CASES Mode Emploi PDF

Scurit des informations
Modle dune politique de scurit
Mode demploi
Scurit des informations
Modle dune politique de scurit
Mode demploi
Table des matires
Table des matires ........................................................................................................................................................................ 3 Introduction .............................................................................................................................................................................................. 5 Prliminaires ...................................................................................................................................................................................... 5 Public cible ......................................................................................................................................................................................... 5 Rfrences ........................................................................................................................................................................................... 6 Limitations .......................................................................................................................................................................................... 6 Dmarche globale ................................................................................................................................................................................ 7 Conception .......................................................................................................................................................................................... 7 Ralisation .......................................................................................................................................................................................... 7 valuations et contrle ............................................................................................................................................................. 8 Amlioration ...................................................................................................................................................................................... 8 Dfinition des diffrentes politiques .............................................................................................................................. 9 Introduction ................................................................................................................................................................................... 10 Section 1. Politique de scurit ............................................................................................................................... 12 1. Engagement de la direction .............................................................................................................................. 12 2. Revue et valuation ................................................................................................................................................. 14 Section 2. Organisation de la scurit ............................................................................................................... 15 1. Attribution des responsabilits ...................................................................................................................... 15 2. Procdure dautorisation pour lajout doutils de traitement de linformation ........................................................................................................................ 16 3. Conseils dun spcialiste ...................................................................................................................................... 17 4. Revue indpendante de la scurit de linformation .................................................................... 18 5. Accs par des tiers et sous-traitance ........................................................................................................ 19 Section 3. Classification et matrise des ressources ............................................................................. 20 1. Classification et responsabilit des ressources .................................................................................. 21 Section 4. Aspects humains .......................................................................................................................................... 22 1. La scurit comme mission ................................................................................................................................ 22 2. La formation et linformation ........................................................................................................................... 23 3. La rponse aux incidents et dysfonctionnements de scurit ............................................... 24
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
T A B L E
D E S
M A T I R E S
Section 5. Scurit physique et environnementale ................................................................................ 25 1. Primtre de scurit physique ...................................................................................................................... 25 2. Rgles dans le primtre ..................................................................................................................................... 26 3. Scurit lectrique des quipements ......................................................................................................... 28 4. Maintenance ................................................................................................................................................................... 29 5. Scurit des quipements hors des locaux ........................................................................................... 30 6. Mise au rebut ou r-utilisation des quipements ............................................................................ 31 7. Bureaux en ordre ........................................................................................................................................................ 32 Section 6. Aspects oprationnels et communications ......................................................................... 33 1. Procdures documentes ...................................................................................................................................... 33 2. Sparation des environnements de dveloppement et de production ............................ 34 3. Gestion de ressources par des externes ................................................................................................... 34 4. Protection contre les logiciels malveillants ......................................................................................... 35 5. Sauvegarde des donnes ...................................................................................................................................... 36 6. Scurit des mdias pendant les transports ........................................................................................ 38 7. Courrier lectronique .............................................................................................................................................. 39 Section 7. Contrle daccs ............................................................................................................................................ 40 1. Politique de contrle daccs ........................................................................................................................... 40 2. Gestion des droits daccs .................................................................................................................................. 41 3. Gestion des mots de passe ................................................................................................................................. 42 4. Utilisation de rseaux externes ...................................................................................................................... 43 5. Connexion de lextrieur ....................................................................................................................................... 44 6. Sparation de rseaux ............................................................................................................................................ 45 7. Procdure de connexion ....................................................................................................................................... 46 Section 8. Dveloppement et maintenance des systmes ............................................................... 47 1. Utilisation de lencryption .................................................................................................................................. 47 2. La signature lectronique ................................................................................................................................... 47 Section 9. Gestion de la continuit de lentreprise ............................................................................... 48 1. La continuit de fonctionnement ................................................................................................................. 48 Section 10. Conformit ..................................................................................................................................................... 50 1. Identification de la lgislation applicable ............................................................................................ 50 2. Proprit intellectuelle ......................................................................................................................................... 51 3. Protection des donnes oprationnelles ................................................................................................. 52 4. Protection des donnes caractre personnel .................................................................................. 53 Annexes
......................................................................................................................................................................................................
54 55 55 56
Comment aller plus loin ?
.........................................................................................................................................................
Glossaire des termes employs dans ce document
...........................................................................................
Corrlation entre la numrotation des politiques de ce manuel et le BS 7799
...................
S C U R I T
D E
L I N F O R M A T I O N
I N T R O D U C T I O N
Introduction
Prliminaires
Ce document a pour objectif daider la mise en place dune politique de scurit pour une entreprise ou une administration. Il est associ au document Scurit des informations : modle de politique de scurit qui doit servir de modle la ralisation dune politique de scurit. Les rfrences donnes dans le prsent document sy rfrent, sauf indication contraire. Cette initiative sinscrit dans le cadre dune dmarche du Ministre de lconomie, dont une partie importante est la sensibilisation aux risques de scurit pour les entreprises, et en particulier les entreprises de petite taille.
Public cible
Ce document et le modle qui y est li sadressent plus particulirement aux petites administrations et entreprises situes au Grand-Duch de Luxembourg, dsignes dans ce document par le terme organisations . Par petite entreprise , il faut entendre une entreprise employant entre une et cent personnes, exerant son activit dans un domaine qui nest pas directement li aux technologies des informations. Selon les organisations, lutilisateur est le chef dentreprise, le responsable de linformatique (mme si ce nest quune de ses attributions parmi dautres), voire le directeur de linformatique ou un responsable de la scurit. Ce guide est surtout destin aux organisations qui ne se sont pas encore penches sur la question de la scurit des systmes et rseaux de linformation. Nanmoins, une organisation qui a dj entam la cration dune politique de scurit peut sen inspirer, mais ne doit en aucun cas supprimer une politique qui sest avre efficace dans son environnement.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
I N T R O D U C T I O N
Rfrences
La dmarche propose pour llaboration des politiques en matire de scurit sappuie sur la norme BS 7799 (ci-aprs nomme la norme ).
Limitations
Les bases de la norme BS 7799 ont t utilises pour garantir que le modle propos couvrait bien tous les aspects de la scurit. Le lecteur retrouvera dailleurs ici la mme structure que celle de cette norme. Nanmoins, la cible de ce document et de la dmarche entreprise par le gouvernement luxembourgeois tant les petites structures, il sagit ici de proposer une version simplifie de cette norme, permettant lutilisateur denvisager une dmarche pratique et facile mettre en uvre. En consquence, tous les points de la norme nont pas t repris, mme si tous les aspects apparaissent dans lune ou lautre partie. Ce document ne donne donc pas une vue exhaustive de tout ce qui doit tre entrepris pour raliser une politique de scurit, mais dgage les lments indispensables qui doivent tre mis en uvre et propose, pour dautres aspects, des options qui dpendent de la structure dans laquelle ces lments doivent tre intgrs.
Comme certains aspects ont t carts du fait de leur complexit de mise en uvre ou de leur inadquation aux besoins des petites organisations, les structures suivantes ne doivent pas se baser sur le prsent document : > les grandes entreprises ou administrations ; > les entreprises ou administrations disposant dune structure de gestion des informations complexe ; > les entreprises ou administrations dont le mtier repose directement sur les technologies de linformation (tournes vers le-business) ; > les entreprises pour lesquelles la scurit des informations est au cur de leur activit (secteur financier, de la dfense).
Ces structures doivent entreprendre une dmarche identique, mais en faisant appel des spcialistes, et peuvent se rfrer directement la norme BS 7799.
S C U R I T
D E
DEMARCHE GLOBALE
Dmarche globale
La scurisation des informations dune organisation nest pas quune question technique. Les activits techniques ne sont quun aspect de cette dmarche qui doit tre globale. La dmarche dcrite ici est galement propose par la norme BS 7799, mais a t lgrement simplifie pour tre plus facilement apprhende par les lecteurs du prsent document. Cette dmarche comprend 4 grandes tapes qui se rptent en boucle, le processus ntant jamais fini. Ces 4 tapes sont : conception, ralisation, valuations et contrle, amlioration.
Conception
Cette tape de dmarrage vise sassurer que le primtre et le contexte du futur systme sont correctement dfinis. Elle doit galement permettre didentifier et dvaluer les risques afin de dvelopper un plan permettant de les grer. Pour nous, cette tape consiste rdiger un manuel de scurit, sachant que certaines des activits ultrieures dvaluation des risques ont dj t intgres dans le modle. La toute premire action entreprendre consiste dcider de sengager dans une telle dmarche et dsigner une personne charge de la mener bien.
Ralisation
Ltape de ralisation consiste principalement appliquer les politiques dfinies dans le manuel de scurit. Nanmoins, certaines activits correspondent la dtermination des responsabilits et des schmas dorganisation et sont ralises en mme temps que le manuel de scurit. Une grande partie des activits consiste donner une prise de conscience aux diffrents intervenants quant leurs responsabilits au sein de lorganisation.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
DMARCHE GLOBALE
valuations et contrle
Les systmes dvaluation doivent avoir t dcrits dans le manuel de scurit. Lobjectif consiste sassurer que les procdures mises en place fonctionnent comme prvu. Ces valuations peuvent tre de plusieurs types : > vrifications rgulires faites dans le cadre des activits quotidiennes ; > contrles automatiques raliss avec des outils logiciels permettant de crer des rapports ; > comparaison avec les autres organisations ; > ralisation daudits formels planifis (risk assessment) ; > rvision par la direction. Si les valuations et les contrles rvlent que certaines procdures sont inadquates, il faut entreprendre des actions correctives. Ces points sont abords dans le manuel propos.
Amlioration
Les actions qui auront t dcides ltape prcdente devront tre mises en uvre soit :
> au niveau du systme de scurit proprement dit, comme par exemple en nommant un (nouveau) responsable pour tout ou partie du systme; > au niveau des procdures oprationnelles qui en auront t dduites, comme par exemple par la mise en uvre dune procdure de sauvegarde de donnes diffrentes (et videmment plus adapte); > au niveau des outils, comme par exemple par lachat dun outil anti-virus.
S C U R I T
D E
Dfinition des diffrentes politiques

