Stratégie de sécurité de l'information: avez-vous décidé de la marche à suivre?

Bonjour Je m'appelle Anton Udovichenko, je suis le chef du département d'audit d'Infosecurity. Sur la base de mon expérience, j'ai préparé des instructions sur la façon de développer une stratégie de sécurité de l'information dans une entreprise.


L'élaboration d'une stratégie de sécurité de l'information (SI) pour de nombreuses entreprises semble être une tâche difficile, tant du point de vue de l'organisation du processus de développement lui-même que de la mise en œuvre pratique ultérieure de la stratégie. Certaines entreprises disent qu'elles peuvent se passer d'une planification formelle, sans perdre de temps et d'énergie à faire des plans, ce qui se justifie par des changements rapides sur le marché des technologies qui traversent tous leurs efforts. Compte tenu de la présence d'actions efficaces, cette approche peut conduire à un certain succès, mais non seulement elle ne garantit pas le succès à l'avenir, mais la met également en doute. La planification formelle réduit considérablement le risque de prendre de mauvaises décisions et sert de base à un contrôle ultérieur, et contribue également à accroître la préparation aux changements du marché.

La nécessité d'une stratégie de sécurité de l'information se pose, en règle générale, pour les entreprises qui se sentent déjà suffisamment confiantes sur le marché pour faire des plans pour les années à venir, mais qui ont fait face aux défis suivants:

• manque de corrélation entre les objectifs stratégiques de l'entreprise et les directions de développement de la sécurité de l'information;
• niveau insuffisant de sécurité de l'information des processus commerciaux clés de l'entreprise;
• faible retour sur investissement dans le développement de la sécurité de l'information.

La stratégie de développement du SI doit être considérée comme une sorte de carte qui définit les points de repère sur le terrain et oriente vers l'objectif. Il vous permet de rendre les objectifs réalisables gérables en fixant des limites et des priorités pour les décisions tactiques pour ceux qui sont responsables du développement de l'entreprise et / ou des domaines individuels. Il convient de noter que la stratégie de sécurité de l'information ne doit pas être statique et, comme le facteur d'incertitude diminue avec le temps, la stratégie doit être revue et, si nécessaire, ajustée, en fixant de nouvelles priorités pour les décisions tactiques.

Pour qui une stratégie de sécurité de l'information est-elle intéressante?

Certains pensent à tort que la stratégie SI n'est nécessaire que par les responsables de la garantie SI. En fait, il y a beaucoup plus d'utilisateurs de la stratégie SI et chacun a son propre intérêt, les principaux sont:

Direction d'entreprise:

• comprendre le rôle de la sécurité de l'information dans la mise en œuvre du concept général de développement de l'entreprise;
• assurer la cohérence avec la stratégie de développement de l'ensemble de l'entreprise;
• compréhension des objectifs et du volume d'investissement dans la sécurité de l'information;
• répartition rationnelle des investissements;
• outils de suivi de la réalisation des objectifs.

Service des technologies de l'information:

• comprendre le rôle de la sécurité de l'information dans le développement d'une entreprise informatique;
• compréhension des exigences du SI à l'architecture informatique cible.

Service de sécurité de l'information:

• la présence de principes uniformes pour le développement de la sécurité de l'information;
• compréhension de l'architecture cible de l'entreprise de sécurité de l'information;
• disponibilité d'un plan d'action détaillé (portefeuille de projets);
• une compréhension claire des ressources nécessaires;
• respect de la législation et des normes de l'industrie en matière de sécurité de l'information;
• des outils de suivi de la réalisation des objectifs SI.

La procédure d'élaboration des stratégies de sécurité de l'information

Avant de considérer les principales étapes de l'élaboration d'une stratégie, vous devez déterminer le critère de qualité de la stratégie SI et, en conséquence, dans le but de la développer, vous obtiendrez des réponses complètes à trois questions:

• Quels sont les objectifs stratégiques pour le développement de la sécurité de l'information, comment ces objectifs sont-ils en corrélation avec les objectifs stratégiques de l'entreprise?
• Quel est le futur profil (statut) de l'entreprise de sécurité de l'information?
• Quelles mesures doivent être prises pour atteindre les objectifs stratégiques du développement de la sécurité de l'information?

Étape 1. Préparation. Pour commencer, nous déterminerons les paramètres et l'ordre de gestion du projet.

