alt=Data center du provider CyberBunker |vignette|Centre de données du fournisseur d'accès CyberBunker.
La sécurité des systèmes d’information (SSI) est l’ensemble des moyens techniques, organisationnels, juridiques et humains nécessaires à la mise en place de moyens visant à empêcher l'utilisation non autorisée, le mauvais usage, la modification ou le détournement du système d'information. Assurer la sécurité du système d'information est une activité du management du système d'information.
La sécurité est un enjeu majeur pour les entreprises. Elle n'est plus confinée uniquement au rôle de l’informaticien. Sa finalité à long terme est de maintenir la confiance des utilisateurs et des clients. La finalité à moyen terme est la cohérence de l’ensemble du système d’information. À court terme, l’objectif est que chacun ait accès aux informations dont il a besoin.
Une des méthodes les plus connues traitant de l'analyse des risques SSI est la méthode EBIOS Risk Manager. Une des normes les plus connues traitant des systèmes de management de la sécurité de l'information (SMSI) est l’ISO/CEI 27001 (créée en 2005) qui insiste sur la triade disponibilité, intégrité et confidentialité, tout en imposant une démarche d'amélioration continue..
Histoire Les responsables de systèmes d'information se préoccupent depuis longtemps de sécuriser les données. Le cas le plus répandu, et sans aucun doute précurseur en matière de sécurité de l'information, reste la sécurisation de l'information stratégique et militaire. Le (DoD) des États-Unis est à l'origine du TCSEC, ouvrage de référence en la matière. De même, le principe de sécurité multi-niveau trouve ses origines dans les recherches de résolution des problèmes de sécurité de l'information militaire. La défense en profondeur, tout droit sorti d'une pratique militaire ancienne, et toujours d'actualité aujourd'hui (principe promu par l'ANSSI dès 2001). Cette pratique consiste à sécuriser chaque sous-ensemble d'un système.
Les conséquences d'une mauvaise sécurisation peuvent concerner les organisations, mais aussi la vie privée d'une ou plusieurs personnes, notamment par la diffusion d'informations confidentielles comme leurs coordonnées bancaires, leurs situations patrimoniales, leurs codes confidentiels, etc. De manière générale, la préservation des données relatives aux personnes fait l'objet d'obligations légales régies par la loi Informatique et Libertés. Plus récemment le Parlement européen et le Conseil de l’Union européenne ont adopté en la directive Network and Information Security (NIS), afin d'améliorer la sécurité des systèmes d'information européen (voir site web de l'ENISA).
La CNIL propose un cadre opérationnel pour sécuriser les données à caractère personnel, en lien avec les exigences du RGPD, notamment à travers son guide de la sécurité des données personnellesCNIL, Guide de la sécurité des données personnelles, 2022, lire en ligne..
Il est généralement admis que la sécurité ne peut être garantie à 100 % et requiert donc le plus souvent la mobilisation d'une panoplie de mesures pour réduire les chances de pénétration des systèmes d'information.
À partir de 2023, le développement des LLM et des IA génératives introduit des risques spécifiques, par exemple l'infiltration de requête.
La réglementation européenne Digital Operational Resilience Act qui impose des contraintes de sécurité importantes aux entreprises du secteur financier s'applique à partir de .
Objectifs JF Pillou, Tout sur les systèmes d'information, Paris Dunod 2006, Collect° Commentcamarche.net.
Selon le rapport annuel Data Breach Investigations Report publié par Verizon en 2023, la majorité des incidents de sécurité identifiés dans les organisations impliquent des atteintes à la confidentialité, à l'intégrité ou à la disponibilité des données, souvent en lien avec des erreurs humaines ou des compromissions d’identifiantsVerizon, 2023 Data Breach Investigations Report, lire en ligne..
La sécurité des systèmes d'information vise les objectifs suivants (C.A.I.D.) : Confidentialité : seules les personnes autorisées peuvent avoir accès aux informations qui leur sont destinées (notions de droits ou permissions). Tout accès indésirable doit être empêché ; Authenticité : les utilisateurs doivent prouver leur identité par l'usage de code d'accès. Il ne faut pas mélanger identification et authentification : dans le premier cas, l'utilisateur n'est reconnu que par son identifiant public, tandis que dans le deuxième cas, il doit fournir un mot de passe ou un élément que lui-seul connaît (secret). Mettre en correspondance un identifiant public avec un secret est le mécanisme permettant de garantir l'authenticité de l'identifiant. Cela permet de gérer les droits d'accès aux ressources concernées et maintenir la confiance dans les relations d'échange ; Intégrité : les données doivent être celles que l'on attend, et ne doivent pas être altérées de façon fortuite, illicite ou malveillante. En clair, les éléments considérés doivent être exacts et complets. Cet objectif utilise généralement des méthodes de calcul de checksum ou de hachage ; Disponibilité : l'accès aux ressources du système d'information doit être permanent et sans faille durant les plages d'utilisation prévues. Les services et ressources sont accessibles rapidement et régulièrement.
D'autres aspects peuvent aussi être considérés comme des objectifs de la sécurité des systèmes d'information, tels que : La traçabilité (ou « preuve ») : garantie que les accès et tentatives d'accès aux éléments considérés sont tracés et que ces traces sont conservées et exploitables ; La non-répudiation et l'imputation : aucun utilisateur ne doit pouvoir contester les opérations qu'il a réalisées dans le cadre de ses actions autorisées et aucun tiers ne doit pouvoir s'attribuer les actions d'un autre utilisateur.
