Analyse des risques

Gestion des risques

Identification du contexte et des assets

Identification du domaine

L'organisme a déjà été décrit dans la partie présentation. Truc est donc une société française de vente, spécialisée dans l'ecommerce. Elle est actuellement constitué de 4 personnes.

Identification des assets

Assets business

  • base de données des clients (commandes, informations bancaires) ;
  • ce wiki (connaissance) ;
  • site web d'ecommerce ;
  • informations du site.

Un des risques majeur est l’accès aux données par un utilisateur non-autorisé à travers le réseau.

Assets du SI

  • le personnel de la société ;
  • logiciels.

Le matériel informatique n'est pas à prendre en compte dans notre analyse. En effet, dans le cadre de notre projet les attaques physiques sont interdites.

Détermination des objectifs de sécurité

Il nous faut spécifier les besoins en terme de confidentialité, intégrité et disponibilités des assets, au niveau business.
Pour cela nous avons deux méthodes :

  • audit ;
  • analyse du business.

Dans notre situation nous ne pouvons réaliser un audit, de plus cette étape peut s'avérer longue et pénible.
Nos objectifs de sécurité seront donc déterminés par analyse des assets business.
De plus, nous savons que les assets du SI « supportent » les assets business.

C I A
Base de données des clients 4 4 3
Wiki 3 2 1
Site web d'ecommerce 1 2 3
Informations du site 1 4 3
  • la base de données clients a un fort besoin de confidentialité, lié à la sensibilité des informations qu’elle contient :
    • informations bancaires (en théorie les codes de cartes bancaires ne devraient pas être gardés) ;
    • adresses.
  • ce présent wiki constitue notre étude ainsi qu'une partie de notre base de connaissances. La fuite de certaines informations pourrait mettre en péril notre organisation ;
  • le site web nécessite pour sa part un haut niveau de disponibilité. Nous pourrons définir plus précisément ce niveau, en chiffrant par exemple la perte de disponibilité du site :
    • calcul du Annual Loss of Expectancy (ALE).
  • l'intégrité des informations du site est également primordiale : niveau de stock d'un produit, prix, etc.
    • en effet certaines attaques consistent à modifier la valeur des prix affichés.

Analyse des risques

L'ensemble de ces objectifs pourra être représenté à l'aide de la méthode vue en cours de PCA.
L'analyse (ou appréciation) des risques a pour finalité l’identification et l’estimation de chaque composante du risque (menace/vulnérabilité/impact), afin d’évaluer le risque et d’apprécier son niveau. Ce qui revient à faire un classement des risques.
Nous pourrons ensuite prendre les mesures adéquates (étape également appelée « appréciation du risque »).

Identification des composantes des risques

Estimation des impacts

Les impacts peuvent être estimés de manière :

  • quantitative, Annual Loss of Expectancy (ALE) ;
  • qualitative ;
  • semi-quantitative.

Traitement du risque

Dans cette étape nous allons réduire les risques identifiés. Celle-ci est effectuée de manière incrémentale et par raffinement successif.

Ex : Le serveur doit être protégé, dans sa globalité, des intrusions éventuelles. De même, on décide de mettre en place un contrôle d’accès adéquat sur la base de données. Une authentification à distance, plus forte que l’authentification actuelle par login/password, est nécessaire. Toutefois le coût et la simplicité d’utilisation de la solution choisie doivent rester à un niveau acceptable.

Définition des exigences de sécurité

Sélection et implémentation des contrôles

Unless otherwise stated, the content of this page is licensed under Creative Commons Attribution-ShareAlike 3.0 License