La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (3ième édition)

Transcription

1 Généralités sur la sécurité informatique 1. Introduction Les domaines et normes associés Les bonnes pratiques ITIL V La stratégie des services (Service Strategy) La conception des services (Service Design) La transition des services (Service Transition) L exploitation des services (Service Operation) L amélioration continue des services (Continual Service Improvement - CSI) La gestion des configurations (Configuration Management) La gestion de la disponibilité (Availability Management) La gestion de la sécurité (Security Management) La méthode PDCA ou roue de Deming La norme ISO Les normes ISO 270xx Les risques informatiques Définitions Les vulnérabilités Les menaces et leurs impacts La gestion du risque informatique La politique de sécurité Les principes L'élaboration du document Les outils associés Les principaux axes de la stratégie de sécurisation Le diagnostic et l'évaluation des besoins Les plans opérationnels de sécurité L'accès aux systèmes et aux données La protection physique 60 1/13

2 5.3.2 La protection logique Identification et traçabilité La garantie de la disponibilité du système d'information La sensibilisation des utilisateurs à la sécurité La sécurité et l'aspect légal Conclusion 65 La sécurité dans l entreprise - Le réseau 1. Prérequis Généralités sur la sécurité dans les réseaux Introduction à la technologie des pare-feu Les fonctionnalités de pare-feu Les différents types de pare-feu Choix d un dispositif de pare-feu pour l entreprise La politique de configuration de pare-feu Stratégie d implémentation de pare-feu Les règles dans un pare-feu Guide de bonnes pratiques de mise en place d environnements de pare-feu Les pare-feu spécifiques La haute disponibilité dans l implémentation des pare-feu Les réseaux DMZ (DeMilitarized Zone) Les réseaux privés virtuels d entreprise Présentation Le serveur VPN Les catégories de VPN Les VPN utilisateur-site Les VPN site-site Précautions d utilisation de la fonctionnalité du VPN et bonnes pratiques 97 2/13

3 3.5 Les protocoles liés à la sécurité Les composants utilisés dans les réseaux et la sécurité Les systèmes de détection et de prévention d intrusion Les serveurs DNS (Domain Name Service) Les autres technologies utilisées dans les réseaux d entreprise et la sécurité Le Wi-Fi et le réseau sans fil La technologie CPL (courant porteur en ligne) 111 La sécurité dans l entreprise - Les systèmes 1. Objectifs La disponibilité des données et des systèmes Concepts et principes La disponibilité des données La technologie RAID (Redundant Array of Inexpensive Disks) Le réseau de stockage SAN (Storage Area Network) La technologie NAS (Network Attached Storage) La disponibilité des systèmes Les clusters de serveurs Windows La virtualisation de systèmes La virtualisation et la réplication de serveurs La virtualisation du stockage La disponibilité de l infrastructure Énergie électrique Réseau de communications 128 3/13

4 4. Identification et authentification Définitions Implémentation de systèmes d identification et d authentification Mécanismes de contrôle d accès Contrôles d accès logiques Contrôles d accès internes Contrôles d accès externes Administration des contrôles d accès Les outils ou solutions de contrôle d accès La signature numérique ou signature électronique Infrastructure de chiffrement à clés publiques La mise en place d une infrastructure de chiffrement à clés publiques Sécurité physique et environnementale Les protections contre les virus et programmes malveillants Les virus Les autres programmes malveillants Les bonnes pratiques de sécurité dans le cadre d un système d information Les bonnes pratiques générales La gestion des comptes Conseils à destination des administrateurs Les bonnes pratiques de gestion des comptes et des mots de passe pour les utilisateurs Les mécanismes de contrôle et de vérification Les mécanismes de contrôle d accès Les contrôles d accès logique Revues et audits Les anomalies La surveillance des systèmes La protection des serveurs La protection des postes de travail 160 4/13

