AUDIT CONSEIL CERT FORMATION

Transcription

1 AUDIT CONSEIL CERT FORMATION LEXSI GROUP / INNOVATIVE SECURITY / CONSEIL EN SECURITE DE L INFORMATION / PARIS LYON LILLE MONTREAL SINGAPOUR

2 A PROPOS DE LEXSI Avec plus de 10 ans d expérience, LEXSI est le premier groupe français indépendant spécialisé en sécurité informatique et gestion des risques. Cabinet leader sur son marché, LEXSI est implanté à Paris, Lyon, Lille, Singapour et Montréal (Canada) et délivre ses prestations aussi bien en France qu à l international. Avec 150 experts à la pointe du secteur de la sécurité informatique, LEXSI intervient à travers 4 pôles de compétences : Veille pour lutter contre la cybercriminalité CERT-LEXSI, Conseil, Audit et Formation en sécurité des systèmes d information. LEXSI est la plus importante équipe CERT (Computer Emergency Response Team) accréditée en Europe et collabore activement avec la communauté internationale et les services de lutte contre la fraude. LEXSI est un cabinet de conseil indépendant de sécurité de l'information : gestion des risques, audit, lutte contre la cybercriminalité. CLIENTS Les principales entreprises et organisations, dans les domaines les plus sensibles, nous renouvellent leur confiance. LEXSI compte parmi ses clients, les principaux grands comptes français : 75% des entreprises du CAC 40 Principales banques françaises et la moitié des plus grandes banques européennes Secteur public : ministères, collectivités locales et territoriales, etc. Secteurs de pointe : défense, industrie, pharmacie, énergie, etc.

3 SERVICES LEXSI est actif à l international à travers ses filiales de Montréal et Singapour. Il a pour mission d aider les entreprises à renforcer leur sécurité et à gérer leurs risques, à travers 4 grands métiers : Audit des systèmes d information Conseil en sécurité de l information Veille technologique & lutte contre la cybercriminalité Formations en sécurité opérationnelle et management des risques 4 métiers AUDIT CONSEIL CERT FORMATION ELEMENTS DIFFERENCIATEURS 1 er Cabinet Français indépendant spécialisé dans le conseil en sécurité de l information et gestion des risques Equipe CSIRT accréditée 600 clients Plus de 10 ans d expérience Une collaboration active avec la communauté internationale de sécurité et les services de lutte contre la cybercriminalité Indépendance totale vis-à-vis des éditeurs et constructeurs du marché Des formateurs qui vous font bénéficier de retours d expérience terrain Un partenariat avec le SANS Institute

4 Avec plus de 300 audits par an, Lexsi Audit bénéficie d un retour exceptionnel sur les risques liés aux évolutions les plus récentes des S.I. (technologies et usages) : convergence des réseaux voix-données, mobilité, nomadisme, etc. / Virtualisation, gestion des identités, cloud computing, messagerie unifiée, web 2.0, etc. AUDIT DE CONFORMITE AUDIT D ARCHITECTURE Les audits de conformité ont pour objectif de faire un état des lieux de la sécurité en s appuyant sur des référentiels privés (ceux du client) ou publics (ARJEL, ISO 2700x, PCI-DSS, CRBF- CFONB, SOX, etc.) : Audit de la conformité des mots de passe utilisateur et administrateur utilisé. Identification des utilisateurs ayant un mot de passe non conforme. Analyse des processus et du référentiel documentaire de l organisation (PSSI, procédures, etc.) Mise en valeur des forces et des faiblesses de l organisation Focus sur la conformité (LSF, CNIL, LCEN, etc.) Audit global du SI avec analyse des enjeux et des risques (vision organisationnelle et/ou technique) Les audits d architecture visent à établir un diagnostic technique du niveau de sécurité d une infrastructure en procédant à une revue détaillée de la configuration de ses différents composants : Bilan de la sécurité d applications et de ressources critiques (ERP, messagerie, annuaire, etc.) Evaluation de la robustesse d un serveur web, d un point d accès Internet, d une architecture de cloisonnement, d une infrastructure ToIP, etc. Audit de conception d une architecture AUDIT Lexsi Audit mobilise ses bases de connaissance et son savoir-faire unique pour évaluer le niveau de sécurité et la résistance des systèmes d information de ses clients. AUDIT INTRUSIF AUDIT APPLICATIF AUDIT PHYSIQUE Ce type d audit répond à des exigences strictes de déontologie et de probité. Il peut être réalisé dans une logique de sensibilisation aux risques ou pour s assurer de la non régression du niveau de sécurité. Tout test intrusif peut être réalisé avec ou sans information préalable : Tests d intrusion depuis un point externe au SI (réseaux publics par exemple) Tests d intrusion depuis un point interne du SI Cartographie des cibles potentielles d attaques Tests avec informations applicatives (compte, profil, etc.) Tests intrusifs applicatifs : fuzzing, protection contre la rétro-ingénierie, etc. Tests de résistance aux malware Tests d intrusion sur Smartphone et applications mobiles L objectif consiste à identifier et à analyser d un point de vue sécurité pour une application donnée, les faiblesses du code source et les techniques de développement mises en oeuvre d un point de vue sécurité : Analyse des codes sources : Java, J2EE, PHP, ASP,.NET, C/C++, etc. Analyse du design de l architecture logicielle et de ses composants Corrélation des résultats entre audit applicatif et test intrusif (black box vs white box) Il s agit d analyser la qualité des mesures physiques sous l angle sécuritaire : Evaluation des contrôles d accès et des mesures de protection (dispositifs anti-incendie, dégât des eaux, alimentation électrique, climatisation, etc.) Contrôle du suivi des consignes, ingénierie sociale (accueil, téléphone, mail, etc.)

