Source: http://docplayer.fr/2718948-Guide-de-l-analyse-des-enjeux-et-de-la-classification-version-2-novembre-2011-mise-a-niveau-avec-la-base-de-connaissance-courante.html
Timestamp: 2017-04-27 18:52:49+00:00
Document Index: 288689841

Matched Legal Cases: ["l'article 41", "l'article 40", 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'in fine']

Guide de l analyse des enjeux et de la classification. Version 2 : novembre 2011 Mise à niveau avec la base de connaissance courante. - PDF
Guide de l analyse des enjeux et de la classification. Version 2 : novembre 2011 Mise à niveau avec la base de connaissance courante.
Download "Guide de l analyse des enjeux et de la classification. Version 2 : novembre 2011 Mise à niveau avec la base de connaissance courante."
1 METHODES MEHARI 2010 Guide de l analyse Version 2 : novembre 2011 Mise à niveau avec la base de connaissance courante Espace Méthodes CLUB DE LA SECURITE DE L INFORMATION FRANÇAIS 11 rue de Mogador, PARIS Tél. : Fax : Web :2 MEHARI est une marque déposée par le CLUSIF. La loi du 11 mars 1957 n'autorisant, aux termes des alinéas 2 et 3 de l'article 41, d'une part, que les "copies ou reproductions strictement réservées à l'usage privé du copiste et non destinées à une utilisation collective" et, d'autre part, que les analyses et les courtes citations dans un but d'exemple et d'illustration, "toute représentation ou reproduction intégrale, ou partielle, faite sans le consentement de l'auteur ou de ayants droit ou ayants cause est illicite" (alinéa 1er de l'article 40) Cette représentation ou reproduction, par quelque procédé que ce soit, constituerait donc une contrefaçon sanctionnée par les articles 425 et suivants du Code Pénal3 Remerciements Le CLUSIF tient à mettre ici à l'honneur les personnes qui ont rendu possible la réalisation de ce document, tout particulièrement : Olivier Corbier Docapost Responsable de l Espace Méthodes Jean-Philippe Jouas Jean-Louis Roule Dominique Buc BUC S.A. Louise Doucet Ministère des Services gouvernementaux du Québec Martine Gagné HydroQuébec Moïse Hazzan Ministère des Services gouvernementaux du Québec Gérard Molines Molines Consultants Chantale Pineault AGRM Luc Poulin CRIM Pierre Sasseville Ministère des Services gouvernementaux du Québec Claude Taillon Ministère de l'éducation, du Loisir et du Sport du Québec Marc Touboul BULL SA Annabelle Travers-Viaud BULL SA MEHARI 2010 : Guide de l analyse 3/28 CLUSIF 20114 Sommaire Introduction 5 1. L échelle de valeurs des dysfonctionnements Identification des activités majeures et de leurs finalités Identification des dysfonctionnements redoutés Analyse des enjeux : évaluation de la gravité des dysfonctionnements identifiés Échelle de valeurs des dysfonctionnements La classification des actifs du système d information Identification des actifs à classifier Critères de classification Processus de classification Elaboration du tableau d impact intrinsèque Impacts intrinsèques ne dépendant pas de la classification d un actif de type données ou service Conseils pratiques Points importants dans l élaboration de l échelle de valeurs Points importants lors de la classification Périmètre de validité de la classification Plans d actions...20 Annexe 1 : Exemple d échelle de valeurs (Entreprise industrielle)...21 Annexe 2 : Tableau d impact intrinsèque...26 MEHARI 2010 : Guide de l analyse 4/28 CLUSIF 20115 Introduction L analyse des enjeux est une étape essentielle de tout processus de gestion des risques. Ce guide décrit l important élément de l évaluation des risques qu est la détermination, réalisée à partir des activités et des processus métiers, de l impact maximal des situations de risque pour chaque type d actif. L analyse des enjeux se concrétise par deux résultats principaux : L échelle de valeurs des dysfonctionnements. La classification des actifs du système d information, et, en particulier, le tableau d impact intrinsèque utilisé par MEHARI pour l évaluation des scénarios de risque. Les processus d obtention de ces résultats sont décrits ci-après. La démarche MEHARI consiste à procéder à une analyse des activités et donc des processus de l entreprise ou de l organisme, d en déduire les dysfonctionnements qui peuvent être redoutés, puis d évaluer en quoi ces dysfonctionnements peuvent être plus ou moins graves, avant d effectuer, éventuellement, la classification proprement dite des actifs du système d information, selon le schéma ci-dessous. Décision de lancement Analyse des activités et de leurs finalités Identification des dysfonctionnements potentiels : au niveau fonctionnel au niveau technique Analyse de la gravité des dysfonctionnements : seuils de criticité Échelle de valeurs des dysfonctionnements Echelle de valeurs validée Identification des actifs à classifier Classification des actifs Classification des actifs Figure 1 : Échelle de valeurs et classification MEHARI 2010 : Guide de l analyse 5/28 CLUSIF 20116 1. L échelle de valeurs des dysfonctionnements L'objectif de ce processus est de déterminer une échelle de valeurs des dysfonctionnements significatifs des activités de l'entité 1. Cette analyse se déroulera en quatre étapes : L identification des activités majeures et de leurs finalités, L'identification des dysfonctionnements redoutés de chaque activité, ceci pouvant se faire : Au niveau fonctionnel, Au niveau technique ou opérationnel. L'évaluation du niveau de gravité de ces dysfonctionnements, activité par activité, La détermination et la validation d'une échelle de valeurs globale, au niveau de l'entité Identification des activités majeures et de leurs finalités Un bon point de départ est d identifier les activités majeures du domaine analysé, de les décrire en quelques mots et de noter en regard les résultats attendus ou les objectifs Résultats attendus Les activités seront décrites en termes de fonctionnalités. En complément de la description fonctionnelle, il est utile de décrire les objectifs ou finalités, c'est-à-dire les résultats attendus au niveau de l activité. Ces résultats attendus sont à décrire du point de vue de l entité et du point de vues des entités «clientes». Un exemple est donné ci-dessous : Fonctionnalité Établir et tenir à jour une synthèse des besoins de trésorerie Résultats attendus ou objectifs Permettre aux gestionnaires de la trésorerie d approvisionner les comptes à temps (et d éviter les ruptures de paiements) Démarche Cette identification des activités peut se faire de manière rigoureuse et exhaustive par une analyse de processus, en recherchant tous les processus du domaine étudié, voire en les décomposant en 1 L entité peut être une entreprise ou représenter une unité organisationnelle, pour laquelle on cherche à établir des objectifs de sécurité, ou un projet particulier, pour lequel on cherche à identifier les risques spécifiques. MEHARI 2010 : Guide de l analyse 6/28 CLUSIF 20117 autant de sous-processus que nécessaire pour mettre en évidence les diverses dépendances et tous les résultats intermédiaires. L expérience prouve qu une démarche globale et plus intuitive, si elle est menée au bon niveau de responsabilité, c est-à-dire avec les responsables des grandes fonctions de l entreprise ou de l organisme, permet de dégager très rapidement les fonctions majeures et leurs finalités, ce qui est amplement suffisant pour le but recherché. La démarche repose donc sur des entretiens individuels avec les responsables des diverses activités de l entreprise ou de l organisme. De tels entretiens durent généralement entre une heure et une heure trente Identification des dysfonctionnements redoutés Il faut rechercher ensuite les dysfonctionnements redoutés pour ces activités Résultats attendus La description des dysfonctionnements doit être telle qu il soit possible ensuite d en évaluer la gravité. Il est à noter, cependant, qu un dysfonctionnement peut être décrit à plusieurs niveaux : * Au niveau du processus, c'est-à-dire à un niveau fonctionnel, par exemple l incapacité à établir une synthèse des besoins de trésorerie. * Au niveau de l élément perturbateur ou perturbé dans le processus concerné (par exemple l indisponibilité de l application de gestion de trésorerie ou