interne

externe

signature de code

Élaborer des stratégies, des normes, des mesures et des lignes directrices

Gestion des risques

sécurité du personnel

Formation de sensibilisation à la sécurité

Mettre en œuvre et maintenir des mécanismes de contrôle d’accès logique

Gestion des mots de passe et des ressources

Méthodes d'identification et d'authentification

équipement de sécurité

Mesures de contrôle des accès individuels aux installations et aux différents services (contrôle d'accès, sécurité, serrures)

Périmètre de protection (clôtures, murs, éclairage)

Détection physique des intrusions

contrôle environnemental

Prévention (dissuasion), détection, correction/récupération (sauvegarde, BCP, DRP) Rémunération (Contrôle)

environnement de contrôle

l'évaluation des risques

les activités de contrôle

Information et communication

moniteur

Stratégie de services

conception de services

Transition de service

Opération de service

Amélioration continue des services

Initial, reproductible, défini, géré, optimisant

Initial, géré, défini, géré quantitativement, optimisation

Sur la base des résultats de l'évaluation des risques, des exigences légales et réglementaires et des activités organisationnelles, Déterminer les objectifs de contrôle et les mesures de contrôle en fonction des besoins opérationnels

Mettre en œuvre les contrôles de sécurité sélectionnés.

Conformément aux politiques, procédures, normes et lois et réglementations, Effectuer des contrôles de conformité sur la mise en œuvre des mesures de sécurité

Prendre des contre-mesures basées sur les résultats de l'inspection pour améliorer les conditions de sécurité

Déclaration la plus générale sur la sécurité de l'information

Un engagement de la haute direction à assumer la responsabilité de la sécurité de l’information

Décrivez ce que vous souhaitez protéger et ce que vous souhaitez réaliser

Établir un mécanisme d’application pour la mise en œuvre des politiques

À l’instar des normes, les méthodes permettant de renforcer la sécurité du système sont des recommandations.

Répondre au niveau minimum d’exigences de sécurité requis par la politique

Étapes détaillées pour effectuer une tâche spécifique (spécifique)

La procédure est une description détaillée (COMMENT) des étapes spécifiques pour effectuer la tâche de protection.

Budget pour les activités de sécurité de l'information

Élaboration de stratégies de développement, de procédures, de références, de normes et de lignes directrices

Développer un programme de sensibilisation à la sécurité

Participer aux réunions de direction

Assister aux audits internes et externes

Définir le niveau de risque acceptable d’une organisation

Déterminer les objectifs et les stratégies de sécurité

La réponse aux besoins de l'entreprise détermine la priorité des activités de sécurité

Examiner les rapports d’évaluation des risques et d’audit

Surveiller l’impact commercial des risques de sécurité

Bilan des accidents nucléaires impliquant des violations majeures de la sûreté

Approuver tout changement important aux politiques et plans de sécurité

L’intégrité des états financiers et de l’information financière de la société

Le système de contrôle interne de l'entreprise

Emploi et performance des auditeurs indépendants

Performance de la fonction d’audit interne

Se conformer aux exigences légales et aux politiques de l'entreprise liées à l'éthique

Plan à long terme, par exemple 5 ans

, relativement stable, définit les objectifs et la mission de l'organisation

Plan à moyen terme, par exemple 1 an

Une description détaillée des tâches et des progrès vers la réalisation des objectifs établis dans le plan stratégique, Tels que les plans d'emploi, les plans budgétaires, etc.

Plans à court terme, très détaillés, fréquemment mis à jour

Mises à jour mensuelles ou trimestrielles telles que les plans de formation, les plans de déploiement du système, etc.

Responsable de la gestion d'un certain département commercial et responsable de la protection et de l'application d'informations spécifiques

Avoir un devoir de « diligence »

Responsabilités

Rôle commercial plutôt que technique

Le rôle du service informatique ou de sécurité

Responsabilités

Responsable d'un ou plusieurs systèmes, chacun pouvant contenir et traiter des données appartenant à différents propriétaires de données

Responsable de l'intégration des facteurs de sécurité dans les applications et les systèmes

S'assurer que les vulnérabilités du système sont évaluées

Adopter des mesures de sécurité adéquates pour assurer la sécurité du système

Responsable de la mise en œuvre, du suivi et de l’application des réglementations et politiques de sécurité

Rapport au comité de sécurité et au responsable de la sécurité de l'information

Vérifier le système pour déterminer si les exigences de sécurité sont respectées et si les contrôles de sécurité sont efficaces

Fournir une garantie indépendante pour la gestion des cibles de sécurité

Aider à élaborer des politiques, des normes et des lignes directrices et à établir des références

Principalement au niveau de la conception, pas au niveau de la mise en œuvre

Être sensibilisé à la sécurité des applications, se conformer aux politiques de sécurité, utiliser le système de manière appropriée et signaler les incidents de sécurité

Réduisez les risques, réduisez les coûts de recrutement et réduisez le roulement du personnel

Protéger les informations sensibles de l'entreprise

Personne ne devrait avoir le contrôle total d’une tâche sensible, précieuse ou critique du début à la fin.

