~~NOCACHE~~ ====== Analyse des risques ====== TypeDoc*: POL, PROC Processus: RISK A réécrire dans le style d'une procédure ===== Politique d'analyse des risques ===== ==== Objectifs ==== L'analyse des risques vise à déterminer les mesures à mettre en œuvre pour protéger les informations du domaine d'application du SMSI et à prioriser leurs actions de déploiement. ==== Définitions ==== Dans le cadre de ce SMSI, on adopte les définitions suivantes: * Critère de sécurité: l'une des objectifs de protection des informations: disponibilité, intégrité ou confidentialité. * Classe d'information: ensemble d'informations à protéger homogène au regard des impacts qu'aurait la perte de l'un des critères de sécurité. Les classes d'information sont identifiées dans la [[déclaration de politique de sécurité#Classification|déclaration de politique de sécurité]]. * Évènement redouté: perte d'un critère de sécurité sur une classe d'information. * Gravité: appréciation de l'impact de l'événement redouté sur la tenue des objectifs de sécurité de l'Organisation. * Risque: survenue d'un événement redouté, du fait d'un scénario. * Scénario: séquence d'événement conduisant à la survenue d'un événement redouté. * Vraisemblance du scénario: appréciation de la probabilité de survenue d'un scénario donné. * Vraisemblance du risque: appréciation de la probabilité du risque, compte tenu de tous les scénarios qui peuvent y mener * Mesure: disposition technique ou organisationnelle permettant de réduire la vraisemblance d'un ou plusieurs scénarios. ==== Responsabilités ==== Le Coordinateur de la Sécurité de l'Information anime la démarche d'analyse des risques. Il organise et pilote les réunions d'évaluation et de planification, auxquelles participent les responsables opérationnels en fonction des thématiques retenues pour chaque réunion. Il consigne les évaluation et décisions dans le présent outil. La Directrice Générale appuie la démarche, et tranche en dernier recours en cas de difficulté à établir une décision de traitement. ===== Procédure d'analyse des risques ===== ==== Identification des événements redoutés ==== ==== Recherche des scénarios ==== ==== Évaluation des niveaux de risque ==== ==== Décision de traitement ==== ==== Identification des mesures ==== ==== Contre-examen des mesures ==== ==== Déclaration d'applicabilité ==== ==== Planification des actions ==== ==== Revue en COPIL SMSI ==== ==== Revue en réunion de direction ==== ===== Enregistrements ===== ===== Méthode ===== La méthode d'analyse des risques est dérivée de EBIOS 2010. S'agissant d'un système de management de la sécurité de l'information, on commence à identifier les informations que l'on cherche à protéger. Ces informations sont regroupées en classes homogènes en fonction des impacts que leur altération ou leur divulgation pourrait avoir sur les missions de l'organisme. Par exemple, on pourrait caractériser les données personnelles non sensibles, les données personnelles sensibles, les données financières, les paramétrages, les données sauvegardées, etc. En terminologie EBIOS, ces données sont les **biens essentiels**. Pour chacun des critères traditionnels de la sécurité de l'information : * Disponibilité : Propriété d'accessibilité au moment voulu des biens essentiels par les personnes autorisées. * Intégrité : Propriété d'exactitude et de complétude des biens essentiels. * Confidentialité : Propriété des biens essentiels de n'être accessibles qu'aux personnes autorisés. * Preuve : Propriété d'imputabilité des accès aux biens essentiels. on évalue l'impact sur les missions (et sur les personnes concernées, dans le cas de données personnelles) de la perte de ce critère sur chaque classe de données. Ces pertes sont les **événements redoutés**, et l'impact est coté selon une échelle de **gravité**. La question est alors, pour chaque événement redouté, d'évaluer sa **vraisemblance**. Pour cela, on va considérer un certain nombre de scénarios pouvant conduire à la survenue d'événements redoutés. Pour aider à l'identification de scénario, on s'appuie sur des listes élaborées a priori : * De **sources** possibles : un intrus, du personnel, un événement naturel, etc... * De **vecteurs** possibles, c'est à dire l'élément matériel ou immatériel sur lequel porte le scénario : des serveurs, des réseaux, des procédures (arnaque au président), des locaux, des employés, etc. Ces vecteurs sont des [[actifs sensibles]] du SMSI. * De **modes de défaillance** : mauvais usage, dégradation, perte, saturation des capacités, etc. Ces listes permettent de guider la recherche, mais aussi a posteriori de retrouver lors d'un incident si un scénario similaire a celui qui s'est produit avait été envisagé dans l'analyse, et de la réactualiser au besoin. Un équilibre doit être trouvé dans la description des scénarios : trop précis ils deviennent innombrables, trop généraux ils n'ont plus de signification. Le mieux est de pouvoir avoir une description assez générale illustrée par un ou plusieurs exemples concrets. Un **risque** est un événement redouté associé à un ou plusieurs scénarios. La vraisemblance du risque est estimée à partir de la