Serveur Eval Risques [PDF]

Zitiervorschau

Cette feuille propose un début d'analyse de risque sur un serveur central. Cela peut être un serveur de messagerie, de fichiers ou d'authentification. Il s'agit d'un serveur dont la disponibilité est importante pour le bon fonctionnement des ressources informatisue. L'analyse de risque est faite uniquement sur le serveur comme actif de soutien. Enjeu = disponibilité des ressources informatiques de l'unité

Valeur de l’actif

Actifs Actifs Primor de Propriétair diaux Soutien e

C

I

D

Menaces

Vulnérabilités

Risque Facilité de mise en œuvre Vraisemblances

Valorisation

Objectifs de sécurité (classé selon l'ISO 27002)

2

1

3

3

Dégât_des_eaux

Absence de matériels de remplacement

A.14.1_Gestion_de_la_continu ité_de_l_activité_d_un_point_d e_vue_aspects_de_la_sécurité _de_l_information

2

1

3

3

Dégât_des_eaux

Absence de plan de reprise des activités essentielles de l'organisme

A.14.1_Gestion_de_la_continu ité_de_l_activité_d_un_point_d e_vue_aspects_de_la_sécurité _de_l_information

2

1

3

3

Dégât_des_eaux

Canalisation d'eau à proximité des équipements de terminaison

A.9.2_Sécurité_du_matériel

Tous

Serveu r

2

1

3

3

Dégât_des_eaux

Absence de sauvegarde des données contenues sur les supports

A.10.5_Sauvegarde

Mesures 1 A.14.1.3 Des plans doivent être élaborés et mis en oeuvre pour maintenir ou restaurer l’exploitation et assurer la disponibilité des A.14.1.1 informations au niveau et Un processus continuité dans les délaisde requis suite de l’activité dans l’ensemble à une interruption ou une de l’organisme doit être panne affectant les élaboré et géré, satisfait processus métierqui cruciaux. aux exigences en matière A.9.2.1 de Le sécurité matériel de doitl’information être situé et requises pour la continuité protégé de manière à de l’activité de l’organisme. réduire les risques de menaces et de dangers environnementaux et les A.10.5.1 possibilités non Des copies d’accès de sauvegarde autorisé. des informations et logiciels doivent être réalisées et soumises régulièrement à essai conformément à la politique de sauvegarde convenue.

2

1

3

Défaillance_de_la_climati 3 sation

Absence de maintenance des équipements de climatisation

Absence de sauvegarde des données contenues sur les supports

2

1

3

Défaillance_de_la_climati 3 sation

2

1

3

3

Défaillance_de_la_climati sation

Absence de matériel redondant suffisamment dimensionné

2

1

3

3

Défaillance_de_la_climati sation

Absence de plan de reprise des activités essentielles de l'organisme

2

1

3

3

Incendie

Absence de maintenance des équipements de climatisation

2

1

3

3

Incendie

Absence de sauvegarde des données contenues sur les supports

2

1

3

3

Incendie

Absence de matériels de remplacement

2

1

3

3

Incendie

Absence de plan de reprise des activités essentielles de l'organisme

A.9.2_Sécurité_du_matériel

A.9.2.4 Le matériel doit être entretenu correctement pour garantir sa disponibilité permanente et son intégrité.

