Gestion des risques SSI avec la méthode EBIOS®Direction centrale de la sécurité des systèmes d’information Sous-direction des opérations Bureau Conseil [email protected] Gestion des risques SSI avec la méthode EBIOS Plan de la présentation ! "Risque et gestion du risque SSI # "La méthode EBIOS $ "Déroulement de la démarche Bureau Conseil de la DCSSI - 2005 - http://www.ssi.gouv.fr 2 Risque et gestion du risque SSI Bureau Conseil de la DCSSI - 2005 - http://www.ssi.gouv.fr 3 Qu’est-ce que le risque SSI ? ! Définition du risque [Guide ISO/IEC 73] Combinaison de la probabilité d’un événement et de ses conséquences ! Proposition de définition du risque SSI Combinaison : % d'une menace % et des pertes qu'elle peut engendrer c’est-à-dire : [EBIOS] Bureau Conseil de la DCSSI % de l'opportunité de l'exploitation • de vulnérabilités portées par des entités • par un élément menaçant employant une méthode d'attaque % et de l'impact sur les éléments essentiels (atteinte des besoins de sécurité) et sur l'organisme - 2005 http://www.ssi.gouv.fr 4 Du risque au risque SSI Risque SSI (EBIOS) Risque (ISO 73) Probabilité Risque SSI affiné (EBIOS) Opportunité Étapes EBIOS 3 – MENACES 3 – MENACES 1– CONTEXTE 3 – MENACES 3 – MENACES 1– CONTEXTE 2 – BESOINS 2 – BESOINS Menace Événement (ISO 15408) Vulnérabilités Entités Éléments menaçants Méthode d’attaque Éléments essentiels Conséquences Pertes Besoins de sécurité Impacts Bureau Conseil de la DCSSI .gouv.2005 - http://www.fr 5 .ssi. fr 6 .gouv.Exemples de risques SSI Exemple de risque 1 Opportunité Vulnérabilité Entité Élément menaçant Méthode d’attaque Éléments essentiels Besoins de sécurité Impacts (sur l’organisme) Moyenne Faible structure des bâtiments… Tour de bureaux Un avion de ligne Sinistre majeur (chute de l’avion) Ensemble du patrimoine informationnel Disponibilité des éléments essentiels Perte de vies humaines Arrêt de fonctionnement Exemple de risque 2 Élevé Possibilité d’administrer le réseau à distance Réseau WiFi Un pirate expérimenté engagé par un concurrent Piégeage du logiciel (introduction d’un ver) Informations et fonctions présentes sur le réseau Confidentialité et intégrité des éléments essentiels Perturbation du fonctionnement Perte d’avantage concurrentiel Bureau Conseil de la DCSSI .ssi.2005 - http://www. ssi.fr 7 . ! Maîtriser les coûts " Objectivité dans les choix (balance entre ce qu’on peut perdre et le coût pour s’en prémunir) ! Maîtriser la sécurité de ses systèmes d’information " Visibilité.Pourquoi gérer les risques SSI ? ! Lignes directrices de l’OCDE – Vers une culture de la sécurité " Principe d’évaluation des risques " Principe de gestion de la sécurité " Principe de réévaluation ! Réglementation pour le classifié de défense " L’instruction générale interministérielle N°1300 rend la réalisation d’une analyse des risques obligatoire pour tout système traitant des informations classifiées de défense. cohérence et prévention Bureau Conseil de la DCSSI .gouv.2005 http://www. ssi.gouv.2005 http://www.Le processus continu de gestion du risque SSI EBIOS Appréciation du risque "Analyse du risque : "expression des besoins "évaluation de la menace "Évaluation du risque : apprécier son importance Traitement du risque "Refus du risque : se retirer d’une situation à risque "Optimisation du risque : réduire le risque "Transfert du risque : partager les pertes "Prise de risque : dégager le risque résiduel Réitération du processus Acceptation du risque "Homologation Communication relative au risque Bureau Conseil de la DCSSI .fr 8 . gouv.ssi.Des risques aux mesures de sécurité avec EBIOS EBIOS Risques transférés Objectifs Exigences de sécurité de sécurité Risques SSI Mesures de (cahier des (cahier des