3 outils et mesures importants pour contrôler la vulnérabilité des ressources informatiques

Certains des outils et mesures importants pour contrôler la vulnérabilité des ressources informatiques sont donnés ci-dessous:

La nature des dommages est différente selon les niveaux d’infrastructure informatique. Les dommages subis par les informations peuvent concerner la modification ou la suppression de valeurs, ou la perte de leur vie privée. Les services et le réseau sont généralement endommagés par un accident causé par une panne de matériel ou de logiciel, ou les deux.

Courtoisie d'image: ipa.go.jp/files/000013242.png

Lorsque les informations sont générées et stockées à l'aide de services et de réseaux, l'exposition aux informations provient de défaillances matérielles ou logicielles. Les trois éléments étant interdépendants, tout dommage aux services ou au réseau entrave le fonctionnement du système et les dommages aux informations rendent les services et le réseau moins utiles. Par conséquent, une approche intégrée de la sécurité de l'infrastructure informatique est justifiée.

Il est possible de contrôler la vulnérabilité des ressources informatiques en utilisant divers outils et mesures de contrôle. Ceux-ci sont classés comme:

(a) Outils de contrôle de base

b) Mesures de contrôle générales

c) Mesures de contrôle de l'application

1. Outils de contrôle de base:

Voici quelques outils de contrôle de base couramment utilisés pour contrôler la vulnérabilité des ressources informatiques:

(une sauvegarde:

Un outil fondamental pour la protection des informations consiste à conserver une copie de sauvegarde de toutes les données. Il sert le double objectif de la reprise après sinistre et de la détection des abus. Le système de sauvegarde des données et des fichiers de programme peut différer d’une application à l’autre, mais un système systématique et régulier de sauvegarde des fichiers est considéré comme absolument essentiel dans toutes les infrastructures informatiques.

Les routines de sauvegarde doivent être scrupuleusement respectées afin d'éviter que le système de sauvegarde ne soit défaillant lorsqu'il en a le plus besoin. La plupart des systèmes de gestion de base de données intègrent désormais des fonctionnalités de sauvegarde automatique des données. De plus, les fichiers de programme doivent être sauvegardés après chaque modification. Les données critiques et les programmes doivent être vérifiés régulièrement pour en vérifier l'exactitude.

b) Diviser pour régner:

Cette règle de sécurité éprouvée pour le temps peut également être appliquée à la sécurité des données. Il est essentiel de fournir un accès limité à chaque utilisateur pour s'assurer que personne ne perturbe le système dans son ensemble. L'abus à un endroit est détecté à un autre endroit pendant le fonctionnement normal du système d'information.

L'accès aux ressources informatiques doit être défini de manière à ce qu'il corresponde aux besoins informatiques pour permettre à l'utilisateur de s'acquitter de ses responsabilités. ni moins ni plus que l'essentiel. Ainsi, l'autorisation d'accès peut être limitée à l'une des opérations telles que lire, écrire, modifier et exécuter.

L'autorisation d'accès peut être définie pour chaque élément de données dans les bases de données. De même, les autorisations d'accès doivent être définies pour chaque module dans le logiciel d'application et chaque partie du matériel informatique. L'identification et la validation des utilisateurs par mot de passe et autres techniques sont essentielles pour réguler l'accès à l'infrastructure informatique.

c) Autorisation d'accès:

L'accès à l'information peut être restreint à l'aide d'outils d'autorisation. Ces outils permettent l’accès à l’information uniquement après une identification appropriée des utilisateurs. Chaque utilisateur a un accès limité à l'information. La vérification de l'identité de l'utilisateur peut être effectuée avec des mots de passe. Les installations informatiques modernes disposent d'outils de vérification d'identité plus avancés basés sur la voix ou d'autres attributs physiques tels que les empreintes digitales des utilisateurs.

d) cryptage:

Le cryptage est un processus de transformation des informations en un ensemble de symboles brouillés et dénués de sens, qui peuvent être déchiffrés pour convertir les données sous leur forme originale. Cette transformation des données repose sur l'utilisation de matériel et de logiciels spéciaux.

