Comment définir une politique de sécurité

La démarche permettant la définition de la politique de sécurisation du système d'information d'une entreprise est construite autour des contraintes d'accès aux informations. Pour cela nous proposons une démarche de classement des informations (niveau conceptuel), ce classement est ensuite utilisé pour définir les contraintes issues de la politique de sécurité (niveau organisationnel).

Dans le cadre de la définition d'une politique de sécurité globale pour les acteurs d'une chaîne logistique, nous proposons une classification des informations et processus simplifiée en retenant trois critères de base:

• Importance des données par rapport à la catégorie de processus choisie.
  
  Importance des données par rapport à l'entreprise en général (toute la chaîne).
  
• Importance des données selon leurs portées et leurs horizons de décision.

Pour faciliter la spécification de la politique globale de sécurité, nous proposons de recourir à un classement des informations et processus selon trois couleurs de sensibilité:

• W: pour les données blanches, publiques.
• G: pour les données grises, semi-publiques.
• B: pour les données noires, secrètes.

Cette évaluation est menée pour les données et processus susceptibles d'être partagés dans une chaîne logistique. Pour garantir la complétude de cet inventaire, nous proposons d'utiliser le modèle SCOR. Ceci permet d'aboutir à un tableau de sensibilité que chaque entreprise peut décliner partenaire par partenaire selon le niveau de confiance qu'elle attribue au partenaire concerné.

Exemple de tableau de sensibilité

Ces spécifications permettent de définir différentes politiques de sécurité:

• Politique de «sécurité basse» basée sur la colonne 2 du tableau de sensibilité.
• Politique de «sécurité moyenne» basée sur la colonne 1 du tableau de sensibilité.
• Politique de «sécurité haute» basée sur la colonne 3 du tableau de sensibilité.

Ce tableau de sensibilité et les politiques de sécurité ainsi définies servent de cahier des charges pour définir les besoins de sécurité selon les trois services de base: confidentialité, intégrité et disponibilité. Pour chacun de ces services, des composants de sécurité seront proposés pour en permettre la mise en œuvre.

Voir Comprendre l'organisation de processus partagés

Voir Comment représenter graphiquement une politique de sécurité

Voir Comment synthétiser les contraintes de sécurité

Voir Comprendre les objectifs d'une politique de sécurité

Voir Comprendre: quelles méthodes utiliser pour un projet sécurité?

Voir Comment construire une infrastructure distribuée sécurisée

Imprimer