5 7.6 La protection des périphériques d impression de documents Bonnes pratiques de sécurité à destination de l administrateur système et réseau Cas des mots de passe d administration des serveurs Centralisation des mots de passe Exemples d outils de contrôle de mise à jour des protections sur Windows Sécurité physique des accès à la console des systèmes Documentation de configuration de l infrastructure La veille technologique Bonnes pratiques d administration spécifiques à Windows Politique de verrouillage de compte La politique de sécurité d accès aux comptes via Kerberos sur les plateformes Windows Protocole d authentification par défaut dans Windows Server 2008/ Le chiffrement ou cryptage des systèmes de fichiers de Windows Politique d audit des accès aux comptes et aux fichiers 169 Mobilité et sécurité 1. Qu appelle-t-on terminal mobile ou nomade? Les terminaux nomades : problèmes spécifiques L'origine de ces problèmes Les principales menaces et vulnérabilités Les menaces Les vulnérabilités Le BYOD (Bring Your Own Device) Les impacts Principes de réponse aux menaces Les bonnes pratiques Conseils pour l'utilisateur La protection physique 182 5/13

6 3.1.2 La protection logique ou applicative Installation d applications La sécurisation des fonctionnalités et des interfaces radio (Wi-Fi, Bluetooth) La sécurité des connexions sans fil (systèmes cellulaires, Wi-Fi) Exigences et conseils pour l entreprise Mise en place d'une solution de sécurité Quelques dispositifs de protection Conclusion 209 La sécurité des données 1. Les risques de perte des données La sauvegarde et la restauration Concepts généraux Définitions La politique de sauvegarde La sauvegarde L archivage La restauration Les méthodes générales de sauvegarde La sauvegarde directe La sauvegarde en environnement réseau Les types de sauvegarde les plus courants La sauvegarde complète (Full Backup) La sauvegarde normale La sauvegarde partielle La sauvegarde définie par l'utilisateur La sauvegarde à distance (electronic vaulting) ou en ligne La sauvegarde synthétique Comparaison des types de sauvegarde Avantages et inconvénients des différents types de sauvegarde Les périphériques de sauvegarde 224 6/13

7 2.5 Les supports de sauvegarde La gestion des supports et périphériques dans l application de sauvegarde Critères de choix Gestion des supports et des pools Cycle de vie des supports Formatage des supports Prise en charge des bandes nettoyantes Protection des données écrites sur les supports Recommandations pour la gestion des cartouches magnétiques Les copies de supports (clonage) Les sauvegardes sur disque, la bibliothèque virtuelle Sauvegarde disque vers disque vers bande La bibliothèque virtuelle de sauvegarde ou VTL (Virtual Tape Library) L'utilisation de l'architecture SAN pour le stockage virtuel Les clés d une bonne sauvegarde La base de données de sauvegarde Le concept La sauvegarde de la base de données Les notifications Les machines virtuelles et leur stratégie de sauvegarde La gestion de la sécurité au niveau des sauvegardes La sécurité des données stockées Dispositifs supplémentaires de gestion de la sécurité Concept de snapshot ou clichés instantanés La restauration des données Observations relatives à la restauration Les différentes options de restauration de fichiers Restauration à la demande Restauration d un système d exploitation complet d un serveur La stratégie de sauvegarde Éléments de réflexion pour la mise en place d une stratégie de sauvegarde La fenêtre de sauvegarde La périodicité des sauvegardes 266 7/13

8 4.1.3 La durée de rétention des données copiées Le type de support de copie de données Les spécifications de sauvegarde Création d'une spécification de sauvegarde Les calculs de besoins en stockage Collecte des besoins pour concevoir un système de sauvegarde opérationnel L archivage des données Stratégie d'archivage Archivage légal et à long terme L administration et la supervision des sauvegardes Administration quotidienne Vérification des sessions Gestion de la base de données du logiciel de sauvegarde Plan de reprise du serveur de sauvegarde La technologie Drive Backup 11 Server Les autres produits disponibles 282 Le plan de secours informatique 1. Introduction La préparation aux situations de sinistre Approches possibles Rétablissement Sélection des objectifs prioritaires Détermination du budget disponible Détermination ou analyse des risques 287 8/13

