Une Norme pour la Sécurité de l Information

Transcription

1 Une Norme pour la Sécurité de l Information Comment la norme ISO/IEC et la certification contribuent à améliorer la sécurité dans les entreprises?

2 Qu est-ce que l ISO/IEC 27001? C est une norme de management de sécurité de l information : pour aider les entreprises à organiser la sécurité de leur données (informations clients, brevets, R&D, process spécifiques, ) pour préserver les savoir-faire et mettre en œuvre la continuité des activités, pour établir un climat de confiance avec les clients, pour répondre aux éventuelles obligations réglementaires, pour une valorisation des dispositifs de sécurité : aujourd hui, il est le seul référentiel mondial certifiable dans ce domaine.

3 Qu est-ce que l ISO/IEC 27001? L ISO/IEC contient : des exigences organisationnelles et des exigences techniques relatives à la sécurité, physique et logique. Est présente au sein d une famille de norme «ISO 27000»: traitant tous les aspects de la sécurité : exigences de certification, bonne pratiques, méthode d analyse de risques, vocabulaire, mise en œuvre d indicateur,. Est alignée sur l ISO 9001 et l ISO : pour permettre une mise en œuvre et un fonctionnement cohérents et intégrés des systèmes de management dans les entreprises. Une norme ISO est une norme internationale

4 Qui est concerné? Toute entreprise, quelque soit : Sa taille Son activité Sa structure Son activité Sa(ses) localisation(s) géographique(s)

5 Quel est son contenu? Les exigences organisationnelles : Identifier les risques et les vulnérabilités de l entreprise et du système d information Mettre en œuvre des moyens, des ressources, des dispositifs de sécurité adaptés, Responsabiliser les personnes concernées à tout niveau hiérarchique, Piloter la sécurité (identification des incidents de sécurité, continuité d activité, mises à jour des SI, audits internes, bilan annuel, ) Adapter et améliorer les pratiques existantes au regard de l évolution de l environnement, du système d information,.

6 Quel est son contenu? Les exigences techniques, 11 thématiques à considérer: Politique de Sécurité Organisation de la Sécurité de l Information Gestion des actifs Sécurité des ressources humaines Sécurité physique et environnementale Management de l exploitation et des communications Contrôle d accès (identifiant et mot de passe, accès physique ) Acquisition, développement et maintenance des systèmes d information Gestion des incidents de sécurité de l information Gestion de la continuité d activités Conformité (à la réglementation) A vous de sélectionner, les thématiques appropriées à la situation de votre Système d Information et de votre Entreprise.

7 Quelle information/données faut-il protéger? Toute information critique/sensible pour l entreprise et celle provenant des clients de l entreprise L ISO propose de travailler sur ces catégories de données ou d équipements: Actifs Informationnels : bases de données et fichiers clients, documentation système, Documents papier : contrats, guides, documentation de l organisation,. Actifs logiciels : logiciels applicatifs, système d exploitation, outils de développement Actifs physiques : équipements informatiques et télécommunication, médias, supports d archivage, mobilier, etc. Personnes : personnel, clients, fournisseurs Image et réputation de l organisme Services : services informatiques et communications, RH, comptabilité, services techniques,

8 Quelques extraits de thématiques de sécurité Sécurité physique et environnementale Zones sécurisées : Empêcher tout accès physique non autorisé, tout dommage ou intrusion dans les locaux ou portant sur les informations de l organisme. Sécurité du Matériel : Empêcher la perte, l endommagement, le vol ou la compromission des matériels et l interruption des activités de l organisme. Contrôle d accès Maîtriser l accès à l information Contrôler l accès des utilisateurs autorisés et empêcher les accès non autorisés aux systèmes d information. Empêcher l accès d utilisateurs non habilités et la compromission ou le vol d informations et de moyens de traitement de l information.. Gestion de la continuité de l activité Empêcher les interruptions des activités de l organisme, protéger les processus métier cruciaux des effets causés par les défaillances majeures des systèmes d information ou par des sinistres et garantir une reprise de ces processus dans les meilleurs délais.

