DSIO - Prsentation du 07 juin 2011

Direction des Systmes dInformation et de lOrganisation

Grer les risques

[EBIOS]
[ARS 2011 risques en environnement sant]
[Philippe Tourron-RSSI AP-HM]
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation
EBIOS*
Mthode de gestion
des risques
EBIOS 2010 : le GPS
SSI
*Expression des Besoins et Identification des Objectifs de Scurit. Marque
dpose par le SGDN
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
2
Sommaire
Convergence vers la gestion des risques
Ebios adapt tous les terrains
Ebios 2010 et lISO 27005
Les composants du risque
Les productions
Synthse
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
3
Convergence des besoins SSI sant
vers lanalyse et la gestion des risques
PMSSI , dclinaison par tablissement en PSSI : une
organisation et des mesures de scurit pour traiter les
risques
Hbergement des donnes de sant : PSSI et analyse
de risque du primtre dhbergement
Ouverture du SI sant (DMP, ), volutions
technologiques (virtualisation, dmatrialisation, ) :
matriser les risques
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
4
EBIOS : Les apports tout-terrain
Vendre la gestion des risques aux directions mtiers
La scurit est adapte aux mtiers et non linverse
Les choix sont facilits par une cartographie synthtique des risques
Les mesures de scurit sont justifies et planifies pour sadapter au budget
Un seul outil pour tous les usages
Un facilitateur pour les changes (du dcideur au technicien)
La possibilit daborder toute les problmatiques SSI de manire cohrente
La compatibilit avec les normes (ISO 27001, ISO 27002, ISO 27005)
Gagner du temps sur la gestion des risques pour le dpenser ailleurs
Affiner vos tudes l o cest ncessaire
Intgrer rapidement les volutions de vos systmes dinformation
DSIO - Prsentation [instance] du [date]
Direction des Systmes dInformation et de lOrganisation [Service]
EBIOS
5 modules en synthse
1. tude du
contexte
Pourquoi et comment va-t-on grer les
risques ?
Quel est le sujet de ltude ?
2. tude des
vnements
redouts
Quels sont les vnements craints par les
mtiers ?
Quels seraient les plus graves ?
3. tude des
scnarios de
menaces
Quels sont tous les scnarios possibles ?
Quels sont les plus vraisemblables ?
4. tude des
risques
Quelle est la cartographie des risques ?
Comment choisit-on de les traiter ?
5. tude des
mesures de
scurit
Quelles mesures devrait-on appliquer ?
Les risques rsiduels sont-ils acceptables
?
tude du contexte
tude des
vnements
redouts
tude des scnarios
de menaces
tude des risques
tude des mesures
de scurit
DSIO - Prsentation du 07 juin 2011
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
6
6
EBIOS - 2010
Des bases de connaissances avec des niveaux dinclusion :
Notion de de processus (biens essentiels), systmes (biens
supports)
Rend visible la notion de macro-biens supports pour
raliser des analyses globales
Approche vnements redouts
Facilite / acclre lexpression des besoins des mtiers et la
formulation des risques
Facilite une approche macroscopique
Approche scnarios : mise en scne
Liens et intgration ISO 2700x
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
7
Surveillance et revue
La gestion des risques SSI
ISO 27005 applique dans EBIOS
Communication
Apprciation des risques
Traitement des risques
Acceptation des risques
tablissement du contexte
tude du contexte
tude des vnements
redouts
tude des scnarios de
menaces
tude des risques
tude des mesures de
scurit
Source :
Bureau
assistance et
conseil de
lANSSI
http://www.s
si.gouv.fr
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
8
8
Les composants du risque
EBIOS 2010 : le GPS SSI
Aide la navigation dans la construction du
risque
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation
9
Evnements
redouts
Communs Scnarios de
menaces
Sources de menaces
Biens essentiels Biens supports
Critres (D,I,C, )
Besoins de scurit Menaces
Impacts Vulnrabilits
GRAVITE
VRAISEMBLANCE
Supportent
LA CARTOGRAPHIE DES COMPOSANTS DU
RISQUE selon EBIOS 2010
Niveau de Risque brut = f(Gravit,Vraisemblance)
Niveau de Risque net = f(Gravit,Vraisemblance) g(Mesures existantes)
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
