Want to create interactive content? It’s easy in Genially!

Get started free

CSI_Sécurité informatique

Emma B

Created on November 5, 2024

Start designing with a free template

Discover more than 1500 professional designs like these:

Visual Presentation

Terrazzo Presentation

Colorful Presentation

Modular Structure Presentation

Chromatic Presentation

City Presentation

News Presentation

Transcript

CSI-CONCEPTEUR DE SYSTEMES D’INFORMATION

Sécurité Informatique
Start

Objectifs

  • Comprendre les enjeux de la cyber-criminalité et de la sécurité informatique.
  • Mettre en œuvre des bonnes pratiques en tant qu’utilisateur d’un système d’information.
  • Appliquer et mettre en œuvre un plan de continuité ou de reprise, gérer les sauvegardes.
  • Choisir et mettre en œuvre des systèmes d’authentification pertinents.
  • Repérer les failles Web classiques.

Organisation

  • Des cours.
    • Des activités.
    • Des travaux pratiques.
    • Des questionnaires notés.
    • Des TPs notés.
    • Des défis.
    • Un examen final.

Sommaire

Les modules

Les modules

Testez-vous

Les modules

Cyber-sécurité et Sécurité informatique

Bonnes pratiques de sécurité informatique

Les authentifications

Plan de continuité et sauvegardes

Sécurité de la station de travail

Les attaques et la sécurité du code Web

Modules

Cyber-sécurité et Sécurité informatique

Evaluation des risquess

Définitions

Les principes de sécurité

Vulnérabilité, menace et risque

Les essentiels d'EXCEL !

Sécurité et sûreté

La typologie des risques informatiques

Les types de menaces

La méthode EBIOS

Définition

Protéger les systèmes et les données Protéger votre identité, vos données et vos périphériques informatiques En entreprise, responsabilité quant la protéction de la réputation et des données clients

Cisco Networking Academy

Définition

Donnée à caractère personnel : Information relative à une personne physique via un numéro d'identification.

Article 2 de la loi n°78-17 du 6 janvier 1978

Vulnérabilité, menace et risque

  • vulnérabilité = faiblesse du SI
  • Menace = dommages sur le SI
  • Risque = exploitation du SI

La typologie des risques informatiques

La méthode EBIOS

Expression des Besoins et Identification des Objectifs de Sécurité

Outil de gestion des risques Sécurité des Systèmes d'Information et conforme au Référentiel Général de Sécurité et normes ISO

La méthode EBIOS

Modulaire et conforme aux normes internationales ISO/IEC 31000, ISO/IEC 27005, ISO/IEC 27001, la méthode EBIOS reste la boîte à outils indispensable pour toute réflexion de sécurité de l’information

Info

La typologie des risques informatiques

La méthode EBIOS : démarche en 5 ateliers

Atelier 1 – Cadrage et socle de sécurité Atelier 2 – Sources de risque Atelier 3 – Scénarios stratégiques Atelier 4 – Scénarios opérationnels Atelier 5 – Traitement du risque

Evaluation des risques

Risque = scénario qui combine un événement redouté et un ou plusieurs scénarios de menaces Evaluation des impacts = croisement entre le niveau de vraisemblance et gravité

Evaluation des risques

La gravité évalue l’enjeu d’un événement redouté sur des valeurs métier, c’est-à-dire stratégiques pour l’organisation (exemples: informations confidentielles, processus métier, matériels, logiciels, …).Exemple de mesure de gravité:

Evaluation des risques

Impacts des risques

L’ANSSI, au travers de sa méthode EBIOS, identifie différentes catégories d’impacts

Impacts sur les missions et les services de l’organisation;

Impacts humains, matériels ou environnementaux;

Impacts sur la gouvernance;

Impacts financiers;

Impacts juridiques;

Impacts sur l’image et la confiance.