de la base de données associée), donc à un niveau technique. Ainsi le même dysfonctionnement peut être décrit soit comme l indisponibilité des opérations et/ou des données nécessaires à l obtention d un certain résultat, soit comme l incapacité à fournir ce résultat. Le premier aspect correspond à ce que nous appelons l analyse des enjeux au niveau technique, le deuxième à l analyse des enjeux au niveau fonctionnel Dysfonctionnements redoutés au niveau fonctionnel Au niveau fonctionnel, l objectif est d identifier les dysfonctionnements potentiels significatifs dans les activités de l entreprise. Il s agit donc de dysfonctionnements de processus et l on peut s appuyer sur la typologie générique suivante des dysfonctionnements de processus : Défaut de ponctualité : les tâches prévues ou les activités ne sont pas effectuées dans les délais prévus Défaut de conformité : les tâches prévues ou les activités ne sont pas effectuées conformément à ce qui est spécifié Défaut d exhaustivité : les tâches prévues ou les activités ne sont effectuées que partiellement (mais ce qui est effectué est conforme à ce qui est spécifié) Défaut de justesse : des tâches ou des activités non prévues ni spécifiées sont effectuées en supplément Défaut de discrétion : des informations sont divulguées à l occasion de l accomplissement des tâches ou activités Défaut de contrôle : les tâches prévues ou les activités se déroulent conformément à ce qui est spécifié mais sans contrôle ou sans visibilité MEHARI 2010 : Guide de l analyse 7/28 CLUSIF 20118 Il est donc possible de décrire un dysfonctionnement par l activité ou la tâche concernée et par un type de dysfonctionnement. Il est souvent utile de décrire en outre les conséquences redoutées, afin de mieux pouvoir juger de leur gravité. Ainsi, par exemple, dans l hypothèse de la divulgation des salaires du personnel, il peut être utile de préciser les conséquences redoutées : déclenchement d une grève, obligation de procéder à des augmentations nombreuses pour des catégories de personnel, perte de motivation du personnel, etc. De même, si le dysfonctionnement envisagé est l altération de la paye, il est nécessaire de préciser si les conséquences redoutées sont une fraude et la perte d argent ou la grève du personnel ou sa démotivation ou l obligation de gérer des rappels nombreux et compliqués. Chaque dysfonctionnement sera décrit, au niveau fonctionnel, comme une altération de processus, donc par le processus ou l activité concerné, par le type de dysfonctionnement et par le type de conséquences redouté. Par exemple, pour la gestion de trésorerie, déjà évoquée : Dysfonctionnement Retard dans l approvisionnement des comptes de trésorerie Conséquences Incapacité à payer les fournisseurs se traduisant par un arrêt des livraisons et un arrêt de la production Dysfonctionnements redoutés au niveau technique Au niveau technique, l objectif est d identifier les dysfonctionnements significatifs dans la mise en œuvre des moyens requis pour les activités de l entreprise ou de l organisme. Les moyens mis en œuvre peuvent être : * Les moyens matériels: Les moyens courants (locaux, équipements de bureaux, téléphones et télécopieurs, équipements spécifiques, etc.), Les moyens informatiques (serveurs, stations de travail, réseaux de données, etc.), Les moyens documentaires généraux ou spécifiques de l'activité, Les moyens de liaison et de communication (courrier, réseau téléphonique, etc.). * Les moyens immatériels : Les données (fichiers, bases de données, éléments de référence nécessaires à l'activité), Les programmes (logiciels de base, applicatifs, etc.), * Les moyens en personnel : Le personnel indispensable (compétence, pouvoir de décision, etc.). Les types de dysfonctionnements sont, classiquement la perte de disponibilité, d intégrité ou de confidentialité. De la même manière que pour les dysfonctionnements identifiés au niveau fonctionnel et pour les mêmes raisons, il est souvent utile de décrire en outre les conséquences que l on redoute, afin de mieux pouvoir juger de leur gravité. MEHARI 2010 : Guide de l analyse 8/28 CLUSIF 20119 Les dysfonctionnements techniques identifiés seront décrits par les dégradations subies au niveau des moyens employés par les processus et par les conséquences de ces dégradations. Par exemple, pour la gestion de trésorerie, déjà évoquée : Dysfonctionnement Indisponibilité de la base de données de la trésorerie Indisponibilité de l application de gestion de trésorerie Conséquences Retard dans l approvisionnement des comptes se traduisant par une incapacité à payer les fournisseurs se traduisant elle-même par un arrêt des livraisons et un arrêt de la production Remarque : L exemple choisi met en évidence une redondance des résultats et effectivement un même dysfonctionnement peut être exprimé aussi bien au niveau technique ou au niveau fonctionnel. Cependant, les descriptions faites au niveau technique peuvent avoir plusieurs conséquences et elles seront moins pérennes car dépendantes des technologies employées. Il est donc préférable de privilégier les descriptions au niveau fonctionnel Démarche Ici encore, il est possible d envisager une démarche très systématique, en se basant sur une analyse de processus et en envisageant toutes les «déviations» possibles des processus et sousprocessus : non conformité des résultats, retard ou absence de résultat, indiscrétions, etc. L expérience prouve également qu au bon niveau de responsabilité, les dysfonctionnements majeurs sont très rapidement mis en évidence par une approche plus globale revenant à demander aux principaux responsables ce qu ils redoutent le plus ou ce qui représente pour eux un souci majeur. Au niveau fonctionnel, ils connaissent très bien leurs processus critiques et au niveau technique, s ils ne savent pas forcément faire une liste détaillée et exhaustive des applications ou bases de données mises en œuvre, ils savent très bien les désigner globalement sous une dénomination générique amplement suffisante («la paye» pour l ensemble des programmes concernés, par exemple). La description des dysfonctionnements, tant au niveau fonctionnel qu au niveau technique, sera donc obtenue au cours des entretiens individuels, précédemment évoqués, avec les responsables fonctionnels et opérationnels des diverses activités de l entreprise ou de l organisme. MEHARI 2010 : Guide de l analyse 9/28 CLUSIF 201110 1.3. Analyse des enjeux : évaluation de la gravité des dysfonctionnements identifiés La troisième étape est la détermination de l'échelle de valeurs, qui vise à déterminer la gravité des dysfonctionnements précédemment identifiés. Il faut faire référence, pour cela, à une échelle de gravité standard, commune pour l entité Échelle de gravité MEHARI distingue 4 niveaux de gravité ou de criticité, notés de 1 à 4, dont les définitions générales sont développées ci-après : Niveau 4 : Vital A ce niveau le dysfonctionnement redouté est extrêmement grave et met en danger l existence même ou la survie de l entité ou de l une de ses activités majeures. Si un tel dysfonctionnement survient, l ensemble du personnel est concerné et peut se sentir menacé dans son emploi. Pour des organismes dont la fonction ne saurait être remise en cause, en particulier les services publics, ce niveau de gravité peut remettre en question l'existence du service et le redéploiement de la fonction dans d'autres services ou ministères. Un tel niveau peut également être défini en liaison avec la gêne occasionnée dans le public : nombre de personnes touchées et durée de la perturbation. Pour les sociétés commerciales et en termes financiers, il est souvent judicieux de considérer, à ce niveau, une perte conduisant à un déficit tel que les actionnaires pourraient se désengager (avec chute du titre pour les sociétés cotées). C est l équivalent, dans le domaine de la santé des personnes, d un accident ou d une maladie «extrêmement grave», assorti d un «diagnostic réservé» de la part des médecins. En cas de survie, les séquelles sont importantes et durables. Niveau 3 : Très Grave Il s agit là des dysfonctionnements très graves au niveau de l entité, sans que son avenir soit compromis. A ce niveau de