5 MANAGEMENT Le management de la sécurité et des risques contribue à l atteinte des objectifs de création de valeur et de protection des entreprises et des organisations : Stratégie et gouvernance : accompagnement des RSSI, structuration des filières SSI, plan d investissement, tableau de bord, gestion des risques SMSI : management de la sécurité, démarche ISO 27001, reporting, contrôle et amélioration continue Conduite du changement : stratégie, campagne de sensibilisation, université interne Sécurité et risques Chaque année, plus du quart des entreprises subit des attaques ciblant les éléments stratégiques de leur patrimoine économique. EXPERTISE La maîtrise de l architecture et des solutions de sécurité répond à l évolution des techniques d attaque et des risques de fraude. Lexsi apporte des expertises parmi les plus pointues du marché pour construire des solutions pertinentes et pragmatiques : Architecture : analyse des risques d architecture, ToIP, sécurisation des architectures ouvertes, Web Services, virtualisation, analyse d incidents Solutions : benchmark et dossier de choix, cahier des charges, assistance à maîtrise d oeuvre Assurance sécurité : méthode d assurance sécurité, sécurité dans les projets (conception, recette, production), management et contrôle CONSEIL Lexsi Conseil apporte une force d innovation tournée vers le management des risques et la protection des systèmes d information. Cette activité bénéficie des retours opérationnels du CERT et de l Audit. RESILIENCE La maîtrise de la continuité des processus est incontournable pour les entreprises et les organisations. Elle nécessite de disposer des procédures, compétences et niveaux de décision adaptés pour faire face aux crises : Continuité métier : Business Case pour les directions, analyse des impacts (BIA), plans de continuité Gestion de crise : processus de gestion de crise, conduite d exercices, analyse post mortem Continuité du SI : conception des PRA/PCI/PCO, dossier de choix, simulations et tests 92% des entreprises, dont le centre informatique reste inexploitable pendant 10 jours ou plus suite à un sinistre, déposent le bilan dans l année qui suit. CONFORMITE La maîtrise des éléments clés de conformité est essentielle pour contrôler les risques juridiques et réglementaires. Elle est au coeur du pilotage de la maturité et de l amélioration continue : Règlementation : conformité aux réglementations clés, CNIL, CRBF, SOX et LSF Normes et standards : audit général de sécurité ISO & 27002, audit de la conformité par rapport aux référentiels métiers (Santé,CFONB,PCI DSS), accompagnement aux processus de certification Exigences internes : définition de plans de contrôle, mise en place de processus d autocontrôle, conduite des opérations de contrôle permanent et continu, contrôle à grande échelle

