Transcription of LE SUPPLÉMENT - ANSSI
1 le suppl ment RISK MANAGER le suppl ment 1 FICHES M THODESINTRODUCTION page 2 FICHE M THODE 1 page 5 FICHE M THODE 2 page 7 FICHE M THODE 3 page 11 FICHE M THODE 4 page 19 FICHE M THODE 5 page 25 FICHE M THODE 6 page 35 FICHE M THODE 7 page 37 FICHE M THODE 8 page 47 FICHE M THODE 9 page 71 TERMES ET D FINITIONS page 732 EBIOS RISK MANAGER - le suppl ment / INTRODUCTIONINTRODUCTION : COMMENT CONSTITUER LES SC NARIOS DE RISQUES ?
2 (FIN DE L ATELIER 4)Le sch ma ci-dessous pr sente les diff rentes notions abord es par EBIOS Risk Manager dans le cadre d une d marche d appr ciation des (OV) cosyst meobjet de l tudeBien support 1 Bien support 2PP2 EIPP1 EIAEAEV aleur m tierERL gende : Chemin d attaque d un sc nario strat gique Mode op ratoire d un sc nario op rationnel Action l mentaire sur un bien de support v nement interm diaire associ une valeur m tier de l cosyst me v nement redout relatif une valeur m tier de l objet de l tude Partie prenante de l cosyst meAEEIERPPAES ource derisque (SR)INTRODUCTION / EBIOS RISK MANAGER - le suppl ment 3 Lors de l atelier 1, les participants identifient le p rim tre m tier et tech-nique de l objet de l tude, correspondant aux valeurs m tier et biens supports.
3 Ils d finissent galement les v nements redout s associ s aux valeurs m tier et leur niveau de gravit .L atelier 2 permet d identifier les couples source de risque/objectif vis (SR/OV) les plus pertinents pour la suite de l tude. Certains objectifs vis s (du point de vue de l attaquant) se rapprocheront de certains v nements redout s (du point de vue de l organisation). Par exemple on peut rapprocher l objectif vis exfiltrer des informations pour obtenir un avantage concurrentiel de l v nement redout fuite des informations de R&D de l entreprise . Ce rapprochement est une premi re tape vers la construction des sc narios strat d but de l atelier 3, les participants identifient les parties prenantes de l cosyst me de l objet tudi et valuent leur niveau de menace.
4 Suite cette valuation, les participants d finissent des sc narios strat giques partant de la source de risque pour aller vers l objectif vis . Ces sc narios mettent en uvre des chemins d attaque au cours desquels la source de risque g n re un ou des v nements redout s sur les valeurs m tier de l objet tudi . Dans une logique de moindre effort du point de vue de la source de risque, certains chemins d attaque sont susceptibles de passer par des parties prenantes de l cosyst me en g n rant des v nements dits interm l atelier 4, les participants tablissent des sc narios op rationnels qui d crivent les modes op ratoires techniques susceptibles d tre utilis s par la source de risque pour r aliser les sc narios strat giques identifi s dans l atelier 3.
5 Un sc nario op rationnel est un encha nement d actions l mentaires portant sur les biens supports de l objet tudi ou de son cosyst me. Chaque chemin d attaque d un sc nario strat gique donne lieu un sc nario op rationnel, lequel est valu en termes de M THODE1D finir le p rim tre m tier et technique (atelier 1)6 EBIOS RISK MANAGER - le suppl ment / FICHE M THODE 1Le travail de recensement des missions, valeurs m tier et biens supports relatifs l objet de l tude peut tre formalis dans une table telle que celle propos e ci-dessous :NOTE : il est possible d associer un ou plusieurs biens supports une valeur m tier. chaque valeur m tier et bien support correspond une entit ou une personne responsable.
6 Cette entit ou personne peut tre interne l organisation ou repr senter une partie prenante externe de l cosyst me. Les l ments relatifs l cosyst me seront repris dans le cadre de l atelier NOMINATION DE LA VALEUR M TIERNATURE DE LA VALEUR M TIER(PROCESSES OU information )DESCRIPTIONENTIT OU PERSONNE RESPONSABLE(INTERNE / EXTERNE)D NOMINATION DU / DES BIEN(S) SUPPORT(S) ASSOCI (S)DESCRIPTIONENTIT OU PERSONNE RESPONSABLE(INTERNE / EXTERNE)MISSION m tier 1 Valeur m tier 2 Valeur m support 1 Bien support 2 Bien sup-port 3 Bien M THODE2 Identifier les biens supports (ateliers 1, 4 et 5) 8 EBIOS RISK MANAGER - le suppl ment / FICHE M THODE 2 Les types de biens supports repr sentent les grandes cat gories de composants d un syst me d information sur lesquels reposent les valeurs m tier ou les mesures de s curit.
