Sécurité informatique des PME

Sécurité informatique des PME Dominique PRESENT I.U.T. de Marne la Vallée Trois principaux risques menacent la PME Aujourd hui, les pannes des systèmes d information coûtent cher aux entreprises. Exemple : panne d'une journée et demie pour une société logistique, dont les ordinateurs coordonnent notamment des expéditions de produits réfrigérés à travers le monde. Pertes : 10 000 de l'heure. la panne électrique ou de : installer un système d'alimentation sans coupure. À partir de centaines d uros, il fournit une réserve d'une demi-heure - tout juste le temps de sauvegarder et de copier les fichiers cruciaux - à quatre heures - peut-être ce qu'il faut pour terminer la journée. les virus, vers, chevaux de Troie : Installer des pare-feu (firewall) ; Contrôler l accès aux ressources (profils utilisateurs, s, contrôleurs de domaines, ) les menaces de l'intérieur même des PME :.Selon l'étude mondiale sur la sécurité de l'information (Ernst & Young), les risques liés aux technologies de l'information proviennent majoritairement de l'insouciance, de l'ignorance ou de la malhonnêteté des employés. Informer les utilisateurs des risques ; Edicter des règles et procédures claires et simples ; Contrôler les accès interdits et faire remonter les incidents Les éléments de la sécurité informatique Sécurité informatique Règles et procédures Éléments logiciels et matériels Architecture informatique Architecture de sauvegarde Usages des matériels Usages des logiciels et services Règles de contrôle antivirus x s parefeux Segmentation des x Regroupement des s Zones «démilitarisées» Serveur de sauvegarde Supports des données Protection des données sauvegardées 1

La sécurité informatique : gérer les utilisateurs Localement : le profil utilisateur Droits d accès Aux ressources A distance : le (ou contrôleur de domaine) authentification Qui à le droit d utiliser l ordinateur? A quelles ressources locales l utilisateur doit-il avoir accès et avec quels droits? A quels s l utilisateur doit-il avoir accès? A quelles ressources/services du l utilisateur doit-il avoir accès et avec quels droits? A quels services l utilisateur doit-il accéder? Profil utilisateur Ouverture de session Droits d accès La sécurité informatique : protéger des intrusions Poste client : le parefeu personnel (personnal ifrewall) protéger des accès illicites aux services personnel Serveur : le routeur parefeu (firewall) Quels services peut utiliser le client sur son poste? Quels clients peuvent accéder à un? Quels services sont accessibles aux clients internes? Quels services sont accessibles à des clients externes? Le parefeu personnel : contrôler les échanges application application application personnel TCP port port port port port Système d exploitation netbios Carte les applications dialoguent avec le système d exploitation par les ports TCP le parefeu détourne les échanges entre le système d exploitation, les applications et les cartes x pour contrôle et validation de l échange 2

La sécurité informatique : adapter l architecture comment regrouper les s personnel Quels s doivent être protégés? Comment segmenter le pour placer les éléments de sécurité? Quelles attaques sont à prendre en compte? Le pare-feu : le filtrage des paquets Exemple de filtrage : Permettre l accès aux sites Web Interdire l entrée de paquets vers l Intranet Permettre le trafic de Interdire l entrée de tout paquet utilisant une adresse interne (falsification d adresse) Le pare-feu autorise un filtrage sélectif du type : adresse IP source ou destination ; protocole de niveau ; port TCP ou UDP source ou destination ; type de message ICMP 193.55.45.22 Règles de filtrage Dir. @ source Sortant Interne Entrant externe Entrant externe Sortant 193.55.45.12 Entrant Interne Toutes Toutes @ dest. Externe Protocole Action HTTP Permis 193.55.45.20:50 HTTP Permis 193.55.45.12 SMTP Permis externe SMTP Permis Interne Tous Refusé 193.55.45.12 Toutes Tous Refusé 193.55.45.13 La sécurité informatique : adapter l infrastructure protéger des accès physiques illicites personnel Quels locaux protégés sont à prévoir? Quelles attaques sont à prendre en compte? Comment doit-on sécuriser l accès des locaux? 3

