Primtre de la scurit des systmes dinformation

1
Point sur la Sécurité des Systèmes dInformation

• Périmètre de la sécurité des systèmes
  dinformation
• Menaces pesant sur nos systèmes
• Dispositifs de sécurité autour de SCONET
• Préconisations de sécurité dans lusage de
  SCONET
• Plus dinfos

Formation SCONET Martial Bouillin RSSI Rectorat
de Bordeaux
Document classé C1 ( document à usage interne
MENESR)
2
Périmètre de la Sécurité des Systèmes
dInformation

• Linformation
• Se présente sous 3 formes données,
  connaissances, messages
• Le Système dinformation
• Moyens techniques et humains permettant de
  traiter, stocker, présenter, transmettre,
  détruire linformation
• La sécurité des systèmes dinformation
• Méthodes, règles, techniques, outils, bonnes
  pratiques visant à protéger les informations et
  les ressources du SI.
• Politique de la sécurité des systèmes
  dinformation (PSSI)
• Document de référence formalisant lorganisation
  mise en place et les objectifs poursuivis en
  matière de sécurité (le risque zéro nexiste
  pas). La PSSI est le résultat dun projet
  dentreprise.
• RSSI

Document classé C1 ( document à usage interne
MENESR)
3
Les menaces pesant sur nos systèmes dinformation

• Sûreté du SI dysfonctionnements
• dorigine technique (pannes, sinistres,
  maintenances)
• dorigine humaine (erreurs, méconnaissances,
  inconsciences)
• Sécurité du SI agression par lInternet
• (agression physique à ne pas négliger)
• atteinte à lintégrité (virus ou bombe,
  modification, réutilisation, attaque par rebond)
• atteinte à la confidentialité (fuite dinfo
  sensible, usurpation ident., fouille, écoute,
  sniffer)
• atteinte à la disponibilité (paralysie du SI,
  saturation ressources, virus ou ver)
• Limites dune approche seulement technique
• ? illustration avec linfrastructure de
  messagerie

Document classé C1 ( document à usage interne
MENESR)
4
Quelle sécurité sur SCONET ?

• Organisation
• Exploitation et administration système traités
  par Rectorat (serveur daccès, applications,
  bases de données).
• Délégation des droits assurée par le chef
  détablissement (ou adj.).
• Dispositifs techniques
• Infrastructure dhébergement renforcée
• détection et dispositif incendie, climatisation,
  alimentation secourue,
• contrôle daccès physique, pare-feu.
• Infrastructure informatique répartie et dédoublée
  
• serveurs, espace de stockage des données, robot
  de sauvegarde
• Application de gestion des habilitations.
• Authentification par identification / mot de
  passe et tests de cohérences sur le rôle de
  l agent.
• Accès restreint à la zone de confiance Intranet
  académique. ? illustration

Document classé C1 ( document à usage interne
MENESR)
5
Préconisations de sécurité sur lutilisation de
SCONET

• Recommandations dusage
• Ne pas choisir loption  mémorisation du mot de
  passe 
• Quitter votre session après utilisation.
• Rester vigilant sur votre mot de passe (le
  garder secret).
• Changer votre mot de passe régulièrement.
• Continuer à effectuer les sauvegardes de GEP.
• Sécuriser votre environnement
• Équiper le poste de travail dun contrôle
  daccès (démarrage, veille).
• Attention aux préconisations du CRIA sur la mise
  en veille pour le poste automate
• Ne pas installer de bornes Wi-Fi  sauvages .
• Sassurer des mises à jour de lantivirus et de
  votre navigateur web.
• Sensibiliser les agents à qui vous donnerez des
  droits.

Document classé C1 ( document à usage interne
MENESR)
6
Évolutions de la sécurité sur SCONET

• Aller vers une sécurité basée sur
• lauthentification forte par lidentité
  numérique
• des échanges sécurisés par le chiffrement des
  flux (https)
• ? banalisation du poste (le réseau Intranet
  devient superflu)
• Maintenir une infrastructure technique
  consolidée
• Afin de garantir la disponibilité
• ? face aux agressions volontaires (sécurité)
• ? face aux défaillances (sûreté)
• En cas de crises, afin de gérer les alertes de
  sécurité
• ? confinement, filtrage

Document classé C1 ( document à usage interne
MENESR)
7
Sécurité des Systèmes dInformation références

• Site web académique dédié à la SSI
• http//ssi.ac-bordeaux.fr
• Coordonnées RSSI
• Martial Bouillin
• Rectorat de Bordeaux
• rssi_at_ac-bordeaux.fr
• 05 57 57 35 30
• 06 32 63 44 71
• Plus dinfos
• ? Recommandations liées aux risques dans lusage
  dInternet
• ? Objectifs visés en matière de sécurité
• ? Plan dactions académique

Document classé C1 ( document à usage interne
MENESR)
8
Risques sur lusage dInternet Recommandations

• Sensibilisation
• Campagnes d'affichage et un rappel régulier
  auprès des élèves
• Chaque année, accompagnement et suivi lors de la
  signature de la charte d'usage.
• Ne laisser aucun poste en accès libre sans
  surveillance ou sans autorisation préalable.
• Dispositifs techniques
• EOLE/AMON serveur de sécurité protégeant tous
  les postes de létablissement (FW, filtrage url)
• SOLSTICE serveur de gestion des ressources
  multimédia
• Contrôle
• Surveiller régulièrement les sites consultés
  (depuis chaque poste ou de façon centralisé à
  partir des outils proposés par Solstice ou EOLE).
  