A.10.5.1 Des copies de sauvegarde A.10.5_Sauvegarde des informations et logiciels doivent être réalisées et soumises régulièrement à essai conformément à la A.14.1.1 A.14.1_Gestion_de_la_continu politique de sauvegarde Un processus de continuité ité_de_l_activité_d_un_point_d convenue. de l’activité dans l’ensemble e_vue_aspects_de_la_sécurité de l’organisme doit être _de_l_information élaboré et géré, qui satisfait aux exigences en matière A.14.1.1 A.14.1_Gestion_de_la_continu de sécurité de l’information Un processus de continuité ité_de_l_activité_d_un_point_d requises pour la continuité de l’activité dans l’ensemble e_vue_aspects_de_la_sécurité de l’activité de l’organisme. de l’organisme doit être _de_l_information élaboré et géré, qui satisfait aux exigences en matière de sécurité de l’information A.9.2.4 requises pour la continuité Le être de matériel l’activité doit de l’organisme. A.9.2_Sécurité_du_matériel entretenu correctement pour garantir sa disponibilité permanente et son intégrité. A.10.5.1 Des copies de sauvegarde A.10.5_Sauvegarde des informations et logiciels doivent être réalisées et soumises régulièrement à essai conformément à la A.14.1.1 A.14.1_Gestion_de_la_continu politique de sauvegarde Un processus de continuité ité_de_l_activité_d_un_point_d convenue. de l’activité dans l’ensemble e_vue_aspects_de_la_sécurité de l’organisme doit être _de_l_information élaboré et géré, qui satisfait aux exigences en matière A.14.1.1 A.14.1_Gestion_de_la_continu de sécurité de l’information Un processus de continuité ité_de_l_activité_d_un_point_d requises pour la continuité de l’activité dans l’ensemble e_vue_aspects_de_la_sécurité de l’activité de l’organisme. de l’organisme doit être _de_l_information élaboré et géré, qui satisfait aux exigences en matière de sécurité de l’information requises pour la continuité de l’activité de l’organisme.

2

1

3

Perte_d_énergie_électriq 3 ue

Matériel sensible aux perturbations électrique (chutes de tension)

A.9.2_Sécurité_du_matériel

2

1

3

3

Perte_d_énergie_électriq ue

Mauvais dimensionnement des dispositifs de secours énergie (onduleur)

A.9.2_Sécurité_du_matériel

2

1

3

3

Absence d'analyse de la puissance Perte_d_énergie_électriq énergétique de secours nécessaire en ue cas d'ajout de matériel

2

1

3

3

Perte_d_énergie_électriq ue

2

1

3

Destruction_humaine_de Absence de contrôle d'accès au site ou 3 _matériels_ou_de_suppo aux locaux ou possibilité de pénétrer rts par des accès indirects

2

1

3

Destruction_humaine_de 3 _matériels_ou_de_suppo rts

Absence de plan de reprise des activités essentielles de l'organisme

2

1

3

Destruction_humaine_de 3 _matériels_ou_de_suppo rts

Équipement accessible à des personnes non autorisées

Accès physique non protégé aux locaux hébergeant les équipements d'alimentation et de distribution électriques

A.9.2_Sécurité_du_matériel

A.9.2.3 Les câbles électriques ou de télécommunications transportant des données doivent être protégés contre toute interception A.9.2.2 d’information ouêtre dommage. Le matériel doit protégé des coupures de courant et autres perturbations dues à une défaillance des services généraux. A.9.2.2 Le matériel doit être protégé des coupures de courant et autres perturbations dues à une défaillance des services généraux. A.9.2.1

Le matériel doit être situé et protégé de manière à réduire les risques de menaces et de dangers environnementaux et les possibilités d’accès non A.9.2.1 autorisé. Le matériel doit être situé et A.9.2_Sécurité_du_matériel protégé de manière à réduire les risques de menaces et de dangers environnementaux et les A.14.1.1 A.14.1_Gestion_de_la_continu possibilités d’accès non Un processus de continuité ité_de_l_activité_d_un_point_d autorisé. de l’activité dans l’ensemble e_vue_aspects_de_la_sécurité de l’organisme doit être _de_l_information élaboré et géré, qui satisfait aux exigences en matière A.9.2.1 de matériel sécurité de Le doitl’information être situé et requisesde pour la continuité manière à A.9.2_Sécurité_du_matériel protégé de l’activité de l’organisme. réduire les risques de A.9.2_Sécurité_du_matériel

menaces et de dangers environnementaux et les possibilités d’accès non autorisé.

2

1

3

3

Panne_matériel

Absence de protection contre les perturbations électriques

2

1

3

3

Panne_matériel

Absence de suivi des contrats de maintenance et de support avec les fournisseurs

2

2

2

1

1

1

3

3

3

3

3

3

Panne_matériel

Vieillissement du matériel

Panne_matériel

Défaut de maintenance

Panne_matériel

Absence de plan de reprise des activités essentielles de l'organisme

2

1

3

3

Perte_des_moyens_de_c ommunication

Accès physique non protégé aux locaux hébergeant les équipements d'alimentation et de distribution électriques ou moyens de télécommunication

2

1

3

3

Perte_des_moyens_de_c ommunication

Absence de maintenance des équipements de terminaison et de distribution

2

1

3

3

Perte_des_moyens_de_c ommunication

Matériel maintenu à distance par des moyens de télécommunication

A.9.2_Sécurité_du_matériel

A.9.2_Sécurité_du_matériel

A.9.2.2 Le matériel doit être protégé des coupures de courant et autres perturbations dues à une défaillance des services généraux. A.9.2.4

Le matériel doit être entretenu correctement pour garantir sa disponibilité permanente et son intégrité.