La sécurité informatique : la DMZ quels s dans la DMZ (zone démilitarisée) : -Les s accessibles aux clients -Les s accessibles par les usagés nomades -Les s de externe (protocole SMTP) DMZ Clients externes Serveurs de site web Quels s doivent être vus d? Quels «usagés» doivent y accéder? Quels s doivent être invisibles d? La zone «démilitarisée» (DeMilitarized Zone) regroupe des équipements moins protégés. Ils ne peuvent contenir des données «sensibles» Zone «usagés» Usagés internes Zone «s internes» La sécurité informatique : la translation d adresse La translation d adresses est basée sur l utilisation des adresses privées, non routables sur et permet d isoler le trafic local du trafic public de l internet : Classe A Classe B Classe C 10.0.0.0 172.16. 0.0 à 172.31.0.0 192.168.0.0 à 192.168.255.0 Zone «usagés» DMZ La translation d adresse est assurée par un translateur d adresse (NAT - Network Adress Translator). Le NAT peut travailler suivant 3 types de translation : - n @ privées vers 1 @ publique ; - n @ privées vers m @ publiques ; - 1 @ privée vers 1 @ publique ; site web Zone «s internes» NAT Trafic public adresses publiques Adresses publiques Trafic local adresses privées Adresses privées Trafic local adresses privées la sécurité de l information : un plan d action Contexte La sécurité de l'information est l'ensemble des mesures de sécurité prises par votre entreprise pour préserver la confidentialité, l'intégrité et la disponibilité de l'information. La sécurité de l'information englobe l'ensemble des systèmes d'exploitation, x de télécommunication, logiciels, applications, documents, de même que la sécurité physique des lieux et des équipements. Principe La norme ISO 17799:2005 indique quoi protéger et la norme ISO 27001:2005 indique comment assurer la sécurité de l'information. Il faut, selon ISO 17799:2005, définir ses objectifs de sécurité: identifier les menaces, déterminer les vulnérabilités et procéder à l analyse des risques identifiés (sensibilité des informations de l entreprise, impact économique des sinistres potentiels, probabilité de leur survenance et coût des mesures proposées. La norme ISO 27001:2005 indique les conditions à remplir pour implanter, maintenir et améliorer le système de gestion de la sécurité de l'information (SGSI). Le modèle suggéré utilise une démarche d'amélioration continue qui comprend quatre étapes récurrentes : Planifier : définir le périmètre du SGSI, bâtir la politique de sécurité de l'information, procéder à l'évaluation des risques, préparer le plan d'action. Réaliser : mettre en place le plan d'action, sensibiliser et former le personnel. Vérifier : s assurer que les mesures de sécurité sont efficaces, effectuer le contrôle des procédures, évaluer la fiabilité des données, réaliser périodiquement des audits du SGSI. Agir : mettre en place des mesures correctives et de prévention appropriées, implanter les améliorations du SGSI qui ont été identifiées. 4

Construire une politique de sécurité : 12 thèmes Règles et pratiques : premières procédures à mettre en place basées sur la norme ISO 17799:2005, Thème 1 - Organiser la sécurité de l'information : préciser les rôles et responsabilités des gestionnaires, utilisateurs et 1-Organiser la fournisseurs de services. Détailler les mécanismes de sécurité sécurité de à mettre en place pour assurer la sécurisation de l'accès des l information tiers aux informations et ressources de l entreprise. Thème 4 - Gérer les actifs informationnels : procéder à 4-Gérer les l'inventaire des données; leur déterminer un propriétaire; les actifs catégoriser; déterminer leur niveau de protection et établir les informationnels mesures de sécurité à mettre en place. Thème 2 - Bâtir une politique de sécurité de l information : indiquer les éléments à considérer et le contenu de la politique de sécurité de l'information. 3-Gérer les risques de sécurité 1-Organiser la sécurité de l information 12-prévoir la continuité des activités Thème 3 - Gérer les risques de sécurité : analyser et évaluer les menaces, impacts et vulnérabilités auxquels les données sont exposées et la probabilité de leur survenance. Déterminer les mesures de sécurité pouvant être implantées pour réduire les risques et leur impact à un coût acceptable. Thème 12 - Prévoir la continuité des activités : décrire les façons de faire pour élaborer un plan de continuité et de relève des services, de même qu'un plan de sauvegarde des données et des applications de votre entreprise. 2-bâtir une politique de sécurité La politique de sécurité : gérer les incidents Thème 10 - Gérer l'acquisition, le développement et l'entretien des systèmes : indiquer les règles de sécurité à observer dans l'acquisition, le développement, l'implantation d'applications et de logiciels. Thème 7 - Assurer la sécurité physique et environnementale : préciser les mesures à mettre en place pour sécuriser le matériel et éviter les accès non autorisés dans les locaux. Thème 11 - Gérer les incidents de sécurité : indiquer les comportements à adopter lors de la détection d'un incident de sécurité; mettre en place un processus de gestion des incidents de sécurité. Thème 5 - Assurer la sécurité des ressources humaines : indiquer au personnel les bonnes pratiques à utiliser et faire un bon usage de leur équipement informatique. 10-Gérer l acquisition, le développement et l entretien des systèmes 7-Assurer la sécurité physique et environnemental Thème 6 Vérifier la conformité : s assurer 1-Organiser la que les règles et procédures sont bien sécurité de appliquées et qu elles sont aux normes l information 9-Gérer les communications et les opérations 12-prévoir la continuité des activités 6-Vérifier la conformité 11-Gérer les incidents de sécurité 5-Assurer la sécurité des ressources humaines 8-Contrôler les accès Organiser la sécurité de l information Règles et pratiques Rôles et responsabilités : implanter des règles de conduite et partager les responsabilités entre les différents intervenants de votre entreprise. définir les rôles et les responsabilités des personnes impliquées dans la sécurité des actifs informationnels. Les responsabilités à l'égard de la sécurité des actifs informationnels de votre entreprise reposent sur : les gestionnaires qui en assurent la gestion ; les utilisateurs des actifs informationnels; les tiers, fournisseurs de services et contractuels. Le dirigeant de votre entreprise a comme responsabilités de : désigner un responsable de la sécurité des systèmes d'information (RSSI); valider la politique globale de sécurité, les orientations et les directives. Le comité de la sécurité de l'information doit : recommander les orientations et les directives au dirigeant de l entreprise; approuver les standards, les pratiques et le plan d'action de la sécurité de l'entreprise; assurer le suivi du plan d'action de sécurité. 5

