Brainscape's Knowledge GenomeTM

Browse over 1 million classes created by top students, professors, publishers, and experts.


See full index

Qualité > Securité > Flashcards

Securité Flashcards

1
Q

Les enjeux de la sécurité SI

A

réduire les risques ,limiter leurs impacts

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
2
Q

Les 4 critères fondamentaux de la sécurité de l’information

A

Confidentialité :
La confidentialité est cette caractéristique d’une information de n’être accessible qu’à ceux qui sont autorisés.
Intégrité :
L’intégrité est la caractéristique d’une information de n’être modifiée que par des personnes autorisées et selon un
procédé défini.
Disponibilité
La disponibilité est la caractéristique d’une information d’être accessible et utilisable par son destinataire autorisé à
l’endroit et à l’heure prévue.
Traçabilité
La traçabilité est la caractéristique qui conserve les traces de l’état et des mouvements de l’information. Sans
elle, on n’a aucune chance d’avoir l’assurance que les trois autres critères sont respectés

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
3
Q

La sécurité du S.I. consiste a quoi

A

La sécurité du S.I. consiste donc à assurer
la sécurité de l’ensemble de ces biens: actifs primordiaux(processus métiers
et informations)
actifs supports(site personne matériel réseau logiciel organisation)

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
4
Q

Concepts clé de la sécurité SI :

A

Vulnérabilité Menace Risque

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
5
Q

Vulnérabilité

A

Faiblesse au niveau d’un actif et Faille permettant à une menace de porter atteinte à la sécurité d’un actif
Exemple;
• Détection /extinction d’incendie insuffisante
• Test insuffisant de logiciel
• Personnel insuffisamment formé
• Antivirus non à jour
• Architecture de système fragile
• Copie de sauvegarde absentes ou non testées
• Plan de reprise d’activité absent ou non testé

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
6
Q

Menace

A

Cause potentielle d’un incident, qui pourrait affecter la sécurité d’un actif et entrainer des
dommages sur un bien si cette menace se concrétisait.
Caractéristique :

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
7
Q

origine et impact du menace

A

Origine : -Naturelle : incendie , inondation
- Humaine : Accidentelle (erreur , bugs) /Délibérée ( fraude , virus, intrusion )
• Impact sur le système d’information et sur l’organisation

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
8
Q

Risque

A

Probabilité qu’une menace exploite une vulnérabilité du SI pour affecter l’actif de
l’information

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
9
Q

impact et probabilité du risque

A

Caractéristique :
• Impact
o Sur les actifs :Confidentialité , intégrité , disponibilité
o Sur l’organisation :Pertes financières
• Probabilité : Risque = menace x vulnerabilité x actif

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
10
Q

La famille ISO 27000

A

Ensemble de normes internationales de sécurité de l’information, destinées à protéger
l’information. Elles découlent d’une recherche de consensus commun sur le domaine.
• Néanmoins la conformité à une norme ne garantit pas formellement un niveau de sécurité.
Les normes ne prennent pas en compte l’état de l’art récent et les exigences réglementaires

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
11
Q

• Quelques unes des principales normes inclues dans la série 27000.

A

27001 27002 27004 27005 27035 27037

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
12
Q

ISO 27001 :Exigences pour la mise en place d’un SMSI

A

Une démarche calquée sur ISO 9000 (Plan / Do / Check / Act).
Phase Plan : Fixer des objectifs et des plans d’actions :
• Identification des actifs ou des biens ;
• Analyse de risques ;

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
13
Q

ISO 270002:Une démarche d’audit SSI

IMPORTANT PAGE 14

A

La norme ISO 270002 donne des lignes directrices en matière
de normes organisationnelles relatives à la sécurité de
l’information et des bonnes pratiques de management de la
sécurité de l’information, incluant la sélection, la mise en oeuvre
et la gestion de mesures de sécurité prenant en compte le ou
les environnement(s) de risques de sécurité de l’information de
l’organisation

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
14
Q

Audit de la sécurité SI

A

examen methodique d’une situation liée a la securité de l info en vue de verifier sa conformité a des objectifs , a des regles ou a des normes

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
15
Q

objectif de Politique de sécurité SI

A

Exprimer formellement la stratégie de sécurité de la société

• Communiquer clairement son appui à sa mise en œuvre.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
16
Q

Organisation de la sécurité

A

Responsable de Sécurité SI

Comité de Sécurité SI

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
17
Q

Organisation de la sécurité ,Exemple de mesures :

