La sécurité informatique dans la petite entreprise Etat de l'art et Bonnes Pratiques (2ième édition)

Transcription

1 Généralités sur la sécurité informatique 1. Introduction Les domaines et normes associés Les bonnes pratiques ITIL V Stratégie des services - Service Strategy Conception des services - Service Design Transition des services - Service Transition Exploitation des services - Service Operation Amélioration continue des services - Continual Service Improvement (CSI) La Gestion des configurations - Configuration Management La Gestion de la disponibilité - AvailabilityManagement La Gestion de la sécurité - Security Management La méthode PDCA appelée aussi Roue de Deming La norme ISO Les normes ISO 2700x Les risques informatiques Définitions Les vulnérabilités Les menaces et leurs impacts La gestion du risque informatique Méthode générale d'analyse de risques La politique de sécurité Les principes L'élaboration du document Les outils associés Les principaux axes de la stratégie de sécurisation Le diagnostic et l'évaluation des besoins Les plans opérationnels de sécurité L'accès aux systèmes et aux données 53 1/12

2 5.3.1 La protection physique La protection logique Identification et traçabilité La garantie de la disponibilité du système d'information La sensibilisation des utilisateurs à la sécurité La sécurité et l'aspect légal Conclusion 58 La sécurité dans l entreprise - Le réseau 1. Pré-requis Généralités sur la sécurité dans les réseaux Introduction à la technologie des pare-feu Les fonctionnalités de pare-feu Les différents types de pare-feu Choix d un dispositif de pare-feu pour l entreprise La politique de configuration de pare-feu Stratégie d implémentation de pare-feu Les règles dans un pare-feu Guide de bonnes pratiques de mise en place d environnements de pare-feu Les pare-feu spécifiques La haute disponibilité dans l implémentation des pare-feu Les réseaux DMZ (DeMilitarized Zones) Les réseaux privés virtuels d entreprise ou Virtual Private Network (VPN) Mise en œuvre de liaisons sécurisées Le serveur VPN Les catégories de VPN Les VPN utilisateur-site Les VPN site-site 88 2/12

3 3.4 Précautions d utilisation de la fonctionnalité du VPN et bonnes pratiques Possibilités supplémentaires de protection Les composants utilisés dans les réseaux et la sécurité Les systèmes de détection d intrusion ou Intrusion Detection System (IDS) Les serveurs DNS (Domain Name Service) et la sécurité Les autres technologies utilisées dans les réseaux d entreprise et la sécurité Le Wi-Fi et le réseau sans fil La technologie CPL (Courant Porteur en Ligne) 100 La sécurité dans l entreprise - Les systèmes 1. Objectifs La disponibilité des données et des systèmes Concepts et principes La disponibilité des données La technologie RAID (Redundant Array of Inexpensive Disks) Le réseau de stockage SAN (Storage Area Network) La disponibilité des systèmes Les clusters de serveurs Windows La virtualisation de systèmes La virtualisation et la réplication de serveurs La virtualisation et le stockage en réseau SAN (Storage Area Network) La disponibilité de l infrastructure Énergie électrique Réseau de communications 114 3/12

4 4. Identification et authentification Définitions Implémentation de systèmes d identification et d authentification Mécanismes de contrôle d accès Contrôle d accès logiques Contrôles d accès internes Contrôles d accès externes Administration des contrôles d accès Les outils ou solutions de contrôle d accès La signature numérique, signature électronique La mise en place d une infrastructure de Chiffrement à Clés Publiques Sécurité physique et environnementale Les protections contre les virus et programmes malveillants Les virus Les autres programmes malveillants Les bonnes pratiques de sécurité dans le cadre d un système d information Les bonnes pratiques générales La gestion des comptes Conseils à destination des administrateurs Les bonnes pratiques de gestion des comptes et des mots de passe pour les utilisateurs Les mécanismes de contrôles et de vérification Les mécanismes de contrôle d accès Contrôles d accès logique Revues et audits Les anomalies La surveillance des systèmes La protection des serveurs La protection des postes de travail La protection des périphériques d impression de documents 143 4/12

5 7.7 Bonnes pratiques de sécurité à destination de l administrateur système et réseau Cas des mots de passe d administration des serveurs Centralisation des mots de passe Exemples d outils de contrôles de mise à jour des protections sur Windows Sécurité physique des accès à la console des systèmes Documentation de configuration des serveurs et périphériques La veille technologique Bonnes pratiques d administration spécifiques à Windows Politique de verrouillage de compte La politique de sécurité d accès aux comptes via Kerberos sur les plates-formes Windows Protocole d authentification par défaut dans Windows 2000/2003/ Le chiffrement ou cryptage des systèmes de fichiers de Windows Politique d audit des accès aux comptes et aux fichiers et la journalisation des tentatives illégales d accès 150 Mobilité et sécurité 1. Qu appelle-t-on terminal mobile? Les terminaux nomades : problèmes spécifiques L'origine de ces problèmes Les principales vulnérabilités et menaces Les impacts Autres vulnérabilités et menaces L'utilisation des réseaux sans fil (Wi-Fi) Le BYOD (Bring Your Own Device) Principes de réponse aux menaces Les bonnes pratiques Conseils pour l'utilisateur 161 5/12

