Cryptographie et Sécurité Informatique

Module 1
Introduction à la sécurité informatique
Emmanuel Chimi
Série: IT
 Cryptographie et sécurité informatique NOTES

CONTENU

1 Terminologie de la sécurité.............................................................................. 5
1.1 Quelques définitions................................................................................. 5
1.2 Sécurité et biens informatiques ............................................................... 6
1.2.1 Les actifs ............................................................................................ 6
1.3 Objectifs ou services de sécurité de l’information ................................... 6
1.4 Etats de l’information ............................................................................... 7
2 Menaces, vulnérabilités et attaques................................................................ 8
2.1 Introduction .............................................................................................. 8
2.2 Menaces.................................................................................................... 8
2.2.1 Sources de menaces .......................................................................... 9
[Link] Sources de menaces internes .................................................... 9
2.2.2 Types de menaces ............................................................................. 9
[Link] Menace – Action humaine – Délibérée : Les malware .............. 9
2.3 Vulnérabilités .......................................................................................... 10
2.3.1 Vulnérabilités: Propriétés ................................................................ 10
2.3.2 Vulnérabilités: Personnes ................................................................ 10
2.3.3 Vulnérabilités: processus ................................................................ 11
2.4 Attaques.................................................................................................. 11
2.4.1 Types d’attaques ............................................................................. 11
2.4.2 Incidents et attaques de sécurité .................................................... 12
2.4.3 Attaques passives ............................................................................ 12
2.4.4 Attaques actives .............................................................................. 13
2.4.5 Attaques actives .............................................................................. 16
2.5 Menaces, vulnérabilités et attaques : Récapitulatif ............................... 16
3 Management de risques ................................................................................ 18
3.1 Notion de risque ..................................................................................... 18
3.2 Management de risque .......................................................................... 19
3.2.1 Etablir le contexte ........................................................................... 19
3.2.2 Identifier les risques ........................................................................ 19
3.2.3 Analyser les risques ......................................................................... 20
[Link] Exemple d’analyse qualitative des risques .............................. 20
Training – IT | © Emmanuel CHIMI, Draft 01/2024 2
 Cryptographie et sécurité informatique NOTES

3.2.4 Evaluer les risques ........................................................................... 21

3.2.5 Contourner les risques .................................................................... 21
3.3 Normes de gestion de la sécurité de l'information ................................ 21
4 Mesures et contrôles ..................................................................................... 23
4.1 Classification des mesures ...................................................................... 23
4.2 Le modèle sécurité NSTISI 4011 ............................................................. 24

Training – IT | © Emmanuel CHIMI, Draft 01/2024 3

 Cryptographie et sécurité informatique NOTES

PLAN DU MODULE 1

Ce module couvre le processus de sécurité de l'information qui comprend les

phases suivantes:

1. Identifier les actifs informationnels

2. Décrire les objectifs de sécurité des actifs
3. Caractériser les menaces
4. Identifier les vulnérabilités
5. Évaluer les risques
6. Appliquer les contrôles

Training – IT | © Emmanuel CHIMI, Draft 01/2024 4

 Cryptographie et sécurité informatique NOTES

1 Terminologie de la sécurité

Dans ce chapitre nous abordons les points

1. Identifier les actifs informationnels
2. Décrire les objectifs de sécurité des actifs

1.1 Quelques définitions

La sécurité informatique (Computer security) consiste essentiellement à
protéger les systèmes informatiques et les informations contre les dommages, le
vol et l’utilisation non autorisée. C'est le processus de prévention, détection et
résolution de l’utilisation non autorisée d’un système informatique.

La sécurité de l'information est une vaste notion qui couvre de nombreux

domaines tels que la sécurité physique, la sécurité des points terminaux, le
cryptage des données et la sécurité des réseaux. Elle est également étroitement
liée à l'assurance de l'information, qui protège les informations contre les
menaces telles que les catastrophes naturelles et les pannes de serveur.

La cybersécurité concerne la protection des appareils électroniques et des

appareils mobiles contre les attaques dans le cyberespace. En particulier, la
cybersécurité traite de la prévention des attaques de ransomwares, des
injections de logiciels espions et de la compromission des réseaux sociaux.

