{"partition": "head_middle", "source_domain": "www.zdnet.fr", "digest": "sha1:2XPXQWYBVY5U75QGU4K2WWRJZ3F3I625", "path": "/lustre/fsn1/projects/rech/qgz/uzq54wg/processed_redpajama/base_processing/output/fr/2016-26/000_00018.parquet"}
Sécurité IT
Utile l'ISO 27001 ? Mouais...
Sommaire : Une étude d'un cabinet anglais révèle les irrégalurités de sécurité de nombre d'entreprises européennes conformes au standard ISO 27001, dont certaines sont pourtant certifiées par des auditeurs externes
Christophe Elise pour Sécurité IT |
C'est au détour de la lecture des résultats d'une étude commandée par l'éditeur CA au cabinet anglais Quocirca (sur la gestion des droits d'utilisateurs privilégiés), que j'ai noté une information intéressante. Près d'une entreprise sur deux reconnaît de mauvaises pratiques de sécurité en matière de gestion des droits des comptes privilégiés. Une honnêteté touchante, surtout lorsqu'on sait que ces entreprises sont pourtant conformes au standard ISO 27001. Plus surprenant encore: 36% de ces entreprises ont vu leur conformité certifiée par un audit externe.
Cette étude a surtout pour objet - en pointant imprudences et défaillances - de mettre en avant l'intérêt de solutions d'automatisation de la gestion des comptes privilégiés. Cependant elle relève d'autres bizarreries. A l'occasion d'un entretien avec le directeur ( et analyste) de Quorcica, Bob Tarzey, nous relevions qu'à la question de savoir contre quelles menaces les entreprises se pensent bien préparées, la première réponse est l'échec à un audit de mise en conformité. Avant les menaces externes, avant la perte de données, avant les menaces internes ! Tout comme si la première préoccupation des Responsables de Sécurité des Systèmes d'Information (RSSI) était de garantir à leur patron (Directeur des Systèmes d'Information ou PDG), qu'ils ont le bon tampon garant d'une bonne sécurité. Une manière de se dédouanner des problèmes de sécurité qui peuvent survenir. Peu importe que dans les fait, de mauvaises pratiques subsistent et puissent rendre futile toute certification.
Loin de moi l'idée de remettre en cause la norme ISO 27001, son intérêt pour la sécurité. Cette norme est à la sécurité des systèmes d’information ce que l’ISO 9001 est à la qualité. Elle offre aux entreprises un cadre de bonnes pratiques reconnues, et une démarche visant à la mise en place d’un Système de Management de la Sécurité de l’Information. Ce dernier définit une politique de sécurité, des objectifs, et les moyens mis en œuvre pour les atteindre. Sans même aller jusqu'au sceau de la certification, la démarche entreprise afin de se mettre en conformité est louable et structurante pour la sécurité des systèmes d'information. Les entreprises japonaises sont d'ailleurs coutumières de cette méthode sans pour autant se fixer sur l'objectif d'être certifiées. Le succès de la norme en France est mitigé, avec seulement moins d'une vingtaine d'entreprises certifiées contre près de 5000 à travers le monde. Elaborer sur les raisons de ce demi-échec ferait l'objet d'un autre post. Ce que laisse transparaitre cette étude est que la mise en conformité à cette norme n'est pas nécessairement un gage de rigueur dans les entreprises. La certification n'a de sens que si elle ne sert pas de paravent aux entreprises. Ce qui me surprend beaucoup est qu'il soit possible à des entreprises de passer à travers un audit externe sans que leurs manquements fassent obstacles à leur certification. Si ces faits sont avérés, c'est un coup porté à la notoriété et légitimité de cette norme.
Sujet: Sécurité Suivre via: RSS
﻿ Je ne peux, pour le vivre au quotidien dans mon entreprise (certifiée ISO27K...) qu'abonder dans votre sens, en confirmant que le fond (les principes sécuritaires de la norme) passe loin derrière la forme (la certification). Toujours selon mon expérience et, plus gênant encore que la non application réelle des principes sécuritaires au sein des entreprises, cette "quête de la bonne forme" semble être la seule préoccupation des auditeurs. Manque de moyen et/ou de compétences de ces derniers (pour vérifier les dires des personnes auditées) ? Pressions des grands groupes et des entreprises auditées pour obtenir le précieux sésame ? Manque de cadrage et d'aspects pratiques de la norme (certains principes peuvent conduire à des interprétations contradictoires) ? ...Espérons que le nombre de sociétés certifiées augmente rapidement et que les défauts de jeunesse soient corrigés!
trankilou45
21 octobre, 2009 17:00
Répondre ﻿ Votre commentaire confirme mes craintes. Il y a matière à aller interroger des auditeurs pour connaitre leur point de vue. Je suivrai ce sujet dans cette direction.Pointeriez vous le RSSI comme co-responsable de cette "quête de la bonne forme" ou les responsabilités sont autres ?
