Vers une convergence des approches par le risque et par l'audit

Informations

• Publié par: Mefig
• Nombre de lectures: 219
• Langue: Français

Extrait

Vers une convergence des approches par le risque et par l’audit
Sécurité de l’information :
vers une convergence des approches
par le risque et par l’audit ?
Retour d’expérience
Groupe France Télécom - Orange / Conix Security
François Zamora Sébastien Michaud
Emmanuel Christiann Sylvain Conchon
1Vers une convergence des approches par le risque et par l’audit
Agenda
Exposé du contexte métier
(François Zamora, Emmanuel Christiann)
Constats, outils et pratiques favorisant la convergence
(Sébastien Michaud, Sylvain Conchon)
Facteurs de réussite et cas concrets d’application
(François Zamora, Emmanuel Christiann)
Les intervenants :
François Zamora, Groupe France Télécom – Orange
Responsable vigilance opérationnelle Groupe
Emmanuel Christiann, Groupe France Télécom – Orange
Responsable du pôle Evaluation de la sécurité IT&N
Sébastien Michaud, Conix Security
Directeur Conix Security
Sylvain Conchon, Conix Security
Consultant senior
2Vers une convergence des approches par le risque et par l’audit
Agenda
Exposé du contexte métier
(François Zamora, Emmanuel Christiann)
Constats, outils et pratiques favorisant la convergence
(Sébastien Michaud, Sylvain Conchon)
Facteurs de réussite et cas concrets d’application
(François Zamora, Emmanuel Christiann)
Les intervenants :
François Zamora, Groupe France Télécom – Orange
Responsable vigilance opérationnelle Groupe
Emmanuel Christiann, Groupe France Télécom – Orange
Responsable du pôle Evaluation de la sécurité IT&N
Sébastien Michaud, Conix Security
Directeur
Sylvain Conchon, Conix Security
Consultant senior
3Vers une convergence des approches par le risque et par l’audit
Quelques tendances générales
● Exigences business nouvelles : la certification ISO 27001
devient obligatoire ici et là
● De nouveaux signaux :
 L’aptitude du contrôle interne de l’entreprise à démontrer son efficacité
− d’abord pour la maîtrise de ses risques business
− ensuite pour afficher la « compliance »
 La santé financière assurée, la pérennité du projet industriel est clef
4Vers une convergence des approches par le risque et par l’audit
De la sécurité de l’information vers la sécurité globale
5Vers une convergence des approches par le risque et par l’audit
Bénéfices immédiat et perspectives
● Expliciter le sens business de la démarche
● Faciliter la lecture des risques pour le décideur
● Clarifier l’ a c c oun t a ble et le responsible
● Perspectives d’amélioration :
 Profiter des activités de gestion des incidents
 Profiter des activités d’appréciation de menaces
6Vers une convergence des approches par le risque et par l’audit
Agenda
Exposé du contexte métier
(François Zamora, Emmanuel Christiann)
Constats, outils et pratiques favorisant la convergence
(Sébastien Michaud, Sylvain Conchon)
Facteurs de réussite et cas concrets d’application
(François Zamora, Emmanuel Christiann)
Les intervenants :
François Zamora, Groupe France Télécom – Orange
Responsable vigilance opérationnelle Groupe
Emmanuel Christiann, Groupe France Télécom – Orange
Responsable du pôle Evaluation de la sécurité IT&N
Sébastien Michaud, Conix Security
Directeur
Sylvain Conchon, Conix Security
Consultant senior
7Vers une convergence des approches par le risque et par l’audit
Ce qui déclenche la réflexion
la gestion des risques l’audit de vulnérabilités
identifie les vulnérabilités à partir identifie les vulnérabilités à partir
d’une modélisation formelle du de constats d’audit provenant du  périmètre terrain
valorise les impacts métiers selon valorise la sévérité des
une échelle d’impact ou de besoin vulnérabilités au sens « système  de sécurité d’information »
vise la réduction de risque, mais vise la correction des
se veut offrir une gestion sur la vulnérabilités, mais offre une vue  durée instantanée
est généralement traitée par une est généralement traitée par une
fonction Risk Manager, ou fonction RSSI, voire une entité  déléguée à la fonction RSSI dédiée aux audits
8



Vers une convergence des approches par le risque et par l’audit
La problématique est posée
● Le besoin : évaluer et améliorer le niveau de sécurité d’un
périmètre identifié
● Le constat : plusieurs approche sont possibles, chacune
présentant ses avantages et ses limites
● L’objectif : faire converger simplement et à moindre coût des
approches a priori différentes
Contexte métier du service
Approche par le risque
Approche par l’audit
Contexte opérationnel du service
9Vers une convergence des approches par le risque et par l’audit
Approche par le risque : une vue synthétique
Modélisation
du périmètre
Biens Biens
essentiels supports
R = f ( M , V , I )
Identification et Étude des Étude des Étude des
menaces impacts métiersvalorisation des risques vulnérabilités
10