Comment utiliser la grille d'analyse des risques ?

1. Mesures prises contre les menaces dues aux cas de force majeure

1.1. Les désastres physiques

1.1.1. Mesure à prendre contre la foudre

installation de paratonnerres sur l’ensemble des bâtiments contenant du matériel ou de le documentation informatique.

les prises d’alimentation électrique murales doivent disposer d’une prise à la terre.

tous les ordinateurs (serveur ou poste de travail) doivent être alimentés en électricité via un onduleur.

la mesure la plus drastique, mais aussi la plus onéreuse, consiste à installer sur le circuit électrique interne une alimentation de secours qui est mise en oeuvre dès le début de l’orage

1.1.2. mesures à prendre contre les incendies non criminels

le réseau électrique doit être aux normes électriques en vigueur

le câblage du réseau électrique ne doit pas être apparent mais être disposé dans des chemins de câbles réseau ignifugés même au sein des locaux

relier directement les systèmes de détection à la caserne de pompiers la plus proche.

si l’entreprise est de grande dimension, il peut être nécessaire de former et d’entretenir une équipe de sécurité.

utiliser comme produit d’extinction la poudre sèche. Celle-ci permet de lutter contre les feux de classes A, B et C, les feux de métaux et les feux de plastique. En outre, compte tenu de sa forme solide, ce produit extincteur n’endommage pas le matériel.

les salles contenant du matériel informatique doivent être équipées d’extincteurs mobiles.

les salles contenant du matériel informatique doivent être équipées d’installations fixes.

les salles contenant du matériel informatique doivent être équipées de détecteurs de fumée.

les salles contenant du matériel informatique doivent être équipées de détecteurs thermovélicométriques. Ces systèmes mesurent la vitesse d’augmentation de la température.

les murs, armoires électriques et autres installations doivent être recouverts de peinture ignifuge.

1.1.3. Mesures à prendre contre les dégâts des eaux

éviter de disposer les matériels informatiques dans des salles aux rez-de-chaussée.

ne pas utiliser l’eau comme produit d’extinction.

aucune conduite d’eau ne doit traverser les salles contenant du matériel informatique.

si la salle est disposée au dernier étage, s’assurer que les dispositifs d’évacuation d’eau sur le toit ne soient pas encombrés.

si la salle est disposée dans un étage intermédiaire, s’assurer que les salles situées dans les étages suivants respectent les mesures préventives contre les dégâts des eaux préconisées dans ce paragraphe.

1.1.4. Mesure à prendre contre les incendies de câbles

utiliser des chemins de câble assurés par des gaines ignifugées.

1.1.5. Mesures à prendre contre un taux d’humidité, une température ou une accumulation de poussière inacceptables

les salles dans lesquelles le matériel informatique est installé doivent être climatisées.

des extracteurs d’air doivent être installés dans les salles contenant du matériel informatique

les prescriptions du constructeur du matériel en termes de température, de taux d’humidité et de poussière dans l’environnement doivent être respectées permet un fonctionnement sans défaillance du matériel assurant ainsi une plus haute disponibilité des données qu’en cas de non-respect de ces prescriptions.

1.1.6. Mesure à prendre contre un champ magnétique intense

ne pas disposer d’appareils émettant des ondes électromagnétiques à proximité des ordinateurs et des supports de stockage magnétiques. Les appareils les plus courants sont les moteurs électriques et les amplificateurs.

1.1.7. Mesure à prendre contre les défaillances des alimentations des ordinateurs

installer des alimentations redondantes sur les serveurs même si un onduleur est utilisé. De cette manière, une alimentation défaillante ne remet pas en question la disponibilité et l’intégrité des données dans la mesure où, au moins, une autre alimentation est toujours en service.

1.2. La perte du personnel

En fonction des besoins mais aussi du budget fixé pour la rémunération des postes d’administrateurs informatiques, ceux-ci peuvent être doublés.

Un autre moyen, plus économique, consiste à créer des binômes décalés et à leur assurer la formation minimum ainsi que l’accès aux données. Supposons trois administrateurs A, B et C : A est l’administrateur système, B est l’administrateur réseau et C est l’administrateur SGBD. B seconde A, C seconde B et A seconde C.

1.3. Les défaillances matérielles

A l’achat ou lors d’un remplacement, le matériel doit être testé et certifié.

Une fois l’achat ou le remplacement effectué, le matériel doit avoir subi des tests de bon fonctionnement.

