LA GOUVERNANCE D'ENTREPRISE ET LA SÉCURITÉ DE L'INFORMATION

Dans le manuel de préparation au CISA 2009, page 88 il est fait mention de ce qu'est la gouvernance selon l'OCDE: "Le gouvernement d’entreprise (ou gouvernance) est l’un des principaux facteurs d’amélioration de l’efficience et de la croissance économiques et de renforcement de la confiance des investisseurs. Le gouvernement d’entreprise fait référence aux relations entre la direction d’une entreprise, son conseil d’administration, ses actionnaires et d’autres parties prenantes. Il détermine également la structure par laquelle sont définis les objectifs d’une entreprise, ainsi que les moyens de les atteindre et d’assurer une surveillance des résultats obtenus. Un gouvernement d’entreprise de qualité doit inciter le conseil d’administration et la direction à poursuivre des objectifs conformes aux intérêts de la société et de ses actionnaires et faciliter une surveillance effective des résultats obtenus. L’existence d’un système de gouvernement d’entreprise efficace, au sein de chaque entreprise et dans l’économie considérée dans sa globalité, contribue à assurer la confiance nécessaire au bon fonctionnement d’une économie de marché. Il en résulte une diminution du coût du capital et un encouragement pour les entreprises à employer plus efficacement leurs ressources, et ce faisant, à alimenter la croissance."

Ce document date de 2004 et pas un mot de la sécurité de l'information. Le manuel CISA lui, date de 2009. Nous sommes en 2011. Ou en est-on de la gouvernance, en pratique? Ou en est-on de la place de la sécurité de l'information dans son ensemble (TI et non-TI) ?

Encore aujourd'hui, les organismes ont du mal à situer le CIO, CISO, RSSI, ALT, ont du mal à définir clairement leurs relations, rôles et responsabilités.

Pourtant les bris de sécurité liés à l'information ne manquent pas...vol, perte, consultation ou modification volontaire/involontaire ont des répercussions telles que la mauvaise réputation et la perte de profits.

http://www.oecd.org/dataoecd/32/19/31652074.PDF

A noter que les Lignes directrices de l’OCDE régissant la sécurité des systèmes et réseaux d’information (VERS UNE CULTURE DE LA SÉCURITÉ) datent de 2002, presque 10 ans déjà...

http://www.oecd.org/dataoecd/16/22/15582260.pdf

Christophe - http://www.pr4gm4.com/ - 418- 261-6320

P4R4RISQUE : UN SUPPORT INSPIRÉ DU MONOPOLY POUR FAIRE ADHÉRER L’ENTREPRISE A UNE DÉMARCHE DE SÉCURITÉ ISO27000

Par Dominique Ciupa

Christophe Jolivet, expert SSI français vivant à Québec depuis 12 ans, propose une formation et surtout un support à destination des organisations/entreprises pour les faire adhérer à une démarche de gestion de risques de sécurité d’information. Une initiative originale qui s’appuie notamment sur les normes ISO 27002 et ISO 27005 et vise à les rendre accessibles à tous.

La sécurité de nos systèmes d’information passe désormais par une phase préalable de gestion des risques. Ce point est incontournable et partagé par l’ensemble des professionnels de la sécurité de l’information. La gestion des risques TI n’est en effet pas une simple question d’expert en sécurité des SI, mais doit être orientée par toutes les directions métier de l’entreprise. Ce sont elles qui doivent exprimer leurs besoins en termes de disponibilité, d’intégrité et de confidentialité de l’information. Information avec laquelle elles travaillent dans le contexte de l’entreprise. Ce sont elles aussi qui doivent expliquer les événements redoutés et ainsi permettre de mieux comprendre la nature des impacts sur les affaires en cas d’évènements indésirables liés aux TI et la vraisemblance de ces impacts. In fine, ce sont elles qui peuvent apprécier les risques et établir le lien nécessaire avec la direction générale de l'entreprise.

De son côté, l’expert en sécurité, donne des recommandations pour parer ces risques, mais ne peut rien sans le reste des acteurs de l’entreprise (sauf imposer des mesures injustifiées qui risqueront d’être rejetées…).

