La Sécurité Et Les Systèmes d'Information

prise, d’autre part car l’espionnage entre entreprises concurrentes est devenu chose courante. D’où la nécessité pour les entreprises de mettre en place un système de sécurité des informations efficace et sûr tout en le renouvelant régulièrement pour faire face à l’évolution et à la complexité des menaces.

La sécurité du système d’informations est « sa non vulnérabilité à des accidents où à des attaques volontaires c'est-à-dire l’impossibilité que ces agressions produisent des conséquences graves sur l’état du système ou son fonctionnement ». JP Magnier

Dans un premier temps, nous nous attarderons sur quelques notions générales concernant la sécurité du système d’informations puis, dans un deuxième temps, nous présenterons les mesures de base préventives, pendant et après la crise, à mettre en place pour toute entreprise. Nous aborderons ensuite les nouveaux enjeux et les nouvelles menaces auxquelles l’entreprise doit faire face. Nous illustrerons, enfin, notre thème par un cas pratique concret qui reflète bien la réalité des entreprises aujourd’hui. 

II. La notion de sécurité des systèmes d’informations

A. Définitions générales

1. Systèmes d’informations et sécurité des systèmes d’informations

Le concept de système d’information a émergé aux Etats-Unis au début des années 1960 et se nommait alors, Management Information System. Avec le temps et les avancées technologiques, les systèmes d’information ont beaucoup évolué. Aujourd’hui, le terme système d’information peut être définit de la manière suivante : c’est un ensemble organisé de ressources (matériel, personnel, données, logiciels, procédures …) permettant d’acquérir, de stocker, de traiter et de diffuser des informations dans les organisations.

Dès lors, on remarque qu’il est primordial pour une société de garantir la sécurité de ses systèmes d’informations. Cette dernière est possible en mettant en place un ensemble de moyens techniques, organisationnels, juridiques et humains ayant pour but de conserver ou de rétablir la disponibilité, l’intégrité et la confidentialité des informations ou du système.

2. La notion de vulnérabilité et de sinistre

Pour des raisons diverses, le système d’information est soumis à des menaces (intentionnelles ou non) qui peuvent mettre en danger ce système, on parle alors de vulnérabilité du système d’information. Si ces vulnérabilités potentielles deviennent réelles, il y a une agression envers le système d’information et par conséquent un sinistre. Un sinistre fait donc suite à une vulnérabilité qui a entrainé une agression ; cette dernière provoquant des dommages et des pertes comme par exemple, la dégradation de données. Le sinistre sera considéré comme terminé lorsque l’état du système d’information sera équivalent à l’état de celui-ci avant le sinistre.

Cette notion de sinistre est importante puisqu’elle permet de souligner qu’il y a deux aspects importants dans la sécurité des systèmes d’informations :

- le système d’information avant le sinistre, où la gestion de la sécurité a pour objectif de créer et d’améliorer constamment le système d’information afin de réduire au maximum les vulnérabilités.

- le système d’information pendant et après le sinistre, où la gestion de la sécurité a pour but de réparer un système et de le perfectionner de manière à ce qu’il soit moins vulnérable.

B. Les critères de sécurité

Afin de gérer au mieux la sécurité d’un système d’information il faut pouvoir l’évaluer en fonction de différents critères, ceux-ci permettant ensuite d’estimer les vulnérabilités qui planent sur le système d’information et par conséquent de tenter de réduire ces vulnérabilités. Il y a au total cinq critères de sécurité :

• Disponibilité de l’information : garantie que les informations sont disponibles à tout moment pour les personnes y ayant accès.

• Intégrité de l’information : l’information n’est modifiée ou supprimée que par les utilisateurs ayant ce droit

• Confidentialité de l’information : l’information est visible et disponible uniquement pour les personnes y ayant accès.