La sécurité réseau (Network Security) protège un réseau et les données qui y

transitent contre les violations, intrusions et autres menaces. Il s'agit d'un terme
vaste et général qui décrit les solutions matérielles et logicielles ainsi que les
processus ou règles et configurations liés à l'utilisation du réseau, à l'accessibilité
et à la protection globale contre les menaces.
La sécurité réseau implique le contrôle d'accès, les logiciels antivirus, la sécurité
des applications, l'analyse du réseau, les types de sécurité spécifiques au réseau
(point terminal, Web, sans fil), les pare-feu, le cryptage VPN et bien plus encore.

Le terme sécurité informatique est utilisé comme notion supérieure pour

désigner toute la branche de la sécurité. Dans l’usage courant la distinction n’est
pas toujours bien faite entre les différentes appellations introduites ici.

Training – IT | © Emmanuel CHIMI, Draft 01/2024 5

 Cryptographie et sécurité informatique NOTES

1.2 Sécurité et biens informatiques

La sécurité concerne la protection des actifs informatiques (ou biens
informatiques) contre les dommages ou les préjudices.
Les actifs sont des éléments ou des processus qui ont de la valeur
 Propriété (biens matériels)
 Personnes (Les humains)
 Immatériels

1.2.1 Les actifs

Pour une protection efficace, vous on doit savoir:
 Quels sont les biens de l’entreprise?
 Ce qu'ils valent et à quel point ils sont critiques
 Qu'est-ce qui pourrait arriver qui pourrait les affecter
 Tenir compte des événements accidentels et intentionnels
 Comment les protéger et à quel prix ?
 On doit envisager les possibilités pour :
• Prévention des dommages aux actifs (ou minimisation des dommages)
• Détection des dommages causés aux biens : quand, comment, qui ?
• Réaction pour récupérer des dommages

1.3 Objectifs ou services de sécurité de l’information

Les définitions traditionnelles de la sécurité informatique reposent sur trois
objectifs ou services ou propriétés de sécurité des informations:

 Confidentialité: empêcher la divulgation d'informations à des personnes

non autorisées
 Intégrité : empêcher la modification ou la destruction non autorisée
(accidentelle ou délibérée) des informations.
 Disponibilité : Assurer que les ressources sont accessibles lorsqu'elles
sont requises par un utilisateur autorisé

Ces trois objectifs forment la triade de sécurité, CIA (Confidentiality, Integrity,

Availability).

Training – IT | © Emmanuel CHIMI, Draft 01/2024 6

 Cryptographie et sécurité informatique NOTES

Figure 1.1 : La triade de sécurité

Les objectifs supplémentaires suivants deviennent de plus en plus importants

pour certaines applications, en plus des objectifs traditionnels:
Authentification: Comprend
 Authentification d'entité - le processus de vérification d'une identité
prétendue
 Authentification de l'origine des données - vérifier la source (et l'intégrité)
d'un message
Non-répudiation : créer des preuves (évidences) qu'une action a eu lieu, afin que
l'utilisateur ne puisse pas nier faussement l'action ultérieurement

1.4 Etats de l’information

La sécurité de l'information implique la protection des actifs informationnels
contre tout préjudice ou tout dommage. Pour cela il faut considérer les
informations dans l'un des trois états possibles :

 Stockage: Mémoires de stockage d'informations - électroniques,

physiques, humaines
 Transmission: Physique ou électronique
 Traitement (Utilisation): Physique ou électronique

Training – IT | © Emmanuel CHIMI, Draft 01/2024 7

 Cryptographie et sécurité informatique NOTES

2 Menaces, vulnérabilités et attaques

Dans ce chapitre nous abordons les points

3. Caractériser les menaces
4. Identifier les vulnérabilités

2.1 Introduction
L'analyse de la sécurité de l'information implique la considération des:
Menaces:
 Ensembles de circonstances susceptibles de causer un préjudice en
compromettant les objectifs de sécurité déclarés.
Vulnérabilités:
 Faiblesses d'un système qui pourraient être utilisées pour causer des
dommages en compromettant les objectifs de sécurité déclarés
Attaques:
 Se produisent lorsque les vulnérabilités sont délibérément exploitées
 Les incidents de sécurité peuvent également résulter d’actes non
délibérés.

