La sécurité des systèmes d’information est aujourd’hui cruciale, surtout face à l’essor des technologies de l’information et de la communication. Cette recherche révèle comment une mauvaise gestion des risques peut compromettre l’audit financier, transformant ainsi les pratiques en entreprise et soulevant des enjeux majeurs pour l’avenir.
Section 3 : La sécurité des informations et des communications dans un milieu informatisé
Les nouvelles technologies de l’information et de la communication constituent un facteur essentiel d’accroissement de la compétitivité et sont porteuses de bénéfices. Néanmoins, les conséquences peuvent être catastrophiques si l’entreprise ne s’y conduit pas correctement en matière de sécurité.
Cette dernière est devenue un sujet particulièrement médiatisé. On relaye largement les incidents et actes illicites touchant la sécurité des systèmes d’information, dont à titre d’exemple : le virus « I Love You » en mars 2000, les fraudes à la carte bancaire sur Internet, etc.
Parallèlement, la sécurité des informations et des communications est devenue de plus en plus complexe.
A titre d’exemple, pour sécuriser un environnement « Client / Serveur », il faut identifier tous les points d’accès (serveur, postes « clients », etc.) aussi bien au niveau individuel qu’au niveau de leur interaction d’ensemble afin de s’assurer qu’aucun risque ne demeure non vérifié.
En outre et concernant les ERP, selon les résultats de l’enquête annuelle 1998 d’Ernst & Young18 sur la sécurité des systèmes d’information, il ressort que près d’une entreprise sur cinq n’a pas confiance en la sécurité de son progiciel intégré et par conséquent sur la fiabilité des processus informatisés. Ces inquiétudes ont été expliquées, en partie, par le fait que les progiciels intégrés nécessitent une prise en compte particulière des besoins de fiabilité et de sécurité. En effet, même si chaque module est bien maîtrisé en matière de contrôle informatique, il subsiste souvent des failles potentielles de contrôle interne entre les différents modules.
Quant à la sécurité sur Internet, les attaques cybernétiques peuvent compromettre l’entreprise et détruire tout son patrimoine. En effet, Internet fournit l’accès à des millions de clients potentiels mais aussi à des milliers de fraudeurs et d’escrocs éventuels.
17 Informations extraites du séminaire « Global Risk Management Solutions : Joiners Course » (Initiation à la gestion du risque management), Marburg – Allemagne, PricewaterhouseCoopers, 2000.
18 Philippe TROUCHAUD, « Appréciation du contrôle interne informatique des grandes entreprises et impact sur le contrôle des comptes », Revue Française de Comptabilité N° 316, Novembre 1999, page 21.
Nous allons étudier dans ce qui suit :
- les objectifs de la sécurité en milieu informatisé,
- les différents types de sécurité informatique au sein de l’entreprise,
- et, les méthodes d’évaluation de la sécurité informatique.
Sous section 1 : Les objectifs de la sécurité en milieu informatisé
L’objectif de la politique de sécurité du système d’information est de garantir la disponibilité, l’intégrité, la confidentialité et la possibilité de contrôle et de preuve.
- La disponibilité :
C’est l’aptitude des systèmes à remplir une fonction dans des conditions prédéfinies d’horaires, de délais et de performances. Il s’agit de garantir la continuité du service, assurer les objectifs de performance (temps de réponse) et respecter les dates et heures limites des traitements.
Assurer la disponibilité de l’information nécessite des procédures appropriées de couverture contre les accidents ainsi que des contrôles de sécurité afin de se protéger contre les suppressions inattentives ou intentionnelles des fichiers.
Appliquée aux flux d’information, la disponibilité est destinée à garantir la continuité des échanges d’information, c’est à dire de pouvoir disposer, chaque fois que le besoin existe, des possibilités de réception ou de transfert.
En outre, appliquée aux traitements, elle est destinée à garantir la continuité de service des traitements, c’est à dire de pouvoir disposer des ressources en matériels et logiciels nécessaires à l’ensemble des services, des agences et à la clientèle extérieure.
Enfin, appliquée aux données, elle est destinée à garantir la disponibilité prévue pour l’accès aux données (délais et horaires), c’est à dire de pouvoir disposer, de l’accès aux données, chaque fois que le besoin existe, dans des conditions de performance prédéfinies.
- L’intégrité :
C’est la propriété qui assure que les informations sont identiques en deux points, dans le temps comme dans l’espace.
Selon l’ISO 13-335-1, l’intégrité c’est la propriété de non-altération ou de non-destruction de tout ou partie du système d’information et/ou des données de façon non autorisée. Il s’agit de garantir l’exhaustivité, l’exactitude et la validité des informations ainsi que d’éviter la modification, par erreur, de l’information.
Assurer l’intégrité des données consiste à établir des contrôles aussi bien sur les entrées que sur les traitements des transactions et à sécuriser les fichiers des données cumulées de toute modification non autorisée.