L'ordinateur qui centralise vos données doit être équipé de plusieurs disques durs fonctionnant en RAID, c’est-à-dire ensemble redondant de disques indépendants.

Vos données sont gérées par une grappe d'ordinateurs permettent d’accroître nettement la disponibilité en cas de défaillance d’un de ses composants dans la mesure où les probabilités pour que n ordinateurs connaissent une défaillance matérielle simultanément sont extrêmement faibles.

Vos données sont gérées sur un SAN (pour Stockage Area Network ou réseau de stockage) qui est un réseau dédié au stockage constitué de périphériques de stockage et de processeurs permettant d’accéder à ces périphériques. Le coût de mise en oeuvre et de maintenance d’un système SAN est élevée. En outre, les technologies mises en oeuvre (logicielles et matérielles) impliquent le recours à des compétences pas nécessairement présentes dans l’entreprise.

Vos données sont gérées par un système NAS (pour Network Attache Storage ou stockage attaché au réseau) qui est constitué d’un ou plusieurs périphériques de stockage directement connecté sur votre réseau. Les avantages sont les mêmes que ceux de SAN sinon que le NAS à un coût de mise en oeuvre nettement moins élevé. Un avantage supplémentaire est sa facilité de mise en oeuvre et d’administration.

2. MESURES PRISES CONTRE LES MENACES DUES AUX DEFAUTS D’ORGANISATION

2.1. L’organisation de l’exploitation

à chaque utilisateur doit correspondre un profil différent lorsque plusieurs employés travaillent sur la même machine. Cela signifie, par exemple, un répertoire de stockage des données spécifiques pour chaque utilisateur.

le mot de passe des administrateurs réseau, système ou bases de données doivent être connus d’un de leurs collaborateurs qui pourra alors agir en cas d’absence. Eventuellement, les mots de passe peuvent être disposés dans un coffre dont la clé est détenue par une société de surveillance.

l’accès aux ordinateurs et les actions réalisables par un utilisateur doivent être contrôlées.

les utilisateurs doivent avoir accès à l’ensemble de la documentation utilisateur. La documentation papier vieillit mal et occupe un volume important. La solution est l’utilisation de documentation électronique, consultable en ligne. Ainsi, un grand nombre de logiciels d’application est désormais fourni avec des versions électroniques de leurs manuels.

l’authentification permet de s’assurer que chaque utilisateur à chaque fois qu’il se connecte à l’ordinateur utilisera le profil adéquat

une formation doit être proposée au utilisateurs concernant les mesures organisationnelles relatives à l’exploitation des postes de travail

2.2. L’organisation de la maintenance

vous effectuez une maintenance préventive : vous avez organisé vos sauvegardes

vous êtes à même d'effectuer une maintenance corrective, c'est-à-dire à restaurer vos données.

2.3. L’organisation de la sécurité

Pour qu’il y ait sécurité au sein de l’entreprise, il faut que celle-ci soit clairement définie, ce qui passe par la définition d’une politique et d’un plan de sécurité, et que la direction ait conscience qu’il y a enjeu réel et non pas simple désir de la direction du service informatique

La sécurité est l’affaire de tous. Cette assertion, si elle reste vraie dans le cadre de l’exploitation, est fausse pour ce qui concerne l’analyse et la gestion de la sécurité : ces deux opérations doivent être à la charge de personnels compétents ayant une expérience dans le domaine. Si ce personnel n’est pas présent au sein de l’entreprise, des cabinets de consultants doivent être contactés.

La sécurité est l’affaire de tous. Cette assertion est vraie dans le cadre de l’exploitation. Le personnel doit être sensibilisé et formé aux mesures apparaissant dans le plan de sécurité.

3. MESURES PRISES CONTRE LES MENACES DUES AUX DEFAILLANCES HUMAINES

3.1. La protection physique du matériel

Le matériel doit être protégé physiquement contre tout acte involontaire, qu’il s’agisse de matériel informatique, de périphériques, de matériels électriques, etc.

3.2. Les connaissances de base

Les utilisateurs doivent connaître le matériel et les logiciels d’applications qu’ils utilisent. Une documentation doit toujours être laissée à portée de mains. Pour finir, ils doivent être sensibilisés aux conséquences d’actes irréfléchis.L’application de ces trois principes permet d’éviter beaucoup d’erreurs.

