Sécurité

• Contenu


  • Introduction
  • Menaces, risques et attaquants
  • Protection
  • Services et mécanismes de sécurité
  • Critères d'évaluation
  • Métiers de la sécurité
• But


  Comprendre le fonctionnement, les usages d'outils de sécurité pour : une machine, un réseau local, l'accès à un réseau externe, la vie privée
• Avec les notions pour comprendre les outils : introduction à la sécurité, principes de cryptologie
• Augmentation des échanges sur Internet : d'information, commerciaux
• Modification des habitudes de travail : plus de communications, plus de mobilité, plus de sous-traitants, recours aux clouds
• Donc moins de contrôle de l'information
• Hier


  Centralisé, échanges papier, pas d'accès distants
• Aujourd'hui


  Distribué, soit sur plusieurs sites, soit localement, externalisé (cloud de stockage ou de service), accès distants, multiplication du partenariat
• De + en + de dépendance à l'informatique : SI devient l'épine dorsale des entreprises; 98% des ents. avouent une dépendance modérée ou forte

  
• Conséquences : Augmentation des communications, donc des risques : fraudes diverses, piratage
• Dépenses cybersécurité

  
• Coût cybercrime

  
• 2 à 10$ prix moyen de la vente de numéros de cartes bancaires selon les payes et les plafonds
• 5$ tarif de location d'1h de botnet pour saturer un site Internet
• 2399 $ le tarif du malware Citadel permettant d'intercepter des numéros de cartes bancaires (et un abonnement mensuel de 125 $)
• Sécurité des données


  Celles contenues au sein d'un système; (traité par la crypto et la théorie des codes)
• Sécurité des réseaux


  Pour les données qui transitent entre des systèmes, dans un environnement distribué ou par un réseau
• On peut y ajouter la sécurité des infrastructures, des applications, du cloud et de l'IoT
• Panorama des menaces


  • Accidents naturels : incendie, dégâts des eaux, etc.
  • Perte des services essentiels : coupure courant, réseau, rupture de stocks
  • Erreurs : tous les stades de l'activité : analyse, conception, réalisation, mise en œuvre, utilisation
  • Malveillance : vol, vandalisme, fuite d'informations
• Top 5 des menaces en 2020

  • DNS hijacking (→ MiTM)
  • Rançongiciels
  • Remote Access Trojan
  • Office 365 Phishing
  • Digital Extorsion Scams
• Incidents


  • 58% erreurs de conceptions logicielle ou procédures
  • 47% perte services essentiels (EDF, comms...)
  • 46% erreurs utilisation
  • 44% vols ou disparitions
  • 37% pannes internes (indisponibilité système)
  • 36% infection virale
  • 8% catastrophes naturelles

  
• Risque de sécurité


  La probabilité qu'une menace donnée tire parti des vulnérabilités d'un actif ou d'un groupe d'actifs et cause dès lors du tort à l'organisation
• Risque


  Menace x Vulnérablité [x Coût]
• Menace


  Ce contre quoi on veut se défendre (DoS,...)
• Vulnérabilité


  Faiblesse connue de l'architecture de sécurité (trop de points d'accès, faible authentification,...)
• Coût


  Impact financier
• Connaitre les vulnérabilités permet de déterminer la surface d'attaque

  
• Pertes en Me : 35% des incidents dus à des fraudes des employés
• 800ke : coût moyen d'une violation de sécurité
• 330 ke pour une entreprise de taille intermédiaire
• 1,3 Me pour une grande entreprise
• 9 semaines pour réparer les dégâts
• Préconisation : 5% du budget pour la cybersécurité

  
• Méthodes d'estimation du risque

  Qualitative : utilise une échelle d'attributs qualitatifs pour décrire l'amplitude des conséquences et la proba de l'événement. Quantitative : utilise une échelle de valeurs numériques
• Classification des risques


  • Nul : risque jugé non significatif
  • Faible : événement génèrant une nuisance organisationnelle, des pertes financières faibles, peu gênant pour l'utilisateur
  • Sensible : événement occasionnant des pertes financières significatives, nuisible à l'image, gênante pour l'utilisateur
  • Critique : événement occasionnant des pertes financières innacceptables, une perte de clientèle
  • Stratégique : événement susceptible d'entraîner un arrêt immédiat d'une activité de l'entreprise
• Matrice des risques


  Elevé : apporter des corrections au plus vite

  Modéré : appliquer des mesures dans un délai raisonnable

  Faible : accepter le risque ou le réduire
• Etude: 14% des cibles donnent leurs identifiants. probabilité : faible, gravité : élévée, Décision : risque modéré
• Gestion des risques


  Consiste en la réalisation et le maintien à jour : de l'inventaire des actifs, de l'expression des besoins de sécurité de ces actifs, de l'analyse des risques pesant sur les actifs, du traitement de ces risques pour les réduire
• Des méthodes (MEHARI, EBIOS, OCTAVE) guident la gestion du risque
• Informer et la sensibiliser les personnels (chartes, lettre de sécurité, RSS RSSI...)