11.4.2.4 Stratégie du moindre
privilège
La stratégie du moindre privilège consiste
à s'assurer que chacun dispose de tous les privilèges et
seulement des privilèges dont il a besoin. Par la stratégie du
moindre privilège, la portée de tout acte de malveillance se
trouve réduite par défaut aux privilèges dont dispose la
personne qui le commet. Un moyen de renforcer à l'infini cette technique
consiste à augmenter le nombre d'autorisations nécessaires afin
qu'une opération soit possible. Le principe est que « Un
utilisateur ne dispose que des privilèges dont il a besoin ».
La mise en oeuvre de ce principe simple à énoncer est assez
lourde pour l'entreprise en termes de ressources et de coûts.
11.4.2.5 Stratégie de
confidentialité des flux réseau
Tout message qui doit être émis à
l'extérieur ou vers d'autres réseaux doit être
protégé. Pour y parvenir, le message doit être
chiffré. « Toute communication intersites transitant sur des
réseaux publics est chiffrée si elle contient des données
confidentielles »[8]. Cette stratégie est
généralement appliquée aux réseaux d'entreprise
répartis sur plusieurs sites distants communiquant entre eux par
l'intermédiaire de réseaux publics tels qu'Internet, liaisons
spécialisées, etc.
11.4.2.6 Stratégie de
contrôle régulier
La stratégie de contrôle régulier consiste
à simuler des tentatives de pénétration surprises afin de
vérifier le bon fonctionnement des mécanismes de
sécurité. « L'application de la politique de
sécurité est validée par un contrôle de
sécurité régulier. » Lorsque l'entreprise
s'interconnecte à Internet, elle fait souvent appel à une tierce
partie consultante, censée maîtriser la mise en place de ce
service. Comme l'entreprise ne peut juger de la pertinence de la
sécurité implémentée, elle doit faire
contrôler régulièrement la sécurité par une
tierce partie afin de détecter et de corriger les faiblesses de
sécurité éventuelles.
Après avoir défini les politiques et
stratégies de sécurité réseau, il est important de
sensibiliser les utilisateurs sur l'importance du respect de la politique et
stratégies de sécurité afin qu'ils soient conscients de
leurs responsabilités. Dans la suite nous détaillons l'ensemble
des solutions techniques qu'il est possible de mettre en oeuvre afin de
protéger le réseau et ses services des attaques informatiques.
| 
