clusir drôme ardèche - sécuriser l'information dans les pme - bonnes pratiques

Antenne Drôme-Ardèche du CLUSIR Rhône -Alpes

SECURITE DE L’INFORMATION ET TPE / PME

Une approche pragmatique et opérationnelle

24 avril 2013 Sécurité de l’information TPE / PME

Une approche théorique complexe compliquée


Long, lourd, onéreux, inadapté

Donc peu appliquée 24 avril 2013 Sécurité de l’information TPE / PME

Une connaissance empirique à exploiter et à valoriser


• Emergence de pratiques• Expérience humaine• Forgée par les contraintes opérationnelles• Éprouvée par le temps et les évènements

• Révélatrice d’une réalité opérationnelle

• Principes fondateurs d’une sécurité robuste et efficace


Inverser l’approche


• S’appuyer sur l’existant pour construire la politique

• Le mieux accepté• Issu de l’expérience opérationnel

• Le moindre effort


Structure de « l’étude »


• Axes d’observation– Architecture– Usages

• Typologie– Minimaliste– classique


Architecture


• Box– Accès internet et messagerie– Plutôt portable– Tout embarqué

• Routeur– Serveur– Accès distant


Usages


• « Pack office »– Internet, messagerie, bureautique,

• « pack metier »– Logiciel métier– Communications spécifiques (pilotage de

machine, transferts de fichiers, plans, …)


Situations


OFFICE METIER

BOX

ROUTEUR


• Extrême variabilitéELLES REMPLISSENT LEUR OFFICE

Interventions non traumatisantes

Présents


• Sauvegardes• Contrôle d’accès• Antivirus

MECONNAISSANCE


Les grands absents


• La charte informatique• La fiche de suivi matériel• Procédures d’accueil et de départ• Test de restauration des sauvegardes• Check list préventive

INCONSCIENCE


Les erreurs


• DAF = DSI (voire rssi)• La charte– Recopiée– Prestataire info

• Mauvaise évaluation du PRA (ou absence)

• pas de mots de passe, mots de passes partagés, sauvegarde aléatoire,


La charte informatique


• Contrat• Encadre et fixe les limites• Outils de sensibilisation• Protège l’employeur• Sécurise en organisant• Évolutif

• Un document spécifique et non transférable

• Définir les sanctions• Informer sur les moyens de contrôle• Ne pas s’opposer au droit

• Ne peut se faire sans une analyse des usages et des risques


D’une sécurité efficace à une sécurité efficiente


• Questions initiales• Un peu d’organisation• Les indicateurs• Les choix techniques• Quelques outils complémentaires


Les questions initiales


• Qu’est ce qui est important pour moi (criticité des données ou des services)

• Qu’est ce qui ne doit pas être divulgué• Qu’est ce qui ne doit pas être perdu• Est-ce que je peux remonter mes données– En combien de temps– Est-ce que j’en suis sur

• Quels sont mes vrais besoins de disponibilité• Qui a le droit d’accéder à quoi (en interne, en externe)


Organisation


• Cloisonner les visiteurs• Classer les informations• Un peu de documentation pratique– Schémas; plan de sauvegarde; mots de passe;

règles d’usage• Classifier les informations• Contrôler les points d’entrée


Indicateurs


Subjectifs• Compréhension de la SSI• Rapports de disfonctionnement• Indice de satisfaction• Facilité sélective d’accès aux ressourcesObjectifs• Application des procédures de sauvegarde• Apparition d’extension d’arborescence• Affichage de mots de passe• Révision des règlements• Rapports antivirus et logs


Clés pour les meilleurs choix techniques


Simplicité d’emploiSolutions éprouvées et connuesAcceptabilité des contraintesCompréhension du produitParamétrabilitéContrôle sur l’administration distante


Solutions complémentaires


CryptographieContrôle des portsMachine de décontamination

Formation / Sensibilisation (« une bonne journée de formation contribue fortement à la fiabilité du système »)

Sécurité de l’information TPE / PME 24 avril 2013

Bonnes pratiques élémentaires


Discrétion pendant le travail extérieurContrôler les médias entrantsLocal informatique fermé, rangé et dédiéAnalyse des logs

Sécurité de l’information TPE / PME 24 avril 2013

24 avril 2013

Bonnes pratiques supplémentaires


CryptographieAnalyse des logs

Sécurité de l’information TPE / PME

clusir drôme ardèche - sécuriser l'information dans les pme - bonnes pratiques

Business