Problématique et concepts de base

de construire des remparts à la Vauban pour se protéger de l'aviation !

•  il faut identifier les risques d’attaques

d'utiliser un marteau pilon pour écraser une mouche !

•  les moyens utilisés pour se protéger doivent être adaptés au risque
•  la sécurité doit avoir un coût raisonnable

Rien ne sert… (II)

• d'acheter une super porte blindée et d'oublier de fermer la fenêtre !

•  la sécurité est une chaîne : si un maillon est faible, tout casse
•  une cohérence doit être assurée
•  et surtout la sécurité doit être vue globalement

• d'employer un (et un seul) « gourou prêchant des formules secrètes » et de contraindre les enfants à assister aux offices

•  la sécurité doit être simple et comprise (un minimum) par tous
•  la convivialité ne doit pas trop en souffrir
•  suffisamment de liberté (ouverture) doit être accordée

• Addendum (cf. présentation Arkoon) : la sécurité ne doit pas entraver le fonctionnement de l’entreprise, ses processus métier, ses processus internes

Some practical recommendations

Plan

• Problématique et concepts de base

• Types de risques : intelligence économique, « catastrophes », « piratage », cyber-guerre… - Propriétés de sécurité des systèmes informatiques

• Eléments méthodologiques

• Techniques de base : chiffrement, signature, certificats, authentification

• Outils pour la sécurité : pare-feux, analyseurs de trafic, testeurs de réseaux

• Modèles de contrôle d’accès, confiance et réputation

• Sécurisation des réseaux : VLAN, IPsecure, VPN, DLP, ERM, IAM

• Discussion

• Conclusion

Conclusion

• Sécurité = compréhension du fonctionnement de l’entreprise + de la méthodologie + un peu de technique + du bon sens + de la sensibilisation

• Il existe des outils puissants mais aussi beaucoup de failles de sécurité

• Outils techniques : IP secure, VLAN, VPN, IDS, pare-feux, DLP, ERM…

• Outils méthodologiques : PSSI, SMSI, security patterns, survivabilité, confiance, réputation…

• Passage d’une logique de « piratage » par un individu à un spectre composite de menaces : espionnage industriel et militaire, surveillance, criminalisation et mafia, attaques à grande échelle, cyberguerre

• Le facteur humain est central

• Complexification : « entreprise ouverte », externalisation, « cloudification » ; botnets, « advanced persistent threats (APT) », « advanced evasion techniques »…

• Nécessité d’une prise en compte globale au niveau de l’entreprise