Objectif : Moins de possibilités de fraude ou d'erreur

Exemple:

Autorisations minimales requises pour attribuer des responsabilités

Ne laissez pas une personne occuper un poste fixe trop longtemps pour éviter que les individus n'obtiennent trop de contrôle.

Mettre en place un renfort du personnel pour faciliter la formation croisée et détecter la fraude

Forcer le personnel d'un service sensible à prendre congé peut détecter efficacement la fraude, la modification des données, l'abus des ressources, etc.

Des accords de confidentialité doivent être signés avec des organisations tierces et des individus

Surveiller toutes les activités de travail de tiers

S'assurer que l'identité du personnel tiers est vérifiée lors de l'accès

Sur la base des mesures ci-dessus, des vérifications supplémentaires des antécédents du personnel

Le personnel tiers quitte le site et doit reprendre les autorisations pertinentes

Fournir aux professionnels de la sécurité les compétences professionnelles nécessaires à leur travail.

Chemin:

informations sur la sécurité

"Pourquoi"

Enseigner les compétences professionnelles liées à la sécurité, principalement au personnel de gestion et de maintenance des systèmes d'information

Chemin:

acquérir des connaissances

"Comment faire"

La conscience collective générale parmi les employés d'une organisation de l'importance de la sécurité et des contrôles

Chemin:

Envoyer le message

"Qu'est-ce que c'est"

Modélisation des menaces (FOULÉE)

Identifier les risques

Analyser les risques

Évaluer le risque

Approche RA qualitative, centrée sur les risques informatiques

1. Classification du système ; 2. Identification des faiblesses ; 3. Identification des menaces ; 4. Identification des contre-mesures ; 5. Évaluation des possibilités ; 6. Évaluation de l'impact ; 7. Évaluation des risques ; 8. Recommandation de nouvelles contre-mesures ; 9. Documenter le rapport ;

Une spécification autonome d'évaluation des risques de sécurité de l'information basée sur les risques liés aux actifs informationnels, Il met l’accent sur les atouts et comprend 3 étapes et 8 processus.

L'approche OCTAVE déploie des programmes de gestion des risques à l'échelle de l'organisation et s'intègre aux plans de sécurité

Processus de base : identification et évaluation des actifs ; évaluation des menaces et de la vulnérabilité et recommandations ;

Présélectionné pour se concentrer uniquement sur les systèmes qui nécessitent réellement une évaluation afin de réduire les coûts et les délais

Situation budgétaire limitée

Créez une arborescence de toutes les menaces auxquelles un système peut être confronté. Les branches peuvent représenter des éléments tels que les cybermenaces, Les catégories telles que les menaces physiques et les pannes de composants nécessitent l'élagage des branches inutilisées lors de l'exécution de l'évaluation des risques.

Dérivé de l'analyse du matériel. Examiner la défaillance potentielle de chaque composant ou module et examiner l'impact de la défaillance

Une méthode australienne d’évaluation des risques non utilisée spécifiquement pour la sécurité

Identifier le propriétaire, le dépositaire et l'utilisateur de chaque actif

Établir une liste d'actifs et identifier les actifs informationnels en fonction des processus métiers

La forme sous laquelle les actifs informationnels existent

Facteurs d'évaluation

Classer les actifs en fonction de leur importance (impact ou conséquences), Tenez également compte des conséquences possibles d’une confidentialité, d’une intégrité et d’une disponibilité compromises.

Un actif peut faire face à plusieurs menaces, et une menace peut affecter plusieurs actifs.

Identifier les sources de menaces

L'évaluation de la probabilité d'une menace prend en compte la motivation et les capacités de la source de la menace.

Vulnérabilités exploitables possibles pour chaque actif

voie d'identification

Méthodes de traitement des risques

Stratégies de sélection des mesures de contrôle des risques

Risques qui subsistent ou subsistent après la mise en œuvre des contrôles de sécurité

Attribuer de la valeur aux actifs

Estimer les pertes potentielles pour chaque menace

Effectuer une analyse des menaces

Calculé pour chaque actif et menace Espérance de perte unique (SLE) de

Calculer les pertes annuelles potentielles pour chaque menace

Jugement, bonnes pratiques, intuition et expérience

Méthodes de prise de décision en groupe, Delphi

questions de l'enquête

examiner

Entretien

Utilisation d'un ordinateur comme outil d'aide à la commission d'un crime ; Les ordinateurs ne sont pas un facteur nécessaire de criminalité, mais servent d'outils pour aider les criminels.

Crimes contre les ordinateurs, les réseaux et les informations stockées sur ces systèmes

L'ordinateur n'est pas nécessairement l'attaquant ou la victime, Il se trouve qu'il était impliqué dans l'attaque lorsqu'elle s'est produite.

droit civil

Loi criminelle

loi administrative

La capacité de l'entreprise à être compétitive ou à commercialiser est essentielle

Peu connue, l'entreprise a investi des ressources et des efforts pertinents pour développer

Bénéficiez d’une protection appropriée de la part de l’entreprise pour empêcher toute divulgation ou utilisation non autorisée

Exemple:

Droits légalement protégés de publier, copier, afficher et modifier publiquement la plupart des œuvres

Elle ne protège pas la créativité de l’œuvre, mais l’expression de la créativité.

