Le processus de gestion de sécurité de l information dans les Organisations Virtuelles Michel KAMEL Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 1
Problématique Environnement collaboratif Système de gestion Organisations Ressources Compétences Utilisateurs Systèmes d Information Domaines de sécurité Pratiques sécuritairess Fédération d identitd identité Normes de sécurits curité Politique de sécurits curité Ouverture des Systèmes d Information des organisations membres. Confiance en les organisations partenaires; sont-elles capables de bien gérer le contrôle d accès dans leurs domaines de sécurité? Peut-on compter sur eux? Objectif: Établir la chaîne de confiance entre les organisations partenaires dans une OV. Ces organisations ont-elles une culture et des stratégies pour la définition de politiques de sécurité. Les administrateurs ont-ils une expérience dans la gestion de la sécurité et le déploiement des services de sécurité? Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 2
Meilleures pratiques (sécuritaires) Sécuriser un Système d Information ce n est pas seulement utiliser et implémenter les technologies avancées qui existent sur le marché. Sécuriser un Système d Information c est contrôler les processus de sécurité et savoir comment utiliser et gérer ces technologies avancées pour en tirer profit maximal. On doit évaluer les pratiques sécuritaires (comment est gérée la sécurité, quels sont les processus de sécurité définis, l expérience des administrateurs en la gestion de la sécurité, etc.). Y a t-il des meilleures pratiques pour la sécurité de l information? Y a t-il des normes qui traitent cette évaluation et standardisent les meilleures pratiques pour la sécurité de l information? Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 3
Gestion de la sécurité de l information - ISO/IEC 17799 - ISO/IEC 17799 est un code de bonnes pratiques pour la gestion de la sécurité de l information; il permet la définition d un Système de Gestion de Sécurité de l Information (SGSI) dans une organisation. Un SGSI permet à une organisation d établir sa politique de sécurité de l information, et s assurer qu elle répond bien aux objectifs définis. ISO/IEC 17799 classe les meilleures pratiques en onze thèmes (chapitres) de sécurité (Politique de sécurité, Organisation de la sécurité de l information, Contrôle d accès, Conformité aux règlements, etc.). ISO/IEC 17799 est trop général et trop complexe pour les PMEs (39 objectifs de contrôles, 133 contrôles de sécurité). En plus, il liste les meilleures pratiques sans dire comment les utiliser et il n est pas adapté aux OVs. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 4
Gestion de la sécurité de l information - ISO/IEC 27001 - ISO/IEC 27001 instruit le responsable de sécurité dans l organisation comment appliquer ISO/IEC 17799 et comment bâtir, opérer, maintenir et améliorer un SGSI. ISO/IEC 27001 adopte une approche d amélioration continue qui est le modèle Plan- Do-Check-Act (PDCA). ISO/IEC 27001 n est pas adapté aux OVs. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 5
Le niveau de maturité Nous sommes intéressés par l évaluation des pratiques sécuritaires contre les meilleures pratiques définies par ISO/IEC 17799. Nous avons adopté le concept de maturité. La maturité des pratiques sécuritaires identifie à quel point les questions de sécurité sont traitées dans une organisation et évalue l expérience et l expertise qu ont les administrateurs de ces organisations. Le modèle de référence Capability Maturity Model Integration (CMMI) traite la maturité; il adopte une approche orientée processus. Mais, comme nous nous intéressons à évaluer l efficacité d une organisation dans l assurance d un certain niveau de sécurité et non pas la bonne mise en place de processus (telle la gestion des configurations ou de production), l approche adoptée par CMMI n est pas adaptée à nos besoins. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 6