En d’autre termes, faire la promotion de mesure de sécurité sans prise en compte du contexte, imposer à l’ensemble de ses employés, décideurs compris des cours magistraux sur les normes de la famille ISO 27000 ne peut qu’entraîner rejet, refus, et opposition catégorique.
Christophe Jolivet (cjolivet@pr4gm4.com) propose une approche ludique pour recevoir l’adhésion de ces personnes et les inciter à échanger sur la sécurité de l’information par le biais de son support convivial. Avec « P4R4RISQUE », il met en scène un ensemble de scénarios de risques devant être gérés (accepter, transférer, refuser ou réduire) par l’acquisition de mesures de sécurité de différents types tels que la journalisation, la gestion des accès, la surveillance et la gestion des configurations. Les bonnes pratiques de l’ISO 27002 y sont présentées ainsi que la démarche de gestion des risques de sécurité de l’information ISO 27005 afin de sensibiliser son auditoire aux concepts de la SSI.

Ce qui était rébarbatif et repoussant devient alors ludique et pédagogique afin d’améliorer la compréhension et ainsi assurer une meilleure rétention des bonnes pratiques . Une manière habille pour initier et supporter la mise en œuvre d’un SMSI à travers un programme de sensibilisation.

P4R4RISQUE est disponible en plusieurs langues et est personnalisable pour chaque entreprise :

www.p4r4risque.com www.p4r4riesgo.com www.p4r4risk.com

Un outil à examiner pour tout projet de mise en œuvre d'un SMSI.
lien: http://www.mag-securs.com/News

Academos vous remercie d'être là pour eux

Par Phone Inthavong, Agent régional Capitale-Nationale et Chaudière-Appalaches

Bonjour monsieur Jolivet,
Dans la cadre de la Semaine de l'action bénévole, l'équipe d'Academos tient à vous remercier chaleureusement pour l'appui que vous apportez aux jeunes dans leur choix professionnel depuis plus de 20 mois.
Grâce à vous, les jeunes peuvent poser des questions, émettre des commentaires ou réflexions sur le métier qu'ils aimeraient faire, et ce, sans avoir peur d'être jugés.
Saviez-vous qu'avec votre appui, Academos existe depuis plus de 11 ans et que durant toutes ces années vous avez aidé près de 64 000 jeunes à travers le Québec?
Nous vous encourageons à continuer à vous investir pour la relève et à partager vos connaissances et votre savoir, car la nouvelle génération a besoin de vous.
lien: http://www.academos.qc.ca

PR4GM4 inc. est nommée dans un article du journal Les Affaires

Déjouer les pirates dans les nuages, par Julien Brault

Les principaux fournisseurs de solutions d'informatique en nuage disposent d'infrastructures plus sécuritaires que la plupart des PME québécoises. Cependant, les nuages ne sont pas à l'abri des pirates, dont les navires n'écument plus seulement les mers, mais s'attaquent maintenant aux cieux.

Selon le Montréalais Michael Calce, alias Mafiaboy, aucun serveur n'est totalement à l'abri, et l'informatique en nuage ne fait pas exception. Pire, les pirates informatiques s'intéressent d'autant plus aux services d'hébergement en nuage, comme Amazon Web Services ou Windows Azure, qu'une immense quantité d'information y est entreposée.
Il est toutefois possible de diminuer les risques en prenant des précautions et en adoptant des solutions conformes à ses besoins en matière de sécurité.

L'erreur est humaine La sécurité informatique, qui est un enjeu pour le moins technique, a cela de particulier que le facteur humain est probablement sa composante la plus importante. Christophe Jolivet, président de la firme de conseils en sécurité informatique PR4GM4, explique d'ailleurs qu'il existe trois principales façons de s'introduire dans un système, dont deux sont du ressort de l'être humain.
" Premièrement, un pirate peut exploiter une vulnérabilité de votre système ; ensuite, il peut profiter d'une mauvaise configuration de votre système pour y entrer ; finalement, il peut manipuler vos employés pour obtenir d'eux leur mot de passe. "
Ainsi, si le client qui opte pour l'informatique en nuage n'a pas le plein contrôle sur l'aspect technique, il peut toutefois s'assurer de la vigilance de ses employés.
La formation en entreprise est ainsi très importante lorsqu'on adopte une solution d'informatique en nuage. " Lors de nos formations, on incite les employés à ne pas choisir des mots de passe faibles (voir les conseils ci-contre) et à changer leurs mots de passe régulièrement ", explique Cédric Vergé, président d'EasyCloud.
Des imprudences dans la gestion d'un serveur en nuage peut également être à l'origine d'une fuite. " Lorsqu'on loue des serveurs virtuels auprès d'Amazon, on est soumis aux mêmes règles de base de sécurité qu'avec n'importe quel serveur physique ", prévient Hugo Bouchard, dont l'entreprise, Intellicloud Technologies, représente notamment Amazon Web Services.
Une question de normes