Introduction Section 1
Politique de scurit
10 12 15 20 22 25 33 40
Section 2
Organisation de la scurit
Section 3
Classification et matrise des ressources
Section 4
Aspects humains
Section 5
Scurit physique et environnementale
Section 6
Aspects oprationnels et communications
Section 7
Contrle daccs
Section 8
Dveloppement et maintenance des systmes
47 48 50
Section 9
Gestion de la continuit de lentreprise
Section 10
Conformit
D E F I N I T I O N
D E S
D I F F E R E N T E S
P O L I T I Q U E S
Introduction
Entrons prsent dans le vif du sujet et crons ensemble votre propre manuel de scurit. Pour faciliter la rdaction dune politique ou dun manuel de scurit, un modle est associ au prsent document. Celui-ci contient un certain nombre de politiques qui doivent tre appliques, dautres qui peuvent tre choisies parmi plusieurs options par le responsable de la scurit (a priori le lecteur du prsent document). La ralisation du manuel de scurit consiste principalement personnaliser le modle laide du traitement de texte de votre choix. Commencez par ouvrir le fichier contenant le manuel (voir site Internet CASES) et modifiez-le en fonction des conseils qui vous sont donns ci-aprs. A partir du prochain paragraphe, la lecture du prsent document doit se faire en parallle avec celle du modle de politique de scurit. Il faut tout dabord changer le titre (en supprimant Modle ). Il faut galement le mettre votre format de document ou, du moins, adapter le format vos normes ou habitudes. Pour personnaliser le document, commencez par y indiquer le nom de lentreprise ou de ladministration ; pour ce faire, remplacez dans le modle toutes les occurrences de lorganisation par le nom de votre propre organisation. Vous pouvez, par exemple, utiliser la fonction Remplacer de votre traitement de texte (attention aux espaces lintrieur des guillemets). Dune manire gnrale, tous les textes peuvent tre adapts pour sintgrer au mieux votre environnement, notamment en supprimant les parties de texte, voire les paragraphes entiers, non applicables (cest souvent le cas pour les entreprises individuelles) ou en assignant une responsabilit. Nanmoins, il est conseill de ne pas mentionner le nom des personnes mais plutt une fonction (ex : responsable de linformatique). Cette mesure nest pas ncessaire dans le cas de petites structures dont lexistence est lie la prsence des dirigeants, auquel cas le nom peut tre mentionn. Afin de faciliter la lecture et lutilisation de ce document, un certain nombre dexemples sont proposs. Pour les reprer facilement, ils apparaissent dans un format de texte diffrent. Il sagit de 2 exemples fictifs mais bass sur les cas rels dune petite entreprise et dune petite administration luxembourgeoise. En voici les environnements :
10
S C U R I T
D E
INTRODUCTION
1. Exemple : une entreprise individuelle.
Il sagit du bureau de traduction de Mme Giffre Bettembourg. A linstar de nombreuses professions librales, artisans ou petites entreprises, un seul PC est utilis pour tout faire. Mme Giffre lutilise pour se connecter Internet afin de recevoir et denvoyer ses e-mails (indispensable pour son activit), pour rdiger ses textes avec un traitement de texte et pour utiliser des outils de traduction sur Internet (dans les bases de donnes de ses clients gouvernementaux). Pour faciliter son travail et comme elle travaille surtout sur des documents lgaux, elle sauvegarde des modles de texte quelle adapte selon lenvironnement et le client. Elle y gre galement la liste de ses clients et, en particulier, des travaux quelle a raliss pour eux afin de les facturer mensuellement. Un ami a ralis pour elle quelques pages web qui sont hberges chez un provider. Certains de ses futurs clients la contactent ainsi par e-mail, voire directement par tlphone ou fax. Son mari travaille galement avec un ordinateur et lui donne de temps en des conseils ou laide mettre en place des programmes ou documents.
2. Exemple : la mairie dOldental
Cette commune de 2000 habitants est gre par une administration communale dune vingtaine de personnes. Une petite dizaine de personnes disposant dun ordinateur soccupent de la partie administrative. Elles disposent galement de 4 imprimantes, de 2 fax et dune dizaine de tlphones connects un central tlphonique lous aux P&T. Tous les quipements informatiques sont connects un rseau local constitu dun simple concentrateur (HUB). En outre, 2 serveurs leur permettent dutiliser lapplication mtiers Gesum et de se connecter Internet par lintermdiaire dun serveur hbergeant un firewall et dun serveur de mail interne. La connexion vers les P&T est ralise par un petit routeur, en mode ADSL. La gestion des applications, les modifications, lassistance sont prises en charge par un syndicat commun aux communes du pays : le SAGA. La maintenance des diffrents matriels est confie la socit KA dans le cadre du contrat avec le SAGA. Les comptences informatiques au sein de la commune sont limites, car chacun se concentre sur son mtier. Nanmoins, quelques oprations, comme les sauvegardes de donnes du serveur Gesum, sont ralises par le receveur du bureau de la population. Les dcisions dinvestissement sont valides par le Collge chevinal et mises en uvre par le SAGA. Linformatique sert principalement la gestion de la commune (taxe, population, comptabilit) grce lapplication Gesum et la bureautique, avec les traitements de texte, les tableurs et la base de donnes standard. Cest le serveur de bureautique qui sert de serveur de fichiers, de serveur de messagerie, de proxy pour la connexion Internet et de firewall.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
11
D E F I N I T I O N
D E S
P O L I T I Q U E S
Section 1 | Politique de scurit
Engagement de la direction
Lorganisation atteste, par le biais de son directeur, que la scurit des informations et des technologies des informations est vitale son fonctionnement, voire sa survie. En effet, la disponibilit de certaines donnes ou de certains outils, la non-divulgation de certaines informations des tiers ou limpossibilit de modifier certaines donnes sont essentielles pour lorganisation . Par consquent, la direction met en uvre ce document dfinissant la politique de scurit respecter au sein de lorganisation . La direction sengage ainsi soutenir toutes les actions qui sinscrivent dans ce cadre et mettre disposition les moyens ncessaires leur ralisation, dans la mesure des possibilits financires. Tous les employs doivent galement soutenir cette dmarche en : > connaissant le contenu des politiques qui sont applicables leurs activits, > appliquant les politiques dans leurs activits, se tenant informs des volutions qui pourraient lui tre soumises, > informant leurs collgues et contacts externes des rgles qui leur sont applicables, > vrifiant dans leurs activits quotidiennes ladquation des procdures de scurit et en proposant les amliorations adaptes. Afin que les politiques et procdures de scurit applicables soient connues de tous, elles sont affiches dans les parties communes des locaux et sont diffuses par la direction.
Des lieux gographiques prcis peuvent tre indiqus tels que secrtariat ou hall daccueil , de mme, des indications plus prcises sur les personnes peuvent tre mentionnes. Si la politique de scurit comprend des informations confidentielles, il convient denvisager la cration dune version allge qui serait publique, alors que la version complte resterait dans les mains de la direction et des intervenants spcifiques (informatiques et propritaires des donnes).
12
S C U R I T
D E
S E C T I O N
P o l i t i q u e
d e
s c u r i t
Jusqu prsent, Mme Giffre ne stait jamais trop proccupe des aspects scuritaires, mais en se posant les questions du modle de scurit, elle a commenc se rendre compte que, par certains aspects, son activit dpendait de linformatique et que certains problmes pourraient mettre son activit professionnelle en danger. Elle a donc dcid de sengager dans la rdaction dun manuel qui lui est spcifique. Dans ce premier point, elle a donc mis son nom la place de directeur le premier pas tait fait. Elle a ensuite pens quelle devrait toujours lavoir sous la main et a dcid de le ranger dans son classeur contenant les textes de rfrence quelle utilise quotidiennement. Pour le paragraphe concernant les employs, il nest pas utile actuellement, mais on ne sait jamais, elle sassociera peut-tre un jour
Ici, la dclaration dintention prend tout son sens. Dans le cas de la Mairie, la direction est le Collge chevinal . Cette substitution doit tre faite dans lensemble du document. Le Collge chevinal prend la dcision dafficher la politique de scurit dans le secrtariat, qui est un peu le cur de la Mairie, l o passent toutes les informations. La dcision de se lancer dans la dfinition de politique de scurit a t prise par le Collge chevinal, sous limpulsion de Mme le bourgmestre. En effet, celle-ci, bien consciente du manque de connaissances techniques de son quipe, se posait des questions quant au niveau de scurit garanti par le SAGA qui fait quasiment tout. La mise en place de la politique de scurit tait loccasion de le vrifier.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
13
D E F I N I T I O N
D E S
P O L I T I Q U E S
Revue et valuation
Ce document (politiques et procdures) est rvis chaque anne par la direction conjointement avec les personnes directement impliques dans la gestion de la scurit. La responsabilit de cette rvision incombe la direction. Cette rvision vise vrifier que le contenu du document est toujours en adquation avec les exigences de lorganisation en matire de scurit des informations. Il convient notamment de : > vrifier que les procdures dcrites sont effectivement appliques ; > faire le point sur les vnements de scurit qui ont eu lieu auparavant (analyse des audits, traces des vnements, des incidents) : mesures correctives ; > vrifier que les changements qui ont eu lieu au sein de lorganisation , quils soient techniques ou organisationnels, ne ncessitent pas dadaptation des politiques : actions prventives ; > organiser la mise en place des modifications qui apparaissent comme ncessaires ; > communiquer les rsultats de la rvision au personnel.
Les personnes charges de la rvision peuvent tre mentionnes de faon plus prcise. Lidal serait dindiquer galement en quelle occasion cette rvision annuelle a lieu et comment les personnes responsables en sont informes. Il est conseill de choisir ici une date durant une priode traditionnellement creuse, pour viter tout prix que cette rvision ne soit annule pour des raisons oprationnelles.
Mme Giffre a une reprise dactivit en douceur en septembre et a dcid que cette priode tait la plus favorable. Comme elle utilise un calendrier lectronique sur son PC, elle y a mis un rappel automatique pour le premier jour ouvr de septembre de chaque anne; ainsi, elle pensera revoir ce document au moins une fois par an.
La vrification annuelle des politiques de scurit et des procdures sera faite par le Collge chevinal en prsence dun reprsentant du SAGA et des quelques personnes fortement impliques dans lutilisation et la gestion de linformatique au sein de la mairie.
14
S C U R I T
D E
S E C T I O N
O r g a n i s a t i o n
d e
l a
s c u r i t
Section 2 | Organisation de la scurit

1 Attribution des responsabilits
Le directeur est responsable de la scurit des informations. Le responsable de linformatique est charg de la scurit des quipements de traitement, de transport et de stockage des donnes numriques (ordinateurs, rseau et supports physiques). Le responsable de la comptabilit est charg de la scurit des donnes comptables et financires. Le responsable technique est charg de la scurit des fichiers contenant les donnes techniques. Chaque responsable sassure de la mise en uvre des politiques de scurit dans son domaine.
Les diffrents rles doivent tre adapts : indiquer les fonctions existant rellement dans votre organisation. Selon lorganisation les rles doivent tre supprims, et selon les donnes spcifiques, dautres domaines de donnes peuvent tre ajouts (donnes ressources humaines, donnes clients,).
Notez quun responsable de la scurit des informations peut tre dsign dans les structures les plus importantes.
Ce point a amus Mme Giffre : comme elle fait tout dans son entreprise, et bien elle fera cela aussi ! Le paragraphe est donc devenu trs court dans son cas.
La rpartition des responsabilits est un point un peu plus dlicat pour la mairie. Sil est clair que le receveur est dj responsable des donnes financires, que le responsable du quittancement est responsable des taxes, et que le rdacteur du secrtariat est responsable des donnes comptables administratives, pour la responsabilit des quipements cest moins simple, du fait de la sous-traitance au SAGA. Le Collge Echevinal dcide donc de sattribuer une responsabilit globale sur la scurit de linformation, et de nommer de faon plus officielle M. Woller (le rdacteur du secrtariat) responsable de la scurit des quipements . En effet, celui-ci est la personne de la mairie qui manifeste le plus denthousiasme et de comptence dans lutilisation des outils informatiques. Comme les outils de traitement de linformation sont globalement grs par le SAGA, ceux-ci seront toujours responsables de la mise en uvre de la scurit, mais M. Woller sera leur contact privilgi en ce qui concerne la scurit.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
15
D E F I N I T I O N
D E S
P O L I T I Q U E S
Procdure dautorisation pour lajout doutils de traitement des informations

Lajout de nouveaux quipements ou logiciels au sein de lentreprise doit tre approuv par le responsable du domaine concern, tel quindiqu au point prcdent. Linstallation de logiciels tlchargs sur Internet entre dans cette catgorie. Cette procdure doit galement tre applique pour lutilisation doutils privs au sein de lorganisation et particulirement si ceux-ci sont connects un rseau.
Cette procdure peut tre prcise en dterminant quel type dopration doit tre valide par quel intervenant.
Cette responsabilit revient galement Mme Giffre. En ralit, elle lassumait dj, mais elle nen avait simplement pas pris conscience.
Les achats de matriel doivent toujours tre formellement valids par le Collge chevinal, les demandes tant issues des responsables des domaines concerns. Dans la pratique, les demandes sont concertes entre les diffrents responsables de domaine fonctionnel. La procdure demande simplement que le Collge chevinal sassure quun des responsables a bien t consult avant de valider une demande.
16
S C U R I T
D E
S E C T I O N
d e
l a
s c u r i t
Conseils dun spcialiste

Lorganisation doit tre en relation avec un spcialiste de la scurit des technologies des informations qui sera le contact privilgi pour tous les aspects de la scurit des informations. Il participe notamment : > la dfinition des politiques de scurit ainsi qu leur rvision annuelle ; > aux activits daudit ; > aux runions de suivi des mesures de scurit ; > aux activits de mises en place des technologies choisies ; > la veille technologique en tenant lorganisation informe des changements qui pourraient avoir une incidence sur le niveau de scurit. Le directeur mandate la socit spcialise qui est en charge de cette activit.
Ce paragraphe est optionnel et est conseill aux organisations suffisamment complexes pour que le suivi reprsente une charge de travail non ngligeable, mais qui ne disposent pas de ressources internes suffisamment qualifies pour le prendre en charge. Si ce paragraphe est conserv, les intervenants doivent tre indiqus, quils soient internes ou externes.
Ce paragraphe ne sapplique pas son cas : Mme Giffre le supprime avec plaisir. Elle se pose nanmoins la question au passage : pour certains aspects, ne devrais-je pas faire appel un informaticien ? Il faudra que jy pense
Ici, lutilisation dun sous-traitant comme le SAGA porte tous ses fruits. Il apparat clairement que cest bien le SAGA, qui a fait le choix des architectures matrielles, logicielles et des rseaux, qui doit assurer ce rle de support pour la scurit des informations et qui procde des audits rguliers. La responsabilit de mandater le SAGA pour effectuer cette mission, faisant partie intgrante des activits dj ralises, revient au Collge chevinal.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
17
D E F I N I T I O N
D E S
P O L I T I Q U E S
Revue indpendante de la scurit des informations