sécurité charges charges « ouvert ») « fermé ») Risques résiduels Bureau Conseil de la DCSSI .fr 9 .2005 - http://www. séparation des flux.ssi.gouv.2005 - ! Les exigences d’assurance " Exemples : évaluation/certification. audit régulier. inspection… http://www. optimisation. humain ou environnemental " Cause accidentelle ou délibérée ! Les exigences fonctionnelles " Exemples : cloisonnement. bout en bout… ! L’attaque (vecteur) " Méthode d’attaque " Vulnérabilités " Opportunité Bureau Conseil de la DCSSI . transfert ou prise de risque " Prise en compte des règles de sécurité.Appréciation et traitement des risques SSI ANALYSE DU RISQUE ! Les biens (cible) " Entités " Éléments essentiels % Besoins de sécurité % Impacts sur l’organisme ÉVALUATION ET TRAITEMENT DU RISQUE ! Les objectifs de sécurité " Refus. hypothèses. références réglementaires… ! Les éléments menaçants (typologie des attaquants) " Type naturel. contraintes.fr 10 . bout en bout… ! L’attaque (vecteur) Étape 3 – Étude des menaces Étape 5 – Détermination des ! Les exigences exigences ded’assurance sécurité " Exemples : évaluation/certification. références réglementaires… Étape 1 – Étude du contexte " Entités " Éléments essentiels Étape 2 – Étude des % Besoins de sécurité besoins desur sécurité % Impacts l’organisme ! Les éléments menaçants (typologie des attaquants) " Type naturel. transfert ou 4 prise de risque Étape – Identification des " Prise en compte des règles de objectifs de sécurité sécurité. séparation des flux.ssi. hypothèses.2005 - ! Les exigences fonctionnelles " Exemples : cloisonnement. contraintes. humain ou environnemental " Cause accidentelle ou délibérée " Méthode d’attaque " Vulnérabilités " Opportunité Bureau Conseil de la DCSSI .L’équilibre sécuritaire : la gestion du risque avec la méthode EBIOS ANALYSE DU RISQUE ! Les biens (cible) ÉVALUATION ET TRAITEMENT DU RISQUE ! Les objectifs de sécurité " Refus.fr 11 . inspection… http://www.gouv. audit régulier. optimisation. Améliorer Mesure de performance Actions correctives etc.Système de gestion de la sécurité de l’information EBIOS Planifier Appréciation du risque Traitement du risque etc.ssi. Mettre en œuvre Mise en œuvre Gestion des ressources etc.fr 12 . Bureau Conseil de la DCSSI . Vérifier Vérification des risques Audit etc.gouv.2005 http://www. gouv.2005 - http://www.ssi.fr 13 .CONTEXTE BESOINS MENACES OBJECTIFS DE SECURITE EXIGENCES DE SECURITE La méthode EBIOS Bureau Conseil de la DCSSI . guide ISO 73.Contexte et historique ! Depuis 1995 " Emploi de la méthode EBIOS dans le cadre de projets variés au sein des administrations et du secteur privé. en France et à l’étranger CONTEXTE ! 2000-2001 " Conception et réalisation de du logiciel d’assistance " Convergence vers normes internationales (ISO 15408. ISO 17799…) BESOINS MENACES OBJECTIFS DE SECURITE ! 2003 " Création du Club EBIOS " Amélioration des bases de connaissances EXIGENCES DE SECURITE ! 2004 " Publication de la méthode EBIOSv2 " Publication du logiciel EBIOSv2 ! 2005 " Traduction du référentiel EBIOSv2 Bureau Conseil de la DCSSI .gouv.2005 http://www.ssi.fr 14 . La convergence vers l’ISO/IEC 15408 ! Actualisation et internationalisation par une adaptation de la méthode à l’ISO/IEC 15408 (notions d’hypothèse. de politiques de sécurité organisationnelle. d’exigences…) ! Plus loin dans la démarche de sécurisation avec détermination d’exigences de sécurité fonctionnelles d’assurance la et ! Une plus grande homogénéité dans la formulation des objectifs et des exigences de sécurité ! Encore plus de rigueur avec l’analyse systématique des couvertures et élaboration d’un argumentaire Bureau Conseil de la DCSSI .gouv.2005 - http://www.ssi.fr 15 . de méthodes d’attaque et de