Introduction à l’audit informatique
Introduction
L'informatique est devenue un outil incontournable de gestion, d'organisation, de production et de communication.
Le réseau informatique permet aux entreprises de mettre en œuvre des données sensibles, de les stocker les partager en interne et parfois les communiquer à l’extérieur. Cette ouverture vers l'extérieur permet de gagner en productivité et en compétitivité.
Il est donc impossible de renoncer aux bénéfices de l'informatisation, d'isoler le réseau de l'extérieur, de retirer aux données leur caractère électronique et confidentiel. Les données sensibles du système d'information de l'entreprise sont donc exposées aux actes de malveillance dont la nature et la méthode d'intrusion sont sans cesse changeantes. Les prédateurs et voleurs s'attaquent aux ordinateurs surtout par le biais d'accès aux réseaux qui relient l'entreprise à l'extérieur.
L’établissement d’une stratégie/politique de sécurité (avant même la création du réseau) s’avère, donc, indispensable.
I. Les étapes de mise en œuvre d’une politique de sécurité
1. Phase de définition
La phase de définition des besoins en termes de sécurité est la première étape vers la mise en œuvre d'une politique de sécurité.
L'objectif consiste à déterminer les besoins de l'organisation en faisant un véritable état des lieux du système d'information, puis d'étudier les différents risques et la menace qu'ils représentent afin de mettre en œuvre une politique de sécurité adaptée.
La phase de définition comporte ainsi trois étapes :
L'identification des besoins
L'analyse des risques
La définition de la politique de sécurité a. Identification des besoins
La phase d'identification des besoins consiste dans un premier temps à faire l'inventaire du système d'information, notamment pour les éléments suivants :
Personnes et fonctions ;
Matériels, serveurs et les services qu'ils délivrent ;
Cartographie du réseau (plan d'adressage, topologie physique, topologie logique, etc.) ;
Liste des noms de domaine de l'entreprise ;
Infrastructure de communication (routeurs, commutateurs, etc.)
Données sensibles.
b. Analyse des risques
L'étape d'analyse des risques consiste à répertorier les différents risques encourus, d'estimer leur probabilité et enfin d'étudier leur impact.
La meilleure approche pour analyser l'impact d'une menace consiste à estimer le coût des dommages qu'elle causerait (par exemple attaque sur un serveur ou détérioration de données vitales pour l'entreprise).
Sur cette base, il peut être intéressant de dresser un tableau des risques et de leur potentialité, c'est-à-dire leur probabilité de se produire, en leur affectant des niveaux échelonné selon un barème à définir, par exemple :
Sans objet (ou improbable) : la menace n'a pas lieu d'être ;
Faible : la menace a peu de chance de se produire ;
Moyenne : la menace est réelle ;
Haute : la menace a de grandes chances de se produire.
c. Définition de la politique de sécurité
La politique de sécurité est le document de référence définissant les objectifs poursuivis en matière de sécurité et les moyens mis en œuvre pour les assurer.
La politique de sécurité définit un certain nombre de règles, de procédures et de bonnes pratiques permettant d'assurer un niveau de sécurité conforme aux besoins de l'organisation.
Un tel document doit nécessairement être conduit comme un véritable projet associant des représentants des utilisateurs et conduit au plus haut niveau de la hiérarchie, afin qu'il soit accepté par tous. Lorsque la rédaction de la politique de sécurité est terminée, les clauses concernant le personnel doivent leur être communiquées, afin de donner à la politique de sécurité le maximum d'impact.
2. Méthodes
Il existe de nombreuses méthodes permettant de mettre au point une politique de sécurité.
Voici une liste non exhaustive des principales méthodes :
MARION (Méthodologie d'Analyse de Risques Informatiques Orientée par Niveaux), mise au point par le CLUSIF ;
https://www.clusif.asso.fr/fr/production/mehari/
MEHARI (MEthode Harmonisée d'Analyse de RIsques) ;
o https://www.clusif.asso.fr/fr/production/mehari/
EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité), mise au point par la DCSSI (Direction Centrale de la Sécurité des Systèmes d'Information) ;
o http://www.ssi.gouv.fr/fr/confiance/ebios.html
La norme ISO 17799.
3. Phase de mise en oeuvre
La phase de mise en œuvre consiste à déployer des moyens et des dispositifs visant à sécuriser le système d'information ainsi que de faire appliquer les règles définies dans la politique de sécurité.
Les principaux dispositifs permettant de sécuriser un réseau contre les intrusions sont les systèmes pare-feu. Néanmoins ce type de dispositif ne protège pas la confidentialité des données circulant sur le réseau.
Ainsi, la plupart du temps il est nécessaire de recourir à des applications implémentant des algorithmes cryptographiques permettant de garantir la confidentialité des échanges.
La mise en place de tunnels sécurisés (VPN) permet d'obtenir un niveau de sécurisation supplémentaire dans la mesure où l'ensemble de la communication est chiffrée.
II. Notion d'audit
1. Définition
1. Mission d'examen et de vérification de la conformité (aux règles de droit, de gestion) d'une opération, d'une activité particulière ou de la situation générale d'une entreprise.
2. Un audit de sécurité (en anglais security audit) consiste à s'appuyer sur un tiers de confiance (généralement une société spécialisée en sécurité informatique) afin de valider les moyens de protection mis en oeuvre, au regard de la politique de sécurité.
2. Objectif
L'objectif de l'audit est ainsi de vérifier que chaque règle de la politique de sécurité est correctement appliquée et que l'ensemble des dispositions prises forme un tout cohérent.
Un audit de sécurité permet de s'assurer que l'ensemble des dispositions prises par l'entreprise sont réputées sûres.
III. Le métier d’auditeur
Il y a deux types d’auditeurs : l’auditeur interne et l’auditeur externe 1. Auditeur interne
L'auditeur interne effectue des contrôles réguliers au sein de son entreprise et s'assure que l'ensemble des procédures sont correctement respectées.
L'auditeur interne a pour principale mission de traquer les risques pour améliorer les résultats de l'entreprise. Pour cela il est chargé :
- d'analyser les pratiques de tous les services (comptable, financier, commercial, juridique, achats, informatique...) ;
- de rédiger des rapports de synthèse sur la base de ses observations ;
- de proposer des plans d'action pour améliorer les procédures et l'organisation des services ; - de s'assurer de la mise en oeuvre des recommandations auprès de chaque service.
L'auditeur interne est donc un expert qui doit très bien connaître les métiers sur lesquels il intervient ainsi qu'être fin diplomate pour ne pas froisser les employés qui le perçoivent souvent comme un espion de la direction.
Les principaux problèmes que peut rencontrer l'auditeur sont : - Un manque de liberté
- Des situations répétitives qui peuvent lasser - Une image négative auprès des employés
2. L'auditeur externe
L'auditeur externe exerce les mêmes tâches que l'auditeur interne, à ceci près qu'il ne travaille pas à l'intérieur de sa structure mais pour d'autres structures. Il est donc amené à se déplacer dans les entreprises pour y vérifier le respect des différentes procédures.
On perçoit tout de suite les avantages de ce métier : - Absence de conflit avec ses collègues
- Acquisition d'expériences diverses et enrichissantes - Création d'un tissu de relation
Ce métier est beaucoup plus diversifié que le précédant car, pour chaque mission, il est nécessaire de se remettre en cause et de découvrir de nouveaux environnements avec leurs spécificités propres.
L'auditeur externe devient donc un véritable expert capable de raisonner très rapidement et surtout doté de véritables capacités d'adaptation.
