Cas métalotech

CAS METALOTECH

[pic 1]

Répartition des tâches :

Kevin : Mission 1

Dorian : Mission 2

Louis : Mission 3 + Mission 2 : 1, 2 et 3

Introduction :

Metalotech, société fournissant des services aux entreprises travaillant les aciers, évolue. Dans le cadre de cette évolution, il nous est amené à exécuter un audit interne des risques de la cybercriminalité et des tâches que devra accomplir l’ASR. L’analyse des risques de la cybercriminalité,  des normes de la sécurité et les causes de la responsabilité de l’ASR seront les axes que nous allons traiter.

[pic 2]

Mission 1 (Costa Kévin)

1 – Dans une courte note, vous ferez un bilan de la cybercriminalité, vous identifierez les risques et vous préciserez les conséquences pour les organisations.

Avant de faire un bilan de la cybercriminalité, nous allons définir ce qu’est la cybercriminalité :

• Ensemble des infractions pénales commises sur les réseaux de télécommunication, en particulier Internet.

D’après l’étude de Ponemon Institute qui date de 2011 sur la cybercriminalité, il est certain que :

• Le coût des violations de données pour les entreprises et notamment françaises sont en hausse de 11% par rapport à l’année 2012. En terme de coût cela représente 2.86 millions d’euros de perdus par incident pour les entreprises contre 2.55 millions d’euros en 2011.
• En d’autre terme, le coût moyen d’une donnée comprise passe de 122€ à 127€ pour 22 242 données compromise en moyenne par incident.

• Tout d’abord, les attaques malveillantes et criminelles représentent 42% des cas, 27% pour une faille de système et 31% du à une erreur humaine.
• Ce qui correspond à 142€ pour une donnée compromise, 116€ pour une négligence humaine et 118€ pour une erreur du au système.

Il est important de noter que le coût direct pour les entreprises et difficile à évaluer car cela ne prend pas en compte la perte de clients et la mauvaise image de marque liés à ces incidents. Pour éviter cela la société Symantec France estime qu’il est moins onéreux d’investir dans des technologies de préventions contre ces menaces informatiques que de subir les conséquences après ces attaques.

D’après une autre étude menée par PWC en 2011, prêt de 42% des affaires de cybercriminalité impliquent des salariés des entreprises en question. Le plus souvent, les raisons de ces cybercriminalités d’un salarié sur son employeur sont lucratifs. En effet, sous l’ère du numérique il est devenu plus simple de pouvoir réaliser des attaques malveillantes avec par exemple le vol d’un mot de passe d’un collègue qui aurait un poste clé dans l’entreprises comme comptable.

La vengeance est également une des raisons qui pousseraient des collaborateurs à nuire à leur entreprise. En effet, le peu de reconnaissance de leur employeur les motiveraient à divulguer des données confidentielles à des tiers ou à encore saboter le système informatique de leur entreprise.

Néanmoins, l’argent reste la raison principal de ces fraudes, car il est devenu des plus simples d’intervenir sur une transaction bancaire de l’entreprise. De plus, le frein psychologique devient quasi inexistant puisqu’il n’a pas l’impression de voler son employeur, autrement dit de voler dans son coffre-fort mais cela reste tout de même un vol même si cela est fait « virtuellement ».

Pour éviter d’entacher leur image de marque, de nombreuses entreprises ne dénoncent pas et même cache les délits de cybercriminalité dont ils sont victimes. D’après un géant de l’antivirus, il estime même que 79% des entreprises ont subis une cyber-attaques en 2011.

Pour conclure, d’après toutes ces études il est certains qu’il y a une intensification des menaces malveillantes dans le monde. Pour prendre pleine conscience de ces menaces, l’OCDE (Organisation de Coopération et de Développement Economique) estime que la cybercriminalité serait une des cinq plus grandes menaces pesant sur l’économie mondiale.

Pour mesure le risque en terme de sécurité, il existe une équation qui est :

• Risque = Menace x Vulnérabilité / Contre-mesure

Menace : type d’action qui peut nuire

Vulnérabilité : représente le niveau d’exposition face à une menace

Contre-mesure : ensemble des actions mise en œuvre pour éviter ces menaces

Ainsi, pour limiter les menaces il est important de connaître et de prévoir les éventuelles procéder de l’attaquant, afin de mieux se protéger et d’éviter au maximum les intrusions.

