Sécurité des systèmes d’information

1. Sécurité des systèmes d’information Présenté par : M Khalid Safir Ministère des finances(Maroc) 21 Juin 2006

2. Enjeux de la sécurité Gouvernance SI et problématique du  « Risk Management » Référentiels et Méthodologies Sécurité du SI à la TGR Plan

3. Les enjeux de la sécurité de l’information

4. « Les systèmes d’information font désormais partie intégrante du fonctionnement des administrations publiques, de l’activité des entreprises, et du mode de vie des citoyens. Les services qu’ils assurent nous sont tout aussi indispensables que l’approvisionnement en eau ou en électricité. Pour l’Etat il s’agit d’un enjeu de souveraineté nationale. Il a en effet la responsabilité de garantir la sécurité de ses propres systèmes d’information, la continuité de fonctionnement des institutions et des infrastructures vitales pour les activités socioéconomiques du pays et la protection des entreprises et des citoyens. De leur côté, les entreprises doivent protéger de la concurrence et de la malveillance leur système d’information qui irrigue l’ensemble de leur patrimoine (propriété intellectuelle et savoir faire) et porte leur stratégie de développement. » Les enjeux de la sécurité de l’information

5. Conformité Limiter les Risques Productivité Créer la valeur Les enjeux de la sécurité de l’information

6. Humaine Matérielle Naturelle Intentionnelle Non intentionnelle • Personnel insuffisamment qualifié • Erreur humaine • Activité géologique • Conditions météorologiques Externe Interne • Piratage • Sabotage • Vol • Panne matériel • Coupure électrique • Incendie • Dysfonctionnement matériel ou logiciel Les enjeux de la sécurité de l’information … et les menaces évoluent Les menaces existent … • L’évolution des menaces est liée à la transformation des systèmes d’information (et des réglementations). • Elle concerne essentiellement la malveillance (menaces d’origine humaine et intentionnelle). • Quatre profils sont généralement définis : • Ludique (sans profit) • Cupide (pouvoir, argent) • Terroriste (idéologique) • Stratégique (économique, politique)

7. email propagation of malicious code DDoS attacks “stealth”/advanced scanning techniques increase in worms sophisticated command & control widespread attacks using NNTP to distribute attack widespread attacks on DNS infrastructure executable code attacks (against browsers) anti-forensic techniques Attack Sophistication automated widespread attacks home users targeted GUI intruder tools distributed attack tools hijacking sessions increase in wide-scale Trojan horse distribution Internet social engineering attacks widespread denial-of-service attacks Windows-based remote controllable Trojans (Back Orifice) techniques to analyze code for vulnerabilities without source code automated probes/scans packet spoofing Intruder Knowledge Les enjeux de la sécurité de l’information • Sophistication des attaques et compétences des attaquants depuis 20 ans 1990 2003 Source: CERT Carnegie Mellon University

8. Gouvernance SI et problématique du  « Risk Management »

9. A la lumière de l’évolution, aux cours de ces dernières années, de l’environnement économique dans lequel évolue les entreprises, la gouvernance d’entreprise est devenue un équilibre entre performance et conformité. Gouvernance SI et problématique du  « Risk Management » De la gouvernance d’entreprise à la gouvernance de la sécurité de l’information: • Dès lors, la gouvernance de la sécurité de l’information, dans le sillage de la gouvernance des système d’information, soutient à la fois la gouvernance institutionnelle en permettant de maîtriser et réduire les risques et la gouvernance d’activité en créant de la valeur et améliorant la performance.

10. La fonction sécurité se doit alors de prendre une nouvelle dimension, dépassant la simple «fonction de spécialistes». Il ne s’agit plus seulement de s’équiper de solutions de sécurité, mais de développer une véritable stratégie de sécurité à même : de supporter les enjeux métiers de l’entreprise, qui se traduisent principalement par l’ouverture de son système d’information à l’ensemble de ses partenaires et par les nouveaux modes de communication (mobilité), de répondre aux contraintes légales et réglementaires (SOX, loi sur la sécurité financière, protection des données personnelles …), de prendre en compte l’évolution de la complexité des menaces associée à l’évolution des technologies supportant son système d’information, et bien sûr de protéger son patrimoine informationnel et son infrastructure technique, au meilleur coût et en respectant la culture de l’entreprise. La gouvernance de la sécurité de l’information devient un processus de management fondée sur la gestion du risque et la mise en œuvre de bonnes pratiques. Gouvernance SI et problématique du  « Risk Management »

11. La gestion des risques doit permettre d’identifier les événements de sécurité susceptibles de porter atteinte aux objectifs métiers de l’entreprise. Gouvernance SI et problématique du  « Risk Management » • La gouvernance de la sécurité de l’information devient un processus de management fondé sur la gestion des risques

12. De la gouvernance aux opérations … de la responsabilité stratégique à la responsabilité opérationnelle Gouvernance Sensibilisation Gestion du risques Politiques et Directives Architecture et standards Opérations Définition et implémentation des systèmes Définition et implémentation des technologies Surveillance et conformité Périmètre Stratégique Périmètre Opérationnel Gouvernance SI et problématique du  « Risk Management »

13. Gouvernance SI et problématique du  « Risk Management » • Les fondations du cadre de gestion de la sécurité • Pilotage et Organisation • Analyse de risques • Etudes Plan • Mise en œuvre opérationnelle Etablir le cadre général et Identifier les risques Modéliser et Implémenter Do Act Améliorer • Etudes • Définition de standards techniques • Mise en œuvre opérationnelle • Sensibilisation Contrôler et Superviser Check • Audit et contrôle • Veille

14. Référentiels • La norme ISO 17799:2005 • La norme ISO 27001 • ITIL • COBIT Méthodes analyse des risques • EBIOS • MARION • MEHARI, • OCTAVE/USA • ISO 13335 Référentiels et méthodologies

15. Référentiels COBIT En synthèse: • COBIT sera utilisé dans le cadre de l’amélioration globale des processus IT (métrique) • COBIT et ISO 17799 peuvent être utilisés dans le cadre d’un audit afin de déterminer les vulnérabilités et le niveau de sécurité. • ITIL peut être utilisé pour améliorer les processus opérationnels IT ainsi que l’ISO 17799 / ISO 27001 dans une certaine mesure pour les processus « sécurité » et la sélection de contrôles.

