Sécurité de l’information

Sécurité de l’information

SILVER PARTNER Microsoft

Fort de son partenariat avec Microsoft depuis de nombreuses années, AMJ-groupe rejoint les Silver Partner Microsoft pour les Solutions Cloud. Cette certification la place ainsi dans le top 5% des partenaires Microsoft.

Découvrez les principales solutions Cloud Microsoft.

AZURE

Azure est la plateforme de cloud computing de Microsoft. Elle est constituée d’une gamme croissante de services intégrés (analyse, calcul, base de données, fonctions mobiles, mise en réseau, stockage et web) qui accélèrent la migration et votre productivité, tout en vous permettant de faire des économies.

OFFICE 365

Que vous soyez à votre bureau ou en déplacement, vous tirez parti d’un ensemble d’outils de productivité haut de gamme et familiers. Les logiciels Office, toujours à jour, vous permettent de créer, de modifier et de partager des documents à partir de votre PC/Mac ou de votre appareil iOS, Android ou Windows avec tous vos collègues en temps réel.

Plans de continuité d’activité (PCA)

AMJ-groupe effectue des missions de définition de plans de continuité / reprise d’activité depuis plus de 10 ans.

Nos principales prestations dans ce domaine concernent :

  • Elaboration de PCA / PRA
  • Audits de PCA / PRA
  • Assistance aux tests et à la recette
  • Assistance à la formalisation de procédures de mise en œuvre de PCA / PRA
  • Evaluation par rapport au référentiel AFNOR Z74-700
  • Etc…

Nous pouvons aussi étudier :

  • La fourniture de locaux de repli,
  • La mise à disposition de sites de back-up informatique,
  • Et la fourniture de logiciels divers (de gestion de crise, de gestion de documentation,…..

En matière de PCA, AMJ-groupe est totalement indépendant de tout fournisseur de solution qu’il s’agisse de matériels informatiques de secours de logiciels associés ou de locaux de repli.

Les missions de définition de plans de continuité d’activité reposent sur une démarche structurée dans les principales étapes sont les suivantes :

Sécurité des systèmes d’information

Sécurité des SI

AMJ-groupe intervient dans le domaine de la Sécurité des systèmes d’information depuis plus de 15 ans. Aujourd’hui, la sécurité est un enjeu majeur pour les entreprises. Les conséquences d’une sécurité mal gérée peut-être catastrophique.

Le système d’information représente un patrimoine essentiel de l’organisation, qu’il convient de protéger. La sécurité informatique consiste à garantir que les ressources matérielles ou logicielles d’une organisation sont uniquement utilisées dans le cadre prévu 1.

Les objectifs de la sécurité des SI sont les suivants :

  1.  Disponibilité
  2.  Intégrité
  3.  Confidentialité

Afin que le système fonctionne sans faille, que les ressources et les services répondent dans les délais impartis ; que les données soient fiables ; que les accès à l’information soit filtrés.

Gérer le risque

Pour sécuriser le SI, la démarche suivante est généralement appliquée :

  1. Cartographier les risques et leur criticité.
  2. Rechercher des solutions, les choisir en fonction du contexte.
  3. Mettre en oeuvre tout ou partie des protections et s’assurer de leur bon fonctionnement.

AMJ-groupe vous accompagne dans ces différentes étapes et réalise pour ses clients divers types de prestations telles que :

1. JF Pillou, Tout sur les systèmes d’information, Paris Dunod 2006.

PCA ou PRA ?

En voilà une bonne question !

J’entends souvent dire qu’il s’agit de la même chose. D’un point de vue un peu global c’est effectivement un peu la même chose. Dans les deux cas, il s’agit bien de mettre en place un plan pour permettre de faire face à un sinistre susceptible de toucher les différents moyens de production d’une entreprise (informatique, locaux, ressources humaines).

Cependant, sur le fond, il existe deux nuances très importantes : le « R » de reprise et le « C » de continuité.

PRA : plan de reprise d’activité

Le PRA induit une notion de reprise. Or qui dit reprise dit arrêt. Dans le cadre d’un PRA, on suppose que l’activité s’arrête, que des moyens de secours sont mis en place et que l’activité reprend après un certain laps de temps plus ou moins long.

PCA : plan de continuité d’activité

Dans le cadre du PCA, on suppose que l’activité continue et donc qu’elle ne s’arrête pas.

Dans la pratique cela à des conséquences extrêmement importantes en termes de solutions techniques à mettre en œuvre en cas de sinistre des moyens informatiques. En effet, les solutions de continuité induisent notamment des systèmes de miroring en temps réel, voire des systèmes de clustering sur sites distants qui peuvent s’avérer extrêmement couteux. De plus, si cette notion de continuité est bien susceptible de s’appliquer à un sinistre des moyens informatiques, elle ne s’applique toutefois pas à un sinistre des locaux ou des ressources humaines.

Bien entendu, les solutions de reprise s’appliquent à tous les types de sinistres et sont généralement beaucoup moins onéreuses en ce qui concerne le sinistre des moyens informatiques.

Il arrive souvent que des solutions de continuité soient mises en œuvre pour certains systèmes alors que d’autres (moins critiques) feront l’objet de solutions de reprise. Il n’est donc pas anormal de parler de PRA/PCA, mais il s’agit bien de deux notions différentes.

Cohérence des analyses de risques

S’il est bien un problème qu’il est nécessaire d’éviter c’est de solliciter plusieurs fois des personnes pour poser les mêmes questions.