2.2 Menaces
Une menace est un ensemble de circonstances susceptibles de nuire à un actif
informationnel en compromettant les objectifs de sécurité des informations
déclarés. La compromission d’un service de sécurité visé est appelée une
violation ou rupture de sécurité (Security breach).

 Une violation ou de la confidentialité: les informations sont divulguées à

des entités non autorisées
 Une violation de l'intégrité : des actifs informationnels ont été modifiés
ou détruits par une entité non autorisée
 Une violation de la disponibilité : les actifs informationnels ne sont pas
accessibles lorsque requis par une entité autorisée

Training – IT | © Emmanuel CHIMI, Draft 01/2024 8

 Cryptographie et sécurité informatique NOTES

2.2.1 Sources de menaces

Elles peuvent être internes ou externes.
Sources externes:
 La source de la menace se situe en dehors de l'organisation
 Exemple: Personnes non autorisées à utiliser les systèmes d'information (concurrents
commerciaux, cybercriminels, militants politiques, terroristes)

Sources internes:
 La source de la menace réside au sein de l'organisation
 Exemple: les personnes autorisées à utiliser les systèmes d'information (employés, sous-
traitants, clients, visiteurs, etc.)

[Link] Sources de menaces internes

Les insiders connaissent bien les systèmes d’information utilisés dans une
organisation. Ils peuvent:
 Avoir une connaissance de la valeur des actifs
 Connaître les processus et procédures utilisés
 Etre conscients des vulnérabilités du système
 Avoir la possibilité d'accéder aux actifs
 Abuser des systèmes ou dépasser leur autorisation
 Le potentiel de causer des dommages est élevé
 L'externalisation (nettoyage, restauration, services d'assistance) sans
assurance de sécurité fait intervenir des étrangers.

2.2.2 Types de menaces

Événements naturels
 Par exemple, tremblement de terre, incendie, inondation, tempête,
tornade, raz-de-marée
 Très susceptible de compromettre la disponibilité
Actions humaines
 Délibérée/malveillante (destinée à causer du tort)
 Par exemple: Espionnage, fraude, sabotage, vol
 Accidentelle/bénigne (sans intention de causer du tort)
 Par exemple: Négligence, erreurs, omissions

[Link] Menace – Action humaine – Délibérée : Les malware

Types de logiciels malveillants courants:
Virus - programmes capables de se répliquer
 Se propage en se copiant dans d'autres fichiers (infectant) et est activé lorsque ces
fichiers sont ouverts ou que des exécutables sont exécutés.

Vers - programmes capables de s'auto-répliquer

 Se propage d'un ordinateur à l'autre sans interaction humaine via le réseau

Training – IT | © Emmanuel CHIMI, Draft 01/2024 9

 Cryptographie et sécurité informatique NOTES

Chevaux de Troie - programmes dotés de propriétés souhaitables connues et de

propriétés indésirables cachées.
 L'utilisateur télécharge le programme et utilise sciemment les fonctionnalités
souhaitables (qui l’appâtent).
 Les fonctionnalités indésirables s'exécutent à l'insu de l'utilisateur

2.3 Vulnérabilités
Faiblesses d'un système
 qui pourrait être utilisées pour nuire aux actifs informationnels

Nécessité de prendre en compte tous les composants du système d'information:

 Propriétés
 Personnes
 Procédures

2.3.1 Vulnérabilités: Propriétés

Actifs physiques: bâtiments et leurs contenus
 Emplacement; sécurité physique; entretien; surveillance et journalisation
des accès physiques
Matériel (Hardware): systèmes informatiques, appareils de communication de
données, périphériques de stockage de données
Logiciel : système d'exploitation, applications
 Source; essai; mises à jour; (mauvaise) configuration
Données : fichiers, bases de données, mots de passe

2.3.2 Vulnérabilités: Personnes

Employés:
 Recruter du personnel adapté au poste
 Ne pas vérifier les antécédents est une erreur courante
 Surveillance de l'accès des personnes à la propriété et aux processus
 Des employés, clients ou sous-traitants mécontents peuvent constituer une
source de menace.
 Formation inadéquate du personnel en ce qui concerne les menaces : par
exemple, le personnel est-il informé des politiques concernant :
 Fournir des informations par e-mail ou par téléphone
 Téléchargement de logiciels,
 Utilisation d'appareils mobiles, etc.

