Politique de Sécurité Informatique

1. Définition de la politique de sécurité informatique (PSI)

• Politique de sécurité informatique : plan d’actions définies pour maintenir un niveau de sécurité dans une organisation.
• Elle reflète la vision stratégique de la direction en matière de systèmes d’information (SI).
• Elle définit les objectifs de sécurité des systèmes informatiques.
• Peut être formelle ou informelle selon l’organisation.

2. Utilité de la PSI

• L’omniprésence d’Internet, le cloud, le télétravail augmentent la connectivité et donc l’exposition aux risques.
• Les attaques se professionnalisent (ex. phishing).
• La sécurité ne repose plus uniquement sur le hardware et software, mais aussi sur la sensibilisation des utilisateurs.
• La PSI agit comme une chaîne de maillons : le niveau de sécurité est celui du maillon le plus faible.

La sécurité est aussi forte que son maillon le plus faible.

3. Rôle de la PSI

• Élaborer des règles et procédures claires.
• Définir les actions à entreprendre en cas d’intrusion.
• Sensibiliser toutes les parties prenantes aux enjeux de sécurité.
• Préciser les rôles et responsabilités de chacun.
• La PSI est un ensemble d’orientations globales en matière de sécurité, élaboré avec la direction car elle concerne tous les utilisateurs.

4. Mise en œuvre de la PSI

• Doit être adaptée sur mesure à l’environnement métier, organisationnel, éthique et juridique de l’organisation.
• Le responsable informatique joue un rôle clé :
  • Communique les problèmes et recommandations aux utilisateurs.
  • Gère les ressources informatiques et droits d’accès conformes à la PSI.
  • Met à jour les informations de contact et procédures.

5. Étapes clés pour définir une PSI

1. Identification

   • Besoins en sécurité
   • Risques informatiques spécifiques à l’organisation

2. Élaboration

   • Règles et démarches à appliquer dans chaque service

3. Surveillance et détection

   • Failles et points faibles du système

4. Définition des processus

   • Actions à déclencher et contacts en cas de menace

Une bonne politique de sécurité informatique permet d’utiliser le système en toute confiance tout en laissant les utilisateurs développer leurs usages nécessaires.

1. Rôle d'une Politique de Sécurité Informatique (PSI)

La PSI définit les règles et mesures pour protéger les systèmes d'information d'une organisation, en couvrant les risques, vulnérabilités, et les moyens de prévention et correction. Elle est aussi un document juridique encadrant le fonctionnement interne.

2. Exemple concret : PSI de l’Université de Poitiers

a) Périmètre de la SSI

La sécurité des systèmes d’information (SSI) couvre :

• Tous les systèmes d’information de l’établissement (gestion, applications institutionnelles, applications propres aux composantes).
• Systèmes hors informatique mais utilisant ses ressources (ToIP, visioconférence, vidéosurveillance).
• Interconnexions avec organismes externes (CNRS, INSERM).

b) Champ d’application

• Ensemble des personnes, biens, activités et situations soumis à la PSI.
• Délimitation claire des limites d’application, souvent via une définition juridique précise.

3. Besoins de sécurité

Les besoins fondamentaux reposent sur trois critères clés, issus de la norme ISO 7498-2 :

• Ces besoins s’appliquent aux ressources (postes, réseaux, applications) et aux données (scientifiques, stratégiques, nominatives).
• Il est essentiel d’inventorier et classifier les données selon leur sensibilité pour adapter la protection.

4. Identification des menaces

Selon la méthode EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité), il faut connaître les types de menaces pour définir les mesures adaptées :

À retenir : La PSI fixe le cadre juridique et opérationnel pour garantir la confidentialité, disponibilité et intégrité des systèmes d’information, en s’appuyant sur une analyse précise des besoins, périmètre et menaces.

