[PDF] Manuel de la Politique de sécurité IRESA vs finale

View - Download Manuel de la Politique de sécurité IRESA vs finale

Previous PDF

Next PDF

Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 1/84

Secret Confidentiel Interne X

MANUEL DE LA POLITIQUE

DE SECURITE DE L"INFORMATION

1.0 Mai 2012 Mr. Zied Laagab Mr. Mohsen KRICHI Mr. Mohsen KRICHI

Rev Date Nom Visa Nom Visa Nom Visa Emetteur Vérificateur Approbateur Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 2/84

SOMMAIRE

1. PRÉSENTATION : ................................................................................................................................................................ 5

1.1 POLITIQUE DE LA SÉCURITÉ DE L"INFORMATION : ............................................ 5

1.2 OBJECTIFS DE LA POLITIQUE DE LA SÉCURITÉ DE L"INFORMATION : ........... 5

1.3 ÉTENDUE DE LA POLITIQUE DE LA SÉCURITÉ DE L"INFORMATION : ............ 6

1.4 ELABORATION, MISE À JOUR ET DIFFUSION : ...................................................... 6

1.5 RESPONSABILITÉ : ........................................................................................................ 6

1.6 CONFORMITE : .............................................................................................................. 6

1.7 CONTACT :...................................................................................................................... 6

1.8. NORMES & STANDARDS A RESPECTER : ................................................................. 7

2. ORGANISATION DE LA SÉCURITÉ DE L"INFORMATION : ......................................................................................... 8

3. GESTION DES ACTIFS : .................................................................................................................................................... 10

4. SÉCURITÉ DES RESSOURCES HUMAINES : .................................................................................................................. 12

5. SÉCURITÉ PHYSIQUE ET DE L"ENVIRONNEMENT : ................................................................................................. 13

6 EXPLOITATION INFORMATIQUE ET GESTION DES RESEAUX :............................................................................ 16

7 CONTROLE D"ACCÈS : ....................................................................................................................................................... 21

8 ACQUISITION, DEVELOPPEMENT, ET MAINTENANCE DES SYSTÈMES D"INFORMATION : ............................ 26

9 GESTION DES INCIDENTS LIES A LA SÉCURITÉ DE L"INFORMATION : ................................................................ 30

10 GESTION DE LA CONTINUITÉ D"ACTIVITE : ............................................................................................................ 31

11. CONFORMITE : ................................................................................................................................................................ 32

12. ANNEXE 1 : BILAN DE L"EXISTANT ............................................................................................................................ 33

13. ANNEXE 2 : RAPPEL DU CADRE JURIDIQUE RELATIF A LA SECURITE INFORMATIQUE EN TUNISIE ... 39

14 ANNEXE 3: GLOSSAIRE ET TERMINOLOGIE ............................................................................................................. 40

A. Charte de bon Usage des Ressources Informatiques, de la messagerie et de l"Internet : .................................... 42

B. Procédure de Contrôle d"accès aux Système d"Information: ................................................................................ 48

C. Charte des Administrateurs IT de l"IRESA: .......................................................................................................... 52

D. Procédure de gestion des correctifs de sécurité (Patch Management): ................................................................. 54

E. Procédure de gestion des incidents liés à la sécurité de l"information: ................................................................. 59

F. Procédures de Sauvegarde et de restauration: ....................................................................................................... 65

G. Procédure de Sécurité Physique et environnementale: .......................................................................................... 68

H.

Convention pour l"administration du réseau et l"hébergement des serveurs: ...................................................... 71

I. Convention Pour l"hébergement d"un site Web: ..................................................................................................... 74

J. DEMANDE D"OUVERTURE D"UN COMPTE M@IL INTERNET: ................................................................. 78

K. FORMULAIRE DES MISES À JOUR DES SITES WEB :: ................................................................................. 81

L. Règlement de l"utilisation du réseau AGRINET: ................................................................................................... 82

M. Liste des manuels IT de l"IRESA::........................................................................................................................... 84

Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 3/84

Diffusion

Processus Responsable Entités

Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 4/84

POLITIQUE GENERALE DE LA SECURITE

DE L"INFORMATION DE

L" Institution de la Recherche et de

l"Enseignement Supérieur Agricoles (IRESA) Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 5/84

1. PRÉSENTATION :

1.1 POLITIQUE DE LA SÉCURITÉ DE L"INFORMATION :

L"information et ses systèmes supports sont des actifs critiques que l"IRESA doit les protéger avec les

mesures et les contrôles adéquats. La Politique de Sécurité de l"Information est la concrétisation de

l"engagement et de la vision de l"IRESA dans le domaine de la sécurité de l"information. Cette politique

spécifie les exigences de la direction générale pour la sécurité de l"information. Elle sera supportée

avec des directives détaillées et des procédures.

Avec la dépendance continue aux Technologies de l"Information et de la Communication (TICs), il est

important de définir des exigences de contrôle pour limiter les risques liés aux (TICs).

La Politique de Sécurité de l"information doit assurer la continuité d"activité de l"IRESA, et doit être

conduite en tenant compte des perspectives de développement de ses activités.

1.2 OBJECTIFS DE LA POLITIQUE DE LA SÉCURITÉ DE L"INFORMATION :

Les objectifs de la politique de la sécurité de l"information d" l"IRESA sont : · Protéger la réputation, l"intégrité, l"éthique, et l"image publique de l"IRESA. · Maintenir la confiance des clients, fournisseurs ainsi que les partenaires de l"IRESA. · Protéger le caractère confidentiel de l"information sensible. · Protéger les données opérationnelles sensibles des divulgations inappropriées.

· Prévenir les tiers contre les actes illégaux ou malveillants à l"encontre des systèmes de

l"organisation. · Assurer la non-répudiation : Permet de garantir qu"une transaction ne peut être niée.

· Vérifier l"authentification : Consiste à s"assurer de l"identité d"un utilisateur et garantir à chacun

des correspondants que son partenaire est bien celui qu"il croit être. L"authentification est

nécessaire pour la non-répudiation.

· Assurer la traçabilité : Consiste à conserver une trace probante : originale, horodatée, explicite

et intègre, d"un évènement technique (ex : Traces techniques de sécurité ou logs) ou d"un acte

métier (ex: piste d"audit). Pour être probante une trace doit pouvoir être rattachée à un acteur

et une référence au temps fiable.

· Optimiser l"utilisation des ressources de l"IRESA en s"assurant qu"elles ne sont pas mal

utilisées ou sont gaspillées.

· Prévenir contre les fraudes.

· Prévenir contre les incidents importants et qui peuvent occasionner des ruptures de l"activité.

· Se conformer avec les exigences réglementaires et légales. · Supporter les objectifs métiers de l"IRESA.

· Réduire le risque de perte de Confidentialité, d"Intégrité et de Disponibilité de l"information, en

définissant les principes pour l"usage et le traitement de l"information. Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 6/84

1.3 ÉTENDUE DE LA POLITIQUE DE LA SÉCURITÉ DE l"INFORMATION :

Les Politiques s"appliquent à:

· L"information dans toutes ses formes, résidente sur des serveurs, des PCs, des équipements

réseaux ou autres, les bases de données, les documents personnels, dossiers et documents de travail. · Toutes les Applications, systèmes d"exploitation, progiciels et logiciels.

· Tous le Matériel, Serveurs, postes de travail, Laptops, composants du réseau, équipements

de communication et périphériques possédés. · Tous les sites de l"IRESA hébergent les informations et ses systèmes supports.

· Tous les employés permanents, contractuels et temporaires, consultants, fournisseurs et

prestataire tiers ou personnel affectés pour travailler avec de l"IRESA.

· Il est OBLIGATOIRE que tous les membres de l"IRESA précités adhèrent à cette politique et à

tous les standards et directives qui lui sont dérivés.

