Privilégiez l'utilisation de logiciels achetés à des éditeurs connus.
"Je ne peux pas faire confiance au gestionnaire documentaire édité par la pme de ma région ? Zarb, ça."
-> virer cette phrase ? On peut avoir plus confiance dans le wiki édité par la pme du coin, économie locale, connaissance humaine, dont les sources sont ouvertes.
(...) l'innocuité de ces logiciels peut être garantie
"Par qui ?"
-> Le terme "peut être" rends la phrase floue bien que vraie, non ?
Ne téléchargez aucun logiciel sur internet sauf s'il s'agit de logiciels diffusés sous licence Libre ou sous licence Open Source et à partir d'un site de confiance.
"qu'est ce qu'un site de confiance ?"
-> Ambiguïté : cette phrase ne vaut que pour le contexte "windows". Ou plus globalement de l'usage de binaires pré-compilés téléchargés n'importe où, alors qu'une distribution signe ses binaires. Mais là, ça devient trop compliqué, alors : une politique globale de sécurité telle qu'elle est sous entendue dans d'autres parties du document devrait inclure une interdiction d'installation de logiciels. Ce qui n'est pas autorisé est interdit. Point.
Fournissez des supports de stockages identifiés par l'entreprise (...) et interdisez l'usage des supports privés.
"comment ? tout les collaborateurs ont des smartphones qu'ils branchent sur leur portable"
-> identifiez qu'il est possible d'interdire l'usage de tout supports amovibles non référencés. (et qu'en plus cette base est centralisée, puis autofs sur le pc client, voir la note technique certainement). Tout comme le point précédent : tout ce qui n'est pas autorisé est interdit, et ce n'est pas seulement une règle écrite mais un fait pratique.
utilisent des protocoles de communication et des formats de fichiers standards et bien documentés
"toujours ?"
-> Dans certains cas pour certains documents, par exemple un transport dans un laptop, ne pas hésiter à, au contraire, utiliser un aglo de chiffrement peu usité, peu connu (en plus d'un fs chiffré). Une politique d'usage de l'exotisme ne peut être la règle, mais est souvent une exception indispensable dans certains cas.
privilégiez les logiciels distribués avec une licence Libre ou une licence Open Source. N'importe quel prestataire informatique aura ainsi accès au code informatique
"Quel intérêt ?"
-> Retombez sur la possibilité d'usage d'un logiciel "local" d'une autre pme/pmi. Ainsi que sur le coût global des logiciels libres. Un LL n'ayant pas de problème de licence, le budget informatique consacré aux logiciels et données peut être mieux ciblés en fonction du besoin. Et faire l'objet d'une contre-expertise. Faite réviser le code par un expert indépendant qui apportera une assurance supplémentaire quant au contenu exact du code. Le LL permet de ne pas se fier à un seul fournisseur, mais de faire réviser, au besoin, par un fournisseur concurrent parfois, ou simplement un expert.
Un budget sur un plugin de chiffrement et son implémentation peut ainsi être utiliser à la fois pour son support et pour sa révision par un tiers, plutôt que pour une licence...
Si vous téléphonez via internet (voix sur IP), séparez physiquement le réseau téléphonique du réseau informatique
"pourquoi ? il y en un plus faible que l'autre ? lequel ? Mes données les plus importantes transitent toujours par mail en fait"
-> Mettre en exergue la notion de pérennité de l'information. C'est elle qui définira les programmes de la politique de sécurité, sans que les usagers aient besoin d'y penser réellement . (Transmettre par mail un mot de passe changeant toute les semaines d'un coffre physique interne à un bureau, n'est pas 'grave' en soi dans la mesure où l'obsolescence de l'information (1 semaine) additionnée à l'accès physique (bureau + coffre) rends son usage délicat, et restreint fortement le champ des possibles. etc...)
Formation, charte informatique
"ça coute cher ?"
-> bullshit. La formation coûte du temps, au minimum, parfois des intervenants en plus. Pour au final, au mieux avoir un résultat de sensibilisation. La seule politique qui vaille c'est la notion de faute. Marquée noir sur blanc dans le contrat ou la charte d'usage des moyens technologiques internes, identifiée comme faute.
Pas de logiciels, autres que ceux fournis, utilisables.
Pas de support amovibles, autres que ceux fournis, utilisables.
Pas de machines, autres que celles fournies, pluggables sur le réseau.
Identification rapides des contrevenants et des tentatives.
Faute professionnelle si non respect.