Le cryptage et le décryptage sont basés sur le code spécifié par l'utilisateur. Ce code est réservé à l'utilisateur autorisé des données et l'utilisation de tout autre code ne transformerait pas les informations. Les outils de cryptage sont assez courants lorsque les informations doivent être transmises à des endroits éloignés à l’aide de supports de données communs tels que des lignes téléphoniques.

e) Comparaisons:

La comparaison est l'un des outils importants pour détecter les abus. La comparaison régulière des données avec les documents source, les fichiers de programme actuels avec des copies maîtresses des fichiers de programme, les valeurs de terme précédentes avec les valeurs de terme actuelles constituent un outil utile pour la détection rapide des abus. Ces comparaisons doivent être effectuées par des personnes qui ne participent pas directement à la création et à l'utilisation des ressources informatiques.

f) Responsabilité:

Assurer le respect de la procédure de sécurité est assez difficile car en l’absence de détection d’un abus majeur, la complaisance commence à s’infiltrer. Il est donc nécessaire d’établir la responsabilité du respect des procédures de sécurité.

(g) Journal de l'utilisateur:

Le suivi des activités des utilisateurs de l’infrastructure informatique est un moyen de dissuasion important contre les abus informatiques. La maintenance et le contrôle périodique de la liste détaillée des opérations effectuées par chaque utilisateur exercent de fortes pressions sur les utilisateurs pour qu'ils se conforment aux normes de sécurité et garantissent également une détection précoce des abus. Des pistes d'audit sont nécessaires pour reconstruire le traitement et déterminer les responsabilités en cas d'abus.

h) Orientation:

Bien souvent, des abus sont possibles en raison d’une formation insuffisante en matière de gestion des mesures de sécurité. Un système d’aide en ligne à tous les utilisateurs sous forme d’orientation et d’aide à la compréhension de la menace à la sécurité devrait être mis au point. Un tel système contribue grandement à renforcer la confiance des utilisateurs dans la solidité du système de sécurité et à la détection précoce des menaces et des abus.

(i) Audit:

L’audit du système d’information est un autre outil important permettant de s’assurer que le système d’information remplit correctement ses fonctions. L’association ISACA (Information System Audit and Control Association) est une organisation basée aux États-Unis qui a pour objectif d’élaborer des normes pour l’audit des systèmes d’information afin de former et d’accréditer des professionnels dans ce but.

Les petites entreprises qui ne peuvent pas se permettre de mettre en place des procédures d'audit internes du système d'information peuvent faire appel aux services d'informations pratiques, auditeurs de système à cette fin. Un tel audit détecte et décourage la surveillance et maintient une alerte de sécurité.

L'utilisation spécifique de ces outils et la nature exacte des procédures de contrôle dépendraient de la nature de la ressource et de la gravité de la menace.

2. Mesures de contrôle générales:

Ces mesures de contrôle sont applicables à toutes les ressources d’application et de données. Ils consistent en des contrôles physiques et logiciels pouvant être exercés sur l'infrastructure informatique.

a) Contrôles organisationnels:

Le véhicule le plus important du contrôle des systèmes d’information est la structure organisationnelle et les responsabilités des personnes au sein de l’organisation. Deux méthodes de base du contrôle de l’organisation concernent la séparation des tâches dans un même travail.

Par exemple, l'enregistrement d'une transaction peut être séparé de l'autorisation des transactions. Le développement et les tests de logiciels peuvent être séparés pour faire en sorte que la collision soit nécessaire en cas d’abus. La rotation des emplois et les congés obligatoires sont d’autres contrôles organisationnels de nature générale qui se sont révélés très utiles pour détecter les abus.

b) Contrôles du développement et de la mise en œuvre du système:

Celles-ci englobent des contrôles tels que l'autorisation appropriée de la spécification du système (signature des spécifications), le test et l'approbation des modifications apportées au système existant, etc. Le contrôle des copies maîtres du logiciel, y compris le code source, la documentation et d'autres actifs associés, est un élément essentiel du développement du système et contrôles de mise en œuvre. La mise au point de normes pour le système d’information et leur mise en œuvre sont importantes du point de vue de la sécurité.

c) Contrôles physiques:

