---
# System prepended metadata

title: Sécurité dans les projets et audits/contrôles (Cours 2)
tags: [SECUP, ' jerome.tchan']

---

---
titre:  Sécurité dans les projets et audits/contrôles (Cours 2)
description:  Sécurité dans les projets et audits/contrôles (Cours 2), 19/02/2020
tags: SECUP, jerome.tchan
author: Jérôme Tchan
---

# Sécurité dans les projets et audits/contrôles (Cours 2)

:::warning
**Anciennes** slides disponibles sur le wiki SRS (Slides Contexte)
:::

**Risque = Fonction(Impact; Vulérabilité; Menace; Potentialité)**
=> Ces 4 composantes ne doivent pas être nulles pour pouvoir constituer un risque

### Menaces

- D'origine naturelle ou humaine
- Acceidentelle ou délibérées
- Peut survenir de l'intérieur ou de l'extérieur de l'organisme

### Vulnérabilité

- Peut être issue d'une mauvaise conception
- Peut être issue de négligence dans la réalisation
- Peut être issue d'un manque de contrôle

### Impact

4 niveaux:
- **Niveau 1:** Impact insignifiant au niveau de l'organisation
- **Niveau 2:** Impact significatif, causant du tort à l'organisation
- **Niveau 3:** Impact très grave, sans cependant menacer la vie de l'organisation
- **Niveau 4:** Impact extrêmement grave, menaçant l'organisation ou l'une de ses activités

### Risque

5 niveaux:
- **Niveau 0:** Non envisageable ou non envisagé
- **Niveau 1:** Très improbable, ne surviendra probablement jamais
- **Niveau 2:** Possible, bien que improbable
- **Niveau 3:** Probable, devrait arriver un jour
- **Niveau 4:** Très probable, surviendra sûrement à court terme

Choix:

- Risque évité
- Risque réduit
- Risque transféré
- Risque accepté

## Expression du besoin

- Disponibilité
- Intégrité
- Confidentialité
- Traçabilité

:::warning
**Toute mesure de sécurité doit répondre à une exigence de sécurité**
:::

## Réglementation

- Loi Informatique et Liberté
- Loi de Programmation Militaire
- Autres textes

Exigences réglementaires:

- Réglementation sectorielle
- Réglement européen
- Loi française

### Loi Informatique et Liberté / RGPD

- Protection des données à caractère personnel (DCP)
    - Finalité du traitement
    - Information des personnes impactées
    - Limitation de la durée de conservation
    - Communication des mesures mises en oeuvre
    - Autorisation pour certains traitements (Biométrie, données de santé, ...)
- Obligation de sécurisation des DCP
    - Cloisonnement
    - Gestion des droits d'accès
    - Protection des données stockées

:::info
**DCP:** Toute information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement.
:::

#### RGPD

Les grands principes inchangés:
- Finalité
- Loyauté
- Proportionnalité
- Les données sensibles

Une évolution nécessaire:
- Le renforcement des droits des personnes (effacement, portabilité, ...)
- Sanctions financières

L'adresse IP est aujourd'hui considérée comme une donnée à caractère personnel.

### Loi de programmation militaire

L'Etat légifère sur la sécurité des systèmes d'information des OIV (Opérateurs d'importance vital)

- **OIV:** opérateurs publics ou privés pour lesquels l'atteinte à la sécurité ou au fonctionnement risquerait de diminuer d'une façon importante le potentiel de guerre ou économique, la sécurité ou la capacité de survie de la Nation
- **SIIV:** système d'information d'importance vitale qui contribue à la réalisation des activités dont l'atteinte à la sécurité ou au fonctionnement risquerait ... ???

Avant 2015: Mesures de sécurité physiques et organisationnelles
Après 2015: Elargissement à la protection des S.I.

4 mesures:
- Permettre la réalisation de contrôle
- Mettre en oeuvre des mesures d'urgence
- 
- 

Il y a des arrêtés sectoriels précisant les règles à appliquer au SIIV
=> 20 règles
Exemples:
- Règle 5: Règle relative à la journalisation
- Règle 15: Règle relative aux S.I. d'administration

### Autres textes

- Droit du travail
    - Principe de proportionnalité
    - Principe de transparence
    - Discussion collective
- Loi Godfrain
- Réglementations métiers
    - Bancaire
    - Santé
    - Postes et Télécommunication
    - ...

## Spécifications de sécurité

### Architecture

- Défense périmétrique (ou "muraille de Chine")
    - Attaque frontale pour percer
    - Propagation une fois la muraille franchie
- La "défense en profondeur" (référence aux principes de Vauban)
    - Mise en place de plusieurs lignes de défense sucessives
    - S'assurer qu'en cas de perte d'un élément de sécurité, d'autres prendront la suite
    - Traiter aussi bien l'interne que l'externe
    - Traiter des menaces différentes par des solutions complémentaires et ciblés
    - Gérer des niveaux de sécurité différents

Les lignes de défenses:
- Veille technologique
- Coordination
- Rôle
- Surveillance complète
- Autonomie
- Contrôle

Efficacité:
- Mise en oeuvre de solutions sûres et pérennes
- Intervention de personnes formées
- Absence de nouvelles surfaces d'attaques
- Surveillance

**DMZ:** Isoler un sous-réseu des autres au moyen d'équipements de filtrage (firewalls - FW)
**Bastions d'administration:** les tâches d'administration doivent être isolées du reste du réseau

### Domaine applicatif

- Gestion des droits
- Authentification
- Protection des données
- Contrôle des saisies
- Cloisonnement fonctionnel

#### Authentification

- S'appuie sur le partage d'un secret permettant de vérifier l'identité de quelqu'un de façon certaine
- Plusieurs critères:
    - Ce que je sais: password
    - Ce que je possède: certificat, token
    - Ce que je suis: biométrie
    - Ce que je sais faire: signature, comportement
- Plusieurs types:
    - Authentification simple: un seul critère
    - Authentification multiple: plusieurs critères
    - Authentification forte: plusieurs critères (au moins 2) + cryptographie

Force d'un mot de passe:
- Sa complexité
    - Type de caractères
    - Longueur
    - Procédé de construction
- Sa durée de vie
- Gestion de son historique
- Gestion des échecs

### Domaine infrastructures



### Domaine organisation

IAM

### Domaine exploitation