Mes deux cents. Désolé ce n'est pas exactement dans l'ordre du texte, et c'est bien incomplet, mais c'est ce qui m'a sauté au visage en lisant ce préambule. Une impression de quelques phrases et 'vérités' assénées sans réelle explication, qui ressemble plus à un peu de marketting qu'aux recommandations qu'une préfecture pourrait faire. J'espère que d'autres apporteront des idées, sans prétention, afin d'améliorer ce texte.
# questions
Posté par bubar🦥 . En réponse à la dépêche Conseils pour la mise en place d'une politique de sécurité informatique dans les PME/PMI. Évalué à 9.
hop, michu étant une seconde peau :
"Je ne peux pas faire confiance au gestionnaire documentaire édité par la pme de ma région ? Zarb, ça."
-> virer cette phrase ? On peut avoir plus confiance dans le wiki édité par la pme du coin, économie locale, connaissance humaine, dont les sources sont ouvertes.
"Par qui ?"
-> Le terme "peut être" rends la phrase floue bien que vraie, non ?
"qu'est ce qu'un site de confiance ?"
-> Ambiguïté : cette phrase ne vaut que pour le contexte "windows". Ou plus globalement de l'usage de binaires pré-compilés téléchargés n'importe où, alors qu'une distribution signe ses binaires. Mais là, ça devient trop compliqué, alors : une politique globale de sécurité telle qu'elle est sous entendue dans d'autres parties du document devrait inclure une interdiction d'installation de logiciels. Ce qui n'est pas autorisé est interdit. Point.
"comment ? tout les collaborateurs ont des smartphones qu'ils branchent sur leur portable"
-> identifiez qu'il est possible d'interdire l'usage de tout supports amovibles non référencés. (et qu'en plus cette base est centralisée, puis autofs sur le pc client, voir la note technique certainement). Tout comme le point précédent : tout ce qui n'est pas autorisé est interdit, et ce n'est pas seulement une règle écrite mais un fait pratique.
"toujours ?"
-> Dans certains cas pour certains documents, par exemple un transport dans un laptop, ne pas hésiter à, au contraire, utiliser un aglo de chiffrement peu usité, peu connu (en plus d'un fs chiffré). Une politique d'usage de l'exotisme ne peut être la règle, mais est souvent une exception indispensable dans certains cas.
"Quel intérêt ?"
-> Retombez sur la possibilité d'usage d'un logiciel "local" d'une autre pme/pmi. Ainsi que sur le coût global des logiciels libres. Un LL n'ayant pas de problème de licence, le budget informatique consacré aux logiciels et données peut être mieux ciblés en fonction du besoin. Et faire l'objet d'une contre-expertise. Faite réviser le code par un expert indépendant qui apportera une assurance supplémentaire quant au contenu exact du code. Le LL permet de ne pas se fier à un seul fournisseur, mais de faire réviser, au besoin, par un fournisseur concurrent parfois, ou simplement un expert.
Un budget sur un plugin de chiffrement et son implémentation peut ainsi être utiliser à la fois pour son support et pour sa révision par un tiers, plutôt que pour une licence...
"pourquoi ? il y en un plus faible que l'autre ? lequel ? Mes données les plus importantes transitent toujours par mail en fait"
-> Mettre en exergue la notion de pérennité de l'information. C'est elle qui définira les programmes de la politique de sécurité, sans que les usagers aient besoin d'y penser réellement . (Transmettre par mail un mot de passe changeant toute les semaines d'un coffre physique interne à un bureau, n'est pas 'grave' en soi dans la mesure où l'obsolescence de l'information (1 semaine) additionnée à l'accès physique (bureau + coffre) rends son usage délicat, et restreint fortement le champ des possibles. etc...)
"ça coute cher ?"
-> bullshit. La formation coûte du temps, au minimum, parfois des intervenants en plus. Pour au final, au mieux avoir un résultat de sensibilisation. La seule politique qui vaille c'est la notion de faute. Marquée noir sur blanc dans le contrat ou la charte d'usage des moyens technologiques internes, identifiée comme faute.
Mes deux cents. Désolé ce n'est pas exactement dans l'ordre du texte, et c'est bien incomplet, mais c'est ce qui m'a sauté au visage en lisant ce préambule. Une impression de quelques phrases et 'vérités' assénées sans réelle explication, qui ressemble plus à un peu de marketting qu'aux recommandations qu'une préfecture pourrait faire. J'espère que d'autres apporteront des idées, sans prétention, afin d'améliorer ce texte.