-
Matrise des risques
Secrtariat gnral de la dfense nationaleDirection centrale de la
scurit des systmes dinformationSous-direction des oprationsBureau
Conseil
[email protected]
-
Besoins et conformitLa ncessit de cerner les besoins de
lorganismeSes enjeuxSes objectifs mtierLa valeur de son patrimoine
informationnelen conformit avec la rglementation
applicableCNILSecret professionnelProprit intellectuelleClassifi de
dfenseRglementation sectorielleet en sappuyant sur les normes
internationalesLignes directrices de lOCDEISO 27001, ISO 17799, ISO
15408 (critres communs)
-
Mise en perspectiveavec les objectifs de lorganismeProtger
lorganismePrserver et valoriser limage de marquePrvenir des pertes
financiresGarantir la continuit des activitsAmliorer la scurit de
linformationProtger contre les attaques informatiquesAssurer le
respect des lois et rglements
en matrisant les risquesAdopter une vision globaleFournir les
lments ncessaires la prise de dcision (consensus, ngociation,
arbitrage, validation)Faciliter la communication (implication,
sensibilisation)
-
Les apports dune dmarche structureMutualiser et
prenniserStandardiser des pratiques rutilisables et
objectivesInstaurer un vocabulaire et un socle communUtiliser des
raisonnements simples, souples et cohrentsFavoriser la
communication entre les quipes
pour crer de la valeur ajouteDes rsultats visibles rapidement
(mise en place de mesures adaptes, augmentation de la culture de
scurit)La garantie dun niveau de service et de confianceMatriser
les dpenses et justifier les investissements de scurit
-
Cot de la dmarcheUne approche modulaire selon les enjeux et le
sujet tudiEn survol ou dtailleGlobale ou focalisePremiers pas ou
capitalisation dexpriences
pour des rsultats adaptsUne note de stratgie de scurit (exemple
: 4-8 h.j)Une politique de scurit (exemple : 20-50 h.j)Un cahier
des charges (exemple : 10-20 h.j)Un plan daction, un rfrentiel
daudit, des tableaux de bord
(les charges dpendent de nombreux facteurs tels que le primtre
tudi, sa complexit, le nombre de personnes impliques)
-
Annexes
EBIOS(Expression des Besoins et Identification des Objectifs de
Scurit)
La mthode de gestion des risques
-
Les utilisateurs de la mthodeExemples dorganismes utilisateurs
ou clientsMinistres (systmatiquement dans certains, encourag
partout ailleurs)Lensemble des ministres et industriels ds lors
quun systme traite des informations classifies de dfenseAroports de
Paris (ADP)Agences sanitairesCaisse nationale dassurance maladie
(CNAM)Centre national d'tudes spatiales (CNES)Commissariat l'nergie
atomique (CEA)Conseil de lUnion europenneFrance TlcomGIE cartes
bancairesMichelinExemples de prestataires (par ordre
alphabtique)ALCATEL CITALGORIELAQLDICTAOEADSFIDENSMISISON-X /
EDELWEBOPPIDAORASYSTEAMLOGTELINDUS / CF6THALES SECURITY SYSTEMS
XP-CONSEIL
-
Les apports de chaque tapetude du contexteVision globale et
explicite du systme tudi, des enjeux, des contraintes et rfrentiels
applicablesExpression des besoinsPositionnement des lments protger
(patrimoine informationnel) en terme de disponibilit, intgrit,
confidentialit et mise en vidence des impacts en cas de
sinistretude des menacesRecensement des scnarios pouvant porter
atteinte aux composants (techniques ou non) du SIIdentification des
objectifs de scuritMise en vidence des risques rels et expression
de la volont de les traiter en cohrence avec le contexte
particulier de lorganismeDtermination des exigences de
scuritSpcification des mesures concrtes mettre en uvre pour traiter
les risques sur la base dune ngociation argumente
-
Les rsultats de la mthodeCahier des chargesRfrentiel
dauditNgociation & arbitrageResponsabiliser les acteursTableaux
de bordSchma directeurPlan dactionNote de stratgieEBIOSPolitique de
scurit
-
Loutillage et les servicesLes guidesLa mthode et ses bases de
connaissances (5 sections), ses meilleures pratiques expliquant
comment utiliser EBIOS selon le contexteDes plaquettes et un mmento
synthtiquesLe logiciel libreGratuit, disponible sur demande ou en
tlchargementPlus de 2000 cdroms envoys dans 50 paysLes
traductionsLensemble du rfrentiel est disponible gratuitement en
franais, en anglais, en allemand et en espagnolLes comptencesLes
formations au CFSSI pour les agents de ladministration (formation
de 2 jours, formation de formateurs de 5 jours, formations
ad-hoc)La formation en ligne sur la gestion des risques (en
cours)La labellisation de personnes (en cours dlaboration)Le Club
EBIOS75 experts du secteur public et du secteur priv, franais et
trangers
Cette prsentation dinformation a lattention de dcideurs a t
labore par le Bureau conseil de la DCSSI en collaboration avec le
Club EBIOS.