Avant de choisir un fournisseur, il importe de vérifier s'il a obtenu l'une des deux principales certifications en matière de sécurité. La plus répandue chez les fournisseurs de logiciels en nuage est la norme américaine SAS 70, qui ne porte pas précisément sur la sécurité, mais sur le respect des procédures de toute nature. Google Apps et Box.net sont certifiés SAS 70.

Pour lire la suite:
lien: http://www.lesaffaires.com/archives/generale/dejouer-les-pirates-dans-les-nuages/528274 

PR4GM4 encourage Suzanne Martel pour Le Cyclo-défi contre le cancer

Le Cyclo-défi contre le cancer au bénéfice de l'Hôpital général juif est un périple à vélo sur les routes pittoresques de la province de Québec , et je m’y suis engagé pour combattre le cancer. Ce sera un défi de taille, mais avec mon vélo, mon casque et votre générosité, je peux faire une réelle différence.
Aidez-moi à changer le cours de l’histoire en me faisant un don. Les fonds amassés grâce au Cyclo-défi seront versés pour financer des projets de recherche innovateurs, des programmes d’enseignement et des soins de qualité au Centre du cancer Segal de l’Hôpital général juif.
Je vous remercie à l’avance de votre aide.
Suzanne

Guide et recommandations pour les administrateurs de sociétés par C. Jolivet

Le 18 mars dernier s’est déroulé à Québec un séminaire sur la gouvernance et les technologies de l’information (TI) organisé par le Centre francophone d’informatisation des organisations (CEFRIO). Cet événement a permis de présenter un nouveau guide sur les pratiques exemplaires de gouvernance en TI et des recommandations.

Les TI et la sécurité informatique (SI) font de plus en plus partie des thèmes abordés par les conseils d’administration (CA). Cela dit, pour plusieurs membres de CA, la complexité de ces sujets est réelle. D’ailleurs selon une enquête réalisée par le CEFRIO et par différents partenaires de cet organisme, les questions d’ordre technologique sont celles que les administrateurs (membre de CA) abordent avec le moins de facilité : seulement un administrateur sur deux (49 %) se dit « très à l’aise » de prendre des décisions en matière de TI, alors que deux administrateurs sur trois le sont quand vient le temps de parler du positionnement stratégique de l’organisation (68 %) ou de ses ressources financières (66 %). Heureusement, un nouvel outil peut les aider à faire de bons choix en matière de TI.
Guide et décisions
Pendant le séminaire, Najoua Kooli, directrice de projet du CEFRIO, a présenté le nouveau guide sur les pratiques exemplaires de gouvernance en TI. Cet ouvrage est le fruit d’un travail qu’elle a dirigé avec six autres partenaires. Il est destiné aux membres des CA afin de leur permettre de prendre de bonnes décisions en ce qui concerne les TI. Il est possible de le télécharger gratuitement à l’adresse suivante : www.cefrio.qc.ca/upload/1670_8001guidefinalweb.pdf.
Table ronde et recommandations
Lors de l’événement, une table ronde, animée par Lyne Bouchard, vice-rectrice au Campus de Longueuil, vice-rectrice aux technologies de l'information de l’Université de Sherbrooke et administratrice de sociétés, a permis aux participants de poser des questions à des membres actifs :
• Josée Goulet, vice-présidente, marketing et communications, DMR
• Daniel Paul, avocat associé, BCF
• Martin Paré, directeur, infrastructure et intégration technologiques, SSQ
• Richard Neault, conseiller senior en SI, ISIQ
• Jacques Topping, administrateur de société, président, MissionBis, et vice-président directeur, Frima Studio
Ce qui est ressorti de cette rencontre, c’est que les CA n’entendent pas assez parler des projets en TI, hormis ceux qui représentent des investissements substantiels ou des contraintes de financement. Il y a donc peu de redditions de compte, sauf lorsqu’un comité spécial est mis en place : à noter que cette suggestion d’un des membres a semblé avoir du succès auprès des experts de la table ronde et de l’auditoire.
Assurément, les projets des TI ont de plus en plus d’impacts sur les affaires. Ils ne sont donc plus des « problèmes » qui doivent être gérés que par la haute direction. Les administrateurs ont désormais une responsabilité importante et ils ont à agir sérieusement en ce qui concerne les TI et la SI.
Il est donc recommandé de développer une expertise dans le domaine des TI, de déterminer les rôles et responsabilités de chacun et de mettre ces sujets à l’ordre du jour des CA. Les membres doivent être bien conseillés et informés afin de prendre des décisions justes quant aux considérations juridiques, organisationnelles ou technologiques.
Il est aussi crucial d’aligner les besoins d’affaires et les TI. La responsabilité des CA est de donner les orientations à la haute direction et de mettre en place des outils de gestion de risques des TI. De plus, le langage utilisé dans le domaine des TI peut être un frein d’appropriation. La vulgarisation est donc incontournable.
En résumé, il est recommandé aux CA de changer l’approche d’évitement et de se s’approprier les TI et la SI . Les aborder, les connaître et les maîtriser apporteront des avantages évidents en termes de gouvernance.lien: http://www.secus.ca/doc/secus_05_10.pfd