Tâches clés à résoudre:

• créer une équipe de projet et fixer des objectifs;
• coordination de la structure des données collectées et adaptation des modèles;
• coordination des limites du projet, de la structure et du contenu des documents de rapport;
• coordination du processus de gestion de projet
• détermination de la procédure de résolution des problèmes émergents;
• préparation et approbation d'un plan de travail.

À ce stade, en effet, vous devez définir les facteurs clés de succès et atteindre les résultats souhaités, à savoir:

1. Implication de la direction dans le projet: l'élaboration et la mise en œuvre de la stratégie de sécurité de l'information devraient, en premier lieu, être soutenues par la direction de l'entreprise, qui devrait être responsable du suivi de l'avancement des travaux, de l'allocation des ressources nécessaires, ainsi que de l'approbation ultérieure de la stratégie développée.
   
2. Formation de l'équipe de projet: sa composition devrait inclure les employés les plus compétents et rester inchangée tout au long du projet. Les unités organisationnelles suivantes se distinguent dans le projet:
   
   • Conservateur de projet de l'entrepreneur;
     
   • Commissaire de projet de la part du client;
     
   • comité de pilotage;
     
   • Chef de projet de la part de l'entrepreneur;
     
   • le chef du groupe de travail de la part du Client;
     
   • Équipe de projet de l'entrepreneur;
     
   • spécialistes fonctionnels du côté du client.
     
   
   
3. Énoncé clair des objectifs, des exigences, des limites, ainsi que des critères de réussite du projet, qui respecteront strictement la bonne direction et répondront aux attentes du client.
   
4. Élaboration d'une procédure de gestion de projet: les processus de communication et de prise de décision assurent l'interconnexion et l'interdépendance de toutes les fonctions de gestion, assurant ainsi l'intégrité et l'efficacité du processus de gestion. La procédure devrait prévoir la répartition des pouvoirs et des responsabilités, la procédure d'interaction des participants, la procédure de coordination des résultats intermédiaires et finaux, la procédure de gestion des problèmes et de modification du projet.
   

Le résultat de cette étape devrait être:

• charte de projet, calendrier de travail, calendrier des entretiens nécessaires;
• structure des documents de rapport et modèles de collecte de données / documents de rapport.

Étape 2. Analyse de l'état actuel de la sécurité de l'information. Le but de l'étape est de collecter et d'analyser l'ordre et les méthodes de traitement des informations du point de vue de la sécurité de l'information, l'état actuel de la sécurité de la sécurité de l'information.

Questions clés auxquelles il faut répondre:

• Quel est le rôle de la sécurité des informations dans une entreprise?
• Quelles exigences sont à la base du fonctionnement de l'entreprise de sécurité de l'information?
• Quel est l'état actuel des processus de sécurité des SI?
• Quels outils de protection des informations sont utilisés, leurs avantages et leurs inconvénients?
• Quelles sont les exigences d'une entreprise pour assurer la sécurité des informations?

La mise en place du rôle de la sécurité de l'information dans l'entreprise définit le contexte général du développement d'une stratégie et se fait à tous les niveaux: direction, chefs de service et salariés.

Les informations sont collectées dans les domaines suivants:

• le niveau de culture de la sécurité de l'information dans l'entreprise;
• Priorité SI par rapport aux processus métiers;
• l'impact de la sécurité de l'information sur les processus commerciaux de l'entreprise;
• sensibilisation de la direction au besoin de sécurité de l'information;
• degré d'implication et de sensibilisation des employés aux questions de sécurité de l'information.

L'étape suivante consiste à identifier les exigences que l'entreprise est obligée de suivre ou sur lesquelles elle a volontairement décidé de se concentrer. Les exigences, en substance, sont à la base du fonctionnement de la sécurité de l'information, notamment la législation, les normes de l'industrie, les normes nationales et internationales de sécurité de l'information, les politiques d'un groupe d'entreprises, etc.

L'étape d'examen et d'analyse des processus de sécurité de l'information est une étape clé, déterminant en grande partie le résultat de l'ensemble du projet. Sa complexité réside dans la nécessité d'obtenir des informations fiables et objectives suffisantes pour former le profil futur de la sécurité de l'information, en règle générale, pour une durée très limitée. On peut distinguer trois approches conceptuelles: de base, détaillée et combinée (expert).

Approche de base

L'approche implique l'analyse de l'état de la sécurité de l'information pour la conformité avec un certain niveau de sécurité de base. Le niveau de base est un certain ensemble standard de mesures de protection, en règle générale, caractéristique des entreprises opérant dans le même domaine, pour la protection de tous ou des systèmes d'information individuels. Un ensemble typique de mesures de protection est formé en fonction des besoins des entreprises à utiliser certaines mesures standard, par exemple, pour se conformer aux exigences légales, ainsi que pour se protéger contre les menaces les plus courantes.