1. Étapes de mise en œuvre d'une Politique de Sécurité Informatique (PSI)

a) Identification des risques

• Évaluer le risque : estimer la probabilité qu’un risque devienne réalité.
• Détecter les facteurs aggravants : négligence, insuffisance d’information, absence de consignes, etc.
• Cette étape est cruciale pour cibler les mesures de sécurité adaptées.

b) Organisation et responsabilités

• Acteurs concernés : Président, Secrétaire Général, RSSI, utilisateurs, etc.
• Obligation d’information : chaque acteur doit connaître ses responsabilités en matière de sécurité des systèmes d’information (SSI).
• Devoir de réserve et secret professionnel : engagement obligatoire pour les intervenants.
• Habilitation : certains acteurs (ex. RSSI) peuvent recevoir une habilitation « confidentiel défense ».

c) Gestion des accès aux ressources informatiques

• Formalisation des accès : à l’arrivée, au changement de fonction, au départ.
• Contrôle des accès : identification, authentification, droits et privilèges adaptés au profil utilisateur.
• Liste formelle des utilisateurs : tenue obligatoire pour assurer un suivi rigoureux.
• Gestion des droits : autorisation selon profils, avec mise à jour régulière.

d) Charte informatique

• Information préalable : l’utilisateur doit prendre connaissance des droits et devoirs liés à l’usage des outils informatiques.
• Charte du bon usage : intégrée au règlement intérieur, elle formalise les règles à respecter.
• Action préalable obligatoire : l’accès est conditionné à la prise de connaissance de la charte.

e) Cyber surveillance

• Surveillance du trafic et traçage des actions : nécessaires pour garantir la sécurité.
• Respect de la réglementation : conformité aux lois en vigueur.
• Principes clés :
  • Proportionnalité : moyens adaptés à l’enjeu réel.
  • Transparence : information des utilisateurs et partenaires sociaux.
• Autorisation de traçage : encadrée et obligatoire.

f) Protection des données : disponibilité, confidentialité et intégrité

• Prévention des risques : perte, modification, mauvaise utilisation, divulgation.
• Sauvegardes régulières : avec validation des processus de restauration.
• Types de sauvegardes :
  • Sauvegardes de production : restauration de données.
  • Sauvegardes de recours : reprise des services après incident majeur.
• Étude des données : criticité, volatilité, fluctuation pour définir la politique de sauvegarde.

À retenir : La mise en œuvre d’une PSI repose sur une identification précise des risques, une organisation claire des responsabilités, un contrôle rigoureux des accès, une information préalable des utilisateurs, une surveillance conforme à la réglementation, et une protection adaptée des données.

1. Protection des données sensibles

• Données classifiées de défense : stockage et transmission interdits sauf via moyens spécifiques agréés au niveau national.
• Conditions d'accès :
  • Habilitation nécessaire mais non suffisante.
  • Besoin d’en connaître : nécessité fonctionnelle de consulter le document.
• Accès aux documents classifiés = habilitation + besoin d’en connaître.

L’accès aux données classifiées est strictement encadré par l’habilitation et la nécessité fonctionnelle.

2. Données à caractère personnel

• Définies par la loi n°78-17 du 6 janvier 1978 modifiée (Informatique, fichiers et libertés).
• Traitements contenant ces données doivent être déclarés ou autorisés auprès de la CNIL via le correspondant CIL.
• Ces données sont considérées comme sensibles et doivent être protégées.

3. Chiffrement des données sensibles

• Obligation de chiffrer le stockage et l’échange des données sensibles.
• Produits matériels et logiciels utilisés doivent être agréés par la DCSSI.
• Une copie des clés de chiffrement doit être stockée dans un lieu externe et sécurisé.

4. Sécurisation des postes de travail et moyens nomades

• Responsabilité des administrateurs systèmes et réseaux.
• Accès protégé par des mots de passe robustes, personnels et confidentiels.
• Mots de passe ne doivent pas être divulgués ni laissés sans protection.

La robustesse des mots de passe est une exigence clé, mais la définition précise reste à clarifier.

5. Utilisation des moyens informatiques de l’Université de Poitiers

L’utilisation des moyens informatiques est strictement encadrée pour garantir conformité légale et respect des valeurs universitaires.