la gestion du risque en générale

     En générale, le risque en termes de sécurité est calculé de la manière suivante :

Risque = Menace x vulnérabilité / contre mesure

     La menace représente le type d'action susceptible de nuire à la société, tandis que la vulnérabilité représente le niveau d'exposition face à la. Enfin la contre-mesure est l'ensemble des actions mises en œuvre en prévention de la menace.

     Les contre-mesures à mettre en œuvre ne sont pas uniquement des solutions techniques mais également des mesures de formation et de sensibilisation des utilisateurs, ainsi qu'un ensemble de règles définies.

      Afin de pouvoir sécuriser un système, il est nécessaire d'identifier les menaces potentielles, et donc de connaître et de prévoir la façon de procéder de l'ennemi.

     Le système d'information représente un patrimoine essentiel de l'entreprise, qu'il convient de protéger. La sécurité informatique consiste à assurer que les ressources matérielles ou logicielles d'une organisation sont uniquement utilisées dans le cadre prévu.

     La sécurité informatique vise cinq principaux objectifs :

• L'intégrité, c'est-à-dire garantir que les données sont bien celles que l'on croit être ;
• La confidentialité, consistant à assurer que seules les personnes autorisées aient accès aux ressources échangées ;
• La disponibilité, permettant de maintenir le bon fonctionnement du système d'information ;
• La non répudiation, permettant de garantir qu'une transaction ne peut être niée ;
• L'authentification, consistant à assurer que seules les personnes autorisées aient accès aux ressources

     Exemple : une porte blindée est inutile dans un bâtiment si les fenêtres sont ouvertes sur la rue. Lorsqu’on lit cette métaphore, on comprend pourquoi, la sécurité doit être abordée dans un contexte global.

     Les mécanismes de sécurité mis en place peuvent néanmoins provoquer une gêne au niveau des utilisateurs. Ainsi, la sécurité informatique doit être étudiée de telle manière à ne pas empêcher les utilisateurs de développer les usages qui leur sont nécessaires, et de faire en sorte qu'ils puissent utiliser le système d'information en toute confiance.

     C'est la raison pour laquelle il est nécessaire de définir dans un premier temps une politique de sécurité, dont la mise en œuvre se fait selon les quatre étapes suivantes :

• Identifier les besoins en terme de sécurité,   
• Elaborer des règles et des procédures à mettre en œuvre
• Surveiller et détecter les vulnérabilités du système d'information et se tenir informé des failles sur les applications et matériels utilisés ;
• Définir les actions à entreprendre et les personnes à contacter en cas de détection d'une menace ;

     On distingue généralement deux types d'insécurités :

• l'état actif d'insécurité, c'est-à-dire la non connaissance par l'utilisateur des fonctionnalités du système, dont certaines pouvant lui être nuisibles
• l'état passif d'insécurité, c'est-à-dire la méconnaissance des moyens de sécurité mis en place, par exemple lorsque l'administrateur (ou l'utilisateur) d'un système ne connaît pas les dispositifs de sécurité dont il dispose.

     La phase de définition des besoins en termes de sécurité est la première étape vers la mise en œuvre d'une politique de sécurité. L'objectif consiste à déterminer les besoins de l'organisation en faisant un véritable état des lieux du système d'information, puis d'étudier les différents risques et la menace qu'ils représentent afin de mettre en œuvre une politique de sécurité adaptée.

     L'étape d'analyse des risques consiste à répertorier les différents risques encourus, d'estimer leur probabilité et enfin d'étudier leur impact. La meilleure approche pour analyser l'impact d'une menace consiste à estimer le coût des dommages qu'elle causerait (par exemple attaque sur un serveur ou détérioration de données vitales pour l'entreprise).