Les principes de sécurité

La sécurité des systèmes d’information repose sur 4 principes fondamentaux

Sécurité et sûreté

Sûreté

Prévention des risques et conséquences d'un événement

Sécurité

Prévention des actes de malveillance en combinant moyens humains, techniques et organisationnels

Sûreté informatique

Les types de menaces

Les menaces non intentionnelles:

Menace d’accident naturel;Menace humaine;Menace liée au matériel

Le périmètre de la sureté informatique englobe les menaces non intentionnelles qui sont par définition, peu prévisibles et non volontaires.

Sécurité informatique

Les catégories d’attaquants

Les menaces délibérées :

Menace d’accident naturel;Menace humaine;Menace liée au matériel

Personnes malveillantes Interne ou externe à l'organisation Capacités plus ou moins importantes

Les types de menaces

Quatre principaux types de menaces sont mis en avant par L’ANSSI

La cybercriminalité

Le sabotage

L'espionnage

La déstabilisation

utilisées à des fins économiques ou scientifiques (lourdes conséquences pour les intérêts nationaux). Il peut s’agir d’intrusion suivie de conservation à distance d’un accès au système visé : l’objectif de l’attaquant est de maintenir discrètement son accès le plus longtemps possible afin de capter l’information stratégique en temps voulu.

Le sabotage informatique est le fait de rendre inopérant tout ou partie d’un système d’information d’une organisation via une attaque informatique

sujet vaste, une simple définition: Ensemble des activités illégales effectuées par l'intermédiaire d'Internet

déstabiliser le fonctionnement d’un SI.

Exercices & TP La nécessité de la cybersécurité Attaques, concepts et techniques Protection des données et confidentialité Protection de l'entreprise La cybersécurité dans votre futur Examen final

La nécessité de la cybersécurité

  • Introduction;
  • Données personnelles;
  • Données de l’entreprise;
  • Les agresseurs et les professionnels de la cybersécurité;
  • Guerre cybernétique;
  • Synthèse.

Utilisation des termes et des concepts du Chapitre 1;Questionnaire d’éthique du chapitre 1. Questionnaire noté chapitre 1.Défis root me

Attaques, concepts et techniques

  • Introduction;
  • Analyser une cyber-attaque
  • Les problématiques de la cyber sécurité
  • Synthèse.

Utilisation des termes et des concepts du Chapitre 2;Questionnaire noté chapitre 2.Défis root me

Protection des données et confidentialité

  • Introduction;
  • Analyser une cyber-attaque
  • Les problématiques de la cyber sécurité
  • Synthèse.

Utilisation des termes et des concepts du Chapitre 3;Questionnaire noté chapitre 3.Défis root me

Protection de l'entreprise

  • Introduction;
  • Pare-feu;
  • Approche comportementale de la cybersécurité;
  • Approche de CISCO pour la cybersécurité;
  • Synthèse.

Utilisation des termes et des concepts du Chapitre 4;Questionnaire noté chapitre 4.Défis root me

La cybersécurité dans votre futur

  • Introduction;
  • Enjeux juridiques et éthiques, formations et carrières dans la cybersécurité;
  • Synthèse.

Défis root me

Bibliographie

Cybersecurite des services informatiques, édition DELAGRAVE

Cours Cisco: https://www.netacad.com/

Défis root-me: https://www.root-me.org/

Bonnes pratiques

Tous les utilisateurs

Utilisation de la messagerie

Mot de passe

Sauvegardes

Paiement sur Internet

Wifi public

Charte informatique

Séparer les usages personnels des usages professionnels

Téléchargement des logiciels

10

Sécuriser les périphériques

Vérrouiller le poste de travail

Bonnes pratiques

Tous les utilisateurs : Mot de passe

  • Bien choisir son mot de passe : lettres, chiffres, caractères spéciaux
  • Pas de mots de passe faciles: Azerty123, password, toto, …
  • Un mot de passe diffèrent pour chaque application,
  • Mot de passe complexe : une phrase secrète
  • Mot de passe confidentiel, à ne pas divulguer ni à noter sur des post-it,
  • Utilisez plutôt une application de gestion de mot passe

Bonnes pratiques

Tous les utilisateurs :

Sécuriser les périphériques

Téléchargement de logiciels

Charte informatique

Les sauvegardes

Utilisation de la messagerie

En entreprise, chaque utilisateur doit signer une charte informatique, cette dernière vise à faire respecter les obligations liées au RGPD. Elle fixe les droits et obligations en matière d'utilisation du système informatique au sein d'une entreprise, d'une administration ou d'une association. Il faut prendre le temps de lire ce document mis à disposition en entreprise

Téléchargez les logiciels sur les sites officiels des éditeurs pour éviter les chevaux de Troie et tout autre type de programme malveillant

Pensez à sauvegarder régulièrement vos données sur différents supports;Vérifiez vos sauvegardes.

