📋 Séance 1 — Politique de sécurité — PSI et classification ISO 27001

🎯 Objectifs pédagogiques

• Comprendre le rôle et les objectifs d'une Politique de Sécurité des Systèmes d'Information (PSI).
• Savoir définir le périmètre et inventorier les actifs informationnels d'une organisation.
• Savoir classifier des actifs selon une grille C1/C2/C3 et justifier un classement.
• Connaître les rôles et responsabilités (RSSI, DSI, utilisateurs, DPO) et les principes d'ISO 27001/27002.
• Connaître les exigences de sécurité du RGPD (art. 32) et les mesures associées.

🗓️ Déroulé de la séance (3h30)

🔍 Accroche — Cas Target (décembre 2013)

Le piratage chez Target (décembre 2013) a permis le vol de ~40 millions de numéros de cartes bancaires via un fournisseur HVAC dont l'accès réseau n'était pas segmenté. L'absence d'une PSI formalisée et d'une segmentation rigoureuse a favorisé la propagation de l'attaque. Ce cas illustre pourquoi une politique documentée et des périmètres clairs sont essentiels.

1) Politique de Sécurité des SI (PSI) — éléments clés

Une PSI est un document cadre formalisant les objectifs, les règles et les responsabilités en matière de sécurité. Elle précise les objectifs de sécurité :

• Disponibilité : continuité de service — les ressources sont accessibles quand et par qui elles doivent l'être.
• Intégrité : fiabilité et non-altération des données — les informations ne sont modifiées que par des acteurs autorisés.
• Confidentialité : protection contre les accès non autorisés — les informations sensibles ne sont accessibles qu'aux personnes habilitées.
• Traçabilité : journalisation et preuves d'activités — tout accès ou modification est enregistré de manière fiable.

La PSI définit également le périmètre (systèmes, services, périmètre organique) et fixe les attentes en matière de conformité et de gouvernance.

2) Périmètre et actifs informationnels

Le périmètre décrit l'étendue des systèmes, des réseaux, des applications et des données couverts par la PSI. L'inventaire des actifs informationnels (matériel, logiciels, données, personnes, services) est la base de toute analyse de risques.

Chaque actif doit être :

• Identifié : nom, référence, description fonctionnelle.
• Caractérisé : propriétaire, localisation (physique/virtuelle), valeur métier.
• Évalué : sensibilité, dépendances, criticité pour l'activité.

3) Classification des actifs (grille C3 / C2 / C1)

Exemples appliqués — InnovatTech SARL

4) Rôles et responsabilités

5) ISO 27001 / 27002 — principes essentiels

ISO 27001 définit le cadre d'un Système de Management de la Sécurité de l'Information (SMSI) ; ISO 27002 fournit un recueil de bonnes pratiques pour sa mise en œuvre.

Approche PDCA — amélioration continue

ISO 27001 repose sur le cycle PDCA (Plan–Do–Check–Act) :

• Plan : définir le périmètre, l'analyse de risques, les objectifs et les contrôles à déployer.
• Do : mettre en œuvre les mesures de sécurité sélectionnées.
• Check : surveiller, mesurer les performances et auditer le SMSI.
• Act : prendre des actions correctives, améliorer en continu.

Statement of Applicability (SoA)

Le SoA est le document central du SMSI : il liste l'ensemble des contrôles de sécurité, précise ceux qui sont retenus ou exclus, et justifie chaque décision. C'est la pièce maîtresse d'un audit de certification ISO 27001.

14 domaines de contrôle ISO 27001 (Annexe A)

1. Politiques de sécurité de l'information
2. Organisation de la sécurité
3. Sécurité des ressources humaines
4. Gestion des actifs
5. Contrôle d'accès
6. Cryptographie
7. Sécurité physique et environnementale
8. Sécurité des opérations
9. Sécurité des communications
10. Acquisition, développement et maintenance des systèmes
11. Relations fournisseurs
12. Gestion des incidents de sécurité de l'information
13. Aspects sécurité de la continuité d'activité
14. Conformité

6) RGPD — exigences de sécurité (article 32)

Le RGPD impose des mesures techniques et organisationnelles appropriées en fonction du risque (art. 32). Ces mesures comprennent notamment :

• Pseudonymisation et chiffrement des données personnelles lorsque c'est pertinent.
• Capacité à assurer la confidentialité, l'intégrité, la disponibilité et la résilience des systèmes et services de traitement.
• Processus de restauration des données à caractère personnel en cas d'incident (tests de sauvegarde réguliers).
• Procédures régulières d'évaluation et de tests de l'efficacité des mesures techniques et organisationnelles.
• Tenue d'une analyse d'impact (DPIA) si le traitement est susceptible d'engendrer un risque élevé pour les droits et libertés.

🔧 Travail pratique (TP S1) — Cartographie des actifs d'InnovatTech SARL

Objectif : produire un inventaire et une classification de 15 actifs, puis identifier 5 menaces principales avec estimation de vraisemblance et impact.

Consignes

1. Produire un tableau listant 15 actifs en indiquant : propriétaire, localisation (physique/virtuelle), type d'actif (serveur, réseau, application, données), valeur métier.
2. Classifier chaque actif en C1/C2/C3 avec une justification courte.
3. Identifier 5 menaces pertinentes et, pour chacune, estimer : vraisemblance (1–4), impact (1–4), criticité = vraisemblance × impact.
4. Rendre : tableau CSV / Excel + synthèse 1 page.

Exemple d'inventaire — modèle pour la correction

Exemple de 5 menaces

📚 Ressources et supports

• Normes : ISO/IEC 27001:2013 (SMSI), ISO/IEC 27002:2013 (bonnes pratiques)
• Réglementation : RGPD — Règlement (UE) 2016/679 (texte consolidé, art. 32)
• Guides : Guides CNIL (cnil.fr), Guides ANSSI pour les PSI
• Documents fournis : modèle d'inventaire, grille de classification C1/C2/C3, barème d'évaluation TP

🎮 Quiz — Valide tes connaissances

5 questions · Combo x3 disponible · Scores envoyés au leaderboard SISR