April 21, 2023

Sensibilisation SécuritéSensibilisation Sécurité

Sécurité de l’information – Démarche à ARAMICESécurité de l’information – Démarche à ARAMICE

April 21, 2023 2

SOMMAIRESOMMAIRE

Partie I: Démo de HackingDécouverte de mots de passe de session Windows

Partie II: La Sécurité des systèmes d’information

chez ARAMICE1. Où se trouve l’information liées à la SSI2. Le règlement Agirc Arrco3. La politique de sécurité de l’information ARAMICE

Partie III: Quizz

Quelques questions pour se tester en sécurité

Partie IV: Echanges

Partie I: Démo de HackingDécouverte de mots de passe de session Windows

Partie II: La Sécurité des systèmes d’information

chez ARAMICE1. Où se trouve l’information liées à la SSI2. Le règlement Agirc Arrco3. La politique de sécurité de l’information ARAMICE

Partie III: Quizz

Quelques questions pour se tester en sécurité

Partie IV: Echanges

April 21, 2023 3

Piratage informatique !!Piratage informatique !!

DémoDémo de Hacking de Hacking du mot de passe du mot de passe

WindowsWindows

April 21, 2023 4

Piratage informatique !!Piratage informatique !!

L’utilisateur choisit un mot de passe Windows, robuste …

L’utilisateur valide son mot de passe sur le système …

RESULTAT DANS QUELQUES SLIDES

Le pirate tente de craquer le mot de passe en démarrant le poste de travail de l’utilisateur à partir d’un simple CD

L’utilisateur pense que son système est sécurisé !!

Leçon à tirer !!!

April 21, 2023 5

La sécurité des Systèmes d’InformationLa sécurité des Systèmes d’Information

La SSI chez La SSI chez ARAMICEARAMICE

April 21, 2023 6

Un monde pas toujours tranquille !Un monde pas toujours tranquille !

Quelques sinistres connus:

5 Mai 1996 : incendie du Crédit Lyonnais

11 Septembre 2001 : destruction du World Trade Center

17 Novembre 2004 : anomalie réseau Bouygues Télécom

…Et quelques chiffres

Impact d’une perte de données (secteur bancaire) : 70% des entreprises ayant subi une perte de

données majeure ne survivent pas plus de 18 mois. (source UK : Department of trade industry).

Indisponibilité du centre informatique : 93% des entreprises dont le centre informatique reste

inexploitable pendant 10 jours ou plus suite à un sinistre déposent le bilan dans l’année suivant le sinistre.

(source NARA : Nationnal archives & records administration, washington).

Tentatives de recouvrement de données : Des analystes ont estimé que 40% des recouvrements de

données échouaient. (source ESG : Entreprise Strategy Group).

April 21, 2023 7

Et cela n’arrive pas qu’aux autres !Et cela n’arrive pas qu’aux autres !

Interruption du système informatique

Difficultés de connexions au réseau, à la messagerie

Pertes de données, restaurations impossibles

Pannes de courant

Indisponibilité du téléphone

Vols de téléphones et ordinateurs portables

Intrusion de personnes non autorisées dans le bâtiment et vols

Incidents de sécurité déjà survenus chez ARAMICE

Vous y avez tous été (ou vous y serez) confrontés

A terme, risques pour l’entreprise : Pertes de données, perte d’image de marque, pertes financières, … Pire issue : Cessation d’activité d’ ARAMICE et des Groupes

April 21, 2023 8

Origine des menaces !Origine des menaces !

April 21, 2023 9

Des attaques !Des attaques !

April 21, 2023 10

Démarche SSI chez ARAMICEDémarche SSI chez ARAMICE

Mettre en place une démarche de sécurité

La sécurité des systèmes d’information a pour vocation d’assurer le respect du règlement SSI par l’entreprise ainsi que la protection des biens de celle-ci :

- Les personnes- Les informations (logiciels, documents, procédures, bases de données, …)- Les locaux et sites - Les matériels (serveurs, postes fixes, portables, équipements télécoms et réseaux, …)- Les services (téléphone, électricité, climatisation)

- L’image de marque de l’entreprise et de ses Groupes

Démarche basée sur le règlement SSI des fédérations

• La démarche de sécurisation du système d’information est basée sur le règlement SSI des fédérations, ce dernier est construit suivant les exigences de la norme sécurité ISO 27001.

• Plus précisément, le règlement veille à assurer la confidentialité, l’intégrité et la disponibilité des informations de l’entreprise.

April 21, 2023 11

Où se trouve l’information liée à la SSI !Où se trouve l’information liée à la SSI !

Mettre en place une démarche de sécurité

La sécurité des systèmes d’information a pour vocation d’assurer le respect du règlement SSI par l’entreprise ainsi que la protection des biens de celle-ci :

- Les personnes- Les informations (logiciels, documents, procédures, bases de données, …)- Les matériels (serveurs, postes fixes, portables, équipements télécoms et réseaux, …)- Les services (téléphone, électricité, climatisation) - L’image de marque de l’entreprise et de ses Groupes

April 21, 2023 12

EchangesEchangesQuestionsQuestions-réponses-réponses

N’oubliez pas : La sécurité de notre système d’information dépend de NOUS tous !!!

April 21, 2023 13

Quizz !Quizz !

April 21, 2023 14

Quizz!Quizz!Quel est votre niveau en Sécurité des systèmes d’information ?