3.3. La sécurité

3.3.1. Restriction de l’accès aux ressources et aux zones

Les règles d’accès aux données sont définies par une gestion efficace et optimale des utilisateurs. Des groupes d’utilisateurs sont définis, disposant des mêmes droits et devoirs. Les droits consistent en un ensemble de règles (lecture, écriture et visualisation) sur un objet ou un groupe d’objets. Les objets peuvent être des ordinateurs, des répertoires, des documents, des logiciels d’applications, des données gérées par un SGBD ou des périphériques. Chaque accès à un objet doit être inscrit dans un journal, ce dernier permettant de déterminer si des accès irréguliers sont effectués.

Des règles d’accès aux bâtiments et aux salles doivent définir quels sont employés autorisés à y accéder.

3.3.2. Identification des utilisateurs

S’appuyer sur la bonne foi des utilisateurs n’est pas suffisant. La mise en place d’un système d’identification des utilisateurs est nécessaire pour s’assurer que l’utilisateur, disposant des droits lui permettant de le faire, accède à la donnée adéquate.

Concernant l’accès aux bâtiments, la manière la plus simple d’identifier un utilisateur consiste en la présentation d’un badge.

Pour ce qui concerne l’accès aux objets informatiques, le système le plus courant est la saisie du nom et du mot de passe de l’utilisateur.

4. Mesures prises contre les menaces dues aux défaillances techniques

4.1. Les mesures relatives programmes

l’administrateur système ou l’équipe en charge de cette tâche doit constamment s’assurer que les dernières corrections proposées par le fabriquant soient utilisées. Toutefois, avant d’effectuer de telles modifications, il est nécessaire de s’assurer que les corrections fournies par le fabriquant ne comportent pas de nouveaux bogues, encore plus problématiques que les précédents. Une manière de procéder est de participer à des discussions au travers de listes de diffusion ou de forums afin de partager l’expérience avec d’autres administrateurs

la phase de configuration des produits est une phase critique. L’environnement doit être adapté au produit : les prescriptions du fabriquant en termes de matériels, de logiciels d’application, de systèmes d’exploitation et d’environnement réseau doivent être scrupuleusement suivis. A l’issue de la phase de configuration, il est nécessaire de procéder à des tests pour s’assurer du bon fonctionnement du produit au sein de l’environnement.

4.2. Les mesures relatives aux réseaux

les lignes doivent être sécurisées. Par exemple, les boîtiers externes contenant les moyens matériels de connexion aux autres réseaux doivent être sécurisés en disposant une alarme reliée à un PC sécurité, l’ouverture se faisant sur la saisie d’un code.

certains types de lignes sont plus difficiles à manipuler que d’autres, et donc à pirater. Ainsi donc, il faut préférer la fibre optique aux câbles coaxiaux, par exemple.

5. Mesures prises contre les menaces dues aux actes délibérés

5.1. L’ingénierie sociale

Les utilisateurs, quel que soit leur niveau de compétence, doivent être sensibilisés aux techniques de base utilisées par les pirates informatiques. L’ingénierie sociale est la technique la plus simple pour obtenir des informations sur le système ou le réseau, des mots de passe : il suffit de les demander. Les mesures sont simples : toute information en relation avec la sécurité est confidentielle et ne doit être livrée qu’après identification et authentification. Le meilleur moyen de se prémunir contre ces techniques est de diffuser les informations en fonction de listes de diffusion par niveau de confidentialité.

Des mesures particulières doivent être prises pour les informations confidentielles telles que l’utilisation de déchiqueteuses pour les documents.

5.2. La zone sécurisée : découpage du réseau en 3 parties

le réseau externe : les ordinateurs disposés sur le réseau externe ne peuvent accéder au réseau interne, seulement à la DMZ.

DMZ (pour DiMilitarized Zone) : cette partie du réseau est située entre le réseau externe et le réseau interne. Cette zone est une interface entre les deux autres réseaux, contient des applications accessibles depuis le réseau externe.

le réseau interne : les données utilisées par les applications disposées sur les ordinateurs de la DMZ sont gérées par des ordinateurs disposés sur le réseau interne.

Vous devez utiliser des coupes-feux (ou firewall) pour mettre en œuvre ce découpage du réseau.

5.3. Les systèmes d’identification et d’authentification

Utilisation de mots de passe cryptés

Utilisation de systèmes d'exploitation protégés par un mot de passe

Utilisation de réseaux sécurisés : VPN

Utilisation de réseaux sécurisés : Firewall