L'approche de base vous permet de gérer le montant minimum de ressources pendant l'analyse, peut être mis en œuvre même sous la forme de listes de contrôle avec des questions concernant la disponibilité de certaines mesures et les paramètres de leur mise en œuvre. Un inconvénient important de cette approche est l'inexactitude et les limites des informations collectées, car le niveau de base ne peut pas toujours correspondre à la criticité des informations traitées, à la spécificité de ses systèmes d'information et de ses processus métier. Les systèmes distincts d'une entreprise peuvent être caractérisés par des degrés de sensibilité variables, des volumes et des valeurs d'informations différents; l'utilisation de mesures de protection générales dans ce cas sera logiquement incorrecte.

Approche détaillée

Une approche détaillée implique une étude complète des processus de traitement de l'information et la garantie de la sécurité de l'information de l'entreprise. Une telle approche comprend l'identification et l'évaluation des actifs informationnels, l'évaluation des risques de violation des SI, l'évaluation de la maturité des processus SI, l'analyse des statistiques d'incidents, l'analyse des revues publiques et les rapports des régulateurs.

Les résultats d'une analyse détaillée permettent de faire un choix raisonné de mesures de protection lors de l'élaboration du profil futur de la sécurité de l'information, cependant, la mise en œuvre de cette approche nécessite une somme importante d'argent, de temps et de main-d'œuvre qualifiée. En outre, il existe une certaine probabilité d'obsolescence des résultats de l'enquête, car une telle approche peut nécessiter un temps considérable.

Approche combinée (experte)

L'application de chacune des approches décrites ci-dessus présente des limites importantes et ne permet pas toujours de collecter suffisamment d'informations pendant un temps acceptable pour développer raisonnablement une stratégie de sécurité de l'information et former un portefeuille de projets. Par conséquent, dans la pratique, diverses combinaisons de ces approches sont utilisées, y compris des méthodes formelles d'analyse et l'expérience pratique de spécialistes. En règle générale, cette approche est basée sur une analyse préliminaire pour une évaluation de haut niveau des risques de violation de la sécurité des informations, en tenant compte de la criticité des informations (confidentielles), des flux d'informations et de l'importance des systèmes d'information. À l'avenir, une analyse détaillée est effectuée pour les systèmes d'information à haut risque, pour d'autres, elle peut être limitée par l'approche de base. En outre, une analyse détaillée et une description des principaux processus de sécurité de l'information sont effectuées, ainsi qu'une évaluation des outils et des méthodes utilisés pour protéger les informations, leurs avantages et leurs inconvénients.

Cette approche permet, avec un minimum de temps et d'efforts consacrés à l'identification de l'état actuel, d'obtenir les données nécessaires pour former le futur profil de la sécurité de l'information. Il convient de noter que l'objectivité et la qualité des résultats de l'enquête dans cette approche seront déterminées par la qualité de la méthodologie d'enquête et l'expérience de son utilisation par des spécialistes.

En outre, il convient de noter que le choix des méthodes d'enquête et le degré d'implication des employés seront déterminés par l'approche utilisée et la méthodologie d'enquête. Par exemple, l'approche de base peut se limiter à l'analyse de documents internes et de questionnaires avec un certain nombre d'entretiens avec des employés clés, tandis que les deux autres approches impliquent un plus grand nombre d'employés et un éventail d'outils plus large:

• analyse des documents internes;
• interrogatoire;
• entretien;
• inspection visuelle;
• examen par des moyens techniques spécialisés.

À la fin de cette étape, quelle que soit l'approche choisie, vous devez vous attendre:

• avis d'expert sur le niveau de développement de l'entreprise de sécurité de l'information;
• évaluation intégrale de l'état actuel de la sécurité de l'information;
• Description des exigences commerciales pour la sécurité de l'information;
• rapport et présentation des résultats de l'étape.

Étape 3. Développement du profil cible de la sécurité de l'information. À ce stade, les tâches clés suivantes sont résolues:

• assurer la relation entre les objectifs stratégiques de l'entreprise et les orientations de développement de la sécurité de l'information;
• formulation des principes de base de la stratégie de sécurité de l'information;
• détermination du profil futur de l'entreprise de sécurité de l'information.