gravité, l ensemble ou une grande partie du personnel est concerné, dans ses relations sociales et dans ses conditions de travail, mais sans risque direct pour son emploi. En termes financiers, cela peut amputer significativement le résultat de l'exercice, sans que les actionnaires se dégagent massivement. En terme d'image, on considérera souvent à ce niveau une perte d'image dommageable qu'il faudra plusieurs mois à remonter, même si l'impact financier ne peut être évalué avec précision. Des sinistres conduisant à une désorganisation notable de l'entreprise pendant une durée de plusieurs mois seront aussi souvent évalués à ce niveau. MEHARI 2010 : Guide de l analyse 10/28 CLUSIF 201111 Niveau 2 : Important Il s agit là de dysfonctionnements ayant un impact notable au niveau des opérations de l entité, de ses résultats ou de son image, mais restant globalement supportables. Seule une partie limitée du personnel serait très impliquée dans le traitement des conséquences du dysfonctionnement avec un impact significatif sur les conditions de travail. Niveau 1 : Non significatif A ce niveau les dommages encourus n ont pratiquement pas d impact sur les résultats de l entité ni sur son image, même si certaines personnes sont fortement impliquées dans le rétablissement de la situation d origine Critères de dysfonctionnement et seuils de criticité : résultats élémentaires Les dysfonctionnements identifiés n ont pas forcément une gravité unique. Au contraire, dans de nombreux cas, les dysfonctionnements doivent être caractérisés par un ou plusieurs paramètres déterminants pour leur gravité. Par exemple, le retard dans l aboutissement d un processus est un dysfonctionnement dont la gravité dépend, très généralement, de la durée de ce retard, d une part, et du nombre de personnes concernées par le retard, d autre part. Il faut donc déterminer, pour chaque dysfonctionnement, quels sont les paramètres significatifs et quels sont les seuils de ces paramètres qui font passer le dysfonctionnement d un niveau de gravité à un autre. Les critères de criticité et les seuils correspondants permettront d évaluer la gravité de chaque dysfonctionnement, depuis le dysfonctionnement ayant un impact insignifiant jusqu'au dysfonctionnement pouvant être vital pour l entité concernée. A titre d exemple, en reprenant le cas de la gestion de trésorerie, le tableau suivant pourrait être obtenu, pour le dysfonctionnement déjà cité : Dysfonctionnement Niveau 1 Non significatif Niveau 2 Important Niveau 3 Grave Niveau 4 Vital Incapacité à approvisionner les comptes bancaires par indisponibilité des bases de données de la trésorerie Incapacité durant moins de 4 heures Incapacité comprise entre 4 heures et 2 jours Incapacité durant plus de 2 jours Démarche La recherche de ces critères de dysfonctionnement et des seuils de criticité sera faite lors des entretiens avec les responsables des activités de l entreprise, toujours au cours du même entretien, dont la durée globale estimée, entre une heure et une heure et demie, comprend la description de l activité, la recherche des dysfonctionnements redoutés et l expression de leur criticité en fonction des paramètres significatifs. Les résultats élémentaires de chaque entretien consisteront ainsi en une description des activités, en une description des dysfonctionnements redoutés et en une évaluation de la gravité de ces dysfonctionnements. MEHARI 2010 : Guide de l analyse 11/28 CLUSIF 201112 1.4. Échelle de valeurs des dysfonctionnements Une synthèse des divers résultats sera alors établie au niveau de chaque activité. Un exemple partiel en est donné ci-dessous, pour une responsable de l activité de gestion des Ressources Humaines. Dysfonctionnement Niveau 1 Falsification des données de paye conduisant à une fraude Non significatif Perte < 0.1 M Niveau 2 Important Perte comprise entre 0.1 M et 1 M Niveau 3 Très Grave Perte comprise entre 1 et 10 M Niveau 4 Vital Perte > 10 M Divulgation d informations sur des données personnelles Retard dans le paiement des salaires Divulgation du salaire d un employé Retard < 2 jours Divulgation des salaires de l ensemble du personnel Retard compris entre 2 et 15 jours Divulgation répétée des salaires du personnel Retard > 15 jours Destruction des données de base concernant le règlement de la paye (calcul et paramétrage) Effacement des données récentes (moins d un mois) Effacement des données de l année Destruction des données et de tout l historique Ayant traité ainsi chaque activité, les synthèses établies ensuite constitueront des échelles de valeurs des dysfonctionnements, au niveau de chaque activité, puis au niveau global de l entreprise ou de l organisme. L'échelle de valeurs recherchée n'est ainsi rien d'autre que le rassemblement dans un document unique de l'ensemble des types de dysfonctionnement et des seuils de criticité. Il pourrait donc s'agir d'une étape purement formelle. L'expérience prouve, cependant, que la mise en commun de tous les types de dysfonctionnement et des seuils de criticité de chacun d'eux peut faire apparaître des discordances qui n'ont pas été mises en évidence dans une analyse activité par activité. Une étape de consolidation est donc nécessaire. Par ailleurs, toutes les conclusions et décisions d'action qui pourront être déduites de cette échelle de valeurs ou qui s'appuieront sur elle ne seront véritablement suivies d effet que si cette échelle de valeurs reflète un consensus des dirigeants de l'entité. Il est donc fortement recommandé, si ce n est impératif, qu'il y ait un véritable débat et qu'un consensus soit obtenu sur l échelle de valeurs des dysfonctionnements de l entité, en présence de l'ensemble du comité de Direction. Le résultat final sera une échelle de valeurs des dysfonctionnements validée. Un exemple complet est donné en annexe 1. MEHARI 2010 : Guide de l analyse 12/28 CLUSIF 201113 2. La classification des actifs du système d information L échelle de valeurs des dysfonctionnements est le résultat principal de l analyse des enjeux de la sécurité, car directement liée aux activités et processus fondamentaux de l entreprise ou de l organisme. Ceci étant, les mécanismes employés dans l appréciation et la gestion des risques, de même que certaines démarches plus systématiques dans le choix des solutions ou d élaboration de plans d action, nécessitent que ces dysfonctionnements, exprimés initialement en termes liés à l activité, soient traduits en termes techniques relatifs à des ressources de toute nature du Système d Information, généralement regroupées sous l appellation d «actifs». Il s agit, par exemple, de la perte de confidentialité de telle base de données applicative, de l indisponibilité de tel serveur, ou de la non efficience des processus à l égard de la protection de renseignements personnels, etc. Cette traduction consiste à formaliser l échelle de valeurs sous forme de «classification». Cette formalisation complémentaire consiste à : * Identifier les actifs (informations, éléments du système d information, équipements, etc.) devant être classifiés. * Qualifier chacun de ces actifs en fonction à la fois : de la manière dont il peut conduire ou être sujet à un dysfonctionnement préalablement identifié, de la gravité qui en résulte. Le but de la classification des actifs est de définir des "étiquettes" que l'on peut attacher à chacun d eux, afin de faire savoir à tous ceux qui sont amenés à travailler avec ces actifs, en quoi et dans quelle mesure ils ont de l'importance pour la sécurité Identification des actifs à classifier Il serait envisageable de classifier individuellement tous les actifs, c est-à-dire toutes les informations et tous les moyens supports de traitement, de stockage ou de transport de l information. En pratique, il est plus efficace d effectuer des «regroupements» d'objets, d informations ou de ressources ayant des finalités voisines et qui demandent le même type et le même niveau de protection. Ainsi, un logiciel et des utilitaires qui lui sont associés, l ensemble des tables d une base de données, etc., seront fréquemment réunis dans un même groupe d objets. Tous les objets identifiables d une entité ne peuvent être classifiés