A.9.2_Sécurité_du_matériel

A.9.2.4 Le matériel doit être entretenu correctement pour garantir sa disponibilité permanente et son intégrité.

A.9.2_Sécurité_du_matériel

A.9.2.4 Le matériel doit être entretenu correctement pour garantir sa disponibilité permanente et son intégrité.

A.14.1.3 A.14.1_Gestion_de_la_continu Des plans doivent être ité_de_l_activité_d_un_point_d élaborés et mis en oeuvre e_vue_aspects_de_la_sécurité pour maintenir ou restaurer _de_l_information l’exploitation et assurer la disponibilité des informations au niveau et A.10.6.1 dans les délais requis suite Les réseaux doivent être A.10.6_Gestion_de_la_sécurit à une interruption ou une gérés contrôlés panneet affectant lesde é_des_réseaux manière adéquate pour processus métier cruciaux. qu’ils soient protégés des menaces A.10.6.2 et pour maintenir la sécurité desservices systèmes et Pour tous les A.10.6_Gestion_de_la_sécurit des applications utilisant le réseau, les fonctions é_des_réseaux réseau, les notamment les réseau, niveaux de informations transit. de service et lesen exigences

gestion A.10.6.1doivent être identifiés et intégrés Les réseaux doivent dans être A.10.6_Gestion_de_la_sécurit tout accord sur les services gérés et contrôlés de é_des_réseaux réseau, qu’ils soient fournis manière adéquate pour en interne en externe. qu’ils soientouprotégés des menaces et pour maintenir la sécurité des systèmes et des applications utilisant le réseau, notamment les informations en transit.

2

2

1

1

3

3

3

3

Espionnage_à_distance

Pas ou peu de changement de mot de passe d'accès au système ou à l'application

Espionnage_à_distance

Les responsabilités de sécurité concernant la gestion des habilitations ne sont pas formalisées

2

1

3

3

Espionnage_à_distance

Utilisation de mots de passe d'accès au système ou à l'application simples à observer (forme sur un clavier)

2

1

3

3

Espionnage_à_distance

Faible sensibilisation à la protection de l'information

2

1

3

3

Saturation_du_système_i nformatique

Mauvais dimensionnement (ex: trop de données par rapport à la bande passante maximale)

2

1

3

3

Saturation_du_système_i nformatique

Possibilité de mal configurer

2

1

3

Possibilité que les relais soient soumis à un nombre trop important de Saturation_du_système_i 3 requêtes ou à un parasitage intense nformatique (ex: attaque de déni de service type "smurf")

2

1

3

3

Saturation_du_système_i nformatique

Absence de filtre protégeant le système contre un engorgement

A.11.2_Gestion_des_accès_d es_utilisateurs

A.6.1_Organisation_interne

A.6.1.3 Toutes les responsabilités en matière de sécurité de l’information doivent être définies clairement.