C.Elise
Le RSSI n'est qu'un maillon de la chaîne qui ne peut décider tout seul d'une démarche de certification ISO27K, pas plus qu'il ne peut insuffler l'énergie nécessaire à l'atteinte de l'objectif.... Il a tout d'abord besoin de l'appui sans faille de la Direction de l'entreprise. Mais il a surtout besoin des managers opérationnels, chargés de relayer les consignes et obligations auprès de la "base" opérationnelleLa "quête de la bonne forme" résulte donc, de mon point de vue, d'une stratégie globale d'entreprise. Mais cette quête est elle vraiment répréhensible, dans un pays où les diplômes importent plus que les qualifications des employés ???
Répondre ﻿ Bonjour Christophe,Votre publication est pertinente et soulève un problème profond.Ayant travaillé au sein d’un groupe international, c’était déjà le cas dans ce groupe en France en 2000. Il existe certaines Entreprises où les responsables informatique ont le cœur la l’ouvrage, et ont pour but premier le bon fonctionnement du système, ainsi que son optimisation et sa sécurité.Mais, où la problématique de la Direction Générale est effectivement en premier lieu d’obtenir la certification qualité, et de la garder.Dans ce contexte précis l’objectif principal n’est plus celui de la sécurité elle-même, de la sauvegarde des données, l’optimisation, ou autre. A partir du moment où on ne vous donne pas forcement les moyens nécessaire pour faire tout ce que vous avez besoin pour gérer votre parc, mais qu’on vous donne les moyens que vous désirez si ils permettent la conservation de la certification qualité.A partir de l’instant où l’on vous fait bien entendre que votre objectif et la conservation de ce label…Vous savez ce qu’il vous reste à faire pour avoir de bon rapport avec la DG, et conserver votre poste…Je pensais que ce cas était assez isolé, voir anecdotique,Mais après la lecture de votre article ceci laisse a réfléchir,Bonne journée
S.benoit
Répondre ﻿ Christophe met le doigt sur un problème autre que les normes ISO - toutes des foutaises administratives... - mais sur la logique d'un modèle sûr et non sécuritaire. De grâce, cessez d'utiliser le mot "problématique" à toutes les sauces!! Le mot "problème au singulier suffit et quand il y en a plusieurs il s'écrit "problèmes"... Bref! On ne contre pas une mode médiatique et journalistique où "la problèmatique me fait rebondire dans cet espace convivial qu'est notre vécu...."" et je passe les autres mots journalistiques entendus chaque jour et utilisés à mauvais escient. Le problème de fond c'est Internet même créé non pas pour son côté de sécurité des informations mais pour la rapidité de transmission de ses informations. Les deux buts sont contraires et antinomiques: on ne peut exiger une sécurité des infos et une rapidité en même temps de ces mêmes infos et ce ne sont pas les militaires, ni les services de renseignements gavés de sytèmes de cryptages - tous crackés... - qui vont me contredire. C'est notre mode de penser l'économie qu'il faut changer! Soyez plus concis et moins analytiques dans vos observations et vos déductions. Un esprit neuf de synthèse et non d'analyse microscopique à courte vue.
