1.2.2. Contraintes d'application des politiques de
sécurité réseau
Quelles que soient l'entreprise concernée et la
politique de sécurité réseau définie, l'application
d'une politique de sécurité est confrontée aux trois
contraintes suivantes :
§ technique : la
technologie a ses limites. Certaines applications sont difficilement filtrables
par un pare-feu ou ne tolèrent pas que l'adresse source de
l'expéditeur soit modifiée au profit de celle du pare-feu par une
technique de NAT. Par exemple, les outils de partage de fichiers entre clients,
appelés peer-to-peer, sont très difficile à bloquer. Par
ailleurs, des services réseau tels que H323 (ensemble de protocoles de
communication de la voix, de l'image et de données sur IP) et le
protocole IPSec n'apprécient pas le NAT ;
§ économique : pour
une solution technique donnée, une contrainte d'ordre économique
peut surgir, si bien qu'il faut parfois choisir une solution moins
chère, même si elle ne répond pas exactement aux besoins de
sécurité. Une telle situation revient à une acceptation
d'un risque de sécurité, à condition que le
décideur dispose d'une réelle synthèse des risques,
c'est-à-dire d'une description des menaces et de leur probabilité
d'occurrence, ainsi que de leurs conséquences ;
§ politique : pour une
solution technique donnée, économiquement accepté, une
contrainte d'ordre politique peut survenir. Sans justification logique ou
technique, une telle contrainte peut engendrer de réels problèmes
de sécurité. Ce type de situation requiert également
l'acceptation de risque de sécurité.
Le principe de
propriété:
Le principe de propriété exige qu'une politique
de sécurité décrive, pour chaque ressource d'une
entreprise, quels en sont les propriétaires. On doit entendre par
« propriété », non pas l'aspect
légal de la propriété d'un bien, mais son aspect
fonctionnel, qui consiste à assumer la pérennité et la
protection.
Les propriétaires d'une ressource en ont la
responsabilité et dictent les règles d'accès à
cette ressource. Un schéma classique établit une distinction
entre le propriétaire, l'administrateur et l'utilisateur d'une
ressource.
Le propriétaire définit les règles
d'utilisations de ses ressources et les donne à l'administrateur, lequel
a pour rôle de les appliquer aux demandes d'un utilisateur. En cas de
problème, l'administrateur demande au propriétaire une
dérogation aux droits d'accès. L'utilisateur n'est jamais en
contact direct avec le propriétaire.
Par exemple, tous les équipements informatiques de la
First Bank sont la propriété de la DSIG. Le DSIG définit
donc les règles d'utilisation des équipements réseau et
les confie à l'Administrateur réseau qui tient lieu
d'administrateur des équipements et applications réseaux. Toutes
les requêtes utilisateurs en ce qui concerne le matériel et les
applications réseaux s'adressent à l'Administrateur réseau
et jamais au DSIG : c'est une délégation de
responsabilité.
Le fonctionnement est illustré sur la figure
suivante :
L'autorité:
Une direction générale a autorité sur
toutes les ressources de l'entreprise. Elle délègue
généralement cette autorité aux responsables de
départements, qui peuvent à leur tour mandater un groupe au sein
de leur département.
Dans tous les cas, l'équipe sécurité,
mandatée par la direction générale, dispose de
l'autorité de vérifier l'application de la politique de
sécurité sur toutes les ressources de l'entreprise.
L'universalité:
Le principe d'universalité veut qu'une politique de
sécurité dicte des règles qui doivent être non
seulement validées, quels que soient les aspects techniques mis en jeu,
mais aussi appliquées.
L'idée est que la conception initiale d'une politique
de sécurité et de ses domaines d'application doit être
essentielle et fondamentale, de sorte à éviter une
évolution inconsciente de la politique de sécurité, de ses
guides et de ses recommandations.
L'orthogonalité:
Le principe d'orthogonalité précise qu'une
politique de sécurité peut être découpée en
sous parties distinctes, sous la condition que ces sous parties forment un
ensemble cohérent.
La simplicité:
Une politique de sécurité est simple dans sa
structure et claire dans les règles qu'elle énonce. Toute
mauvaise compréhension d'une règle de la politique de
sécurité conduit à ce qu'elle ne soit pas appliquée
ou qu'elle le soit mal.
L'auditabilité:
Une politique de sécurité est auditable. Cela
demande que les règles qu'elle énonce puissent être
vérifiées dans les faits. Bien qu'il soit difficile de mesurer
toute chose, la politique de sécurité est écrite dans cet
objectif. C'est d'autant vrai qu'un audit de sécurité se
réfère en priorité au document de politique de
sécurité.
La hiérarchie:
Une politique de sécurité est structurée
en une politique de sécurité de haut niveau, qui englobe les
politiques de sécurité couvrant des domaines précis. Ces
mêmes politiques de sécurité pointent sur des
procédures qui détaillent des aspects techniques de domaine
visé.
L'idée sous-jacente est qu'une politique de
sécurité doit être structurée en sous politiques,
dans une approche allant du plus général au plus
spécifique. Il est admis que deux à trois niveaux de politique de
sécurité conviennent dans la plupart des cas.
L'approbation:
Une politique de sécurité est approuvée
par la direction générale, et ce, de manière officielle.
De plus la direction générale et les ressources humaines
s'engagent à réprimer toute violation de la politique de
sécurité qui pourrait mettre en péril la survie de
l'entreprise.
Les cadres juridique et réglementaire couvrant la
politique de sécurité et les actes de malveillance sont connus de
tout le personnel de l'entreprise.
| 
