Séance 11 - Comment protéger nos données ainsi que les risques

Question 1

Qu’est ce que veux dire protéger nos données?

Answer 1

Assurer leur confidentialité, leur intégrité et leur disponibilité

CIA
Confidentiality, Integrity and availability

intégrité: données conformes à ce qu’elles sont supposés être; aucun traitement/changement
non-autorisé

Disponibilité: pour la continuité des affaires

Question 2

Sur quelle principe repose la gestion des risques TI

Answer 2

le principe du maillon faible:
Il faut toujours se posée la question ou sommes nous le plus faible

Question 3

Quelle loi au Québec est mise en place afin de protéger les renseignements personnels dans le secteur privé

Answer 3

(la loi 25): Son grand objectif est de récolter
des informations/données pour éventuellement mieux prévenir les risques TI : elle impose des
obligations de responsabilité aux entreprises relativement à la collecte de données et la
divulgation en cas de fraude.

Question 4

Quelle est la démarche de gestion des risques TI qui nous permet de réfléchir aux risques auquels nous sommes exposés

Answer 4

1) Déterminer les sources potentielles de risque
- Employés, délinquants (hacker), partenaires et composantes technologiques

2) Préciser la nature des risques (événements)
- Modifications non autorisées, vol de données et bris de confidentialité

3) Établir leurs effets potentiels et en faire une évaluation monétaire
- perte de revenus (confiance, campagne, média) poursuite de qqun (dédommagements, assurance)

4) Déterminer les mesures de contrôle (et leur coût total) –> Comment contrer et combien ça va coûter

• Évaluer le risque et ensuite évaluer cmb ça nous coûte pour se protéger de ce risque

5) Procéder à la mise en oeuvre et assurer un suivi et une évaluation continue
- Continuer à monitorer les mesures de contrôle –> ecq elles nous permettent toujours de mitiger le risque?

Question 5

Quelles sont les sources de rsiques (menaces) Potentielles

Answer 5

1) Les employés malhabilles
- Ce sont habituelles du monde innocent pas au courant, mais leurs comportement peuvent créé des problèmes pour CIA

• Erreurs, omissions et destruction involontaire
• Mauvaise utilisation/ compréhension de données
• bris de confidentialité

2) Employés malveillants
- veulent tirer un avantage souvent financier d’un acte non autorisé

• En plus de leurs mauvaises intentions, ils sont à l’interne ce qui les rends particulièrement dangereux
• Ils utilisent généralement les moyens suivants
• Erreurs, omissions ou destructions intentionnelles de données
• Vol de données/bris de confidentialité
• Vol physique

3) Les délinquants (hackers)
Ils veulent s’ouvrir une porte vers un système pour:
- Briser la confidentialité
- Modifier/détruire les données
- Effectuer des modifications non-autorisées
- Affecter la performance de l’infrastructure technologique

Pour s’y faire, ils utilisent:
- Intrusion
- Interception
- Virus/ VER
- Arnaque (piratage psychologique ou hameçonnage
- vol physique

4) Les partenaires d’affaires (clients, fournisseurs, entité gouvernementale)

Répudiation (Refuser la responsabilité deqqchose)
 Ex : nie être l’auteur d’unetransaction

Leur vulnérabilité peut avoir des impacts sur nos systèmes (employésmalhabiles/malveillants, délinquant quiattaquent leurs systèmes (hameçonnage),leur partenaire d’affaires, etc.)
ex: employés malhabilles commandent 11 article a place de un

5) Les partenaires technologiques (impartiteur, soutient ti, fournisseur d’accès, amazon, vidéotron)

Tous commes nos partenaires d’affaires, nous sommes indirectemment vulnérables aux sources de risque de nos partners tech et cela peut avoir un impact sur nos systèmes (employésmalhabiles/malveillants, leurs partenairesd’affaires, les délinquants, leurs composantestechnologiques)

6) Composantes technologiques
- Mauvais fonctionnement ou panne d’une pièce d’équipement
- Mauvais fonctionnement (bogue) ou arrêt de fonctionnement d’un logiciel (applications)

Question 6

Qu’est ce que la valeur monétaire du risque? Quelle effet aurait-ce sur l’organisation et combien ça couterait pour l’organisation?