• La preuve : elle permet au système d’information de conserver des traces de toutes opérations faites sur celui-ci. Ce critère de preuve regroupe les notions d’imputabilité (qui permet de savoir qui a provoqué telle action ou tel événement), de traçabilité (qui permet au système de mémoriser l’origine d’une donnée, d’une information ou d’un message), d’auditabilité (qui garantie la conservation d’informations actuelles nécessaires à une analyse ultérieure), et la non-répudiation (qui est le fait de ne pouvoir nier qu’un événement ait eu lieu).

• Le respect de la réglementation : qui impose aux utilisateurs du système d’information d’appliquer et de respecter les règles de l’entreprise. 

C. Les menaces

Il est fondamental de connaître les risques informatiques pour mieux les maîtriser. Il existe différentes façons de classifier ces risques, nous utiliserons celle pratiquée par les sociétés d’assurance qui suppose que les causes d’apparition d’un sinistre peuvent être de quatre ordres : les accidents, les erreurs, la malveillance et les risques divers.

1. Les accidents

Les accidents peuvent provoqués à la fois des dégâts matériels mais aussi des pannes ou dysfonctionnements de logiciels ou de matériels.

Les dégâts matériels peuvent se caractériser par la destruction de locaux, de fichiers, de documentation … et ils peuvent avoir lieu suite à des incendies, des inondations, des explosions … En général, ce type d’accident entraîne de sérieuses pertes.

Quant aux pannes ou dysfonctionnement de logiciels, ils sont dus généralement à l’usure de matériel ou à des erreurs résiduelles dans les logiciels de base. Leurs conséquences sont plus minimes.

2. Les erreurs

Les erreurs peuvent correspondre à des erreurs d’utilisation comme des erreurs de saisie qui peuvent être relativement nombreuses car la saisie nécessite une attention soutenue et que les contrôles par les logiciels sont souvent insuffisants. De plus, les erreurs d’utilisation peuvent aussi être assimilées aux erreurs de transmission de données ou aux erreurs d’exploitation de système.

Ensuite, les erreurs sont aussi dues à des erreurs de conception et de réalisation de logiciels. En effet, ces logiciels peuvent être conçus de manière inadéquate pour les utilisateurs. Cela peut provoquer de lourdes conséquences puisque ces problèmes de conception sont, le plus souvent, détectés après que l’erreur se soit produise. Par exemple, dans un logiciel de facturation, les factures peuvent être divisées par 10 si l’utilisateur ne s’est pas rendu compte d’un aspect de ce logiciel.

3. Les malveillances

Est inclus dans la malveillance toute action d’origine humaine et volontaire visant à porter atteinte à un système d’information, à en tirer des profits illicites, à avoir accès à des informations confidentielles … Ces actions concernent plusieurs aspects :

• Le vol, le sabotage de matériel. Le vol étant de plus en plus pratiqué du à l’apparition des micro-ordinateurs qui facilitent le transport des informations.

• La fraude. Celle-ci est de plus en plus pratiquée et elle peut se caractériser par le détournement d’usage (utilisation de l’ordinateur d’une entreprise pour le compte d’une autre personne), le détournement de biens ou encore les déclarations frauduleuses.

• Les attaques logiques, plus connue sous le nom de « ver », « virus » ou « cheval de Troie ».

• Divulgations d’informations confidentielles à des tiers

• Détournement de logiciels. Piratage, copie et distribution illicite de logiciels.

4. Les risques divers

Les risques divers se composent des problèmes essentiellement socio-économiques comme les grèves ou le départ de personnel spécialisé. Dans certaines entreprises, seules quelques personnes connaissent le fonctionnement de certaines applications et la maintenance de nombreuses autres. Si ces personnes sont amenées à démissionner, cela pourrait entraîner de lourdes conséquences sur le système d’information de l’entreprise et sur le fonctionnement de celle-ci.

Après avoir abordé diverses notions concernant la sécurité des systèmes d’informations, abordons maintenant les méthodes qu’il faut mettre en place pour améliorer cette sécurité mais aussi pour lutter de manière efficiente contre les dommages qui peuvent survenir.

III. Processus de protection des Systèmes d’Information

A. Analyse des risques

Il faut avant tout préciser que n’importe quel dispositif de sécurité, même le plus sophistiqué,