Gouvernance, risque et conformité d'une PME

Contexte

Cadrer une démarche de sécurité du système d'information pour une PME fictive, sur les trois volets gouvernance, risque et conformité : poser une politique, mener une analyse de risques et aligner l'organisation sur l'ISO/IEC 27002, dans une logique d'amélioration continue (PDCA).

Analyse de risques

La méthode se déroule en quatre temps. On commence par identifier les actifs, c'est-à-dire ce qu'il faut protéger. On liste ensuite les menaces et les risques associés, y compris les menaces qui pèsent sur le matériel : vol, altération de firmware, sabotage. On estime la probabilité et l'impact de chacun. On termine en traitant le risque : le réduire, le transférer, l'accepter ou l'éviter.

L'intérêt de l'exercice est triple : limiter l'impact des incidents, décider quoi financer en premier, et justifier les budgets auprès de la direction. Le suivi s'appuie sur quelques indicateurs comme les comptes dormants, l'état d'application des correctifs ou la couverture antivirus.

Trois situations justifient d'ouvrir une cellule de crise : un rançongiciel qui paralyse tous les services, un sinistre physique dans la salle serveurs (incendie, dégât des eaux) ou une fuite massive de données clients.

Sécurité physique et gestion des incidents

Pour la salle informatique, l'idée est de contrôler qui entre et de protéger le matériel : porte renforcée avec badgeuse, vidéosurveillance, détection incendie et dégât des eaux, climatisation. Les badges sont nominatifs, non permanents et renouvelables, réservés aux personnes qui en ont besoin, et chaque passage est journalisé.

Pour les incidents, il faut définir les responsabilités et les procédures à l'avance, avec une équipe de réponse formée et des rôles clairs. Après chaque incident, une analyse sert à corriger ce qui doit l'être.

Politique de sécurité

C'est un ensemble de règles validé par la direction et l'équipe sécurité, écrit dans un document clair, diffusé à tout le monde et revu chaque année. Il s'accompagne de sensibilisation et de formation : un parcours d'intégration avant de donner le moindre accès, puis des rappels réguliers sur les menaces, les responsabilités et la façon de signaler un incident.

Segmentation réseau et filtrage des flux

L'infrastructure est découpée en trois zones séparées par des pare-feux : le réseau interne, considéré comme de confiance, la DMZ qui héberge les services exposés (web, messagerie, DNS, DHCP), et Internet, qui n'est jamais sûr.

Ce qui est autorisé : d'Internet vers la DMZ pour le web et la messagerie (80/443, SMTP 25) ; de l'interne vers la DMZ pour l'administration et les requêtes DNS et DHCP ; de l'interne vers Internet pour la navigation, de préférence via un proxy ; de la DMZ vers l'interne seulement en réponse à une requête technique partie de l'interne.

Ce qui est bloqué : tout accès direct d'Internet vers l'interne, toute connexion sortante non sollicitée de la DMZ vers Internet (pour éviter l'exfiltration et le contact avec un serveur de commande), et par défaut tout ce qui n'a pas été explicitement autorisé.

Gestion des accès

Deux processus modélisés en logigramme, avec les conventions habituelles (événement de début et de fin, tâche, décision).

Le premier traite une demande de dérogation pour utiliser un support amovible : la demande arrive avec un justificatif, la hiérarchie habilitée valide ou refuse, la sécurité vérifie, puis le contrôle permanent garde un œil dessus.

Le second décrit l'obtention d'un badge d'accès : les RH confirment l'embauche, la logistique fabrique le badge, le service habilitation y met les bons droits (horaires, bâtiments), et le salarié le récupère le jour de son arrivée.

Bilan

L'étude couvre l'analyse de risques, l'alignement ISO/IEC 27002, la politique de sécurité, la sécurité physique, la segmentation réseau et les processus d'habilitation. De quoi donner à la direction d'une PME les éléments pour décider et prioriser ses dépenses de sécurité.