V.2. La sécurité du système
d'information (SSI)
V.2.0. Introduction
Les systèmes d'information sont de plus en plus
imbriqués au coeur de la vie des entreprises et des différents
corps de l'Etat. Les enjeux stratégiques et économiques
liés à l'écoute de réseau de communication et
l'impact médiatique des attaques informatiques sont tels que la
définition et la mise en oeuvre d'une politique de
sécurité sont devenues une activité de tout premier plan
qu'il est aujourd'hui impossible d'ignorer.
Au coeur du bon fonctionnement des entreprises et de l'Etat,
les systèmes d'information sont devenus des cibles d'attaques
informatiques privilégiées (virus, intrusion, usurpation, etc.)
dont l'impact est extrêmement préjudiciable à
l'organisation. Nous citerons par exemple, la divulgation des secrets
industriels. Toutes ces attaques, menacent quotidiennement la vie des
entreprises.
Que dire des organisations militaires ou diplomatiques ; du
domaine bancaire ou médical ? Et même pour un particulier, la
sécurité informatique devient un souci notamment lors de ses
achats ou de sa gestion de ses comptes bancaires en ligne. Qu'est alors la
sécurité informatique ?
La sécurité dans un système d'information
consiste à s'assurer que celui qui consulte ou modifie les informations
en a l'autorisation et le fait dans le cadre établi.
Il s'agira concrètement dans cette section, de parler
de : pourquoi la vulnérabilité des systèmes d'information,
quelques méthodes pour se protéger contre les attaques, et nous
finirons par la présentation de la sécurité minimale et
globale de notre application ainsi que la maquette de cette
sécurité.
V.2.1. Pourquoi les systèmes sont-ils
vulnérables ?
Les systèmes de sécurité sont faits,
gérés et configurés par des hommes (ERRARE HUMANUM EST !)
;
la sécurité et cher. Manque de budget;
la sécurité ne peut pas être sûre
à 100 % ;
de nouvelles technologies émergent chaque jour ;
l'interdiction de la cryptographie dans certains cas dans
certains pays ;
on peut attaquer même la sécurité du
système d'information ;
la faiblesse de la cryptographie : cassure de mot de passe et de
clé publique ;
les erreurs trouvées dans le système
d'exploitation.
V.2.2. Méthodes de défense
Authentification
Vérifier la véracité des utilisateurs, du
réseau et des documents. Ceci-ci consiste à déterminer
l'authenticité de ceux qui accèdent au système.
L'authentification des utilisateurs permet la non-répudiation des
données. Cette opération peut utiliser plusieurs techniques :
- PIN (mot de passe, login) ;
- Carte à puce ;
- Caractéristiques physiques (empreintes digitales,
reconnaissance vocale, ou par visage) : biométrie.
-
L'accès à un système d'information par mot
de passe et login est la solution la plus simple et la plus utilisée.
Parlons-en donc.
Un mot de passe doit avoir certaines caractéristiques :
avoir une longueur d'au moins huit caractère, comporter plusieurs signes
non alphabétiques, être changé très
régulièrement, il ne doit pas être facilement devinable
(nom post nom, adresse, la date de naissance, numéro de
téléphone).
La cryptographie
[lle consiste à rendre les informations non accessibles
par les tiers ; confidentialité des informations.
Le contrôle d'accès aux
ressources
L'accès aux ressources doit être
contrôlé. Il s'agira même de l'accès physiques. Le
serveur de l'entreprise par exemple doit se localiser dans une salle
protégée à clé et dans une zone
sécurisée.
Un firewall et Proxy
Sachant que la connexion du réseau local à
l'Internet augmente le risque des attaques, un firewall est alors
nécessaire pour protéger le réseau local de
l'extérieur. [n fait, un firewall consiste à filtrer les paquets
entrants et sortants entre le réseau interne et le monde
extérieur. Car, le firewall ne permet l'entrée et la sortie
qu'aux adresses autorisées. [n dehors de ces adresses autorisées,
tout autre requête se verra refuse l'accès ou la sortie.
S'agissant du proxy, il joue le même rôle que le
firewall. Cependant, un firewall peut faire passer une adresse obtenue par
usurpation d'identité (Ipspofing). Or, le proxy permet de masquer les
identités des utilisateurs internes. Un peu comme un porte-parole. Il
joue l'intermédiaire entre l'interne et l'externe. C'est une sorte de
mandat qu'on remet à proxy d'agir au nom des utilisateurs
~ 78 ~ internes moyennant une procuration,
Logiciels anti virus
Nous voulons souligner avant de continuer que 2 sur 3 des
attaquants sont et/ou proviennent des virus.
Qu'est- ce que alors un virus ?
Un virus informatique est un petit programme conçu pour
contaminer un maximum de fichiers sur une machine et, potentiellement
réaliser des actions illicites (destruction des informations,
modifications, récolte des informations stockées sur le disque
dur). Les virus se cachent souvent à l'intérieur de fichiers
exécutables. (.com, .exe) mais également dans tous les documents
pouvant contenir des macros (Ms office par exemple). Ils s'activent à
l'exécution de ces fichiers. Pour ne pas être
détecté, certains virus sont mêmes capables de changer
d'apparences ou de chiffrer automatiquement leur code (virus de type
polymorphe). Il s transmet souvent via des disques amovibles, rarement via le
réseau (e-mail, fichier joint, page web).
| 
