Bibliographie & annexes
Présentation
En anglais
RÉSUMÉ
Les systèmes d’information sont omniprésents de nos jours dans toutes les entreprises. La sécurité informatique de ces systèmes doit les protéger contre de nombreuses menaces de diverses origines. L’analyse de risques permet de déterminer, en fonction de la vulnérabilité du système, sa criticité pour chacune de ces menaces. Elle permet ensuite de proposer les solutions nécessaires et suffisantes pour réduire les risques à un niveau résiduel acceptable. Après une introduction sur les risques informatiques en général, cet article se préoccupe plus particulièrement des systèmes d’information et présente les méthodes d’analyse de risques et quelques solutions en réduction de risques. En conclusion, un panorama des principales normes employées en cybersécurité est donné.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleABSTRACT
Information systems are today currently used in almost all companies. The software security of these systems must protect them against numerous threats of various origins. Risk analysis can determine, depending on the system's vulnerability, each of its threats criticality. It allows then to propose necessary and sufficient solutions to mitigate the risks at an acceptable level. This paper introduces first the notion of software risk and focuses then on risk analysis methods used for information systems and on some solutions of risk mitigation. In conclusion an overview of the main standards used for cybersecurity is given.
Auteur(s)
-
Frédérique VALLÉE : Agrégée de mathématiques - Docteur en statistiques - Expert en sûreté de fonctionnement des systèmes programmés - Directrice associée de la société All4tec, Massy, France
INTRODUCTION
La sécurité d’un système correspond à la non-occurrence d’événements pouvant diminuer ou porter atteinte à l’intégrité du système et de son environnement, pendant toute la durée de l’activité du système, que celle-ci soit réussie, dégradée ou échouée. La sécurité couvre les événements de natures aléatoire (danger) ou volontaire (menace).
Depuis plus d’un quart de siècle, pratiquement tous les secteurs d’activité, tant industriels que de services, doivent disposer de systèmes à haut niveau de sécurité. Ces systèmes, qui doivent par ailleurs être développés au moindre coût, sont souvent aux frontières de la connaissance technologique et disposent de peu de retour d’expérience. L’atteinte de ces deux performances, parfois antinomiques, impose non seulement l’utilisation d’outils spécifiques, mais aussi la mise en place rigoureuse d’une organisation adaptée aux objectifs recherchés.
En parallèle, le logiciel a peu à peu pris une place prépondérante dans les systèmes embarqués ou dans les systèmes dits de contrôle-commande : c’est le logiciel qui démarre ou freine les automobiles, c’est lui qui régule la distribution d’électricité dans le réseau national, c’est encore lui qui répartit les appels dans les grands centraux téléphoniques ou qui ordonnance la fabrication automatisée dans les usines. On envisage même de lui confier intégralement la conduite des véhicules autonomes.
Le logiciel est également, depuis l’avènement de la bureautique, au cœur du système d’information dont aucune entreprise ne pourrait plus se passer maintenant. Ce système lui permet aujourd’hui de gérer harmonieusement les clients, les achats, la production, la comptabilité, le personnel, etc. Ces dernières années, la généralisation d’Internet a encore accentué et complexifié cette relation de dépendance entre l’entreprise et son système d’information.
Que leur fonction principale soit de nature administrative ou technique, les systèmes programmés peuvent, s’ils ne fonctionnent pas correctement ou s’ils sont insuffisamment protégés, provoquer des catastrophes d’ordre humain, matériel ou économique, de plus ou moins grande envergure.
La technologie informatique étant assez différente des autres technologies, il est rapidement apparu indispensable de disposer de techniques spécifiques, adaptées à la gestion des risques de ces systèmes.
Cet article fait notamment la différence entre les enjeux et les méthodes utilisées pour les systèmes d’information ou pour les systèmes programmés scientifiques et techniques. Il développe ensuite plus particulièrement les techniques employées pour les systèmes d’information, les aspects liés aux systèmes programmés scientifiques et techniques étant traités dans un autre article [SE 2 501].
Les concepts généraux relatifs à la sécurité et à la gestion des risques dans les entreprises sont bien introduits dans les articles « Importance de la sécurité dans les entreprises » [AG 4 600] et « Sécurité et gestion des risques » [SE 12].