6 VEILLE EN VULNERABILITES La cellule de veille en vulnérabilités du Cert-Lexsi analyse chaque jour des milliers d évènements (vulnérabilités, codes malveillants, etc.), afin de délivrer, en continu, une information qualifiée et personnalisée : Les bulletins et alertes sont définis selon le périmètre technologique (produits, version, etc.) et l organisation de chaque client L information est diffusable au format XML La base du Cert-Lexsi comporte plus de vulnérabilités et alertes mises à jour en temps réel L outil de gestion des vulnérabilités facilite les tâches correctives et produit des tableaux de bord détaillés La hotline téléphonique assiste les utilisateurs pour toute question relative aux technologies et aux menaces La veille éditoriale offre un regard d experts sur l actualité de la sécurité : médias, évènements, publications, livres blancs, etc. Plus de la moitié des vulnérabilités existantes ne sont pas recensées initialement par les éditeurs. La veille du Cert-Lexsi est le premier pilier de sécurité d un système d information, puisque les vulnérabilités non corrigées sont à l origine de 80% des incidents de sécurité. LUTTE CONTRE LA CYBERCRIMINALITE Premier acteur européen de la lutte contre la fraude en ligne, le Cert-Lexsi n a cessé d innover depuis 10 ans afin de proposer des solutions efficaces dans les domaines suivants : Lutte contre la fraude : banque/finance, jeux en ligne, e-commerce Protection des menaces transactionnelles : phishing, pharming, malware Protection périmètrique : compromission des réseaux d entreprise par malware, défacements de sites dénis de services, domain/dns hijacking Veille prospective sectorielle CERT Le Cert-Lexsi est la division de veille et de lutte contre la cybercriminalité et la fraude en ligne. Centre de R&D et d interventions d urgence, le CERT opère en 24/7 pour plus de 300 clients internationaux. LUTTE CONTRE LES DESTABILISATIONS (MARQUE & IMAGE) REPONSE À INCIDENT Le Cert-Lexsi surveille les risques d atteintes à l image des grandes entreprises, pouvant compromettre leur réputation, la confidentialité de leurs données, leur propriété intellectuelle et même la sécurité de leurs collaborateurs (veille et interventions 24/7) : Usurpation d identité et utilisation abusive Gestion des risques liés aux réseaux sociaux et des communautés 2.0 Fuites d information et tentatives de déstabilisation Réseaux de contrefaçons et marchés parallèles (sites d enchères, e-commerce, spam, plateformes B2B) Parasitisme : ambush marketing, scam, détournement de trafic, etc. La cellule de réponse à incident et d enquêtes du Cert-Lexsi, assiste ses clients en situation de crise, en phase de diagnostic, de contre-mesure ou d analyse post-incidents : Infection virale Intrusions et compromission du système d information Fraudes Altération de données Fuite d information Mise en ligne de contenus frauduleux (ex : phishing) Tentatives de déstabilisation (ex : dénigrement organisé)

7 Organisme de formation agréé depuis 2001, Lexsi accueille chaque année plus de 200 stagiaires. Les formations délivrées sont des clés d évolution professionnelle. UNE OFFRE COMPLÈTE ET ADAPTÉE L université Lexsi propose plusieurs dizaines de modules de formations sur la Sécurité des SI : cours à la carte et programmes adaptés et personnalisables, afin de répondre au mieux à vos besoins et vous donner tous les outils pour protéger votre système d information. Ils sont délivrés par une vingtaine de formateurs qui sont également consultants, auditeurs ou membres du CERT pour dispenser des retours d expérience riches aux stagiaires. Regroupés en filières, nos modules de formation couvrent les aspects : Cybercriminalité Gestion de la sécurité Management des risques Techniques de hacking Sécurisation technique FORMATION L université Lexsi propose des modules dédiés à la sécurité de l information. Ils peuvent être réalisés au sein des entreprises, et personnalisés dans le cadre de campagne de sensibilisation. DES CURSUS TECHNIQUES ET ORGANISATIONNELS DES FORMATIONS CERTIFIANTES Lexsi propose 3 cursus standards techniques et organisationnels répondant aux enjeux et besoins des professionnels de la sécurité : Cursus Ethical Hacking : techniques d attaques, hacking réseaux et systèmes, hacking web et applicatif, sécurité Smartphones et TOIP, sécurité de l authentification, maintien des accès et invisibilité Cursus RSSI management : état des lieux cybercriminalité, SMSI, dimensions juridiques, risk management, tableaux de bords sécurité Cursus RSSI opérationnel : état des lieux cybercriminalité, techniques d attaques, organisation de la sécurité, Continuité du SI, cryptographie, terminaux mobiles Lexsi vous propose d acquérir des certifications reconnues internationalement dans le domaine de la sécurité des systèmes d information, délivrées par : Le SANS Institute : la plus grande référence mondiale dans le domaine de la sécurité informatique, qui forme plus de personnes par an. Au travers de ce partenariat Lexsi offre 5 formations certifiantes (SEC 401 : certification GIAC GSEC - SEC 504 certification GIAC GCIH SEC 542 certification GIAC GWAPT SEC 560 : certification GIAC GPEN FOR 508 : certification GIAC GCFA ) LSTI : organisme de certifications pour les normes ISO/CEI et ISO/CEI

8 SIEGE SOCIAL : Tours Mercuriales Ponant 40 rue Jean Jaurès Bagnolet TÉL. (+33) FAX. (+33) LEXSI SUD EST Bois des Côtes 1 - Bâtiment A 300 route Nationale LIMONEST Tél. (+33) LEXSI NORD Tours Mercuriales Ponant 40 rue Jean Jaurès BAGNOLET Tél. (+33) LEXSI CANADA rue St-Denis H2X 3L3 Montréal, Québec Tél LEXSI SINGAPORE 46, East Coast Road Eastgate - # Singapore Tél :