Ceci est une ancienne révision du document !
Ce document de type s'applique au processus Gestion des risques
Sa diffusion est limitée à PILOTAGE SMSI.
Usages imprévus du service
Ce document de type Structure s'applique au processus Gestion des risques
Sa diffusion est limitée à PILOTAGE SMSI.
| Vraisemblance actuelle | Très probable |
| Vraisemblance future | Possible/Probable |
| Echéance vraisemblance future | 25T3 |
| Vraisemblance finale | Très probable |
Description
Ce scénario correspond dans l'exigence EXI 05 du référentiel HDS à l'événement:
Usages imprévus du service, par maladresse ou malveillance.
Exemples
- Interventions en autonomie par le client dégradant la sécurité de l'information, pour lui-même ou autrui:
- Ouverture de tous les ports du pare-feu Internet
- Allocation de ressources CPU ou disque excessives, privant les autres clients
- Allocation de ressources insuffisantes, provoquant l'indisponibilité de l'application.
- Attaques malveillantes sur les interfaces mises à disposition par l'hébergeur
- Injection SQL, attaques de l'OWASP10
- Déni de service
- En l'absence des mesures essentielles (Mesures1), la vraisemblance serait: Très probable.
- La mise en œuvre des mesures essentielles (Mesures1) réduit la vraisemblance à Possible/Probable.
- La mise en œuvre des mesures principales (Mesures2) réduit la vraisemblance à Peu probable.
- La mise en œuvre des mesures secondaires (Mesures3) réduit la vraisemblance à Très peu probable.
Mesures
| Mesure | Libellé | Niveau | Statut | Echéance |
|---|---|---|---|---|
| a5.10 | Utilisation correcte de l'information et des actifs associés | Essentiel | Programmée | 25T2 |
| a5.16 | Gestion des identités | Essentiel | Programmée | 25T1 |
| a5.17 | Informations secrètes d'authentification | Essentiel | Programmée | 25T3 |
| a5.37 | Procédures d'exploitation documentées | Principal | Programmée | 26T3 |
| a5.15 | Contrôle d'accès | Principal | Initial | |
| a5.18 | Droits d'accès | Principal | Initial | |
| a8.02 | Privilèges d'accès | Principal | Initial | |
| a8.03 | Restriction d'accès aux informations | Principal | Initial | |
| a8.05 | Authentification sécurisée | Principal | Initial | |
| a8.07 | Mesures contre les logiciels malveillants | Principal | Initial | |
| a8.08 | Gestion des vulnérabilités techniques | Principal | Initial | |
| a5.07 | Surveillance des menaces | Secondaire | Initial |
Risques liés
Données
| schds06 (scn) | |
|---|---|
| V0 | Très probable |
| VF1 | Possible/Probable |
| VF2 | Peu probable |
| VF3 | Très peu probable |
| Source | Usager maladroit, Intrus avec des capacités moyennes |
| Vecteur | #NA |
| Mode | Détournement de l'usage prévu |
| Mesures1 | a5.10, a5.16, a5.17 |
| Mesures2 | a5.15, a5.18, a5.37, a8.02, a8.03, a8.05, a8.07, a8.08 |
| Mesures3 | a5.07 |
| Next → | |