Pensez à sécuriser tous les équipements: Smartphones, tablettes, etc. Ces équipements sont aussi la cible des hackers.

Restez vigilent et prudent en utilisant votre messagerie, pas de téléchargement de pièce jointe venant des utilisateurs inconnus, pas de clic sur des liens présents dans des messages, allez plutôt sur les sites officiels et vérifiez bien l’adresse du lien.

Bonnes pratiques

Tous les utilisateurs :

Wifi public

Paiement sur Internet

Restez vigilent en utilisant un WiFi public. Ne pas consulter les données de l’entreprise, les comptes bancaires ou la messagerie en utilisant un WiFi public: hôtel, aéroport, gare, restaurant, …

Restez vigilant en effectuant des paiements en ligne, le site e-commerce doit être sécurisé

Séparer usages personnels des usages professionnels

Verrouiller le poste de travail

N’utilisez pas vos équipements personnels en entreprise, ces équipements peuvent être infectés et infecter les équipements de l’entreprise

Il faut toujours verrouiller le poste de travail en le quittant même pour une petite pause. Un salarié malhonnête, un prestataire, un fournisseur ou toute autre personne en entreprise peut l’utiliser pour des actions malveillantes (avec vos identifiants)

Bonnes pratiques

Administrateur

Sauvegarde et restauration

Compte administrateur

Bien connaître ses utilisateurs et ses prestataires

Politique de sécurité

Sécuriser l'accès Wifi de l'entreprise

Mise à jour des logiciels et systèmes

Mise en place d'une suite de sécurité

Sécuriser les locaux

10

Former et sensibiliser les utilisateurs

Plan de reprise d'activité

Les authentifications

MOOC de l’ANSSI: Sécurité de l’authentificationhttps://secnumacademie.gouv.fr/apprenant/default.php

Principes de l’authentification;

Attaques sur les mots de passe;

Sécuriser ses mots de passe;

Gérer ses mots de passe;

Notions de cryptographie

Activité: Défis root-me.org

Plan de continuité et sauvegardes

Distaster Recovery Plan ou Plan de Continuité d'Activité Plan de Continuité de Service Plan de Secours Informatique Plan de Reprise d'Activité .

Etude : Plan de Secours Informatique Définition : Plan de Continuité de Service :

Plan de continuité et sauvegardes

Sinistre = catastrophe, pertes matérielles et humaines. Risque = perte potentielle identifiée et quantifiable

Impact = mesure des effets. Priorité = ordre de traitement

Contexte = fonctionnement de l'organisation. Eléments d'analyse :

  • Cartographie des processus ;
  • Cartographie applicative et réseau ;
  • Normes et référentiels applicables;
  • Budgets.

Plan de continuité et sauvegardes

Le Plan de Continuité de Service (PCS)

  • Exigences de continuité
  • Activités essentielles
  • Conséquences d'intérruption
  • Niveau d'impact
  • Analyse de risques
  • Poursuite de l'activité
  • Service minimum

Plan de continuité et sauvegardes

Le Plan de Continuité de Service (PCS)

Phase analyse des risques

  1. Indisponibilité totale ou partielle
  2. Plan de secours
  3. Bilan des conséquences directes
  4. Mise en place du PSI et PRA

Plan de continuité et sauvegardes

Le Plan de Secours informatique (PSI)

Phase analyse des solutions

  1. Aspects techniques et organisationnels
  2. Plan de secours Informatique
  3. Chiffrage

Plan de continuité et sauvegardes

Le Plan de Secours informatique (PSI)

Ils peuvent être classés par types d'activité :La mobilisation des ressources nécessaires;Le secours des équipements informatiques;Le secours des réseaux;Le secours de la téléphonie; La reprise des traitements;La reprise des activités des services utilisateurs;La communication de crise;Les dispositifs de post-reprise.

