teinte à la sécurité du SI[modifier | modifier le code]
( voir le site de l'ANSSI et la note d'information N° CERTA-2006-INF-002 relative à la terminologie d'usage )
Destruction de matériels ou de supports
Sabotage : il vise la mise hors service d'un SI ou de l'une de ses composantes en portant atteinte à l'intégrité des données et surtout à la disponibilité des services.
Rayonnements électromagnétiques
Brouillage : C'est une attaque de haut niveau qui vise à rendre le SI inopérant.
Écoute passive
Écoute : Elle consiste à se placer sur un réseau informatique ou de télécommunication pour collecter et analyser les informations ou les trames qui y circulent
Interception de signaux compromettants : l'attaquant tente de récupérer un signal électromagnétique pour l'interpréter et en déduire des informations utilisables.
Cryptanalyse : L'attaque de données cryptées est réalisée par interception et analyse des cryptogrammes circulant lors d'une communication ou obtenus par une source quelconque.
Vol
Fraude physique : elle consiste à accéder à l'information par copie illégale des supports physiques ( bandes magnétiques, disquettes, disques classiques ou optiques, listings rangés ou abandonnés imprudemment dans les bureaux, armoires, tiroirs...)
Vol de matériels : concerne les ordinateurs et en particulier les ordinateurs portables.
Analyse de supports recyclés ou mis au rebut : "fouille" des poubelles ou des archives d'une organisation ou détournement des processus de maintenance.
Divulgation
Hameçonnage ou filoutage (Phishing) : désigne l'obtention d'information confidentielle (comme des codes d'accès ou des mots de passe) en prétextant une fausse demande ou en faisant miroiter un pseudo-avantage auprès d'un utilisateur ciblé.
Chantage : menace exercée vis-à-vis d'une personne privée ou d'une organisation en vue d'extorquer une information "sensible".
Émission d'une information sans garantie d'origine
Canular (Hoax) : vise à désinformer en annonçant l'arrivée d'un événement de nature imaginaire mais censé être fortement perturbateur voire catastrophique (virus)
Piégeage du logiciel
Sabtu, 25 Januari 2014
ctromagnétiques Brouillage : C'est une attaque de haut niveau qui vise à rendre le SI inopérant. Écoute passive Écoute : Elle consist
les responsables de systèmes d'information se préoccupent depuis longtemps de sécuriser les données. Le cas le plus répandu, et sans aucun doute précurseur en matière de sécurité de l'information, reste la sécurisation de l'information stratégique et militaire : Le Department of Defense (DoD)
e de mettre en évidence des failles de sécurité sur un serveur web. Ces personnes peuvent aussi profiter de ces vulnérabilités pour diffuser de fausses informations sur son propriétaire (on parle alors de désinformation).
Les conséquences peuvent aussi concerner la vie privée d'une ou plusieurs personnes, notamment par la diffusion d'informations confidentielles comme ses coordonnées bancaires, sa situation patrimoniale, ses codes confidentiels. De manière générale, la préservation des données relatives aux personnes fait l'objet d'obligations légales régies par la Loi Informatique et Libertés.
Pour parer ces éventualités, les responsables de systèmes d'information se préoccupent depuis longtemps de sécuriser les données. Le cas le plus répandu, et sans aucun doute précurseur en matière de sécurité de l'information, reste la sécurisation de l'information stratégique et militaire : Le Department of Defense (DoD) des États-Unis est à l'origine du TCSEC, ouvrage de référence en la matière. De même, le principe de sécurité multi-niveau trouve ses origines dans les recherches de résolution des problèmes de sécurité de l'information militaire.
Aujourd'hui, l'hypothèse réaliste demeure que la sécurité ne peut être garantie à 100 % et requiert le plus souvent la mobilisation d'une panoplie de mesures y compris celle des « leurres » reposant sur l'idée qu'interdire ou en tout cas protéger l'accès à une donnée peut consister à fournir volontairement une information « calibrée et visible » servant de paravent à l'information sensible…
Démarche générale[modifier | modifier le code]
Pour sécuriser les systèmes d'information, la démarche consiste à :
évaluer les risques et leur criticité : quels risques et quelles menaces, sur quelle donnée et quelle activité, avec quelles conséquences ?
On parle de « cartographie des risques ». De la qualité de cette cartographie dépend la qualité de la sécurité qui va être mise en œuvre.
rechercher et sélectionner les parades : que va-t-on sécuriser, quand et comment ?
Etape difficile des choix de sécurité : dans un contexte de ressources limitées (en temps, en compétences et en argent), seules certaines solutions pourront être mises en oeuvre.
mettre en œuvre les protections, et vérifier leur efficacité.
C'est l'aboutissement de la phase d'analyse et là que commence vraiment la protection du système d'information. Une faiblesse fréquente de cette phase est d'omettre de vérifier que les protections sont bien efficaces (tests de fonctionnement en mode dégradé, tests de reprise de données, tests d'attaque malveillante, etc.)