L'un des principaux obstacles à l'élaboration d'une stratégie de sécurité de l'information en termes de gestion des attentes des dirigeants est le manque de conditions initiales claires, à savoir la stratégie de développement de l'entreprise avec une description claire de tous les aspects en termes compréhensibles. Dans la pratique, en règle générale, il existe soit une absence de stratégie de développement pour l'entreprise en tant que telle, soit elle n'est pas formalisée et, au mieux, peut être formulée par des mots.

Le problème de l'absence d'une stratégie de développement pour l'entreprise est résolu par les efforts conjoints des représentants des entreprises, des TI et des SI dans le développement d'une vision commune des tâches SI, en tenant compte des facteurs suivants:

• quelles initiatives sont prévues dans toute l'entreprise, y compris les changements organisationnels, le développement du marché et de la technologie;
• quels changements sont prévus dans les processus commerciaux et informatiques;
• quelles décisions importantes dépendent de la fiabilité, de l'intégrité ou de la disponibilité des informations, ou de leur réception en temps opportun;
• quels types d'informations confidentielles nécessitent une protection;
• quelles conséquences peuvent survenir pour l'entreprise après la survenance d'un incident de sécurité de l'information;
• quels changements dans l'environnement extérieur peuvent être attendus, y compris les actions des concurrents, les changements dans la législation, etc.

Les réponses à ces questions peuvent aider à formuler les objectifs de la sécurité de l'information dans l'entreprise. À son tour, il convient de garder à l'esprit que pour chaque initiative ou action proposée, les résultats possibles ou souhaités, les risques de leur mise en œuvre, ainsi que les risques en cas de refus de mise en œuvre, doivent être évalués.

En effet, les principes de base de la stratégie SI déterminent l'ensemble des règles globales à suivre lors de sa construction, ainsi que lors du choix et de la mise en œuvre des solutions. Les principes sont formulés en fonction des objectifs stratégiques, des processus de l'entreprise, des opportunités d'investissement, etc., ils sont donc généralement individuels pour l'entreprise. Nous mettons en évidence certains principes universels:

• Intégrité du SI: les solutions logicielles et matérielles applicables, ainsi que les mesures organisationnelles, doivent être mutuellement convenues et fournir un niveau de sécurité spécifié;
• normalisation et unification: la diversité des technologies utilisées doit être minimisée afin de réduire le coût du maintien de l'expertise et des décisions, leur coordination et intégration, l'octroi de licences et la maintenance;
• facilité d'utilisation: les méthodes et les moyens utilisés pour assurer la sécurité de l'information ne devraient pas conduire à une augmentation du nombre d'actions erronées du personnel, alors que ce principe ne signifie pas la simplicité de l'architecture ou une diminution des fonctionnalités;
• privilèges minimaux: l'essence du principe est l'attribution des moindres droits, qui ne doit pas conduire à une violation du travail de l'utilisateur;
• efficacité économique: les solutions appliquées doivent s'efforcer de réduire le coût total de possession, d'augmenter le taux de retour sur investissement et d'optimiser d'autres indicateurs pour évaluer l'efficacité économique des investissements.

La formation du futur profil de la sécurité de l'information est la solution à plusieurs tâches partiellement conflictuelles:

• se conformer aux exigences de sécurité de l'information (législation, régulateurs, fabricants, partenaires, etc.);
• minimiser les risques de violation du SI;
• assurer la conformité aux objectifs commerciaux, en tenant compte des changements prévus dans les processus commerciaux et informatiques;
• assurer l'attractivité des investissements de la sécurité de l'information.

Il existe de nombreuses normes, à la fois internationales (ISO, COBIT, NIST, etc.) et russes (STO BR, GOST, etc.), qui peuvent être adoptées pour former le futur profil de la sécurité de l'information. Cependant, il est important de se rappeler ici qu'aucune norme ne peut être pleinement appliquée à toutes les entreprises. Par conséquent, vous ne devez pas développer une stratégie basée uniquement sur une norme ou tout faire sous la copie conforme. En dernière analyse, toutes les composantes du processus de sécurité de l'information doivent s'inscrire organiquement dans la logique du développement des affaires: d'une part, ne restreignez pas trop le développement et, d'autre part, maintenez les risques dans des limites spécifiées.

Une question importante qui doit également être prise en compte dans le cadre de la stratégie des SI est le nombre et les qualifications du personnel, qui sont nécessaires pour garantir l'accomplissement des fonctions de base. Il faudrait au moins élaborer le modèle de compétence le plus simple qui, en plus des responsabilités professionnelles, déterminera les connaissances et les compétences organisationnelles et industrielles dont le personnel a besoin. Lors de l'élaboration d'une stratégie de sécurité de l'information, il est préférable de n'offrir que les solutions qui nécessiteront des compétences ultérieurement disponibles pour l'entreprise, ou au moins des compétences qui peuvent être obtenues avec un minimum d'effort.

