La sécurité physique et environnementale

Transcription

1

2 I. Qu est ce que la sécurité physique? "Il ne sert à rien de dresser une ligne Maginot logique si n'importe qui peut entrer dans la salle serveurs par la fenêtre " (Christian Pollefoort, consultant en sécurité) La sécurité physique est le premier rempart (après l humain) pour assurer la protection des données de l entreprise, avant même la sécurité logicielle, c est pour cela que cette dernière ne doit pas être prise à la légère. D importantes études montrent que les hommes sont responsables de 60% de downtime des serveurs à cause d accidents et d erreurs (procédures non respectées, équipements mal identifiés, objets ou liquides renversées, commandes mal entrées et autres erreurs plus ou moins importantes). vise à empêcher l accès non autorisé ainsi que les dommages et perturbations de tous genres pouvant affecter les activités quotidiennes et les éléments de l actif informationnel dans le cadre d une salle informatique. Par protection ou sécurité physique il est entendu l ensemble des mesures de sécurité destinées à garantir l intégrité des bâtiments, des locaux spécifiquement dédiés aux informations ou supports protégés, et la fiabilité des meubles ou ils sont conservés, afin d éviter toute perte, dégradation ou compromission. La sécurité d un système informatique doit être le plus uniforme possible car la sécurité de tout l ensemble sera toujours inférieure à la sécurité du maillon le plus faible. L audit de la sécurité physique des systèmes informatique se base en premier lieu sur la politique de sécurité définie par l entreprise, son respect par le personnel, la formation de ce dernier ainsi que l analyse des traces et des historiques. La sécurité physique des systèmes informatique se base en premier lieu sur la politique de sécurité définie par l entreprise qui doit absolument être respectée.

3 II. Les menaces et leurs parades Lorsque l on parle de mesures ou de parades, il faut bien évidement faire la différence entre les actions préventives et les actions protectrices qui ne s appliquent pas aux mêmes moments, par les mêmes personnes etc. Les mesures préventives ont pour but d éviter qu un sinistre ne survienne. Il s agit dans la plupart des cas d action antérieure effectuée afin de parer les différents risques futurs. Pour mettre en place de bonnes mesures préventives, un audit de sécurité consciencieux et minutieux est indispensable Les mesures protectrices ont pour but de protéger le patrimoine de l entreprise en cas de sinistre, d incidents matériels ou logiciel ou même humain Bien évidement, il serait utopique de penser que les mesures préventives rendent impossible tout sinistre. Même dans le cas d un audit de sécurité très poussé, certains évènements ne peuvent être anticipé et donc ne peuvent être complètement contré. L ampleur des moyens de protection est inversement proportionnelle aux moyens de prévention mise en place

4 Dégâts provoqués par un incendie Les incendies, bien que n étant pas la cause la plus fréquente de perte de données restent néanmoins trop souvent négligés lors de la sécurisation d une salle serveur. Les incendies peuvent avoir une cause externe (Feu dans le bâtiment) ou interne à la salle serveur (problème électrique, incendie volontaire...) Détection des incendies Il existe de nombreux types de détecteurs automatique : - Détecteurs de fumées - Détecteurs de chaleur - Détecteurs de flamme - Etc. Il est aussi nécessaire d installer des déclencheurs manuels dans toute l entreprise afin que l incendie ne puisse pas provoquer de dégâts matériel, de blessures ou de morts

5 Extinction des incendies Il existe de nombreux moyen pour éteindre un feu mais tous présentent des bons et des mauvais cotés L extincteur classique peut être une bonne idée si le choix de l exctincteur est judicieux. En effet pour une salle contenant du matériel informatique, il est nécessaire d utiliser un extincteur de catégorie D, les autres pourraient aussi stopper le feu mais en provoquant des dommages sur le matériel informatique et électrique irréparables Il existe également les systèmes d extinction automatique très performant mais nécessitant d avoir mis en place de très bonnes mesures préventives telles que des capteurs ou autres. De plus, afin de rendre les cheminements, pour le personnel ou pour les secours, plus facile, un mécanisme de désenfumage peut être mis en place. Le désenfumage permet aussi de limiter la propagation de l incendie en évacuant vers l extérieur la chaleur, les gaz et les imbrulés.

