Notre approche systémique de la cyber-sécurité

Pour aider les entreprises et les organismes publics, Sogeti a développé une approche systémique de la cybersécurité, combinant les services d'évaluation, de conseil, d'architecture et le déploiement des solutions, des capacités de surveillance, de l'analyse et de l'atténuation / services d'assainissement.

 

La sécurité des systèmes d’informations est transverse dans l’entreprise. En effet, elle implique la direction des systèmes d’information (DSI), la direction des ressources humaines (pour la gestion des droits), la direction financière (pour les problèmes de conformité réglementaire), la direction de la sécurité ou de la sûreté (pour la sécurité du système de production et la sécurité physique des sites), la direction de la communication (pour la gestion de crise), la direction juridique (pour les contrats de partenariat, de sous-traitance et de prestation dont la sécurité doit faire partie), les directions opérationnelles et même les services généraux qui gèrent par exemple les photocopieurs connectés au système d’information de l’entreprise et au fournisseur.

De ce fait, elle implique également la direction générale qui, en outre, porte les responsabilités juridiques correspondantes. Dans la pratique, elle est portée par le responsable de la sécurité des systèmes d’information (RSSI) qui doit prendre en compte les contraintes de tous les interlocuteurs évoqués ci-dessus.

De plus, la sécurité du système d’information n’est pas qu’une probléma­tique technique. Elle est une combinaison de questions techniques (esti­mées à 25%), organisationnelles (estimées à 50%) et juridiques (estimées à 25%). Pour améliorer le niveau de sécurité d’un système d’information, il faut travailler sur ces trois dimensions et y rajoutant une quatrième, celle du métier de l’entreprise pour laquelle ce système d’information a été créé.

 

Le système de protection mis en place sous cette forme fonctionne en boucle fermée, ce qui permet d’en garantir l’amélioration continue lorsqu’il est globalement confié à un unique prestataire, dans le cadre de la démarche Plan/Do/Check/Act (cf. encadré page 41). Il permet de mesurer dès l’origine et à tout moment ultérieur le niveau de maturité atteint par l’entreprise en terme de sécurité et offre ainsi aux dirigeants une vision claire de la sécurité de l’entreprise et des risques résiduels. Il garantit une réaction extrêmement rapide aux incidents, qui auront été préparés, et qui pourront donner lieu très rapidement à une évolution de l’organisation de la sécurité ou des dispositifs installés.

 

 

Notre approche systémique englobe :

 

-          L’évaluation : déterminer le niveau de maturité de l’entreprise et d’aider celle-ci à identifier ses risques techniques, organisationnels et juridiques

-          La politique de sécurité : Conseil visant à déterminer l’Analyse des risques, le conseil, le développement de la politique de sécurité, la sensibilisation, la formation et l'organisation

-          Architecture et déploiements : Définition de l'architecture et mise en œuvre de ses composants de sécurité cible.

-          Surveillance (monitoring) : Visibilité sur toutes les failles de sécurité des systèmes d'information nécessitant des actions correctives et de la maintenance sécurité; Détection des événements susceptibles de provoquer des comportements hostiles.

-          Gestion de crise : Gestion de la fin de la crise (généralement après une attaque massive ou une infection).