Stratégie de l entreprise face aux risques d attaques informatiques

Transcription

1 1 Stratégie de l entreprise face aux risques d attaques infrmatiques Frum Annuel 2010 du «Incidents de sécurité : respnsabilités et myens d actin de l Entreprise» Prpriété de CEIS. Tute reprductin u diffusin interdite sans autrisatin. Intrductin 2 Une stratégie glbale Technique (veille technlgique, tests d intrusin ) Humaine (sensibilisatin, frmatin des utilisateurs) Organisatinnelle (Plitique de Sécurité des Systèmes d Infrmatin, CSIRT) Juridique (gestin des lgs) Des myens D évaluatin De préventin De gestin de crise D anticipatin

2 Quelle stratégie? 3 Nécessité de passer d un mde réactif à un mde pr actif Les grands principes Être préparé pur anticiper les risques Identifier et évaluer les risques afin de les gérer efficacement et «ne plus être surpris» Etablir et surveiller ses prfils de risques Vulnérabilité Maîtrise (mesures de sécurisatin existantes) Risque Fréquence / Prbabilité Impact (financier, humain, technique ) Quelle stratégie? 4 Les grands principes Accepter les nuveaux risques pur mieux les gérer Ne pas interdire mais cntrôler et accmpagner : Au niveau initialisatin de prjet : l analyse de risque sur les spécificatins métiers Au niveau des dépliements de cmpsants sensibles (ex PDA) Être frce de prpsitin dans l innvatin technlgique Virtualisatin des envirnnements Clud Cmputing Gérer le passage d un mnde intra vers celui d inter entreprises Prendre en cmpte les risques liés à l entreprise étendue Extensin hrizntale avec échanges de dnnées: ex les hubs de cllabratin Extensin verticale avec perte du cntrôle des dnnées : ex :Clud semi-public Cllabrer pur une sécurité glbale Dépendante du mailln le plus faible Définir une guvernance de sécurité

3 Quelle stratégie? La «pierre angulaire» de la sécurité La Plitique de Sécurité des Systèmes d Infrmatin Un dcument fndamental de l entreprise au niveau de la Directin Générale Prise en cmpte les nuvelles menaces sur les actifs sensibles en particulier les pstes de travail Visibilité à l intérieur de l entreprise Pur sa mise en œuvre, mise en place d une rganisatin pératinnelle Quels myens? Des myens d évaluatin Analyse de risques de type EBIOS 2010 Visin à 360 des enjeux de sécurité de l infrmatin Une démarche qui va aider à la mise en place d un système de management ISO Audits De type rganisatinnel (ISO 27001/27002) De type technique Des tests d intrusin sur les cmpsants (ex dans les réseaux SCADA) Des tests d intrusin réseaux (inter et intranet) Des tests de cde (sur les surces de type freeware)

4 Quels myens? Mise en place de métriques standardisées (cmpatible ISO 27001/2) Des myens d évaluatin Cmparaisn par rapprt à d autres entreprises (ex : le Club R2GS) Intrductin des bjets métiers Abutissement : mise en place d une apprche SIEM Cybersquatting Etat de l art mndial Intrusins et attaques Phishing Défiguratin de site web Etat de l art du secteur Dysfnctinnements Perte d appareils mbiles nn chiffrés Exemples d indicateurs de sécurité pératinnels (Club R2GS) Indicateurs de l entreprise Usurpatin d identité interne Utilisatin illicite d un accès après départ de l entreprise Vulnérabilité Mt de passe nn cnfrme en slidité Quels myens? Des myens de préventin L utilisateur au centre de la sécurité de l entreprise Charte utilisateur Mdificatin du cntrat de travail Frmatins bligatires et fréquentes La sensibilisatin Bulletins d alertes sur les menaces Mettre en place des indicateurs pur évaluer et ajuster Un prcessus à lng terme Evaluatin des frmatins Des indicateurs quantitatifs (nmbre de frmatins, purcentage de réussite ) et qualitatifs (nmbre de blcages de sessins, appels Help Desk )

5 Quels myens? 9 Gérer la crise et l après-crise PCA et PRA Des myens de gestin de crise La questin des traces infrmatiques : une prtectin juridique de l entreprise Pur dissuader les attaques internes cmme externes Pur réprimer : pur prtéger ses drits, il faut démntrer le préjudice en présentant des preuves et les investissements financiers mis en œuvre dans la sécurité. Pur pruver le respect de ses bligatins : l entreprise dit puvir attester qu elle respecte bien les bligatins légales auxquelles elle est sumise. L entreprise dit faire preuve d anticipatin technique et juridique. Elle dit se préparer à la nécessité de cnstituer des preuves. Créatin de chartes et de plitiques Créatin de prcédures de gestin des incidents Créatin de séquestre des éléments de preuve. Quels myens? 10 Des myens d anticipatin Une veille sécurité à tris niveaux pur anticiper les menaces pesant sur le SI de l entreprise Niveau 1 : une veille pératinnelle pur détecter les menaces qutidiennes Surveillance des nms de dmaine cybersquatting, typsquatting, cybergriping. Détectin des actins malveillantes de phishing et de spams, Détectin des cyber attaques (DDOS, malwares, chevaux de Trie, virus, défiguratins de sites Internet) Surveillance des réseaux sciaux (fuite de dnnées?)

6 Quels myens? 11 Un exemple cncret La menace du spam se pursuit en 2010 ntamment sur les réseaux sciaux Mise en place d un bservatire du spam (CEIS) Quels myens? 12 Veille technlgique : pur déceler les nuvelles tendances Des myens d anticipatin Fraudes et cybercriminalité, Vulnérabilités, Intrusins infrmatique et incidents de sécurité, Outils et techniques d attaque, Agenda des manifestatins (salns, cllques, tables rndes; cnférences ), Publicatins (rapprts, livres blancs, étude, analyses, présentatins ), Lis, réglementatins, référentiels et nrmes, Les nuveaux usages (Clud Cmputing, mbilité ).

7 Quels myens? 13 3 ème niveau : une veille stratégique Des myens d anticipatin Objectif 1 : cmprendre les mécanismes de la cybercriminalité Surce : étude d HstExplit «Tp 50 Bad Hsts and Netwrks» Quels myens? 14 3 ème niveau : une veille stratégique Des myens d anticipatin Objectif 2 : évaluer le périmètre gégraphique des menaces Une cybercriminalité à deux visages : Réseaux rganisés, mafias traditinnelles Prlifératin d utils dits «clé en main»

8 Quels myens? 15 3 ème niveau : une veille stratégique Des myens d anticipatin Objectif 3 : appréhender le phénmène de «guerre infrmatique» Capacité de lutte infrmatique étatique Infrastructures de télécmmunicatin Capacité de guerre infrmatique Capacité scientifique et technique Ecsystème cybercriminel et «hacktiviste» Défacement de site web Renseignement Technique Planificatin et rganisatin Lgistique Investissements Cnclusin 16 Une stratégie glbale nécessaire pur répndre aux enjeux des cyber-menaces La PSSI : véritable «pierre angulaire» de la stratégie de sécurité de l infrmatin Des myens techniques, humains, rganisatinnels et juridiques à mettre en œuvre Pur anticiper (veille pératinnelle, technlgique et stratégique) Pur évaluer les risques Pur prévenir (frmatin / sensibilisatin ) Pur gérer la crise et les incidents