Ces contrôles incluent la sécurisation des emplacements du matériel et des logiciels contre les incendies, les inondations, le vol, les émeutes, etc., à l'aide de divers outils de sécurité tels que des détecteurs de fumée, des gardes de sécurité, des verrous individuels, des caméras à circuit fermé, des systèmes d'identification, etc. repousser les menaces sur la vie physique de l’infrastructure informatique. Ces contrôles sont parallèles au contrôle exercé sur d'autres actifs physiques tels que les liquidités, les stocks, etc.

d) Contrôles de reprise après sinistre:

Les mesures de contrôle de la reprise après sinistre deviennent très importantes en cas d’applications critiques et de dommages à grande échelle des systèmes d’information. Il est nécessaire de mettre en place une solution de remplacement pour que la reprise après sinistre soit possible à un coût minimal, avec une perte de temps et d'opportunités minimale.

Dans certains cas, cela est réalisé en maintenant une infrastructure informatique parallèle à utiliser en cas de sinistre. En cas de défaillance du système de négociation en bourse ou du système de réservation de voyages, le coût du retard de recouvrement ou de la défaillance de celui-ci pourrait être extrêmement élevé.

Dans de tels cas, une infrastructure informatique parallèle est considérée comme absolument essentielle. Cependant, d'autres systèmes de reprise après sinistre sont également disponibles. Certains fournisseurs se spécialisent dans la récupération de données en cas d’accidents tels que des pannes de disque dur, des attaques de virus, etc.

e) Contrôles logiciels:

Les mesures de contrôle logicielles se rapportent normalement au contrôle de l'accès aux données et à la validation des données au moment de la saisie des données. On peut noter que la plupart des abus informatiques consistent à manipuler les données. Les chemins d'accès dans les logiciels peuvent être constitués de plusieurs couches et les utilitaires et données sensibles peuvent être correctement sécurisés au moyen de contrôles logiciels.

Ces contrôles concernent généralement l’authentification de l’utilisateur, la définition de la fonction de chaque utilisateur et la création d’un enregistrement immuable de la séquence des opérations exécutées sur un terminal donné (piste d’audit).

Ceci est fait pour connaître la séquence d'événements menant à un abus particulier. Un accès non autorisé doit donner lieu à un avertissement et des tentatives répétées d’accès non autorisé doivent être considérées comme une tentative sérieuse de franchir le système de sécurité. Ainsi, des tentatives répétées d’accès non autorisé peuvent entraîner la fin du traitement, la fermeture du terminal et l’enregistrement du journal d’audit pour une analyse plus approfondie.

f) Contrôles de la communication de données:

Ces contrôles deviennent de plus en plus importants car le trafic de données augmente dans des proportions géométriques parallèlement à l’augmentation de la distance entre l’expéditeur et le destinataire. Ces deux facteurs entraînent une exposition accrue des données au risque de mise sur écoute. De nombreuses méthodes sont utilisées pour protéger les données lors de leur acheminement vers le terminal de destination.

De manière générale, les menaces aux données en cours de transmission peuvent être de trois types: (a) menace d’accès non autorisé, (b) menace pour l’exactitude et l’exhaustivité des données, et (c) menace pour le téléchargement en temps voulu des données.

(i) Accès non autorisé aux données:

Les réseaux câblés (utilisant des câbles coaxiaux ou des supports en fibres optiques) sont moins sujets aux écoutes sur le trajet que les canaux électroniques. Les modems de sécurité gagnent également en popularité dans les réseaux utilisant des lignes téléphoniques. Une autre méthode appelée système de rappel automatique est utilisée pour vérifier l'authenticité de l'utilisateur. Dans ce système, l'appelant d'informations compose le numéro et attend.

L'expéditeur vérifie l'authenticité, enregistre le mot de passe utilisé par l'appelant d'informations et rappelle l'appelant. Ce type de double vérification de l'identité et de la localisation de l'appelant est très utile pour détecter les écoutes téléphoniques. Le système de déconnexion automatique est également un système de contrôle très populaire.

