Mise en place d'une politique de sécurité et amélioration d'une architecture client-serveur

1.3.1.4 FAIBLESSE DE CONFIGURATION

Une mauvaise configuration des équipements réseau, pare-feu, routeur...etc. est souvent exploitée pour mener des attaques. Les erreurs de configuration peuvent être de plusieurs natures, incluant l'erreur humaine, par conséquent les équipements réseau ne doivent accédés ou configurés que par des acteurs autorisés.^28(*)

1.3.2 CONDUIRE UNE POLITIQUE DE SÉCURITÉ RÉSEAU

La politique de sécurité d'une entreprise se base sur une analyse des risques décrivant les ressources critiques de l'entreprise, les probabilités de menace ainsi que leurs conséquences.

1.3.2.1 LES OBJECTIFS D'UNE POLITIQUE DE SÉCURITÉ

Une politique de sécurité consiste à mettre en place un ensemble de procédures et d'opérations suivies par l'entreprise, tel que ^29(*) :

v S'assurer que les utilisateurs observent les bonnes pratiques et les règles concernant l'utilisation des technologies de l'information.

v S'assurer que les normes en matière de sécurité informatique soient dûment mises en application.

v Réviser périodiquement les résultats des vérifications et contrôles, notamment pour y relever les anomalies et autres incidents.

v Recommander les actions à prendre pour corriger les situations anormales ou dangereuses, notamment, les processus opérationnels et les grandes stratégies en matière informatique et les achats d'équipement.

v Informer le comité de Direction du Collège des travaux, activités et incidents en matière de sécurité informatique.

v S'assurer que les éléments opérationnels qui requièrent une approbation des différentes directions soient respectés.

1.3.2.2 PRINCIPE GÉNÉRIQUE D'UNE POLITIQUE DE SÉCURITÉ RÉSEAU

Quelle que soit la nature des biens produit par l'entreprise, sa politique de sécurité réseau vise à satisfaire les critères suivants :

o Identification : information permettant d'indiquer qui vous prétendez être.

o Authentification : information permettant de valider l'identité pour vérifier que vous êtes celui
que vous prétendez être.

o Autorisation : information permettant de déterminer quelles sont les ressources de l'entreprise auxquelles l'utilisateur identifié aura accès ainsi que les actions autorisées sur ces ressources.

o Confidentialité : ensemble des mécanismes permettant qu'une communication de données reste privée entre un émetteur et un destinataire.

o Intégrité : ensemble des mécanismes garantissant qu'une information n'a pas été modifiée.

o Disponibilité : ensemble des mécanismes garantissant que les ressources de l'entreprise sont accessibles.

o Non-répudiation : mécanisme permettant de trouver qu'un message a bien été envoyé par un émetteur et reçu par un destinataire.

o Traçabilité : ensemble des mécanismes permettant de retrouver les opérations réalisées sur les ressources de l'entreprise.

o Continuité : a pour but de garantir la survie de l'entreprise après un sinistre important touchant le système informatique. Il s'agit de redémarrer l'activité le plus rapidement possible avec le minimum de perte de données.

* ²⁸DENIS Valois BENJAMIN Morin CEDRIC Liorens, LAURENT Levier. tableaux de bord de la sécurité réseau. 3eme édition,Editioneyrolles, 2010.

* ²⁹COLLEGE Lionel-Groulx. publication, politique de sécurité informatique, Page 5