La personne xxx de la socit yyy dsigne pour raliser la revue indpendante opre une rvision annuelle de la politique de scurit. Lobjectif de cette rvision consiste vrifier que les politiques sont adquates par rapport aux activits de lorganisation et quelles sont rellement mises en uvre sur le terrain.
Ce paragraphe est optionnel (Section 2 Point 4 du modle). Si le paragraphe est conserv, les intervenants doivent tre indiqus. Notez que si un audit interne est ralis, il doit ltre par une personne comptente (pour cette mission daudit) et qui nest pas implique dans la dfinition et lapplication des politiques. Si ce paragraphe est supprim, le paragraphe Revue et valuation (Section 1 - Point 2 du modle) est dautant plus important. Ce paragraphe peut galement donner loccasion de dfinir un indicateur dvaluation dans le domaine de la scurit (nombre dincidents, de virus, cots associs, etc.). Si un ou des indicateurs sont dfinis, il faut les revoir rgulirement dans revue et valuation (Section 1 Point 2 du modle).
Mme Giffre se contentera de vrifier ce document chaque anne et ne sous-traitera pas ce point, quelle peut donc supprimer. Il est clair que, pour elle, ceci reprsenterait un surcot trop important pour la valeur ajoute.
La revue des politiques devant tre faite en collaboration avec une personne du SAGA. Celle-ci doit avoir des comptences en matire dinformatique et de scurit. La mairie se contentera de cette structure et ne fera pas appel un tiers externe. Les conclusions doivent tre prsentes et analyses dans la revue de direction.
18
S C U R I T
D E
S E C T I O N
d e
l a
s c u r i t
Accs par des tiers et sous-traitance

Laccs, quil soit physique ou logique, aux ressources et informations de lorganisation par des tiers doit tre accord dans un cadre strict. Leur accs doit tre formellement approuv par lun des responsables. Les intervenants doivent travailler sous la surveillance directe dun membre de lorganisation ou signer le document prsent en annexe : engagement de respect de la scurit pour les sous-traitants de lorganisation . Dans tous les cas, les contrats de services concernant des ressources sensibles de lorganisation doivent comporter des dispositions concernant la protection de ces ressources.
Les responsabilits dapprobation peuvent tre plus dtailles, en les dcoupant par domaine : droit daccs physique aux locaux sensibles , accs aux systmes, accs aux applications, etc.
Ce point ne sapplique pas vraiment Mme Giffre Par contre, en lisant lengagement de respect de la scurit qui doit tre utilis par les sous-traitants, elle peut se demander si, quand son PC va en rparation, les rparateurs prennent toutes les prcautions quant aux donnes quil contient. Cest dcid : elle leur fera signer ce document : cela ne cote pas cher et cela permettra de les sensibiliser.
Laccs physique aux ressources qui sont dans la salle des machines a toujours t surveill par une des personnes prsentes dans la salle adjacente. Avoir un accs physique oblige ce que ces personnes voient lintrus et donc lui demandent la raison de sa prsence. Dans le cas dun accs courant, la signature du document annexe sapplique aussi parfaitement.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
19
D E F I N I T I O N
D E S
P O L I T I Q U E S
Section 3 | Classification et matrise des ressources

1 Classification et responsabilit des ressources
Il convient de tenir jour un inventaire des ressources majeures de lorganisation . Il prend la forme dun tableau dcrivant la ressource et dsignant son propritaire. Le niveau dimportance de la ressource pour lentreprise est galement prcis : vital ou important (il nest pas indispensable de mentionner les ressources non importantes). Les lments dsigns comme vitaux sont ceux qui pourraient compromettre lexistence de lorganisation sils venaient disparatre, tre divulgus lextrieur ou tre dfectueux. Les lments considrs comme importants sont ceux qui pourraient causer des consquences non ngligeables lentreprise dans les mmes conditions. Sont considrs comme ressources les lments suivants : > ordinateurs (PC, portables, serveurs, mini) et imprimantes ; > quipements de communication (modem, switch, routeur, Pabx, fax, etc.) ; > fichiers et bases de donnes (quels que soient leurs supports : disques, CD-Rom, bandes, etc.) ; > applications (logiciels) ; > documents (contrats, procdures, plans, archives, etc.).
La forme propose (un tableau) est la plus simple possible. La classification (vital/important) est facultative et dcoule du fait que seules les ressources essentielles sont rpertories. Selon lactivit de lorganisation, toute autre ressource (lie au domaine des informations) peut tre ajoute, ce qui aidera les personnes charges de linventaire dans leur travail. Pour les cas les plus simples, linventaire peut tre ralis directement dans la procdure et remplacer le renvoi vers un tableau ou un autre outil.
20
S C U R I T
D E
S E C T I O N
Classification et matrise des ressources
Cest une bonne question, se dit Mme Giffre. En y regardant de prs, elle constate que non seulement son PC, mais aussi son fax, son modem et son tlphone sont importants. De la mme manire, son fichier de facturation pourrait lui faire perdre un mois de facturation ; ses modles de traduction sont trs importants (vitaux) car leur disparition pourrait lempcher de raliser certains travaux et dans tous les cas lui coterait normment de temps pour les recrer.
Pour les membres de lquipe de la mairie, rpondre cette question nest pas si facile, mais la liste est finalement ralise rapidement : il ny a pas tant de ressources que cela ! Les ressources classiques de linformatique, tels les logiciels, les PC et les serveurs, mais aussi lapplication Gesum ont t rpertories. M. Woller a t dsign responsable pour les ressources communes, alors que les diffrents responsables de domaines sont responsables des donnes dans leur secteur dactivit. Seuls les lments dont dpendent les services spcifiques aux mtiers de la mairie ont t classifis comme vitaux, savoir : le serveur, lapplication Gesum (et surtout ses donnes).Les autres lments ont t attribus dune criticit importante (rseau, routeur, serveur de fichiers, modem) ou faible (PC, imprimante, fax, tlphone).
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
21
D E F I N I T I O N
D E S
P O L I T I Q U E S
Section 4 | Aspects humains

1 La scurit comme mission
Le respect de la scurit des informations de lorganisation est une condition essentielle la continuit de ses activits. Chaque personne doit en avoir conscience, la mettre en uvre et savoir quil sexpose des sanctions (mme lgales) en cas de non-respect. Chaque membre de lorganisation doit lire et signer lengagement de respect de la scurit pour les membres de lorganisation prsent en annexe. Les nouveaux arrivants lexamineront et le signeront lors de leur engagement, tandis que les anciens le signent ds la mise en uvre de cette politique, sous la responsabilit du responsable du personnel.
Ce paragraphe est applicable toutes les organisations employant du personnel. Il est ncessaire dattribuer la responsabilit la bonne personne : celle qui gre les ressources humaines, mme si ce nest pas son activit principale.
Comme il ny a pas de responsable du personnel dans son entreprise, cest de nouveau Mme Giffre qui sy colle ! Pour linstant, ce point nest pas applicable. Pourtant, si Mme Giffre venait embaucher une secrtaire, ce point serait utile. Elle garde donc ce point tel quel.
Comme les fonctionnaires doivent prter serment, notamment en ce qui concerne le respect de la confidentialit des informations, la signature dun document spcifique semble tre superflue. Comme ce paragraphe vise surtout informer les personnes quant leur responsabilit personnelle, un rappel du serment remplace la rfrence lengagement de respect de la scurit Notez que, comme la lgislation a chang rcemment dans ce domaine, la lecture du document permettra dtre inform des dernires mesures dans ce domaine.
22
S C U R I T
D E
S E C T I O N
Aspects humains
La formation et linformation
Les risques et les procdures mettre en uvre doivent tre connus de tous. A cet gard, tous les responsables doivent sassurer que les personnes sous leur responsabilit ont connaissance du prsent manuel. Dautre part, toute personne ayant une responsabilit technique doit sassurer quelle en matrise les aspects scuritaires et, si ncessaire, sy former et informer ses collgues.
Le premier paragraphe est indispensable. Le deuxime peut tre supprim pour les organisations o il nest pas applicable.
Mme Giffre se contente du premier paragraphe et supprime le deuxime qui ne la concerne pas.
La distribution du manuel est un aspect important de la diffusion de la mentalit scurit. Pour la matrise par la formation, la mairie dcide de conserver ce point tel quel . Nanmoins, il savre que le personnel nassume pas beaucoup de tches techniques, part les sauvegardes journalires, mais cet aspect est suffisant pour justifier ce paragraphe.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
23
D E F I N I T I O N
D E S
P O L I T I Q U E S
La rponse aux incidents et dysfonctionnements de scurit

Chaque membre de lorganisation doit signaler son responsable direct ou au responsable de linformatique ou la direction les constatations suivantes : > la faiblesse dun outil, dune procdure ou de tout autre lment de lorganisation , > tout incident de scurit, constat grce un outil de surveillance ou par tout autre moyen. Les incidents ou faiblesses signals sont traits et rsolus par le responsable de la gestion de llment concern. Le responsable et les autres membres de lentreprise sont informs des solutions mises en uvre, de manire assurer la vigilance de tous.
Il convient ici de dsigner le responsable adquat dans lorganisation et de mettre jour le premier paragraphe.
L encore, une responsabilit pour Mme Giffre, a y est, elle est responsable de tout, on va pouvoir passer autre chose
Comme le rdacteur du secrtariat a t dsign responsable de la coordination de la scurit sur le terrain , ce genre de tche lui incombe. Il faut dire que ce type dactivit dans un tel environnement est trs peu consommateur, mais ncessite dtre disponible et dtre bien conscient de limportance du sujet.
24
S C U R I T
D E
S E C T I O N
Section 5 | Scurit physique et environnementale

INTRODUCTION La scurit physique est la premire scurit mettre en uvre. En effet, quel intrt de se protger avec des mots de passe ou des logiciels compliqus si la premire personne venue peut accder physiquement une ressource essentielle pour la voler, la modifier ou la dtruire ? Ne perdez jamais de vue la valeur dune ressource (voir section 3) pour votre organisation afin de la protger de manire adquate.
Primtre de scurit physique

Tous les lments qui sont rpertoris comme importants ou vitaux pour lorganisation doivent tre installs dans des locaux srs. Ces locaux constituent le primtre de scurit. Pour lorganisation , il sagit des locaux suivants : > liste locaux 1 > liste locaux 2
Compltez la liste. Elle peut tre constitue dune seule pice ou dun btiment entier.
Pour Mme Giffre, cest trs simple : comme elle exerce son activit son domicile et que les outils importants sont tous les uns cot des autres dans son bureau, le lieu physique de scurit, le primtre , est donc son bureau.
Tous les ordinateurs importants ayant t judicieusement groups dans une salle ddie, le primtre de scurit se limite donc facilement cette pice.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
25
D E F I N I T I O N
D E S
P O L I T I Q U E S
Rgles dans le primtre

