Sécurité informatique - Politiques

Dans ce chapitre, nous expliquerons les politiques de sécurité qui sont à la base de la sécurité de l'infrastructure technologique de votre entreprise.

D'une certaine manière, ils sont la réglementation des comportements de vos employés envers l'utilisation de la technologie sur le lieu de travail, ce qui peut minimiser le risque de piratage, de fuite d'informations, de mauvaise utilisation d'Internet et cela garantit également la protection des ressources de l'entreprise.

Dans la vraie vie, vous remarquerez que les employés de votre organisation auront toujours tendance à cliquer sur des URL incorrectes ou infectées par un virus ou sur des pièces jointes de courrier électronique contenant des virus.

Rôle de la politique de sécurité dans la configuration des protocoles

Voici quelques pointeurs qui aident à définir les protocoles u pour la politique de sécurité d'une organisation.

  • Qui devrait avoir accès au système?
  • Comment doit-il être configuré?
  • Comment communiquer avec des tiers ou des systèmes?

Les politiques sont divisées en deux catégories -

  • Politiques utilisateur
  • Politiques informatiques.

Les politiques utilisateur définissent généralement la limite des utilisateurs vis-à-vis des ressources informatiques d'un lieu de travail. Par exemple, que sont-ils autorisés à installer sur leur ordinateur, s'ils peuvent utiliser des stockages amovibles.

Alors que, les politiques informatiques sont conçues pour le service informatique, afin de sécuriser les procédures et les fonctions des domaines informatiques.

  • General Policies- C'est la politique qui définit les droits du personnel et le niveau d'accès aux systèmes. Généralement, il est inclus même dans le protocole de communication à titre préventif en cas de catastrophe.

  • Server Policies- Cela définit qui doit avoir accès au serveur spécifique et avec quels droits. Quels logiciels doivent être installés, niveau d'accès à Internet, comment ils doivent être mis à jour.

  • Firewall Access and Configuration Policies- Il définit qui doit avoir accès au pare-feu et quel type d'accès, comme la surveillance, les règles changent. Quels ports et services doivent être autorisés et s'ils doivent être entrants ou sortants.

  • Backup Policies - Il définit qui est la personne responsable de la sauvegarde, quelle doit être la sauvegarde, où elle doit être sauvegardée, combien de temps elle doit être conservée et la fréquence de la sauvegarde.

  • VPN Policies- Ces politiques vont généralement avec la politique de pare-feu, elle définit les utilisateurs qui devraient avoir un accès VPN et avec quels droits. Pour les connexions de site à site avec des partenaires, il définit le niveau d'accès du partenaire à votre réseau, type de cryptage à définir.

Structure d'une politique de sécurité

Lorsque vous compilez une politique de sécurité, vous devez avoir à l'esprit une structure de base afin de rendre quelque chose de pratique. Certains des principaux points à prendre en considération sont:

  • Description de la politique et à quoi sert-elle?
  • Où cette politique devrait-elle être appliquée?
  • Fonctions et responsabilités des employés concernés par cette politique.
  • Procédures impliquées dans cette politique.
  • Conséquences si la politique n'est pas compatible avec les normes de l'entreprise.

Types de politiques

Dans cette section, nous verrons les types de politiques les plus importants.

  • Permissive Policy - Il s'agit d'une politique de restriction moyenne dans laquelle, en tant qu'administrateur, nous bloquons uniquement certains ports bien connus de logiciels malveillants concernant l'accès à Internet et seuls quelques exploits sont pris en compte.

  • Prudent Policy - Il s'agit d'une politique de restriction élevée où tout est bloqué concernant l'accès à Internet, seule une petite liste de sites Web est autorisée, et maintenant des services supplémentaires sont autorisés dans les ordinateurs à installer et les journaux sont conservés pour chaque utilisateur.

  • Acceptance User Policy- Cette politique régit le comportement des utilisateurs envers un système ou un réseau ou même une page Web, de sorte qu'il est explicitement dit ce qu'un utilisateur peut et ne peut pas faire dans un système. Comme sont-ils autorisés à partager des codes d'accès, peuvent-ils partager des ressources, etc.

  • User Account Policy- Cette politique définit ce qu'un utilisateur doit faire pour avoir ou maintenir un autre utilisateur dans un système spécifique. Par exemple, accéder à une page Web de commerce électronique. Pour créer cette stratégie, vous devez répondre à certaines questions telles que -

    • Le mot de passe doit-il être complexe ou non?

    • Quel âge devraient avoir les utilisateurs?

    • Nombre maximal d'essais autorisés ou échec de connexion?

    • Quand l'utilisateur doit-il être supprimé, activé, bloqué?

  • Information Protection Policy - Cette politique est de réglementer l'accès aux informations, les informations à traiter, comment les stocker et comment elles doivent être transférées.

  • Remote Access Policy- Cette politique s'adresse principalement aux grandes entreprises où l'utilisateur et ses succursales sont en dehors de leur siège. Il indique à quoi les utilisateurs doivent accéder, quand ils peuvent travailler et sur quels logiciels tels que SSH, VPN, RDP.

  • Firewall Management Policy - Cette politique a explicitement à voir avec sa gestion, quels ports doivent être bloqués, quelles mises à jour doivent être effectuées, comment apporter des modifications au pare-feu, combien de temps les journaux doivent-ils être conservés.

  • Special Access Policy- Cette politique a pour but de garder les gens sous contrôle et de surveiller les privilèges spéciaux dans leurs systèmes et la raison pour laquelle ils les ont. Ces employés peuvent être des chefs d'équipe, des gestionnaires, des cadres supérieurs, des administrateurs système et des personnes aussi hautement désignées.

  • Network Policy- Cette politique vise à restreindre l'accès de quiconque à la ressource réseau et à préciser qui tous accédera au réseau. Il garantira également si cette personne doit être authentifiée ou non. Cette politique comprend également d'autres aspects tels que, qui autorisera les nouveaux appareils qui seront connectés au réseau? La documentation des changements de réseau. Filtres Web et niveaux d'accès. Qui devrait avoir une connexion sans fil et le type d'authentification, la validité de la session de connexion?

  • Email Usage Policy- C'est l'une des politiques les plus importantes à appliquer car de nombreux utilisateurs utilisent également le courrier électronique professionnel à des fins personnelles. En conséquence, des informations peuvent fuir à l'extérieur. Certains des points clés de cette politique sont que les employés doivent connaître l'importance de ce système qu'ils ont le privilège d'utiliser. Ils ne doivent ouvrir aucune pièce jointe qui semble suspecte. Les données privées et confidentielles ne doivent pas être envoyées via un e-mail crypté.

  • Software Security Policy- Cette politique a à voir avec les logiciels installés sur l'ordinateur de l'utilisateur et ce qu'ils devraient avoir. Certains des points clés de cette politique sont que les logiciels de la société ne doivent pas être cédés à des tiers. Seule la liste blanche des logiciels doit être autorisée, aucun autre logiciel ne doit être installé sur l'ordinateur. Warez et les logiciels piratés ne devraient pas être autorisés.