Employés critiques:
 Y a-t-il du personnel clé essentiel à l'organisation ?
 Peut être indisponible en raison d'un accident, d'une maladie ou d'un autre
événement (panne de transport, catastrophe naturelle)
 L’entreprise est vulnérable s'il n'y a pas de renfort (backup) pour ces
personnes

Training – IT | © Emmanuel CHIMI, Draft 01/2024 10

 Cryptographie et sécurité informatique NOTES

 Si les procédures ne sont pas documentées

Les autres:
 Les conditions de sécurité sont-elles incluses dans les contrats avec les
consultants, les entrepreneurs, l'externalisation ?

2.3.3 Vulnérabilités: processus

Contrôle d'accès et gestion des privilèges
 Y compris les clés, cartes, mots de passe
Backup des fichiers et des systèmes
Plans de continuité des activités
 pour la récupération des actifs informationnels après un sinistre
Communications
Contrôles et contrepoids :
 Les gens font des erreurs : existe-t-il des processus pour détecter,
corriger ou réduire l'impact des erreurs ?
 Exemple : séparation des tâches
Processus associés à l’arrivée/au départ du personnel dans l’organisation
 Énoncé clair des fonctions
 Accords de non-divulgation/confidentialité
Processus de gestion des logiciels et audit

2.4 Attaques
Attaques:
 se produisent lorsque des vulnérabilités sont délibérément exploitées

Attaquant:
 personne qui tente délibérément d'exploiter une vulnérabilité pour
 obtenir un accès non autorisé, ou
 effectuer des actions non autorisées

Les incidents de sécurité peuvent également résulter d’actes non délibérés.

2.4.1 Types d’attaques

Deux grands types d’attaques

Attaques passives Attaques actives

 L'objectif de l'attaquant est d'obtenir des  L'objectif de l'attaquant peut être de
informations modifier, reproduire ou fabriquer des
 L'attaquant ne modifie pas les ressources informations
du système et n'interagit pas autrement  Nécessite une interaction avec le système
qu'en écoutant ou en observant d’information de la part de l’attaquant

Training – IT | © Emmanuel CHIMI, Draft 01/2024 11

 Cryptographie et sécurité informatique NOTES

 Par exemple. écoute clandestine,  Par exemple: Phishing, Déni de service,

navigation sur l'épaule Man-in-the-middle
 Difficile à détecter; généralement on  Les contre-mesures essayent de détecter
essaie d’empêcher l’attaque (Prévention). les actions de l'attaquant, de reconnaître
les signes d'attaque et de réagir

2.4.2 Incidents et attaques de sécurité

Lorsque menaces et vulnérabilités coïncident, les actifs informationnels peuvent
être endommagés.
 un incident de sécurité (peut-être une attaque) se produit
 Il peut parfois s'agir d'une chaîne d'événements, en particulier dans les
systèmes interconnectés

Figure 2.1 : Chaîne de menaces dans un système

2.4.3 Attaques passives

Écoutes clandestines (Eavesdropping)
 Écouter les conversations des autres à leur insu ou sans leur consentement
 Écoute clandestine sur le câble (Wiretapping)
 Écoutes téléphoniques
 Peut être plus difficile à détecter sur un réseau sans fil
 Les informations qui peuvent être obtenues:
 Le contenu des conversations, et
 savoir qui parle à qui et quand (analyse du trafic)

Surf sur l'épaule (Shoulder surfing)

 Observer les actions des autres (notamment lors de la saisie de données) à leur insu ou
sans leur consentement
 Généralement lié à la saisie d'informations confidentielles
 PIN (pour l'accès financier au guichet automatique)
 Code de sécurité ou mot de passe
 Peut également être destiné à de plus grandes quantités de données

Training – IT | © Emmanuel CHIMI, Draft 01/2024 12

 Cryptographie et sécurité informatique NOTES

 L'utilisation d'appareils mobiles dans un environnement non sécurisé constitue

une vulnérabilité qui peut être exploitée pour cette attaque.