Avec la pression croissante des responsabilités des dirigeants, il est tout à fait possible que les dirigeants oublient de se déconnecter correctement ou de se déconnecter du tout. Ces systèmes garantissent que si le terminal n'est pas utilisé pendant une période spécifiée, le terminal se déconnecte automatiquement du serveur. Un accès ultérieur à l’information n’est possible que lorsque la procédure de connexion est répétée. Ce type de contrôle minimise la possibilité d'usurpation d'identité.

ii) Contrôles d'intégrité des données:

Des contrôles de précision et d’exhaustivité des données sont essentiels pour assurer l’intégrité des données transmises. Des erreurs dans la transmission de données peuvent être causées par une perturbation du canal de transmission de données ou par une défaillance du matériel de commutation de données.

Afin de vérifier si les données ont atteint la destination de manière précise et complète, des bits de parité peuvent être utilisés. Une autre méthode populaire consiste à diviser le message en paquets contenant des en-têtes et des pieds de page (remorques) et à vérifier leur existence auprès du destinataire.

g) Commandes de fonctionnement de l'ordinateur:

Le contrôle du fonctionnement des systèmes informatiques et des terminaux peut jouer un rôle important pour éviter les abus informatiques. Il est utile de planifier le calendrier des opérations informatiques pour les utilisateurs réguliers, en particulier aux niveaux hiérarchiques de gestion inférieurs, où les exigences opérationnelles sont prévisibles et peuvent être correctement planifiées. Tout écart par rapport aux opérations programmées peut être examiné minutieusement afin de décourager le fonctionnement du système informatique pour des fonctions autres que celles spécifiées pour la journée.

Le contrôle du fonctionnement des systèmes informatiques devient plus difficile en cas de terminaux partagés et de communications interactives. Toutefois, si l’identification et les mots de passe ne sont pas partagés, la plupart des problèmes de contrôle des terminaux partagés peuvent être résolus.

h) Contrôles du matériel:

Les contrôles du matériel informatique sont les contrôles incorporés par les fabricants de matériel informatique pour vérifier le bon fonctionnement du système et émettre des avertissements en cas de défaillance. Ceux-ci incluent les fameux contrôles de parité dans les périphériques de stockage, les contrôles de validité et les contrôles à double lecture pour vérification. Ces contrôles sont très utiles pour le stockage et la récupération de données et pour l'exécution de fonctions arithmétiques sur des données.

Les contrôles généraux doivent être revus pour leur efficacité. Ces contrôles constituent le cœur de la mesure de sécurité pour l’ensemble du système d’information.

3. Contrôles d'application:

Pour des applications spécifiques, il est impératif d'exercer des contrôles spéciaux en fonction de leurs exigences particulières et de la perception de leurs risques. Ces contrôles visent à garantir l'exactitude, la validité et l'exhaustivité de la saisie et de la maintenance des stocks d'informations. Ils comprennent des contrôles automatiques ainsi que des contrôles manuels.

a) Contrôles d'entrée:

Les contrôles d’entrée garantissent que l’entrée est correctement autorisée et enregistrée conformément au document source. Les documents source sont numérotés en série et l'entrée est vérifiée par lots avant d'influencer la base de données. Les totaux de contrôle de lot et les routines d'édition sont utilisés pour s'assurer que les données d'entrée sont précises et complètes, et que les entrées en double sont éliminées.

Les invites et les menus d’écran sont utilisés pour garantir l’exactitude et l’exhaustivité des données saisies. Les contrôles de vérification des données permettent d’assurer les types de données valides, la longueur des champs, l’identification de la transaction et de vérifier le caractère raisonnable des valeurs numériques en entrée.

b) Contrôles de traitement:

Ces contrôles visent à assurer la bonne exécution des procédures devant être exécutées lors de la saisie. Les totaux de contrôle d'exécution, la correspondance informatique des fiches avec des éléments de données sélectionnés dans les transactions, les contrôles de vraisemblance, les contrôles de format, les contrôles de dépendance, le contrôle visuel, etc. sont quelques-uns des contrôles courants utilisés pour garantir que le traitement des entrées a été effectué correctement .

(c) Commandes de sortie:

Ces contrôles sont destinés à garantir que le résultat d'une série d'applications est précis et complet. Ces contrôles comprennent l’équilibrage des totaux de sortie avec les totaux d’entrée et de traitement, l’audit des rapports de sortie et la procédure de remise des rapports de sortie aux destinataires autorisés.