Politique de sécurité et organisation

1. Politique de sécurité et organisation

2. CONTRAINTES SECTORIELLES REGLEMENTATION INTERNE LEGISLATION CRBF-9702 Livre Blanc Comité de Bâle Règlement intérieur Textes de lois Déontologie CADRE DE REFERENCE Politiques locales de sécurité Politique du Système d’Information MAITRES D’OUVRAGE UTILISATEURS Analyse des risques métiers MAITRES D’OEUVRE Charte de sécurité utilisateurs Règles de sécurité opérationnelles spécifiques aux contextes organisationnels, techniques et humains Cartographie des risques Exigences de sécurité Guides de bonnes pratiques Méthode d'intégration de la sécurité dans les projets informatiques Cahiers des charges Contrats de service Procédures d'administration, d’utilisation et de contrôle Politique de sécurité - Principes de conception et de déclinaison CONTROLES DE CONFORMITE Analyse des risques du système d’information I.G Audit C.I…

3. Processus sécuritaires et responsabilités clés Définition / évolution du cadre général de SSI DG / RMSI Mise en œuvre opérationnelle du cadre général de SSI MOA ’s / MOE ’s Évaluation des risques / Classification des ressources MOA ’s / fonctions SSI Elaboration des plans d ’action SSI MOA ’s / RSSI TACHES CADRAGE CONCEPTION APPLICATION CONTRÔLE SUIVI / EVOLUTION Mise en œuvre des plans d’action SSI MOE ’s Intégration de la sécurité dans les projets MOA ’s / MOE ’s Sensibilisation / Formation Fonctions SSI Veille sécuritaire RSSI / (MOE ’s) Surveillance / Gestion des incidents MOA ’s / MOE ’s DG / RMSI / RSSI/ MOA ’s / MOE ’s…. Gestion de crise Reporting / Tableaux de bord Fonction SSI / MOA ’s / MOE ’s Audit DG / Audit

4. GESTION DU RISQUE ET SSI : quels métiers / fonctions dans l ’Entreprise ? ANIMATEURS Correspondants ANALYSTE EDUCATEUR VEILLEUR URGENTISTE SUPPORTS (RH, RMSI - RSSI ENQUETEUR REGULATEUR FOURNISSEUR MOA MOE AUDITEUR INTEGRATEUR ADMINISTRATEUR CONTROLEUR ARCHITECTE INSTANCES DE PILOTAGE

5. Exemple d ’Organisation : un groupe financier Décision / Pilotage AUDIT Comité Décisionnel de Pilotage Fonctions SSI Inspection Générale Groupe RMSI Groupe Fonctions support Contrôle interne Comité Sécurité des S.I. Fonctions SSI Entités Opérationnelles et Fonctionnelles Correspondant SSI Pôle / filiale / activité Propriétaires Comité Sécurité de Pôle Correspondants Sécurité Utilisateurs Comités de crise Études Production Architectes / Experts M O N I T O R I N G RSSI - Informatique RSI Administrateurs RSI Equipes Etudes & Développements Equipes Exploitation

6. Exemple d ’Organisation : le rôle du correspondant sécurité • Prolonge l’action du RSSI groupe dans l’animation de la politique de sécurité • Déploie l’organisation sécurité • Appuie les métiers lors des analyses de risque • Assiste les services juridiques dans la définition de la politique d ’assurance • S ’assure de la prise en compte de la sécurité tout au long des différentes étapes des projets informatiques • Coordonne l ’élaboration du plan de continuité d ’activité de son entité • Anime la gestion des habilitations au sein de son entité • Assume la diffusion des supports de sensibilisation • Contrôle le respect des règles édictées dans la politique et ses documents d ’application • Constitue le livre d ’inventaire du patrimoine immatériel de l ’entité • Collecte et transmet les indicateurs sécurité

7. Système de suivi et de contrôle Organisation Indicateurs de 1er niveau Indicateurs de 2éme niveau Politique sécurité Normes, directives, méthodes... Projets infrastructures Cartographie des failles Plan d ’action Indicateurs de 3éme niveau Cartographie des risques Projets métiers Plan d ’action Sensibilisation et formation GESTION DU RISQUE ET SSI : construire et suivre le programme sécurité

8. GESTION DU RISQUE ET SSI : les grands comptes Le Cadre de Référence L’organisation L’approche des risques La sécurité des accès La sécurité des applications La continuité de service Le contrôle et la surveillance La SSI s ’interface de plus en plus avec les politiques de gestion du risque ( fraude, sécurité des opérations, sécurité des biens et des personnes, sûreté). 2 à 4% du budget informatique