Organiser la sécurité de l information Le responsable de la sécurité coordonne la sécurité de l'information. À cet effet, il doit : élaborer et assurer le suivi et la mise à jour périodique du plan d'action; communiquer au personnel, aux clients et partenaires de l'entreprise les orientations de sécurité de l'information; veiller au respect de la politique de sécurité de l'information ainsi qu'à la protection des renseignements personnels et sensibles; informer périodiquement le comité de l'état d'avancement des dossiers. Le propriétaire d'un actif informationnel doit : assurer la gestion de la sécurité de son actif informationnel; autoriser et répondre de l'utilisation, par les utilisateurs, clients et partenaires, des données ou informations dont il est propriétaire; veiller à ce que les mesures de sécurité appropriées soient élaborées, mises en places et appliquées. Gestion des accès des utilisateurs externes Le responsable de la sécurité doit contrôler les accès par des tiers aux infrastructures de traitement de l'information de l entreprise, évaluer les risques, valider les mesures à appliquer et les définir sous forme de contrat avec le tiers en question. Dans le cas de sous-traitance le contrat établit les clauses sur les mesures et procédures de sécurité pour les systèmes d'information, x, infrastructures technologiques, informations ou données sensibles. Il inclut également les règles d habilitation pour le personnel devant avoit accès à de l'information sensible ou confidentielle. Bâtir une politique de sécurité implique l entreprise Thème 2 Contexte Une politique de sécurité de l'information est un ensemble de documents émanant de la direction de votre entreprise et indiquant les directives, procédures, lignes de conduite et règles organisationnelles et techniques à suivre relativement à la sécurité de l'information et à sa gestion. Une telle politique constitue un engagement et une prise de position claire et ferme de la direction de protéger ses actifs informationnels. Principe Pour vous aider à bâtir une politique de sécurité de l'information, la norme ISO 17799:2005 peut vous servir de guide et de référence. Règles et politiques identifier le type de clientèle à laquelle vous vous adressez et de catégoriser les actifs informationnels de votre entreprise selon leur degré de sensibilité. protéger les informations et ressources considérées comme vitales ou importantes pour votre entreprise, soit des : systèmes d'information (application, logiciel, etc.); éléments de l'infrastructure technologique (, de télécommunications, téléphonique, etc.); types de documents (contrat, procédure, plan, procédé de fabrication, etc.); installations (immeuble, local, etc.). Une politique de sécurité conduit à des procédures La politique de sécurité de l'information devra contenir les éléments suivants : confirmer l'engagement de la direction; désigner une personne responsable de la sécurité de l'information; identifier ce qui doit être protégé; identifier contre qui et quoi vous devez être protégé; inclure des considérations de protection de l'information; encadrer l'utilisation des actifs informationnels; tenir compte de la conservation, de l'archivage et de la destruction de l'information; tenir compte de la propriété intellectuelle; prévoir la réponse aux incidents et préparer une enquête, s'il y a lieu; informer vos utilisateurs que les actes illégaux sur les informations et ressources de l'entreprise sont interdits. La pratique recommandée pour l'élaboration d'une politique de sécurité repose sur les éléments suivants : une politique globale; des directives; des procédures, standards et bonnes pratiques. 6