individuellement, sauf pour les très petites entités, il faut les regrouper. Les actifs à classifier seront ces groupes d objets. Ceci étant, il est pratique et efficace de distinguer d une part les actifs, tant primaires que de support, liés spécifiquement à des processus particuliers ou à des domaines d activité, et d autre part les éléments d infrastructure partagés et les services communs aux divers domaines d activité. MEHARI 2010 : Guide de l analyse 13/28 CLUSIF 201114 2.1.1 Identification des éléments liés à des processus métiers Pour les éléments d actifs liés à des processus ou domaines d activité, il est recommandé de partir d une liste de processus ou de domaines d activité (ou applicatifs), éventuellement réunis en groupes homogènes ainsi qu il a été dit plus haut, et d identifier, pour chaque processus, application ou domaine d activité, les actifs à classifier. Ainsi que cela a été présenté dans le document «MEHARI 2010 Principes fondamentaux et spécifications fonctionnelles», les actifs doivent se référer aux besoins des organisations que l on peut classer dans trois catégories : Les services (informatiques, de télécommunication et généraux), Les données nécessaires au fonctionnement des services, Les processus transverses de gestion de la sécurité ou de la conformité à des référentiels. Ces catégories constituent ce que nous appelons des actifs primaires. La typologie d actifs primaires retenue par MEHARI 2010 est donnée dans l annexe 2. Les actifs primaires correspondent aux besoins des organisations et c est donc à ce niveau qu il conviendra d évaluer l importance de ce besoin, importance dont il sera tenu compte pour juger du niveau de risque. Ce sont donc eux qu il convient de classifier. On sera ainsi amené à remplir trois tableaux notés T1 à T3, figurant dans des feuilles de la base de connaissance, et dont des exemples de remplissage sont représentés ci-dessous, pour les services, pour les données et pour les exigences de conformité. Nota : chaque tableau est donc présenté rempli avec des chiffres, de 1 à 4, représentant les niveaux de classification dans l échelle de gravité de l entité pour les critères de Disponibilité (D), d Intégrité (I), de Confidentialité (C) et d Efficience (E), donnés à titre purement illustratif. Tableau T1 CLASSIFICATION DES DONNÉES Processus métier, domaine applicatif ou domaine d'activité Services communs à particulariser Données applicativ. (bases de données) Données applicativ. Isolées, en transit Messages Fichiers bureaut. Partagés Fichiers bureaut. Personnels Docum. Person. Listings ou états imprim. Courrier électronique Courrier postal Fax Archives docum. Arhives informat. Données publiées (web ou interne) D I C D I C D I C D I C D C C D I C D I C D C D I C D I C Nom de colonne pour formules Classif D01 D01 D01 D06 D06 D06 D02 D02 D02 D03 D03 D03 D04 D04 D05 D07 D07 D07 D08 D08 D08 D09 D09 D10 D10 D10 D11 D11 D11 Processus métiers Domaine 1 : Ressources Humaines Domaine 2 : Gestion commerciale Domaine 3 : Plan stratégique Domaine 4 : Domaine financier et comptable Domaine Domaine 6 : CAO Domaine 7 : Site Web commercial / Domaine N Processus transverses Administration/ politique d'ensemble Classification Tableau T1 Classification des actifs de catégorie données MEHARI 2010 : Guide de l analyse 14/28 CLUSIF 2011 15 Tableau T2 CLASSIFICATION DES SERVICES Processus métier, application ou domaine applicatif Services communs Services du réseau étendu Services du réseau local Services applicatifs Services bureaut. communs Equipem. mis à la dispos. des utilisateurs Services systèmes Communs (Systèmes, périfs, etc.) Services de publication sur site web Services généraux environ. de travail Services télécom D I D I D I C D I D I D I D I D I D I Nom de colonne pour formules Classif R01 R01 R02 R02 S01 S01 S01 S02 S02 S03 S03 S04 S04 S05 S05 G01 G01 G02 G02 Processus métiers Domaine 1 : Resources Humaines Domaine 2 : Gestion commerciale Domaine 3 : Plan stratégique Domaine 4 : Domaine financier et comptable Domaine Domaine 6 : CAO Domaine 7 : Site Web commercial / Domaine N Processus transverses Administration/ politique d'ensemble Classification Tableau T2 Classification des services mis en œuvre Tableau T3 Classification des actifs processus de management La dernière ligne (Classification) de chaque tableau est automatiquement remplie par la méthode avec, pour chaque critère, le maximum de la colonne Identification des éléments de politique générale Il est possible que certains services communs n aient pas été identifiés comme actifs critiques lors de l analyse des processus métiers et que, néanmoins, ils puissent représenter une certaine criticité globale pour l entreprise ou l organisme. Cela sera le cas quand, par exemple, ils peuvent avoir une influence sur une stratégie de développement ou d urbanisme informatique ou quand ils peuvent avoir un impact sur l image de professionnalisme de l entreprise et de ses services supports, en interne ou vis-à-vis de l extérieur. MEHARI 2010 : Guide de l analyse 15/28 CLUSIF 201116 C est la raison pour laquelle, en bas des tableaux T1 et T2, il existe une ligne pour la politique d ensemble permettant d indiquer un jugement global, indépendamment des divers secteurs d activité Critères de classification Les données informatiques peuvent être à l'origine d'un dysfonctionnement pour trois raisons principales : la perte de disponibilité, d'intégrité ou de confidentialité 2. Pour les états imprimés, il s agit généralement uniquement de confidentialité, alors que pour les documents écrits ou les archives, il peut s agir, en plus de la confidentialité, de la disponibilité Pour les services, il s'agit essentiellement de la perte de disponibilité ou d'intégrité, mais il peut aussi s agir de confidentialité pour certaines applications représentant un avantage concurrentiel pour l entité. Pour les processus de gestion de la conformité à des lois, réglementations ou exigences contractuelles ou pour les processus de gestion de la sécurité, le critère de classification est l «Efficience» (notée E dans le tableau d impact intrinsèque) Processus de classification Classification des actifs liés à des processus métiers Pour chaque type d actif et chaque processus métier ou domaine d activité, une analyse sera faite pour déterminer si une perte de confidentialité de ce type d actif est susceptible de conduire à un ou plusieurs des dysfonctionnements redoutés et si oui, à quel niveau. Si plusieurs dysfonctionnements peuvent être occasionnés par une perte de confidentialité de la ressource, le plus grave niveau atteint (noté de 1 à 4) est le niveau de classification recherché pour le critère de confidentialité. Il sera fait de même pour les autres critères, de disponibilité et d intégrité, pour aboutir, in fine et pour chaque type d actif, à 1, 2 ou 3 valeurs de classification, une par critère pertinent (Disponibilité, Intégrité, Confidentialité). L'objectif de la classification est ainsi de définir, pour les types d actifs identifiés, les "étiquettes" permettant de connaître les niveaux de conséquences qu'aurait une perte de disponibilité, d'intégrité ou de confidentialité de chaque type et pour chaque domaine d activité Classification des actifs en fonction d une vue globale De même, à un niveau plus global, il importe de se questionner sur l impact d une altération de ces actifs, indépendamment des impacts sur les affaires (business) particuliers déjà analysés. 