A titre d’exemple, pour les entreprises utilisant le commerce électronique sans des contrôles d’intégrité adéquats, les opérations et les documents électroniques peuvent être aisément modifiés, perdus ou reproduits et faire l’objet d’erreurs de traitement. L’intégrité des opérations et des documents électroniques risque alors d’être mise en cause, ce qui pourrait provoquer à l’entreprise des litiges avec ses clients au sujet des conditions de transaction et de paiement.
Appliquée aux flux d’information, l’intégrité est destinée à garantir la fiabilité et l’exhaustivité des échanges d’information. C’est à dire de faire en sorte que les données soient reçues comme elles ont été émises et d’avoir les moyens de le vérifier.
En outre, appliquée aux traitements, elle est destinée à assurer la conformité de l’algorithme des traitements automatisés ou non par rapport aux spécifications. C’est à dire de pouvoir obtenir des résultats complets et fiables.
Enfin, appliquée aux données, elle est destinée à garantir l’exactitude et l’exhaustivité des données vis à vis d’erreurs de manipulation ou d’usages non autorisés. C’est à dire de pouvoir disposer de données dont l’exactitude, la fraîcheur et l’exhaustivité sont reconnues et attestées.
- La confidentialité :
C’est la propriété qui assure la tenue secrète des informations avec accès aux seules entités autorisées. La protection de la confidentialité des informations contre toute intrusion non autorisée est d’une exigence importante qui nécessite un niveau minimum de sécurité. Il s’agit de :
- réserver l’accès aux données d’un système aux seuls utilisateurs habilités (authentification) en fonction de la classification des données et du niveau d’habilitation de chacun d’eux ;
- garantir le secret des données échangées par deux correspondants sous forme de message ou de fichiers.
Ce dernier volet constitue l’aspect le plus vulnérable dans les échanges électroniques et intéresse aussi bien l’entreprise que les consommateurs. En effet, ces derniers se soucient pour la protection de leurs données personnelles et financières par peur que ces informations soient divulguées ou utilisées de façon à nuire à leurs intérêts. Il est donc normal que les personnes qui envisagent d’avoir recours au commerce électronique cherchent à obtenir l’assurance que l’entreprise a mis en place des contrôles efficaces sur la protection de l’information et qu’elle veille à la confidentialité des renseignements personnels de ses clients.
Appliquée aux flux d’information, la confidentialité est destinée à garantir la protection des échanges dont la divulgation ou l’accès par des tiers non autorisés porterait préjudice.
En outre, appliquée aux traitements, elle est destinée à assurer la protection des algorithmes décrivant les règles de gestion et les résultats dont la divulgation à des tiers non autorisés serait nuisible.
Enfin, appliquée aux données, elle est destinée à protéger les données dont l’accès ou l’usage par des tiers non autorisés porterait préjudice. C’est à dire de donner l’accès aux seules personnes habilitées par des procédures organisationnelles et informatiques.
- La possibilité de contrôle et de preuve :
Ceci englobe la faculté de vérifier le bon déroulement d’une fonction et l’impossibilité pour une entité de nier avoir reçu ou émis un message (La non répudiation).
Elle garantit la possibilité de reconstituer un traitement à tous les niveaux (logique de programmation, déroulement du traitement, forme des résultats) à des fins de contrôle ou de preuve.
Appliquée aux flux d’information, la possibilité de contrôle et de preuve est destinée à garantir le fait de ne pouvoir nier avoir reçu ou émis un flux (Iogs, authentifiants, accusés de réception, …) et de pouvoir reconstituer ce flux.
En outre, appliquée aux traitements, elle est destinée à garantir la possibilité de reconstituer à tout moment le déroulement d’un traitement et l’impossibilité de nier la réception des résultats.
Enfin, appliquée aux données, elle est destinée à garantir la possibilité de reconstituer à tout moment une donnée et l’impossibilité de nier l’accès à une donnée. C’est à dire assurer la possibilité de reconstituer une donnée et de retrouver trace de son utilisation.
________________________
17 Informations extraites du séminaire « Global Risk Management Solutions : Joiners Course » (Initiation à la gestion du risque management), Marburg – Allemagne, PricewaterhouseCoopers, 2000. ↑
18 Philippe TROUCHAUD, « Appréciation du contrôle interne informatique des grandes entreprises et impact sur le contrôle des comptes », Revue Française de Comptabilité N° 316, Novembre 1999, page 21. ↑
Questions Fréquemment Posées
Quels sont les objectifs de la sécurité des systèmes d’information en milieu informatisé ?
L’objectif de la politique de sécurité du système d’information est de garantir la disponibilité, l’intégrité, la confidentialité et la possibilité de contrôle et de preuve.
Pourquoi la sécurité des systèmes d’information est-elle devenue un sujet médiatisé ?
La sécurité des systèmes d’information est devenue un sujet particulièrement médiatisé en raison des incidents et actes illicites touchant cette sécurité, tels que le virus ‘I Love You’ et les fraudes à la carte bancaire sur Internet.
Comment garantir la disponibilité des systèmes d’information ?
Assurer la disponibilité de l’information nécessite des procédures appropriées de couverture contre les accidents ainsi que des contrôles de sécurité afin de se protéger contre les suppressions inattentives ou intentionnelles des fichiers.