Monitoring et écoute du réseau

 Un renifleur de paquets ou un analyseur de réseau peut surveiller le trafic

réseau
 peut être utilisé pour la maintenance du réseau (recherche de pannes et de
problèmes de trafic)
 Mais peut également être utilisé pour prendre connaissance d'informations
confidentielles, par exemple les mots de passe correspondant aux noms
d'utilisateur
 Les informations confidentielles ne doivent pas être envoyées sans
protection sur des réseaux non fiables.
 Exemple : lors de la connexion à une ressource distante, les mots de passe ne
doivent pas être envoyés «en clair»

2.4.4 Attaques actives

Attaque par déni de service (Denial of Service, DoS)
 L'objectif est de rendre un actif informationnel ou une ressource
indisponible aux utilisateurs autorisés.
 Les méthodes courantes sont:
 Surcharger la ressource, afin qu'elle ne puisse pas répondre aux demandes
légitimes (épuisement de capacité/performance)
 Endommager la ressource, afin qu'elle ne puisse pas être utilisée
 Interrompre délibérément les communications entre les utilisateurs et la
ressource, afin qu'elle ne soit pas accessible

Attaque par déni de service distribué (Distributed Denial of Service, DDoS)

 L'objectif est le même que celui de l'attaque DoS:
 Violation de la disponibilité des ressources informationnelles
 Méthodes:
 Utiliser plusieurs sources pour faire des demandes de ressources
 En espérant surcharger les ressources, afin qu'elles ne puissent pas répondre
aux demandes légitimes
 Des logiciels malveillants (par exemple un virus) peuvent être utilisés pour
compromettre de nombreuses machines.
- tous ont la même cible et la charge utile est activée en même temps,
pour effectuer une demande de ressources simultanée
Mascarade/usurpation d'identité (Spoofing):
 Où une entité prétend être une autre afin de tromper les autres

Training – IT | © Emmanuel CHIMI, Draft 01/2024 13

 Cryptographie et sécurité informatique NOTES

 Les attaques d'usurpation d'identité courantes incluent:

 Usurpation d'adresse e-mail
- Modification des informations sur l'expéditeur dans les e-mails pour
tromper les destinataires en leur faisant croire que le message
provient d'une autre source.
 Usurpation de page Web
- Créer une fausse page Web qui ressemble à la page d'une entreprise
légitime pour tromper les utilisateurs pour qu’ils
• Donnent les informations d'identification qu'ils utiliseraient
sur un site légitime
• Effectuent des téléchargements à partir d’un site alternatif
(piégé)
Hameçonnage (Phishing):
 Tentatives d'obtenir des informations d'identification pour permettre l'accès à d'autres
ressources en se faisant passer pour une organisation légitime (Banque, eBay, PayPal)
 Exemple: détails du compte, numéro PIN, mot de passe
 Implique généralement
 E-mails falsifiés et/ou pages Web falsifiées
 Ingénierie sociale

Attaque de l'homme du milieu (Man-In-The-Middle, MITM)

 Un attaquant (Chuck) se positionne entre deux entités légitimes qui souhaitent
communiquer, disons Alice et Bob.
 Chuck fait semblant à Alice qu'elle est Bob, et fait semblant à Bob qu'elle est Alice
(usurpation d'identité).

Figure 2.2 : Chuck comme MITM entre Alice et Bob

Que peut faire l’homme du milieu ? (Interception, interruption, modification,

fabrication)

1. Flux normal d'informations entre Alice et Bob

Training – IT | © Emmanuel CHIMI, Draft 01/2024 14

 Cryptographie et sécurité informatique NOTES

2. Interception par le MITM

Le MITM non autorisé observe l'information pendant qu’elle est transmise

Violation de la confidentialité

3. Interruption par le MITM

Le MITM non autorisé empêche la transmission, de sorte que les ressources
informationnelles ne sont pas disponibles pour Bob.

Violation de la disponibilité

4. Modification par le MITM

Le MITM modifie l’information et la transmet ensuite à Bob.

