Slide de présentation sur l'analyse de risques, le relevé des actifs, les calculs des risques ultra basique pour PME

1. David Blampain : Conseiller en Sécurité de l’Information et GRC
17 ans : Expériences eBusiness /Web / ICT / Sécurité
 6 ans en Sécurité de l’information
Certified ISO/IEC 27005 : Risk Manager
Certified ISO/IEC 27001 : Lead Implementer
Certified ISO/IEC 27032 : Lead Cyber Security Manager
Certified DPO : Data Protection Officer : GDPR / number in demand
Warocqué-UMons : Licence/Master en Gestion d’Entreprise
Solvay-Bruxelles ULB : Ex. Master en Marketing & Advertising
HEC-Liège ULG : Ex. Master en Intelligence Stratégique (Sécurité ;Veille ; Influence)
Et des milliers d’heures de recherche,d’analyse, de lecture,de surf et de partage.
Merci aux instituteurs,formateurs et professeurs du monde entier !
24/04/2018 : FOCUS E-SECURITY
Sensibilisation à usage des entreprises
https://be.linkedin.com/in/davidblampainClic !
Dans le cadre du RGPD :
"Réfléchir avant d'agir : L'analyse de risque sécurité "
LouvExpo

2. ▪ Je suis une TPE/PME active en
Wallonie (Hainaut par exemple)
▪ J’ai pas “sous”… OU pas pour ca
généralement… Parce que la
sécurité, bof, c’est pour les autres.
▪ Le but de l’atelier, faire simple
sans sortir la grosse artillerie
d’analyse de risque. Donc les
puristes, champions du risque,
c’est pour un autre atelier de
minimum 3 à 5 jours.
▪ Expérience d’analyse de risques,
d’audit de sécurité et RGPD
souhaité de 200 à 300 heures
pour commencer à connaître…

3. ZUT ON A QUE 30’ – 3’
… 27 MINUTES

4. Actifs
Vulnérabilités
Menaces Disponibilité
Intégrité
Confidentialité Physique
Organisationnel
Virtuel
Cloud
Robotique
…
Mobile
Internet des objets
New Techno
Risques +
Valeur du risque
Modèle CIA
© www.david-blampain.com (Modèle personnel)
+ Authenticité ; Imputabilité ; non répudiation
; Fiabilité ; AuditabilitéIMPACT

5. RAPPEL
© www.david-blampain.com
RAPPEL : Système de Management de
la Sécurité de l’Information est un des
moyens de protéger vos données.
Données
(Actif info)
Processus
métier
Actif
Primaire
Actif
Secondaire
Texte
Mémo
Numérique
Date/heure
Monétaire
…
Biométrie
Génétique
…
DONNEES
Prénom
Nom
Date et lieu de naissance
Numéro de ID
Plaque immatriculation
Photo / Vidéo
Info pro
IBAN
Vie perso (Du cookie à… l’IP)
1. Donnée d’identité (DACP)
2. Donnée « sensibles » : (DACPS) Races, religions, vie, philo, politique,
syndical, sexuel, médicale, génétique, infractions, mineurs,…
Clients, donateurs,
membres, prospects…
Fichiers clients, fournisseurs et votre
annuaire de contacts (Virtuel/Physique)
Applications ; Programmes ; Outils Métier ; GED
; Archivages ; …
Matériel
Logiciel
Réseau
Personne
Site
Organisation

6. RISQUE
(1)
Actif
qui a de
la valeur
(3)
Menace
(2)
Vulnérabilité
sur un actif
Actifs (P et S)
(Valeur)
Vulnérabilité Menace (s)
Exploite
Dispose
Target automatique,
ciblé ou pas de bol !
© www.david-blampain.com (Modèle personnel)

7. A : Accident
D : Délibéré
E : Environnement
© Source : Annexe D : ISO 27005
1. Dommage Physique
2. Désastre Naturel
3. Perte de service essentiel
4. Perturbation (Radiation)
5. Information compromise
6. Panne Technique
7. Action non autorisée

8. ▪ Logiciel Absence d’audit Abus de droits
non détecté
 ?
▪ Réseau Mots de passe en clair Hacker ou
Robot
 ?
▪ Personnel  pas assez de formation Erreur
« humaine »
 ?
▪ Site  dans un complexe industriel 
bloquage d’accès Police/ P.Civil
 ?
▪ Organisation  pas de processus de GED
 ?
• Matériel
1 Société non surveillée (Vulnérabilité)
2 Vol d’équipement (Menace)
3 Impact (€ - Clients)
© www.david-blampain.com

9. ▪ Pertes financières
▪ Perte d’actifs ou de valeurs
▪ Perte de clientèles, perte de fournisseurs
▪ Poursuite judicaire, infraction, contrats revus
▪ Perte avantage concurrentiel
▪ Perte d’avance technologique
▪ Perte d’efficacité et/ou d’efficience
▪ Atteinte à la privacy
▪ Arrêt des services
▪ Incapacité de produire ou de réaliser le service
▪ Image de marque ou notoriété altérée
▪ Perturbation des services, opérations, projets
▪ Perturbation externe
▪ Atteinte à l’intégrité des personnes
© www.david-blampain.com (Modèle personnel)

10. TOP 3
© www.david-blampain.com
Privacy By
Design• Responsabilité
• Co-Responsabilité
• Obligations de
rendre des
comptes
Induit le
Security by
Design
Accountability
Documentation
RISQUES