16. Référentiels • ISO 17799:2005

17. Référentiels ITIL: Information Technology Infrastructure Library Thèmes liés à la sécurité en fonction des processus ITIL : Access Provisioning Protection Compliance SLA Management, Service Desk, Availability Management, Financial Management Authentication Configuration Management, SLA Management, Change Management, Service Desk, Release Management, Financial Mgmt Incident Management, Service Desk, Problem Management, Configuration Management, Change Management, Continuity Management Service Desk, SLA Management, Financial Management Continuity Management, SLA Management, Change Management, Release Management

18. Gérer les risques de sécurité : analyser et évaluer les menaces, impacts et vulnérabilités auxquels les actifs informationnels sont exposés et la probabilité de leur survenance. Déterminer les mesures de sécurité pouvant être implantées pour réduire les risques et leur impact à un coût acceptable. Méthodologies de réduction des risques

19. Référentiels et méthodologies • EBIOS: Méthodologie d’identification des menaces et des vulnérabilités, analyse de risques, spécification des exigences de la sécurité • MARION: • MEHARI: MEthode harmonisée d’Analyse des Risques • OCTAVE/USA : • ISO 13335 :

20. Référentiel Sécurité du Ministère des Finances (CSSI : Cadre Stratégique des Systèmes d’Information) Audit DRPP en l’an 2000 (plan de continuité) Audit dans le cadre du SDSIC Projet audit sécurité globale TGR « SI, Biens et Personnes » Sécurité SI à la TGR

21. Sécurité SI à la TGRPourquoi sécuriser le SI? Porter atteinte à l’intégrité des informations de la TGR L’indisponibilité des services offerts par la TGR • L’intégrité des données gérées par la TGR : • - Virements entre comptables • - Centralisation comptables • L’intégrité des échanges avec les partenaires :  • Ministère des finances ( DB, DGI, ADII, DTFE..); • Ordonnateurs  et sous ordonnateurs ( Ministères, collectivités locales) • Institutionnels (Banque centrale,Poste du Maroc,CDG…) • Banques et établissements de crédit. • Le paiement des commandes de l’Etat et des collectivités locales ; • La paie du personnel de l’Etat ; • Le recouvrement des impôts • La gestion des comptes de dépôt au Trésor • Dette extérieure et intérieure ….disponibilité de l’information ….intégrité de l’information. Menaces Divulgation des informations confidentielles. Incapacité de réunir les éléments probants et de disposer des preuves. • Divulgation des données confidentielles : • Rémunération du personnel de l’Etat; • Impôts des redevables; • Les dépôts de la clientèle. Audit et inspection Contrôle interne ….. • Divulgation d’informations sensibles : • Budget de certains départements ; ADN.. …Traçabilité de l’information ...Confidentialité de l’information

22. Norme: BS 7799 Recommandations: 1. Politique de sécurité 2. Sécurité de l’organisation Comité de pilotage : Responsable de la Sécurité du Système d’Information (RSSI) : Correspondants sécurité : 3. Classification et contrôle des actifs 4. Sécurité du personnel 5. Sécurité physique et sécurité de l’environnement 6. Protection du réseau 7. Contrôle des accès 8. Développement et maintenance des applications 9. Gestion de la continuité des activités 10. Conformité Sécurité SI à la TGRCSI

23. L ’association sensibilité/ risque peut provoquer sinistre ayant un impact +/- fort elle est supportée par un système qui présente des vulnérabilités Sécurité SI à la TGR sa valeur, est plus au moins sensible elle est exposée à des menaces naturelles et humaines auquel on a besoin de répondre par des mesures de prévention et réaction l'association de ces éléments constitue le risque l'information est une part essentielle du patrimoine TGR

24. La rosace de sécurité: Sécurité SI à la TGRAudit dans le cadre du SDSIC

25. Recommandations : A très court terme Nommer un responsable de la sécurité du système d’information de la Trésorerie Générale Sensibiliser l’ensemble du management de la Trésorerie Générale à la sécurité. A court terme Formaliser la mission (rôle et responsabilités) des propriétaires.Identifier les propriétaires de toutes les applications. Définir les critères de classification des informations.Former les propriétaires d’applications à leurs missions. Formaliser les procédures opérationnelles d’intégration et de contrôle des spécifications de sécurité dans les applications des projets schéma directeur. Lancer l’étude de la vitalité des applications de la Trésorerie Générale.Définir un plan glissant sur 2 ans pour la mise en œuvre des recommandations. Sécurité SI à la TGRAudit dans le cadre du SDSIC

26. Sécurité SI à la TGRProjet audit sécurité globale de la TGR: Avril Mai Juin Juillet Août Septembre … Phase 1 : Audit de sécurité Prise de connaissance Audit SI Audit Biens Audit Personnes Recommandations et plan d’action Phase 2 Organisation de la sécurité Phase 3 Politique de sécurité Phase 4 Assistance à Maîtrise d’Ouvrage

27. Référentiel: BS7799 Méthode d’analyse des risques: Ebios Sécurité SI à la TGR Projet audit sécurité globale de la TGR:

28. Merci pour Votre attention