vulnérabilités ($ Outillage pour le traitement des risques SSI " Bases d’objectifs de sécurité et d’exigences de sécurité [EBIOS] http://www.gouv.2005 http://www.Le contenu du guide EBIOS # $ Introduction " Contexte. positionnement.ssi.html Bureau Conseil de la DCSSI .gouv.ssi. glossaire… %$ Démarche " Fiches synthétiques descriptives des activités de la méthode &$ Techniques " Propositions de moyens pour réaliser les activités de la méthode ' $ Outillage pour l’appréciation des risques SSI " Bases d’entités.fr/fr/confiance/ebiospresentation.fr 16 . vulnérabilités.Le logiciel d’assistance ! Le logiciel apporte une aide conséquente à la tâche de l’utilisateur en lui permettant : " de consigner les résultats des études. XML) " Le logiciel et ses sources sont disponibles gratuitement en téléchargement ou sur demande (ebios. Java.2005 - http://www. note stratégique SSI… " d’apprendre intuitivement à se servir du logiciel à l’aide du module d’autoformation (étude de cas @rchimed) " de personnaliser les bases de connaissances (entités. FEROS.pm. synthèse de FEROS.ssi. de produire les divers tableaux et d’effectuer certains calculs automatiquement " de préparer des documents de synthèse : dossier d'étude. métriques. PSSI.fr) et modifiables dans la mesure où un retour à la DCSSI est effectué Bureau Conseil de la DCSSI .gouv.dcssi@sgdn. exigences de sécurité…) ! Ce logiciel est sous licence libre (UML.fr 17 .gouv. méthodes d’attaque. SDSSI % Note de stratégie de sécurité % Politique SSI .gouv.PSSI " Des spécifications adaptées et justifiées % % % % % % Fiche d’expression rationnelle des objectifs de sécurité .fr 18 . pour un système d’information ou un produit de sécurité Des plans d’actions Politique de certification .ssi.2005 http://www.SSRS (au sens OTAN) Profil de protection .TDBSSI Bureau Conseil de la DCSSI .PC " Des livrables nécessaires à des démarches globales % Mise en œuvre du BS 7799 % Élaboration de tableaux de bord SSI .critères communs) Cible de sécurité.Pourquoi EBIOS ? (1/2) ! Tous types d’études : système existant et système à concevoir ! Exemples de livrables possibles " Des documents fondateurs de la SSI % Schéma directeur SSI .FEROS System-specific Security Requirement Statement .PP (au sens de l’ISO 15408 . 2005 - http://www.ssi. souple et cohérente " un outil de négociation et d’arbitrage dans le processus SSI " un moyen d’unifier vocabulaire. ISO/IEC 17799…) Bureau Conseil de la DCSSI . concepts et interprétation du système " un moyen d’impliquer tous les acteurs et de les responsabiliser " un outil compatible avec les méthodes existantes et les normes internationales (MASSIA.gouv. ISO/IEC 15408.Pourquoi EBIOS ? (2/2) ! EBIOS est aussi bien plus que cela : " une méthode de raisonnement simple.fr 19 . gouv.fr 20 .ssi.Résultats de la méthode EBIOS SDSSI PSSI TDBSSI Note de stratégie FEROS PP Cible Cahier des charges Plan d’action Négociation & arbitrage Bureau Conseil de la DCSSI .2005 - Responsabiliser les acteurs http://www. MISIS. EADS. OPPIDA.2005 - http://www. DICTAO. EXENSE. encouragé partout ailleurs) " L’ensemble des ministères et industriels dès lors qu’un système traite des informations classifiées de défense " Aéroports de Paris (ADP) " Agences sanitaires " Caisse nationale d’assurance maladie (CNAM) " Centre national d'études spatiales (CNES) " Commissariat à l'énergie atomique (CEA) " Conseil de l’Union européenne " France Télécom " GIE cartes bancaires " Michelin Bureau Conseil de la DCSSI . TEAMLOG.Qui utilise la méthode ? ! Exemples de prestataires (par ordre alphabétique) " ALCATEL CIT. XP-CONSEIL ! Exemples d’organismes utilisateurs ou clients " Ministères (systématiquement dans certains. AQL. ALGORIEL. FIDENS.ssi.gouv. ON-X / EDELWEB. TELINDUS / CF6.fr 21 . experts.2005 http://www.fr 22 .Les facteurs de coût d’une étude ! La durée dépend de plusieurs paramètres " " " " " " " " " " Le niveau de détail (donc la finalité) Les ressources disponibles (équipe projet. chef de projet…) L'implication de la Direction La connaissance du système étudié La complexité du système à étudier La qualité du référentiel (SI et SSI) L'outillage (par exemple le logiciel EBIOS) Le niveau d'achèvement du système (à concevoir ou existant) La disponibilité des acteurs… ! L’étude peut être menée de différentes manières " Elle peut être réalisée par une équipe interne " Elle peut être réalisée par un prestataire externe " La DCSSI peut jouer un rôle d’assistance à la maîtrise d’ouvrage sur demande du HFD ou du FSSI Bureau Conseil de la DCSSI . assistance à maîtrise d'ouvrage…) La structuration du projet (comité de pilotage.gouv.ssi. Exemples de niveaux de détails selon la finalité Étapes EBIOS Étude du contexte Expression des besoins de sécurité Étude des menaces Identification des objectifs de sécurité Détermination des exigences de sécurité PP/Cible Détaillé Détaillé Détaillé Détaillé Détaillé FEROS Détaillé Détaillé Détaillé Détaillé Aucun PSSI Moyen Moyen Moyen à détaillé Faible Faible Schéma directeur Détaillé Faible Faible Faible Optionnel Bureau Conseil de la DCSSI .gouv.2005 - http://www.fr 23 .ssi. gouv.fr 24 .Déroulement de la démarche Bureau Conseil de la DCSSI .2005 - http://www.ssi. 2005 - http://www.gouv.CONTEXTE BESOINS MENACES L’étude du contexte (1/3) OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Quel est le contexte de la mission du SI ? CONTEXTE ! Quelles sont les enjeux et les contraintes ? BESOINS MENACES ! Activités de l’étape OBJECTIFS DE SECURITE EXIGENCES DE SECURITE " Étude de l’organisme " Étude du système-cible " Détermination de la cible de l’étude de sécurité Bureau Conseil de la DCSSI .fr 25 .ssi. d'ordre culturel. de temps. d'ordre calendaire. d'ordre stratégique. structurelles. fonctionnelles. financières.ssi.fr 26 .gouv. relatives au personnel. techniques. d'environnement. relatives aux méthodes.2005 http://www. organisationnelles Bureau Conseil de la DCSSI . territoriales. relatives aux méthodes. d'ordre budgétaire " Les références réglementaires " Une description fonctionnelle du SI global ! Au niveau du système-cible " " " " " " " Une présentation synthétique Les enjeux Les éléments essentiels Une description fonctionnelle du système-cible Les hypothèses Les règles de sécurité Les contraintes % d'antériorité. conjoncturelles.CONTEXTE L’étude du contexte (2/3) Identifier les caractéristiques de l’organisme et celles spécifiques au système-cible ! Au niveau de l’organisme " Les contraintes BESOINS MENACES OBJECTIFS DE SECURITE EXIGENCES DE SECURITE % d'ordre politique. CONTEXTE BESOINS MENACES L’étude du contexte (3/3) Eléments essentiels et entités ! Dégager les éléments essentiels du contexte et distinguer les informations des fonctions " Exemples : plan technique.2005 - http://www.ssi.fr 27 . création de visualisation… OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Dégager les entités du contexte et les typer en vue d'exploiter les bases de connaissances " Exemples : % % % % % % Logiciel/Système d’exploitation Matériels/Supports de traitement de données/Matériels transportables Réseaux/Médiums et supports Personnel/Développeur Site/Lieu Organisation/Organisation de projet ! Le lien entités-éléments essentiels " Circonscrire le risque aux seuls biens concernés Bureau Conseil de la DCSSI .gouv. fr 28 .ssi. confidentialité…) ? ! Activités de l’étape " Réalisation des fiches de besoins " Synthèse des besoins de sécurité OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Bureau