6 3.1.1 La protection physique : protéger le terminal du vol ou de la perte La protection logique Installation d applications Minimiser les fonctionnalités et sécuriser les interfaces radio L'utilisation des réseaux sans fil (Wi-Fi) Les différences entre les connexions sans fil (Wi-Fi ou 3G+) : l'aspect sécurité Conseils supplémentaires Mise en place d'une solution de sécurité Quelques dispositifs de protection Conclusion 184 La sécurité des données 1. Les risques de perte des données La sauvegarde, la restauration Concepts généraux Définitions La politique de sauvegarde La sauvegarde L archivage La restauration Les méthodes générales de sauvegarde La sauvegarde directe La sauvegarde en environnement réseau Les types de sauvegarde les plus courants La sauvegarde complète (Full Backup) La sauvegarde normale La sauvegarde partielle La sauvegarde définie par l'utilisateur La sauvegarde à distance (electronic vaulting) ou en ligne La sauvegarde synthétique 197 6/12

7 2.3.7 Comparaison des types de sauvegarde Avantages et inconvénients des différents types de sauvegarde Les périphériques de sauvegarde Les supports de sauvegarde La gestion des supports et périphériques dans l application de sauvegarde Critères de choix Gestion des supports et des pools Cycle de vie des supports Formatage des supports Prise en charge des bandes nettoyantes Protection des données écrites sur les supports Recommandations pour la gestion des bandes ou cartouches magnétiques Les copies de supports (clonage) Les sauvegardes sur disque, la bibliothèque virtuelle Sauvegarde disque vers disque vers bande La bibliothèque virtuelle de sauvegarde ou VTL (Virtual Tape Library) L'utilisation de l'architecture SAN pour le stockage virtuel Les clés d une bonne sauvegarde La base de données de sauvegarde Le concept La sauvegarde de la base de données Les notifications Les machines virtuelles et leur stratégie de sauvegarde La gestion de la sécurité au niveau des sauvegardes La sécurité des données stockées Dispositifs supplémentaires de gestion de la sécurité Concept de snapshot ou clichés instantanés La restauration des données Les différentes options de restauration de fichiers Restauration à la demande Restauration d un système d exploitation complet d un serveur La stratégie de sauvegarde Éléments de réflexion pour la mise en place d une stratégie de sauvegarde 240 7/12

8 4.1.1 La fenêtre de sauvegarde La périodicité des sauvegardes Le temps de rétention des données copiées Le type de support de copie de données Les spécifications de sauvegarde Création d'une spécification de sauvegarde Les calculs de besoins en stockage Collecte des besoins pour concevoir un système de sauvegarde opérationnel L archivage des données Stratégie d'archivage Archivage légal et à long terme L administration et la supervision des sauvegardes La supervision des sauvegardes Administration quotidienne Vérification des sessions Gestion de la base de données du logiciel de sauvegarde Plan de reprise du serveur de sauvegarde La technologie Drive Backup 11 Server Les différents produits du marché 258 Le plan de secours informatique 1. Introduction La préparation aux situations de sinistre Approches possibles Rétablissement 262 8/12

9 2.3 Sélection des objectifs prioritaires Détermination du budget disponible Détermination ou analyse des risques Les solutions de secours Considérations techniques pour l établissement de plans de secours Postes de travail fixes et portables Considérations de précautions et bonnes pratiques Les sauvegardes Les risques particuliers des postes nomades Les serveurs Considérations de précautions de sécurité et bonnes pratiques Solutions de précaution et de secours Solutions de restauration particulières Les réseaux locaux ou LAN (Local Area Network), étendus ou WAN (Wide Area Network) Considérations de bonnes pratiques Solutions de précaution et de secours Les réseaux sans fil ou WLAN (Wireless Local Area Networks) Les systèmes distribués selon une architecture client-serveur Guide pour l établissement d un Plan de Reprise d Activité en préparation d un désastre Objectifs généraux État des lieux de l'existant Éléments critiques de l infrastructure Inventaire et diagnostic de l état de la sécurité Architecture de sauvegarde Équipements redondants ou de haute disponibilité Matériel et logiciels de secours Analyse des besoins métier Analyse de l'impact sur l'activité Détermination des durées d'interruptions acceptables Les scénarios de risque Élaboration du plan de reprise d activité Optimisation de l'infrastructure existante 288 9/12

10 4.5.2 Analyse des solutions et choix globaux Choix du site de reprise ou de secours Autres solutions techniques de reprise Mise en place des ressources Évaluation des ressources Solutions techniques systèmes et réseaux Moyens techniques externes Contraintes liées aux fournisseurs externes Aspect humain Élaboration des procédures Procédures d'exploitation Procédures de reprise Documentation Les tests de fonctionnalités La gestion du suivi du plan La virtualisation de serveurs dans la stratégie de plan de secours Exemple de projet d implémentation d un PRA 302 Le Cloud Computing 1. Principes Les modèles ou solutions Les différents modes de déploiement Avantages du Cloud Computing Le Cloud Computing interne à une entreprise Le Cloud Computing et ses risques Comprendre les risques du Cloud Computing Les problématiques actuellement identifiées Les risques cachés du Cloud Computing Les menaces et vulnérabilités spécifiques Les risques organisationnels liés à l'utilisation du Cloud Computing /12

11 2.5.1 Les risques généraux Les risques techniques Les risques réglementaires Les risques non spécifiques au Cloud Computing Bonnes pratiques de sécurité Étape préliminaire État des lieux Analyse des risques Conformité Le prestataire Le choix du prestataire Vérification chez le prestataire Le contrat et les niveaux de service Les incidents Le chiffrement des données La sauvegarde La gestion de la continuité d'activité Étape de suivi ou de maintenance La sortie du Cloud Computing Le modèle de Maturité d'assurance Commun (Common Assurance Maturity Model - CAMM) Conclusion 350 La sensibilisation à la sécurité dans l entreprise 1. Objectif Le comportement Sensibilisation /12

12 4. La charte de bonne conduite 354 Annexe 1. Sites Web Organismes relatifs à la sécurité 357 Index /12