Edelweb Des experts pour vous conseiller

Transcription

1 EdelWeb Page N 1 Edelweb Des experts pour vous conseiller Etudes de sécurité des services intégrés à un système d information [méthode et outillage]

2 SOMMAIRE Problématique Intégration de la sécurité cycle de vie Méthodologie Outillage (exemple : Copernic) Difficultés rencontrées Intégration de la sécurité dans un contexte multi-services Principes Outillage : CoperBasc Difficultés rencontrées EdelWeb Page N 2

3 EdelWeb Page N 3 1. Problématique Contexte Prise en compte et maîtrise de la sécurité dans les applications et services complexes Nouveaux services opérationnels à développer Utilisation d une méthode dérivée d EBIOS Multiple projets inter-dépendants Equipes de projets indépendantes MOA MOE Socles techniques existant Objectifs Assurer la couverture par la mise en œuvre technique des risques métiers Assurer la cohérence sécurité dans un contexte de services inter-dépendants

4 2. Intégration de la sécurité cycle de vie Schéma de principe Approfondissements successifs venant alimenter 2 éléments clés Dossier de sécurité Risques résiduels acceptés Vue SERVICE Guide n 1 Besoins Métiers Dossier de sécurité 0.1 Dossier de sécurité 0.2 Dossier de sécurité 0.3 Dossier de sécurité 0.4 EBIOS Vue Projets Besoins Fonctionnels Réponses fonctionnelles Risques résiduels EBIOS Vue Applications Besoins applicatifs Réponses applicatives Risques résiduels Vue Technique Besoins techniques EBIOS Réponses techniques Risques résiduels Outillage Tableaux de bord Inspiré du schéma du programme Copernic EdelWeb Page N 4

5 EdelWeb Page N 5 2. Intégration de la sécurité cycle de vie Outillage (exemple : programme Copernic) Afin de déterminer les besoins de sécurité, suivre la mise en place des protections, et in fine, considérer les risques résiduels, le programme a développé une série de méthodes et d outils sur trois niveaux [extrait programme Copernic] Pilotage de la Sécurité dans le programme COPERNIC Niveau Programme Référents et Méthodes Référents Sécurité et Schéma Directeur Sécurité Outils support Consolidations et Cartographies Programme Outils de pilotage Tableau de Bord Programme Déclinaison des orientations programme Niveau Bascule Méthode d intégration de la sécurité dans les bascules (ISB) Matrice de contribution valorisée des projets à la bascule Tableau de Bord Bascule Déclinaison des orientations Bascule Niveau Projet Méthode d intégration de la sécurité dans les projets (ISP) Plan Sécurité Projet (PSP) Tableau de Bord Projet

6 EdelWeb Page N 6 2. Intégration de la sécurité cycle de vie Difficultés rencontrées Modélisation nécessaire pour passer d une couche à l autre urbanisation du SI «Versionning» : Une ré-utilisation des briques applicatives et techniques La brique existante fait-elle courir des risques au nouveau service? Le nouveau service fait-elle peser de nouveaux risques sur l existant? Comment maîtriser les impacts des évolutions d une brique technique? Difficulté pour remonter les risques résiduels dans une forme exploitable par la couche supérieure Avancement des travaux parfois non coordonné

7 3. Méthodologie de sécurité inter-services Principes de cohérence des niveaux de sécurité Utilisation d éléments communs entre services S1 D I C P A S2 D I C P A S3 D I C P A Élément Attention, problème de confidentialité Élément 1 entre services S6 et S4 S S5 D I C P A S S7 D I C P A Attention, problème d intégrité Élément 2 entre service S6 et S8 Validé le Risque résiduel : modification de données par erreur S8 D I C P A Outillage Logiciel contributif CoperBASC EdelWeb Page N 7

8 Représentation graphique Définition Gestion de la conformité EdelWeb Page N 8 3. Méthodologie de sécurité inter-services CoperBasc Définition d une bascule service Définition des projets Définition des liens projet/composant Définition des composants Comparaison automatique des vecteurs de sécurité et alertes Mise en conformité ou dérogation Visualisation de l état de conformité d une bascule service Visualisation de l état de conformité d un projet Définition de la matrice de contribution

9 3. Méthodologie de sécurité inter-services CoperBasc EdelWeb Page N 9

10 3. Méthodologie de sécurité inter-services CoperBasc EdelWeb Page N 10

11 3. Méthodologie de sécurité inter-services CoperBasc EdelWeb Page N 11

12 3. Méthodologie de sécurité inter-services CoperBasc EdelWeb Page N 12

13 EdelWeb Page N Méthodologie de sécurité inter-services Difficultés rencontrées Niveau granularité et référentiel difficile à faire partager Indicateurs DICPA pas assez riches Méthode lourde si le contributeur est unique Arbitrage difficile

14 Jean OLIVE Consultant manager T: EdelWeb Page N 14