1.4 ELABORATION, MISE À JOUR ET DIFFUSION :

Le manuel est élaboré et vérifié par le Responsable Sécurité de Système d"information de l"IRESA,

validé et approuvé par la Direction générale. Il est soumis à l"avis du Comité de Sécurité Informatique

de l"IRESA. L"opportunité de mise à jour du manuel de la politique globale de sécurité est examinée

une fois par an. Les mises à jour du manuel suivent le circuit de validation de la rédaction initiale. Le

responsable sécurité assure la diffusion du manuel Sécurité.

Toutes les versions sont conservées sous forme électronique. Toutefois, la version française originale

sous forme papier constitue la version de référence.

1.5 RESPONSABILITÉ :

· La Direction générale est responsable de fournir les moyens de prévention et de contrôle pour

la protection de tous les actifs de l"IRESA.

· Le Comité de sécurité informatique CSI - est responsable pour la mise à jour de cette politique

ainsi que les directives associées. · Le RSSI de l"IRESA, ainsi que le Responsable Ressources Humaines sont responsables de

la mise à disposition, l"information et la sensibilisation du personnel à la Politique de la

Sécurité de l"Information.

· Tous les utilisateurs de l"IRESA sont responsables de la protection de l"information dont ils

sont propriétaires ou sous leur contrôle, conformément avec cette politique de sécurité de

l"information.

· Les Propriétaires de l"information sont responsables de définir la classification des données et

les autorisations d"accès aux systèmes mis sous leur contrôle.

· L"RSSI, est responsable pour planifier et exécuter des vérifications et audits périodiques pour

s"assurer que les différentes unités opérationnelles de l"organisme sont conformes à la

politique de la sécurité de l"information, aux directives, standards et procédures.

· Aucune exception à cette politique n"est autorisée sans approbation écrite du Responsable de

Sécurité du système d"information (RSSI).

1.6 CONFORMITE :

Les employés qui ne respectent pas cette politique de sécurité de l"information, seront considérés en

violation du Code de conduite des employés de l"IRESA et seront sujet à des mesures disciplinaires

ou sanctions appropriées.

1.7 CONTACT :

· Toutes les questions concernant cette politique devraient être adressées au Responsable de

Sécurité du Système d"Information (RSSI).

· Cette politique exige que tous les incidents liés à la sécurité ou violation de la politique de

sécurité de l"information doivent être rapportés immédiatement au RSSI directement ou par

mail zied.laagab@iresa.agrinet.tn. Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 7/84

1.8. NORMES & STANDARDS A RESPECTER :

Les principes directeurs qui sous-tendent cette Politique sont tirés essentiellement des bonnes

pratiques des normes internationales suivantes :

1- Norme internationale ISO 27001 :2005 : Techniques de sécurité - Systèmes de gestion de la

sécurité de l"information - Exigences.

2- Norme internationale ISO 27002 :2007 : Techniques de sécurité - Code de bonne pratique

pour la gestion de la sécurité de l"information.

3- Norme internationale ISO 27005 : Techniques de sécurité - Gestion du risque en sécurité de

l"information. Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 8/84

2. ORGANISATION DE LA SÉCURITÉ DE L"INFORMATION :

2.1 BUT :

Le but de cette section est de :

· définir l"organisation de la Sécurité de l"Information afin de contrôler sa mise en oeuvre au sein

de l"IRESA, · définir les rôles et les responsabilités pour tous les employés, · définir les autorisations pour l"accès à l"information,

· mettre une structure pour la révision périodique et modifications de la politique de sécurité de

l"information.

Cette section couvre les responsabilités du Comité de sécurité, du RSSI et des Correspondants

Informatique et Sécurité.

2.2 RESPONSABILITÉS DE LA SÉCURITÉ DE L"INFORMATION :

2.2.1 COMITÉ SECURITE :

Le Comité Sécurité a pour objectif de définir et de contrôler la mise en oeuvre de la Politique de

sécurité de l"information, ainsi que sa révision périodique. Les responsabilités: · Définir les objectifs stratégiques et les schémas directeurs de sécurité du SI. · Révision et approbation de la Politique de Sécurité de l"Information. · Gestion des changements et modifications en tenant compte de l"exposition des actifs aux nouvelles menaces et le Reporting à la Direction Générale. · Revue des incidents majeurs de la sécurité de l"information. · Suivi des tableaux de bord sécurité et suivi de la politique de sécurité. · Approuver les initiatives afin d"améliorer la sécurité de l"information.