Conseil de la DCSSI .CONTEXTE BESOINS MENACES L’expression des besoins de sécurité (1/3) OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Quelle est l’échelle de référence ? Éléments essentiels CONTEXTE Entités Caractéristiques du contexte BESOINS MENACES ! Quels sont les besoins de sécurité des informations et des fonctions (en termes de disponibilité. intégrité.2005 - http://www.gouv. CONTEXTE BESOINS MENACES L’expression des besoins de sécurité (2/3) Définir une échelle de besoins de sécurité représentative.2005 http://www.ssi. explicite et non ambiguë pour les besoins de sécurité ! Disponibilité " " OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Propriété d'accessibilité au moment voulu des éléments essentiels par les utilisateurs autorisés Exemple d’échelle ! " # " $ " & " Plus d’une semaine Plus d’une journée Dans la journée Moins d’une heure ! Intégrité " " Propriété d'exactitude et de complétude des éléments essentiels Exemple d’échelle ) $ Faible besoin d’intégrité ) ) $ Fort besoin d’intégrité ! Confidentialité " " Propriété des éléments essentiels de n'être accessibles qu'aux utilisateurs autorisés Exemple d’échelle ' " ( " ) " *" Public Restreint (équipe) Confidentiel (projet) Secret (directeur) .fr 29 Bureau Conseil de la DCSSI .gouv. selon chaque impact ? ! Obtenir un consensus sur les besoins de sécurité exprimés par les participants " Les plus à même d’exprimer des besoins pertinents sont les utilisateurs et la maîtrise d’ouvrage Bureau Conseil de la DCSSI .ssi.fr 30 . de confidentialité… " Quelle est la valeur limite acceptable.CONTEXTE BESOINS MENACES L’expression des besoins de sécurité (3/3) ! Identifier et personnaliser des impacts pertinents en fonction du contexte " Que veut-on le plus éviter pour l’organisme ? OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Pour chaque élément essentiel. déterminer les besoins de sécurité en fonction des impacts et de l’échelle de disponibilité. d'intégrité.2005 http://www.gouv. dans l’échelle. ssi.CONTEXTE BESOINS MENACES L’étude des menaces (1/4) ! Quels sont menaçants et d’attaque ? les leurs OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Éléments essentiels CONTEXTE Entités éléments méthodes Caractéristiques du contexte BESOINS MENACES ! Sur quelles vulnérabilités peuventils s’appuyer ? ! Activités de l’étape " Étude des origines des menaces " Étude des vulnérabilités " Formalisation des menaces Échelle de besoins Impacts Besoins de sécurité OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Bureau Conseil de la DCSSI .gouv.fr 31 .2005 - http://www. RÉCUPÉRATION DE SUPPORTS RECYCLÉS OU MIS AU REBUS 23.ATTEINTE À LA MAINTENABILITÉ DU SYSTÈME D'INFORMATION 33.DIVULGATION 24.INTERCEPTION DE SIGNAUX PARASITES COMPROMETTANTS 18.USURPATION DE DROIT 41.DYSFONCTIONNEMENT LOGICIEL 32.ALTÉRATION DES DONNÉES 37-TRAITEMENT ILLICITE DES DONNÉES 38.DÉFAILLANCE DE LA CLIMATISATION 12.DYSFONCTIONNEMENT DU MATÉRIEL 30.PHÉNOMÈNE MÉTÉOROLOGIQUE 10.PHÉNOMÈNE SISMIQUE 8.POLLUTION 4.ATTEINTE À LA DISPONIBILITÉ DU PERSONNEL Les méthodes d’attaque affectent la disponibilité et/ou l’intégrité et/ou la confidentialité Bureau Conseil de la DCSSI .VOL DE SUPPORTS OU DE DOCUMENTS 21.GÉOLOCALISATION 28.ssi.fr 32 .SINISTRE MAJEUR 5.VOL DE MATÉRIELS ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! OBJECTIFS DE SECURITE EXIGENCES DE SECURITE 22.PIÉGEAGE DU LOGICIEL 27.UTILISATION ILLICITE DES MATÉRIELS 34.PERTE D'ALIMENTATION ÉNERGÉTIQUE 13PERTE DES MOYENS DE TÉLÉCOMMUNICATIONS 14.SATURATION DU SYSTÈME INFORMATIQUE 31.COPIE FRAUDULEUSE DE LOGICIELS 35.gouv.DÉGÂTS DES EAUX 3.RAYONNEMENTS THERMIQUES 16.PANNE MATÉRIELLE 29.