SCURIT DES SYTMES DINFORMATION

1
SÉCURITÉ DES SYTÈMES DINFORMATION

• FICOME
• S. de Maupeou
• www.certa.ssi.gouv.fr

2
Un espace social....

• Dans un réseau chacun est acteur de sa sécurité
  et participe à la sécurité des autres.
• Les systèmes dinformation prolongent directement
  lesprit humain et amplifient les capacités des
  organisations.
• Économie des risques ou le choix de ce qui est
  faisable sans vérification formalisée.
• La société de linformation sest développée sur
  des protocoles Internet fragiles
  techniquementinnovation et sécurité

3
Rappels...sécuriser l'information c'est..

• Réaliser des opérations sur l'information
  numérique qui protègent et défendent cette
  information et les systèmes d'information en
  assurant leur
• disponibilité
• intégrité
• Confidentialité (dont lauthentification)
• Cela comprend les moyens de restaurer les
  systèmes d'information en y incorporant
• la détection des agressions
• des capacités de traitement et de réaction
• une politique de mise à jour des applications

4
Pas simplement des technos
5
Organisation de la SSI en France
PREMIER MINISTRE
MINISTRES
SECRÉTARIAT GÉNÉRAL DE LA DÉFENSE NATIONALE
Economie Finances Industrie
Justice
Technologies et transferts sensibles
Direction centrale de la sécurité des systèmes
dinformation
Protection et sécurité de lÉtat
Intérieur
Education nationale
CIEEMG Études sur les exportations des
matériels de guerre
CIPRS Points et réseaux sensibles
HAUTS FONCTIONNAIRES DE DÉFENSE
CISSI Sécurité des systèmes dinformation
6
Le rôle de lEtat?
Centre opérationnel (COSSI)
7
Organisation du COSSI
COSSI
Unité Conduite Synthèse CEVECS
Traitement dincidents Sources ouvertes
spécialisées

• Information
• Prévention
• Protection
• Alerte

• Partenaires
• FIRST
• TF-CSIRT
• CERT gouvernementaux
• CERT français

8
Je nai rien de secret !!

• Une machine sur Internet cest potentiellement
  
• une cible
• un moyen dattaque
• une tribune (désinformation/déstabilisation)
• des ressources disponibles
• un hébergeur de site illégal
• cyber-terrorisme
• contrefaçon (warez)
• filoutage (phishing)
• pédophilie
• racisme
• .

9
SCADA.

• Système de contrôle permettant dassurer
  lexploitation, la supervision et la
  configuration des processus industriels....
• Énergie, transport, gestion de leau, etc
• Potentiellement vecteur, cible ou moyen de
  cyber-terrorisme
• Systèmes propriétaires et achats sur
  étagères.logique économique et principe de
  précaution
• Intégration de la sécurité (authentification,
  intégrité, politique de mise à jour)
• Maturité des organisations

10
Vulnérabilités sans exploitation connue
Vulnérabilité
11
Vulnérabilités avec exploitation connue
Une vulnérabilité peut aussi ne jamais être
diffusée et même jamais découverte
Vulnérabilité
12
Les menaces.....
Comment se protéger ?
Ce que lon traite

• Attaque sur les mots de passe faibles
  compromission de machines et prise de contrôle à
  distance avec tous les droits
• Défigurations de sites atteinte à limage et
  attaque voilée
• Réseaux sans fil non sécurisés intrusion sur
  les réseaux
• Attaque par chevaux de Troie vol
  dinformations sensibles ou confidentielles comme
  par exemple avec des  keylogger 
• Réseaux de machines compromises pouvant conduire
  à des attaques coordonnées (BotNet)
• Attaques ciblées et attaques dopportunité

• Choisir des mots de passe de qualité
• Mettre à jour ses logiciels
• Gérer les utilisateurs et utiliser des comptes
  sans privilège dadministration
• Former et informer les utilisateurs
• Appliquer des pratiques simples et adaptées (cf.
  le portail)

13
Principes fondateurs du portail

• Constats
• De plus en plus dinternautes
• Des débits toujours plus élevés
• Un savoir-faire sécurité globalement à peine
  rudimentaire
• Objectifs du portail
• Sensibiliser/Former/Informer
• Diffuser pour tous une culture commune de la
  sécurité
• Diffuser pour les PME des informations techniques
  disponibles dans les centres dexpertise des
  attaques informatiques
• Enjeux
• Confiance dans le développement de la société de
  linformation
• Promouvoir lutilisation de mesures de sécurité
  simples et concrètes

14
Points clés du portail

• Fédérer les initiatives existantes
• Protection de lenfance
• Lutte contre le spam
• Etc
• Faire preuve de pédagogie
• Langage adapté
• De la connaissance à la mise en pratique
• Responsabiliser les acteurs
• Apporter de la rationalité
• Informations maîtrisées par la DCSSI
• Distinguer la rumeur de lattaque
• Le portail est un site de référence

15
Apories.

• La relation DSI/ RSSI (monsieur NON)
• Convergence et dépendance technologique
• Nomadisme et périmètre de sécurité
• Journalisation et analyse des causes
• Appréciation des menaces et détection dincidents
• Gestion du risque et ressources allouées à la
  sécurité

16
Conclusions...

• Ne pas sous estimer son exposition aux risques
• Appliquer les pratiques essentielles et mesurer
  sa capacité de travail en mode dégradé
• Politique de mise à jour connaître son parc et
  se doter dune capacité et dune légitimité pour
  appliquer un correctif.
• Partager une culture de la sécurité adaptée à
  tous.
• Former et informer pour responsabiliser tous les
  acteurs
• Faire appel à des professionnels pour estimer le
  niveau de protection et traiter les incidents
• Attention cela narrive pas quaux autres!!