Cours 7

Ma Leger

Description

Cour s 7La gestion du ris que ©2 004 , Marc-An dré LégerLe monde de la s écurité de l’inf ormationSécurité de Sécurité Gestionplate-forme physiquedu risqueGestion de la Planification connectivité et de replidu pare-feuGestion d e la Cryptagecontinuité d es opérationsGestion DisponibilitéConfidentialitédes motsGestion de crisede passeet réactionaux incidentsAuthentification et contrôle d’ac cès Surveillance et détection des Gestion et inscription intrusionsdes certificats IntégritéDétection et pr éventiondes virus Sécurité p ersonnelleEssai de pénétrationArchitecture de sécur ité Gestion de la sécurité©2 004 , Marc-An dré Léger des i nfrastructuresÉthique, respect de la vie pr ivée, confidentialité et sécurité • Éthique – Va leur sociales– principes moraux, règles ou normes qu i régissent la co nduite des membres d’ un groupe. • Respect de la vie privée – Droits de la personne fondamentaux– Droit de s personnes à la pa ix et à la tranquillité.• Confidentialité – Attentes– Respect et maintien de la vie privée d’ une personne.– Pro tection des s ecrets commerciaux.• Sé curité – Mé canismes– Po litiques, procédures, mécanismes, outils, technologies et méthodes de responsabilisation pour appuyer le re spect de la vie privée. ©2 004 , Marc-An dré LégerManq ue de s tatistiques et de signalement• 80 % des incidents cybercriminels restent no n signalés dans le secteur des services financiers (CDI).– Les employés n’e n ...

Informations

• Publié par: Nething
• Nombre de lectures: 67
• Langue: Français

Extrait

 

©2004, Marc-André Léger

Cours 7

La gestion du risque

 

   ,4M 2©00nArdra-cr C geLéé  ntdefionétilai Srucéneonellé itrspe ed noitseG seas pde tsmos  itsed noal ecés G urtcruse urité des infrast iostetn Ge cats  certifi itno d   se i snrcpi ioaticifntheutA saccè  e ’d rtlôc no  n te de e  éc situr e  é Ldnomed e al ucés Acrihettcru ofmr’lni d  eirét

Gestion de la continuité des é Disponibilité op rations Gestion de crise et réaction aux incidents

Surveillance et détection des intrusions Détection et prévention des virus

Essai de pénétration

Intégrité

n

p S l é a c te u - r f it o é de  Gestion Gestion de la  rme  du risque connectivité et du pare-feu Cryptage

Sécurité physique Planification  de repli

atio

©2004,

Éthique, respect de la vie privée, confidentialité et sécurité

 Ma

 

rc-A

•

• •

•

dnér L

Éthique – Valeur sociales – principes  moraux, règles ou normes qui régissent la conduite des membres d’un groupe. Respect de la vie privée – Droits de la personne fondamentaux – Droit  des personnes à la paix et à la tranquillité. Confidentialité – Attentes – Respect  et maintien de la vie privée d’une personne. – Protection  des secrets commerciaux. Sécurité – Mécanismes – Politiques,  procédures, mécanismes, outils, technologies et méthodes de responsabilisation pour appuyer le respect de la vie privée.

gére

 

©2004, Ma

 

cr

•

•

•

-André 

Manque de statistiques et de signalement

80 % des incidents cybercriminels restent non signalés dans le secteur des services financiers (CDI). – Les  employés n’en informent pas les supérieurs. – Les  entreprises n’en parlent à personne à l’extérieur. Selon la Banque mondiale, beaucoup de banques paient maintenant des primes au silence à des syndicats de pirates informatiques organisés, afin de protéger leur réputation après avoir été déplombées. Sondage CSI/FBI de 2003 auprès de 376 organismes : – 50  % tiennent secrets les incidents de sécurité; – 30  % les signalent à l’ordre public; – 20  % consultent seulement des conseillers juridiques.

Léger

 

04, Marc    ©20regédnA-L ér 6); 3 69U. (   É.- 0230rb evomeN  (ni-Umeauoy R);413 2( engamellA 18 1  ; 3)ysPaas-B69(  ;)7anaC( ad209).

80000

100000

120000

140000

160000

Vous êtes sous attaque!