A

Exemple de mesures :
• Toutes les responsabilités en matière de sécurité de l’information doivent être définies et
attribuées
• Séparation de tâches : Les tâches et les domaines de responsabilité incompatibles doivent
être cloisonnés pour limiter les possibilités de modification ou de mauvais usage, non
autorisé(e) ou involontaire, des actifs de l’organisation
• La sécurité de l’information doit être considérée dans la gestion de projet, quel que soit le
type de projet concerné.
• Une politique et des mesures de sécurité complémentaires doivent être adoptées pour gérer
les risques découlant de l’utilisation des appareils mobiles
• Une politique et des mesures de sécurité complémentaires doivent être mises en oeuvre
pour protéger les informations consultées, traitées ou stockées sur des sites de télétravail.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
18
Q

Sécurité liée aux ressources humaines

A

La sécurité des ressources humaines consiste à s’assurer que les collaborateurs
comprennent leurs responsabilités en matière de sécurité de l’information, qu’ils en sont
conscients et qu’ils les assument. Les intérêts de l’organisation demeurent protégés dans le
cadre du processus de modification, de rupture ou de terme d’un contrat de travail.

How well did you know this?
1
Not at all
2
3
4
5
Perfectly
19
Q

Sécurité liée aux ressources humaines , exemples:

A

Avant embauche :
o Sélection des candidats :Des vérifications doivent être effectuées sur tous les candidats à
l’embauche conformément aux lois, aux règlements et à l’éthique.
o Termes et conditions d’embauche : préciser leurs responsabilités et celles de l’organisation
en matière de sécurité de l’information
• Pendant l’embauche :
o Sensibilisation aux politiques et procédures internes de l’organisation ;
o Sensibilisation régulière à la sécurité adaptée aux fonctions ;
o Processus disciplinaire en cas de non respect.
• Au terme du contrat de travail :
o Retrait des accès et restitution du matériel fourni (badge, matériel, …).

20
Q

Gestion des actifs

A

La gestion des actifs informationnels est primordiale. L’organisation doit identifier ses actifs et
définir les responsabilités afin de s’assurer qu’ils bénéficient d’un niveau de protection adéquat
conforme à son importance pour l’activité. La divulgation, la modification, la destruction non
autorisée d’information stockée sur tout support doivent être empêchées.

21
Q

exemples d actifs

A

Ces actifs peuvent être :
• Des biens physiques (serveurs, réseau, imprimantes, baies de stockage, poste de travail, des
matériels non IT)
• Des informations (database, fichiers, archives)
• Des logiciels (application ou dispositif)
• Des services
• De la documentation (politiques, procédures, plans)

22
Q

Gestion des actifs : Classification de l’information

Page 24

A

La classification selon la confidentialité des informations aide à définir des mesures de
protection appropriées pour chaque type d’information..

23
Q

– Les informations de niveau « Confidentiel »

A

doivent être :
• Envoyées par mail de manière chiffrée et le mot de passe communiqué par SMS aux
destinataires ;
• Stockées localement dans des conteneurs chiffrés

24
Q

Les informations de niveau « Diffusion limitée »

A

doivent être échangées au travers au travers
d’un système documentaire collaboratif ayant des accès nominatifs contrôlés, par exemple MS
SharePoint

25
Q

GESTION des actifs Exemple de mesures :

A

Inventaire des actifs /Proprietés des actifs /Restitution des actifs
• Classification des information /Marquage des informations
• Gestion des supports amoviles
• Mise en rebut des supports
• Transfet physique des supports

26
Q

Contrôle d’accès

A

Le contrôle d’accès limite l’accès à l’information et aux moyens de traitement de
l’information, maîtrise l’accès utilisateur par le biais d’autorisations et empêche les accès non
autorisés aux systèmes, aux applications et aux services d’information. Les utilisateurs sont
responsables de la protection de leurs informations d’authentification

27
Q

Contrôle d’accès exemples d mesures

A

La politique de contrôle doit être établie ,elle comprend notamment:
• L’enregistrement unique de chaque utilisateur,
• Une procédure écrite de délivrance d’un processus d’authentification
• Des services de déconnexion automatique en cas d’inactivité,
• Une politique de révision des mots de passe qui garantie la qualité des mots de passe
• L’accès au réseaux et aux services réseaux sur autorisation
• Les accès à privilèges doivent être restreints et contrôlés
• L’accès au code source des programme doit être restreint

28
Q

Cryptographie

A

La cryptographie permet de protéger la confidentialité, l’authenticité et/ou l’intégrité de
l’information mais il faut obtenir la garantie de son utilisation correcte et efficace

29
Q

Cryptographie , Exemple de mesures

A

• Une politique d’utilisation des mesures cryptographiques en vue de protéger
l’information doit être élaborée et mise en oeuvre.
• Gestion des clés : Une politique sur l’utilisation, la protection et la durée de vie des clés
cryptographiques doit être élaborée et mise en oeuvre tout au long de leur cycle de vie.

