Gestion des risques et ISO/IEC 27001 (SMSI)

Informatique de gestion · Master 1

Triade CID, analyse des risques, mesures de sécurité et système de management ISO 27001.

Introduction

La sécurité de l'information vise à protéger trois propriétés : la confidentialité (seules les personnes autorisées accèdent aux données), l'intégrité (les données ne sont pas altérées) et la disponibilité (les données sont accessibles quand on en a besoin). On parle de triade CID. Les mesures ne sont jamais choisies au hasard : elles découlent d'une analyse de risques.

Un risque combine une menace, la vulnérabilité d'un actif et l'impact potentiel. On l'évalue par sa vraisemblance et sa gravité, puis on décide de le réduire, de l'éviter, de le transférer (assurance, sous-traitance) ou de l'accepter en connaissance de cause. Cette démarche est documentée et revue régulièrement.

La norme ISO/IEC 27001 spécifie les exigences d'un système de management de la sécurité de l'information (SMSI) : périmètre, politique, appréciation et traitement des risques, mesures de sécurité, audits internes, revue de direction et amélioration continue (cycle Planifier, Faire, Vérifier, Agir). Une organisation peut se faire certifier par un organisme indépendant. En Suisse, la loi sur la protection des données impose en outre des mesures techniques et organisationnelles adaptées au risque, et la loi sur la sécurité de l'information au sein de la Confédération encadre l'administration fédérale.

Objectifs d'apprentissage

Définir confidentialité, intégrité et disponibilité avec des exemples
Conduire une appréciation simple des risques
Choisir parmi les options de traitement du risque
Décrire les éléments d'un SMSI selon ISO/IEC 27001
Relier gestion des risques et exigences de protection des données

Concepts clés

Triade CID: Confidentialité, intégrité, disponibilité : les trois objectifs de protection de l'information.
Risque: Combinaison de la vraisemblance d'une menace exploitant une vulnérabilité et de l'impact sur un actif.
Traitement du risque: Réduire par des mesures, éviter en supprimant l'activité, transférer à un tiers, ou accepter formellement.
SMSI: Système de management qui organise politique, rôles, risques, mesures, audits et amélioration continue.
Déclaration d'applicabilité: Document de la norme qui liste les mesures retenues ou écartées, avec leur justification.

Conclusion

Gérer la sécurité, c'est gérer des risques : on ne protège pas tout de la même manière ni au même coût. Un SMSI donne un cadre structuré et vérifiable pour décider, mettre en oeuvre et améliorer.

Le respect des exigences légales, notamment en matière de protection des données, s'intègre naturellement à cette démarche.

Cartes

Que signifie CID ?: Confidentialité, intégrité, disponibilité.
Donnez un exemple d'atteinte à l'intégrité.: Une modification non autorisée d'un montant dans une base de données comptable.
Donnez un exemple d'atteinte à la disponibilité.: Une attaque par déni de service ou une panne qui rend un service inaccessible.
Comment évalue-t-on un risque ?: En estimant la vraisemblance de l'événement et la gravité de son impact, souvent dans une matrice.
Quelles sont les options de traitement d'un risque ?: Réduire, éviter, transférer ou accepter.
Qu'est-ce qu'un actif ?: Tout ce qui a de la valeur pour l'organisation : données, systèmes, personnes, locaux, réputation.
Que spécifie ISO/IEC 27001 ?: Les exigences pour établir, mettre en oeuvre, maintenir et améliorer un SMSI.
Que signifie la certification ISO 27001 ?: Qu'un organisme indépendant a vérifié que le SMSI répond aux exigences de la norme sur un périmètre défini.
Que contient la déclaration d'applicabilité ?: La liste des mesures de sécurité retenues ou écartées avec justification.
Pourquoi le SMSI suit-il un cycle d'amélioration continue ?: Parce que les menaces, les systèmes et l'organisation évoluent ; risques et mesures doivent être revus.
Quel lien avec la loi sur la protection des données ?: Elle impose des mesures techniques et organisationnelles appropriées au risque pour les données personnelles.

Glossaire

Actif: Ressource ayant de la valeur pour l'organisation.
Menace: Cause potentielle d'un incident indésirable.
Vulnérabilité: Faiblesse pouvant être exploitée par une menace.
SMSI: Système de management de la sécurité de l'information.
Appétence au risque: Niveau de risque que l'organisation accepte de porter.
Risque résiduel: Risque qui subsiste après application des mesures.