Activité 4.2 – Formalisation des objectifs de sécurité

Liens pour Naviguer dans ce module

Accueil  Activité 4.1  Activité 4.2  Activité 4.3  Module 5  Exercices

Cette activité a pour but de déterminer les objectifs de sécurité permettant de couvrir les risques, conformément à la détermination des niveaux de sécurité. La complétude de la couverture de l'ensemble des risques par les objectifs de sécurité, en prenant en compte les hypothèses, règles de sécurité et contraintes, devra être démontrée. Cette activité contribue au traitement des risques dans le processus de gestion des risques.

Préalables

Données en entrée

  • Liste des hypothèses.
  • Liste des règles de sécurité.
  • Liste des contraintes.
  • Liste des références réglementaires.
  • Choix du mode d’exploitation de sécurité.
  • Liste hiérarchisée des risques.

Actions

  • Lister les objectifs de sécurité.
  • Justifier la complétude de la couverture, en vérifiant la compatibilité avec les contraintes pesant sur l'organisme et le système cible :
              o des risques,
              o des hypothèses (et les enjeux),
              o des règles de sécurité (et les références réglementaires),
  • Classer éventuellement les objectifs de sécurité en deux catégories :
              o objectifs de sécurité portant sur le système cible,
              o objectifs de sécurité portant sur l'environnement du système cible.
  • Mettre en évidence les défauts de couvertures (risques résiduels) avec des justifications.

Données en sortie

  • Liste des objectifs de sécurité.
  • Liste des risques résiduels (défaut de couverture par les objectifs de sécurité) et justifications.

Conseils pratiques

  • Il est possible d'utiliser les objectifs de sécurité génériques et le tableau de détermination des objectifs et exigences de sécurité du guide "Outillage pour le traitement des risques SSI" pour lister les objectifs de sécurité couvrant les vulnérabilités.
  • Les objectifs de sécurité pourront constituer un cahier des charges de sécurité ouvert en terme de solutions de sécurité permettant de couvrir les risques.

L'activité 4.2

Concepts principaux

Lister les objectifs de sécurité

Les objectifs de sécurité doivent couvrir la totalité des risques qu'il a été décidé de couvrir, tout en prenant en compte les hypothèses, les règles de sécurité et les différents éléments du contexte (les contraintes et enjeux notamment). Ils doivent être cohérents avec l'objectif opérationnel ou l'objectif “produit” déclaré du système cible et toute connaissance sur son environnement physique.

Les objectifs de sécurité consistent généralement en l'expression de la volonté de couvrir les risques par la maîtrise d’ouvrage, sans préciser les solutions pour y parvenir.

Ils constitueront ainsi un cahier des charges complet, ouvert (ne préjugeant pas des solutions à adopter) et parfaitement adapté à la problématique de l'organisme.

Les composantes du risque que les objectifs de sécurité peuvent traiter sont les suivantes :

  • l'origine des menaces (éléments menaçants et méthodes d'attaque),
  • les vulnérabilités exploitées (il est possible d'utiliser les objectifs de sécurité génériques et le tableau de détermination des objectifs et exigences de sécurité du guide "Outillage pour le traitement des risques SSI" pour lister les objectifs de sécurité couvrant les vulnérabilités),
  • les conséquences (éléments essentiels touchés et impacts sur l'organisme).

Il est proposé d'adopter la nomenclature suivante pour les objectifs de sécurité : O.xx (O pour Objectif technique et xx étant le nom de l'objectif de sécurité).

Exemples :
O.INC-ORIGINE Des mesures doivent être prises pour éviter la naissance d'un incendie
O.INC-CSQ Des mesures doivent être prises pour réduire l'effet d'un incendie sur les éléments essentiels et en termes de pertes financières
O.INC-COHERENCE Le site du cabinet d'études doit disposer de mesures incendie cohérentes avec le système informatique
O.INC-ORGA L'organisation du cabinet d'études doit comprendre des consignes et une organisation sécurité incendie
O.TELECOM-ORIGINE Des mesures doivent être prises pour éviter les dysfonctionnements des réseaux externes
O.TELECOM-CSQ Des mesures doivent être prises pour réduire l'effet des dysfonctionnements des réseaux externes sur les éléments essentiels et en termes de perturbation du fonctionnement interne
O.TELECOM

 

 Les dysfonctionnements des réseaux externes ne doivent pas gêner l'utilisation de Internet par les utilisateurs du cabinet d'études

Justifier la complétude de la couverture

Les objectifs de sécurité déterminés précédemment ont pour but de contrer ou minimiser les risques pesant sur le système cible et de prendre en compte les hypothèses et règles de sécurité.

Les personnes réalisant l'étude vont maintenant devoir s'assurer qu'ils sont nécessaires et suffisants pour couvrir l'ensemble des risques, hypothèses et règles de sécurité identifiés.

Une première justification consiste à démontrer que les objectifs de sécurité :

  • couvrent suffisamment tous les risques,
  • couvrent les règles de sécurité (et les références réglementaires),
  • sont pertinents vis-à-vis des hypothèses (et les enjeux du système cible).

Il convient pour chaque objectif de sécurité de vérifier la compatibilité avec les contraintes pesant sur l'organisme et sur le système cible.

La couverture peut être synthétisée par une valeur selon l'échelle suivante.

Une seconde justification consiste à démontrer que chaque objectif de sécurité répond au moins à un risque, une règle de sécurité (ou une référence réglementaire) ou une hypothèse (ou un enjeu du système cible ou au mode d'exploitation de sécurité).

Exemple.

Classer éventuellement les objectifs de sécurité en deux catégories

La détermination des objectifs de sécurité a pour but de traiter toutes les préoccupations relatives à la sécurité et de déclarer les aspects de sécurité qui sont :

  • soit pris en compte directement par le système cible (ce sont les objectifs de sécurité portant sur le système cible),
  • soit pris en compte par son environnement (ce sont les objectifs de sécurité portant sur l'environnement du système cible).

Elle est basée sur une analyse des impacts induits sur le développement (crédibilité technique, calendaire…), la politique de sécurité (conformité avec les éléments de politique générale), les facteurs économiques (coûts induits par la prise en compte de mesures techniques ou organisationnelles) et les décisions d'accepter les risques (risques dont l'opportunité des menaces est négligeable ou encore risques pour lesquels des mesures externes, telle que la souscription à des polices d'assurance, peuvent être prises).

Mettre en évidence les défauts de couvertures avec des justifications

Le groupe de travail peut décider de ne pas couvrir parfaitement les risques, règles de sécurité ou hypothèses par les objectifs de sécurité. Il convient alors de le mettre en évidence et de justifier dûment l'incomplétude car ceci introduit des risques résiduels pour l'organisme.

Exemples :

  • Un membre du personnel divulgue des renseignements à un concurrent dans le cadre d'un marché du fait de la facilité d'échanger des informations par le biais des matériels, logiciels et réseaux du cabinet d'études, et porte ainsi atteinte à la confidentialité d'informations sensibles (devis, dossier de contentieux…).
  • Un membre du personnel divulgue des renseignements à un concurrent dans le cadre d'un marché du fait de l'absence de procédures de contrôle de l'utilisation des outils de communication, et porte ainsi atteinte à la confidentialité d'informations sensibles (devis, dossier de contentieux…).
Les étudiants devraient compléter l'exercice 10.


Activité 4.3

Liens pour Naviguer dans ce module

Accueil  Activité 4.1  Activité 4.2  Activité 4.3  Module 5  Exercices

mise à jour: 27/05/2008 09:01:30 AM -0400