ÉCOUTE PASSIVE 20.CRUE 11.INCENDIE 2.CONTEXTE BESOINS MENACES L’étude des menaces (2/4) Sélectionner parmi les 42 méthodes d'attaque du guide EBIOS celles qui sont pertinentes ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! ! 1.ESPIONNAGE À DISTANCE 19.PIÉGEAGE DU MATÉRIEL 26.IMPULSIONS ÉLECTROMAGNÉTIQUES (IEM) 17.2005 http://www.INFORMATIONS SANS GARANTIE DE L'ORIGINE 25.UTILISATION DE LOGICIELS CONTREFAITS OU COPIÉS 36.RAYONNEMENTS ÉLECTROMAGNÉTIQUES 15.RENIEMENT D'ACTIONS 42.DESTRUCTION DE MATÉRIELS OU DE SUPPORTS 6.PHÉNOMÈNE VOLCANIQUE 9.ABUS DE DROIT 40.ERREUR D'UTILISATION 39.PHÉNOMÈNE CLIMATIQUE 7. fr 33 .ssi.2005 - http://www.CONTEXTE BESOINS MENACES L’étude des menaces (3/4) Caractériser les méthodes d'attaque retenues selon les éléments menaçants susceptibles de les utiliser Éléments menaçants Méthodes d’attaque Sinistre majeur OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Exemple 1 Piégeage du logiciel Exemple 2 Bureau Conseil de la DCSSI .gouv. CONTEXTE BESOINS MENACES L’étude des menaces (4/4) Déterminer les vulnérabilités pertinentes selon les méthodes d'attaque retenues et les entités de l'organisme concernées OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Entités Postes fixes Vulnérabilités .Matériels amorçables par tous à partir d’un périphérique Système d’exploitation et logiciels .fr 34 .Possibilité de créer ou modifier des commandes système .2005 - http://www.ssi. de modifier ou d’installer de nouveaux programmes Réseaux .Le réseau facilite l’utilisation des ressources par des personnes non autorisées Élément menaçant Employé (involontaire) Méthode d’attaque Piégeage du logiciel Bureau Conseil de la DCSSI .gouv.Possibilité d’effacer. fr 35 .gouv.ssi.2005 - http://www.CONTEXTE BESOINS MENACES Identification des objectifs de sécurité (1/8) OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Quels sont les risques qui pèsent réellement sur l’organisme ? Éléments essentiels CONTEXTE Entités Caractéristiques du contexte BESOINS MENACES ! Que peut faire l’organisme pour couvrir ces risques ? M éthodes d’attaque Éléments menaçants Vulnérabilités M enaces Échelle de besoins Impacts Besoins de sécurité ! Activités de l’étape " Confrontation des menaces aux besoins " Formalisation des objectifs de sécurité " Détermination des niveaux de sécurité OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Bureau Conseil de la DCSSI . intégrité.fr 36 . alors les besoins de sécurité touchés par les menaces concernées sont nuls " Si un critère de sécurité peut être affecté par une méthode d’attaque.ssi. alors les besoins de sécurité touchés par les menaces concernées sont égaux aux besoins de sécurité des éléments essentiels Bureau Conseil de la DCSSI .2005 http://www.gouv.CONTEXTE BESOINS MENACES Identification des objectifs de sécurité (2/8) Déterminer les risques OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Récapitulatif " Les besoins de sécurité des éléments essentiels (information ou fonction) sont exprimés en termes de disponibilité. confidentialité… " Les méthodes d’attaque (chaque menace concerne une méthode d’attaque) peuvent affecter la disponibilité et/ou l’intégrité et/ou la confidentialité… ! Règles pour la confrontation des menaces aux besoins " Si un critère de sécurité ne peut pas être affecté par une méthode d’attaque. fr 37 .VOL DE MATÉRIELS 23 .