vraisemblance des scénarios. Plusieurs méthodes de calcul existent, notamment pour aggraver la vraisemblance d'un risque comportant de nombreux scénarios de survenue, mais en définitive le simple choix de prendre la vraisemblance maximum parmi tous les scénarios suffit en pratique à identifier les risques à traiter en priorité. Pour chaque scénario, on liste les mesures permettant de réduire sa vraisemblance, hiérarchisées selon trois paliers : essentielles, principales et secondaires. La mise en œuvre de l'ensemble des mesures d'un palier réduit la vraisemblance du scénario à un niveau défini dans la description du scénario. Le **niveau de risque** s'obtient en multipliant le rang de la gravité par celui de la vraisemblance pour obtenir un indicateur chiffré. On le complète par des seuils de niveau qui permettent d'orienter la décision de traitement comme décrit dans la [[Déclaration de politique de sécurité]]. Quatre options sont possible pour le **traitement d'un risque** : * l'**acceptation**. Elle est de droit si le niveau de risque est inférieur à un seuil convenu, doit être prise par un responsable et documentée sinon. * la **réduction** par l'adoption d'une ou plusieurs **mesures** visant à réduire la vraisemblance des scénarios qui conduisent au risque. Ces mesures constituent le volet opérationnel de la politique de sécurité. * le **report contractuel**, que ce soit vers un client (protection des mots de passe)ou un sous-traitant (recours à un hébergeur extérieur). * l'**évitement**, c'est à dire l'abandon du traitement ou de l'usage dans lequel ce risque pourrait se manifester. ===== Déroulement ===== L'analyse des risques est révisée au moins une fois par an à l'occasion du [[organisation_et_gouvernance#les_reunions_du_copil_smsi|COPIL SMSI]] de septembre. Elle est également actualisée : * Lors de chaque [[organisation_et_gouvernance#les_reunions_du_copil_smsi|COPIL SMSI]], si des incidents de sécurité révèlent une insuffisance, que ce soit dans l'identification des scénarios de risques ou dans l'efficacité des mesures déployées. * En cas de changement relevant de la procédure de [[securite_dans_les_projets|sécurité de l'information dans la gestion de projet]]. Compte-tenu de la petite taille de l'équipe et de la participation de l'ensemble des responsables opérationnels au COPIL SMSI, il est collectivement propriétaire de chaque risque identifié, c'est à dire apte à prendre toute décision de traitement, y compris l'acceptation. En cas de désaccord, le responsable du Centre de Calcul est décisionnaire. Les risques de niveau [[param:risk#niveaux_de_risque|Prioritaire]] ne sont pas acceptables et doivent faire l'objet d'une autre décision de traitement. Les risques de niveau [[param:risk#niveaux_de_risque|A surveiller]] peuvent être acceptés pour l'instant. Ce critère pourra être durci au titre de l'amélioration continue lors de chaque COPIL SMSI de septembre. La décision de traitement est consignée dans la fiche du risque (attribut [[param:risk#trisk|Traitement]] et récapitulée dans la [[déclaration d'applicabilité]]. Si la décision de traitement est de réduire le risque, alors les mesures programmées contribuant à cette réduction sont récapitulées. Conformément à la procédure de [[gestion des actions]], toute mesure programmée peut être une action par elle-même, ou référencer des actions de traitement plus élémentaires. A niveau de risque équivalent, la priorité de traitement va au risque présentant la gravité la plus élevée. Elle est matérialisée par la date d'échéance des actions de traitement, elles-mêmes hiérarchisées dans la justification des vraisemblances de chaque scénario. Toutes les actions de traitement sont inscrites au plan unique des actions et suivies conformément à la procédure de [[gestion des actions]]. ===== Résultats ===== Le [[Tableau des risques]] résume le niveau des risques résiduels. Il est actualisé et archivé à l'issue de chaque réunion trimestrielle du Comité de Pilotage. Voir [[reg:comptes-rendus_des_reunions_du_copil_smsi|Comptes-rendus des réunions du COPIL SMSI]].~ Il est basé sur les éléments suivants: * [[Liste des risques]] * [[Liste des scénarios]] * [[Liste des mesures]] ===== Traitement des risques ===== Un [[plan de traitement]] est actualisé et archivé à l'issue de chaque réunion trimestrielle du Comité de Pilotage. Voir [[reg:comptes-rendus_des_reunions_du_copil_smsi|Comptes-rendus des réunions du COPIL SMSI]]. Il récapitule pour chaque risque: * Toutes les mesures effectives contribuant à réduire la vraisemblance d'un scénario menant à la réalisation du risque. * Les mesures programmées contribuant à réduire la vraisemblance d'un scénario menant à la réalisation du risque. Pour aider à la planification des actions, seules sont présentées les mesures programmées impactant à court terme les scénarios les plus probables pour le risque concerné. Les niveaux de risque résiduel pour chaque critère sont consultables [indicateurs|ici]]. ===== Enregistrements ===== * Les pages des risques, scénarios et mesures * Les présentations en réunion trimestrielle du Comité de Pilotage: tableau des risques, plan de traitement.