Les locaux du primtre de scurit doivent tre : > protgs contre laccs de personnes non autorises et donc a fortiori aux personnes trangres lorganisation . Une seule porte permet dy accder et lautorisation est donne par le responsable informatique, > protgs contre lincendie. Les portes doivent tre coupe-feu et des alarmes incendie doivent tre installes. Dautre part, les rgles suivantes doivent tre respectes : > les cls ne doivent en aucun cas tre accessibles au public. > les quipements de bureaux de type fax ou photocopieurs doivent tre situs dans un primtre sr, mais pas proximit des lments les plus essentiels, de faon ne pas multiplier les demandes daccs dans cette zone, > les portes et les fentres doivent tre fermes cl, en particulier en dehors des heures de bureau, > les accs, en particulier au rez-de-chausse, doivent tre protgs contre lintrusion, soit par des grilles ou par un systme de dtection lectronique coupl une alarme sonore, > les matriaux dangereux ou facilement inflammables (ceci inclut les cartons, papiers, poubelles et produits de nettoyage) ne doivent pas tre stocks proximit des lments vitaux ou importants.
Ces rgles sont des rgles de bon sens et mritent toutes dy figurer. Nanmoins, seules celles qui ont un sens dans votre environnement sont conserver. Lautorisation daccs peut tre donne par nimporte qui, du moment que la personne est au courant de sa responsabilit. Il peut notamment sagir dun oprateur ou dun rceptionniste. Prcisez cette personne dans la rgle. Demander cette personne de consigner toutes les entres et sorties (autres que celles des oprateurs habituels) dans un classeur est un plus non ngligeable. Selon lenvironnement, des mesures spcifiques de protection peuvent tre ajoutes : protection contre les inondations, les explosifs, la fume, la poussire, les vibrations, les produits chimiques, les interfrences avec lalimentation lectrique ou les radiations lectromagntiques.
26
S C U R I T
D E
S E C T I O N
Ah, ici a se complique ! Le bureau nest bien sr pas protg contre lincendie, les portes ne sont pas fermes cl, les entres ne sont pas protges Plus grave encore, le PC de travail sert toute la famille : les enfants qui grandissent (et qui ne vont pas tarder toucher tout sur le PC, comme ailleurs), le mari (l cest moins grave car en gnral cest pour donner un coup de main), mais aussi le petit frre qui vient parfois surfer sur le Web et accde certainement des sites louches Il faut vraiment faire quelque chose. Le plus simple serait dinvestir dans un autre PC qui pourrait servir pour les loisirs, mais pour cela, il faut dbloquer un certain budget. On verra donc a dans quelques mois, mais la dcision est prise : ce sera la solution dfinitive. Pour linstant, elle va dj mettre le PC dans un meuble qui ferme cl et elle ne laissera plus tout le monde y faire nimporte quoi. Il faudra galement rflchir la pose dune alarme dintrusion qui servirait tout autant des fins de protection de lhabitation. Il faudra en parler en famille. Pour ce qui est du texte, les paragraphes non applicables sont supprims.
Le contrle daccs la salle informatique est ralis par les personnes qui se trouvent la rception, tant donn quil doit toujours y avoir quelquun la rception, qui est un point de passage oblig. Pour la protection incendie, la situation tait moins brillante dans le sens o la porte daccs tait en simple carton expans et assurait donc une protection de 20 secondes en cas dincendie dans les bureaux voisins. La probabilit dun incendie ntant pas exclure du fait du grand volume de papier stock dans les pices voisines, il a t dcid dindiquer dans la politique quune porte coupe-feu tait ncessaire, ce qui permettra de lintgrer au budget de lanne prochaine. Dautre part, comme lensemble du btiment nest pas protg contre lintrusion et ne le sera pas pour des raisons conomiques, cette porte blinde assurera aussi cette fonction de protection-intrusion pour le matriel vital. En attendant, la porte de la salle des ordinateurs sera systmatiquement ferme cl, car ce ntait pas le cas jusqu prsent et le contrle visuel tait considr comme suffisant. Il savre cependant quil ny a parfois personne dans la grande salle pendant quelques instants (la nature a ses exigences !) et quun acte de vandalisme ne prendrait pas plus de 30 secondes De plus, laccs cette salle ne devrait se produire quune fois par jour en mode normal, la contrainte de la cl nest donc pas excessive. Un autre point inscrit comme une politique et fix comme un objectif mettre en uvre est la mise en ordre de la salle des ordinateurs et notamment den sortir tous les matriaux inflammables et en particulier le papier. Cette opration, simple a priori, savre plus complique quil ny parat parce quil faut trouver de la place pour stocker les quelques cartons et quil est difficile de pousser les murs. Nanmoins, cela devra se faire
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
27
D E F I N I T I O N
D E S
P O L I T I Q U E S
Scurit lectrique des quipements

Les alimentations lectriques des quipements vitaux doivent tre scurises : > par une alimentation de 2 sources diffrentes (2 fusibles sur 2 circuits) quand les quipements disposent de 2 alimentations ; > par une unit non interruptible qui garantit lalimentation pendant les petites coupures et suffisamment longtemps pour teindre les quipements proprement ; > par un gnrateur de secours.
Ce point est optionnel et les diffrents niveaux de secours lectrique dpendent uniquement du besoin de disponibilit des quipements, associ la qualit de la distribution lectrique dans votre localit. Il est nanmoins important de noter que les quipements lectroniques qui sont toujours sous tension sont trs sensibles aux problmes lis lalimentation lectrique. Disposer dun UPS pour un serveur sensible est tout fait souhaitable et recommand.
La qualit du systme lectrique nest pas une priorit pour les activits de Mme Giffre, qui ne tient donc pas compte de ces aspects. Elle peut vivre et travailler avec le niveau de qualit standard de la fourniture de llectricit dans sa commune. Elle ne mentionne pas ce point dans son manuel.
La seule scurit utilise est un petit onduleur qui protge des micro-coupures et fournit de lalimentation pour une vingtaine de minutes en cas de coupure. Ce systme est suffisant, nanmoins, il ncessite dtre coupl une mise en veille automatique du serveur, au cas o la panne durerait plus de 20 minutes. Le SAGA sest charg de cette opration.
28
S C U R I T
D E
S E C T I O N
Maintenance
Pour les ressources classifies comme importantes ou vitales, un contrat de maintenance doit tre conclu avec un dlai dintervention ou de remplacement garanti, compatible avec les besoins de disponibilit de la ressource. Lorsquun quipement quitte lorganisation pour maintenance, il ne doit pas contenir de donnes confidentielles. Si tel est le cas, et selon la sensibilit des donnes, une procdure spcifique doit tre dcide (traitement sur place, accompagnement du matriel, destruction du matriel, etc.).
La maintenance est un critre important pour optimiser la disponibilit des ressources. Comme il sagit galement dun facteur de cot, il faut bien faire concider le niveau de maintenance avec le besoin de disponibilit. Au pire, si le niveau de disponibilit requis est de plusieurs jours, la maintenance peut tre assure sans contrat et simplement par lassurance quil est possible de disposer dlments de remplacement dans le dlai requis. Dans tous les cas, il est ncessaire de se poser des questions sur ses propres besoins en matire de disponibilit et dadopter la rgle qui convient votre organisation. Le texte doit donc tre adapt en consquence. La rgle concernant lenvoi de matriel en maintenance est conserver uniquement si la notion dinformations confidentielles a un sens dans votre environnement. Il est important de sassurer ce niveau quune rflexion est mene dans ce genre de situation.
La maintenance ne fait pas partie du mode de fonctionnement du bureau de traduction. En cas de problme de matriel, il est emmen chez un rparateur. Si la rparation ne cote pas trop cher, le matriel est rpar. Sinon, il est remplac. Dans tous les cas, il est possible de retrouver un matriel quivalent en quelques jours. Pendant la priode dindisponibilit du matriel, Mme Giffre va travailler chez une amie qui dispose dun PC et dun accs Internet. Son activit nest donc pas bloque, elle peut juste perdre quelques commandes de clients qui lappelleraient pendant ce temps. Disposer dun deuxime PC, des fins de loisirs, dans la maison pourrait tre bien utile, galement comme matriel de secours Dans ce paragraphe, Mme Giffre a donc supprim les aspects concernant les contrats de maintenance. Par contre, elle a ajout une phrase pour ne pas oublier deffacer les donnes quand le PC va en rparation et de faire signer le document dengagement en matire de scurit.
La maintenance tant entirement couverte par le contrat de service avec le SAGA, que ce soit au niveau du matriel ou du logiciel, ce point tait conforme dorigine pour la mairie de Oldental.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
29
D E F I N I T I O N
D E S
P O L I T I Q U E S
Scurit des quipements hors des locaux

Les quipements utiliss pour le traitement des informations en dehors des locaux de lorganisation ( la maison, dans un htel, chez un client) sont soumis aux mmes procdures de scurit. Toutefois, leurs utilisateurs doivent tre particulirement vigilants aux risques de vols et ne pas les laisser sans surveillance ou dans un vhicule stationn. Une assurance spcifique doit tre contracte pour ce type dquipement. Une autorisation doit tre accorde par le responsable de lquipement dans lorganisation avant toute sortie de matriel. Celui-ci peut envisager lutilisation ou non doutils de cryptage des donnes prsentes sur le disque dur.
Ce point na de sens que sil risque dtre mis en uvre. Notez que ceci est souvent le cas et permet de sensibiliser les utilisateurs aux risques quils peuvent faire prendre lorganisation, mme en travaillant chez eux ou lhtel. Le deuxime paragraphe, concernant les assurances, est optionnel et est laiss au choix de la direction.
Pour linstant, ce point nest pas applicable. Mais Mme Giffre envisage dacheter un PC portable, qui lui permettra de travailler les week-ends ou lors de petits congs. Elle se dit en lisant ce point quil faudra faire attention ce PC. Par contre, elle ne prendra pas dassurance : elle prfre prendre des prcautions supplmentaires. Par exemple, elle ne laissera pas de documents clients sur le disque dur de ce PC, mais les stockera sur un CD-Rom quelle conservera dans son sac main.
Etant donn que le matriel de la mairie nest pas utilis en dehors des locaux, il a simplement t prcis que ce genre dutilisation est interdite. De cette manire, si les pratiques viennent changer lavenir, il faudra modifier ce point.
30
S C U R I T
D E
S E C T I O N
Mise au rebut ou r-utilisation des quipements

Tout quipement qui est mis au rebut ou rutilis dans un autre contexte doit tre vid de toutes ses donnes et les disques doivent tre reformats. Le systme sera rinstall si ceci est possible facilement. Selon la sensibilit des donnes stockes, la destruction physique des disques (au marteau) doit tre envisage.
Leffacement classique des fichiers nest pas suffisant car les donnes sont toujours prsentes sur le disque. La rinstallation du systme permet de sassurer quaucune trace des donnes ne peut subsister : cette manipulation nest nanmoins pas obligatoire. Si les comptences internes ne permettent pas de faire ces manipulations, elles peuvent tre ralises par un fournisseur externe, sous la surveillance dune personne de lorganisation. Notez que la solution consistant dtruire physiquement le disque est mentionne, car si les donnes ont une grande valeur, il est possible de les relire mme aprs plusieurs rcritures.
L encore, cest la protection des fichiers qui seraient stocks sur les disques durs qui inquite Mme Giffre Les disques seront effacs, mais comme son mari lui a dit que mme aprs les avoir effacs (en les mettant la poubelle avec la souris), les fichiers taient toujours prsents sur le disque, elle se dit que quand le cas se prsentera, elle demandera son mari de les dtruire physiquement. Cest plus sr
Depuis toujours, enfin depuis pas mal de temps (pour tre plus prcis), les disques qui quittaient la mairie (dfinitivement) taient effacs en utilisant le dplacement vers la poubelle de Windows, suivi de loption Vider la poubelle . Cette manipulation leur semblait suffisante et personne navait conscience que cette manipulation nefface pas rellement les fichiers du disque dur et quils peuvent tre rcuprs avec des logiciels utilitaires trs courants. En fait, le seul moment o lon narrive pas rcuprer un fichier aprs lavoir effac, cest quand on la fait par erreur ! Il a donc t dcid que les disques seraient reformats dornavant avant de quitter la mairie. Cest bien entendu un technicien de SAGA qui ralisera lopration, mais sous le contrle de M. Woller.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
31
D E F I N I T I O N
D E S
P O L I T I Q U E S
Bureaux en ordre
Les papiers et supports informatiques amovibles (CD-ROM, disquettes,) ne doivent pas tre empils sur les bureaux au vu et au su de tout le monde. Ils ne doivent pas non plus rester sur les imprimantes, fax ou photocopieurs. Les supports les plus importants sont stocks sous cls. Les supports vitaux sont stocks dans des coffres ignifuges. Lorsquune personne nutilise pas son PC pendant quelque temps, un logiciel conomiseur dcran (screensaver) doit tre activ en moins de 5 minutes. Un mot de passe doit permettre de quitter lconomiseur et de reprendre le travail. Il est interdit de supprimer ce mcanisme. Une poubelle spciale ou des dchiqueteurs doivent tre utiliss pour la destruction des documents papiers sensibles.
Ces rgles de bon sens mritent dtre rptes. Lutilisation de coffres est videmment facultative. La question doit nanmoins se poser : ny a-t-il pas de documents ou de supports qui valent plus que le prix dun coffre, notamment sils venaient tre dtruits par le feu en mme temps que dautres ? Linstallation de lconomiseur dcran protg par un mot de passe est une opration simple et gratuite dont la valeur ajoute nest pas ngligeable. Lutilisation de poubelles spciales ou de dchiqueteurs est facultative, mais doit tre envisage dans les cas o certaines informations auraient une grande valeur (pour un concurrent par exemple).
Le rangement du bureau nest pas le point fort de Mme Giffre. Nanmoins, elle comprend bien limportance de ce point et prend la rsolution de faire attention, en particulier en ce qui concerne les supports informatiques (disquettes et CD-Rom) contenant des dossiers clients. Pour les papiers sans importance, elle continuera les laisser comme elle a lhabitude. Lide de lconomiseur dcran lintresse : si elle laisse le PC quelques instants et que son an (qui va avoir 6 ans) venait pntrer dans le bureau, a viterait quil ne fasse des btises il est trs fort dans cet exercice !
Ici galement, tout le monde a souscrit facilement lide du bureau propre , mais la mise en uvre nest pas si facile que cela ! Lorsque cette ide est inscrite dans les politiques, comprises par tout le monde, les responsables doivent rpter cette directive pour viter de voir traner des disquettes. Quelques oprations commandos (consistant subtiliser les supports accessibles trop facilement et envoyer un e-mail aux intresss pour leur dire o rcuprer leur bien) ont t organises et ont eu un effet de sensibilisation non ngligeable. Mais il y a encore du travail
32
S C U R I T
D E
S E C T I O N
A s p e c t s
o p r a t i o n n e l s
e t
c o m m u n i c a t i o n s
Section 6 | Aspects oprationnels et communications