0

20000

40000

60000

2©00,4M a

 

cr-A

• •

• • •

dnér L

Questions de gestion

90 % des attaques découlent d’une configuration médiocre et de l’absence d’actualité des correctifs. Le cybercrime nécessite une manipulation médico- légale spécialisée, des compétences et des outils dont l’existence est peu vraisemblable dans le milieu actuel de technologie de l’information dans les soins de santé. Il existe des différences entre  s l   e É s t   a p t o s l - it U iq n u is e   s e   t  d d e e    confidentialité du Canada, de l’Europe. Il y a le problème de la sécurité des retombées. Les produits utilisés sont obsolètes.

éger

 

©

Qu’en est-il des virus et des vers?

2004, Ma

• • • • •

 

crA-dnr

En 2003, il existait 7 189 nouveaux virus connus, pour un total d’environ 78 000. Neuf des 10 virus les plus populaires décelés étaient des virus de courriel de masse frappant des vulnérabilités connues. 87 % de tous les signalements d’infection ont pour origine un virus Windows. Selon l’ISS, les incidents de sécurité ont augmenté de 15 % du deuxième au troisième trimestre. Premier cas de ver s’installant sur les guichets automatiques bancaires : ver Windows Welchia/Nochi, août 2003, Diebold, intégré à XP; le correctif était disponible (RPC DCOM), mais il n’a pas été appliqué.

 éLéger

 

•

•

Inquiétude au sujet de l’usurpation d’identité

Aux États-Unis, sept millions d’adultes, soit 3,4 % des consommateurs, ont été victimes d’une usurpation d’identité au cours des 12 mois se terminant en juin 2003.

Il s’agit d’une hausse de 79 % par rapport à l’année précédente.

• Plus  de la moitié des usurpateurs avaient des antécédents chez les victimes.   G pe Gartner   rou ©2004, Marc-André Léger

0 jours et  elle  tiqieu sse ted3 néulbiratélicrs ed av-imd eiv se enceéval % de – 50  rgvad  e  rP ti.édee ssaiésgrdes a elbuodb al cev eu sostn  s rctiqi  les pluentes etrp slavésel ulp ilabésitvus érln ePsr .e •  naénuq e   cha llesouveés ntilibarénluv sedr pas éeacplem r L – eiv-imeD rc-A, Ma2004    ©reL gédnér cn – esiat rueéaLd vie  de ertade cluv seniilibarént ess tétémiliil.e •   xElpioatitno – 80 % des failleed scés tirupa érapaseis dnts an          élaiun d  0ojed6         om clas rèaps ural ed noitacinum bilité.   vulnéra

•

•

Les lois des vulnérabilités

20 %

10 %

40 %

30 %

Méthodes d’attaque réussie

0 %

Vulnérabilité inconnue du SE exploitée Mots de passe devinés

Vulnérabilité connue du SE exploitée Application connue exploitée Erreurs de configuration et erreurs humaines Compte d’utilisateur valide mal utilisé Contrôle d’accès médiocre exploité Déni de service externe

(Sourc   e

 

ec R :002,rt 20 pr 810ehI ehcrpaop,Wr I) Tsefonoisslensed  5 0% ar MAnc-©24,00r érdegéL

servdes sur  et LS)LpOnelo etocopr u  ddeail’à  (lagé à lagé’d xues résealé sur d rnitslas nalgueu  dpety : x  er – V • sét uniL arénilib se )noénbrso -eKxteron ees dne drpeR( RDitatneséib – L : )   Xieirra 2 4. • . nUxi( otsu faut du noyau en bmolp séu ra éd  nrseueb Dn,iaép d nd-ArcMaerég Lré étiuqibUluv sed    40 ,©   02 nsdaa  léf – Dt au C •  t ocsi rciMfoso iel de sdu logiciWdnwo sevsroi n –    :P)TT Hesoloctorp ,HSS elocot ort ssep e • Pa tern nnitaoificiymts EA LP.cca’d  el rucés sè  durveerrôntcoe  idtcd  uiaeroinnre, itaiquesatta  reW bpA • r eSvrue6 % de tache  (5etiseW s suo sel s urS DN • S b) veer ,Ie  ,MDRnCP  , uS ur Serve l. • S t. a tnepres reV –  :LQ eugncor ve, QL S otocole OpenSSH  c – noetantnu  nhcaleve  doiTr Pr e • coto elo LSSorp( aque – Atts fo souedd mr eeds né i • L cevier  dgegaantpircs e rP •  PHP