Violation de l’intégrité

5. Fabrication par le MITM

Le MITM crée de l'information et l'envoie à Bob mais en prétendant qu'elle
provient d'Alice.

Violation de l’authenticité

Training – IT | © Emmanuel CHIMI, Draft 01/2024 15

 Cryptographie et sécurité informatique NOTES

2.4.5 Attaques actives

Ingénierie sociale (Social Engineering): utiliser les compétences sociales pour
convaincre les gens de révéler des informations ou de permettre l'accès à des
ressources. Exemples:
 Déclarer être un nouvel employé, un assistant du directeur, un préposé à la
maintenance, etc. et demander de l'aide pour accéder à une ressource pour accomplir
une tâche urgente:
 J'ai perdu mon mot de passe et je dois terminer ce travail aujourd'hui.
 Ma carte magnétique ne fonctionne pas/je l’ai laissée à la maison.
 Talonnage (Tailgating): suivre de près une autre personne afin que lorsqu'elle entre dans
une zone sécurisée, on puisse également y entrer sans fournir les informations
d'identification appropriées.

Figure 2.3 : Pour entrer dans une data center (ou une salle serveurs) on doit traverser un système de
plusieurs portes conçu pour éviter le talonnage entre autres

Attaque de replay ou de retransmission:

C'est ici qu'une transmission de données valide est enregistrée et retransmise
ultérieurement. Exemple:
 L'accès à un système nécessite l'utilisation d'un mot de passe, mais le mot de passe est
crypté lors de la transmission.
 L'attaquant enregistre le mot de passe crypté et retransmet ces informations afin
d’obtenir l’accès au système.
 Peu importe que l'attaquant ne connaisse pas le mot de passe: il peut fournir les
informations d'identification attendues sur demande.

2.5 Menaces, vulnérabilités et attaques : Récapitulatif

L'analyse de la sécurité informatique implique de prendre en compte :

Les menaces: Ensembles de circonstances susceptibles de causer un préjudice en

compromettant les objectifs de sécurité déclarés.

Vulnérabilités: Faiblesses d'un système qui pourraient être utilisées pour causer
des dommages en compromettant les objectifs de sécurité déclarés

Training – IT | © Emmanuel CHIMI, Draft 01/2024 16

 Cryptographie et sécurité informatique NOTES

Attaques: Se produisent lorsque les vulnérabilités sont délibérément exploitées.

Les incidents de sécurité peuvent également résulter d'actes non délibérés.

Training – IT | © Emmanuel CHIMI, Draft 01/2024 17

 Cryptographie et sécurité informatique NOTES

3 Management de risques

Dans ce chapitre nous abordons le point

5. Évaluer les risques

3.1 Notion de risque

Qu'est-ce que le risque ?
 Définition dans la norme ISO 27005:2012 Gestion des risques de la sécurité
de l'information (Information security risk management)
 Risque: «Effet de l'incertitude sur les objectifs»
 L'effet comprend à la fois des aspects positifs et négatifs
 Aspects des objectifs à considérer:
 finances, santé et sécurité, sécurité de l'information, environnement
 Peut s'appliquer à différents niveaux :
 organisationnel, projet, produit, processus
 Risque de sécurité de l’information exprimé en termes de conséquences et
de probabilité
 Conséquence: "Résultat d'un événement affectant les objectifs"
 Probabilité: «chance que quelque chose se produise»

Figure 3.1 : Notion de risque

Training – IT | © Emmanuel CHIMI, Draft 01/2024 18

 Cryptographie et sécurité informatique NOTES

3.2 Management de risque

Comment gérer le risque en sécurité informatique?
La gestion de risques comprend les étapes suivantes:
1. Etablir le contexte
2. Identifier les risques
3. Analyser les risques
4. Evaluer les risques
5. Contourner les risques

3.2.1 Etablir le contexte

 Il faut définir des critères de risque ou critères d’évaluation de risques
(critères par rapport auxquels le risque doit être évalué)
 Pour les critères d’évaluation des risques, il faut considérer:
 Valeur stratégique du bien/actif,
 Criticité de l'actif,
 Obligations légales, réglementaires ou contractuelles,
 Réputation
 Pour les critères d’évaluation d’impact, on devra considérer :
 Niveau de classification de l'actif et type de violation (CIA)
 Degré de dommage/perturbation/perte d'activité
 Pour les critères d’acceptation des risques, on devra considérer:
 Quels seront les délais (timeframes)
 Quel niveau de risque est acceptable pour l'organisation, etc.

