Réalisé par :
Houda El moutaoukil
Encadré par :
Pr.M.A. El Kiram
Introduction
Détail de la méthode Mehari
Audit de sécurité
Organisme et méthode d’audit
Conclusion
De nos jours les entreprises sont plus en plus connectés tant en interne que
dans le monde entier, profitant ainsi de l’év...
Un audit de sécurité consiste à s'appuyer sur un tiers de confiance
(généralement une société spécialisée en sécurité info...
Le Club de la Sécurité de l'Information Français (CLUSIF) est une
association à but non lucratif d'entreprises et de colle...
Méthode de gestion de risques de type Méhari octave, EBIOS …
La méthode harmonisée d'analyse des risques (MEHARI) est une ...
Mehari fournit un cadre méthodologique, des outils et des bases de
connaissance pour :
 analyser les enjeux majeurs .
 é...
Analyser les enjeux majeurs :
Dans MEHARI, on appelle " Analyse des enjeux de la sécurité " :
 L'identification des dysfo...
Etudier les vulnérabilités :
L'analyse des vulnérabilités revient à identifier les faiblesses et les défauts
des mesures d...
réduire la gravité des risques :
Cette analyse des risques vise, le plus souvent :
Définir les mesures les mieux adaptées...
piloter la sécurité de l'information :
Dans ce domaine, MEHARI apporte :
Un cadre adapté à différentes démarches et différ...
Mehari s'articule autour de 3 types de livrables :
 le Plan Stratégique de Sécurité (PSS)
 les Plans Opérationnels de Sé...
le Plan Stratégique de Sécurité (PSS) :
Le Plan Stratégique de Sécurité fixe les objectifs de sécurité ainsi que les
métri...
les Plans Opérationnels de Sécurité (POS) :
Les Plans Opérationnels de Sécurité définissent pour chaque site les
mesures d...
le Plan Opérationnel d'Entreprise (POE):
Le Plan Opérationnel d'Entreprise assure le suivi de la sécurité par
l'élaboratio...
RISICARE est une approche associée à un outillage, s'appuyant sur la
méthode Mehari 2010 et qui permet d'améliorer la prod...
Risicare s'appuie sur les caractéristiques suivantes :
L'utilisation de la méthode Mehari développée au sein du CLUSIF
co...
Conclusion
EBIOS MEHARI
Publié en 1997, créée en 1995 développée depuis 1995
Structure
Étude du contexte
1. L’identificati...
Merci Pour Votre
Attention
Prochain SlideShare
Chargement dans…5
×

Mehari

1 464 vues

Publié le

MEHARI est une méthode complète d’évaluation et de management des risques liés à l'information