Une fois les objectifs de la sécurisation déterminés, les risques pesant sur chacun de ces éléments peuvent être estimés en fonction des menaces. Le niveau global de sécurité des systèmes d'information est défini par le niveau de sécurité du maillon le plus faible. Les précautions et contre-mesures doivent être envisagées en fonction des vulnérabilités propres au contexte auquel le système d'information est censé apporter service et appui.
Il faut pour cela estimer : la gravité des conséquences au cas où les risques se réaliseraient ; la vraisemblance des risques (ou leur potentialité, ou encore leur probabilité d'occurrence).
Démarche générale Pour sécuriser les systèmes d'information, la démarche adopte une spirale évolutive régulière : la fin d'un cycle entraîne le début d'un nouveau, comme dans la roue de Deming. En sécurité cela consiste à : évaluer les risques et leur criticité : quels risques et quelles menaces, sur quelles données et quelles activités, avec quelles conséquences ? On parle de « cartographie des risques ». De la qualité de cette cartographie dépend la qualité de la sécurité qui va être mise en œuvre ; rechercher et sélectionner les parades : que va-t-on sécuriser, quand et comment ? C'est une étape difficile qui demande des choix de sécurité : dans un contexte de ressources limitées (en temps, en compétences et en argent), seules certaines solutions pourront être mises en œuvre ; mettre en œuvre les protections et vérifier leur efficacité : c'est l'aboutissement de la phase d'analyse et là que commence la protection du système d'information. Une faiblesse fréquente de cette phase est d'omettre de vérifier que les protections sont bien efficaces (tests de fonctionnement en mode dégradé, tests de reprise de données, tests d'attaque malveillante, etc.).
Approche par phases Phase : Planification de la démarche de sécurisation des systèmes d'information Étape 1 : Périmètre et Politique Il est important de prendre en compte les actifs ayant de la valeur en définissant un périmètre du système de management du système d’information. Il peut être orienté sur l’ensemble de l’entreprise, sur un site précis, sur un service en fonction de la stratégie de l’entreprise. Le capital intellectuel des entreprises intègre des informations sensibles, ce patrimoine informationnel doit être protégé. L’entreprise doit donc mettre en place une politique de sécurité des systèmes d’information, de sécurité des données, et des mécanismes d’identification. De plus, il faut définir une politique du SMSI, qui est l’engagement de l’entreprise sur un certain nombre de points en matière de sécurité. Ces deux points forment la pierre angulaire du SMSI, dans le but d’établir la norme ISO/CEI 27001 et ainsi d’apporter la confiance aux parties prenantes.
Étape 2 : Évaluation des risques Tenter de sécuriser un système d'information revient à essayer de se protéger contre les menaces intentionnelles et d'une manière plus générale contre tous les risques pouvant avoir une influence sur la sécurité de celui-ci ou des informations qu'il traite.
Méthode d'analyse des risques Différentes méthodes d'analyse des risques sur le système d'information existent. Voici les méthodes d’appréciation des risques les plus courantes :
En France, la première méthode développée a été Marion. Aujourd’hui, elle a été remplacée, même si certaines entreprises ont conservé ce modèle initial, par la méthode Méhari (Méthode harmonisée d'analyse des risques) développée par le CLUSIF, et par la méthode EBIOS (Expression des besoins et identification des objectifs de sécurité) développée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI).
En Angleterre, Cramm est une méthode d'analyse des risques développée par l'organisation du gouvernement britannique ACTC (Agence centrale de communication et des télécommunications). C’est la méthode d'analyse des risques préférée par le gouvernement britannique, mais elle est également utilisée par beaucoup d’autres pays.
Les États-Unis utilisent OCTAVE (), développée par l'Université Carnegie-Mellon.
Aux États-Unis, le National Institute of Standards and Technology (NIST) propose des méthodes complémentaires comme le cadre SP 800-30 pour l'évaluation des risques, très utilisé dans les infrastructures critiquesNIST, SP 800-30 - Guide for Conducting Risk Assessments, lire en ligne..
À l'international, on utilise ISO/CEI 27005, qui est une norme internationale répondant point par point aux exigences de la certification ISO/CEI 27001. C’est la norme la plus récente, de plus elle est facilement applicable car pragmatique.
+ Autres méthodes les plus utilisées à l’international Méthode Auteur Pays Risk Assessment Platinum squared Royaume-Uni Afhankelijkheids Ministère néerlandais Pays-Bas ISAMM Evosec Belgique IT-Grundschutz BSI Allemagne Magerit Ministère espagnol Espagne Migra AMTEC/ElsagDatamat Italie SP 800-30 NIST USA ISO 17799 ISO International ISO 13335 ISO International ISO 14408 ISO International
Même si le but de ces méthodes est identique, les termes et les expressions utilisés peuvent varier. Celles citées ci-dessus sont globalement inspirées des méthodes EBIOS, Feros, ainsi que de la méthode d'audit MASSIA (Méthode d’Audit de la Sécurité des Systèmes d’Information de l’Armement) - première méthode d'audit employé au Ministère de la Défense dès 1994 (donc bien avant les autres méthodes notamment ISO apparues à partir des années 2000).
Paradoxalement, dans les entreprises, la définition d'indicateurs « sécurité du SI » mesurables, pertinents et permettant de définir ensuite des objectifs dans un temps raisonnable, s'avère délicate. Pour mesurer la performance, on peut désigner comme indicateurs les états d'installation d'outils ou de procédures, mais les indicateurs de résultats sont plus complexes à définir et à apprécier, par exemple ceux concernant les .
Identifier les actifs
Cela consiste à faire une liste de tous les éléments importants en matière d’information au sein du périmètre SMSI. Il existe différents types d'actifs : Matériel ;