3.2.2 Identifier les risques

 Qu’est-ce qui peut arriver, où et quand ?
 Identifier les menaces plausibles et les vulnérabilités existantes: les combiner pour
identifier les événements et les conséquences potentielles.
 Pourquoi et comment cela peut-il arriver ?
 Considérer les causes et les scénarios
 Outils et techniques: Identifier les risques à l'aide
 Listes de contrôle (à partir d'autres documents normatifs)
 Jugements basés sur l'expérience (la propre et celle des autres)
 Analyse des systèmes
 Il faut inclure tous les risques, qu’ils soient ou non sous le contrôle de
l’organisation.

Training – IT | © Emmanuel CHIMI, Draft 01/2024 19

 Cryptographie et sécurité informatique NOTES

3.2.3 Analyser les risques

 L’analyse de risques consiste à déterminer l’ampleur des risques identifiés
 Trois types d'analyse possibles: qualitative, semi-quantitative et quantitative
 Analyse qualitative
 Utilise des échelles descriptives (en mots).
 Exemple:
• Conséquence: Mineure, modérée, majeure, catastrophique
• Probabilité: Rare, improbable, possible, probable, presque certain
 Semi-quantitative
 Échelles qualitatives attribuées à des valeurs numériques
 Peut être utilisé dans des formules de priorisation (avec prudence !)
 Quantitative
 Utiliser des valeurs numériques pour la conséquence (par exemple
$$$) et la probabilité (par exemple valeur de probabilité)

[Link] Exemple d’analyse qualitative des risques

Exemple d'échelle de conséquence qualitative:
Mesure Description
Des problèmes majeurs surviendraient et
Dommages augmentent

menaceraient la fourniture de processus

Majeure
importants, entraînant des pertes financières
importantes.
Les services continueraient, mais devraient être
Modérée
revus ou modifiés.
Mineure L'efficacité des services serait menacée mais reste
maitrisable.
Insignifiante Peut être traité dans le cadre des opérations de
routine

Exemple d'échelle de probabilité qualitative:

Mesure Description
Devrait se produire dans la plupart des
Haute
Probabilité augmente

conditions (une fois ou plus par an).

L’événement aura probablement lieu dans la
Moyenne plupart des conditions (environ une fois tous les
2 ans).
Possible L'événement devrait avoir lieu à un moment
donné (une fois tous les 5 ans).
Peu probable L'événement pourrait se produire à un moment
donné (une fois tous les 10 ans).

Training – IT | © Emmanuel CHIMI, Draft 01/2024 20

 Cryptographie et sécurité informatique NOTES

Associer les conséquences aux probabilités pour déterminer les niveaux de

risque
Conséquence
Insignifiante Mineure Modérée Majeure
Haute M H E E
Probabilité
Moyenne M M H E
Possible L M M H
Peu probable L L M M
Légende :
E (Extreme risk): risque extrême; action immédiate requise
H (High risk): risque élevé ; l'attention du top management est nécessaire
M (Moderate risk): risque modéré ; la responsabilité du top management doit être spécifiée
L (Low risk): risque faible ; gérer par des procédures de routine

3.2.4 Evaluer les risques

 Comparer le niveau de risque constaté lors de l'analyse des risques avec les
critères de risque établis au départ
 Décider quels risques nécessitent un traitement (actions) et quand
• Hiérarchiser la liste des risques pour des actions ultérieures
• Les risques appartenant aux catégories de risque faible ou modéré peuvent être
acceptés sans autre traitement.
• Les risques élevés ou extrêmes nécessitent un examen immédiat des possibilités de
traitement

3.2.5 Contourner les risques

 Sélectionner les options de modification des risques:
 Les options de traitement des risques avec des résultats négatifs
comprennent:
 Éviter le risque
 Réduire la probabilité de résultat négatif en :
- Réduisant la probabilité du risque
- Réduisant les conséquences
 Partager le risque
 Contenir le risque

3.3 Normes de gestion de la sécurité de l'information

Les normes ou standards de sécurité sont un ensemble de critères que les
organisations peuvent suivre pour protéger les informations sensibles et
confidentielles. Différentes normes sont élaborées par diverses organisations et
Training – IT | © Emmanuel CHIMI, Draft 01/2024 21
 Cryptographie et sécurité informatique NOTES

agences, telles que l'Organisation internationale de normalisation (ISO) et le

National Institute of Standards and Technology (NIST).

