TC_3_QUIZZ Flashcards
Quel est le lien entre le référentiel PASSI et le RGS ?
Le référentiel PASSI (Prestataires d’Audit de la Sécurité des Systèmes d’Information) et le RGS (Référentiel Général de Sécurité) sont deux cadres réglementaires français visant à renforcer la sécurité des systèmes d’information, mais ils ont des objectifs et des domaines d’application différents qui se complètent.
Le lien entre le référentiel PASSI et le RGS réside dans leur objectif commun d’améliorer la sécurité des systèmes d’information, en particulier ceux des administrations publiques et des entreprises traitant des informations sensibles. Le RGS impose des exigences de sécurité aux administrations, et pour vérifier la conformité à ces exigences, les administrations peuvent faire appel à des prestataires d’audit qualifiés selon le référentiel PASSI.
Quelles sont les annexes du RGS et leur rôles ?
Le Référentiel Général de Sécurité (RGS) est un ensemble de règles et de recommandations destinées à garantir la sécurité des systèmes d’information des administrations publiques françaises.
Annexe 1 : Glossaire
Annexe 2 : Référentiel de mesures de sécurité
Annexe 3 : Référentiel de qualification des prestataires de services de confiance
Annexe 4 : Cadre de certification
Annexe 5 : Profil de protection
Annexe 6 : Guide d’accompagnement pour la mise en œuvre
Citer un référentiel européen traitant la gestion des certificats
Un référentiel européen traitant de la gestion des certificats est le eIDAS (electronic IDentification, Authentication and trust Services).
eIDAS est le principal cadre européen régissant la gestion des certificats et des services de confiance électronique, assurant une base commune pour la sécurité et l’interopérabilité des transactions électroniques dans l’UE.
Quels sont les documents à produire pour un audit PASSI ?
- Plan d’Audit (PA)
- Rapport d’Audit Initial (RAI)
- Rapport de Tests (RT)
- Rapport Final d’Audit (RFA)
- Fiches d’Anomalies et de Recommandations (FAR)
- Documents de Conformité et Certifications
- Journal des Activités d’Audit (JAA)
- Preuves et Évidences
A quoi sert une fiche d’autorisation d’audit ?
Une fiche d’autorisation d’audit est un document essentiel dans le cadre de la réalisation d’un audit de sécurité des systèmes d’information
- Formalisation de l’Accord pour l’Audit
- Définition de la Portée de l’Audit
- Identification des Parties Prenantes
- Autorisation d’Accès
- Conformité Légale et Réglementaire
- Description des Méthodes et Techniques d’Audit
- Gestion des Risques et Mesures de Sécurité
- Conditions de Confidentialité
- Validation et Signatures
A quoi sert la convention d’audit ?
La convention d’audit est un document contractuel essentiel dans le cadre de la réalisation d’un audit de sécurité des systèmes d’information. Elle établit les termes et les conditions de l’audit, et sert à formaliser les attentes et les responsabilités des parties impliquées.
Same as fiche d’autorisation audit
Un test d’intrusion seul peut il permettre de réaliser une prestation PASSI ?
Non, un test d’intrusion seul ne suffit pas pour réaliser une prestation PASSI complète
Combien de temps peut on conserver à minima la convention d’audit ?
Synthèse
Minimum légal et réglementaire (France) : 10 ans pour les documents commerciaux.
Prescriptions spécifiques au contrat : Vérifier les termes de la convention d’audit.
Bonnes pratiques : Conserver au moins pendant la période de prescription légale des actions civiles, souvent 5 ans, mais 10 ans offre une couverture plus sécuritaire.
En conclusion, conserver la convention d’audit pendant au moins 10 ans est une pratique courante et prudente, assurant le respect des obligations légales et la protection contre d’éventuels litiges futurs
Quelles solutions peut on utiliser pour transférer des données DR ? (Diffusion Restreinte)
a. FTP sécurisé (SFTP/FTPS)
b. Plateformes de partage de fichiers sécurisées
7. Authentification Forte
a. Authentification multi-facteurs (MFA)
b. Certificats numériques et tokens
Transférer des données classifiées “Diffusion Restreinte” nécessite une combinaison de technologies de chiffrement, de réseaux sécurisés, de supports de stockage robustes, et de politiques de sécurité strictes.
Comment faire si le client n’a aucune de ces solutions ?
Si le client ne dispose d’aucune des solutions de sécurité mentionnées, il est crucial d’établir rapidement des moyens de transfert sécurisés pour les données classifiées “Diffusion Restreinte” (DR). Voici les étapes à suivre pour mettre en place des solutions de sécurité efficaces, même en partant de zéro.
En l’absence de solutions de sécurité existantes, il est impératif de commencer par des mesures immédiates, même simples, pour protéger les données classifiées “Diffusion Restreinte”. Par la suite, des investissements progressifs dans des solutions plus robustes et une formation continue permettront de renforcer la sécurité de manière durable.
A quoi correspond l’annexe C du RGS ?
L’annexe C du Référentiel Général de Sécurité (RGS) est une composante spécifique de ce référentiel qui fournit des éléments techniques et des recommandations visant à garantir la sécurité des systèmes d’information des entités publiques françaises
L’annexe C du RGS est centrée sur les exigences relatives à la gestion des certificats électroniques et des infrastructures à clés publiques (PKI).
L’annexe C du RGS est essentielle pour encadrer et sécuriser la gestion des certificats électroniques dans les administrations publiques françaises. Elle fournit un ensemble de directives et de standards qui garantissent la fiabilité, la sécurité, et l’interopérabilité des certificats électroniques, contribuant ainsi à la confiance et à la sécurité des transactions électroniques.
Quelle version du référentiel PASSI est actuellement applicable ?
La version actuellement applicable du référentiel PASSI est la version 2.0.
Quel est le lien entre un programme d’audit et un plan d’audit ?
Le lien entre un programme d’audit et un plan d’audit réside dans leur fonction complémentaire dans le cadre des processus d’audit
En résumé, le programme d’audit définit le “quoi” et le “pourquoi” des activités d’audit sur une période, tandis que le plan d’audit détaille le “comment”, “quand”, et “qui” pour chaque audit spécifique.
Le Français est-elle la langue obligatoire pour les livrables
Oui. Livrables PASSI.
Vous êtes responsable d’audit d’une presta ou il y a toutes les portées et le champ d’audit est le réseau Ethernet. Durant le TI les auditeurs voient un Wi-Fi vulnérable, cassent la clé, se connectent et trouve des Tomcat avec des comptes administrateurs du domaine dans la mémoire vive.
Que-faites vous ?
- Documenter les Observations
- Évaluer l’Impact
- Informer les Parties Prenantes
- Réévaluer la Portée de l’Audit
- Recommandations et Actions Correctives
- Documentation et Suivi
