Usages imprévus du service

Ce document de type Structure s'applique au processus Gestion des risques

Sa diffusion est limitée à PILOTAGE SMSI.

Vraisemblance actuelle	Très probable
Vraisemblance future	Possible/Probable
Echéance vraisemblance future	25T3
Vraisemblance finale	Très probable

Description

Ce scénario correspond dans l'exigence EXI 05 du référentiel HDS à l'événement:
Usages imprévus du service, par maladresse ou malveillance.

Interventions en autonomie par le client dégradant la sécurité de l'information, pour lui-même ou autrui:
- Ouverture de tous les ports du pare-feu Internet
- Allocation de ressources CPU ou disque excessives, privant les autres clients
- Allocation de ressources insuffisantes, provoquant l'indisponibilité de l'application.
Attaques malveillantes sur les interfaces mises à disposition par l'hébergeur
- Injection SQL, attaques de l'OWASP10
- Déni de service

En l'absence des mesures essentielles (Mesures1), la vraisemblance serait: Très probable.
La mise en œuvre des mesures essentielles (Mesures1) réduit la vraisemblance à Possible/Probable.
La mise en œuvre des mesures principales (Mesures2) réduit la vraisemblance à Peu probable.
La mise en œuvre des mesures secondaires (Mesures3) réduit la vraisemblance à Très peu probable.

Mesure	Libellé	Niveau	Statut	Echéance
a5.10	Utilisation correcte de l'information et des actifs associés	Essentiel	Programmée	25T2
a5.16	Gestion des identités	Essentiel	Programmée	25T1
a5.17	Informations secrètes d'authentification	Essentiel	Programmée	25T3
a5.37	Procédures d'exploitation documentées	Principal	Programmée	26T3
a5.15	Contrôle d'accès	Principal	Initial
a5.18	Droits d'accès	Principal	Initial
a8.02	Privilèges d'accès	Principal	Initial
a8.03	Restriction d'accès aux informations	Principal	Initial
a8.05	Authentification sécurisée	Principal	Initial
a8.07	Mesures contre les logiciels malveillants	Principal	Initial
a8.08	Gestion des vulnérabilités techniques	Principal	Initial
a5.07	Surveillance des menaces	Secondaire	Initial

Risque	Libellé
rd_gops	Indisponibilité de données
ri_go	Altération de données non-personnelles
ri_ps	Altération de données personnelles
rc_g	Divulgation de données générales
rc_p	Divulgation de données personnelles
rc_s	Divulgation de données de santé
rc_o	Divulgation de données originales

schds06 (scn)
V0	Très probable
VF1	Possible/Probable
VF2	Peu probable
VF3	Très peu probable
Source	Usager maladroit, Intrus avec des capacités moyennes
Actifs	Logiciels en général
Mode	Détournement de l'usage prévu
Mesures1	a5.10, a5.16, a5.17
Mesures2	a5.15, a5.18, a5.37, a8.02, a8.03, a8.05, a8.07, a8.08
Mesures3	a5.07
← Previous