ÉCOUTE PASSIVE 20 .Illustration Besoins de sécurité de la Visualisation 3D Critères de sécurité concernés Disponibilité Intégrité Confidentialité 01.2005 - http://www.ssi.gouv.VOL DE SUPPORTS OU DE DOCUMENTS 21 .DIVULGATION 26 .CONTEXTE BESOINS MENACES Identification des objectifs de sécurité (3/8) Déterminer les risques .ATTEINTE À LA DISPONIBILITÉ DU PERSONNEL X X X X X X X X X X X 2 2 2 2 X 2 2 0 0 0 0 0 OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Élément essentiel : Visualisation 3D 2 2 Risque 0 Disponibilité Intégrité Confidentialité 2 Bureau Conseil de la DCSSI .INCENDIE 13 .PERTE DES MOYENS DE TÉLÉCOMMUNICATION 19 .PIÉGEAGE DU LOGICIEL 42 . ssi.CONTEXTE BESOINS MENACES Identification des objectifs de sécurité (4/8) Rédiger les risques OBJECTIFS DE SECURITE EXIGENCES DE SECURITE Éléments essentiels (et besoins de sécurité) Impacts sur l’organisme Besoins Risques Bureau Conseil de la DCSSI .2005 - http://www.gouv.fr 38 . CONTEXTE BESOINS MENACES Identification des objectifs de sécurité (5/8) Rédiger et hiérarchiser les risques OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Composition idéale d’un risque " Élément(s) menaçant(s) + méthode d’attaque + opportunité + vulnérabilité(s) + entité(s) + élément(s) essentiel(s) + besoins de sécurité + impact(s) ! Pourquoi le formuler ainsi ? " Compréhension & justification ! Pourquoi les hiérarchiser ? " Pour les traiter dans l’ordre d’importance ! Deux critères de hiérarchisation des risques # $ Les pertes estimées : besoins de sécurité concernés %$ La possibilité d’occurrence de l’événement : opportunité des menaces Bureau Conseil de la DCSSI .2005 http://www.ssi.gouv.fr 39 . 2005 http://www.gouv.fr 40 .ssi.CONTEXTE BESOINS MENACES Identification des objectifs de sécurité (6/8) Définir des objectifs de sécurité pour couvrir les risques OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Un objectif de sécurité formalise " un but (quoi ?) " un cahier des charges « ouvert » " l’expression de la maîtrise d’ouvrage ! Deux manières de formuler les objectifs de sécurité " Formulation « il ne faut pas que le risque arrive » % Avantages : exhaustif. laisse toute latitude à la maîtrise d’œuvre pour proposer des mesures % Limite : trop de latitude dans certains cas (appel d’offres) " Formulation orientée % Avantages : prise en compte de choix déjà réalisés. cadrage des choix % Limites : induit des risques résiduels (ne laisse la possibilité de traiter qu’une partie du risque) Bureau Conseil de la DCSSI . fr 41 .gouv.CONTEXTE Identification des objectifs de sécurité (7/8) S'assurer que les risques sont couverts Mettre en évidence les risques résiduels BESOINS MENACES OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Intérêts de la justification de la couverture des risques " Traçabilité " Mise en évidence des risques résiduels " Vérification & cohérence " Respect de l’ISO/IEC 15408 (critères communs) pour rédiger un profil de protection ou une cible de sécurité Bureau Conseil de la DCSSI .ssi.2005 - http://www. CONTEXTE Identification des objectifs de sécurité (8/8) S'assurer que les risques sont couverts Mettre en évidence les risques résiduels BESOINS MENACES OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Une 1ère justification doit démontrer que les objectifs de sécurité " couvrent suffisamment tous les risques " couvrent les règles de sécurité (et références réglementaires) " sont pertinents vis-à-vis des hypothèses (et des enjeux) Cette démonstration de couverture se fait généralement sous la forme d’un tableau % En lignes : la liste des risques (et des caractéristiques du contexte) % En colonnes • Les objectifs de sécurité contribuant à la couverture de chaque risque • Une justification rédigée décrivant comment les objectifs de sécurité traitent le risque • La liste des éventuels risques résiduels ! Une 2ème justification doit démontrer que chaque objectif de sécurité est utilisé Bureau Conseil de la DCSSI .ssi.fr 42 .2005 http://www.gouv. ssi.fr 43 .2005 - http://www.gouv.CONTEXTE BESOINS MENACES Les exigences de sécurité (1/4) OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Comment