Bibliographie & annexes
Présentation
En anglais
RÉSUMÉ
Les systèmes d’information sont omniprésents de nos jours dans toutes les entreprises. La sécurité informatique de ces systèmes doit les protéger contre de nombreuses menaces de diverses origines. L’analyse de risques permet de déterminer, en fonction de la vulnérabilité du système, sa criticité pour chacune de ces menaces. Elle permet ensuite de proposer les solutions nécessaires et suffisantes pour réduire les risques à un niveau résiduel acceptable. Après une introduction sur les risques informatiques en général, cet article se préoccupe plus particulièrement des systèmes d’information et présente les méthodes d’analyse de risques et quelques solutions en réduction de risques. En conclusion, un panorama des principales normes employées en cybersécurité est donné.
Lire cet article issu d'une ressource documentaire complète, actualisée et validée par des comités scientifiques.
Lire l’articleABSTRACT
Information systems are today currently used in almost all companies. The software security of these systems must protect them against numerous threats of various origins. Risk analysis can determine, depending on the system's vulnerability, each of its threats criticality. It allows then to propose necessary and sufficient solutions to mitigate the risks at an acceptable level. This paper introduces first the notion of software risk and focuses then on risk analysis methods used for information systems and on some solutions of risk mitigation. In conclusion an overview of the main standards used for cybersecurity is given.
Auteur(s)
-
Frédérique VALLÉE : Agrégée de mathématiques - Docteur en statistiques - Expert en sûreté de fonctionnement des systèmes programmés - Directrice associée de la société All4tec, Massy, France
INTRODUCTION
La sécurité d’un système correspond à la non-occurrence d’événements pouvant diminuer ou porter atteinte à l’intégrité du système et de son environnement, pendant toute la durée de l’activité du système, que celle-ci soit réussie, dégradée ou échouée. La sécurité couvre les événements de natures aléatoire (danger) ou volontaire (menace).
Depuis plus d’un quart de siècle, pratiquement tous les secteurs d’activité, tant industriels que de services, doivent disposer de systèmes à haut niveau de sécurité. Ces systèmes, qui doivent par ailleurs être développés au moindre coût, sont souvent aux frontières de la connaissance technologique et disposent de peu de retour d’expérience. L’atteinte de ces deux performances, parfois antinomiques, impose non seulement l’utilisation d’outils spécifiques, mais aussi la mise en place rigoureuse d’une organisation adaptée aux objectifs recherchés.
En parallèle, le logiciel a peu à peu pris une place prépondérante dans les systèmes embarqués ou dans les systèmes dits de contrôle-commande : c’est le logiciel qui démarre ou freine les automobiles, c’est lui qui régule la distribution d’électricité dans le réseau national, c’est encore lui qui répartit les appels dans les grands centraux téléphoniques ou qui ordonnance la fabrication automatisée dans les usines. On envisage même de lui confier intégralement la conduite des véhicules autonomes.
Le logiciel est également, depuis l’avènement de la bureautique, au cœur du système d’information dont aucune entreprise ne pourrait plus se passer maintenant. Ce système lui permet aujourd’hui de gérer harmonieusement les clients, les achats, la production, la comptabilité, le personnel, etc. Ces dernières années, la généralisation d’Internet a encore accentué et complexifié cette relation de dépendance entre l’entreprise et son système d’information.
Que leur fonction principale soit de nature administrative ou technique, les systèmes programmés peuvent, s’ils ne fonctionnent pas correctement ou s’ils sont insuffisamment protégés, provoquer des catastrophes d’ordre humain, matériel ou économique, de plus ou moins grande envergure.
La technologie informatique étant assez différente des autres technologies, il est rapidement apparu indispensable de disposer de techniques spécifiques, adaptées à la gestion des risques de ces systèmes.
Cet article fait notamment la différence entre les enjeux et les méthodes utilisées pour les systèmes d’information ou pour les systèmes programmés scientifiques et techniques. Il développe ensuite plus particulièrement les techniques employées pour les systèmes d’information, les aspects liés aux systèmes programmés scientifiques et techniques étant traités dans un autre article [SE 2 501].
Les concepts généraux relatifs à la sécurité et à la gestion des risques dans les entreprises sont bien introduits dans les articles « Importance de la sécurité dans les entreprises » [AG 4 600] et « Sécurité et gestion des risques » [SE 12].
L'expertise technique et scientifique de référence
KEYWORDS
Information technology | Risk analysis | informations systems security | information technology risks
VERSIONS
- Version archivée 1 de oct. 2003 par Frédérique VALLÉE
- Version archivée 2 de juil. 2010 par Frédérique VALLÉE
- Version courante de févr. 2024 par Frédérique VALLÉE
DOI (Digital Object Identifier)
CET ARTICLE SE TROUVE ÉGALEMENT DANS :
Accueil > Ressources documentaires > Archives > [Archives] Sécurité et gestion des risques > Sécurité informatique pour la gestion des risques - Application aux systèmes d’information > Aspects normatifs
Accueil > Ressources documentaires > Archives > [Archives] Sécurité des systèmes d'information > Sécurité informatique pour la gestion des risques - Application aux systèmes d’information > Aspects normatifs
Cet article fait partie de l’offre
Industrie du futur
(104 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Présentation
Conclusion
En anglais
4. Aspects normatifs
Dans le domaine de la sécurité informatique, comme c’est le cas pour toutes les activités industrielles innovantes, les normes dédiées ont été développées en parallèle avec la mise au point dans la pratique et ont évolué en s’influençant mutuellement : le retour d’expérience émanant du terrain a influencé les normes, mais, également, la normalisation a facilité le passage à la pratique. Actuellement, cette évolution est toujours en cours puisque le domaine n’est pas encore techniquement stabilisé.