Toutes ces précautions sont effectués pour respectées les cinq principaux objectifs de la sécurité informatique qui sont :

• L’intégrité : garantir que les données sont bien celles envoyés/reçues à la base
• Confidentialité : s’assurer que seules les personnes autorisées ont accès aux ressources échangées
• Disponibilité : garantir le bon fonctionnement du système d’information
• Non répudiation : garantir qu’une transaction ne peut être niée
• L’authentification : s’assurer que seules les personnes autorisées aient accès aux ressources.

Mission 2 :

1 - Repérez et présentez en les justifiant les objectifs auxquels doit répondre un système d’information sécurisé ;

Un système informatique sécurisé doit suivre plusieurs objectif tel que :

• L’intégrité des données, soit s’assurer que les données sont n’ont pas été modifiées par quelqu’un ou altérées pour des raisons diverses. Cet objectif a pour but d’empêcher les pertes, les falsifications ou l’illisibilité des données.
• La confidentialité des données, soit permettre uniquement aux utilisateurs concernés l’accès aux données échangées. On peut de ce fait éviter la fuite d’informations confidentielles, ou l’utilisation de nos données contre nous. Comme un rival ayant accès aux listes des clients et les factures associées pourraient les contacter pour leur offrir une offre plus avantageuse, et donc, nous voler le client.
• La disponibilité, soit permettre de maintenir le système en fonctionnement. Une entreprise fonctionnant sur les systèmes informatiques ne peut pas permettre que son système ne tombe en panne, ou du moins, pas sur une durée trop longue. Ainsi le système informatique doit absolument être disponible un maximum pour être sécurisé et permettre à l’entreprise de fonctionner.
• La non répudiation, garantissant qu’une transaction ne peut pas être ignorée. Comme le dit le proverbe, tout travail mérite salaire. Pour que le système informatique soit sécurisé, on ne doit pas pouvoir empêcher les transactions de se faire.
• L’authentification, permettre uniquement aux personnes autorisées à accéder aux ressources. C’est le strict minimum pour un système informatique sécurisé. L’accès aux données de manière identifiée pour contrer les accès par des personnes en dehors qui ne devraient pas y avoir accès. Empêcher ainsi le vol des données confidentielles.

2 - Repérez, parmi les conseils prodigués par l’ANSSI, ceux qu’une PME comme Metalotech aurait intérêt à mettre en œuvre. Justifiez à chaque fois.

En référence à l’annexe 4 :

• Règle 1 : Disposer d’une cartographie précise de l’installation informatique et la maintenir à jour.
  Cette règle est important surtout dans le cadre des mises à jour du système. Un système informatique doit être gardé à jour pour des raisons de sécurité et de compatibilité. Avec les mises à jour les plus récentes, les failles de sécurité auront été corrigées et les nouvelles technologies sauront se faire reconnaître du système.
• Règle 2 - Disposer d’un inventaire exhaustif des comptes privilégiés et le maintenir à jour.
  Dans le cadre d’une entreprise, cette règle est importante pour autoriser ou non des utilisateurs à accéder à certaines zones, mais surtout elle est indispensable pour ne pas laisser n’importe qui pénétrer sur les données de l’entreprise.
• Règle 6 - Connaître les modalités de mises à jour de l’ensemble des composants logiciels utilisés et se tenir informé des vulnérabilités de ces composants et des mises à jour nécessaires.
  Comme dit dans la règle 1, il est essentiel de se tenir informé des mises à jour logiciel comme matériel pour des raisons de sécurité, compatibilité et productivité.
• Règle 19 - Chiffrer les données sensibles, en particulier sur les postes nomades et les supports potentiellement perdables.
  Les données sensibles doivent être protégées. Pour une PME la sécurité des données confidentielles comme celle des clients et quelques choses de très important, c’est pour cela que cette règle a sa place.

Les autres règles sont aussi très importantes, mais pour une PME qui ne disposent pas forcément d’un grand nombre d’employé ni de matériels, les autres règles ont moins d’importances.

...