Pourtant c’est bien ce qui se passe dans de nombreuses entreprises lorsque d’un côté l’on sollicite des utilisateurs dans le cadre d’une analyse de risques et que de l’autre on les sollicite dans le cadre d’un plan de continuité d’activité. Cela est d’autant plus gênant que ces démarches sont assez consommatrices de temps. De plus, le fait de solliciter deux fois les utilisateurs sur des sujets identiques donne un peu un sentiment de désorganisation.

En effet, l’analyse de risque va généralement s’attacher à qualifier les impacts de la perte des critères suivants :

  • Disponibilité
  • Intégrité
  • Confidentialité
  • Preuve (traçabilité)

Dans le cadre de la démarche d’élaboration de PCA/PRA, une analyse de risque va également être menée au niveau de la phase dite d’analyse d’impacts. Elle va aussi s’attacher à déterminer les impacts de la perte des moyens de production mais de façon beaucoup plus fine. Elle va notamment évaluer le temps pendant lequel il est possible de se passer de ces moyens.

Dans les analyses de risques, le problème est que les analyses de perte de disponibilité qui sont menées restent assez générales et ne sont pas suffisantes pour déterminer de façon précise les moyens de continuité/ reprise d’activité. En effet, dans le cadre des PCA/PRA relatifs au sinistre des moyens informatiques, il existe deux éléments absolument fondamentaux dans ce domaine qui sont :

  • La Durée d’indisponibilité maximale autorisée (DIMA)
  • Perte de données maximale admissible (PDMA)

Ce sont ces éléments qui vont permettre de dimensionner les solutions techniques à mettre en œuvre.

Or les analyses de risques du type EBIOS, MEHARI, …ne rentrent pas dans ce niveau de détail et ne peuvent pas être utilisées telles quelles pour déterminer les solutions de continuité ou reprise d’activité.

Il existe donc une nécessaire mise en cohérence des analyses de risques avec les démarches de plans de continuité d’activité avant de solliciter les utilisateurs.

Il est d’ailleurs regrettable que cette problématique de cohérence ne soit pas abordée dans le référentiel ITIL.

Pourquoi assurer la maintenance d’une cellule de crise ?

Disposer d‘une cellule de crise c’est bien. S’assurer qu’elle est opérationnelle, c’est encore mieux !

Parce que la cellule de crise :

  • se situe en amont du dispositif de continuité/reprise d’activité,
  • permet de décider d’enclencher ou non les dispositifs de continuité/reprise d’activité,
  • réunit les plus hautes instances dirigeantes de votre société,
  • est le maillon le plus sensible et critique de toute la chaîne.

Elle doit impérativement être parfaitement opérationnelle en permanence.

Voici ce qui ne doit pas arriver en cas de crise :

  • les dirigeants n’arrivent pas à accéder à la cellule de crise,
  • les moyens attendus dans la salle ne sont pas présents,
  • les moyens attendus sont présents mais ne sont pas opérationnels,
  • les collaborateurs d’astreinte ne répondent pas.

En effet, l’expérience acquise par AMJ dans ce domaine montre que si les locaux de crise sont généralement toujours accessibles pendant les heures de bureaux, ils le sont beaucoup moins la nuit, les week-ends, jours fériés ou périodes de congés. Par ailleurs, les matériels nécessaires ne sont pas systématiquement présents et encore moins opérationnels. En effet, les salles de crise sont souvent utilisées au quotidien à d’autres fins et les moyens sont parfois déplacés. De plus, l’environnement matériel et logiciel évolue, des mises à jour sont régulièrement nécessaires et les infrastructures de communication évoluent également. Enfin, les collaborateurs d’astreinte ne sont pas toujours joignables.

En effet, il ne faut pas oublier qu’une cellule de crise ne sert à rien sans un système d’alerte opérationnel. Ainsi, de la même façon que pour la cellule de crise, il convient de s’assurer régulièrement que le système d’alerte est bien opérationnel.

Il est également rappelé que les situations de crises se produisent plus fréquemment qu’on ne le pense car personne ne souhaite communiquer sur ces sujets ou le moins possible. De surcroit, toutes les crises ne nécessitent pas nécessairement la mise en œuvre d’un plan de continuité d’activité (PCA/PRA) mais elles nécessitent toutes la tenue d’une réunion de crise. Etant donné que des dispositifs de crise ont été récemment créés et que des investissements ont été réalisés, les dirigeants souhaiteront les utiliser en s’attendant à ce qu’ils soient opérationnels…

La TMC (tierce maintenance de cellules de crise) est donc la solution !

Le contrat de tierce maintenance de cellule de crise proposé par AMJ vous permet pour une somme modique de vous prémunir contre les risques de dysfonctionnement précédemment évoqués. En effet, dans le cadre de ce contrat annuel, AMJ effectue des tests réguliers pour vérifier notamment les capacités d’accès ainsi que la présence des matériels et leur bon fonctionnement. Des rapports de contrôle sont systématiquement produits à l’issue de chaque test afin de permettre de prendre les mesures correctives qui s’imposent.

Ce contrat peut, en fonction des besoins être également étendu à d’autres types de tests tels que par exemple : des tests d’astreinte, de contrôle de mise à jour de contenus,…

Bien entendu, ces différents tests peuvent être réalisés de façon planifiée ou aléatoire.

Points forts :

  • vous permet de vous assurer du bon fonctionnement de votre dispositif de crise
  • ne nécessite pas de réunir les membres de la cellule de crise
  • permet de fournir des rapports de test aux instances de contrôle interne ainsi qu’à la commission bancaire
  • présente un excellent rapport coût/ bénéfices
  • AMJ possède déjà l’expérience et le savoir faire dans ce domaine
Retour en haut