A.11.3.1 Il doit être demandé aux A.11.3_Responsabilités_de_l_ utilisateurs de respecter les utilisateurs bonnes pratiques de sécurité lors de la sélection et de l’utilisation de mots de A.8.2.2 passe. L’ensemble des salariés A.8.2_Pendant_la_durée_du_c d’un unité et, le cas échant, ontrat les contractants et utilisateurs tiers doivent suivre une formation adaptée sur la A.10.3.1 sensibilisation et doivent L’utilisation des ressources A.10.3_Planification_et_accept recevoir régulièrement les doit être surveillée et ajustée mises à jour des politiques ation_du_système au plus près, etdedes et procédures l’unité, projections être pertinentes doivent pour leurs faites sur les fonctions. A.10.3.2 dimensionnements futurs Les critères d’acceptation A.10.3_Planification_et_accept pour assurer les doivent être fixés pour les ation_du_système performances requises par nouveaux systèmes le système. les nouvelles d’information, versions A.10.3.1 et les mises à niveau, et les tests adaptés L’utilisation des ressources A.10.3_Planification_et_accept du (des) système(s) doivent doit être surveillée et ajustée ation_du_système être au plus près, et des réalisés au moment du projections doivent être développement et faites sur les A.10.3.1 préalablement à leurfuturs dimensionnements L’utilisation des ressources A.10.3_Planification_et_accept acceptation. pour assurer les doit être surveillée et ajustée ation_du_système performances par au plus près, etrequises des le système. doivent être projections faites sur les dimensionnements futurs pour assurer les performances requises par le système.

2

1

3

Dysfonctionnement_logic Absence de procédure de maintenance 3 iel

2

1

3

Dysfonctionnement_logic 3 iel

2

1

3

3

Dysfonctionnement_logic iel

Utilisation d'une version obsolète du système d'exploitation ou des applicatifs

2

1

3

3

Dysfonctionnement_logic iel

Absence de conservation des traces des traitements

2

1

3

3

Dysfonctionnement_logic iel

Aucune vérification des applicatifs n'est faite avant l'installation

2

1

3

3

Dysfonctionnement_logic iel

Aucune vérification des applicatifs n'est faite avant l'installation

Possibilité de mal configurer

2

1

3

Atteinte_à_la_maintenab 3 ilité

Absence de conservation des traces des traitements et des modifications

2

1

3

3

Atteinte_à_la_maintenab Absence de procédure de maintenance ilité

2

1

3

3

Atteinte_à_la_maintenab La maintenance ou l'exploitation du système se fait par l'intermédiaire du ilité réseau

A.10.1.2 Les changements apportés A.10.1_Procédures_et_respon aux systèmes et moyens de sabilités_liées_à_l_exploitation traitement de l’information doivent être contrôlés. A.10.3.2 Les critères d’acceptation A.10.3_Planification_et_accept doivent être fixés pour les ation_du_système nouveaux systèmes d’information, les nouvelles versions et les mises à A.10.3.2 niveau, et lesd’acceptation tests adaptés Les critères A.10.3_Planification_et_accept du (des) système(s) doivent doivent être fixés pour les ation_du_système être nouveaux systèmes réalisés au moment du d’information, les nouvelles développement et versions et les mises à A.10.10.1 préalablement à leur niveau, et les d’audit, tests adaptés Les journaux qui acceptation. du (des) système(s) doivent A.10.10_Surveillance enregistrent les activités des être utilisateurs, les exceptions et réalisés au moment les événements liés du à la développement et sécurité doivent être A.12.4.1 préalablement à leur produits et conservés Des procédures doivent être A.12.4_Sécurité_des_fichiers_ acceptation. pendant période mises enune place pour système préalablement définie afin contrôler l’installation du de faciliter logiciel sur les les investigations systèmes en ultérieures et la surveillance exploitation. A.12.5.1 du contrôle d’accès. A.12.5_Sécurité_en_matière_d La mise en oeuvre des e_développement_et_d_assist modifications doit être ance_technique contrôlée par le biais de procédures formelles. A.10.10.1 Les journaux d’audit, qui A.10.10_Surveillance enregistrent les activités des utilisateurs, les exceptions et les événements liés à la sécurité doivent être A.10.1.2 produits et conservés Les changements apportés A.10.1_Procédures_et_respon pendant une période aux systèmes et moyens de sabilités_liées_à_l_exploitation préalablement définie afin traitement de l’information de faciliter investigations doivent êtreles contrôlés. ultérieures et la surveillance A.11.4.2 du contrôle d’accès. Des méthodes A.11.4_Contrôle_d_accès_rés d’authentification eau appropriées doivent être utilisées pour contrôler l’accès des utilisateurs distants.

2

1

3

Atteinte_à_la_maintenab 3 ilité

Non utilisation de normes ou standard dans le cadre du développement du système d'information

A.10.3.1 L’utilisation des ressources A.10.3_Planification_et_accept doit être surveillée et ajustée ation_du_système au plus près, et des projections doivent être faites sur les dimensionnements futurs pour assurer les performances requises par le système.