Une autre question à considérer est l'externalisation. Il peut être un bon outil qui accélère la mise en œuvre de nombreuses fonctions de sécurité de l'information, ainsi que de fournir leur soutien opérationnel. Lors de la décision d'externaliser, il est nécessaire de prendre en compte les risques pertinents, car le recours à des sociétés tierces pour fournir des SI ne signifie pas toujours transférer la responsabilité à leurs clients et régulateurs.En outre, en cas d'incident, les clients se moquent souvent de la cause de l'échec. Dans ce cas, les fonctions de gestion et de contrôle de la sécurité de l'information ne doivent pas être totalement externalisées.

Le résultat de cette étape sera:

• buts et objectifs, principes du développement de la sécurité de l'information;
• description de la composition et des fonctionnalités du système de sécurité de l'information cible;
• description des processus de gestion de la sécurité des informations cibles;
• rapport et présentation des résultats de l'étape.

Étape 4. Formation du portefeuille de projets de sécurité de l'information. Au stade final, le problème de l'efficacité des investissements dans le développement de la sécurité de l'information est résolu. À cet effet, un portefeuille de projets de sécurité de l'information est en cours de constitution, comprenant l'évaluation et la sélection de projets potentiels, fixant leurs priorités et fixant des critères de faisabilité.

Il existe un grand nombre de méthodes pour évaluer les projets potentiels à inclure dans le portefeuille: économique-mathématique, expert-analytique, graphique. Parmi celles-ci, les méthodes analytiques expertes, en particulier la méthode des critères pondérés multiples, qui permet une évaluation à la fois sur des critères quantitatifs et qualitatifs, en priorisant les projets en tenant compte de leur spécificité et en étant faciles à utiliser, sont largement utilisées en relation avec les projets IT / IS. L'essence de la méthode est d'attribuer un poids spécifique à chaque critère, déterminé en fonction de son importance pour la réalisation des objectifs stratégiques. Un ensemble de critères et leur gravité spécifique sont propres à chaque entreprise et sont déterminés par sa spécificité et son ampleur d'activité. Dans la pratique, les groupes de critères sont le plus souvent utilisés: critères financiers, critères commerciaux, critères de risque. La procédure d'évaluation utilisant cette méthode est simple et comprend les étapes suivantes:

• détermination d'un ensemble de critères et de leur gravité spécifique;
• évaluation de chaque projet potentiel selon un ensemble donné de critères;
• calcul de l'évaluation intégrale de chaque projet potentiel;
• classement des projets potentiels sur la base d'une évaluation intégrée.

La prochaine étape après l'évaluation des projets est la formation d'un ensemble optimal de projets qui assure le mieux la réalisation des objectifs stratégiques de l'entreprise, en tenant compte des restrictions actuelles. A cette étape, des écarts importants entre les indicateurs du projet sont identifiés et leur lissage en tenant compte de leurs interconnexions. En règle générale, les principales lignes directrices pour trouver la meilleure solution sont les suivantes:

• l'effet maximal de la mise en œuvre des projets dans les meilleurs délais, compte tenu des contraintes financières;
• l'effet de la mise en œuvre d'une séquence de projets interconnectés.

La dernière question à laquelle il faut répondre lors de l'élaboration d'une stratégie de sécurité de l'information est de savoir comment, dans le cadre de sa mise en œuvre ultérieure, savoir si nous allons dans la bonne direction et combien nous avons progressé. Pour évaluer l'efficacité de la mise en œuvre de la stratégie SI, un ensemble de métriques est posé. Les mesures doivent être cohérentes avec les objectifs de l'entreprise.Par conséquent, lors du développement de mesures, il est important de déterminer d'abord l'avantage commercial réel de fournir la sécurité des informations, puis les critères qui peuvent être utilisés pour évaluer la réalisation de cet avantage. En règle générale, la direction de l'entreprise, en tant que mesure, perçoit les indicateurs en termes monétaires ou le degré d'influence sur les processus métier. , .

:

• ;
• « » ;
• ;
• ;
• .

, , .

.

« », , . , , — , «». , , .

.

- — , , () . , . , , .

.

, , , . , , .

.

, . , , .

, , . , .

Conclusion

, , . , , . , , — .