la sécurité dans le cyberespace Anticiper, analyser Détecter, alerter, réagir Accroître et pérenniser nos capacités scientifiques, techniques, industrielles et humaines Protéger les systèmes d information de l État et des opérateurs d infrastructures vitales Adapter notre droit Développer nos collaborations internationales Communiquer pour informer et convaincre Japan 2010 Information Security Policy Council Information Security Strategy for Protecting the Nation Ensure national security and effective crisis management Reinforcement of policies taking account of possible outbreaks of cyber-attacks and establishment of a counteractive organization. Reinforcement of Information Security Policy Adapted to Changes in the Information Security Environment Establishing active rather than passive information security measures

31 AUTRES Estonia Ministry of Defence Enhancing cyber security The development and large-scale implementation of a system of security measures Increasing competence in cyber security Improvement of the legal framework for supporting cyber security Bolstering international co-operation Raising awareness on cyber security: Australia 2009/2012 Prime Minister All Australians are aware of cyber risks, secure their computers and take steps to protect their identities, privacy and finances online. Australian businesses operate secure and resilient information and communications technologies to protect the integrity of their own operations and the identity and privacy of their customers. The Australian Government ensures its information and communications technologies are secure and resilient. Improve the detection, analysis, mitigation and response to sophisticated cyber threats, with a focus on government, critical infrastructure and other systems of national interest. Educate and empower all Australians with the information, confidence and practical tools to protect themselves online Partner with business to promote security and resilience in infrastructure, networks, products and services. Model best practice in the protection of government ICT systems, including the systems of those transacting with government online. Promote a secure, resilient and trusted global electronic operating environment that supports Australia s national interests. Maintain an effective legal framework and enforcement capabilities to target and prosecute cybercrime. Promote the development of a skilled cyber security workforce with access to research and development to develop innovative solutions.

32 AUTRES Austria 2013 National ICT Security Strategy Austria Optimize Stakeholders and structures - Optimising the cyber landscape in Austria - Establishing networks between stakeholders and structures - Enhancing the legal framework for cyber security in Austria - Promoting international cooperation Critical infrastructures - Improving cyber crisis management - Enhancing risk management and information security - Information exchange between public and private stakeholders Risk management and status quo - Identifying core enterprises in the respective sectors - Comprehensive risk and security management across sectors - Ensuring minimum standards and managing risk acceptance in core enterprises - Establishing crisis and emergency management in ICT and non-ict sectors - Assessment and management of the situation Education and research - Education/training relating to ICT, ICT security and media skills in early grades at school - Compulsory ICT training for all students of teacher training programmes - Increased training of ICT security specialists in the tertiary sector - ICT security as an important element of adult education and training - ICT security research as a basis for national competence - Increased coverage of ICT security topics in applied ICT research - Active theme leadership in international research programmes Awareness - Strengthening Austria s ICT security culture - Positive positioning of ICT security - Harmonised and coordinated approach - Effectiveness and sustainability of awareness measures

33 Et pour la TUNISIE?