2

1

3

3

Abus_ou_usurpation_de _droit

Absence de dispositif de contrôle d'accès robuste

2

1

3

3

Abus_ou_usurpation_de _droit

Absence de journalisation des événements

2

1

3

3

Abus_ou_usurpation_de _droit

La base de mots de passe du système d'exploitation est déchiffrable

2

1

3

3

Abus_ou_usurpation_de _droit

Possibilité d'administrer le système à distance avec des outils d'administration non chiffrés

Ici nous avons choisi de valoriser particulièrement la disponibilité et dans une moindre mesure la confidentialité. L'enjeu global pour le laboratoire est la disponibilité des moyens informatiques. Du coup on ne considère pratiquement pas les menaces sur l'intégrité. Cela doit être nuancé en fonction du service hébergé par le serveur.

A.11.5.1 L’accès aux systèmes A.11.5_Contrôle_d_accès_au_ d’exploitation doit être système_d_exploitation soumis à une procédure sécurisée d’ouverture de session. A.10.10.1

Les journaux d’audit, qui enregistrent les activités des utilisateurs, les exceptions et les événements liés à la sécurité doivent être A.11.5.2 produits et conservés Un identifiant unique et A.11.5_Contrôle_d_accès_au_ pendant une période exclusif doit être attribué à système_d_exploitation préalablement définie afin chaque utilisateur et une de faciliter d’authentification les investigations technique ultérieures et la surveillance doit être choisie, permettant A.12.3.1 du vérifier contrôlel’identité d’accès.déclarée de Une politique d’utilisation A.12.3_Mesures_cryptographi par l’utilisateur. des mesures ques cryptographiques en vue de protéger l’information doit être élaborée et mise en oeuvre. A.10.10_Surveillance

Mesures 2

Mesures 3

Politique de Sécurité (Chapitre de la PSSI) Continuité de l'activité

Continuité de l'activité

Intégrité physique du matériel

Sauvegardes

Maintenance des matériels

Sauvegardes

Continuité de l'activité A.14.1.5 Les plans de continuité de l’activité doivent être testés et mis à jour régulièrement afin de s’assurer qu’ils sont actualisés et efficaces.

Continuité de l'activité

Maintenance des matériels

Sauvegardes

Continuité de l'activité A.14.1.5 Les plans de continuité de l’activité doivent être testés et mis à jour régulièrement afin de s’assurer qu’ils sont actualisés et efficaces.

Continuité de l'activité

Intégrité physique du matériel

Intégrité physique du matériel

Intégrité physique du matériel

Protection physique

Protection physique A.14.1.3 Des plans doivent être élaborés et mis en oeuvre pour maintenir ou restaurer l’exploitation et assurer la disponibilité des informations au niveau et dans les délais requis suite à une interruption ou une panne affectant les processus métier cruciaux.

A.14.1.5 Les plans de continuité de l’activité doivent être testés et mis à jour régulièrement afin de s’assurer qu’ils sont actualisés et efficaces.

Continuité de l'activité

Protection physique

Intégrité physique du matériel

Maintenance des matériels

Maintenance des matériels

Maintenance des matériels A.14.1.1 Un processus de continuité de l’activité dans l’ensemble de l’organisme doit être élaboré et géré, qui satisfait aux exigences en matière de sécurité de l’information requises pour la continuité de l’activité de l’organisme.

Continuité de l'activité

Protection physique

Maintenance des matériels

Politique d'accès au réseau

Contrôle d'accès A.6.1.2 Les activités relatives à la sécurité de l’information doivent être coordonnées par des intervenants A.11.3.3 ayant des fonctions et Une politique du des rôles appropriés bureau propre doit représentatifs des les être adoptée pour différentes documents parties papier de et l’unité. les supports de stockage amovibles, et une politique de l’écran vide doit également être adoptée pour les moyens de traitement de l’information.

Organisation de la sécurité

Contrôle d'accès

Organisation de la sécurité

Suivi de l'Exploitation

Suivi de l'Exploitation A.10.3.2 Les critères d’acceptation doivent être fixés pour les nouveaux systèmes d’information, les nouvelles versions et les mises à niveau, et les tests adaptés du (des) système(s) doivent être réalisés au moment du développement et préalablement à leur acceptation.

