Etude De Cas Iso 27001

NORMES JNS’2 Marrakech Ahmed BADER 21 avril 2012 SOMMAIRE • • • • • • Contexte cyber-guerre, cyber-crime…. Définitions & vocabulaire Pourquoi une Méthode ? Analyse des risques SI: Démarche globale ISO 27001 et le management des risuqes Les METHODES & NORME • EBIOS • MEHARI • OCTAVE • CRAMM • ISO 27005 Choix d’une méthode Conclusion • • CONTEXTE ACTUEL Cyber-guerre & cyber-crime CONTEXTE : CYBER-GUERRE, CRIME, … • le Ministère de l’Economie et des Finances annonce avoir subi une attaque visant

BADER 21 avril 2012 SOMMAIRE • Contexte cyber-guerre, cyber-crime…. • Définitions & vocabulaire • Pourquoi une Méthode ? • Analyse des risques SI: Démarche globale • ISO 27001 et le management des risuqes • Les METHODES & NORME • EBIOS • MEHARI • OCTAVE • CRAMM • ISO 27005 • Choix d’une méthode • Conclusion CONTEXTE ACTUEL Cyber-guerre & cyber-crime CONTEXTE : CYBER-GUERRE, CRIME, … • le Ministère de l’Economie et des Finances annonce

LES FOCUS SOLUCOM ISO 27001 : Les clés d’une mise en œuvre efficace The power of simplicity « Ce qui est simple est fort » ISO 27001 ISO 27001 : Les clés d’une mise en œuvre efficace Aujourd’hui la norme ISO 27001 est indéniablement devenue le modèle de gouvernance de la sécurité de l’information. Amenant un pilotage de la sécurité par les risques couplé à une approche système de management, elle permet de structurer et rationaliser le pilotage de la sécurité tout en

la norme ISO/CEI 27001. Cette norme s’adapte à tout type d’entreprise, quelque soit le secteur d’activité, sa structure, sa taille et la complexité de son système d’information. L’application de cette norme passe par une démarche qualiticienne classique : la roue de Deming (Planifier, Développer, Contrôler, Agir) qui permet de prendre en compte des dysfonctionnements le plus en amont possible et d’amener une amélioration continue du système. Mots clés : Sécurité de l’information, SMSI, ISO/CEI27001

la norme ISO/CEI 27001. Cette norme s’adapte à tout type d’entreprise, quelque soit le secteur d’activité, sa structure, sa taille et la complexité de son système d’information. L’application de cette norme passe par une démarche qualiticienne classique : la roue de Deming (Planifier, Développer, Contrôler, Agir) qui permet de prendre en compte des dysfonctionnements le plus en amont possible et d’amener une amélioration continue du système. Mots clés : Sécurité de l’information, SMSI, ISO/CEI27001

II. Etude de l’existant 1. Description de l’existant Les dernières années a connu également le démarrage de nouveaux services basés sur les technologies de l’information et de la communication visant à développer les services à distance et à renforcer le positionnement de la Poste tunisienne au cœur de l’économie immatérielle, l’administration communicante et commerçante et le commerce électronique» annonce le rapport. Parmi ces produits, on trouve les chèques postaux via Internet, le

LES TROISIEMES RENCONTRES DES RESPONSABLES DE LA SECURITE DES SYSTEMES D’INFORMATION RSSI entre le Management et les Techniques de Sécurité de l’Information Animé par Khemiri Elyes Consultant Sécurité SI – Certifié ANSI Certifié ISO 27001-Lead Auditor SSC- Bureau Certifié en Audit Sécurité par l’ANSI Company LOGO Notre expertise en matière d’Audit & Conseil en Sécurité des SI • • Retour d’Expérience Audit & Sécurité sur terrain des SI depuis 2000 Références dans tous les secteurs

en compte des nombreux retours d'expériences de l'ANSSI et du Club EBIOS Convergence des concepts vers les normes internationales relatives au système de management de la sécurité de l'information et à la gestion des risques ([ISO 27001], [ISO 27005], [ISO Guide 73] et [ISO 31000]) Regroupement des sections 1 (Présentation), 2 (Démarche) et 3 (Techniques) en un seul guide méthodologique Refonte complète de la présentation de la méthode Révision du contenu de la démarche méthodologique o Mise en évidence

d’instructions opératoires écrites en ce qui concerne la responsabilité des contrôles relatifs à la précision, l’exhaustivité et la ponctualité des transactions ainsi qu’à la communication aux autorités douanières des erreurs/irrégularités, y compris en cas de ou soupçon d’activités criminelles; - mise en place de procédures d’enquête et de notification des erreurs mais aussi de contrôle et d’amélioration des processus; - désignation d’une personne compétente/d’un responsable au sein de l’entreprise

locaux Page 12 Cartographie des risques Corporate p Defense Management g CLUSIR Rha, Le 22 Avril 2009 Page 13 Cartographie des risques Enjeux économiques de la SSi la recherche de l ’équilibre équilibre Risque juridique des dirigeants ISO 27001/27002 Détection Sécurité du Plan de VPN Poste de travail d’intrusion sauvegarde non testé Cryptage Architectures Données sécurisées Politique Sécurité du Plan de Architecture Antivirale Poste de travail Reprise PKI d’activité Gestion des d it d’accès