2.2.2 RESPONSABLE DE SÉCURITÉ DE SYSTEME D"INFORMATION " RSSI » :

Un Responsable de Sécurité de système d"Information (RSSI) a été nommé afin de coordonner la

mise en oeuvre de toutes les tâches de la sécurité d"information au niveau de l"IRESA. Il est

également membre du Comité Sécurité informatique (Coordonnateur). Les responsabilités de l"RSSI

incluent:

· Implémenter et coordonner la mise en oeuvre de la Politique de Sécurité de l"information.

· Mettre en place et suivre le programme de Sensibilisation à la Sécurité de l"Information.

· Mettre en place une stratégie et approche pour détecter les risques en collaborant avec le

gestionnaire des risques.

· Revue périodique de la Politique de la Sécurité et recommandations pour les améliorations.

· Elaborer et diffuser les documents liés aux processus de sécurité, directives, standards, et

stratégies spécifiques en cas de besoin.

· Examiner et analyser les incidents de la sécurité de l"information en coopération avec les

autres utilisateurs impliqués, et soumettre les rapports à la Direction générale.

· Conseil sur les aspects de la sécurité de l"information, les plans de continuité d"activité et les

plans de secours.

· S"assurer que la Politique de la Sécurité est mise en vigueur en exécutant périodiquement des

tests de conformité, et rapporter toutes les violations pour la Direction Générale.

· Approuver les procédures de protections, sauvegarde et restauration des données et

s"assurer de leur bonne documentation.

· Assurer que les violations de la sécurité sont rapportées au Propriétaire de l"Information et au

Comité Sécurité.

· Contribuer à l"élaboration du rapport annuel de l"audit de la sécurité de l"information.

· Effectuer les estimations périodiques des risques liés aux TICs.

· Travailler en étroite collaboration avec les Correspondants (locaux) de la Sécurité pour

assurer et satisfaire les exigences de la Politique de la sécurité. Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 9/84

2.2.3 CORRESPONDANTS SECURITE :

Les Correspondants sécurité doivent travailler en étroite collaboration avec l"RSSI. Les responsabilités

des Correspondants incluent:

· Travailler en étroite collaboration avec l"RSSI afin d"implémenter la politique approuvée,

directives et recommandations de sécurité.

· Coordonner les activités du programme de sensibilisation de la sécurité de l"information au

sein de son service ou direction.

· Revue et évaluation des systèmes de contrôle d"accès au sein de son service ou direction.

· Effectuer/participer à la réalisation des tests de conformité.

· Participer à la déclaration et au reporting des incidents de sécurité (rôle de supervision)

· Travailler sur touts les aspects de sécurité de l"information concernant son service ou

direction.

Le Correspondant sécurité, placé sous la responsabilité de son Directeur Métier, respecte et fait

respecter les lois et règlements tant par le personnel que par les sous-traitants de son service ou sa

direction. Il exerce une surveillance permanente et informe l"RSSI de toute situation anormale ou

présomption d"incident en sauvegardant les éléments de preuve.

2.3 SYSTEME D"AUTORISATION CONCERNANT LES MOYENS INFORMATIQUES :

Toute demande pour l"autorisation d"usage d"un moyen informatique au sein de l"IRESA doit être

présentée à la Direction Informatique de l"IRESA, munie du formulaire " Fiche Utilisateur ». Ce

document doit recevoir l"approbation des différentes parties concernées.

2.4 REVUE INDÉPENDANTE DE LA SÉCURITÉ de l"INFORMATION :

La Politique de la Sécurité de l"information, les procédures et l"environnement de la sécurité doivent

être revus et examinés. Un processus documenté doit être défini et mis en oeuvre pour conduire des

audits indépendants, internes et externes de la sécurité des systèmes d"information de l"organisme.