1 Procdures documentes
Toutes les oprations concernant le traitement des informations doivent tre documentes. Ceci sapplique aux traitements planifis (batch), aux arrts et redmarrages de systmes et aux procdures de sauvegarde de donnes. Outre les oprations normales raliser, ces procdures doivent prciser : les instructions en cas derreur, les conditions de dmarrage, le traitement des sorties (listings, impressions, etc.) Ces procdures sont mises jour par le responsable de linformatique et stockes dans le local xxx.
Cette section est facultative et na de sens que dans certains environnements, notamment en prsence de serveurs. Documenter les procdures de sauvegarde reste nanmoins un minimum applicable dans tous les cas. Si la procdure est conserve, il faut prciser le responsable et le lieu de stockage, pour que les intresss puissent toujours y avoir accs.
Le seul intrt de ce paragraphe rside dans les procdures de sauvegarde et de rcupration de donnes. Mais nous y reviendrons ci-aprs.
La seule procdure utilise par la mairie tant la sauvegarde des donnes, les procdures associes (backup et restore), ainsi que les procdures darrt et de redmarrage des serveurs ont d tre documentes par le SAGA, car il est apparu aprs rflexion que des erreurs seraient possibles en cas dindisponibilit de la personne qui sen occupe habituellement.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
33
D E F I N I T I O N
D E S
P O L I T I Q U E S
Sparation des environnements de dveloppement et de production

Les activits de dveloppement de logiciel ainsi que les activits de test ne doivent pas tre ralises sur les machines o sont installs les produits en cours de production. Cette sparation vise limiter les risques de modifications intempestives sur des donnes relles.
Ceci nest applicable que dans les cas o des dveloppements logiciels ont lieu dans lorganisation . Ne ngligez pas les petits dveloppements de type Access ou Excel qui pourraient perturber des activits de production. Cette option est en particulier ncessaire dans les environnements ncessitant une haute disponibilit.
Mme Giffre nest mme pas sre de comprendre la question et dcide que ce point ne la concerne pas et elle a raison ! Il en va de mme pour le point suivant.
Mme raction, ou presque, la mairie : nous ne sommes pas concerns par ce point, qui est donc supprim.
Gestion de ressources par des externes

Pour les ressources gres par des socits externes (liste), les points de scurit critiques doivent tre apprcis au pralable et les mesures de gestion particulires sont indiques dans le contrat.
On parle ici d outsourcing ou de facilities management , ou plus simplement dexternalisation. Si aucune de vos activits de traitement des informations nest confie des entreprises externes, vous ntes pas concern. Dans les autres cas, il faut prciser (dans la parenthse mentionnant liste ) quelles activits sont concernes. Il est important de se poser toutes les questions concernant les moyens apports par la socit pour garantir la scurit. Les diffrents points de votre manuel de scurit peuvent tre revus et servir de base au contrat.
Ce point ne concerne pas Mme Giffre.
La mairie est videmment concerne par les aspects de sous-traitance. Il doit tre expressment demand aux sous-traitants que sont le SAGA et KA, de respecter les procdures du prsent document (ce qui ne pose pas de problme, puisque le SAGA participe leur dfinition).
34
S C U R I T
D E
S E C T I O N
A s p e c t s
e t
Protection contre les logiciels malveillants

LES LOGICIELS MALVEILLANTS Lattaque par des virus ou autres logiciels malveillants est lun des risques les plus probables. Ceux-ci peuvent pntrer dans lorganisation par le biais de CD-Rom, disquettes, e-mail ou connexion Internet. Tous les ordinateurs de lorganisation doivent tre munis de logiciels de protection. Le responsable informatique est charg dinstaller les outils sur chaque machine et de sassurer que les outils sont constamment jour. Sont concerns : les postes de travail des utilisateurs, mais aussi les serveurs (en particulier de fichiers et de messagerie lectronique). Dautre part, un certain nombre mesures sont imposes aux utilisateurs qui pourraient compromettre la scurit. Ils ne peuvent pas : > empcher le fonctionnement des outils dantivirus (les dsactiver, les reconfigurer, empcher les mises jour, etc.) ; > installer des logiciels qui nont pas t approuvs par le responsable informatique. > lancer des programmes ou fichiers reus par e-mail, lorsquils nont pas t demands au correspondant, mme sil sagit dune connaissance proche (il a pu tre contamin lui-mme, cest le mode dinfection le plus courant). Les e-mails doivent tre dtruits ou il faut demander conseil au responsable informatique ; Les outils de vrification des e-mails entrants font non seulement du traitement de virus, mais liminent les fichiers attachs potentiellement dangereux (excutables, scripts, macros).
Ce paragraphe constitue lun des fondements de la scurit. Les modifications y apporter concernent les responsabilits adapter votre structure. Le dernier paragraphe (Section 6 Point 4 du modle) nest applicable que si vous disposez dun serveur de messagerie interne second ou non par une passerelle SMTP de scurit.
Dans ce domaine, Mme Giffre sait ce quil faut faire : un bon antivirus, et puis voil. Mais elle sait aussi que la licence de son produit nest plus jour et, aprs rflexion, elle nest pas sre quelle soit rellement protge Elle va donc voir son revendeur en micro-informatique et choisit avec lui un outil pour lequel la mise jour de la licence est plus facile. Pour la mise jour du produit lui-mme, cest comme pour lancien : elle se fait automatiquement par Internet. Elle est satisfaite de cette situation, car elle ne veut pas faire comme lun de ses concurrents (et nanmoins ami) qui a d refaire plus de 2 ans de documents aprs avoir ouvert un e-mail qui contenait un virus.
La protection contre les virus a toujours t srieusement prise en compte au sein de la mairie. Un logiciel est install sur chaque PC. La mise jour est faite de manire quotidienne, automatiquement, en allant chercher sur le serveur le dernier fichier contenant les signatures des virus (ce qui permet de les reconnatre). Le serveur, lui, va chercher les signatures sur Internet. De plus, sur le serveur de messagerie sur lequel sont hbergs les messages reus depuis Internet, un autre antivirus vrifie galement les messages ds leur rception. La lecture de la politique concernant les pices jointes a bien clair les diffrents utilisateurs sur les dangers potentiels des pices jointes.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
35
D E F I N I T I O N
D E S
P O L I T I Q U E S
Sauvegarde des donnes

La sauvegarde des donnes, mais aussi des logiciels spcifiques ou configurs spcifiquement pour lorganisation , est une activit vitale. En effet, un sinistre (incendie, inondation) ou, de faon plus courante, un problme sur un disque peut facilement dtruire ces informations. Les informations importantes ou vitales doivent tre sauvegardes selon une priodicit compatible avec leur importance pour les activits de lorganisation . Selon le type dinformations, le cycle de sauvegarde doit tre effectu 3 niveaux. Une sauvegarde journalire sur un support qui est rutilis chaque semaine (la sauvegarde du lundi crase la sauvegarde du lundi prcdent). Une sauvegarde hebdomadaire avec un cycle de 4 5 semaines. Une sauvegarde mensuelle avec un cycle annuel. La sauvegarde hebdomadaire est en fait transforme en sauvegarde mensuelle une fois par mois (la dernire du mois). La dernire sauvegarde annuelle est archive dfinitivement en cas de besoin lgal. Les sauvegardes hebdomadaires et mensuelles doivent tre stockes dans le local xxx o les mmes conditions de scurit que dans le primtre de scurit doivent tre garanties en terme de protection contre le vol ou laccs illgal. Les supports qui ne sont plus utiliss doivent tre effacs ou dtruits. Ceci sapplique tous les supports, quils soient informatiques, papiers ou autres. La sauvegarde de donnes peut galement servir en cas derreur humaine afin de repartir dune situation antrieure fiable. La procdure de rcupration des donnes est ncessaire dans ce cas et ce qui est, de plus, loccasion de tester cette procdure. Si ce cas ne se produit pas, il faut faire des tests de la procdure au moins une fois par an.
Encore un paragraphe essentiel. Si un sinistre majeur se produit, le matriel peut en gnral tre rachet ; ce nest quune question de budget et les assurances sont l pour a. Par contre, il est gnralement impossible de recrer des donnes, ce qui est frquemment la cause de la disparition des entreprises aprs un sinistre informatique majeur. La procdure peut tre adapte votre environnement, mais elle donne les bases de la faon de travailler. Il est ncessaire de prciser le lieu de stockage des sauvegardes hebdomadaires et mensuelles, qui peut tre un autre local de lorganisation, une socit spcialise dans ce genre de services (ils viennent chercher les supports demeure) ou le domicile dun dirigeant. Attention, dans ce dernier cas, la protection du lieu de stockage si les informations ont une valeur marchande.
36
S C U R I T
D E
S E C T I O N
A s p e c t s
e t
Avant de sengager dans cette dmarche, Mme Giffre ne stait jamais trop rendue compte de limportance de ses fichiers Par exemple, elle ne savait pas que la perte de donnes suite un dysfonctionnement de disque tait un problme courant, voire difficile viter dans la vie dun utilisateur informatique. Pour elle, le traitement est simple : tous les mois, elle met sur un CD-Rom ses fichiers modles importants et ses informations de facturation. Le dimanche suivant, quand elle va djeuner chez ses beaux-parents qui habitent un petit village environnant, elle laisse le disque son beau-pre qui a trouv une super cachette. Elle rcuprera aussi les vieux disques pour les dtruire au bout dune anne.
La sauvegarde des fichiers, et en particulier des donnes associes lapplication Gesum, a t mise en place ds linstallation de lapplication, ce qui tait tout fait judicieux. Les sauvegardes sont ralises chaque jour, en alternant 5 bandes (du lundi au vendredi). Celles-ci sont stockes quotidiennement dans le coffre fort qui est dans la pice voisine. Cette faon de procder paraissait a priori suffisante. Cependant, aprs rflexion, il apparat que si un sinistre majeur (type incendie) se produisait, lensemble des archives papiers serait dtruit, mais en plus il y a de fortes probabilits que les bandes magntiques ne survivent pas lintrieur du coffre (le plastique fond !). Il a donc t dcid que la dernire sauvegarde du mois serait transporte dans un des autres locaux de la commune o elle serait stocke pendant 1 an, avant dtre crase par la sauvegarde du mme mois de lanne suivante. Ceci constitue une sauvegarde 2 niveaux, qui entrane une perte dun mois maximum en cas de sinistre. Les procdures proposes ont donc t modifies en consquence. Notez que, comme prvu dans le contrat, la socit KA sassure de faon quotidienne que les sauvegardes, ainsi que les mises jour des antivirus, se font correctement. Le fait de tester les procdures de restauration est une prcaution laquelle le receveur (qui soccupe des sauvegardes) tait dj sensibilis. En effet, il y a quelques mois, il a perdu toutes les donnes sur les paiements effectus depuis 1 mois la suite dune fausse manipulation. Il a donc dcid de rcuprer les donnes sauvegardes et sest alors aperu que la procdure de sauvegarde ne permettait pas de restaurer les donnes dont il avait besoin. Laventure lui a cot une semaine de travail jusqu 22h. La procdure de sauvegarde a t modifie par le SAGA pour que le problme ne se reproduise pas lavenir. Maintenant, il sait quil FAUT tester ces procdures AVANT den avoir besoin !!!
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
37
D E F I N I T I O N
D E S
P O L I T I Q U E S
Scurit des mdias pendant les transports

