Système D'Information - La Sécurité Des Infrastructures

informations est d’une importance vitale. Elle se trouve au carrefour de deux évolutions majeures. D’une part, le système d’information est devenu le gestionnaire des informations de l’entreprise. Tout en fournissant à l’entreprise de nombreux outils indispensables à l’activité des utilisateurs de plus en plus nombreux mais aussi de plus en plus éloignés. D’autre part, parce que le système d’information cesse d’être un îlot et s’ouvre vers l’extérieur en accompagnant le développement de l’économie des réseaux.

Cette ouverture, notamment via les technologies Internet, continue à se poursuivre car elle élève, de manière sensible, l’accessibilité et l’efficacité du système d’information. Cela permet notamment l’augmentation du volume d’échanges commerciaux, transactions électroniques, etc. Cette ouverture répond également au besoin croissant de flexibilité (personnels itinérants, télétravail).

L’ouverture et l’extension rendent donc les systèmes d’information de plus en plus vulnérables. Il y a une vingtaine d’année, le périmètre du système d’information se limitait aux serveurs centraux alors que qu’aujourd’hui, il englobe :

• Le réseau d’entreprise (PC, LAN, Serveurs)

• Les points d’accès à l’entreprise et le Réseau Privé Virtuel (VPN)

• Le domicile des employés en cas de liaisons permanentes à Internet

• Les communications de l’entreprise avec ses clients, ses partenaires, ses fournisseurs ...

En conséquence, cela induit la nécessité d’une sécurité à tous les niveaux du système d’information. La sécurité des systèmes d’informations doit donc être intégrée dans chacun des composants du système (Infrastructures systèmes mais aussi logiciels d’applications, réseaux de communication, ...) tout en restant le plus transparent possible afin qu’elle ne soit pas perçue comme une contrainte pour les utilisateurs.

La sécurité du système d’information doit répondre à plusieurs critères. Ils sont aux nombre de quatre :

La disponibilité : L’information doit être à disposition des utilisateurs à tout moment.

L’intégrité : Il faut que l’information considérée soit exacte et complète.

La confidentialité : Seules les personnes autorisées doivent avoir accès à l’information

La traçabilité : L’accès ou la tentative d’accès à l’information doit être tracé. Cette trace doit être conservée et exploitable à tout moment.

Selon la finalité des données et des populations concernées, il est nécessaire de mettre en place des mécanismes permettant d’assurer la confidentialité des échanges (donc de garantir que seul le destinataire des données puisse en avoir connaissance) et garantir l’intégrité des données (que les données n’ont pas été modifiées pendant leur transport) et l’authentification des utilisateurs (garantir avec certitude l’identité de son interlocuteur).

Les enjeux de cette sécurité sont multiples. Ils vont de la liberté individuelle (vie privée) à la communication (ne pas divulguer inutilement des informations) en passant par la bureautique (sécurité des données enregistrées).

Le système d’information qui collecte, acquiert, stocke, traite, diffuse et échange les informations propres à une personne, un groupe, une organisation devient donc un élément crucial de sa vie économique et sociale.

C’est pour cette raison que le système d’information doit être protégé contre les incidents et les attaques.

Aujourd’hui, l’importance de l’information n’est plus à démontrer. Qui détient la bonne information (exploitable et surtout fiable) avant tout le monde détient le pouvoir et tous les avantage, bénéfices qui en découlent.

L’information vaut donc autant par son contenu que par sa disponibilité. De nos jours, il ne sert à rien de posséder une information capitale si personne n’est en mesure de l’exploiter au bon moment. C’est pourquoi, les données doivent être partagées sur les réseaux afin que tous les membres d’une organisation, groupe d’intérêt commun puissent en profiter. Mais qui dit réseaux, dit risques. Mettre une information quelle qu’elle soit sur un réseau, l’expose à la convoitise des organisations adverses ou concurrentes.

Les réseaux informatiques et leurs ressources constituent l’infrastructure qui permet le bon fonctionnement du système d’information de l’organisation. La limitation ou le blocage des ressources pourrait porter atteinte à la productivité, l’efficacité du système général d’information, ce qui pourrait nuire directement à la compétitivité de l’organisation. C’est pour cela que l’infrastructure, aussi bien matérielle que logicielle du système d’information, doit être protégée.