De la politique d entreprise aux procédures Niveau 1 : Politique globale engagement et prise de position ferme et claire de la direction de l'entreprise quant à la protection à accorder aux actifs informationnels. Politique globale Niveau 2 : Directives mesures concrètes déterminant, la directives façon de procéder en vue d'assurer la sécurité des actifs informationnels. Elles peuvent porter, par exemple, sur l'utilisation d', du procédures Standards pratiques courrier électronique ou des écrans de veille. Niveau 1 Niveau 2 Niveau 3 Niveau 3 : Procédures, standards et bonnes pratiques Procédures : décrivent en détail toutes les étapes d'un processus humain ou technologique d'implantation ou d'opération d'une mesure de sécurité. Standards : définissent les règles et mesures à respecter en attendant une normalisation par un organisme officiel de normalisation. Pratiques : assurent que les contrôles de sécurité ainsi que les processus de soutien nécessaires sont implantés de façon constante et adéquate à travers l'entreprise. Protéger les actifs informationnels : les 3 étapes Étape 1 : Déterminer les actifs informationnels à catégoriser Faire un inventaire des actifs informationnels regroupés par : système d information; élément de l'infrastructure technologique (, de télécommunication, téléphonique, etc.); type de document (contrat, procédure, plan, etc.) ; environnement physique (immeuble, local ). Attribuer un propriétaire, une catégorie et une valeur à chaque actif informationnel (les actifs informationnels à catégoriser sont ceux pour lesquels une atteinte à la sécurité peut avoir des conséquences négatives pour votre entreprise). Étape 2 : Catégoriser les actifs informationnels Donner des valeurs (élevée, moyenne ou basse) aux attributs disponibilité (D), intégrité (I) et confidentialité (C) selon le contexte d'utilisation des actifs informationnels de l'entreprise. Les contextes d'utilisation retenus sont : les postes autonomes ou mobiles, le fermé et le ouvert. Il est recommandé d'effectuer après cette étape une évaluation et une analyse des risques. Étape 3 : Déterminer les mesures de sécurité à appliquer pour protéger les actifs informationnels Indiquer les mesures de sécurité qui à appliquer, à partir du contexte d utilisation de chaque actif. Cette étape est répétée autant de fois qu i l y a d'actifs à catégoriser. Le VPN : un privé à travers Un virtuel privé (VPN) permet d envoyer des données de manière sécurisée entre les ordinateurs de deux domaines privés (LAN) à travers un d (WAN). Le VPN revient à créer un «tunnel privé» à travers un d utilisant IP, comme. local Serveur "brocelian" les données suivent toutes le même chemin les données peuvent être cryptées 7

Extranet : VPN ou LS, une question de coût LS télécom POP VPN POP télécom LS local LS télécom Serveur "brocelian" Liaison spécialisée : VPN : bande passante garantie bande passante non garantie pas de qualité de service qualité de service possible sécurité à préciser sécurité par cryptage Client mobile : le VPN simplifie la procédure LS télécom local Serveur de connexion VPN RTC POP Prestataire de service POP Serveur FAI RTC local client hôtel Ligne ADSL VPN : ADSL : Prestataire : propre : service VPN + accès Wi-Fi prestataire + connexion RTC RTC local RTC débit 56Kb/s haut débit débit 56Kb/s débit 56Kb/s pas de coût pas de coût pas de coût maintenance du de maintenance de maintenance de maintenance de connexion Architecture :, tunnel et protocoles protocole de Tunneling : crypte et encapsule les données échangées entre le et le client par l un des principaux protocoles L2TP/IPsec, SSL ou PPTP connexion VPN : connexion établie entre le et le client Serveur VPN : fournit la connexion Données cryptées encapsulation Inter- de transit : Réseau public traversé local tunnel : Chemin des données client VPN : initie la connexion Serveur "brocelian" 8

Authentification et cryptage sous XP Sous Windows XP, la configuration du paramétrage de l authentification et de la sécurité autorise des combinaisons ci-dessous : validation Exiger un mot de passe Exiger un mot de passe Carte à puce Carte à puce Cryptage requis non oui non oui Authentification : protocoles CHAP ; MS-CHAP ; MS-CHAP v2 CHAP ; MS-CHAP ; MS-CHAP v2 EAP/TLS EAP/TLS Mise en oeuvre Cryptage optionnel Cryptage éxigé Cryptage optionnel Cryptage éxigé Pour L2TP, le cryptage utilise IPSec Pour PPTP, le cryptage utilise MPPE (Microsoft Point-To-Point Encryption) avec des clés de 40 bits à 128 bits Les données sont cryptées uniquement si l authentification CHAP ou EAP est négocié CHAP v2 et EAP/TLS sont des protocoles d authentification mutuelle (client et vérifient leur identité) Le paramétrage sous Windows XP Les paramètres d ouverture de session sont utilisés pour l authentification Paramètres d authentification Protocoles d authentification autorisés 9