11. 11 Pages 26 Pages 111 Pages
© www.david-blampain.com

12. Sources : Merci à la www.CNIL.fr : C’est Clair

13. Sources : Merci à la www.CNIL.fr : C’est Clair

14. DOMAINE 4
© Sources CNIL + G9
«analyse d’impact sur la vie privée»
Une AIPD/DPIA est un processus dont l’objet est de décrire le
traitement, d’en évaluer la nécessité ainsi que la
proportionnalité et d’aider à gérer les risques pour les droits et
libertés des personnes physiques liés au traitement de leurs
données à caractère personnel, en les évaluant et en
déterminant les mesures nécessaires pour y faire face.
une AIPD/DPIA est un processus qui vise à assurer la
conformité aux règles et à pouvoir en apporter la preuve.
« non négociables »

15. Ma femme me disait toujours : c’est risqué le PIA
C’est pas NOUVEAU !!! : C’est une Analyse de risques
Sources : http://copes.fr/Presentation/Blog/1038
Sources : https://www.cnil.fr/
Privacy Impact Assessment : DPIA

16. RISQUE
(1)
Actif
qui a de
la valeur
(2)
Menace
(4)
Impact
(3)
Vulnérabilité
(5)
Probabilité
(6)
Risques
C I A
1 à 101 à 5
© www.david-blampain.com (Modèle personnel)

17. BONUS :
© www.david-blampain.com
Num Actifs Classification Valeur € J Libellés Type de données Localisation
1 DB Primaire 500.000,00 € 1 La base de données clients Prénom ; Nom ; Mail ; Gsm ; NIS Name Server XPT21Z /1er Etage
2 Processus Primaire 1.000.000,00 € 0 Les processus de fabrication Techniques rez de chaussée / serveur XPT21Z
3 Matériel Secondaire 27.000,00 € 5 Les 18 ordinateurs (PC) Privé / Entreprises Entreprise/privé
4 Logiciel Secondaire 10.000,00 € 3 Application Comptable Salle serveur / Cloud serveur XPT32P
5 Réseau Secondaire 776,00 € 7 Filaire 4 Routeurs Wifi
6 Personne Secondaire 200.000,00 € 1 CEO Ent/Privé
7 Site Secondaire 880.000,00 € 15 Bâtiment avec 2 étages 19, rue du blé à 7000 Mons
8 Organisation Secondaire 66.000,00 € 7 Gestion informatique externe 22, boulevard saint martin , 7000 Mons
9 …
…40
Format Backup Responsable Menaces
SQL Server 2012 SP1 (x64 bit)
sur un serveur Windows
Server 2012 R2 Cloud AES256 Mme Yang 1.(Incendie/Destruction de matériel)
3.(Perte Electricité/Panne matériel)
5.(Espionnage/Vol/Récupération)
Armoire anti feu avec clès Coffre banque Mr Leblanc 5.(Vol)
marque / model / OS / … CD de réinstal Chaque employé (cfr PSSI)
ComptaSimpel Apps 2.2 Fournisseur Mr Picsou
Netgear Nightawk X60 R8000 Non Mme Yang
Ingé Solvay Non Mr Bancal
Construction 2010 Non Mr Bancal
non Non Mr Courrier
Num
1
2
3
4
5
6
7
8
9
…40
LISTING ACTIF

18. Num Actifs Menace Vulnérabilité CONF DISP INTE P R Mitigations R. Résiduel
1 DB
1.1 Fichier Vol Portabilité (USB) 5 5 1 1 4 GDA+Désactivation USB Disque Dur
1.2 Fichier Cryptolocker (Virus) AntiMalware Gratuit 0 5 3 4 11 BitDefender +Console Evolution technologique
1.3 Fichier Bad employé Pas de gestion de droits 5 5 5 1 5 GDA + Politique de Confidentialité Humain
2 Processus
3 Matériel
2.1 Pc Casper Vol de matériel Salon 1 1 0 3 2 Moins de données possibles
2.2 Pc Commercial Vol de matériel Salon 5 2 1 3 8 Pc Casper
2.3 Serveur Panne de matériel Windows 2003 1 5 5 4 15
4 Logiciel 4 2 4
5 Réseau
Internet Défaillance technique (Virus) FireWall Mal Configuré
Wifi Compromision d'info (Hacking) Clès d'encryption Wifi
…40 Top Max 5 5 5 7 35
Action
Modifier
Maintenir
Partager
Eviter
R Résiduel
Modification
Correction
Elimination
Prévention
Réduction d'impact
Dissuasion
Détection
Récupération
Surveillance
Sensibilisation
RISQUE

19. BONUS :
1. Bien identifier vos ACTIFS, les données (et leurs chemins) et les segmenter ;
2. Bien identifier et faire participer les bonnes personnes (in/out) ;
3. Eviter les listes de 200 actifs avec 150 risques : identifier les 10/20 plus critiques FIRST ;
4. Avoir une documentation, un plan, des dates, des responsables et des propriétaires ;
5. Faire des fiches A4 (exemple) pour les risques les plus critiques et/ou importants ;
6. Monitorer : revue trimestrielle/semestrielle par exemple ;
7. Impliquer les fournisseurs (et consulter les clients de manière intelligente) ;
8. Avoir une liste des risques lié à des actifs ;
9. Former et sensibiliser votre personnel à la sécurité (et à la gestion des risques) ;
10. Acheter un bon jeux de cartes de Poker ☺ ;

20. ACTE FINAL
Source : http://camthao.us/News/332/what-will-the-warrior-guardian-of-the-future-look-like
https://be.linkedin.com/in/davidblampain

21. UNIQUEMENT SUR INVITATION
David Blampain et
Jean Michel Trigalet