M117 – Sécurisation d’un réseau

1. Introduction MEHARI a été initialement conçu et est en constant développement pour aider les RSSI1 dans leur tâche de management de la sécurité de l’information et des systèmes d’information. Cette présentation générale leur est ainsi principalement destinée, mais elle s’adresse également aux auditeurs ou aux Risk Managers qui partagent, dans une large mesure, les mêmes préoccupations.

Cette présentation vise principalement à décrire les utilisations que l’on peut faire de MEHARI, étant entendu qu’une description plus complète de la méthode et de ses outils est fournie dans la documentation du CLUSIF, à savoir :

— La présentation des principes et mécanismes de MEHARI, — Trois guides d’utilisation, respectivement pour l’analyse des enjeux, le diagnostic des services de sécurité et l’analyse des risques, — Des manuels de référence (services de sécurité et scénarios de risque) et des bases de connaissance.

L’objectif de MEHARI est donc de fournir une gamme d’outils adaptée au management de la sécurité. Or, celui-ci se concrétise par un ensemble d’actions qui ont, chacune, des objectifs particuliers.

Parmi les actes de management citons : — L’élaboration de plans de sécurité, ou de schémas directeurs. — La mise en place de règles ou politiques de sécurité, que nous regrouperons sous l’appellation de « Référentiel de Sécurité ».

— La conduite de diagnostics, rapides ou approfondis sur l’état de la sécurité. — L’évaluation et le management des risques — La gestion de développement.

— La sensibilisation et la formation à la sécurité. — Le pilotage de la sécurité et le contrôle des actions décidées. Ces différents actes de management et leurs variantes ne sont pas exclusifs, mais au contraire des actions pouvant être menées simultanément ou successivement, par des entités distinctes ou par la même entité, en fonction de besoins ponctuels ou permanents, indépendamment ou comme parties d’un programme d’ensemble.

— la maturité de l’entreprise et de son personnel en termes de sécurité, — la volonté d’impliquer plus ou moins fortement les managers opérationnels dans les prises de décision concernant la sécurité de l’information, — la culture de l’entreprise : hiérarchique et « technocratique » (il existe des règlements et ils sont appliqués) ou, au contraire, décentralisée et responsabilisante.