L approche adoptée 1. Adapter le cadre de l ISO/IEC 17799 aux organisations virtuelles. Nous avons identifié, à partir des onze chapitres de la norme ISO/IEC 17799, les objectifs et les contrôles à évaluer dans les Systèmes d Information des PMEs désirant faire partie d une OV. 2. Définir un outil taillé pour l évaluation du niveau de maturité des pratiques sécuritaires. L outil intègre les concepts de meilleures pratiques et le niveau de maturité. 3. Adapter le cadre de l ISO/IEC 27001 aux organisations virtuelles. Nous avons adapté le modèle PDCA aux processus de SGSI dans un environnement distribué. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 7
L outil d évaluation du «niveau de maturité» L outil est sous la forme d un questionnaire basé sur les meilleures pratiques qui sont fournies par ISO/IEC 17799 que nous avons adapté aux OVs. L outil identifie 158 questions : - 6 thèmes de sécurité - 11 objectifs de sécurité - 29 contrôles de sécurité Chaque question permet d identifier, jusqu à quel point, un contrôle de sécurité est implémenté dans le SI de l organisation. L outil propose cinq niveaux de maturité : initial, minimal, acceptable, géré et optimal. Nous affectons un niveau de maturité à chaque question et cela selon la criticité et le problème de sécurité qu elle exprime. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 8
Objectifs de l audit et choix des questions Chaque question cherche à déterminer ou identifier la présence (ou non) d une pratique sécuritaire dans le SGSI d une organisation. Les recommandations de l ISO/IEC 17799 permettent d établir un canevas pour constituer l audit. Le contenu des questions permet de corréler les pratiques sécuritaires avec un niveau de maturité. Les questions ne sont pas liées à des technologies spécifiques : elles sont bien ciblées pour qu elles prennent en considération les contraintes de sécurité des différentes organisations et leurs caractéristiques distinctives. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 9
Niveau de maturité - répondre aux questions - 1) L administrateur d une organisation répond aux questions par 1 «pratique implémentée», 0 «pratique non implémentée» ou bien 0.5 «pratique partiellement implémentée». Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 10
Niveau de maturité par contrôle de sécurité 2) Dans une première étape, l outil calcule le niveau de maturité par contrôle de sécurité. chapter section subsection objective level (1 to 5) equivalent objective level (1 to 15) eval 5 1 1 3 6 6 5 1 2 3 6 6 6 1 1 3 6 3 6 1 2 3 6 3 6 1 3 3 6 3 6 1 5 3 6 3 6 1 8 3 6 3 6 2 1 3 6 3 6 2 3 3 6 3 10 6 1 3 6 6 10 6 2 3 6 6 10 8 2 3 6 6 10 10 1 3 6 6 10 10 4 3 6 6 10 10 5 3 6 6 11 1 1 3 6 7,89 11 2 1 3 6 6 11 2 2 3 6 6 11 4 1 3 6 6 11 4 2 3 6 7,14 11 4 5 3 6 6 12 3 1 3 6 3 12 3 2 3 6 3 15 1 1 3 6 3 15 1 4 3 6 3 15 1 6 3 6 3 Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 11
Niveau de maturité par thème de sécurité 3) Dans une deuxième étape, l outil calcule le niveau de maturité par thème de sécurité. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 12
Niveau de maturité - évaluation graphique - 4) Finalement, l outil calcule la valeur moyenne de maturité des pratiques sécuritaires implémentées dans le SI de l organisation et le compare à une valeur «objectif» identifié par les partenaires. Le résultat est affiché sur un graphique Kiviat. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 13
Conclusion La sécurisation et le déploiement de réseaux incluant dynamiquement des organisations collaborant dans un but commun et formant une Organisation Virtuelle nécessitent que ces organisations ouvrent leurs Systèmes d Information aux autres. Ouvrir son SI aux autres et leur déléguer la tâche d authentifier et d accréditer leurs propres utilisateurs voulant accéder aux ressources partagées nécessitent l établissement de la chaîne de confiance entre ces organisations. Nous ne fournissons pas une nouvelle technologie ni une solution technique: notre approche et notre outil d évaluation de maturité des pratiques sécuritaires offrent aux organisations le moyen de quantifier la confiance et établir la chaîne de confiance entre elles. Notre outil est un système d aide à la décision permettant aux organisations de choisir la meilleur solution pour interconnecter leurs SI et former l OV. Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 14
Merci Rencontres Recherche Industrie IRIT - 26 Septembre 2007- Michel Kamel 15