Qui suisje Principes de scurit Ref SP 800

Qui suis-je ? Principes de sécurité Ref. : SP 800 -27 rev A

Qui suis-je ? • Il est important d’avoir une bonne compréhension des nouvelles menaces, d’effectuer une veille technologique et des audits.

Qui suis-je ? • La plupart des organisations dépendent de manière significative sur les systèmes d'information distribués. Ces systèmes distribuent de l'information à la fois dans leur propre organisation et à d'autres organisations. Pour que la sécurité soit efficace dans de tels environnements , les concepteurs de programmes de sécurité devraient … ?

Qui suis-je ? Je permets de : • • • Maintenir la responsabilité et la traçabilité d'un utilisateur ou d'un processus. Attribuer des droits spécifiques à un utilisateur ou un processus individuel. Prévoir la non-répudiation. Appliquer les décisions de contrôle d'accès. Empêcher les utilisateurs non autorisés de passer pour un utilisateur autorisé.

Qui suis-je ? • Je permets d’aller cher le support de l’organisation pour mettre en place une sécurité de l’information. Je définis également les objectifs de sécurité ainsi que les rôles et responsabilités de la sécurité de l’information au sein de l’organisation.

Qui suis-je ? • L’élimination de tous les risques n’est pas nécessairement rentable. Une analyse coûts-avantages devrait être effectuée pour chaque contrôle proposé. Dans certains cas, les avantages d'un système plus sécurisé ne peuvent pas justifier les coûts directs et indirects. Les avantages comprennent plus que la prévention de la perte monétaire; par exemple, les contrôles peuvent être essentiels pour maintenir la confiance du public. • Il peut également être nécessaire de modifier ou d'ajuster les objectifs de sécurité due à d'autres exigences opérationnelles.

Qui suis-je ? • Sans ce principe, il est à la fois difficile et coûteux de mettre en œuvre des mesures de sécurité correctement et avec succès après qu’un système a été mis en production.

Qui suis-je ? • Un système qui communique avec d’autres tiers, que ce soit des systèmes ou des utilisateurs ne peut pas considérer que les contrôles de ces tiers sont de confiance.

Qui suis-je ? • Parfois, les composants pris sur étagère, soit ceux fabriqués en série et non pour un projet en particulier ne permettent pas d’atteindre les objectifs de sécurité.

Qui suis-je ? • Les menaces sont en constantes évolutions. Un mécanisme de sécurité qui est efficace en 2011 ne l’ait pas forcément en 2016. Ce faisant, chaque mécanisme de sécurité devrait être en mesure de soutenir la migration vers une nouvelle technologie ou mise à jour de nouvelles fonctionnalités.

Qui suis-je ? • Une politique de sécurité de l’information régit un ensemble spécifique d'informations et de technologies de l'information qui peuvent traverser les frontières physiques définies dans des politiques de sécurité physique. De plus, il peut arriver qu’une seule machine ou serveur puisse accueillir à la fois des accès publics et de l'information sensibles.

Qui suis-je ? • Un système d’information peut traiter, stocker et communiquer de l’information. Chacune de ses actions peut comprendre des vulnérabilités.

Qui suis-je ? • Une maintenance et une exploitation complexes d’un contrôle de sécurité , demande plus de formation, sont souvent moins efficaces et sont plus propices aux erreurs.

Qui suis-je ? • Permet le maintien du fonctionnement d'une organisation en cas de catastrophe ou d'interruption de service prolongée qui affecte la mission de l'organisation.

Qui suis-je ? • Identifier les interfaces externes du système d’information. • Identifier les endroits où l’information entre et sort du système d’information. • Identifier les ports, protocoles, les services qui sont requis pour le système d’information • Etc.

Qui suis-je ? • Il est risqué de supposer que l’équipe de développeurs connaît les bonnes pratiques sécuritaires de développement et sait comment développer des logiciels sécurisés.

Qui suis-je ? • Les besoins de sécurité des TI ne sont pas uniformes. Les concepteurs de systèmes et les professionnels de la sécurité devraient tenir compte des différents besoins. Ce faisant, la mise en œuvre des solutions d'assurance moins élevée avec des coûts moindres pour protéger les systèmes moins critiques et des solutions d'assurance plus élevés pour protéger les systèmes plus critiques.