Face a chaque risque identifie, une organisation doit choisir une strategie de reponse : transferer, eviter, attenuer ou accepter. Cet article couvre les quatre strategies, la distinction entre risque total et residuel, la selection des contre-mesures, les types de controles et la defense en profondeur.
Une fois les menaces et vulnerabilites identifiees, il faut mesurer le risque qu’elles representent pour l’organisation. L’evaluation des risques est le coeur de la gestion de la securite de l’information : elle permet de determiner quels actifs proteger en priorite, combien investir dans les contre-mesures, et quelles methodologies utiliser pour produire des resultats exploitables par…
Avant de pouvoir protéger nos actifs, il faut comprendre ce qui peut les menacer et où se trouvent nos faiblesses. La première étape de l’évaluation des risques consiste à inventorier et catégoriser nos systèmes d’information pour identifier les vulnérabilités qui pourraient conduire à la compromission de la confidentialité, de l’intégrité ou de la disponibilité. Ensuite,…
« Un bateau dans un port est en sécurité, mais ce n’est pas pour cela que les bateaux sont construits. » — William G.T. Shedd Le risque est le concept qui devrait sous-tendre chaque décision prise pour défendre nos systèmes d’information. Il n’existe pas d’environnement sécurisé à 100 %. Tout environnement possède des vulnérabilités et…
Recruter les bonnes personnes n’est que la première étape. Il faut ensuite les former, les sensibiliser et les éduquer continuellement pour qu’elles deviennent des acteurs actifs de la sécurité plutôt que des maillons faibles. Ce dernier article du chapitre 1 couvre les trois niveaux de sensibilisation à la sécurité, les méthodes de présentation adaptées à…
Bien que la technologie soit devenue essentielle, les personnes restent souvent le maillon le plus faible de la chaîne de sécurité. Accidentellement ou intentionnellement — par manque de formation, fraude ou malveillance — le personnel cause plus de problèmes de sécurité que les attaques de hackers, l’espionnage externe ou les pannes d’équipement. Cet article couvre…
Les ordinateurs et les informations qu’ils traitent ont une relation directe avec les missions et objectifs critiques d’une entreprise. Pour protéger ces actifs de manière cohérente à travers toute l’organisation, il faut un cadre documentaire structuré. Ce cadre se compose de politiques, standards, référentiels de base (baselines), directives (guidelines) et procédures. Cet article explique chacun…
Une gouvernance de sécurité efficace repose sur une répartition claire des responsabilités à tous les niveaux de l’organisation. Chaque couche — de la direction générale aux utilisateurs finaux — doit comprendre son rôle dans la protection des actifs informationnels. Cet article détaille les rôles clés, du CEO au data analyst, et explique la distinction fondamentale…
Maintenant que les concepts fondamentaux de la sécurité (confidentialité, intégrité, disponibilité, authenticité, non-répudiation) sont établis, il est temps de comprendre comment les organisations structurent et pilotent leur sécurité. C’est le rôle de la gouvernance de la cybersécurité : un cadre formel qui permet à la direction de fixer les objectifs, superviser leur mise en œuvre…
Lorsqu’on aborde la cybersécurité, un concept revient systématiquement : la triade CIA. Ces trois lettres — Confidentiality, Integrity, Availability — constituent le socle sur lequel repose toute stratégie de protection de l’information. Que vous soyez administrateur système, analyste SOC ou candidat au CISSP, comprendre ces trois piliers est indispensable. Dans cet article, nous allons décortiquer…