Introduction
Comme la plupart des entreprises aujourd'hui, notre activité est entièrement numérisée et dépend donc de l'information ; des bases de données, référentiels et systèmes où cette information est stockée et gérée ; des réseaux de données qui nous permettent d'accéder à cette information et de la diffuser ; et, enfin, des équipements et dispositifs qui se connectent à ces réseaux et nous permettent de travailler avec elle.
Tout incident touchant l'un quelconque de ces actifs (information, systèmes, applications, réseaux et équipements) mettra en danger la continuité d'activité en paralysant la quasi-totalité (selon la portée de l'incident) des processus qui nous permettent de fonctionner.
Ces incidents peuvent être de deux types : techniques (panne de matériel) ou sécuritaires (attaque préméditée). C’est de cette dernière que porte ce document.
Ce document expose les politiques, objectifs et procédures de sécurité visant, en premier lieu, à éviter autant que possible que des incidents de sécurité surviennent et, en second lieu, à être prêts s'ils venaient à se produire.
Enfin, et c'est peut-être le point le plus important pour l'entreprise, étant une société des TIC qui propose en outre un service de cybersécurité dans son catalogue, la réputation est une question de rester sur le marché ou d'en être définitivement exclu.
Objectifs de sécurité
En tant qu'entreprise, nous nous fixons les objectifs de sécurité suivants, dont le respect sera mesuré à l'aide d'indicateurs que nous présenterons dans le tableau de bord du Comité de Direction et du Comité de Sécurité :
-
Protéger les actifs d'information
Chaque actif aura un propriétaire désigné, ainsi que les personnes, dûment identifiées, qui ont accès à cet actif. Chaque actif n'est accessible que par son propriétaire. Si nécessaire, l'accès pourra être autorisé à d'autres personnes, mais par défaut en mode lecture, sans aucun autre privilège. Ce n'est qu'en cas de nécessité et sur autorisation du propriétaire, ou de la direction (selon le type d'actif), que tous les privilèges d'utilisation seront accordés à la personne autorisée.
Métriques : Actifs protégés / Actifs totaux · Comptes d'utilisateurs actifs / Employés actifs · Actifs publics / Actifs privés. -
Intégrité de l'information
À tout moment, lors des opérations effectuées sur l'information, son intégrité doit être préservée. La lecture, la modification, le chiffrement et la suppression seront empêchés dès lors qu'ils ne sont pas autorisés. Les systèmes où cette information est stockée, ainsi que les équipements et les réseaux par lesquels elle est transmise, doivent contribuer activement au respect de cette règle, en chiffrant de bout en bout si le réseau n'est pas fiable (Internet).
Métriques : Actifs chiffrés / Actifs totaux. -
Contrôle d'accès avec mécanisme AAA
- Authentification : tous les employés et utilisateurs du système disposeront d'identifiants d'accès (nom d'utilisateur et mot de passe, données biométriques) garantissant que la personne est bien celle qu'elle prétend être. Pour renforcer la sécurité et rendre plus difficile l'usurpation d'identité, l'authentification à double facteur au moyen d'une application mobile sera utilisée pour tous les actifs où elle peut être mise en œuvre.
- Autorisation : les actifs, quels qu'ils soient, devront demander l'autorisation d'utilisation avant de permettre l'accès, indépendamment du fait que la personne se soit authentifiée avec succès.
- Traçabilité (accounting) : tout accès et toute modification de tout actif seront dûment enregistrés.
-
Plan de continuité d'activité
Élaborer un plan de continuité permettant de se rétablir après un sinistre dans les meilleurs délais.
Métriques : le plan lui-même · rapport d'exercice de simulation de sinistre · avancement des projets. -
Formation et sensibilisation
Informer, former et sensibiliser tous les employés en matière de sécurité de l'information, notamment sur leurs fonctions, leurs obligations et leur responsabilité quant à leur respect.
Métriques : résultat du hacking éthique interne. -
Enregistrement et gestion des incidents de sécurité
À cet effet, on utilisera le SOC (Centre d'opérations de sécurité), qui fonctionne 24×7, tous les jours de l'année. Les incidents seront enregistrés et étiquetés comme incidents de « sécurité » et, en fonction de leur impact, un niveau de criticité leur sera attribué, conformément à ce qui est établi dans la Gestion des incidents.
Métriques : évolution dans le temps du nombre d'incidents de sécurité · délais de résolution. -
Audit
Sur la base du tableau de bord de sécurité et de systèmes de surveillance en temps réel, seront examinés en permanence les événements liés à la sécurité (par exemple, les tentatives d'accès refusées), les métriques d'incidents et la révision des listes d'autorisations (personnes ayant quitté l'entreprise, ayant changé de département, etc.) afin de prévenir toute action indésirable.