30
Q

Sécurité physique et environnementale

A

La sécurité physique et environnementale prévient tout accès physique non autorisé, tout
dommage ou intrusion portant sur l’information et les moyens de traitement de
l’information de l’organisation. Elle vise à empêcher la perte, l’endommagement, le vol ou la
compromission des actifs et l’interruption des activités de l’organisation

31
Q

Exemple de mesures Sécurité physique et environnementale

A

Contrôle d’accès physique :
• Protéger les zones sécurisées par des contrôles adéquats à l’entrée par exemple un système
d’authentification à deux facteurs,tels qu’une carte d’accès et un code PIN secret;
• Conserver de manière sécurisée et de contrôler régulièrement un journal physique ou un
système de traçabilité électronique de tous les accès;
• Protection contre les menaces extérieures et environnementales
• Concevoir et appliquer des mesures de protection physique contre les désastres naturels, les
attaques malveillantes ou les accidents.
• Surveiller les conditions ambiantes, telles que la température et l’humidité, qui pourraient nuire au
fonctionnement des moyens de traitement de l’information
Exemple de mesures
• Gestion du matériel
• Déterminer l’emplacement du matériel et de le protéger de manière à réduire les
risques liés à des menaces et dangers environnementaux et les possibilités d’accès non
autorisé
• Sécuriser les moyens de stockage contre tout accès non autorisé
• protéger le matériel des coupures de courant
• Maintenir le matériel
• Gérer la sortie des actifs de l’organisation
• Politique du bureau propre et de l’écran verrouillé

32
Q

Sécurité de l’exploitation

A

La sécurité de l’exploitation permet de s’assurer que l’information et les moyens de
traitement de l’information sont protégés contre les logiciels malveillants. Elle garantit
l’intégrité des systèmes en exploitation et empêche toute exploitation des vulnérabilités
techniques

33
Q

Sécurité de l’exploitation exemples de mesures

A

Exemple de mesures
• Procédures d’exploitation documentées
• Gestion des changements :contrôler les changements apportés à l’organisation, aux
processus métier, aux systèmes et moyens de traitement de l’information qui influent sur la
sécurité de l’information
• Séparation des environnements de développement, de test et d’exploitation
• Installation et configuration de logiciels doivent encadrés
• Protection contre les logiciels malveillants
• Sauvegardes doivent êtres régulièrement effectuées et testées
• Journalisation et surveillance
• Journalisation des événements +Activités des administrateurs

34
Q

Sécurité des communications

A

• La sécurité des communications protège l’information qui transite via les réseaux et à
travers les infrastructures informatiques utilisées pour assurer cette sécurité. Elle
maintient la sécurité de l’information circulant à l’intérieur et à l’extérieur de
l’organisation.

35
Q

Sécurité des communications Exemple de mesures

A

Exemple de mesures
• Sécurité des réseaux :
• Contrôle des réseaux :Gestion des équipements réseau ,journalisation , authentification
• Sécurité des services réseaux
• Cloisonnement des réseaux : Les domaines peuvent être choisis à partir des niveaux de
sécurisation (domaine d’accès public, domaine poste de travail, domaine serveur), par service
administratif (ressources humaines, financier, marketing) ou par combinaison. Le cloisonnement
peut être réalisé en utilisant des réseaux physiques différents ou des réseaux logiques
différents (par exemple réseau privé virtuel).
• Transfert de l’information :
• Protéger de manière appropriée l’information transitant par la messagerie électronique.
• revoir régulièrement et de documenter les exigences en matière d’engagements de
confidentialité ou de non-divulgation

36
Q

Acquisition, développement et maintenance des systèmes

d’information

A

• Pour que la sécurité de l’information soit mise en œuvre efficacement, les exigences
de sécurité à satisfaire lors de l’acquisition, du développement, de la mise en place et
de la maintenance d’un actif informationnel doivent être déterminées. Les exigences
de sécurité doivent tenir compte de l’évolution des technologies et des nouveaux
enjeux

37
Q

L’objectif de Acquisition, développement et maintenance des systèmes
d’information

A

• Assurer que la sécurité est incluse dès la phase de conception.
• Prévenir la perte, la modification ou la mauvaise utilisation des informations dans les
systèmes.
• Protéger la confidentialité, l’intégrité et la disponibilité des informations.
• Assurer que les projets et les activités de maintenance sont conduits de manière sûre
• Maintenir la sécurité des systèmes d’application, tant pour le logiciel que pour les
données.

