|
Confidentialité et ergonomie, personnaliser l'accès au SIRH avec RBAC( Télécharger le fichier original )par Christophe THOMAS Université Paris 1 Panthéon Sorbonne - MASTER M2 Management Système d'information et de Connaissances 2008 |
EBIOS : Expression des besoins et identification des objectifs de sécurité
Elle peut être mise en oeuvre par l'expert sécurité de l'organisme et peut s'appliquer à tous les niveaux de la structure d'un système d'information à concevoir ou existant (sous-systèmes, applications). Elle s'articule de la façon suivante :
Figure 17 : La démarche EBIOS globale Chacune des étapes de la démarche est parfaitement décrite dans les documents publiés par le Secrétariat générale de la défense nationale. Elle est disponible à l'adresse suivante : http://www.ssi.gouv.fr/fr/confiance/ebiospresentation.html. Des organigrammes et des check-lists accompagnent chaque étape. Nous ne les détaillerons pas ici et invitons le lecteur à consulter le site du SGDN. Normes et Principes de gestion des habilitations au sein des entreprisesLes habilitations s'appuient le plus souvent sur la norme ISO/IEC 17799-2005. En effet cette norme est un guide des bonnes pratiques en matière de sécurité du système qui a pour objectif de « donner » des recommandations pour gérer la sécurité de l'information à l'intention de ceux qui sont responsables de définir, d'implémenter ou de maintenir la sécurité au sein de l'entreprise. La norme identifie, au chapitre « Contrôles d'Accès Logiques » des objectifs visant à maîtriser les accès au patrimoine informationnel au travers des habilitations fournies par la maitrise d'ouvrage. Sont abordés notamment : · L'inventaire de toutes les informations sensibles accédées par les applications ; · La législation, la réglementation et les engagements contractuels concernant le contrôle d'accès logique ; · Les règles de gestion et d'administration des droits d'accès ; · Les droits d'accès attribués par défaut aux principales catégories de personnel. Alors que la protection juridique semble reposer sur la bonne volonté de chaque intervenant, elle permet de pointer les objets à protéger. Elle est néanmoins insuffisante. La protection technologique fournit l'infrastructure et les outils de protection. Elle semble exhaustive, mais elle est par contre trop complexe, c'est-à-dire composé de nombreux éléments qui forment un ensemble difficile à appréhender. Il y a trop d'éléments qui ne sont pas du périmètre du système d'information des ressources humaines qui est notre système cible. Une solution pourrait être de « nettoyer » la démarche de tout ce qui ne concerne pas la cible. Nous ne choisirons pas cette option et préférons nous investir dans une démarche plus novatrice. Cette approche est moins « stratégique » puisqu'elle se veut plus opérationnelle et tournée vers l'utilisateur final. Plutôt que d'interdire et de lister les menaces, nous allons choisir seulement ce qui est nécessaire à l'activité de l'utilisateur final. Par défaut, il n'aura donc pas accès à ce qui lui est interdit.
Il s'agit de faire de la confidentialité « inconsciente » : vous ne pouvez pas voir ce qui n'est pas de votre périmètre et n'est pas utile à votre tâche. Les gains attendus seront toujours les suivant : ï Assurer l'utilité (économique) : Le système envisagé dans le contexte d'une activité ï Assurer l'utilisabilité (ergonomique) : Le système vu sous l'angle perceptif et cognitif de l'utilisateur ï Assurer l'acceptabilité (sociologique) : Le système vu sous l'angle du sens de l'usage Ici encore, il existe des démarches normalisées. La norme ISO 13407 définit les conditions de la mise en oeuvre d'un processus centré utilisateur Il s'agit de mettre l'utilisateur au coeur de la conception. Cinq principes sous-jacents à cette norme : ï Une préoccupation amont des utilisateurs, de leurs tâches et de leur environnement ï La participation active de ces utilisateurs, ainsi que la compréhension claire de leurs besoins et des exigences liées à leurs tâches ï Une répartition appropriée des fonctions entre les utilisateurs et la technologie ï L'itération des solutions de conception ï L'intervention d'une équipe de conception multidisciplinaire
Figure 18 : Cycle de conception ISO 13407 L'objectif de la Norme ISO 13407 établit en 1999 est d'accroître l'utilisabilité des systèmes, c'est-à-dire de concevoir des applications plus faciles à comprendre et à utiliser en permettant une réduction des frais de formation et de l'assistance technique. Il s'agit aussi de permettre l'augmentation de la satisfaction de l'utilisateur par une diminution des gênes et contraintes. Ceci a comme conséquence une augmentation de la productivité pour les utilisateurs et les entreprises. Avec comme résultat final une meilleure impression de qualité, une esthétique et un impact du produit donnant un avantage par rapport aux concurrents. La norme ISO/TR 16982 définit l'ergonomie de l'interaction homme-système avec les méthodes d'utilisabilité pour la conception centrée sur l'opérateur humain (ISO 2002). Ce document propose un ensemble de méthode basé sur les observations, la mesure des performances, les incidents critiques, les questionnaires et les interviews, des approches créatives comme penser à haute voix ou d'autres méthodes de créativité, des analyses documentaires automatisées ou faisant appel à l'expertise, ainsi que des approches basées sur des modèles. Ces différentes méthodes peuvent avoir chacune leur pertinence aux différentes étapes d'un projet. Tableau 5 : intégration des méthodes ISO/TR 16982 dans le cycle de développement
Source : AFNOR L'ergonomie ne se nourrit pas seulement de normes et de méthodes. Des approches théoriques aident à comprendre les méthodes et à défricher de nouveaux territoires. Ce n'est pas seulement l'interface qui compte, mais l'interaction et les intentions de l'utilisateur: - la séquence d'actions nécessaires pour accomplir une tâche - l'adéquation entre le système et le contexte dans lequel il est utilisé (Beaudouin-Lafon 2000) |
| ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