2 D autres critères de classification figurent dans les réglementations récentes, par exemple la «valeur probatoire» et la traçabilité. MEHARI 2010 : Guide de l analyse 16/28 CLUSIF 201117 3. Elaboration du tableau d impact intrinsèque Lors d une appréciation des risques MEHARI, il est fait appel à la notion d impact intrinsèque d un scénario qui est l évaluation des conséquences, ou impact, de l occurrence du risque, indépendamment de toute mesure de sécurité. Plus précisément, la feuille Classif de la base de connaissances de MEHARI contient un tableau d impact intrinsèque reprenant les mêmes types d actifs et qui est automatiquement rempli à partir des tableaux de classification vus précédemment. L annexe 2 a été complétée pour donner un exemple fictif de résultat dans les colonnes de droite (D, I, C) Impacts intrinsèques ne dépendant pas de la classification d un actif de type données ou service Le tableau T3, repris dans la dernière partie du tableau des impacts intrinsèques, correspond à des exigences ne dépendant pas de la classification d un actif de type données ou service. Il s agit, en effet, d évaluer l impact intrinsèque de types de scénarios un peu particuliers, et, en pratique, de la non conformité à la loi ou à la réglementation ou à des exigences contractuelles dans différents domaines. Le critère correspondant (E) est le niveau exigé pour l «efficience» des processus de gestion. MEHARI 2010 : Guide de l analyse 17/28 CLUSIF 201118 4. Conseils pratiques 4.1. Points importants dans l élaboration de l échelle de valeurs Focalisation sur les aspects les plus critiques Le plus important est de bien se focaliser sur les dysfonctionnements essentiels et de ne pas essayer de recenser tous les dysfonctionnements possibles. L'objectif premier de la sécurité, quelle que soit la démarche, est d'éviter l'occurrence de situations très graves, voire vitales. Ce sont donc celles-là qu'il faut absolument repérer. C'est la raison pour laquelle il est souhaité que les responsables de l'activité s impliquent directement dans la démarche et qu ils ne délèguent pas leurs adjoints lors de l analyse des enjeux. En pratique, pour une activité, il faudrait se limiter à quelques dysfonctionnements critiques, généralement entre 3 et Non prise en compte des mesures de sécurité Le deuxième point, tout aussi fondamental, est de ne pas occulter des dysfonctionnements qui paraîtraient "impossibles". Il est extrêmement courant de voir des dirigeants occulter l'éventualité d'une disparition de données vitales, au prétexte que ces données sont informatisées et "donc" sauvegardées par l'informatique. Les dysfonctionnements et leur gravité doivent être identifiés et évalués sans tenir compte de mesures de sécurité, même si ces mesures sont déjà en place. Sinon, cela amènerait à conclure qu'il n'y a pas d'enjeu important et donc que les mesures de sécurité ne sont pas indispensables et qu'elles peuvent être supprimées. De même, le caractère plus ou moins probable de l événement conduisant au dysfonctionnement ne doit pas être pris en considération à cette étape de la démarche Cohérence des dysfonctionnements de natures différentes Un autre point important dans la détermination des critères et des seuils de criticité est de maintenir la cohérence entre différents types de dysfonctionnements de niveau de gravité équivalent. A cette fin, il est recommandé de rechercher des axes majeurs stratégiques auxquels il sera possible de se référer pour rendre cohérents les niveaux de gravité des divers dysfonctionnements, ainsi qu il apparaît dans l annexe 1. Il peut s'agir de l'axe financier, auquel cas des équivalences financières seront recherchées pour tous les types de dysfonctionnement, ou d'un axe "service rendu au public", auquel cas ce sont des équivalences en ampleur individuelle d'impact et nombre de personnes touchées qui seront recherchées, etc Aspect décisionnel ou stratégique de l échelle de valeurs Il arrive que la gravité de certains dysfonctionnements ne puisse pas être évaluée, soit parce que les conséquences indirectes du dysfonctionnement sont difficiles à appréhender, soit parce qu il n est MEHARI 2010 : Guide de l analyse 18/28 CLUSIF 201119 pas possible de juger sérieusement de l efficacité des actions qui pourraient être menées dans de telles situations. Dans certaines situations, la gravité d un dysfonctionnement peut être le résultat d une simple décision. Il ne s agit plus alors d une évaluation, mais d une option stratégique qui consiste à décider que, dans l entreprise ou l organisme, tel dysfonctionnement doit être considéré comme Très grave, voire Vital Points importants lors de la classification Le premier point important est de bien faire les regroupements d actifs de finalités voisines pour ne pas avoir à analyser une quantité astronomique d objets. Un regroupement par grands domaines applicatifs est généralement la bonne maille d analyse. Le deuxième point important est de prévoir, comme pour l échelle de valeurs, une étape de consolidation et de validation au niveau de l entité Périmètre de validité de la classification Il est clair que tout le processus décrit, que ce soit l élaboration de l échelle de valeurs ou la classification proprement dite, se situe au niveau d une entité ayant son autonomie de décision et ses objectifs propres. Il peut s agir d une filiale d un Groupe, d une «unité d affaire» (ou business unit), d une Direction opérationnelle ayant un domaine de responsabilité bien défini ou d une Direction fonctionnelle. L échelle de valeurs des dysfonctionnements et la classification des actifs établies au sein d une entité sont, bien entendu, valides au sein de cette entité. Mais qu en est-il à l extérieur de cette entité? Par définition, la classification établie au sein d une entité étant un moyen de communiquer le niveau de sensibilité d un actif appartenant à cette entité, cette classification est valide pour l ensemble de l entreprise. Il s agit, en fait, d une règle du jeu de la communication d éléments, en particulier d informations, entre entités. Si une entité A, une petite filiale par exemple, estime vitale, pour elle, la confidentialité d une information et la classifie en conséquence, il ne saurait être question que l entité B, le siège par exemple, reconsidère cette classification et décide de traiter cette information comme non sensible. Si cela était admis, la seule solution pour l entité A serait de ne pas transmettre cette information. Cette notion de périmètre de validité de la classification est particulièrement importante dans le cas de gestion de la sécurité basée sur un ensemble de règles appelé Référentiel de sécurité. Dans ce cas, en effet, les précautions qui seront prises ou les mesures de sécurité qui seront appliquées, en fonction de cette classification, sont connues. Il serait absurde de classifier localement une information et d appliquer, dans l entité émettrice, des règles de sécurité en conséquence et que la même information se voie appliquer des règles différentes par une autre entité qui considèrerait de son propre chef qu elle ne mérite pas une telle classification. MEHARI 2010 : Guide de l analyse 19/28 CLUSIF 201120 4.4. Plans d actions Il n est pas question ici de traiter de démarches consistant à bâtir des plans de sécurité directement à partir d une analyse des enjeux. Il faut néanmoins tenir compte du fait que les entretiens individuels ayant conduit à l élaboration de l échelle de valeurs des dysfonctionnements, complétés par un comité de Direction au cours duquel les dysfonctionnements les plus graves auront été évoqués, auront fait naître une attente forte de solutions et qu il est donc très souhaitable que cette démarche soit suivie, rapidement, d actions de sécurisation. Il serait, en effet, extrêmement frustrant, pour un responsable, d avoir consacré du temps à une analyse constatant des niveaux d impact vitaux et que rien ne se passe ensuite pour les réduire. Un plan des actions les plus urgentes devrait donc être élaboré, et éventuellement discuté en Comité de Direction, dans des délais très courts après une analyse des enjeux. MEHARI 2010 : Guide de l analyse 20/28 CLUSIF 2011 Montrer encore
Qu est-ce qu un système d Information? 1 Une définition du système d information «Tout moyen dont le fonctionnement fait appel à l électricité et qui est destiné à élaborer, traiter, stocker, acheminer, Plus en détail Manuel de référence de la base de connaissances MEHARI 2010. DB-Mehari_2010_Exc_FR_2-14.xls Pour Excel, LibreOffice ou OpenOffice.
METHODES MEHARI 2010 Manuel de référence de la base de connaissances MEHARI 2010 DB-Mehari_2010_Exc_FR_2-14.xls Pour Excel, LibreOffice ou OpenOffice 30 mars 2012 Espace Méthodes CLUB DE LA SECURITE DE Plus en détail Brève étude de la norme ISO/IEC 27003