9 Quelques extraits de thématiques de sécurité Politique de sécurité Apporter à la sécurité de l information une orientation et un soutien de la part de la direction, conformément aux exigences métier et aux lois et règlements. Gestion des actifs Mettre en place et maintenir une protection appropriée des actifs de l organisme. Garantir un niveau de protection approprié aux informations. Ressources Humaines Avant le recrutement : Garantir que les salariés, contractants et utilisateurs tiers connaissent leurs responsabilités et qu ils de réduire le risque de vol, de fraude ou de mauvais usage des équipements. Pendant la durée du contrat : Veiller à ce que tous les salariés, contractants et utilisateurs tiers soient conscients des menaces pesant sur la sécurité de l information, de leurs responsabilités financières ou autres, et disposent des éléments requis pour prendre en charge la politique de sécurité de l organisme et réduire le risque d erreur humaine. Fin ou modification du contrat : Veiller à ce que les salariés, contractants et utilisateurs tiers quittent un organisme ou changent de poste selon une procédure définie.

10 La norme permet aussi une approche professionnelle et méthodique des enjeux de sécurité L ISO répond aux problématiques des entreprises: Réflexion sur les enjeux de sécurité de l entreprise Professionnalisation progressive de la gestion de la sécurité Transparence interne des incidents de sécurité, tentatives de fraudes, usurpations et dégradations,. Évaluation du coût des failles de sécurité Visibilité à moyen terme des coûts de sécurité ou d insécurité Confiance entre parties

11 L ISO est également un outil au service de la stratégie de l entreprise Gérer les risques et l évolution de l environnement Outil indispensable de l intelligence économique Un outil concurrentiel, au service des enjeux commerciaux Assurer la pérennité et conquérir de nouveaux marchés

12 L industrie à la traine dans la certification ISO/IEC Fabrication d équipement électrique et électronique 3% 32- Activités financières, immobilières et de location 3% 28- Construction 4% 31- Transports et communications 4% 35- Autres services fournis principalement aux entreprises 14% Principaux secteurs 9- Imprimerie, reproduction d enregistrements 2% 34- Recherche & développement, architecture et ingénierie 2% 36- Administration publique 2% 33- Activités informatiques 66% État des lieux de la certification (étude ISO Survey - décembre 2009): - Forte expansion dans le monde, surtout en Asie et en Europe, - + de certificats, - Forte représentation des activités de services, - Développement en cours dans les secteurs industriels.

13 Rappel du processus de certification Engagement initial - Analyse de votre environnement et de sa complexité - Analyse de votre projet de certification - Combinaison avec d autres normes Étape 1 : Préparation de l audit Étape 2 : Audit sur site Décision de certification ISO/IEC Maintien et renouvellement de la certification - Envoi de guides de certification - Prise de connaissance des auditeurs - Préparation de l audit sur site - Réalisation de l audit : - Interview des collaborateurs sur leurs postes de travail, tests, vérifications - Identification des dysfonctionnements, des points forts et des points à améliorer - Commission de Certification - Certificat délivré pour 3 ans - Valorisation de votre entreprise - Audits de suivi annuels - Audit de renouvellement tous les 3 ans

14 Mais la certification concrètement, Des entreprises témoignent de leur expérience M. Michel Quinton, Orange Business Services Cliquez ici M. Paul Bayle, Atos Origin France Cliquez ici

15 Lille Rouen Paris Nancy Rennes Orléans Nantes Limoges Lyon Bordeaux Toulouse Montpellier Marseille AFNOR Certification, filiale du Groupe AFNOR, est Leader de la certification en France. Elle est présente dans 90 pays, accompagne les métiers et acteurs des systèmes d information dans leurs démarches managériales. A l écoute de ses clients, elle s'adapte aux spécificités des différents métiers du secteur, aux évolutions de l'environnement et participe à leur projet d innovation. Pour nous contacter : certification@afnor.org Pour en savoir plus sur AFNOR Certification :