L'expertise technique et scientifique de référence
KEYWORDS
Information technology | Risk analysis | informations systems security | information technology risks
VERSIONS
- Version archivée 1 de oct. 2003 par Frédérique VALLÉE
- Version archivée 2 de juil. 2010 par Frédérique VALLÉE
- Version courante de févr. 2024 par Frédérique VALLÉE
DOI (Digital Object Identifier)
CET ARTICLE SE TROUVE ÉGALEMENT DANS :
Accueil > Ressources documentaires > Archives > [Archives] Sécurité et gestion des risques > Sécurité informatique pour la gestion des risques - Application aux systèmes d’information > Actions en réduction de risque
Accueil > Ressources documentaires > Archives > [Archives] Sécurité des systèmes d'information > Sécurité informatique pour la gestion des risques - Application aux systèmes d’information > Actions en réduction de risque
Cet article fait partie de l’offre
Industrie du futur
(104 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
Aspects normatifs
En anglais
3. Actions en réduction de risque
Une fois que les méthodes d’analyse de risque ont mis en évidence les vulnérabilités du système d’information, il s’agit de trouver des solutions qui permettent de réduire le risque à un niveau acceptable. Ce chapitre présente quelques-unes de ces solutions.
3.1 Natures des actions possibles
Suivant l’étape à laquelle elles interviennent dans l’évolution de la menace, les actions en réduction de risque feront de la prévention, de la détection, de la correction ou de la récupération.
La prévention traite des mesures à prendre afin d’éviter un sinistre. Par exemple :
-
sensibilisation (vis-à-vis des utilisateurs légitimes) ;
-
dissuasion (exemple : par un tatouage couvrant le corps d’un message avec un filigrane électronique indélébile) ;
-
protection par cryptologie (art du secret : cacher le contenu d’un message), par stéganographie [H 5 870] (art de la dissimulation : cacher un message dans un autre message apparemment banal), par contrôle d’accès (filtrage, pare-feu) ou via des mesures structurelles (furtivité, cloisonnement) ;
-
désinformation (création de simulacres pour piéger les attaquants ou retarder leur avance avec des leurres ou « pots de miel » honeypots ).
La détection couvre les mesures prises afin de détecter un sinistre (exemple : via des systèmes de détection d’intrusion).
La correction s’efforce de limiter les pertes d’un sinistre déclaré via des mesures de confinement (exemple : mise en quarantaine, modification des règles de filtrage par le biais d’un système de prévention d’intrusion (IPS – Intrusion Prevention System ), et d’assurer la disponibilité du système en présence d’une attaque.
La récupération traite enfin des mesures à prendre...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Industrie du futur
(104 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Actions en réduction de risque
BIBLIOGRAPHIE
-
(1) - FOVINO (I.), MASERA (M.), DE CIAN (A.) - Integrating cyber attacks within fault trees. - Reliability Engineering and System Safety Elsevier, 94 (2009).
-
(2) - STEINER (M.), LIGGESMEYER (P.) - Combination of safety and security analysis. Finding Security Problems That Threaten The Safety of a System. - Workshop DECS (Dependable Embedded and Cyber-physical Systems) of the 32nd International Conference on Computer Safety, Reliability and Security (2013).
-
(3) - DESROCHES (A.), LEROY (A.), VALLEE (F.) - La gestion des risques : principes et pratiques. - Hermès Sciences, Lavoisier (2014).
-
(4) - VICKOFF (J.P.) - Méthode agile. Les meilleures pratiques. - Compréhension et mise en œuvre, QI (2009).
-
(5) - LEVESON (N.), YOUNG (W.) - An integrated approach to safety and security based on systems theory. Applying a more powerful new safety methodology to security risks. - Communications of the ACM, vol. 57, n° 2, fév. 2014.
-
...
DANS NOS BASES DOCUMENTAIRES
Fédération des professionnels des tests Intrusifs (FPTI) http://www.fpti.pro/
Club de la sécurité des systèmes d’information français (CLUSIF) http://www.clusif.asso.fr
Association française de l’audit et du conseil informatiques (AFAI) http://www.afai.asso.fr
Direction centrale de la sécurité des systèmes d’information (DCSSI) https://www.ssi.gouv.fr/
Information Systems Audit and Control Association (ISACA) http://www.isaca.org
HAUT DE PAGE
ISO 73 Guide ISO 73 (12-09), Management du risque – Vocabulaire – Principes directeurs pour l’utilisation dans les normes
ISO CEI 27001 (10-13), Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information –Exigences
ISO CEI 27002 (09-13), Technologies de l’information – Techniques de sécurité – Code de bonne pratique pour le management de la sécurité de l'information
ISO CEI 27003 (06-10), Technologies de l’information – Techniques de sécurité – Lignes directrices pour la mise en œuvre du système...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Industrie du futur
(104 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