RECOMMANDATIONS Brève étude de la norme ISO/IEC 27003 Décembre 2011 CLUB DE LA SECURITE DE L INFORMATION FRANÇAIS 11, rue de Mogador 75009 PARIS Tel : 01 53 25 08 80 Fax : 01 53 08 81 clusif@clusif.asso.fr Plus en détail ANALYSE DE RISQUE AVEC LA MÉTHODE MEHARI Eric Papet e.papet@dev1-0.com Co-Fondateur SSII DEV1.0 Architecte Logiciel & Sécurité Lead Auditor ISO 27001
ANALYSE DE RISQUE AVEC LA MÉTHODE MEHARI Eric Papet e.papet@dev1-0.com Co-Fondateur SSII DEV1.0 Architecte Logiciel & Sécurité Lead Auditor ISO 27001 PLAN Introduction Générale Introduction MEHARI L'analyse Plus en détail LA GESTION DES RISQUES - Concepts et méthodes
LES DOSSIERS TECHNIQUES LA GESTION DES RISQUES - Concepts et méthodes Révision 1 du 28 janvier 2009 Espace Méthodes CLUB DE LA SECURITE DE L INFORMATION FRANÇAIS 30, rue Pierre Sémard, 75009 PARIS Tél. Plus en détail I partie : diagnostic et proposition de solutions
Session 2011 BTS assistant de manager Cas Arméria: barème et corrigé Remarque: la 1 ère partie doit être cohérente avec les éléments déterminants du contexte décrit dans cet encadré, qui n est pas attendu Plus en détail Mini-Rapport d Audit basé sur la méthode d analyse MEHARI
Projet Réseau Sécurité Mini-Rapport d Audit basé sur la méthode d analyse MEHARI Equipe Analyse 15/12/07 Sommaire II/ Présentation de la méthode MEHARI...4 III/ Définition et classification des éléments Plus en détail وزارة السكنى والتعمير وسياسة المدينة
وزارة السكنى والتعمير وسياسة المدينة Phase 3 Planification de la solution retenue et stratégie de changement Elaboration du Schéma Directeur du Système d Information des agences urbaines 2013 Sommaire Plus en détail Plan de secours. Marie-pascale Delamare d'après "Plan de continuité d'activité publié par le CLUSIF" LE PLAN DE CONTINUITÉ DE SERVICE (PCS)
Plan de secours Un plan de continuité de service (PCS) contient à la fois un plan de secours informatique (PSI) et un plan de reprise d'activité (PRA). Avant de commencer une étude de Plan de Secours Informatique, Plus en détail Guide du diagnostic de l état des services de sécurité. Janvier 2010. Espace Méthodes CLUB DE LA SECURITE DE L INFORMATION FRANÇAIS
METHODES MEHARI 2010 Guide du diagnostic Janvier 2010 Espace Méthodes CLUB DE LA SECURITE DE L INFORMATION FRANÇAIS 30, rue Pierre Sémard, 75009 PARIS Tél. : +33 1 53 25 08 80 Fax : +33 1 53 25 08 88 e-mail Plus en détail ESTIMATION DES PERTES ET CONSEQUENCES ECONOMIQUES DUES A DES SINISTRES INFORMATIQUES EN FRANCE. France, 1992
ESTIMATION DES PERTES ET CONSEQUENCES ECONOMIQUES DUES A DES SINISTRES INFORMATIQUES EN FRANCE France, 1992 CLUSIF Date de publication : 1993 TABLE DES MATIERES RISQUES INFORMATIQUES 1992 PRESENTATION...3 Plus en détail Services informatiques aux organisations
I. APPELLATION DU DIPLÔME II. CHAMP D'ACTIVITÉ Services informatiques aux organisations Spécialité «Solutions logicielles et applications métiers» Spécialité «Solutions d infrastructure, systèmes et réseaux» Plus en détail Les principes de la sécurité
Les principes de la sécurité Critères fondamentaux Master 2 Professionnel Informatique 1 Introduction La sécurité informatique est un domaine vaste qui peut appréhender dans plusieurs domaines Les systèmes Plus en détail Fiche méthodologique Rédiger un cahier des charges
Fiche méthodologique Rédiger un cahier des charges Plan de la fiche : 1 : Présentation de la fiche 2 : Introduction : les grands principes 3 : Contenu, 1 : positionnement et objectifs du projet 4 : Contenu, Plus en détail MEHARI TM V3 Guide de l analyse des risques
METHODES MEHARI TM V3 Guide de l analyse des risques Octobre 2004 Commission Méthodes CLUB DE LA SECURITE DES SYSTEMES D INFORMATION FRANÇAIS 30, rue Pierre Semard, 75009 PARIS Tél. : +33 153 25 08 80 Plus en détail Methode Mehari www.ofppt.info
ROYAUME DU MAROC Office de la Formation Professionnelle et de la Promotion du Travail Methode Mehari DIRECTION RECHERCHE ET INGENIERIE DE FORMATION SECTEUR NTIC Sommaire 1. Introduction... 2 2. Chapitre Plus en détail Réussir l externalisation de sa consolidation
Réussir l externalisation de sa consolidation PAR ERWAN LIRIN Associé Bellot Mullenbach et Associés (BMA), activité Consolidation et Reporting ET ALAIN NAULEAU Directeur associé Bellot Mullenbach et Associés Plus en détail Identification, évaluation et gestion des incidents
Identification, évaluation et gestion des incidents De la cartographie des risques à la mise en place de la base incidents Xavier DIVAY Responsable de la conformité et du contrôle permanent QUILVEST BANQUE Plus en détail L analyse de risques avec MEHARI
L analyse de risques avec MEHARI Conférence Clusif : MEHARI 2010 Marc Touboul - marc.touboul@bull.net Responsable du Pôle Conseil Organisation SSI Bull, 2010 agenda Bull Pôle Conseil SSI Un exemple de Plus en détail s é c u r i t é Conférence animée par Christophe Blanchot
s é c u r i t é i n f o r m a t i q u e La sécurité des systèmes d information Conférence animée par Christophe Blanchot Tour de table Présentation Nom, prénom, promotion Entreprise et fonction Expérience(s) Plus en détail LIVRE BLANC DECIDEUR. Newtest : contribution à ITIL. Newtest et ITIL...3. Gestion des niveaux de service - Service Level Management...
Yphise LIVRE BLANC LIVRE BLANC DECIDEUR Newtest : contribution à ITIL Newtest et ITIL...3 Gestion des niveaux de service - Service Level Management...5 Gestion de la disponibilité - Availability Management...7 Plus en détail A1 GESTION DE LA RELATION AVEC LA CLIENTELE
Référentiel des Activités Professionnelles A1 GESTION DE LA RELATION AVEC LA CLIENTELE L assistant prend en charge l essentiel du processus administratif des ventes. Il met en place certaines actions de Plus en détail PRESENTATION MEHARI: Process Reference Model MEHARI. Version Modification Date Author V00_00 23.02.2006 CSI
MEHARI DOCUMENT HISTORY Version Modification Date Author V00_00 23.02.2006 CSI V00_01 DIFFUSION Organisation Name Diffusion mode CLUSSIL GT ANARISK Membres présents Electronique PRM_Mehari_v0 Page 1 sur Plus en détail Fiche de l'awt Rédiger un cahier des charges
Fiche de l'awt Rédiger un cahier des charges Quels sont les éléments principaux dont il faut tenir compte pour la rédaction d'un cahier des charges dans le cadre d'un projet lié aux TIC (technologies de Plus en détail L'AUDIT DES SYSTEMES D'INFORMATION
L'AUDIT DES SYSTEMES D'INFORMATION ESCI - Bourg en Bresse (2005 2006) Audit s Système d'information - P2 1 lan d'ensemble Audit s Systèmes d'information GENERALITES SUR L'AUDIT AUDIT FONCTIONNEL OU D'APPLICATION Plus en détail CONDITIONS GÉNÉRALES DE VENTE DE BLACK CAT Website CRÉATION ET MAINTENANCE DE SITES INTERNET
Etant donné la nature particulière du lieu d'exposition des sites internet (réseau informatique mondial), et en l'absence de réglementation le concernant, les parties désignent que la loi belge sera prise Plus en détail Politique de sécurité de l information
5, Place Ville Marie, bureau 800, Montréal (Québec) H3B 2G2 T. 514 288.3256 1 800 363.4688 Téléc. 514 843.8375 www.cpaquebec.ca Politique de sécurité de l information Émise par la Direction, Gestion des Plus en détail Sécurité de l Information Expérience de Maroc Telecom
Sécurité de l Information Expérience de Maroc Telecom Fouad Echaouni Responsable Adjoint Sécurité de l Information Lead Auditor ISO 27001 CLUSIF / Conférence du 23 octobre 2008 Propriété Maroc Telecom Plus en détail PLAN. Industrialisateur Open Source LANS DE SECOURS INFORMATIQUES PRINCIPES GENERAUX ETAT DE L ART SELON BV ASSOCIATES
PLAN LANS DE SECOURS INFORMATIQUES PRINCIPES GENERAUX & ETAT DE L ART SELON BV ASSOCIATES Copyright BV Associates 2013 IMEPSIA TM est une marque déposée par BV Associates Page 1 SOMMAIRE 1 PRINCIPES GENERAUX Plus en détail FAYCAL AYECH GL2. INSAT 2010/2011 INTRODUCTION AUX SYSTÈMES D INFORMATIONS DÉFINITION ET ORGANISATION DE LA FONCTION SI
FAYCAL AYECH GL2. INSAT 2010/2011 1 INTRODUCTION AUX SYSTÈMES D INFORMATIONS DÉFINITION ET ORGANISATION DE LA FONCTION SI Chapitre 1 Trois questions se posent dès le départ : Qu'est-ce qu'un système? Qu'est-ce Plus en détail Contrat d Assistance Sage
Contrat d Assistance Sage A titre de rappel, il est précisé que les conditions générales d utilisation auxquelles est soumis le client depuis l acquisition des licences restent applicables aux Progiciels Plus en détail Règles pour les interventions à distance sur les systèmes d information de santé