La fonction RSSI, Résumé de lecture par C. Jolivet, conseiller sénior en sécurité de l’information, Fondateur de PR4GM4 Services Conseils

Référence bibliographique : Foray, B. (2007). LA FONCTION RSSI, Guide des pratiques et retours d’expérience, DUNOD - ISBN 978-2-10-050218-9

Le RSSI est le responsable de la sécurité des systèmes d’information. Plus connu sous l’acronyme anglais du CISO (Chief Information Security Officer). Dans son livre, Bernard Foray nous explique et nous guide.
Dans la première partie, très intéressante, l’auteur nous parle de la mission du RSSI et de ses défis. En effet face aux menaces qui se répandent comme une pandémie, il est trop facile de faire peur en criant au loup. Mais tant que le client ne prend pas conscience des risques associés aux vulnérabilités de ses TI, il ne consacre pas d'efforts pour les atténuer. Trop souvent la sécurité est vue comme « une contrainte » (p. 17), un frein et non une valeur ajoutée à ses affaires.
L’auteur explique aussi que « la sécurité de l'information et toutes ses mises au point et ces optimisations vont certainement bousculer l'organisation, les individus et le contenu même du travail » (p. 10).
L’une des missions du RSSI est donc « de changer l'image de la sécurité afin qu'elle soit vue comme un service et non une contrainte (p. 17).
Il nous parle également, de la stratégie du gagnant-gagnant. En effet, il nous rappelle qu’ « au delà de la première réaction des techniciens, un peux vexés que vous puissiez remettre en cause leur compétence, vous aurez accru leur technicité, vous les aurez valorisé, ils se sentiront beaucoup plus confiants pour gérer leur système et tout le monde sera gagnant » (p. 19).
De plus, « le travail de RSSI est un travail de fourmi, sur le long terme, il apprend à être patient pour changer la culture de l'entreprise, le comportement des informaticiens, des utilisateurs et à faire rentrer la sécurité dans les habitudes de chacun » (p. 19). Cela prend du temps.
Dans la seconde partie il parle des fondamentaux incontournables. Il aborde des sujets tels que les politiques de filtrage de coupe-feu, les audits techniques, la gestion des journaux, la veille sur les vulnérabilités, etc.
Puis en troisième partie il explique les quelques problèmes opérationnels… tel que le déploiement d’une PKI, la sécurité et la mobilité, le Wireless, etc.
Enfin dans la quatrième partie, il parle des moyens de contrôle tel que les tests d’intrusions, les systèmes de détection d’intrusion, etc.
Ce livre de 260 pages est un retour d’expérience enrichissant. 18 chapitres indispensables à la bonne compréhension des défis à relever pour tous les professionnels qui assistent leurs clients responsables de la sécurité de l’information!