6 Dégâts provoqués par une fuite d eau ou une inondation Les inondations au même titre que les incendies ne sont pas les causes les plus fréquentes alors que les fuites d eau le sont beaucoup plus. Pour éviter les mauvaises aventures liées aux fuites d eau et aux inondations, de simple règle à respecter suffisent amplement. Il est nécessaire de choisir une salle serveur le plus loin possible de toute source d eau ou de conduite d eau pour minimiser les risques. De plus, la salle serveur doit simplement être aménagée de façon intelligente. Il est nécessaire d installer des électrovannes permettant d empêcher l arrivée d eau à proximité de la salle serveur. Une salle serveur ne doit jamais se situer à un niveau de basse altitude comme le sous-sol, il est préférable de la mettre au premier étage si l immeuble en a un, ou s il contient plusieurs étages, l installer vers le milieu Toutes les prises électriques doivent se situer en hauteur afin d éviter tout problèmes. De plus, tous les câbles d une salle serveur doivent passer dans un faux plancher afin de diminuer encore le risque de contact avec une source d eau

7 L électricité Les équipements informatique sont très sensibles aux diverses perturbations électriques telles que : - Baisse de tension, chutes de courant - Surtensions - Parasites - Variations de fréquence - Pics de tension - Distorsion du signal Dans de nombreuses entreprises, dans les salles informatiques, nous avons la présence d un onduleur ou d un ASI (Alimentation sans interruption) afin d assurer une alimentation électrique stabilisée, filtrée et continue Depuis quelques années, la législation a rendu obligatoire l installation d une prise terre pour les raisons suivantes : - Elle évite des élévations dangereuses de potentiel des masses - Lors de la présence d une tension anormale, l écoulement via la prise terre pourra permettre le déclenchement de dispositifs de protection. - De plus, une prise de terre doit toujours être associée a un dispositif de coupure sinon elle ne servirait à rien.

8 Les entreprises ayant besoin de faire tourner tout leur parc informatique même en cas de coupure de courant ne peuvent se reposer uniquement sur des onduleurs. Ces dernières utilisent donc un groupe électrogène _ qui peut fonctionner avec du Diesel, mais aussi du GPL ainsi que des bio-caburants_ afin de palier aux coupures de courants prolongés et importantes. Afin de palier efficacement aux surtensions, il existe deux phénomènes naturels à prendre en compte - Le tonnerre - La foudre Le paratonnerre est une pointe sur le sommet le plus haut du bâtiment à protéger captant directement l énergie de la foudre pour la conduire à la terre (D où l importance de la prise terre) De plus, le parafoudre à pour but d empêcher la propagation de la surtension qui pourrait être véhiculée par les réseaux intérieurs au bâtiment.

9 Système de conditionnement d air (HVAC : Heating, Ventilating and Air-Conditioning) La ventilation et la climatisation ne sont pour beaucoup de personnes qu un détail souvent négligé alors que ces deux sont des éléments fondamentaux de la sécurisation des systèmes d informations. Lorsque l on parle de climatisation des salles serveurs, on parle de climatisation de haute précision. La climatisation doit donc garantir en permanence une température ainsi qu un niveau hygrométrique adapté et le plus constant possible afin de ne pas faire subir au matériel informatique de trop grosses variations. Les consignes de température et d hygrométrie sont assez strictes : - La température ambiante du site informatique devra être à 21 C ( + ou 1 C) La température de soufflage du site informatique devra être supérieure à 16 C Toute variation de température ne devra excéder 1 C par heure - Le taux d hygrométrie d ambiance du site informatique devra être de 55% (+ ou 5%) Toute variation du taux d hygrométrie ne devra pas excéder 5% par heure

10 Restriction du personnel pouvant accéder aux salles informatiques Tous les facteurs précédemment vus peuvent rentrer dans la catégorie de la sécurité environnementale et non pas dans la sécurité physique. Dans la sécurité physique, nous retrouvons le plus souvent le facteur humain. En effet, dans une entreprise, le danger peut aussi venir du facteur humain qui peut provoquer un arrêt temporaire des serveurs vitaux, changer des informations afin de nuire etc. Afin de restreindre efficacement l accès aux salles informatiques, il y a la solution des clés ainsi que des badges Seul les personnes de confiance et les personnes ayant obligation d avoir les droits d accès doivent les avoir. Afin de détecter la présence d intrus dans la zone en question, il est aussi possible de mettre en place un système de vidéo surveillance ou de détection d accès : - Détecteur de mouvement - Alarme - Caméra de surveillance

11 Si un intrus arrive donc à avoir un accès physique sur une machine, cela pourrait entraîner de lourde conséquence De plus, il est possible de rendre inutilisable les serveurs en changeant les mots de passe grâce à une procédure de récupération de mot de passe.