Sensibilisation la SSI

1
Sensibilisation à la SSI

• Peut-on se passer des directions opérationnelles ?

2
Programme de la matinée

• Introduction du sujet
• Un outil
• Echange

3
Pourquoi sensibiliser la Direction Générale ?
4
Pourquoi sensibiliser la Direction Générale ?

• Une DSI nest pas le support idéal pour un RSSI
  souhaitant mettre en uvre une approche
   protection de linformation .
• Une DSI na pas de budget pour les activités
  danalyse des risques des Directions
  Opérationnelles
• Un RSSI hiérarchiquement rattaché à un DSI na
  pas la liberté suffisante pour conduire son action

5
Pourquoi sensibiliser la Direction Générale ?

• Positionnement du RSSI hors de la DSI pour lui
  offrir
• la légitimité de son action auprès des Directions
  de lentreprise
• lindépendance indispensable à ses activités
• son propre budget

6
Qui est concerné ?
7
Qui est concerné ?

• La Direction Générale
• Les Directions Opérationnelles et Support

8
Comment sy prendre ?
9
Trois angles

• Ce quil risque darriver si rien nest fait
• Ce que cela rapporte (RoI de la SSI)
• La mise en conformité par rapport à une attente
  du marché ou dun partenaire

10
Ce quil risque darriver

• Proposer un bilan des risques après un audit de
  vulnérabilités
• bon moyen de sensibilisation mais,
• souvent opposable / discutable
• peut avoir leffet inverse de celui recherché

11
Return On Security Investment

• La DSI  consomme  des capitaux et des
  dettesmais la DSI ne génère pas de résultat
  économique gt ROI 0 !!?

12
Return On Security Investment

• Définitions1
• ROSI (bénéfices-coûts) / coûts
• Temps nécessaire pour récupérer la mise de fonds
  initiale dun investissement
• Déterminer a priori la solution de sécurité
  optimale dun projet ou dun système
• 1 source CLUSIF  ROSI Quelques clés pour
  argumenter 

13
Return On Security Investment

• Coûts
• Ponctuels investissements, déploiement,
  incidents
• Récurrents exploitation, administration,
  maintenance, supervision
• Tangibles perte de productivité, perte de
  revenus, coûts dassurance,
• Intangibles perte de réputation, perte de part
  de marché, non conformité à la réglementation,

14
Return On Security Investment

• Bénéfices
• Technologiques coûts dinfrastructure (VPN),
  réduction des incidents (anti-virus), qualité de
  service
• Maîtrise des risques
• Conformité réglementaires ou normative
• Réputation sur le marché

15
Mise en conformité

• Référentiel tels que
• ISO 17799, 27001
• ISO 15408

16
Deux atouts

• Disposer dun allier dans une Direction
  Opérationnelle
• Limiter à un vecteur de sécurité (Disponibilité
  par exemple)

17
Un  outil 

• Quelques idées pour aider ceux qui auraient
  besoin de préparer une séance de sensibilisation
  à la SSI.

18
Peut-on se passer des directions opérationnelles
pour sensibiliser la Direction Générale?

• Comment avez-vous fait ?
• Quels ont été les freins
• Pourquoi êtes vous rattaché à la DSI ?