Etude de cas : La sécurité du système d’informations de la

compagnie française d’assurance

La compagnie française d’assurance (CFA) est une mutuelle d’assurances gérant

plus d'un million de clients. Elle s'est concentrée sur le développement d'une
application qui lui est propre, dont les exécutables sont directement disponibles sur
le réseau. Ce logiciel fonctionne sur tableur et contient la totalité des données des
clients, informations personnelles, bancaires, remboursements...

Tendant vers le PGI, celui-ci gère aussi la comptabilité de 1'entreprise, ainsi que les
données liées aux ressources humaines.

Ainsi, toutes les opérations passées peuvent être consultées par l’ensemble des
collaborateurs, mais aussi modifiées ou supprimées.

Par sécurité, il a été décidé de réaliser des sauvegardes bihebdomadaires sur un

disque dur de grosse capacité, entreposé par facilité au pied du serveur, 1'entreprise
étant dans une zone ou de nombreuses coupures sont recensées.

Les collaborateurs sont également invités à sauver régulièrement leurs données sur
clé USB et peuvent idéalement travailler chez eux grâce à cette sauvegarde, ils
remettent alors ensuite les données.

De plus, le nombre de collaborateurs ayant fortement augmenté ces derniers temps,

le responsable informatique songe à changer le serveur, celui-ci ayant de plus en
plus de mal à répondre aux multiples requêtes simultanées des différents
utilisateurs.

Pour plus de sécurité, ceux-ci ne peuvent accéder que par mot de passe au réseau,
ce mot de passe étant choisi personnellement et modifiable en cas de perte.

Le réseau, en wifi, est protégé par une clé wep modifiée tous les trois mois. Un
deuxième point d'accès wifi est également envisagé. En effet, les postes trop
éloignés du premier ont un peu de mal à rester connectés.

Apres avoir licencié l’un de ses employés, celui-ci revient dans l'entreprise et
supprime le code source du logiciel.
Avant de s'enfuir, il provoque un dégât des eaux.

La mutuelle, ayant perdu son fichier sociétaires, doit reconstituer celui-ci grâce
aux archives et aux appels clients, redévelopper le logiciel, racheter le matériel
endommagé.

Les pertes matérielles constatées sont de plusieurs centaines de milliers d'euros, les
pertes d'exploitation et de clients sont évaluées à plus de 20 millions d’euros et la
reconstitution du programme, nécessitant plusieurs mois de travail, est évaluée à un
demi-million d’euros.

En quoi la CFA ne répond-elle pas aux différents objectifs de la sécurité

informatique ? Et comment aurait-elle pu prévenir les différents
risques relatifs à la sécurité de son système d’informations?