Répondre ﻿ Bonjour,Etant moi-même auditeur principal de Systèmes de Gestion de la Sécurité de l'Information, je souhaite apporter une contribution.S'il est vrai que nombre d'organisations voient au départ dans la conformité au standards internationaux, et pour ce qui nous occupe ici la conformité à la norme ISO/CEI 27001:2005, essentiellement une plus-value liée à l'image, il ne faut toutefois pas jeter le bébé avec l'eau du bain.Le référentiel proposé par ISO 27001 définit, avant tout, un cadre de saines pratiques basées sur des contrôles généraux relatifs à la sécurité de l'information. Le mot "généraux" prend ici un sens non dénué d'intérêt puisqu'il couvre le domaine de la responsabilité managériale, de l'implication du personnel, de la gestion des risques de sécurité de l'information et de la logique d'amélioration permanente au sens des systèmes de gestions tels que la qualité (ISO 9001), l'environnement (ISO 14001) ou encore la gestion des services des TI (ISO 20000)."La plus belle femme du monde ne peut donner que ce qu'elle a", dit on et il ne faut vouloir faire jouer à ISO 27001 un rôle qui n'est pas le sien, à savoir celui d'un système de surveillance de contrôles opérationnels de sécurité. D'autres cadres plus techniques et d'autres méthodologies (par ex. SAS70) viennent ainsi en support d'une démarche ISO 27001 pour permettre aux organisations qui en ont la maturité (cela s'apprend, ce n'est pas forcément naturel) de contrôler la sécurité d'infrastructure au plus près des opérations ... avec les bons outils, c-à-d les outils de gestion managériale et TOUS les autres.27001 n'est certainement pas la panacée mais offre, à mon sens, un cadre managérial suffisamment clair et structuré pour permettre aux organisations qui en ont le souhait de relier les exigences du référentiel aux meilleures pratiques de gestion des TI qu'elles auront par ailleurs mises en place.En tant qu'auditeur, mon rôle consistera dès lors à assurer d'abord et avant tout le respect des exigences de la norme et mes collègues ou moi-même pourront toujours être sollicités pour auditer cette conformité également en regards des contrôles opérationnels établis par l'organisation. C'est de la complémentarité entre ces deux approches que viendra certainement la solution, la maturité étant ici un facteur-clé.
pierre_dewez
Votre contribution est intéressante (ne serait-ce que par votre point de vue d'auditeur) et rappelle que l'objectif de cette norme est de définir un cadre général des principes sécuritaires. Il me semble toutefois que de nombreux raccourcis sont faits par l'ensemble des collaborateurs d'une entreprise, conduisant ainsi à une mauvaise interprétation de cette norme et de son intérêt. Au final, et après quelques savantes opérations Marketing (bien aidée par la méconnaissance et la complexité des normes ISO), il en ressort qu'une entreprise certifiée ISO27K (j'inclus volontairement ISO27002 et ses consœurs) est une entreprise "au top de la sécurité". C'est cet amalgame qui me dérange et m'agace car tout le temps passé à la rédaction des procédures et documentations conduisant à la certification ISO27K dans une entreprise, est un temps qui n'est pas consacré à l'amélioration concrète de la sécurité (optimisation des PRA/PCA/PCIT, optimisation de la gestion des comptes utilisateurs, ....). Et une fois la certification obtenue, il faudra veiller à maintenir ce référentiel sécuritaire, et mettre à jour les innombrables documentations, procédures et processus. Autant de jours/hommes qui ne pourront jamais être consacrés au fond, sauf à augmenter les budgets ce qui, en période difficile, n'est pas vraiment d'actualité!
Répondre ﻿ D'accord avec le commentaire précédent. Cette norme, et la certification qui peut aller avec, n'assure évidemment pas une sécurité à 100%. Bien sûr qu'il peut y avoir des défaillance dans certains controles de l'ISMS. L'important est qu'elles soient adressées.Elle consiste avant tout à formaliser une démarche sécurité sur tout ou partie du système d'information.A propos de votre premier point sur les déficiences sur les comptes privilégiés, on peut y voir un bénéfice de la mise en place d'un ISMS. Ces sociétés ont été capables d'identifier le niveau de maturité de leur process. Si elles y ont mis ensuite un plan d'action pour l'améliorer alors l'ISO a joué pleinement son rôle et elles peuvent donc être certifiées...
G.magery
Répondre ﻿ Oui J'en profite pour "rebondir encore une fois sur une très belle expression si chère aux médias: Ne jetons pas le bébé avec l'eau du bain"!! Plus j'y réfléchis et moins je sais ce que cela signifie!! Pour le reste pas mal de blabla sur les normes ISO... Vive l'Europe et sa pollution administrative! :)
Les news les plus populaires	publicité A lire aujourd'hui
Outre l’agilité, le DevOps impacte la culture de l’entreprise et son organisation