Les recommandations résultantes de ces audits doivent être mises en oeuvre, si nécessaire, et

incorporées dans la Politique de sécurité de l"organisme. La revue doit fournir l"assurance de la

conformité notamment à la norme ISO 27002 et aux règles de bonne conduite. La revue doit

également inclure des recommandations procédurales et organisationnelles, ainsi que Techniques.

Institution de la Recherche et de l"Enseignement Supérieur Agricoles Date : MAI 2012

Procédure

Réf : 1.0.1

Rev. : 1.0.1

Page : 10/84

3. GESTION DES ACTIFS :

3.1 BUT :

Le but de cette politique est d"établir et de maintenir une protection appropriée des actifs

informationnels de l"IRESA. Cette section fournit des directives pour les contrôler, les inventorier, les

classer, et établit des directives pour assigner un Propriétaire à chaque Actif.

3.2 POLITIQUE :

3.2.1 INVENTAIRE DES ACTIFS :

Un inventaire de tous les actifs importants de l"organisme sera créé et sera maintenu et inclura toutes

les informations nécessaires pour la gestion et le suivi des actifs : identification, fournisseur,

configuration, etc.

3.2.2 CLASSIFICATION DE L"INFORMATION :

3.2.2.1 L"information sera classée par son Propriétaire dans une des catégories suivantes :

1 - Public -

Tout document ou information non sensible ou disponible pour le public, par exemple : rapports habituels,

circulaires, et information disponible sur les pages de l"Internet publiques.

Recommandation pour le marquage de document :

C"est la classe par défaut. Par conséquent, il ne devrait y avoir aucun

besoin de marquer les documents publics, et tous les documents non étiquetés seront normalement classés dans cette

catégorie.

2 - Interne - L"Information qui est disponible pour tout le personnel de l"IRESA, mais n"est pas destiné au public. La divulgation

de ces informations peut occasionner des gênes pour l"organisme, mais en aucun l"organisme ne serait endommagé ou la

dignité de ses employés ne serait atteinte.

Recommandation pour le marquage de document:

ces documents devraient être marqué "Interne."

3 - Confidentiel - Information avec une circulation limitée qui a une valeur considérable pour l"organisme et dont la divulgation

causerait une menace potentielle ou une gêne embarrassante par exemple contrat, plans financiers ou marges de ventes. Cela

devrait inclure aussi que toute information privée par exemple les dossiers de santé du personnel, les salaires, ou Information

critique à circulation limitée.

Recommandation pour le marquage de document:

ces documents devraient être marqués "Confidentiel."

4 - Secret- Documents et informations d"importance extrême au l"IRESA où la divulgation causerait des dégâts sévères à

l"organisme, à son capital, Business ou image de marque. Par exemple réorganisations majeurs de l"organisme ou documents

stratégiques.

Recommandation pour le marquage de document:

ces document devraient être marqués "Secret."

3.2.2.2 Les informations financières sensibles doivent est être toujours classées comme "Confidentiel"

et doivent bénéficier des mesures et moyens de protection convenables. Ces moyens doivent

combiner les techniques de contrôle d"accès et de sauvegarde et restauration.

3.2.3 MARQUAGE ET MANIPULATION DE L"NFORMATION :

3.2.3.1 Les informations très sensibles, données et documents doivent être clairement marqués afin

que tous les utilisateurs soient informés de la propriété et de la classification de l"information.

3.2.3.2 Les informations, données et documents doivent être traitées et stockées en conformité avec

leurs niveaux de la classification.

3.2.4 PROPRIETAIRE DE L"INFORMATION :

quotesdbs_dbs43.pdfusesText_43

[PDF] procedure informatique entreprise

[PDF] manuel de procédures informatiques itil

[PDF] procédure informatique exemple

[PDF] règles de vie au collège

[PDF] quelles sont les règles de vie en société

[PDF] la vie en collectivité en institution

[PDF] cours de déontologie avocat

[PDF] nouveau code de déontologie des avocats

[PDF] code de déontologie des avocats france

[PDF] cours déontologie avocat pdf

[PDF] puissances négatives

[PDF] asumate 20 notice

[PDF] asumate 20 oubli

[PDF] asumate 20 indications

[PDF] asumate 20 posologie