38
Q

exemples de mesures Acquisition, développement et maintenance des systèmes
d’information

page 40

A

Exemple de mesures
• Prise en charge et analyse des exigences de sécurité de l’information
• Gestion des autorisations et de l’authentification
• Protection des transactions applicatives
• Chiffrement des canaux de communication
• Utilisations de protocoles sécurisés;
• Tests de la sécurité pendant le développement.
• Tests de la conformité pendant le développement.
• Protection des données de test

39
Q

Sécurité liées aux fournisseurs

A

La sécurité liée aux relations avec les fournisseurs vise à garantir la protection des actifs de
l’organisation accessibles aux fournisseurs. Elle assure également le maintien du niveau
convenu de sécurité de l’information et de prestation de services, conformément aux
accords conclus avec les fournisseurs.

40
Q

Exemple de mesures Sécurité liées aux fournisseurs

A

• Convenir avec le fournisseur les exigences de sécurité de l’information pour limiter les
risques résultant de l’accès du fournisseur aux actifs de l’organisation et de les documenter
• Surveillance et revue des services des fournisseurs
• Gestion des changements apportés dans les services des fournisseurs

41
Q

Gestion des incidents liées à la sécurité

A

• La gestion des incidents de sécurité de l’information doit garantir une méthode cohérente et
efficace de gestion des incidents liés à la sécurité de l’information, incluant la communication
des événements et des failles liés à la sécurité
• Assurer que les incidents de sécurité sont enregistrés, résolus et qu’un reporting adéquat est
mis en place (ITIL).

42
Q

Exemple de mesures Gestion des incidents liées à la sécurité

A

xemple de mesures
• Signalement des événements liés à la sécurité de l’information
• Signalement des failles liées à la sécurité de l’information

43
Q

Gestion de la continuité de l’activité

A

La continuité de la sécurité de l’information doit faire partie intégrante des systèmes
de gestion de la continuité de l’activité. Elle vise à garantir la disponibilité des moyens
informatiques

44
Q

Exemple de mesures Gestion de la continuité de l’activité

A

Mise en place de plans documentés, des procédures de réponse et de récupération
approuvés, détaillant la manière dont l’organisation gère un événement perturbant et
maintient la sécurité des informations approuvés par la direction
• Mise en place de la redondance des composants et tests périodiques de basculement

45
Q

Conformité

A

La conformité a pour but d’éviter toute violation des exigences et obligations légales,
statutaires, réglementaires ou contractuelles relatives à la sécurité de l’information. Elle doit
garantir une sécurité mise en œuvre et appliquée conformément aux politiques et
procédures organisationnelles.

46
Q

• La conformité se décline en trois volets :

A

• Le respect des lois et réglementations: licences logiciels, propriété intellectuelle, règles
de manipulation des fichiers contenant des informations touchant la confidentialité des
personnes,
• La conformité des procédures en place au regard de la politique de sécurité de
l’organisation, c’est à dire quels dispositifs ont été mis en place pour assurer les objectifs
décrits par la Direction Générale
• L’efficacité des dispositifs de traçabilité et de suivi des procédures en place, notamment
les journaux d’activités, les pistes d’audit, les enregistrements de transaction

47
Q

Directive Nationale de la sécurité des systèmes d’information
DNSSI

A

La DNSSI décrit les mesures de sécurité organisationnelles et techniques qui doivent
être appliquées par les administrations et organismes publics ainsi que les
infrastructures d’importance vitale.
• Pour arrêter les règles de la DNSSI, la DGSSI s’est inspirée de la norme marocaine
NM ISO/CEI27002:2009 et s’est basée sur les résultats de l’enquête menée au mois
de juillet 2013 auprès d’un échantillon représentatif d’administrations et organismes
publics et d’opérateurs d’importance vitale

Qualité (3 decks)

Brainscape helps you reach your goals faster, through stronger study habits.
© 2024 Bold Learning Solutions. Terms and Conditions