Publié dans : Technologie
  • Soyez le premier à commenter

  • Soyez le premier à aimer ceci

Mehari

  1. 1. Réalisé par : Houda El moutaoukil Encadré par : Pr.M.A. El Kiram
  2. 2. Introduction Détail de la méthode Mehari Audit de sécurité Organisme et méthode d’audit Conclusion
  3. 3. De nos jours les entreprises sont plus en plus connectés tant en interne que dans le monde entier, profitant ainsi de l’évolution des réseaux informatiques. De ce fait, leur systèmes d’information est accessible de l’extérieur pour leurs fournisseurs clients partenaires et administrateur .on peut pas négliger les menaces qui viennent de l’intérieur, ce sui rend la présence d’un audit de sécurité obligatoire. Introduction
  4. 4. Un audit de sécurité consiste à s'appuyer sur un tiers de confiance (généralement une société spécialisée en sécurité informatique) afin de valider les moyens de protection mis en œuvre. l'objectif de l'audit est ainsi de vérifier que chaque règle de la politique de sécurité est correctement appliquée et que l'ensemble des dispositions prises forme un tout cohérent. Audit de sécurité
  5. 5. Le Club de la Sécurité de l'Information Français (CLUSIF) est une association à but non lucratif d'entreprises et de collectivités réunies en groupes de réflexion et d'échanges autour de différents domaines de la sécurité de l'information : gestion des risques, politiques de sécurité, etc. Organisme d’audit de sécurité : CLUSIF
  6. 6. Méthode de gestion de risques de type Méhari octave, EBIOS … La méthode harmonisée d'analyse des risques (MEHARI) est une méthode visant à la sécurisation informatique d'une entreprise ou d'un organisme. Elle a été développée et proposée par le CLUSIF… Méthode d’audit de sécurité : MEHARI
  7. 7. Mehari fournit un cadre méthodologique, des outils et des bases de connaissance pour :  analyser les enjeux majeurs .  étudier les vulnérabilités .  réduire la gravité des risques .  piloter la sécurité de l'information . But de la méthode
  8. 8. Analyser les enjeux majeurs : Dans MEHARI, on appelle " Analyse des enjeux de la sécurité " :  L'identification des dysfonctionnements potentiels pouvant être causés ou favorisés par un défaut de sécurité,  L'évaluation de la gravité de ces dysfonctionnements. Cette analyse des enjeux vise à :  Etre sélectif dans les moyens à mettre en œuvre pour la sécurité de l'information et ne pas engager de dépenses là où les enjeux sont faibles.  Éviter des contraintes inutiles aux utilisateurs  Définir les priorités But de la méthode
  9. 9. Etudier les vulnérabilités : L'analyse des vulnérabilités revient à identifier les faiblesses et les défauts des mesures de sécurité. En pratique, il s'agit d'une évaluation de la qualité de mesures de sécurité. Cette analyse des vulnérabilités permet de : Corriger les points faibles inacceptables par des plans d'action immédiats. Évaluer l'efficacité des mesures mises en place et garantir leur efficacité. préparer l'analyse des risques induits par les faiblesses mises en évidence. Se comparer à l'état de l'art ou aux normes en usage. But de la méthode
  10. 10. réduire la gravité des risques : Cette analyse des risques vise, le plus souvent : Définir les mesures les mieux adaptées au contexte et aux enjeux : il peut s'agir d'une démarche de management traditionnel par " politique de sécurité " orientée et alimentée par une analyse de risques. Mettre en place un management des risques et garantir que toutes les situations de risques critiques ont été identifiées et prises en compte : il s'agit alors d'une politique de management de la sécurité par le management des risques. But de la méthode
  11. 11. piloter la sécurité de l'information : Dans ce domaine, MEHARI apporte : Un cadre adapté à différentes démarches et différentes sortes de management de la sécurité : Les modes de pilotage de la sécurité peuvent évoluer avec le temps Les demandes du management peuvent évoluer en fonction de la maturité de l’entreprise Une variété d’indicateurs et de synthèses : Niveaux de vulnérabilités et de risques, relatifs aux points de contrôles ISO 17799:2005 (repris dans ISO 27001), tableau de bord des risques critiques. But de la méthode
  12. 12. Mehari s'articule autour de 3 types de livrables :  le Plan Stratégique de Sécurité (PSS)  les Plans Opérationnels de Sécurité (POS)  le Plan Opérationnel d'Entreprise (POE) Démarche de la méthode
  13. 13. le Plan Stratégique de Sécurité (PSS) : Le Plan Stratégique de Sécurité fixe les objectifs de sécurité ainsi que les métriques permettant de les mesurer. C'est à ce stade que le niveau de gravité des risques encourus par l'entreprise est évalué. Il définit la politique de sécurité ainsi que la charte d'utilisation du SI pour ses utilisateurs. Démarche de la méthode
  14. 14. les Plans Opérationnels de Sécurité (POS) : Les Plans Opérationnels de Sécurité définissent pour chaque site les mesures de sécurité qui doivent être mises en œuvre. Pour cela, ils élaborent des scénarios de compromission et audite les services du SI. Sur la base de cet audit, une évaluation de chaque risque (probabilité, impact) est réalisée permettant par la suite d'exprimer les besoins de sécurité, et par la même les mesures de protections nécessaires. Enfin, une planification de la mise à niveau de la sécurité du SI est faite. Démarche de la méthode
  15. 15. le Plan Opérationnel d'Entreprise (POE): Le Plan Opérationnel d'Entreprise assure le suivi de la sécurité par l'élaboration d'indicateurs sur les risques identifiés et le choix des scénarios de catastrophe contre lesquels il faut se prémunir. Démarche de la méthode
  16. 16. RISICARE est une approche associée à un outillage, s'appuyant sur la méthode Mehari 2010 et qui permet d'améliorer la productivité et la justesse d'une démarche de gestion des risques. Mehari les outils : RISICARE
  17. 17. Risicare s'appuie sur les caractéristiques suivantes : L'utilisation de la méthode Mehari développée au sein du CLUSIF comme modèle d'analyse des risques. La possibilité de personnaliser les bases de connaissances, voire de construire ses propres bases de connaissances. Une relation entre un audit de l'existant et la quantification de scénarios de risques. Une prise en compte exhaustive et automatique des multiples possibilités de survenance de ces scénarios. L'élaboration de plans d'action cohérents optimisant la réduction de l'ensemble des risques. Une aide en ligne très développée avec l'accès à un ensemble de rubriques méthodologiques et techniques. Caractéristiques de Risicare
  18. 18. Conclusion EBIOS MEHARI Publié en 1997, créée en 1995 développée depuis 1995 Structure Étude du contexte 1. L’identification des risquesÉtude des événements redoutés Étude des scénarios de menaces Étude des risques 2. L’estimation des risques Étude des mesures de sécurité 3. La gestion des risques Outils Guide pratique Documents pratiques Logiciel libre et gratuit Logiciel gratuit Formation Vidéos Etudes de cas Outils de calculs Excel intégrés au logiciel Club EBIOS Finalement, on se rend compte que ces deux méthodes abordent les même sujets, mais peut être sous un angle un peu plus fonctionnel ,la méthode EBIOS et plus “managériale” que la méthode MEHARI.
  19. 19. Merci Pour Votre Attention

×