• Analyser les fréquences d'utilisation, vérifier
  les documents archivés des élèves
• Conserver vos fichiers de traces (historique des
  accès) au moins 6 mois.
• Vigilance
• rester attentif à toutes les informations ou
  déclarations des élèves et du personnel
• ne négliger aucune alerte
• ne pas avoir honte de s'être fait pirater dans
  le doute, signaler le!
• Prudence

Retour
Retour
Document classé C1 ( document à usage interne
MENESR)
9
Dispositif de sécurité du réseau Intranet
Inspection Académique
AUTRES RECTORATS

• Constat apparent
• Réseaux rectorat et EPLE  protégés 
•  Ponts aériens  sécurisés
• Espace global sécurisé

RECTORAT
Rationalisation des moyens télécom. Liaison
Intranet utilise la connexion Internet
 Bunkers   zone démilitarisée   mur pare
feu   cloisonnement   antivirus   détection
dintrusion 
Prise unique en EPLE Serveur de sécurité
EOLE-AMON Programme lancé en 2001, entre 90 et
150 k annuel déquipements
EPLE
Document classé C1 ( document à usage interne
MENESR)
10
Dispositif de sécurité du réseau Intranet les
limites
Inspection Académique
Retour
AUTRES RECTORATS

• Constat apparent
• sites  protégés 
•  Ponts aériens  sécurisés
• Espace global sécurisé
• Nouvelles donnes
• Nécessité douverture de nos SI
• Banalisation des postes et usages du Wifi
• Mesures durgences
• Préconisations dusage

RECTORAT
WiFi
Retour
EPLE
Document classé C1 ( document à usage interne
MENESR)
11
Sécurité Cas de la messagerie infra début 2006
Document classé C1 document à usage interne
MENESR
12
Sécurité Cas de la messagerie infra mars 2006
Document classé C1 document à usage interne
MENESR
13
Document classé C1 document à usage interne
MENESR
Sécurité Cas de la messagerie

• Constats
• un dispositif de plus en plus complexe et
  coûteux
• course à larmement
• avantage à lassaillant
• Perspectives
• infrastructure technique pour répondre à la
  haute disponibilité et pour un filtrage
  performent.
• déploiement de dispositifs basés sur la
  signature électronique permettant
• la traçabilité et politique de lutte anti spam
  par lidentification de lémetteur
• la confidentialité et de lintégrité des
  échanges par le chiffrement et le scellement les
  messages.

Retour
Retour
14
Sécurité Objectif
Document classé C1 document à usage interne
MENESR

• Élever notre niveau de maturité SSI effectif vers
  le niveau de sécurité adéquat.
• Une architecture organisationnelle mature
• Une architecture applicative sécurisée
• Une architecture technique consolidée

Retour
15
architecture organisationnelle mature
Document classé C1 document à usage interne
MENESR
Sécurité Objectif

• Sensibiliser, impliquer, informer,
  responsabiliser
• Rôles et habilitations définis, admis et
  exploitables
• Audits et Contrôles
• retour

16
architecture applicative sécurisée
Document classé C1 document à usage interne
MENESR
Sécurité Objectif

• Identification et authentification de tous les
  partenaires (clients et ressources)
• Scellement et chiffrement systématique des
  échanges suivant classification
• ?Par lIGC éducation
• ?Via linfrastructure applicative
• retour

17
architecture technique consolidée
Document classé C1 document à usage interne
MENESR
Sécurité Objectif

• pour garantir la disponibilité
• ?face aux agressions volontaires (sécurité)
• ?face aux défaillances (sûreté)
• pour accroître le niveau de sécurité en cas de
  crise (confinement, filtrage)
• retour

18
Sécurité Plan dactions académique

• sensibilisation
• Formation, réunion, séminaire
• Portail
• Analyse des risques
• Périmètres, patrimoines SI (complexité),
  maturité
• Rédaction de notre PSSI et mise en place dune
  chaîne fonctionnelle
• Correspondants sécurité
• Déclinaison détaillée par des plans de sécurité
• Plan sauvegarde, PRA, référentiels thématiques
  (accès réseaux, habilitations, exploitation)

Retour
Document classé C1 ( document à usage interne
MENESR)