spécifier la sécurité à mettre en œuvre ? Éléments essentiels CONTEXTE Entités Caractéristiques du contexte BESOINS MENACES ! Comment garantir que le niveau de sécurité attendu sera atteint ? M éthodes d’attaque Éléments menaçants Vulnérabilités M enaces Échelle de besoins Impacts Besoins de sécurité ! Activités de l’étape " Détermination des exigences de sécurité fonctionnelles " Détermination des exigences de sécurité d’assurance OBJECTIFS DE SECURITE Risques Objectifs de sécurité Démonstration de couverture EXIGENCES DE SECURITE Bureau Conseil de la DCSSI . ssi.gouv.CONTEXTE BESOINS MENACES Les exigences de sécurité (2/4) Définir les exigences de sécurité fonctionnelles satisfaisant les objectifs de sécurité OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Comment les exigences de sécurité peuvent-elles traiter les risques SSI ? Principaux types de mesures Prévision et préparation Dissuasion Protection Détection Confinement "Lutte" Récupération Restauration Compensation Composantes principales du risque Origine des menaces Conséquences (méthodes d!attaque (éléments essentiels Vulnérabilités et éléments et impacts sur menaçants) l'organisme) X X X X X X X X X X X X X X Bureau Conseil de la DCSSI .fr 44 .2005 - http://www. exigences ou mesures (PSSI.fr 45 . PC!. règles.ssi.CONTEXTE BESOINS MENACES Les exigences de sécurité (3/4) Définir les exigences de sécurité fonctionnelles satisfaisant les objectifs de sécurité OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! Comment déterminer des exigences de sécurité fonctionnelles ? " En les choisissant et éventuellement en les adaptant % des bases de connaissances de la méthode EBIOS % de l’ISO/IEC 15408 (critères communs) % de divers autres catalogues de principes.gouv.2005 - http://www. ISO/IEC 17799. ITBPM…) " En les créant de toute pièce Bureau Conseil de la DCSSI . gouv. il doit être démontré ici " que les exigences de sécurité fonctionnelles couvrent suffisamment tous les objectifs de sécurité (en mettant en évidence les éventuels risques résiduels) " que chaque exigence de sécurité fonctionnelle est utilisée ! Cette démonstration permet de garantir " la traçabilité (possibilité de remonter des exigences de sécurité jusqu’aux impacts) " la mise en évidence des risques résiduels " la vérification et la cohérence des exigences de sécurité " le respect de l’ISO/IEC 15408 (critères communs) pour rédiger un profil de protection ou une cible de sécurité Bureau Conseil de la DCSSI .CONTEXTE BESOINS MENACES Les exigences de sécurité (4/4) S'assurer que les objectifs de sécurité sont satisfaits Mettre en évidence les risques résiduels OBJECTIFS DE SECURITE EXIGENCES DE SECURITE ! De la même manière que pour la couverture des risques et caractéristiques du contexte.2005 - http://www.ssi.fr 46 . ssi.2005 - http://www.Synthèse de la démarche EBIOS Éléments essentiels Entités Caractéristiques du contexte Échelle de besoins Impacts Besoins de sécurité Risques Objectifs de sécurité Démonstration de couverture Méthodes d’attaque Éléments menaçants Vulnérabilités Menaces Exigences de sécurité Démonstration de couverture Bureau Conseil de la DCSSI .gouv.fr 47 . CONCLUSION ! EBIOS est une méthode d’appréciation et de traitement des risques SSI.2005 - http://www.ssi.fr 48 . cible de sécurité.gouv. spécifications pour la maîtrise d’œuvre. politique de sécurité. efficace et souple. plan d’action… " d’impliquer tous les acteurs et d’effectuer des arbitrages Bureau Conseil de la DCSSI . disposant d’un outillage gratuit et permettant d’exprimer des objectifs et exigences de sécurité afin " de contribuer à des démarches SSI globales : schéma directeur. tableaux de bord… " de rédiger des spécifications SSI : FEROS. PP.