Méthodes d'attaque portant at
Les conséquences peuvent aussi concerner la vie privée d'une ou plusieurs personnes, notamment par la diffusion d'informations confidentielles comme ses coordonnées bancaires, sa situation patrimoniale, ses codes confidentiels. De manière générale, la préservation des données relatives aux personnes fait l'objet d'obligations légales régies par la Loi Informatique et Libertés.
Pour parer ces éventualités, les responsables de systèmes d'information se préoccupent depuis longtemps de sécuriser les données. Le cas le plus répandu, et sans aucun doute précurseur en matière de sécurité de l'information, reste la sécurisation de l'information stratégique et militaire : Le Department of Defense (DoD) des États-Unis est à l'origine du TCSEC, ouvrage de référence en la matière. De même, le principe de sécurité multi-niveau trouve ses origines dans les recherches de résolution des problèmes de sécurité de l'information militaire.
Aujourd'hui, l'hypothèse réaliste demeure que la sécurité ne peut être garantie à 100 % et requiert le plus souvent la mobilisation d'une panoplie de mesures y compris celle des « leurres » reposant sur l'idée qu'interdire ou en tout cas protéger l'accès à une donnée peut consister à fournir volontairement une information « calibrée et visible » servant de paravent à l'information sensible…
Démarche générale[modifier | modifier le code]
Pour sécuriser les systèmes d'information, la démarche consiste à :
évaluer les risques et leur criticité : quels risques et quelles menaces, sur quelle donnée et quelle activité, avec quelles conséquences ?
On parle de « cartographie des risques ». De la qualité de cette cartographie dépend la qualité de la sécurité qui va être mise en œuvre.
rechercher et sélectionner les parades : que va-t-on sécuriser, quand et comment ?
Etape difficile des choix de sécurité : dans un contexte de ressources limitées (en temps, en compétences et en argent), seules certaines solutions pourront être mises en oeuvre.
mettre en œuvre les protections, et vérifier leur efficacité.
C'est l'aboutissement de la phase d'analyse et là que commence vraiment la protection du système d'information. Une faiblesse fréquente de cette phase est d'omettre de vérifier que les protections sont bien efficaces (tests de fonctionnement en mode dégradé, tests de reprise de données, tests d'attaque malveillante, etc.)
Méthodes d'attaque portant at
mes d'information 2 Démarche générale 3 Méthodes d'attaque portant atteinte à la sécurité du SI 4 L'évaluation des risques
ue)
Cet article ou cette section adopte un point de vue régional ou culturel particulier et doit être internationalisé.
Merci de l'améliorer ou d'en discuter sur sa page de discussion !
La sécurité des systèmes d’information (SSI) est l’ensemble des moyens techniques, organisationnels, juridiques et humains nécessaire et mis en place pour conserver, rétablir, et garantir la sécurité du système d'information. Assurer la sécurité du système d'information est une activité du management du système d'information.
Sommaire [masquer]
1 Enjeux de la sécurité des systèmes d'information
2 Démarche générale
3 Méthodes d'attaque portant atteinte à la sécurité du SI
4 L'évaluation des risques
4.1 Méthodes d'analyse de risque
4.2 Informations sensibles
4.3 Critères de sécurité
4.4 Menaces
4.5 Objectifs
5 Moyens de sécurisation d'un système
5.1 Conception globale
5.2 Défense en profondeur
5.3 Politique de sécurité
5.4 Responsable de la sécurité du système d'information
5.5 Modèles formels de sécurité
5.6 Plan de continuité d'activité
5.7 Moyens techniques
6 Marché de la sécurité informatique
6.1 Dépenses gouvernementales
7 Notes et références
8 Voir aussi
8.1 Articles connexes
8.2 Liens externes
8.3 Bibliographie
Enjeux de la sécurité des systèmes
Cet article ou cette section adopte un point de vue régional ou culturel particulier et doit être internationalisé.
Merci de l'améliorer ou d'en discuter sur sa page de discussion !
La sécurité des systèmes d’information (SSI) est l’ensemble des moyens techniques, organisationnels, juridiques et humains nécessaire et mis en place pour conserver, rétablir, et garantir la sécurité du système d'information. Assurer la sécurité du système d'information est une activité du management du système d'information.
Sommaire [masquer]
1 Enjeux de la sécurité des systèmes d'information
2 Démarche générale
3 Méthodes d'attaque portant atteinte à la sécurité du SI
4 L'évaluation des risques
4.1 Méthodes d'analyse de risque
4.2 Informations sensibles
4.3 Critères de sécurité
4.4 Menaces
4.5 Objectifs
5 Moyens de sécurisation d'un système
5.1 Conception globale
5.2 Défense en profondeur
5.3 Politique de sécurité
5.4 Responsable de la sécurité du système d'information
5.5 Modèles formels de sécurité
5.6 Plan de continuité d'activité
5.7 Moyens techniques
6 Marché de la sécurité informatique
6.1 Dépenses gouvernementales
7 Notes et références
8 Voir aussi
8.1 Articles connexes
8.2 Liens externes
8.3 Bibliographie
Enjeux de la sécurité des systèmes
