Protection informatique pratique

Pourquoi le point de départ détermine l'auditabilité

De nombreux projets IT-Grundschutz commencent par une longue liste d'exigences. Cela semble minutieux, mais cela produit rapidement des feuilles de calcul dispersées, une propriété incohérente et des preuves qui doivent être rassemblées juste avant un audit.

Un meilleur point de départ est une portée propre. Quelles unités organisationnelles, processus, applications, systèmes informatiques, réseaux et fournisseurs de services appartiennent véritablement au concept de sécurité ? Cette décision détermine quels modules sont pertinents et quelles preuves devront ultérieurement résister à un audit.

• Définir le périmètre par écrit et nommer les propriétaires responsables
• Enregistrez les actifs cibles avec des noms, des catégories et des propriétaires sans ambiguïté
• Rendre visibles les relations entre les processus, les données, les applications et l'infrastructure

La modélisation est un modèle de travail, pas un formulaire

La modélisation connecte les actifs cibles réels aux modules IT-Grundschutz appropriés. Sa valeur ne vient pas uniquement de la mission, mais de la représentation cohérente de la structure du domaine d'information.

Si un processus critique dépend d'une application, d'un segment de réseau et d'un fournisseur externe, cette dépendance doit être visible dans le concept de sécurité. Ce n’est qu’alors que les besoins de protection, l’état de mise en œuvre et les risques résiduels pourront être expliqués de manière convaincante.

• Expliquer chaque affectation de module pour son actif cible
• Documenter les dépendances avant d’évaluer les garanties
• Marquer les exceptions et les cas particuliers comme points ouverts dès le début

Une portée minimale raisonnable pour le premier passage

Pour la première passe défendable, une portée claire et compacte est souvent plus utile qu’une portée large mais vague. Commencez par un domaine d’information représentatif dont les processus, les applications et l’infrastructure sont bien compris.

La méthode peut ensuite être répétée : ajouter des actifs cibles, étendre les affectations de modules, propager les besoins de protection, hiérarchiser les protections ouvertes et regrouper les preuves par propriété.

• Construisez le premier concept de sécurité avec une profondeur claire plutôt qu'une ampleur maximale
• Hiérarchiser les mesures de protection ouvertes par risque, pertinence de l'audit et faisabilité
• Relier les preuves où l’exigence correspondante est évaluée