Les deux principales normes de sécurité de l'information que les entreprises

s'efforcent de respecter sont ISO 27001 et ISO 27002. Elles sont publiées par
l'Organisation internationale de normalisation (ISO), un organisme international
indépendant qui crée des normes couvrant la technologie, la fabrication, la
gestion et bien plus encore. Les normes ISO 27001 et 27002 sont deux des
normes clés de la série ISO 27000, qui comprend plus de 45 normes couvrant un
large éventail de questions liées à la sécurité de l'information.
Pour la sécurité informatique il faut retenir en premier les normes suivantes:
 Normes de gestion de risques:
 ISO 31000:2009 Risk Management (Gestion des risques)
 ISO 27005:2012 Information Security Risk Management (Gestion
de Risque de la sécurité de l'information)
 Normes de gestion de la sécurité de l’information
 ISO 27001: 2006 Information Security Management Systems
(Systèmes de Gestion de la Sécurité de l’Information)
 ISO 27002:2006 Code of practice for IS Management (Code de
bonnes pratiques pour le management des SI)

Training – IT | © Emmanuel CHIMI, Draft 01/2024 22

 Cryptographie et sécurité informatique NOTES

4 Mesures et contrôles

Dans ce chapitre nous abordons le point

6. Appliquer les contrôles

4.1 Classification des mesures

Application des mesures ou/et contrôles de sécurité : Utiliser des mesures ou
des contrôles de sécurité pour contrer les menaces et prévenir les attaques.

 Également connues sous le nom de contre-mesures

Contrôles préventifs :
 Empêcher les tentatives d’exploitation des vulnérabilités. Exemple:
cryptage de fichiers pour empêcher les écoutes clandestines

Contrôles de détective :
 Avertir des tentatives d’exploitation des vulnérabilités. Exemple:
utilisation de Checksum/MAC pour détecter la corruption des données

Contrôles correctifs:
 Corriger les erreurs ou irrégularités qui ont été détectées. Exemple:
Restauration de toutes les applications à partir de la dernière bonne
image connue pour remettre en ligne (en exploitation) un système
corrompu.

Les mesures de sécurité peuvent être de trois natures différentes:

Technologie
 Par exemple, pare-feu, cryptage, signatures numériques, systèmes de
détection d'intrusion, systèmes inviolables, etc.

Politique et pratique
 Plan décrivant l'approche de l'organisation en matière de gestion de la
sécurité de l'information

Training – IT | © Emmanuel CHIMI, Draft 01/2024 23

 Cryptographie et sécurité informatique NOTES

Éducation, formation et sensibilisation

 Formation/recyclage des employés. Par exemple, contre l’ingénierie
sociale
 N'oubliez pas que les personnes sont des composants des systèmes
d'information

4.2 Le modèle sécurité NSTISI 4011

Le modèle de sécurité NSTISI 4011 offre une représentation utile pour combiner
des idées en matière de sécurité de l’information:

Figure 4.1 : Modèle de sécurité NSTISI 4011

La norme NSTISI 4011 (pour laquelle il existe des certifications, comme pour
beaucoup d’autres normes) est destinée aux professionnels de la sécurité de
l'information chargés d'identifier les vulnérabilités du système, d'enquêter et de
documenter les technologies et politiques de sécurité du système, ainsi que
d'analyser et d'évaluer les technologies de sécurité du système.
NSTISSI-4011 National Training Standard for Information Systems Security
(INFOSEC) Professionals en est l’appellation complète officielle.

Sources
[xx] xx

Training – IT | © Emmanuel CHIMI, Draft 01/2024 24