VERSION V0.3 Règles pour les interventions à distance sur les systèmes d information de santé Politique Générale de Sécurité des Systèmes d Information de Santé (PGSSI-S) - Avril 2014 MINISTÈRE DES AFFAIRES Plus en détail CHARTE DU CORRESPONDANT MODELE TYPE
CHARTE DU CORRESPONDANT MODELE TYPE CHAPITRE 1: CONDITIONS DANS LESQUELLES LE BUREAU LUXEMBOURGEOIS ACCORDE, REFUSE OU RETIRE SON AGREMENT A UN CORRESPONDANT 1.1 Comment remplir la fonction de correspondant Plus en détail GUIDE INTERMINISTERIEL SUR LES SYSTEMES D'INFORMATION ET APPLICATIONS SENSIBLES
REPUBLIQUE FRANÇAISE PREMIER MINISTRE Secrétariat Général de la Défense Nationale N 730/ SCSSI Issy-les-Moulineaux, le 13 janvier 1997 GUIDE INTERMINISTERIEL SUR LES SYSTEMES D'INFORMATION ET APPLICATIONS Plus en détail Recommandations pour les entreprises qui envisagent de souscrire à des services de Cloud computing
Recommandations pour les entreprises qui envisagent de souscrire à des services de Cloud computing D un point de vue juridique, la CNIL constate que le Cloud computing soulève un certain nombre de difficultés Plus en détail Conditions générales de vente de prestation de services PINGWY Monitoring (en vigueur à compter du 01/02/2012)
Conditions générales de vente de prestation de services PINGWY Monitoring (en vigueur à compter du 01/02/2012) Article 1 - Champ d application des conditions générales de vente Les présentes conditions Plus en détail CENTRE DE RECHERCHE GRENOBLE RHÔNE-ALPES
informatiques d Inria CENTRE DE RECHERCHE GRENOBLE RHÔNE-ALPES Table des matières 1. Préambule...3 2. Définitions...3 3. Domaine d application...4 4. Autorisation d accès aux ressources informatiques...5 Plus en détail Activité : Élaboration, mise en forme et renseignement de documents
ACTIVITÉS ADMINISTRATIVES À CARACTÈRE TECHNIQUE Activité : Élaboration, mise en forme et renseignement de documents Tâche : Rédaction de messages et de courriers professionnels simples liés à l activité Plus en détail ERP5. Gestion des Services Techniques des Collectivités Locales
Gestion des Services Techniques des Collectivités Locales Cte 1 2 P 3 s tio T 4 m ilg h trc c n p.o 5 re u fe ro a le tio c M S tw u aa c e O 2 Relation Citoyen Interventions Patrimoine Core Ressources Plus en détail CONDITIONS GENERALES DE VENTE ET D UTILISATION DU SITE DREAMJET
CONDITIONS GENERALES DE VENTE ET D UTILISATION DU SITE DREAMJET Article 1 - Champ d application La société DreamJet est une société par action simplifiée à associé unique, ayant son siège social situé Plus en détail Contrôle interne et organisation comptable de l'entreprise
Source : "Comptable 2000 : Les textes de base du droit comptable", Les Éditions Raouf Yaïch. Contrôle interne et organisation comptable de l'entreprise Le nouveau système comptable consacre d'importants Plus en détail Systèmes de transport public guidés urbains de personnes
service technique des Remontées mécaniques et des Transports guidés Systèmes de transport public guidés urbains de personnes Principe «GAME» (Globalement Au Moins Équivalent) Méthodologie de démonstration Plus en détail Yourcegid Consolidation On Demand
Yourcegid Consolidation On Demand LS -YC Consolidation - OD - 04/2012 LIVRET SERVICE YOURCEGID CONSOLIDATION ON DEMAND ARTICLE 1 : OBJET Le présent Livret Service fait partie intégrante du Contrat et ce Plus en détail Contrat d'hébergement application ERP/CRM - Dolihosting
Date 30/10/13 Page 1/6 Contrat d'hébergement application ERP/CRM - Dolihosting Le présent contrat est conclu entre vous, personne physique ou morale désignée ci-après le client et ATERNATIK dont le numéro Plus en détail BEP métiers des services administratifs BREVET D'ÉTUDES PROFESSIONNELLES MÉTIERS DES SERVICES ADMINISTRATIFS
BREVET D'ÉTUDES PROFESSIONNELLES MÉTIERS DES SERVICES ADMINISTRATIFS ANNEXE I a RÉFÉRENTIEL DES ACTIVITÉS PROFESSIONNELLES I. APPELLATION DU DIPLÔME BEP métiers des services administratifs RÉFÉRENTIEL Plus en détail R41 REGLE DE PRESCRIPTION. Télésécurité. Habitations Risques «standard» Edition 12.2000.0 (décembre 2000)
R41 REGLE DE PRESCRIPTION Télésécurité Habitations Risques «standard» Edition 12.2000.0 (décembre 2000) Fédération Française des Sociétés d'assurances Cette règle a été élaborée au sein des instances de Plus en détail Département des systèmes d'information et de télécommunications Groupe de soutien achats et marchés
Département des systèmes d'information et de télécommunications Groupe de soutien achats et marchés a RFI : Progiciel de Gestion de Maintenance Assistée par Ordinateur (GMAO) ou d'enterprise Asset Management Plus en détail Projet en entreprise Cadrage du Projet de Fin d Etudes «Un projet informatique.»
Projet en entreprise Cadrage du Projet de Fin d Etudes «Un projet informatique.» Projet de fin d études 2 Sommaire OBJET DU DOCUMENT... 3 LES ETAPES DU PROJET... 4 ETUDE PREALABLE...5 1 L étude d opportunité... Plus en détail BTS Comptabilité et Gestion SOMMAIRE
BTS Comptabilité et Gestion SOMMAIRE ANNEXE I : RÉFÉRENTIELS DU DIPLÔME... PAGE 2 I a. Référentiel des activités professionnelles...page 3 I b. Référentiel de certification... page 21 I c. Lexique.... Plus en détail Délibération n 39 Conseil municipal du 29 juin 2012
Direction Générale Finances et Gestion Direction du Contrôle Interne Délibération n 39 Conseil municipal du 29 juin 2012 Sociétés publiques locales et sociétés publiques locales d aménagement - Dispositif Plus en détail Quadra Entreprise On Demand
Quadra Entreprise On Demand LS -Quadra Entrepriset OD- 11/2013 ARTICLE 1 : DEFINITIONS LIVRET SERVICE QUADRA ENTREPRISE ON DEMAND Les termes définis ci-après ont la signification suivante au singulier Plus en détail Nous réceptionnons les commandes par Internet, téléphone, courrier ou fax.
Conditions générales R.C. Exploitation GARAGE 1. Définitions Client: personne morale et/ou physique achetant ou utilisant POWERCONCEPT. Consommateur: particulier achetant des Produits pour son usage privé. Plus en détail ITIL V2 Processus : La Gestion des Configurations
ITIL V2 Processus : La Gestion des Configurations Auteur: Fabian PIAU, Master 2 MIAGE, Nantes La Gestion des Configurations est un processus issu d ITIL version 2 qui aide au soutien du service («Service Plus en détail Ces conditions de vente prévaudront sur toutes autres conditions générales ou particulières non expressément agréées par SUD LOGICIEL GESTION.
Conditions générales de vente de SUD LOGICIEL GESTION Les présentes conditions de vente sont conclues d une part par la société SUD LOGICIEL GESTION. au capital de 3000 euro dont le siège social est à Plus en détail Sciences de Gestion Spécialité : SYSTÈMES D INFORMATION DE GESTION
Sciences de Gestion Spécialité : SYSTÈMES D INFORMATION DE GESTION Classe de terminale de la série Sciences et Technologie du Management et de la Gestion Préambule Présentation Les technologies de l information Plus en détail DOMAINE D'ACTIVITE 1 : ORGANISATION DES ARRIVAGES, DES RECEPTIONS ET DES EXPEDITIONS DES MATERIELS ET DES INGREDIENTS
REFERENTIEL D ACTIVITES FICHE 6 INGENIERIE : REFERENTIEL D ACTIVITES ET REFERENTIEL DE CERTIFICATION REFERENTIEL DE CERTIFICATION ACTIVITE et TACHES COMPETENCES ASSOCIEES AUX ACTIVITES ET TACHES COMPETENCES Plus en détail Le Guide Pratique des Processus Métiers
Guides Pratiques Objecteering Le Guide Pratique des Processus Métiers Auteur : Version : 1.0 Copyright : Softeam Equipe Conseil Softeam Supervisée par Philippe Desfray Softeam 21 avenue Victor Hugo 75016 Plus en détail Article I. DÉFINITIONS
Conditions particulières de vente «Hébergement dédié» ONLINE SAS au 22/10/2012 ENTRE : Le Client, Ci-après dénommé l' «Usager». ET : ONLINE, Société anonyme par actions simplifiée, au capital de 214 410,50 Plus en détail Plan de Continuité d'activité Concepts et démarche pour passer du besoin à la mise en oeuvre du PCA
Qu est-ce que la Continuité d'activité? 1. Définition 11 2. Les objectifs et enjeux du PCA 12 2.1 Les objectifs 12 2.2 Les enjeux 13 3. Les contraintes et réglementations 14 3.1 Les contraintes légales Plus en détail A cet effet, un exemplaire des présentes Conditions est annexé à toute Offre Commerciale émise par A.M.O.I.