1. Quelle est la troisième composante principale de la sécurité des systèmes d’information, accompagnant la « confidentialité » et la « disponibilité ».

a. Intégritéb. Acceptabilité c. Probabilité

  2. Un plan de reprise et de continuité des opérations essentiellement techniques existe chez ARAMICE, il est communément appelé P.C.I.T., que signifient ces initiales ?

a. Plan de Continuité Informatique Telecomsb. Procédure de Continuité Informatisée et Télédistribuéec. Plan Computerized Information Technology

  3. En jargon entreprise, nous utilisons le terme « PSI » qui correspond à:

a. Plan de Sécurité Informatique b. Politique de Sécurité de l’Information

c. Plan de Soutien des Informaticiens  4. Quels collaborateurs ARAMICE ont un rôle important à jouer dans la sécurité de l’information pour notre entreprise ?

a. La Production Informatique b. Les collaborateurs uniquement c. Les membres de la Direction

d. Tous les collaborateurs ARAMICE ainsi que les prestataires de l’entreprise

 

April 21, 2023 15

Quizz!Quizz!5. Quels logiciels êtes vous autorisé à installer vous même sur votre ordinateur ARAMICE sans autorisation de votre Responsable ?

a. Tous b. Les programmes professionnels (photoshop, pack office, …)c. Les logiciels gratuits (freeware, shareware, ) et de démonstrationd. Les mini-utilitaires gratuits et pratiques (ne nécessitant aucune installation)e. Aucun

6. Quelles sont les combinaisons de touches à appuyer simultanément qui permettent le verrouillage instantané du poste de travail (plusieurs réponses) ?

a. CTRL + ALT + SUPRb. Touche Logo WINDOWS + Ec. Touche Logo WINDOWS + L

  7. Quel sont parmi les différentes formules énoncées, la politique de mots de passe adoptée chez ARAMICE:

a. Le mot de passe doit comporter au moins 8 caractères sous Windows et Lotus Notes, exactement 8 pour le site central, b. Le mot de passe doit comporter au minimum 8 caractères et se composer de lettres et de chiffres, sans caractère particulier pour le site centralc. Le mot de passe doit comporter 8 caractères au minimum et pas de répétitions de lettres ou de chiffres, d. Le mot de passe doit comporter 8 caractères, il ne doit pas disposer de chaîne de 3

caractères ou plus, commune avec un des « mots interdits » que sont les mots triviaux, vos mots de passe précédents, votre nom, prénom, et vos initiales.

e. Les 4 règles précédents combinées

April 21, 2023 16

Quizz!Quizz!8. Comment pouvez-vous signaler un incident de sécurité ? (plusieurs réponses) :

a. En appelant le C.A.I b. En le signalant à votre correspondant fonctionnel de sécurité (mais qui est cette

personne ?)c. En le signalant au service Gestion des Risquesd. En le remontant à la hiérarchie

9. Potentiellement un logiciel malveillant est capable de (plusieurs réponses) : a. Espionner ce que vous tapez sur le clavier de votre ordinateur b. Envoyer des mails à partir de votre ordinateur c. Mettre le feu à un CD-Rom inséré dans le lecteur de votre ordinateur d. Détruire les fichiers présents sur votre ordinateur

  10. Quelle est la meilleure pratique à suivre, lorsqu’un document papier contenant des informations sensibles ne vous est plus nécessaire ? :

a. le stocker dans votre caisson, fermé à cléb. le détruire à l’aide d’un destructeur de documents c. le garder en évidence sur votre bureau, au cas où il pourrait servir à l’un de vos collègues

11. Si vous recevez un message électronique vous annonçant la sortie d’un terrible Virus informatique et vous expliquant les manipulations à suivre pour le supprimer de votre ordinateur :

a. Vous suivez les instructions du mail à la lettre b. Vous réécrivez à l’émetteur pour lui demander de confirmer que c’est bien vraic. Vous contactez le CAI pour les informer de ce message et obtenir la marche à suivre

April 21, 2023 17

Quizz!Quizz!12. Quelle est la procédure à suivre si vous recevez un visiteur (client, fournisseur, …) ?

a. Aller le chercher à l’accueil dès son arrivée, le prendre en charge pendant sa visite dans l’entreprise, le raccompagner à l’accueil lors de son départb. Avertir le poste de sécurité qu’il lui remette en main propre un badge visiteur afin de lui laisser rentrer dans les locaux d’ARAMICEc. Aller le chercher à l’accueil dès son arrivée, le prendre en charge pendant sa visite dans l’entreprise, le laisser partir lui même lors de son départ

13. Dans quel endroit je suis susceptible de me faire voler mon ordinateur portable (plusieurs réponses):a. Dans le trainb. Dans le coffre de ma voiturec. Chez ARAMICE (sans câble antivol)

  

14. Lors de la mise en œuvre d’un fichier ou d’un traitement de données à caractère personnel : a. Celui-ci doit généralement être déclaré à la CNIL (Commission Nationale de l’Informatique et Liberté) b. Celui-ci doit être référencé au CNSI (Centre National des Systèmes d’Information) c. Celui-ci doit être sécurisé par une démarche de PCA (Plan de Continuité d’Activité)

15. Sauriez vous me définir ces différents termes ? a. Un Malware ?b. Un Trojan ?c. Un Spyware ?d. Un Hoax ?e. Du physhing ?

April 21, 2023 18

Merci Merci de votre attentionde votre attention

Merci…Merci…