Lorsque des mdias contenant des donnes de lorganisation sont transports ou expdis, les mesures suivantes sont prises selon leur niveau dimportance : > utilisation dun emballage qui ne peut tre ouvert sans laisser de trace ; > une mallette ouverture code sert de contenant ; > la livraison est faite par un membre de lorganisation .
Paragraphe optionnel conserver si applicable (Section 6 Point 6 du modle). Dans le doute, le conserver ne cote gure. Les diffrentes mesures peuvent tre conserves ou pas et dpendent de limportance des donnes transportes et donc de leur applicabilit dans votre organisation. Notez que la simple dtection de la consultation dun support ne sert rien si la diffusion des informations constitue un risque majeur. Cette mesure nest utile que pour valider le transporteur et pour sassurer que linformation nest pas modifie (intgrit).
Tiens, voil un point que Mme Giffre ne sattendait pas voir apparatre dans ce type de document : le transport physique, et non pas informatique. En fait, cest un point quelle a dj trait depuis longtemps : les documents clients sensibles, elle les livre elle-mme. Par contre, elle a constat que des clients ponctuels ny accordent pas la mme importance : certains vont jusqu lui laisser directement dans la bote lettre des documents personnels et confidentiels, sans len avertir et donc sans garantie quant au dlai de traitement de ces documents (elle pourrait tre en vacances). Elle continuera donc faire trs attention ses documents papier, mais elle fera dornavant plus attention ses documents informatiques.
Pour les transports de courriers confidentiels, qui ne sont pas nombreux la mairie, lemballage de type recommand est utilis, ou un employ est directement envoy, ce qui assure un risque minimal.
38
S C U R I T
D E
S E C T I O N
A s p e c t s
e t
Courrier lectronique
Le courrier lectronique standard sur Internet ne peut en aucun cas tre considr comme un moyen de communication sr. Il peut arriver un mauvais destinataire, se perdre, tre modifi ou tre lu par un tiers. En consquence, toute opration qui engage lorganisation doit tre confirme par un autre support en plus de le-mail (tlphone, courrier, fax, etc.) pour viter une erreur de destinataire ou une modification de prix ou de quantit. Les informations confidentielles ne doivent pas tre envoyes par e-mail ou uniquement en utilisant un mcanisme dencryption agr avec les correspondants. Dautre part, le systme de messagerie de lorganisation est destin un usage professionnel. Un usage personnel modr est tolr. La responsabilit de lutilisateur est personnellement engage en cas dutilisation dlictueuse des outils. Notez que dans un souci de rpondre des contraintes de traabilit, il est possible quune partie ou lensemble des messages changs par les membres de lorganisation soient conservs.
Ce paragraphe vise autant fixer des rgles de travail de base qu informer les utilisateurs sur les dangers de loutil. Les limites dutilisation (personnel-professionnel) des outils sont au bon vouloir de chacun. Nanmoins, la limite propose parat raisonnable et permet de dterminer une rgle. Si les e-mails, notamment ceux qui auraient un caractre personnel, sont archivs, les utilisateurs doivent en tre informs.
Mme Giffre a appris beaucoup de choses en lisant ce paragraphe et a dcid de le conserver tel quel en pensant dventuels futurs collaborateurs. Dautre part, avec ses clients institutionnels, elle va commencer parler de cryptage des e-mails, car la plupart des changes de documents se font par ce biais.
A la mairie, le courrier est essentiellement utilis pour changer des informations mais pas pour des relations commerciales, telles que des commandes, puisquelles sont toujours confirmes par courrier. La politique propose a donc t adopte sans modification particulire.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
39
D E F I N I T I O N
D E S
P O L I T I Q U E S
Section 7 | Contrle daccs
Politique de contrle daccs

Laccs aux applications et aux donnes (fichiers, base de donnes) qui ont t classifies comme importantes ou vitales, est rserv aux personnes autorises et interdit toute autre personne, quelle soit interne ou externe lorganisation . Le droit daccs chacune de ces ressources est accord par le responsable des donnes tel que dfini dans la section 2 Attributions des responsabilits . Il dfinit galement le type daccs aux informations : lecture seule, modification ou droit deffacement. Cest lui qui peut accorder, faire modifier ou supprimer tout droit daccs ces donnes. La cration du droit daccs est techniquement mise en uvre par le responsable de linformatique.
Ce paragraphe est essentiel sil y a des donnes protger, ce qui est quasiment toujours le cas. Si le nombre de ressources est trs limit (par exemple une seule base de donnes), le texte peut tre adapt en prcisant directement la ou les ressources concernes. Vrifiez que le paragraphe (Section 7 Point 1 du modle) est effectivement cohrent avec celui de la section 2. Prcisez la personne qui met les droits daccs en uvre. Il peut y en avoir plusieurs selon les systmes.
Pour le bureau de traduction, ce sont videmment les documents clients qui reprsentent les donnes protger.
Comme dj cit ci-avant, les droits daccs sont accords par les responsables de domaines fonctionnels (administration, financier, taxe, etc.) et sont ensuite mis en uvre par le SAGA.
40
S C U R I T
D E
S E C T I O N
Contrle daccs
Gestion des droits daccs

Avant de crer un compte personnel pour un utilisateur, le responsable de linformatique sassure que les responsables des donnes ont donn leur accord pour laccs aux diffrents groupes dutilisateurs, disques, rpertoires et applications. Il en profite pour passer en revue les membres des groupes et leurs droits. Cette vrification se fait par tlphone, lors dune runion informelle, laide dun document sign par le propritaire. Lorsquun utilisateur change de fonction ou quitte lorganisation , le responsable du personnel en informe le responsable informatique qui fait tout de suite les modifications ncessaires. Les droits privilgis ou les comptes privilgis super-user ne sont accords que lorsque cela savre indispensable pour les personnes concernes et durant la priode requise. Les mots de passe provisoires, attribus aux comptes lors de leur cration, sont communiqus de manire sre, perdent leur validit aprs une (1) utilisation et doivent tre modifis par lutilisateur.
Cet aspect sapplique aux environnements comprenant des comptes utilisateurs, notamment en cas de ressources partages (serveurs de fichiers ou applications). Dans les autres cas, le point peut tre supprim, ou mieux, tre mis entre parenthses, afin de penser le mettre en uvre en cas dvolution de la structure. Les diffrents rles doivent tre adapts la structure de lorganisation. Le mode de vrification propos doit tre slectionn selon ce qui se fait ou peut se faire dans votre cas, notamment si une personne cumule plusieurs responsabilits. Dautres modes de communication des mots de passe peuvent tre choisis, condition quils garantissent un minimum dauthentification des partenaires (vitez le-mail non crypt). Il en va de mme pour la communication avec lutilisateur. La gestion des comptes et des droits des utilisateurs est un aspect important et doit tre ralise de manire rigoureuse.
Ce point nest pas applicable cet environnement o aucun compte utilisateur nexiste. Mais Mme Giffre la conserv, en se disant quun jour peut-tre
La communication entre les responsables de domaines fonctionnels et le SAGA se font par FAX. Le rdacteur du secrtariat est charg de communiquer au SAGA le dpart de membres du personnel (pas trs courant !).
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
41
D E F I N I T I O N
D E S
P O L I T I Q U E S
Gestion des mots de passe

Le mot de passe de chaque utilisateur est lune des principales manires de garantir la scurit des systmes. Chaque utilisateur doit donc : > garder secret son mot de passe ; > viter de le mettre sur papier ou dans un fichier moins quil puisse tre stock de manire sre (coffre ou fichier encrypt), ni dans un script de connexion automatique ; > changer son mot de passe au moindre doute dune divulgation ; > utiliser un bon mot de passe, savoir : dau moins 6 caractres quil retiendra facilement qui ne soit pas un nom commun, un nom propre ou une date contenant la fois des lettres, des chiffres, des caractres spciaux, des majuscules et des minuscules changer rellement le mot de passe lorsque le systme le requiert (et ne pas rutiliser un ancien mot de passe ), savoir au moins tous les 3 mois Un mot de passe respectant ces rgles simples peut tre rutilis sur diffrents systmes.
Ce paragraphe a galement une vocation de formation et dinformation. Il est a priori applicable dans tous les cas. Les rgles proposes sur la qualit du mot de passe peuvent tre adaptes aux besoins spcifiques de lentit. Nanmoins, elles constituent en ltat un bon niveau minimum et peuvent tre conserves telles quelles.
Le seul mot de passe grer est celui du compte e-mail chez le fournisseur daccs Internet. Mme Giffre se dit que sur ce compte sont stocks les e-mails reus des clients, sans compter quun utilisateur pirate pourrait lui causer du tort en envoyant des messages de sa part. Elle dcide donc de grer ce mot de passe comme prconis dans le document.
A la mairie dOldental, un comportement assez courant, mais dangereux, a t constat dans ce domaine. Les mots de passe, attribus par dfaut, ntaient pas spcifiques lutilisateur, de sorte que tout le monde avait le mme mot de passe. Si cette manire de travailler est pratique, elle enlve toute utilit au mot de passe, qui est souvent le principal rempart contre un intrus. En effet, toute personne qui aurait un jour travaill la mairie pourrait connatre les mots de passe et, la nature humaine tant ce quelle est, on pourrait imaginer que cette personne (il suffit dune personne) la communique quelquun dautre Le cas parat mme pire dans la situation dOldental, dans le sens o les autres communes utilisent probablement le mme mot de passe, qui est donc peut-tre connu par des centaines de personnes !!! La mise en uvre des rgles dusage simples proposes est donc un grand pas en avant.
42
S C U R I T
D E
S E C T I O N
Contrle daccs
Utilisation de rseaux externes

La connexion des rseaux externes, et en particulier Internet, doit se faire dans des conditions appropries. 1) Seules des postes de travail spcifiques sont autoriss sy connecter directement, mais aucune donne de lorganisation nest stocke sur ces postes de travail. En cas de problme, ces ordinateurs sont reformats. Ces ordinateurs ne sont pas connects au rseau local de lorganisation et ne peuvent tre partags par plusieurs utilisateurs. 2) Seules des postes de travail spcifiques sont autoriss se connecter directement, sur lesquels les logiciels de protection indispensables, savoir un pare-feu personnel (personal firewall) et au moins un antivirus, sont installs. Le pare-feu doit tre configur de faon nautoriser que les connexions sortantes connues vers les services et rseaux permis. 3) Seuls des postes de travail spcifiques sont autoriss se connecter mais ils doivent tre dment autoriss sur la passerelle de scurit (firewall) par laquelle doivent passer toutes les connexions sortantes. Tout autre mode de connexion est interdit. Les autres ordinateurs ntant pas autoriss se connecter, ils ne doivent pas tre quips dun modem. Les utilisateurs accdent lextrieur conformment leurs responsabilits professionnelles. En particulier, les sites web proposant un contenu non professionnel doivent tre slectionns de manire similaire aux autres supports : les sujets dlictueux, immoraux ou simplement dplacs sont exclus. Le responsable informatique met en uvre les procdures en sassurant que les ordinateurs en contact direct avec lextrieur sont toujours protgs par les outils adapts aux menaces du moment et au niveau des dernires versions logicielles. Ce point (Section 7 Point 4 du modle) est trs dpendant de la structure de lorganisation. Il faut choisir entre les 3 solutions proposes. Si lorganisation est trs petite et ne dispose que dun seul PC, il est le seul pouvoir tre connect vers lextrieur. Cest donc le choix n2 qui doit tre slectionn. Si lorganisation est un peu plus grande, il peut y avoir un ou deux PC ddis laccs vers lextrieur. Solution 1. Dans le cas dun rseau local o plusieurs utilisateurs doivent accder Internet, la solution 3 doit tre choisie. Dans les 3 cas, on peut remplacer postes de travail spcifiques par la liste de celles-ci.
Le document est clair : pour la structure du bureau de traduction, cest la solution n2 qui sapplique. Nanmoins, Mme Giffre se rend compte que son logiciel antivirus nest pas suffisant. En discutant avec dautres personnes, elle apprend que des milliers de gens sur Internet samusent avec des logiciels automatiques essayer de rentrer sur nimporte quel ordinateur, dont le sien ! Ils peuvent ainsi dtruire des fichiers, ou pire, les copier pour en faire ce quils veulent. Lautre logiciel conseill semble donc tre indispensable pour elle. Elle ira donc voir chez son revendeur dans les plus brefs dlais et lui demandera des renseignements sur un bon pare-feu personnel.
Pour la mairie, tous les accs vers lextrieur sont contrls par une passerelle de scurit (ou pare-feu). Ce pare-feu est configur par le KA de manire nautoriser que le minimum de communications ncessaires, et en tout cas uniquement en sortie ( part le courrier lectronique qui peut bien entendu entrer et la maintenance distance). La mise jour des logiciels fait partie du contrat de support avec KA.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
43
D E F I N I T I O N
D E S
P O L I T I Q U E S
Connexion de lextrieur
La connexion depuis un rseau extrieur vers les systmes de lorganisation doit tre restreinte aux cas indispensables. A ces occasions, la connexion se fait de faon forcer lauthentification de lutilisateur distant par un moyen sr (autre quun mot de passe non crypt). Pour les accs en maintenance, sur des ports spcifiques de systmes, les moyens de communication (modem en gnral) doivent toujours tre teints et mis sous tension seulement en cas de besoin par le personnel interne qualifi. Cette mme personne est responsable de la mise hors tension qui DOIT tre ralise ds que possible. Lquipement est configur pour se mettre hors service aprs une connexion russie : il faut alors lteindre, puis le rallumer pour obtenir une connexion.
Ce point (Section 7 Point 5 du modle) est extrmement sensible. Une solution est propose ici. Nanmoins, la mise en place dun mcanisme de contrle est dlicate et un mcanisme dauthentification (certificat lectronique, carte spcifique, mcanisme ddi, etc.) doit tre mis en uvre, si possible par un spcialiste du domaine. Le mcanisme choisi peut tre mentionn dans la rgle. Comme spcifi, un simple mot de passe chang sur une communication non crypte nest pas suffisant. Selon ce qui a t choisi au point prcdent, on peut imaginer prciser (dans le cas n3) que lauthentification est faite au niveau pare-feu. Pour les accs sur les ports de maintenance, la personne charge de la mise sous tension peut tre prcise.
Cet aspect a lair assez compliqu et, comme il nest pas ncessaire, Mme Giffre se contente de prciser que laccs depuis lextrieur est interdit chez elle.
Les connexions de lextrieur sont limites aux connexions issues du SAGA et de KA, ralises par le biais du routeur, sur lequel un rappel dun numro prdfini est ralis (call-back), puis au travers du firewall. Il ny a pas daccs par modem (et tant mieux pour la scurit !).
44
S C U R I T
D E
S E C T I O N
Contrle daccs
Sparation de rseaux
Dans le cadre de rseaux plus complexes comprenant diffrentes zones de scurit, le pare-feu est utilis pour sparer ces diffrents rseaux. Le pare-feu est configur de faon ne laisser passer que les flux des utilisateurs autoriss. Si une machine est trop sensible, elle est isole du reste des systmes, physiquement et/ou logiquement.
Ce point est optionnel et ne sapplique que si des zones diffrentes peuvent tre identifies, par exemple, les postes de travail et les serveurs internes, les serveurs Internet, les utilisateurs ou les serveurs dune autre socit (partenaire, filiale, etc.). Dans les autres cas, supprimez ce point. La sparation dun ordinateur contenant, par exemple, des informations sur le personnel est une manuvre simple mais il faut alors sassurer que les autres aspects de la scurit, notamment la sauvegarde des donnes, sont assurs.
Cet aspect na videmment aucun sens dans une petite entreprise telle que le bureau de traduction et nen aura probablement jamais. Si le besoin sen fait sentir, cela voudra probablement dire que les affaires vont trs bien et permettent de se payer les services dun spcialiste.
Aucun sens non plus pour le petit rseau (24 ports) de la mairie. Ce point nest pas repris dans la politique.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
45
D E F I N I T I O N
D E S
P O L I T I Q U E S
Procdure de connexion
Les crans daccueil sur les diffrents systmes sont configurs pour : > donner le minimum dinformations, et si possible aucune, sur le systme, lapplication et lorganisation tant que lutilisateur ne sest pas correctement identifi ; > afficher un message du type Accs interdit toute personne non autorise ; > limiter le nombre de tentatives 3 essais avant de refuser lutilisateur ; > si possible, afficher la date et lheure de la dernire connexion ainsi que les tentatives de connexion, ce qui doit tre vrifi par lutilisateur qui sassure quil ny a pas eu de connexion frauduleuse.
Ces petits trucs sont en gnral faciles mettre en uvre, non coteux et font avancer les choses, tant au niveau de la scurit et de la sensibilisation que de la protection lgale. Ils sont mettre en uvre par le(s) gestionnaire(s) de linformatique.
Ces petits trucs sont surtout destins aux organisations o plusieurs personnes se connectent sur un mme serveur, ce qui nest pas le cas dans le bureau de traduction. Ce texte nest donc pas conserv.
A part la limitation 3 tentatives de connexion, les autres aspects navaient pas t mis en uvre par le SAGA. Ils ont donc t demands. Ces points peuvent paratre superflus, mais il faut savoir que, dans certains cas, il est arriv que des poursuites lencontre dun pirate aient t arrtes parce que le message Bienvenue tait crit sur le site victime et que le pirate a argument avoir t invit ! Dautre part, on vite de mettre le nom de la socit, du systme ou de lapplication avant dtre connect de faon ne pas attirer lintrus, ni lui donner dinformation qui laiderait pntrer (chaque systme ayant ses propres dfauts de conception et ses faiblesses).
46
S C U R I T
D E
S E C T I O N
D v e l o p p e m e n t
e t
m a i n t e n a n c e
d e s
s y s t m e s
Section 8 | Dveloppement et maintenance des systmes

