ISO la norme de la sécurité de l'information

Transcription

1 ISO la norme de la sécurité de l'information Maury Infosec Conseils en sécurité de l'information

2 La sécurité de l information L information constitue le capital intellectuel de chaque organisation. C est un élément important de l activité de l organisation qui nécessite une protection adéquate. La norme ISO/CEI (International Standard Organisation/Commission Electronique Internationale) établit des lignes directrices et des principes généraux dans la gestion de la sécurité de l information Elle a été élaborée par le comité technique ISO/TC JTC 1

3 ISO/CEI 17799:2005 La norme ISO/CEI 17799:2005 a été publiée en juin 2005 C est un code de bonne pratique (référentiel) pour la gestion de la sécurité de l information Nouvelle numérotation en 2007: ISO/CEI 27002:2005 Cette norme contient 15 articles (chapitres): Les 4 premiers chapitres définissent le cadre de la norme Les 11 chapitres suivants composés de 39 rubriques et 133 mesures définissent les objectifs de sécurité et les mesures à prendre Sites web: =35&ICS2=40&ICS3= (pour l achat de la norme 200.-CHF)

4 Périmètre couvert par la norme L'information qu'elle soit sous forme écrite, parlée, imagée, enregistrée, transmise, etc.. ACTIFS D'INFORMATION Bases ACTIFS et fichiers D'INFORMATION de données, Méthodes Bases et de fichiers fabrication, de données, Procédures Méthodes de d'exploitation, fabrication, Manuels Procédures utilisateurs, d'exploitation, Archives, Manuels utilisateurs, etc Archives, etc ACTIFS PHYSIQUES Salle ACTIFS informatique, PHYSIQUES Serveurs, Salle informatique, PC, imprimantes, scanner, Serveurs, etc.. PC, imprimantes, Portables, scanner, etc.. Réseaux Portables, locaux, PABX, etc Réseaux locaux, PABX, etc ACTIFS APPLICATIFS Systèmes ACTIFS APPLICATIFS d'exploitation, Applications Systèmes d'exploitation, de métier, Progiciels Applications et logiciels, de métier, Utilitaires, Progiciels et logiciels, Outils Utilitaires, de développement, etc Outils de développement, etc FOURNITURES DE SERVICES Services FOURNITURES informatiques DE SERVICES Services Services de informatiques communication Services Services généraux de communication (alimentation électrique, Services généraux climatisation, (alimentation etc..) etc. électrique, climatisation, etc..) etc.

5 ISO/CEI 17799:2005 n'est pas: Une norme technique orientée produit ou logiciel. Une méthode d'analyse et de gestion de risques, de classification de l'information et des actifs, etc. Une méthode est un moyen d'arriver efficacement à un objectif et un résultat défini, c'est un outil utilisé pour satisfaire une norme. Un ISMS (Information Security Management System), système de gestion de la sécurité de l information. Une certification ISO de la sécurité de l'information. La norme «ISO/CEI 27001:2005 spécifications pour un ISMS» permet la certification, elle utilise la norme ISO/CEI 17799:2005 comme référentiel.

6 Domaine d'application La norme ISO fournit des recommandations sur la gestion de la sécurité de l'information. C'est un référentiel pour l'élaboration des normes de sécurité des organisations et une méthode de gestion efficace de la sécurité. La norme ISO s'adresse aux responsables de la mise en œuvre ou du maintien de la sécurité de l'information. Les recommandations de cette norme sont à sélectionner et à appliquer selon les besoins du métier et des affaires de l organisation et conformément aux lois et règlements en vigueur. Equivalence USA: NIST handbook Introduction to computer security

7 Définition de la sécurité de l information La sécurité de l'information, c'est la préservation de: La Confidentialité Le fait que l'information n'est accessible qu'aux personnes qui sont autorisées à l'accéder. L Intégrité C'est la protection de l'exactitude et de l'intégrité de l'information et des méthodes de traitement. La Disponibilité Le fait que les utilisateurs autorisés ont un accès sécurisé à l'information et ses ressources associées. La Traçabilité La définition est donnée dans la norme ISO 8402 : Aptitude à retrouver l historique, l utilisation ou la localisation d un produit ou d un processus de délivrance d un service au moyen d identifications enregistrées.

8 Articles La norme contient 11 articles. Ces 11 articles sont numérotés par les chapitres 5 à 15 de la norme N Articles (chapitres) ISO/CEI 17799:2005 Nbre objectifs de sécurité Nbre mesures 5 Politique de sécurité Organisation de la sécurité de l information Gestion des biens Sécurité liée aux ressources humaines Sécurité physique et environnementale Gestion de l exploitation et des télécommunications Contrôle d accès Acquisition, développement et maintenance des systèmes d information Gestion des incidents liés à la sécurité de l information Continuité de l activité Conformité 3 10

9 Rubriques Les 11 articles (chapitres) contiennent: 39 rubriques de sécurité qui sont structurées de la façon suivante: Un objectif de sécurité identifiant le but à atteindre Une ou plusieurs mesure(s) pouvant être appliquée en vue d atteindre l objectif de sécurité 133 mesures contenues dans les 39 rubriques qui sont structurées de la façon suivante: Mesure: spécifie la mesure adaptée à l objectif de sécurité Préconisation de mise en œuvre: propose des informations détaillées pour mettre en œuvre la mesure Information supplémentaires: présente des compléments d information à considérer

10 Exemple de structure de la norme Objectif de sécurité Mesure

11 Critères de succès Une bonne compréhension et évaluation des risques encourus Une mise en œuvre qui soit compatible avec la culture de l'entreprise Un soutien et un engagement visible de la direction Des compétences et des moyens pour mettre en œuvre la politique et les processus de sécurité Une présentation et une formation appropriée de la sécurité à tous les responsables et employés de l'organisation L'accès pour tous les employés aux normes et directives de sécurité de l'information

12 Audit de situation Interview d ~ 540 questions basées sur les 11 chapitres de la norme Pas de tests «in situ» Ce n est pas un jugement de valeur ou de compétences chap 14 chap 13 chap 15 chap 5 100% 90% 80% 70% 60% 50% 40% 30% 20% 10% 0% chap 6 chap 7 chap 8 Donne une «photo» de l état actuel de la SSI par rapport à la norme chap 12 chap 11 chap 10 chap 9 ISO 17799:2005 Mesures existantes et prévues Mesures existantes

13 Barrières Résistance humaine Atteinte à la liberté (cyberflics) Frein au business Moyens financier et humain Culture de l entreprise Culture du pays Us et coutumes, lois différentes Besoins du business Moyens coercitifs à disposition Qui peut obliger? Coupes budgétaire

14 Quelques liens intéressants Questionnaire du risque en français The security management index