Partie 1 : Introduction à la Sécurité
1. Contexte et Enjeux
L'informatique est omniprésente et "invisible". Les pannes sont insupportables et les coûts logiciels (maintenance) dépassent souvent ceux du matériel.
Problème majeur : La sécurité est souvent négligée ("Ça n'arrive qu'aux autres") et les utilisateurs ne réalisent pas la valeur de leurs informations.
Statistique : Les erreurs involontaires causent 1/3 des sinistres, mais 60% des coûts proviennent de défaillances/malveillances.
2. Les 3 Propriétés de Sécurité (CID)
Selon l'ITSEC, la politique de sécurité doit garantir :
- Confidentialité : Prévention de la divulgation non autorisée (ex: Secret Défense).
- Intégrité : Prévention de la modification non autorisée (ex: Montant d'un virement).
- Disponibilité : Prévention du refus d'accès (ex: Déni de service).
3. La Politique de Sécurité
Elle se décline en 3 axes :
- Physique : Protection des locaux (feu, inondation), contrôle d'accès (badges).
- Administrative : Organisation, lois, séparation des tâches (Développeur ≠ Administrateur Prod).
- Logique : Identification, Authentification, Autorisation.
4. Normes d'Évaluation (Critères)
| Norme |
Origine |
Description |
| TCSEC (Orange Book) |
USA (DoD) |
Niveaux de D (nul) à A1 (prouvé formellement). Axé militaire (confidentialité). |
| ITSEC |
Europe |
Introduit la notion de Cible d'Évaluation (TOE). Sépare fonctionnalité et assurance. |
| Critères Communs (ISO 15408) |
Monde |
Harmonisation internationale actuelle. Définit des "Profils de protection". |
Partie 2 : Les Modèles de Sécurité
1. Contrôle d'Accès Discrétionnaire (DAC)
Modèle historique (HRU, Unix, Windows). Basé sur l'identité.
Principe : Le propriétaire (celui qui crée le fichier) décide qui a le droit d'y accéder.
- Matrice d'accès : Lignes = Sujets, Colonnes = Objets.
- Implémentation : ACL (Access Control List) par colonnes ou Capacités par lignes.
- Faiblesse critique : Vulnérable au Cheval de Troie. Un programme légitime lancé par un utilisateur légitime peut copier des données sensibles vers un objet public, car le DAC ne regarde que l'identité de l'utilisateur, pas le flux d'information.
2. Contrôle d'Accès Basé sur les Rôles (RBAC)
Plus moderne, structure les droits selon l'organisation de l'entreprise.
- Utilisateurs assignés à des Rôles (ex: Médecin, Infirmier).
- Droits assignés aux Rôles.
- Notion de Session : On active un rôle durant une session.
- Séparation des tâches : Impossible d'être à la fois "Acheteur" et "Payeur" (statique) ou impossible d'activer les deux rôles en même temps (dynamique).
3. Contrôle d'Accès Obligatoire (MAC) - Contrôle de Flux
Modèle rigide, imposé par le système (utilisé par l'armée). L'utilisateur ne décide rien.
Modèle Bell & LaPadula (Confidentialité)
Chaque Sujet a une habilitation (ex: Secret). Chaque Objet a une classification.
- No Read Up : Un sujet ne peut pas lire un niveau supérieur (Interdit de lire plus secret que soi).
- No Write Down : Un sujet ne peut pas écrire dans un niveau inférieur (Interdit de copier du Secret vers du Public -> Anti Cheval de Troie).
Modèle de Biba (Intégrité)
Inverse de Bell & LaPadula. Protège la fiabilité des données.
- No Read Down : On ne lit pas de données moins fiables (pour ne pas se contaminer).
- No Write Up : On n'écrit pas dans des données plus fiables (pour ne pas les corrompre).
Le Problème des Canaux Cachés
Même avec MAC, de l'information peut fuiter via des mécanismes non prévus pour la communication (ex: modulation de la consommation CPU, clignotement de LED, temps de réponse). C'est un Canal Caché.
4. Contrôle d'Usage (UCON / DRM)
Contrôle non seulement l'accès, mais l'usage futur (ex: "Lire 3 fois maximum", "Ne pas imprimer"). Nécessite un environnement de confiance côté client (DRM).
OrBAC : Modèle Organisationnel abstrait (Sujet->Rôle, Action->Activité, Objet->Vue, Contexte).
Partie 3 : Gestion des Risques (ISO 27005)
1. Vocabulaire Fondamental
- Actif Primordial : Information ou Processus métier. La "Valeur" de l'entreprise (ex: Fichier Clients).
- Actif Support : Ce qui supporte l'actif primordial (Matériel, Logiciel, Réseau, Personnel, Locaux). C'est lui qui est vulnérable.
- Menace : Cause potentielle d'incident (ex: Virus, Incendie, Erreur humaine).
- Vulnérabilité : Faiblesse d'un actif support (ex: Windows pas à jour, porte non verrouillée).
- Impact : Conséquence sur l'organisme (Perte financière, Image).
- Risque : Combinaison de la Vraisemblance (Probabilité) et de l'Impact.
2. Le Processus ISO 27005 (Itératif)
Étape 1 : Établissement du contexte
Définir le périmètre, les critères d'évaluation (seuils d'acceptation du risque).
Étape 2 : Appréciation des risques (Risk Assessment)
- Identification : Lister les actifs, menaces, vulnérabilités.
- Estimation : Calculer le niveau de risque (ex: Niveau = Vraisemblance x Impact).
- Évaluation : Comparer le niveau calculé aux critères d'acceptation. Faut-il traiter ce risque ?
Étape 3 : Traitement du risque (4 Options)
- Refus / Évitement (Avoidance) : Arrêter l'activité risquée (ex: ne plus utiliser de WiFi).
- Réduction (Reduction) : Appliquer des mesures de sécurité (Antivirus, Pare-feu) pour baisser la probabilité ou l'impact.
- Transfert (Transfer) : Assurance ou sous-traitance.
- Maintien / Acceptation (Retention) : Accepter le risque en l'état (souvent pour des raisons de coût). Doit être validé par la direction.
Étape 4 : Acceptation du risque résiduel
Le risque qui reste après traitement doit être formellement accepté.
Note : EBIOS (ANSSI) est la méthode française compatible ISO 27005.
Partie 4 : Droit & Numérique
1. Cadre Légal
- Loi Informatique et Libertés (1978) : Pionnière en France.
- CNIL : Autorité administrative indépendante. Informe, contrôle, sanctionne.
- RGPD (2018) : Règlement Européen. Harmonisation, sanctions lourdes (jusqu'à 4% du CA mondial).
2. Principes Clés du RGPD
- Finalité : But précis et légitime (pas de collecte "au cas où").
- Proportionnalité (Minimisation) : Uniquement les données nécessaires.
- Durée de conservation limitée.
- Sécurité et Confidentialité.
- Droits des personnes : Accès, Rectification, Opposition, Oubli, Portabilité.
3. Concepts Spécifiques
- Donnée Personnelle : Toute info identifiant une personne physique (directement ou indirectement).
- Donnée Sensible : Origine raciale, opinions politiques, religion, santé, biométrie, orientation sexuelle. Interdiction de traitement par défaut (sauf consentement explicite, sauvegarde vitale, etc.).
- Pseudonymisation : Réversible (clé séparée). Reste une donnée personnelle soumise au RGPD.
- Anonymisation : Irréversible. Ne permet plus l'identification. Sort du champ du RGPD.
- PIA / DPIA : Analyse d'impact obligatoire pour les traitements à risque élevé (vidéosurveillance massive, données de santé).