7 Cette fiche m thode pourra vous tre utile lors de la d finition du p rim tre m tier et technique (Atelier 1), de la construction des sc narios op rationnels (Atelier 4) ou de la d finition des mesures de s curit (Atelier 5).Les biens supports peuvent tre regroup s selon les cat gories suivantes : 1 Les mat riels embarquent la plupart du temps des logiciels indispensables leur UTILISATEURO rdinateur fixe, ordinateur portable, tablette,t l phone RIPH RIQUEI mprimante, scanner, clavier, souris, cam ra, microphone, objet connect .T L PHONET l phone fixe ou mobile analogique ou IP. QUIPEMENT DE STOCKAGECl USB, disque dur, CD-ROM, carte m , serveur lame, serveur D ADMINISTRATIONP oste d administration, serveur outils d administration, bastion.
8 QUIPEMENT R SEAUC ommutateur, routeur, passerelles d entr e depuis l ext rieur, borne WI-FI. QUIPEMENT DE S CURIT Pare-feu, sonde (IDS/IPS), passerelle VPN. QUIPEMENT INDUSTRIELA utomate programmable industriel, capteur, actionneur, syst me SCADA, syst me instrument de s curit .SERVICE D INFRASTRUCTURES ervice d annuaire, service de gestion d adresse IP (DHCP), service de nom de domaine (DNS), contr leur de domaine, serveur d APPLICATIFS erveur web, service web, serveur d application, serveur de courrier lectronique, serveur de bases de donn es, progiciels (RH, relation client, ERP).INTERGICIEL (MIDDLEWARE)Entreprise Application Integration (EAI), Extract-Transform-Load (ETL), Open DataBase Connectivity (ODBC).BIEN SUPPORTEXEMPLES (LISTE NON EXHAUSTIVE) SYST MES INFORMATIQUES ET DE T L PHONIE MAT RIELS1 LOGICIELSFICHE M THODE 2 / EBIOS RISK MANAGER - le suppl ment 9 Pour aller plus loin et notamment disposer de d finitions plus pr cises des biens supports mentionn s, vous pouvez vous reporter au guide cartographie de l ANSSI2.
9 2 Cartographie du syst me d information guide d laboration en 5 tapes, ANSSI , SEAUX/CANAUX INFORMATIQUES ET DE T L PHONIEMICROGICIEL (FIRMWARE)Basic Input Output System (BIOS), Unified Extensible Fir-mware Interface (UEFI), gestionnaire de composants d'un t l phone mobile, programme stock dans une cl USB quip e d'un DE S CURIT Outil de gestion d v nements Security information and Event Management (SIEM).R SEAU/CANAL INFORMATIQUEC ble r seau, fibre optique, liaison radio (Wi-Fi, Bluetooth, etc.).R SEAU/CANAL T L PHONIQUEL igne t l , stagiaire, prestataire, personnel d' PAPIERD ocument manuscrit ou imprim . CHANGE VERBALR union, change informel. L ment D'ING NIERIE SOCIALEI nformation partag e sur les r seaux TIMENT/SALLESi ge social, usine, site de stockage, b timent industriel, salle de r union, salle ME DE S CURIT PHYSIQUESyst me d'acc s par badge, syst me de d tection d'intrusion, syst me de vid ME DE S RET DE FONCTIONNEMENTC limatisation, s curit incendie, alimentation ET INSTALLATIONS PHYSIQUESSYST ME D EXPLOITATION, HYPERVISEURW indows, Linux, MacOS, M THODE3 valuer la gravit des v nements redout s (ateliers 1 et 3)12 EBIOS RISK MANAGER - le suppl ment / FICHE M THODE 31 / Quelles cat gories d impacts faut-il prendre en compte ?
10 Les cat gories ci-apr s peuvent servir de base pour identifier les impacts li s aux v nements redout s et faciliter l valuation de la gravit : impacts sur les missions et services de l organisation ; impacts humains, mat riels ou environnementaux ; impacts sur la gouvernance ; impacts financiers ; impacts juridiques ; impacts sur l image et la : selon le contexte, certaines cat gories peuvent correspondre des facteurs aggravants ou des impacts indirects. IMPACTEXEMPLES (LISTE NON EXHAUSTIVE)IMPACTS SUR LES MISSIONS ET SERVICE DE L'ORGANISATIONIMPACTS HUMAINS, MAT RIELS OU ENVIRONNEMENTAUXCONS QUENCES DIRECTES OU INDIRECTES SUR LA R ALISATION DES MISSIONS ET SERVICESI ncapacit fournir un service, d gradation de performances op rationnelles, retards, impacts sur la production ou la distri-bution de biens ou de services, impossibilit de mettre en uvre un processus cl.