En ce qui concerne la cybersécurité, la norme ISO 27001 issue de la BS 7799 a vu le jour en 2005, et permet de faire certifier un « Système de management de la sécurité de l’information » (SMSI). La famille ISO 2700x s’est étoffée en juin 2009 de la norme ISO 27005 qui propose une méthodologie pour mener à bien l’identification et l’estimation des risques pesant sur le capital informationnel et en 2013 de la norme ISO 27032 qui propose des lignes directrices pour la cybersécurité.
Les normes Common Criteria (ISO 15408, ISO 13335) ou des variantes parmi les méthodes MEHARI, EBIOS, MARION, sont tout à fait indiquées et s’adaptent à compléter la méthodologie décrite par la norme 27005.
Dans ces normes, les systèmes sont classés par niveau de criticité (ou EAL). Les pratiques à mettre en œuvre pour atteindre les exigences de sécurité de chaque niveau sont ensuite décrites.
En ce qui concerne la certification à proprement parler des logiciels, il n’existe pas grand chose à ce jour.
À ce propos, rappelons que l’on peut distinguer quatre rôles dans le cadre d’une évaluation de sécurité :
-
le commanditaire est celui qui demande et finance l’évaluation ;
-
le développeur est celui qui réalise le système et qui fournit les différents éléments de la cible d’évaluation ;
-
l’évaluateur est celui qui évalue le système au regard des critères de la norme ;
-
le certificateur est celui qui donne l’assurance que l’évaluation est correcte et conforme aux principes de la norme.
En termes de certification de sécurité informatique, citons principalement la norme BS 7799 et la norme ISO 27001 évoquées...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Industrie du futur
(104 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
Aspects normatifs
BIBLIOGRAPHIE
-
(1) - FOVINO (I.), MASERA (M.), DE CIAN (A.) - Integrating cyber attacks within fault trees. - Reliability Engineering and System Safety Elsevier, 94 (2009).
-
(2) - STEINER (M.), LIGGESMEYER (P.) - Combination of safety and security analysis. Finding Security Problems That Threaten The Safety of a System. - Workshop DECS (Dependable Embedded and Cyber-physical Systems) of the 32nd International Conference on Computer Safety, Reliability and Security (2013).
-
(3) - DESROCHES (A.), LEROY (A.), VALLEE (F.) - La gestion des risques : principes et pratiques. - Hermès Sciences, Lavoisier (2014).
-
(4) - VICKOFF (J.P.) - Méthode agile. Les meilleures pratiques. - Compréhension et mise en œuvre, QI (2009).
-
(5) - LEVESON (N.), YOUNG (W.) - An integrated approach to safety and security based on systems theory. Applying a more powerful new safety methodology to security risks. - Communications of the ACM, vol. 57, n° 2, fév. 2014.
-
...
DANS NOS BASES DOCUMENTAIRES
Fédération des professionnels des tests Intrusifs (FPTI) http://www.fpti.pro/
Club de la sécurité des systèmes d’information français (CLUSIF) http://www.clusif.asso.fr
Association française de l’audit et du conseil informatiques (AFAI) http://www.afai.asso.fr
Direction centrale de la sécurité des systèmes d’information (DCSSI) https://www.ssi.gouv.fr/
Information Systems Audit and Control Association (ISACA) http://www.isaca.org
HAUT DE PAGE
ISO 73 Guide ISO 73 (12-09), Management du risque – Vocabulaire – Principes directeurs pour l’utilisation dans les normes
ISO CEI 27001 (10-13), Technologies de l’information – Techniques de sécurité – Systèmes de management de la sécurité de l’information –Exigences
ISO CEI 27002 (09-13), Technologies de l’information – Techniques de sécurité – Code de bonne pratique pour le management de la sécurité de l'information
ISO CEI 27003 (06-10), Technologies de l’information – Techniques de sécurité – Lignes directrices pour la mise en œuvre du système...
L'expertise technique et scientifique de référence
Cet article fait partie de l’offre
Industrie du futur
(104 articles en ce moment)
Cette offre vous donne accès à :
Une base complète d’articles
Actualisée et enrichie d’articles validés par nos comités scientifiques
Des services
Un ensemble d'outils exclusifs en complément des ressources
Un Parcours Pratique
Opérationnel et didactique, pour garantir l'acquisition des compétences transverses
Doc & Quiz
Des articles interactifs avec des quiz, pour une lecture constructive