Exemple:

Il protège les mots, noms, symboles, formes, sons, couleurs qui représentent l'image de l'entreprise.

Les marques sont généralement enregistrées auprès d'une agence d'enregistrement des marques

Une marque est une marque de qualité et de crédibilité établie par une entreprise dans ses opérations sur le marché.

Reconnaissance juridique de la propriété d'un brevet par un titulaire de brevet ou une entreprise, interdisant toute utilisation non autorisée par des tiers ou des entreprises

Le brevet est valable 20 ans

Exemple:

le droit d'être laissé seul

Protection contre les droits déraisonnables contre les individus

Le droit de décider quelles informations personnelles peuvent être divulguées et à qui

Pour éviter toute atteinte déraisonnable, l’essentiel est le consentement éclairé et les mesures de protection appropriées.

Pour éviter le manque de méthodes appropriées, l'objectif ultime est « l'équité et la justice » et il existe un mécanisme de correction des erreurs.

La collecte de données personnelles nécessite le consentement de la personne concernée et la notification de la finalité

Ne collectez que les données liées à la finalité et à l’utilisation et ne les conservez que pendant la durée nécessaire à la finalité.

Modalités de collecte des données Modalités de finalité des données

Prendre des mesures raisonnables, techniques, de gestion et opérationnelles, pour empêcher toute violation malveillante des informations personnelles, Garantir l’intégrité et la confidentialité des données, et éliminer les données obsolètes pour empêcher l’accès à ceux qui n’ont pas besoin d’effectuer le travail pertinent.

Vérifier les informations collectées et corriger les erreurs

Catastrophes naturelles, telles que tremblements de terre, inondations, incendies naturels, éruptions volcaniques et conditions convectives sévères

Système/technique, comme le matériel, les interruptions logicielles, les erreurs système/de programmation

Systèmes d'approvisionnement, pannes de communication, pannes du système de distribution, ruptures de canalisations

Artificiel, explosion, incendie, vandalisme, contamination chimique, code nocif

Activités politiques, terroristes, émeutes, grèves

Pour une organisation, tout ce qui entraîne l'abandon de fonctions commerciales critiques. Les événements qui ne peuvent être réalisés dans un certain délai sont considérés comme des catastrophes.

Caractéristiques:

deux éléments

Réduire l’impact d’un sinistre ou d’une interruption d’activité

Prendre les mesures nécessaires pour garantir que les ressources, les personnes et les processus commerciaux soient rétablis le plus rapidement possible

S'assurer que l'organisation peut toujours maintenir ses opérations commerciales face à diverses situations

Résoudre les problèmes dans une perspective à plus long terme, en fournissant principalement des méthodes et des mesures en cas d'arrêts de production à long terme et de catastrophes.

Fournir une réponse rapide et appropriée en cas d’urgence

Protéger les vies et assurer la sécurité

Réduire l’impact sur les entreprises

Restaurer les fonctions commerciales critiques

Réduire le chaos lors de catastrophes

Assurer la viabilité de l’entreprise

Soyez « opérationnel » rapidement après un sinistre

Élaborer une stratégie de planification de la continuité (politique)

Réaliser une analyse d’impact business (BIA)

Déterminer les méthodes de contrôle préventif

Élaborer une stratégie de rétablissement

Développer le PCA

Tester le PCA

Maintenir le plan de continuité des activités

Communication et liaison entre l'équipe de développement du programme et la direction

Le droit de contacter et de communiquer directement avec toutes les personnes impliquées dans le plan

Comprendre parfaitement l'impact d'une interruption d'activité sur les activités de l'organisation

Familier avec les besoins et les opérations de l'organisation et la capacité d'équilibrer les différents besoins des départements concernés de l'organisation

Un accès facilité à la haute direction

Comprendre l’orientation commerciale de l’organisation et les intentions de la haute direction

Capacité à influencer les décisions de la haute direction

objectifs, portée, besoins

Principes de base et lignes directrices

Devoirs et responsabilités

Exigences de base pour les liens clés

Analyse qualitative pour déterminer l'impact d'une catastrophe ou d'un événement de perturbation en termes de gravité

Analyse quantitative de l'impact d'une catastrophe ou d'un événement perturbateur en termes monétaires

Analyser l'impact des pannes

Déterminer les fenêtres de récupération pour chaque fonction commerciale

Problèmes

Suggestions de réponses

Outils automatisés qualitatifs et quantitatifs Aider à l’intégration et à l’analyse des informations

Le représentant de l'entreprise vérifie et confirme les résultats de l'analyse des informations

Le temps de récupération du travail est relativement fixe

Avant que l’indisponibilité du système n’affecte sérieusement l’organisation Le temps maximum autorisé à être consommé

Le moment auquel les données doivent être récupérées afin de poursuivre le traitement. Autrement dit, la quantité maximale de perte de données autorisée