Ebios

27001 ne donne pas de directives sur la méthode d’appréciation des risques à adopter. Les entreprises peuvent donc en inventer une en veillant à bien respecter le cahier des charges ou en choisir une parmi les plus courantes notamment la méthode EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) mise en place en France par l'ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). Le cahier des charges relatif à l’appréciation des risques se développe en 7 points

doit faire intervenir plusieurs acteurs du Système d'Information (RSSI, administrateurs, utilisateurs, partenaires, etc.). Certaines méthodes d'analyse de risques peuvent être utilisées pour élaborer une PSSI. C'est le cas par exemple de la méthode EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité). c) Mise en place d'une gestion des risques En matière de sécurité des systèmes d'information, la gestion des risques est un processus visant à :  apprécier les risques qui pèsent

des personnes chargées de réaliser les études de risques ; - un audit sécurité du système d’information. 1 - EBIOS – Expression des Besoins et Identification des Objectifs de Sécurité – est la méthode de gestion des risques publiée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) du Secrétariat général de la défense et de la sécurité nationale (SGDSN). EBIOS est une marque déposée du SGDSN. G U I D E P R AT I Q U E S É C U R I T É 8 F I C H E N ° 1 - Q

ils n'ont pas la responsabilité. En aide ou en complément des pratiques habituelles, plusieurs approches ont vu le jour afin d’associer le contrôle interne aux systèmes de gestion déjà existant : COSO 1 et 2, la méthode FERMA, l’approche de l’AFNOR, EBIOS ou COBIT en matière informatique, … Quelles que soient les approches adoptées, elles posent comme fondement de toute pratique de contrôle interne 5 grands principes directeurs : • • • • • Le principe d’universalité qui souligne la force du contrôle

d'Analyse de Risques) est développée par le CLUSIF depuis 1995, elle est dérivée des méthodes Melisa et Marion. Existant en langue française et en anglais, elle est utilisée par de nombreuses entreprises publiques ainsi que par le secteur privé. EBIOS EBIOS (Expression des Besoins et Identification des Objectifs de Sécurité) permet d'identifier les risques d'un SI et de proposer une politique de sécurité adaptée aux besoins de l'entreprise (ou d'une administration). Elle a été créée par la DCSSI

l’utilisateur individuel et du petit réseau domestique ou d’entreprise. De nombreux aspects concernant les grands systèmes informatiques ne sont pas abordés ici. Si le lecteur souhaite se faire une vision plus complète, il peut se référer à la méthode EBIOS, disponible gratuitement à partir du site de la DCSSI. Toutefois, le simple suivi des recommandations listées ci-après évitera bon nombre de catastrophes. © Groupe Eyrolles, 2005 Sans taboo - Sécuriser enfin son PC Erreurs d’utilisation

virtuelle :      4  Capteur et analyseur de trafic Wireshark Outil de craquage de mot de passe Chiffrement gpg – logiciel kgpg Outil de scan de ports Gestionnaire de machines virtuelles Sur votre machine  Logiciel EBIOS (analyse de risques) - 1.5 - - 1.6 - 1 Création de machine virtuelle (1/4)  Création de machine virtuelle (2/4) Icône new - 1.7 - Création de machine virtuelle (3/4) - 1.8 - Création de machine virtuelle (3/4) -

Sur ce segment la principale entreprise est Asahi Food & Healthcare Co., Ltd. Elle vend des pastilles rafraîchissantes à la menthe (MINTIA), des snacks équilibrés du point de vue nutritionnel (BALANCEUP), des compléments à base de levure de bière(EBIOS) et des compléments alimentaires en comprimés (Actio). Pour se développer sur segment considéré comme ‘le marché d’avenir’, la firme fait des acquisitions d’actions. Récemment, elle a acquis des actions de Sunwell Co., Ltd, producteur de produits diététiques

pour leur appréciation et leur analyse. Pour autant, l’ISO 27005 ne constitue probablement pas aujourd’hui une base de scénarios de risques suffisamment exhaustive pour être utilisée. L’aide d’une véritable méthodologie d’analyse de risques (comme EBIOS ou MEHARI) et une expertise avancée restent nécessaires en complément. • • • Construire sur l’existant Le travail de planification initial et de construction du SMSI ne va pas forcément remettre en cause tout l’existant. Il est possible

Le CLUSIF ou club de la sécurité de l’information Français, a publié une méthode très complète pour l’analyse de ce type de relations, la méthode MESSEDI. Ainsi que d’autres permettant d’aborder la sécurité (BUDDY, MELISA, MEHARI, MESSEDI, MASP, EBIOS (SCSSI), MARION) On peut souligner que ce « partenaire », est fréquemment aussi revendeur, et utilisera de plus en plus le catalogue du vendeur affiché sur le site Web et sera donc de plus en plus concerné par la mascarade du serveur Web du site