Cette infrastructure concerne notamment les ordinateurs, les périphériques, la connectique, les systèmes d’exploitation, les programmes, les logiciels et applications.

Très souvent, la réputation d’une organisation n’est pas citée parmi les choses qui doivent être protégées. Et pourtant, les conséquences liées à la sécurité des systèmes d’informations peuvent être dramatique. Le business repose sur la confiance. Sans une bonne réputation, il n’y a pas de confiance donc pas de business. Les entreprises ont donc une image de marque à défendre. Des dégâts occasionnés au système d’information de l’entreprise seraient de nature à ternir cette image de marque s’ils venaient à être connus et diffusés dans la presse professionnelle ou grand public.

Le besoin grandissant de communication a crée l’ère de l’informatique répartie et interconnectée au travers de réseaux Internet. Non seulement l’entreprise ne peut plus se passer de l’informatique pour son fonctionnement interne, mais, en plus, son système d’information est accessible de l’extérieur pour lui permettre un travail en réseau avec ses fournisseurs, partenaires, etc. Ce besoin de communication, tant interne qu’externe, crée une vulnérabilité des systèmes internes de l’entreprise vis-à-vis d’attaques potentielles. La généralisation des outils nomades, tels que les téléphones mobiles, PDA, ordinateurs portables, clé USB, accentue d’autant plus ces risques. C’est pour cela que des mesures de protections homogènes à tous les niveaux d’infrastructure sont indispensables.

Même la France n’est pas épargnée. Selon l’étude TNS-Sofres par exemple, réalisée entre novembre 2003 et janvier 2004, les attaques virales ont touché 44 % des entreprises, dont 50 % ont dû cesser leur activité pendant plusieurs heures et 36 % ont perdu des données.

De la perte de temps aux conséquences financières lourdes, en passant par la possible perte de confiance des clients, partenaires, fournisseurs, une sécurité défaillante pourrait conduire à la faillite de l’entreprise (dans le pire des cas).

En l’absence d’une politique de sécurité, l’entreprise s’expose à un risque financier important :

• Coût d’immobilisation : Ralentissement de l’activité, voire paralysie de l’entreprise suite à un arrêt de l’informatique.

• Coût de temps passé : Les tentatives de réparation, les recherches de l’origine de l’attaque, la restauration des données, la ressaisie de fichiers perdus, la réorganisation sont d’autant plus de temps perdu que l’attaque est importante.

• Coût technique : Remplacement d’un disque dur, intervention d’un expert pour éradiquer les virus ayant contaminé l’ensemble du réseau, réinstallation des programmes ou serveurs.

Aujourd’hui, il y existe une intercommunication grandissante entre systèmes hétérogènes. C’est pour cette raison que la sécurité des systèmes d’informations est très importante.

Tenter de sécuriser un système d’information revient donc à essayer de se protéger contre les risques liés à l’informatique et au développement très rapide des réseaux de communication pouvant avoir un impact sur la sécurité de celui-ci ou des informations qu’il traite.

Les menaces font partie de l’environnement. On ne peut agir sur elles qu’en intervenant sur les vulnérabilités propres au système d’information ou sur leurs conséquences, c’est-à-dire en limitant leurs impacts.

Les réseaux d’entreprise, ouverts sur l’Internet sont devenus des cibles permanentes d’attaques. Chaque jour, de nouvelles failles de sécurité sont découvertes. Il existe donc de nombreux risques en sécurité du système d’information.

Il est donc important de mesurer ces risques. Non seulement en mesurant la probabilité ou la fréquence de leurs apparitions mais aussi en mesurant leurs effets possibles. En fonction de la période ou les circonstances où ils se manifestent, ils peuvent avoir des conséquences non négligeables voire catastrophiques. Parfois, le traitement informatique en cours échoue et il suffit de relancer le traitement mais parfois, l’incident bloque tout le système et on doit procéder à une réparation ou une correction avant de poursuivre le travail entrepris. Mais ces mêmes incidents peuvent avoir