Les dispositifs d'un plan de secours

La mobilisation des ressources nécessaires

Le secours des réseaux

Le secours des équipements informatiques

Le secours de la téléphonie

Restauration des environnements système Adaptations techniques (le matériel de secours n'est pas toujours identique au matériel d'origine) ; Restauration des applications ; Validation des restaurations

Mise en place des équipements de secours ; Basculement sur liaisons de secours ; Paramétrage des différents équipements

Re-routage des appels; Mise en place d'équipements de secours; Paramétrage;

Ressources humaines : mobilisation des équipes d'intervention ; Réservation des moyens de secours (réquisition de moyens, alerte d'un prestataire externe, ...) ; Récupération des sauvegardes ; Récupération de la documentation ;

Plan de continuité et sauvegardes

Le Plan de Secours informatique (PSI)

Adaptations logicielles; Adaptation des procédures d'exploitation; Récupération de flux et synchronisation des données; Traitements exceptionnels; Validations fonctionnelles;

La reprise des traitements

La reprise des activités des services utilisateurs

Les dispositifs de post-reprise

La communication de crise

Interne (personnel, autres entités, ...) ; Externe (clients, partenaires, public, ...)

PSI

Dispositifs préalables et d'accompagnement (assurance, remise en état des locaux, sauvetage des matériels, ...) ; Dispositifs de retour à la normale (constituent un plan spécifique le plan de reprise d'activité PRA).

Tâches utilisateurs avant mise en place des moyens de secours ; Organisation d'un service minimum ; Travaux exceptionnels (procédures de contournement, rattrapages, ...) ;

Plan de continuité et sauvegardes

Le Plan de Secours informatique (PSI) : partie organisationnelle

les acteurs et les intervenants

LA CELLULE DE COORDINATION

le comite de crise

EQUIPES D'INTERVENTION

LES SERVICES UTILISATEURS

Plan de continuité et sauvegardes

Le Plan de Secours informatique (PSI) : partie technique

Sécurité de la station de travail

Introduction;

Applications et mises à jour;

Options de configuration de base

Configurations complémentaires;

Sécurité des périphériques amovibles;

Séparation des usages;

Test : Evaluation.

Les attaques et la sécurité du code Web

Introduction;

Internet: de quoi s’agit-il?

Les fichiers en provenance d’Internet;

La navigation web;

La messagerie électronique;

L’envers du décor d’une connexion web

Test : Evaluation.

Testez-vous

Testez-vous

Testez-vous

Testez-vous

Testez-vous

Testez-vous

Testez-vous

Testez-vous

Testez-vous

Testez-vous

Testez-vous

FIN

Méthode EBIOS

  • pour construire son référentiel SSI ;
  • gestion des risques d’un organisme ;
  • mise en place d’un système de management de la sécurité de l’information ;
  • élaboration d’une doctrine, d’une stratégie, d’une politique, d’un plan d’actions, ou d’un tableau de bord SSI.

Pour mener à bien un plan de secours

  • Connaissance du contexte;
  • Identification des menaces;
  • Identification des risques;
  • Actions préventives: plan de sauvegarde;
  • Dispositions techniques;
  • L’organisation;
  • La documentation;
  • Procédures d’intervention;
  • Plan de reprise;
  • Plan de retour à la normale;
  • Plan de tests
Le pilotage

Mise en oeuvre du plan de secours Intervenants :

  • applique les consignes
  • donne l'alerte

  • Le comité de crise
  • La cellule de coordination
  • Les équipes d'intervention
  • Les services utilisateurs

Pour être opérationnels, ces dispositifs de secours doivent être accompagnés de dispositifs permanents destinés à les maintenir à niveau (exemples : le plan de sauvegarde, les procédures de mise à jour et de formation des acteurs du PSI, ...).