10
10
Exemples
Les vnements redouts : points dentre pour
rduire le champs de composition des risques
Un cahier des charges pour la MOE
Interviews mtier :
Que redoutez vous dans votre activit ?
Comment une dfaillance du SI peut elle
conduire cette situation redoute ?
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
11
Risque 1: La perte ou lindisponibilit
prolonge des donnes de recherche
mdicale (patrimoine de recherche compos
de donnes difficilement reproductibles
(vidos, photos, documents numriques) : par
exemple des cas cliniques rares et servant
raliser des recherches postriori), peut
empcher de rpondre des appels doffre
pour des contrats de recherche. Limpact
peut tre financier et dimage/renomme.
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
12
Bien essentiel Patrimoine dexprimentation
Besoin de scurit Non perte ou indisponibilit qq jours maximum
Impact Perte du patrimoine, arrt de lactivit, perte financire,
Image de marque
Source de menace Humaine Interne accidentelle ou evt interne . Humaine
externe volontaire (pour source de menace avec intrt
pour les matriels)
Critre de scurit Disponibilit
Bien support Ensemble du SYStme supportant le stockage incluant :
exploitant de la chane informatique [PER], serveurs, baies
de stockage, DVD [MAT])
Menace Coupure lectrique (avec dommages), panne serveur[MAT-
DEP], dtrioration [MAT-DET], dpart ou erreurs de
lexploitant, vol [MAT-PTE]
Vulnrabilit Par dfaut toutes celle de ce type de [SYS]tme/dispo
Composants du risque
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
13
Risque 2: Une diffusion de la maladie sensible
dun patient peut entrainer une condamnation
suite plainte et atteindre limage de
ltablissement voire entrainer larrt de lactivit
de suivi mdical associ.
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
14
14
Bien essentiel
Donnes patient confies sur la base du volontariat
Besoin de scurit
confidentialit
Impact
Arrt de lactivit (perte de confiance des patients), plainte
des patients (condamnation), perte dImage,
Source de menace
humaine interne
Critre de scurit
Confidentialit
Bien support
Application xxxx [LOG] (et ensemble du SYStme le
supportant : administrateurs mtier, exploitant de la chane
informatique [PERS], serveurs, stockage, rseau
[MAT][RSX])
Menace
Menaces sur la confidentialit : usurpation de droits, manque
protection du logiciel [LOG-], absence de sensibilisation des
usagers [PER-USG/DET] ,
Vulnrabilit
Par dfaut toutes celles de ce type de SYStme associes
aux menaces pour le critre de confidentialit
Composants du risque
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
15
15
Les productions
Tableau des vnements
redouts
Tableau des scnarios de menaces
(Bdc Ebios
menaces/vulnrabilits)
Tableau des risques
Choix de traitement
Mesures (Bdc Ebios
mesures : I SO 27002, RGS)
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
16
Tableau des risques (exemple)
vnement
redout
Besoin de
scurit
Impacts Scnario de
menaces
et
menaces
Sources de
menaces
Vraisemblance Gravit
ER1. Compromission
de pices jointes
4. Priv (variable) Impacts
Perte d'un
march
Pertes
financires
SM6.
Compromis
sion par
une
menace sur
un employ
Dpart d'une
personne
Espionnage
d'une
personne
distance
Influence sur
une
personne
Sources de
menaces
Concurrent
avide
Employ peu
srieux
3. Importante 3. Forte
Extrait tude de cas ANSSI : compromission de mel
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation [Service]
17
17
Synthse dun processus EBIOS - Sant
Intgrer les lments de contexte (PMSSI, primtre, biens, )
Scnariser (vnements redouts, menaces, risques)
Crer une base de scnarios de risques du primtre sant constitue
progressivement (risques gnriques , valuations spcifiques)
Choisir/Valider le traitement des scnarios de risques
Proposer des mesures de traitement (ISO 27002, RGS, )
Arriver aux objectifs mtiers (mesurer)
Organiser le SMSI associ (I SO 27001) : rseau de correspondants
SSI et CIL, comits scurit, plan daudits, tableau de bord scurit
(oprationnel, pilotage et stratgique)
DSIO - Prsentation du 07 juin 2011
Direction des Systmes dInformation et de lOrganisation
MERCI DE VOTRE ATTENTION