Suivi de l'Exploitation

Suivi de l'Exploitation

Suivi de l'Exploitation

Suivi de l'Exploitation

Suivi de l'Exploitation A.10.10.2 Des procédures permettant de surveiller l’utilisation des moyens de traitement de l’information doivent être établies et les résultats des activités de surveillance doivent être A.12.5.2 réexaminés Lorsque des périodiquement. modifications sont apportées aux systèmes d’exploitation, les applications critiques A.10.10.2 métier doivent être Des procédures réexaminées et permettant testées afinde de vérifier surveiller l’absence l’utilisation de tout effet des moyenssur de indésirable traitement l’activité oude sur la l’information doivent sécurité. être établies et les résultats des activités de surveillance doivent être A.11.4.3 réexaminés L’identification périodiquement. automatique de matériels doit être considérée comme un moyen d’authentification des connexions à partir de lieux et matériels spécifiques.

A.10.10.4 Les activités de l’administrateur système et de l’opérateur système doivent être journalisées.

A.12.5.3 La modification des progiciels ne doit pas être encouragée, et doit être limitée aux changements nécessaires. Un A.10.10.3 contrôle strict doit Les équipements de également être exercé journalisation et les sur ces modifications. informations journalisées doivent être protégés contre le sabotage et les accès non autorisés.

A.11.4.4 L’accès physique et logique aux ports de diagnostic et de configuration à distance doit être contrôlé.

Suivi de l'Exploitation

Suivi de l'Exploitation

Suivi de l'Exploitation

Suivi de l'Exploitation

Suivi de l'Exploitation

Contrôle d'accès

Suivi de l'Exploitation

A.11.5.2 Un identifiant unique et exclusif doit être attribué à chaque utilisateur et une technique A.10.10.2 d’authentification Des procédures doit être choisie,de permettant permettant de vérifier surveiller l’utilisation l’identité déclarée des moyens de par l’utilisateur. traitement de A.11.5.3 l’information Les systèmesdoivent qui être établies et les gèrent les mots de résultats des activités passe doivent être de surveillance interactifs et doivent doivent êtremots de fournir des A.12.3.2 réexaminés passe de qualité. Une procédure de périodiquement. gestion des clés doit favoriser l’utilisation par l’unité de techniques cryptographiques.

A.11.5.4 L’emploi des programmes utilitaires permettant de contourner les mesures d’un système ou d’une A.10.10.4 application Les activitésdoit de être limité et contrôlé l’administrateur étroitement. système et de l’opérateur système doivent être journalisées.

contrôle d'accès

Suivi de l'Exploitation

Contrôle d'accès

Contrôle d'accès

Vraisemblance Basse (1)

Faible (1) Moyenne (2)

Élevée (3)

Basse (1)

Moyenne (2) Moyenne (2)

1

2

3

2

3

2

2

3

4

3

4

3

3

4

5

4

5

4

4

5

6

5

6

Facilité de mise en œuvre Valeur de l’actif

1

Erreur Erreur

Erreur Erreur

Erreur Erreur

Erreur Erreur

Erreur Erreur

Moyenne (2)

Forte (3) Moyenne (2)

Élevée (3)

Basse (1)

4

3

4

5

5

4

5

6

5

5

6

7

7

6

7

8

Erreur Erreur

Erreur Erreur

Erreur Erreur

Élevée (3)

Erreur Erreur

Type Nom liste Données

Liste 1 Type authentification

Liste 2 Lieux de stockage

Liste 3 Type support amovible

Clef certificat Windows

Poste fixe SSI Poste fixe utilisateur

Disquette DAT

Unix Linux Mac Wifi Salle machine local 1 local 2 local 3

Portable utilisateur Portable SSI Serveur Machine Ext. (labo) Machine Ext. (domicile) Support multimédia

CD DVD Clé USB DD externe Bande

Liste 4 personnes y accédant

Liste 5 perte confidentialité

Liste 6 Disponibilité

tout utilisateur membre SSI

sans conséquence conséquences défavorables conséquences dommageables conséquences graves

Délai > 1heure 8h< Délai