1 Utilisation de lencryption
Lencryption (ou cryptage), qui consiste rendre illisible un tiers non autoris des donnes et lempcher de les stocker ou de les transporter, doit tre utilis dans le cadre du transport dinformations vitales et confidentielles pour lorganisation , notamment par e-mail. Le choix des moyens de cryptographie utiliser incombe au responsable informatique qui peut sappuyer sur des comptences externes. Lutilisation du cryptage ncessite gnralement lintervention dun spcialiste du domaine. Nanmoins, et pour faire une premire rgle simple, cette politique permet de faire passer le message et de donner une piste pour la mise en uvre. Sa mise en uvre au niveau du courrier lectronique est la plus vidente.
Mme Giffre voit bien que ce type de technologie devrait tre mis en uvre pour ses changes de documents avec ses clients. Nanmoins, pour linstant, elle ne voit pas comment elle pourrait le mettre en uvre. Il faudra quelle en parle avec son principal client, qui pourra peut-tre la mettre sur la bonne voie. En attendant, elle conserve le texte propos : comme cela, elle sera prte si les choses voluent. Il en va de mme pour la signature lectronique.
Lutilisation de cette technologie, ainsi que celle de la signature lectronique, nest pas encore lordre du jour. Mais il est vident que quand le moment viendra, elle devra tre mise en uvre sous le contrle du Collge chevinal, par un intervenant extrieur, probablement le SAGA.
La signature lectronique
La signature lectronique est une mthode qui garantit lauthenticit de la source dun message (lexpditeur), mais aussi que le message na pas t modifi pendant son transport. Cette technologie doit tre mise en uvre dans les cas dchange de-mails avec des entits extrieures et qui pourraient avoir valeur dengagement pour lorganisation . Cest le responsable informatique qui doit implmenter cette technologie pour les utilisateurs.
Ce point est optionnel mais mrite dtre mentionn titre dinformation. Adaptez la responsabilit votre structure.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
47
D E F I N I T I O N
D E S
P O L I T I Q U E S
Section 9 | Gestion de la continuit de lentreprise
La continuit de fonctionnement
La continuit de fonctionnement de lorganisation ncessite que les ressources considres comme importantes ou vitales (cf. section 3) continuent dtre en tat de marche. Selon leur type, ces ressources peuvent subir les dommages suivants : > effacement de donnes ; > modification intentionnelle ou accidentelle de donnes ; > panne simple ou totale dun quipement ou dun logiciel ; > destruction complte dun quipement ou de plusieurs, voire de tous (sinistre type incendie). Un certain nombre de rgles fixes dans le prsent document ont pour objet de rduire la probabilit dun tel vnement. Nanmoins il faut envisager quil puisse se produire et le prvoir. Pour chacune des ressources rpertories en Section 3, un des cas de figure suivants doit tre choisi : > rien nest prvu ; > ce sont des donnes : les sauvegardes, et notamment celles qui sont stockes en dehors du site sont suffisantes ; > cest une application : les sauvegardes sont suffisantes. > cest une application : les sauvegardes sont associes un contrat de maintenance auprs dun fournisseur qualifi qui pourrait rinstaller et/ou reconfigurer lapplication en moins de XX jours ; > cest un matriel que lon peut racheter et se faire livrer et installer en moins de XX jours ; > cest un matriel pour lequel un contrat de maintenance avec le fournisseur nous garantit une remise en tat dans un dlai de XX jours ; > cest un matriel pour lequel nous disposons dun matriel de secours stock dans le local XX. > cest un matriel pour lequel nous disposons dun contrat avec un fournisseur qui nous garantit de mettre lquivalent disposition en XX heures/jours ; > cest un matriel pour lequel nous disposons dune configuration quivalente qui est accessible sur le site de XX. Lors de la rvision annuelle de la liste des ressources, il faut se reposer la question et savoir si la mme solution est toujours applicable et si cest bien la mieux adapte. De mme, en cas de sinistre total des locaux et des ressources des technologies des informations, les activits reprendraient dans les locaux XX dans un dlai de XX jours. Les ressources non essentielles, mais dont il faut disposer au minimum (ex : tlphones et PC), sont obtenues auprs de nos fournisseurs dans un dlai de XX jours.
48
S C U R I T
D E
S E C T I O N
G e s t i o n
d e
l a
c o n t i n u i t
d e
l e n t r e p r i s e
Cet aspect est optionnel pour les organisations o aucune ressource des technologies des informations nest importante ou vitale, cest--dire quasiment jamais. Dans les autres cas, son niveau dapplication dpend du niveau de dpendance ces technologies ; do limportance de linventaire des ressources. Dans la liste des solutions retenues, celles qui ne sont pas applicables dans votre organisation peuvent tre supprimes et, si dautres sont slectionnes, elles doivent tre ajoutes. Le paragraphe sur le sinistre majeur est surtout l pour provoquer la rflexion sur le sujet. Lidal serait de dcrire un plan de secours complet, mais nous sortons l des limites du prsent document. Nanmoins, si cette rflexion a rellement lieu, il est indispensable de dcrire les scnarios qui sont envisags.
Zut ! Effectivement la question mrite dtre pose ! Mme Giffre y apporte des solutions simples, pratiques et de bon sens : > ses donnes importantes sont sauvegardes et stockes dans un autre lieu > tout son matriel peut-tre remplac facilement > si un gros sinistre se produisait, elle pourrait toujours aller travailler chez une amie quelques jours (elle la dj fait) et racheter du matriel, voire le louer ou travailler dans des locaux tout quips en location. Les solutions ne manquent pas.
Globalement, mme si lensemble de la dmarche de scurit navait pas t mene mthodiquement, la mairie stait pose la question du et si tout brlait ? . La solution retenue permet de satisfaire aux exigences de survie, savoir : > le contrat de service avec le SAGA et KA pour le matriel et le logiciel, associ aux assurances ; > le contrat de service avec lentreprise de P&T qui pourrait rinstaller un central dans un autre site et rediriger les appels vers ce site ; > les sauvegardes de donnes ( condition quau moins une sauvegarde mensuelle soit stocke en dehors des locaux).
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
49
D E F I N I T I O N
D E S
P O L I T I Q U E S
Section 10 | Conformit
Identification de la lgislation applicable

Le non-respect de la lgislation dans le domaine des technologies des informations peut mettre lorganisation dans une situation dlicate vis--vis de ses clients (image de marque) mais aussi avoir des consquences financires (amendes) ou pnales (responsabilit des personnes). Lorganisation doit donc respecter la loi, notamment en ce qui concerne : la proprit intellectuelle ou les droits dauteurs, la protection des donnes oprationnelles obligatoires et les donnes caractre personnel.
Ce premier paragraphe (Section 10 Point 1 du modle) est une introduction pour situer les paragraphes suivants dans le cadre de ce document. Toutes les organisations doivent le conserver. Les seules modifications envisageables a priori pourraient servir insister sur un domaine particulier (dans une organisation qui traiterait spcifiquement dun des domaines). Par exemple, une socit travaillant dans ldition de musique pourrait insister sur les droits dauteur.
Mme Giffre pense quelle nest pas vraiment concerne par ce domaine. On verra cela dans les prochains paragraphes
Pour la mairie, le respect de la loi est indispensable, dans ses moindres dtails. Le paragraphe est gard tel quel, mais les prochains vont tre discuts
50
S C U R I T
D E
S E C T I O N
1 0
C o n f o r m i t
Proprit intellectuelle
Lorganisation doit aussi veiller au respect des droits dauteurs et licences. Les sanctions pour le non-respect de ces lois peuvent mettre en danger lorganisation . En particulier, on sattache au respect des droits dauteur sur les uvres littraires et artistiques originales auxquelles sont assimils les bases de donnes et les programmes dordinateur, comme dfini dans la loi du 18 avril 2001. Le responsable informatique doit vrifier ce respect pour les programmes et les diffrents responsables de donnes pour les donnes dont ils sont propritaires. En cas de doute, ils peuvent consulter la loi sur le site Internet du Ministre de lEconomie et du Commerce extrieur, ou faire appel un juriste. Il faut notamment respecter les principes de base suivants : > Toute reproduction, communication au public ou distribution au public doit tre autorise par lauteur. > Ceci sapplique aussi la diffusion par Internet. > Il faut acheter une licence pour pouvoir utiliser un logiciel. > Il faut respecter les droits des marques (voir sur le site Internet du Bureau Benelux des Marques).
Ce paragraphe a galement un but ducatif. Nanmoins, il fixe des responsabilits, quil faut adapter en fonction de la structure de lorganisation.
Seules les licences de logiciels proccupent Mme Giffre. Pour linstant, elle utilise peu de logiciels et a une licence pour chacun deux. Il faut quelle soit particulirement vigilante si dautres personnes, notamment les enfants, viennent utiliser le PC et y installent des programmes pirats. Ce problme devrait se rgler par lutilisation de celui-ci des fins uniquement professionnelles cest dcidment une bonne ide. Pour les droits sur les bases de donnes, elle accde effectivement une base sur Internet, mais celle-ci est mise la disposition des traducteurs par un de ses clients. Elle a donc le droit de lutiliser.
A la mairie, il ny a pas de soucis en ce qui concerne les logiciels : ils sont installs par KA qui fournit les licences. Les bases de donnes utilises sont purement internes et aucune uvre artistique ou littraire nest utilise, ce nest vraiment pas le boulot dune mairie ! Pour les responsabilits, M. Woller sy colle de nouveau comme pour toutes les responsabilits informatiques. Les autres responsables de donnes se partagent le reste, ce qui ne reprsente rien en termes de travail, juste dtre attentif au sujet.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
51
D E F I N I T I O N
D E S
P O L I T I Q U E S
Protection des donnes oprationnelles