Answer 6

1) Effets possibles: arrêt des activités de l’entreprise, perte de revenus, atteinte à la réputation, vol de secret commerciaux, poursuite judiciaire

2) Il est important que les dollars dépensés dans la mise en place de mesures de contrôle ne dépassent pas l’évaluation monétaire que la matérialisation du risque peut avoir comme conséquence sur l’entreprise

Question 7

Quelles sont les mesures de contrôles du risque?

Answer 7

1) Contrôles généraux de gestion des TI
- Respect des pratiques d’exellence (favorise le CIA)
*Planification des TI
*Analyse et le suivi des investissements
* Modes d’approvisionnement
* Gestion des projets (environnements tests et conversion des données)

2) Contrôles d’application (saisie,traitement, sortie)

Saisie : (Exemple : Est-ce que le montant fait du sens? Si je mets 1 000, je veux m’assurer que c’est le bon montant quenj’ai mis comme c’est un grand montant)

Traitement : (Ex : Journaux de transaction: S’assurer que chaque transaction sonti nscrites dans les journaux pour pouvoir y retourner et identifier celles non-autorisées)

• FIchier qui ont des traces de toutes les actions qui ont été faites dans son SI

Sortie : (Exemple : Empêcher l’impression de certaines données confidentielles ou obliger de déchiqueter quand c’est terminé

• Utilisation faite des données

3) Les contrôles de l’environnement TI
- on va voir plus en profondeur

Question 8

Explique moi plus en profondeur les contrôles de l’environnement TI

Answer 8

On concentre les meusres de contrôle de l’environnement TI selon les sources de risques

1) Les employés malhabiles

Pour les erreurs, omissions et destruction des données on peut:
* Faire des contrôles d’application
* Les rendres plus compétents/ Formation

Pour les erreurs de mauvaise utilisation de données/système on peut:
* Faire de la sélection embauche et prérequis, bon programme de formation
* Données du soutien
* Compétences/formation

Puisqu’ils sont des cibles pour les délinquants on peut:
* Éduquer et sensibiliser à la sécurité liés à la formation. –> ils vont pouvoir reconnaitre des situation problématiques ou potentiellement problématiques

2) Les délinquants

Comment se protéger contre l’intrusion:
- Gérer les accès (codes d’usages et mots de passe)
- Limiter les accès aux données
- Enlever les codes d’accès lorsque l’employé quitte
- Différents niveaux d’authentification
- Éduquer les utilisateurs
- Fire wall + logiciels de gestion d’intrusion

Comment se protéger du vol/modification de données confidentielles:
- Chiffrement
- Certificat numérique
- VPN

Comment se protéger de VIRUS,VER,Cheval de troie (programmes fait pour s’infiltrer)
- Logiciels anti-virus

Comment se protéger des attaques de type déni de service (faire arrêter les serveurs en envoyant un grand nombre de demande de services pour faire planter les serveurs)
- Pare-feu, logiciel

Comment se protéger des arnaques (se faire passer pour qqun d’autre ou hameçonnare (courriel/liens frauduleux)
- Éduque les employés

Comment se protéger du vol de matériel:
- Sécurisation physique
- Politique portant sur le stockage des données

3) Les employés malveillant
même choses que délinquant pour se protéger. On peut ajouter le background check

4) Les partenaires d’affaires

Comment se protéger des employées malhabiles du partenaire?

• Choix rigoureux des partenaires d’affaires
• Control serré des accès
• Éducation

Comment se protéger de l’authetification/non-répudiation
- Gérer les accès technologique
- Certificat numérique

Comment gérer les employés délinquant des partenaires d’affaires
- Mesures qu’on vient de dire + les mesures qu’on a dit sur les délinquants

5) Les partenaires technologiques

Comment se protéger des problèmes qu’on peut rencontrer avec nos TI qui peuvent aussi être vécu avec nos partenaire technologique

• Respect des pratiques d’excellence en approvisionnement:
• audit technologique par no spécialiste TI ou tierce partie
• Choix rigoureux d’assurances, de réputation de spécialisation

*Contrats axés sur des niveaux de performance

6) Les composantes technologiques

Comment se protéger des pannes ou bris
- Protection physique et environnementale

• Pratique d’excellence en exploitation:
• maintenance préventive et analyse et solutions aux problèmes rencontrés (préventive et corrective)
  *Plan de relève

Comment se protéger des bogues
- Pratique d’excellence en gestion de projet:
* on fait des tests

• Pratiques d’excellences en exploitation
• Procédure pour la maintenance des aplications