9 2.6 Les solutions de secours Considérations techniques pour l établissement de plans de secours Postes de travail fixes et portables Considérations de précautions et bonnes pratiques Les sauvegardes Les risques particuliers des postes nomades Les serveurs Considérations de précautions de sécurité et bonnes pratiques Solutions de précaution et de secours Solutions spécifiques Les réseaux locaux (LAN) et étendus (WAN) Les bonnes pratiques Les solutions de précaution et de secours Les réseaux sans fil ou WLAN (Wireless Local Area Networks) Les systèmes distribués (architecture client-serveur) Guide pour l établissement d un plan de reprise d activité en préparation d un sinistre Objectifs généraux État des lieux de l'existant Éléments critiques de l infrastructure Inventaire et diagnostic de l état de la sécurité Architecture de sauvegarde Équipements redondants ou de haute disponibilité Matériel et logiciels de secours Analyse des besoins métier Analyse de l'impact sur l'activité Détermination des durées d'interruptions acceptables Les scénarios de risque Élaboration du plan de reprise d activité Optimisation de l'infrastructure existante Analyse des solutions et choix globaux Choix du site de reprise ou de secours Autres solutions techniques de reprise Mise en place des ressources 318 9/13

10 4.6.1 Évaluation des moyens Solutions techniques système et réseau Moyens techniques externes Contraintes liées aux fournisseurs externes Aspect humain Élaboration des procédures Procédures d'exploitation Procédures de reprise Documentation Les tests de fonctionnalités La gestion du suivi du plan La virtualisation de serveurs dans la stratégie de plan de secours Exemple de projet d implémentation d un PRA La norme ISO/IEC 22301: La norme ISO/IEC Le Cloud Computing 1. Principes Les modèles ou solutions Les différents modes de déploiement Les avantages du Cloud Computing Le Cloud Computing interne à une entreprise ou Cloud privé Le Cloud Computing et ses risques Comprendre les risques du Cloud Computing Les problématiques actuellement identifiées Les risques cachés du Cloud Computing Les menaces et vulnérabilités spécifiques /13

11 2.5 Les risques organisationnels liés à l'utilisation du Cloud Computing Les risques généraux Les risques techniques Les risques réglementaires Les risques externes au Cloud Computing Bonnes pratiques de sécurité Étape préliminaire État des lieux Analyse des risques Conformités requises Le prestataire Le choix Vérification chez le prestataire Le contrat et les niveaux de service La gestion des incidents L accès et le chiffrement des données La sauvegarde La gestion de la continuité d'activité Étape de suivi ou de maintenance La sortie du Cloud Computing Conclusion 377 Internet des objets ou Internet of Things 1. Introduction Présentation de la technologie Définition Les challenges Les domaines de l Internet des objets /13

12 3. Les domaines concernés par la sécurité Les réseaux Les technologies des objets communicants Prise en compte des nouvelles menaces et des nouveaux risques Menaces générales des appareils mobiles Les besoins en sécurité Menaces particulières pouvant affecter les réseaux WSN (Wireless Sensor Networks) Menaces particulières pouvant affecter les technologies Menaces concernant plus particulièrement la technologie RFID Menaces spécifiques à la technologie NFC Menaces impliquant les données Les vulnérabilités Les autres risques spécifiques Évaluation des risques Propositions de solutions de sécurité Bonnes pratiques Recommandations de mises en place de mesures de sécurité La technologie WSN La technologie RFID La technologie NFC Stratégies globales de la sécurité d une infrastructure Conclusion 418 La sensibilisation à la sécurité dans l entreprise 1. Objectif /13

13 2. Le comportement La sensibilisation La charte de bonne conduite 422 Annexe 1. Sites web Organismes relatifs à la sécurité 425 Index /13