Selon le caractre des donnes traites, lorganisation est tenue par la loi du 2 aot 2002 relative la protection des personnes l'gard du traitement des donnes caractre personnel de mettre en place des mesures appropries pour empcher toute personne non autorise daccder aux installations utilises pour le traitement des donnes. Les donnes correspondant lactivit commerciale doivent tre conserves, sous une forme ou une autre, pendant dix ans partir de la clture de lexercice auquel elles se rapportent.
Ce paragraphe (Section 10 Point 3 du modle) a un rle dinformation important parce que la loi laquelle il se rattache est rcente. Elle montre que les prcautions de scurit prsentes travers le prsent document ne sont non seulement essentielles mais quelles sont en plus obligatoires. Elle rappelle aussi la dure lgale de conservation des documents, ce qui est important et pourrait ncessiter une adaptation si certains documents obligatoires ne sont conservs QUE sous forme informatique, notamment sur le traitement des sauvegardes.
Pour Mme Giffre, rien de nouveau : ses documents obligatoires sont sous forme papier et conserves par son comptable. Cest lui qui assure galement larchivage.
Larchivage est gr de faon trs professionnelle depuis toujours ; ce niveau, pas de soucis. La mise en uvre de tous les autres points de la politique devrait permettre de respecter lobligation de protger linformation.
52
S C U R I T
D E
S E C T I O N
scurit physique et environnementale
Protection des donnes caractre personnel

Toute cration d'un fichier ou dune base de donnes doit tre faite dans le respect de la loi du 2 aot 2002 relative la protection des personnes l'gard du traitement des donnes caractre personnel. Il en est de mme pour les traitements appliqus ces donnes et pour les donnes dj existantes. Afin de travailler dans le respect de cette loi, le responsable informatique et le responsable juridique, aprs avoir obtenu les textes applicables auprs de la Commission Nationale pour la Protection des Donnes (ci-aprs La Commission ) s'assurent de l'adquation de la structure, notamment au niveau : > de la dclaration des donnes et traitements auprs de la Commission ; > de l'obtention d'une autorisation auprs de la Commission quand elle est ncessaire ; > de la qualit des donnes et de la lgitimit des traitements ; > des droits d'information et d'opposition des personnes concernes ; > des donnes potentiellement discriminatoires (raciales, ethniques, politiques, religieuses, philosophiques, syndicales) ou relatives la sant.
Encore un paragraphe faisant rfrence une loi rcente (loi du 2 aot 2002) et donc fatalement peu connue, mais nanmoins obligatoire ! A part les responsabilits qui doivent tre adaptes lorganisation, rien ne doit tre modifi et ce point devrait rester tel quel.
Pour Mme Giffre, pas de soucis : aucun fichier constitu de donnes personnelles nest utilis. Il arrive que les documents quelle reoit comprennent des donnes nominatives, mais elle nest pas la cratrice des donnes et ne les conserve pas.
Il sagit ici dun point dlicat pour la mairie. Du fait de la gestion des habitants, la mairie doit videmment grer des fichiers contenant des informations caractre personnel. La mairie nest donc pas conforme la loi du 2 aot 2002, comme cest probablement le cas pour presque toutes les mairies, le SAGA pourrait peut-tre faire quelque chose dans ce domaine. De toute faon, M. Woller, en association avec le Collge chevinal, va devoir mettre de lordre dans cette situation.
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
53
ANNEXES
Annexes
Comment aller plus loin ? Glossaire Corrlation Entre la numrotation des politiques de ce manuel et le BS 7799 41 41
42
54
S C U R I T
D E
ANNEXES
Comment aller plus loin ?

Un certain nombre de paragraphes sont nots ici comme optionnels ; il faut comprendre que ces aspects, comme dautres qui napparaissent pas dans le prsent document, font rellement partie du BS 7799 et mritent dtre abords. Ils ont t classs comme optionnels car ils napparaissent pas aux auteurs comme devant tre mis en uvre durgence. Nanmoins, dans une dmarche damlioration continue du niveau de scurit, une organisation qui aurait mis en uvre tous les autres points pourrait se pencher sur ceux-ci au cours dune deuxime tape. Comme tape ultrieure, mais probablement uniquement pour les organisations qui en ont les moyens humains et financiers, se diriger vers une mise en uvre complte de BS 7799 parat tre le chemin logique.
Glossaire des termes employs dans ce document

BSI OSI : British Standard Institute. Institut de standardisation britannique. : Organisation de Standardisation Internationale.
SMTP : Simple Mail Transfer Protocol (Protocole dchange de-mails utilis entre les serveurs de-mails sur Internet entre autre). UPS : Uninterruptible Power Supply. (Onduleur)
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
55
ANNEXES
Corrlation entre la numrotation des politiques de ce manuel et le BS 7799
La table suivante donne les rfrences de la norme BS 7799 et la correspondance avec le prsent document. Certains points sont totalement absents du prsent document et sont rfrencs comme NA (Non Applicable). A noter que d'autres points peuvent tre rfrencs mais ne reprendre que quelques aspects du point, et ne sont donc pas exhaustifs.
Points BS 7799
3.1.1 3.1.2 4.1.1 4.1.2 4.1.3 4.1.4 4.1.5 4.1.6 4.1.7 4.2.1 4.2.2 4.3.1 5.1.1 5.2.1 5.2.2 6.1.1 6.1.2 6.1.3 6.1.4 6.2.2 6.3.1 6.3.2 6.3.3 6.3.4 6.3.5 7.1.1 7.1.2 7.1.3 7.1.4 7.1.5 7.2.1 7.2.2 7.2.3 7.2.4 7.2.5 7.2.6 7.3.1 7.3.2 8.1.1 8.1.2 8.1.3 8.1.4 8.1.5 8.1.6 8.2.1 8.2.2 8.3.1 8.4.1 8.4.2 8.4.3 8.5.1 8.6.1 8.6.2
Points du manuel de scurit de lorganisation

Section 1, Point Section 1, Point NA NA Section 2, Point Section 2, Point Section 2, Point NA Section 2, Point Section 2, Point Section 2, Point Section 2, Point Section 3, Point Section 3, Point NA Section 4, Point NA Section 4, Point Section 4, Point Section 4, Point Section 4, Point Section 4, Point NA NA Section 4, Point Section 5, Point Section 5, Point Section 5, Point Section 5, Point NA Section 5, Point Section 5, Point NA Section 5, Point Section 5, Point Section 5, Point Section 5, Point Section 5, Point Section 6, Point NA NA NA Section 6, Point Section 6, Point NA NA Section 6, Point Section 6, Point NA NA Section 2, Point Section 6, Point Section 6, Point Section 5, Point Section 5, Point Section 6, Point Section 5, Point NA NA Section 6, Point NA Section 6, Point NA NA 1 2
1 2 3 4 5 5 5 1 1 1 1 1 2 3 3
1 1 2 2 2 1 3 4 5 6 7 5 1
2 3
4 5
8.6.3 8.6.4 8.7.1 8.7.2 8.7.3 8.7.4 8.7.5 8.7.6
1 5 5 1 2 5 7
6 7
56
S C U R I T
D E
ANNEXES
Points BS 7799 8.7.7

8.7.7 9.1.1 9.2.1 9.2.2 9.2.3 9.2.4 9.3.1 9.3.2 9.4.1 9.4.2 9.4.3 9.4.4 9.4.5 9.4.6 9.4.7 9.4.8 9.4.9 9.5.1 9.5.2 9.5.3 9.5.4 9.5.5 9.5.6 9.5.7 9.5.8 9.6.1 9.6.2 9.7.1 9.7.2 9.7.3 9.8.1 9.8.2 10.1.1 10.2.1 10.2.2 10.2.3 10.2.4 10.3.1 10.3.2 10.3.3 10.3.4 10.4.1 10.4.2 10.4.3 10.5.1 10.5.2 10.5.3 10.5.4 10.5.5 11.1.1 11.1.2 11.1.3 11.1.4 11.1.5 12.1.1 12.1.2 12.1.3 12.1.4 12.1.5 12.1.6 12.1.7 12.2.1 12.2.2 12.3.1 12.3.2
Points du manuel de scurit de lorganisation NA

NA 7, Point 1 7, Point 2 4, Point 1 7, Point 2 4, Point 1 7, Point 2 4, Point 1 7, Point 2 7, Point 3 5, Point 7 7, Point 4 7, Point 4 7, Point 4 NA Section 7, Point 4 Section 7, Point 5 Section 7, Point 6 NA NA NA Section 7, Point 7 Section 7, Point 2 Section 7, Point 3 Section 7, Point 2 Section 7, Point 3 NA NA NA NA Section 7, Point 1 Section 7, Point 2 Section 7, Point 5 NA NA NA Section 5, Point 5 Section 5, Point 5 NA NA NA NA NA Section 8, Point 1 Section 8, Point 1 Section 8, Point 2 NA NA NA NA NA NA NA NA NA Section 9, Point 1 Section 9, Point 1 Section 9, Point 1 NA NA Section 10, Point 1 Section 10, Point 2 Section 10, Point 3 Section 10, Point 4 NA NA NA Section 1, Point 2 Section 1, Point 2 NA NA Section Section Section Section Section Section Section Section Section Section Section Section Section
M O D L E
D U N E
P O L I T I Q U E
D E
S C U R I T
57
Document crit pour le Ministre de lEconomie et du Commerc e extrieur du Grand-Duch de Luxembourg

CASES Mode Emploi PDF

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

CASES Mode Emploi PDF

Transféré par

Droits d'auteur :

Formats disponibles

Scurit des informations

Modle dune politique de scurit

Scurit des informations

Modle dune politique de scurit

Comment aller plus loin ?

Glossaire des termes employs dans ce document

Corrlation entre la numrotation des politiques de ce manuel et le BS 7799

Dfinition des diffrentes politiques

1. Exemple : une entreprise individuelle.

2. Exemple : la mairie dOldental

Section 1 | Politique de scurit

Section 2 | Organisation de la scurit

Procdure dautorisation pour lajout doutils de traitement des informations

Conseils dun spcialiste

Revue indpendante de la scurit des informations

Accs par des tiers et sous-traitance

Section 3 | Classification et matrise des ressources

Classification et matrise des ressources

Section 4 | Aspects humains

La rponse aux incidents et dysfonctionnements de scurit

Scurit physique et environnementale

Section 5 | Scurit physique et environnementale

Primtre de scurit physique

Rgles dans le primtre

Scurit physique et environnementale

Scurit lectrique des quipements

Scurit physique et environnementale

Scurit des quipements hors des locaux

Scurit physique et environnementale

Mise au rebut ou r-utilisation des quipements

Section 6 | Aspects oprationnels et communications

Sparation des environnements de dveloppement et de production

Gestion de ressources par des externes

Ce point ne concerne pas Mme Giffre.

Protection contre les logiciels malveillants

Sauvegarde des donnes

Scurit des mdias pendant les transports

Section 7 | Contrle daccs

Politique de contrle daccs

Gestion des droits daccs

Gestion des mots de passe

Utilisation de rseaux externes

Section 8 | Dveloppement et maintenance des systmes

Section 9 | Gestion de la continuit de lentreprise

Identification de la lgislation applicable

Protection des donnes oprationnelles

scurit physique et environnementale

Protection des donnes caractre personnel

Comment aller plus loin ?

Glossaire des termes employs dans ce document

Corrlation entre la numrotation des politiques de ce manuel et le BS 7799

Points du manuel de scurit de lorganisation

8.6.3 8.6.4 8.7.1 8.7.2 8.7.3 8.7.4 8.7.5 8.7.6

Points BS 7799 8.7.7

Points du manuel de scurit de lorganisation NA

Document crit pour le Ministre de lEconomie et du Commerc e extrieur du Grand-Duch de Luxembourg

Vous aimerez peut-être aussi