Article 1 : Définitions A.M.O.I. SARL (ciaprès dénommée «A.M.O.I.») est une société de prestations de services informatiques intervenant dans le domaine des réseaux informatiques et des nouvelles technologies Plus en détail Architecture de référence pour la protection des données. Mercredi 21 Mars 2007
Architecture de référence pour la protection des données Mercredi 21 Mars 2007 Intervenants Serge Richard CISSP /IBM France 2 Introduction Sécurité des données Cadres de référence Description d une méthodologie Plus en détail Politique de sécurité de l information et des technologies. Direction des systèmes et technologies de l information
Politique de sécurité de l information et des technologies Direction des systèmes et technologies de l information Adoptée par le conseil d administration le 17 février 2015 Responsable Document préparé Plus en détail MISSION DES AUDITS. Fiche d organisation fonctionnelle n 7 : Utilisation des outils et technologies
- - - 1 - MISSION DES AUDITS Fiche d organisation fonctionnelle n 7 : Utilisation des outils et technologies Novembre 2011 1 - - - 2 - Sommaire Objectifs de la fiche d organisation fonctionnelle 4 Domaine Plus en détail BUSINESS CONTINUITY MANAGEMENT. Notre plan C pour situations d'urgence et de crise
BUSINESS CONTINUITY MANAGEMENT I PLANZER I 2010 BUSINESS CONTINUITY MANAGEMENT Notre plan C pour situations d'urgence et de crise La sécurité n'est pas une valeur absolue. Une gestion de risque peut éventuellement Plus en détail Sage 100 CRM - Guide de l Assistant de Création d Entité Spécifique Version 8. Mise à jour : 2015 version 8
Sage 100 CRM - Guide de l Assistant de Création d Entité Spécifique Version 8 Mise à jour : 2015 version 8 Composition du progiciel Votre progiciel est composé d un boîtier de rangement comprenant : le Plus en détail LIVRE BLANC. Dématérialisation des factures fournisseurs
LIVRE BLANC 25/03/2014 Dématérialisation des factures fournisseurs Ce livre blanc a été réalisé par la société KALPA Conseils, société créée en février 2003 par des managers issus de grandes entreprises Plus en détail Convention de «management fees»: qu en est-il aujourd hui?
81 rue du pré Catelan 59110 La Madeleine Tél : 03 20 39 33 47 Fax : 03 20 63 92 21 lille@valoxy.fr www.valoxy.fr Convention de «management fees»: qu en est-il aujourd hui? Attention aux prestations de Plus en détail Annexe IV : rapport du Président du Conseil d Administration
Annexe IV : rapport du Président du Conseil d Administration joint au rapport de gestion rendant compte des conditions de préparation et d organisation des travaux du Conseil ainsi que des procédures de Plus en détail Conditions générales d utilisation
Conditions générales d utilisation L utilisation du site internet www.fastt-mut.org (le Site) est régie par les présentes Conditions générales d utilisation. Les présentes Conditions générales d utilisation Plus en détail Fiches micro-informatique SECURITE LOGIQUE LOGIxx
Objectif Fiches micro-informatique SECURITE LOGIQUE LOGIxx Présenter des préconisations pour sécuriser le poste de travail informatique et son environnement sous forme de fiches pratiques. Public concerné Plus en détail Prestations d audit et de conseil 2015
M. Denis VIROLE Directeur des Services +33 (0) 6 11 37 47 56 denis.virole@ageris-group.com Mme Sandrine BEURTHE Responsable Administrative +33 (0) 3 87 62 06 00 sandrine.beurthe@ageris-group.com Prestations Plus en détail Politique de sécurité de l actif informationnel
TITRE : Politique de sécurité de l actif informationnel Adoption par le conseil d administration : Résolution : CARL-130924-11 Date : 24 septembre 2013 Révisions : Résolution : Date : Politique de sécurité Plus en détail CONDITIONS GENERALES YOUSIGN v1.4 A - CONDITIONS APPLICABLES A TOUTES LES PRESTATIONS YOUSIGN
CONDITIONS GENERALES YOUSIGN v1.4 A - CONDITIONS APPLICABLES A TOUTES LES PRESTATIONS YOUSIGN Article 1. Définitions Les mots écrits en gras dans le présent article (et repris dans le corps du texte avec Plus en détail Conditions Particulières de Maintenance. Table des matières. Ref : CPM-1.2 du 08/06/2011
Conditions Particulières de Maintenance Ref : Table des matières 1 CONDITIONS PARTICULIÈRES APPLICABLES AUX CONTRATS DE MAINTENANCE...2 1.1 Préambule...2 1.2 Obligations d'atreal et services rendus...2 Plus en détail Conditions générales de vente CrownMakers ENTRE : Le Client, Ci-après dénommé l' «Usager». ET :
Conditions générales de vente CrownMakers ENTRE : Le Client, Ci-après dénommé l' «Usager». ET : CrownMakers France, dont le siège social est situé au 255 avenue Galilée, immatriculée au Registre du Commerce Plus en détail Conditions : ces conditions de crédit, ainsi que toute annexe à ces Conditions; CONDITIONS DE CREDIT DE PAYDAY
CONDITIONS DE CREDIT DE PAYDAY 1. Définitions Dans ces Conditions, les notions suivantes ont la signification qui suit: Demandeur de crédit : la personne (personne physique) qui présente une Demande de Plus en détail FICHE N 10 SÉCURITÉ DES DONNÉES
L article 34 de la loi «Informatique et Libertés» impose à un responsable de traitement de prendre toutes les précautions utiles pour préserver la sécurité des données dont il est responsable, en fonction Plus en détail CGV - SOUSCRIPTION ET ACHAT SUR LES SITES INTERNET du Groupe LE MESSAGER
CGV - SOUSCRIPTION ET ACHAT SUR LES SITES INTERNET du Groupe LE MESSAGER Entre : le client (ci-après dénommé «le Client») ; Informations Le Client, personne physique ou morale, qui opère, dans le cadre Plus en détail DIAGNOSTIC STRATEGIQUE, FINANCIER ET PLAN DE MISE A NIVEAU 1 TERMES DE RÉFÉRENCE
Royaume du Maroc DIAGNOSTIC STRATEGIQUE, FINANCIER ET PLAN DE MISE A NIVEAU 1 TERMES DE RÉFÉRENCE 1 Le rapport d un diagnostic stratégique est un rapport d expertise, il représente la synthèse des informations Plus en détail REFERENTIEL DE CERTIFICATION
REFERENTIEL DE CERTIFICATION DU TITRE PROFESSIONNEL Technicien(ne) d'assistance en Informatique Niveau IV Site : http://www.emploi.gouv.fr REFERENTIEL DE CERTIFICATION D'UNE SPECIALITE DU TITRE PROFESSIONNEL Plus en détail 1/ Le commanditaire Pour permettre au prestataire de réaliser sa mission, le commanditaire s engage à :
Article 1 : Principes de cession La reproduction et la réédition des créations du prestataire sont soumises à la perception de droits d auteur selon la loi du 11 mars 1957. La cession de ces droits ne Plus en détail TUTORIEL Qualit Eval. Introduction :
TUTORIEL Qualit Eval Introduction : Qualit Eval est à la fois un logiciel et un référentiel d évaluation de la qualité des prestations en établissements pour Personnes Agées. Notre outil a été spécifiquement Plus en détail Conditions générales d abonnement en ligne et d utilisation du site
Conditions générales d abonnement en ligne et d utilisation du site Ce site est édité par Veolia Eau - Compagnie Générale des Eaux, nommé Veolia dans la suite du document, SCA au capital de 2.207.287.340,98 Plus en détail Organisation et qualité
12 Organisation Cette famille rassemble des métiers dont la finalité est d améliorer la qualité de service aux clients et l efficience de l entreprise, par la conduite de projets ou de démarches contribuant Plus en détail THEORIE ET CAS PRATIQUES
THEORIE ET CAS PRATIQUES A DEFINIR 8/28/2012 Option AUDIT 1 INTRODUCTION L informatique : omniprésente et indispensable Développement des S.I. accroissement des risques Le SI = Système Nerveux de l entreprise Plus en détail Comment contrôler de manière exhaustive le contenu sensible dans Microsoft SharePoint?
DOSSIER SOLUTIONS Information Lifecycle Control for Sharepoint Comment contrôler de manière exhaustive le contenu sensible dans Microsoft SharePoint? agility made possible CA Information Lifecycle Control Plus en détail L outillage du Plan de Continuité d Activité, de sa conception à sa mise en œuvre en situation de crise
Auteur : Robert BERGERON Consultant en Sécurité des Systèmes d Information et Management de la Continuité d Activité Quel outil pour le PCA? de sa conception à sa mise en œuvre en situation de crise Introduction Plus en détail POLITIQUE DE GESTION DES DOCUMENTS ADMINISTRATIFS
POLITIQUE N o 11 POLITIQUE DE GESTION DES DOCUMENTS ADMINISTRATIFS Adoptée le 14 juin 2005 cegepdrummond.ca Adoptée au conseil d administration : 14 juin 2005 (CA-05-06-14-19) Cégep de Drummondville 960, Plus en détail Conditions d'utilisation de la plateforme Défi papiers
Conditions d'utilisation de la plateforme Défi papiers Préambule : La lecture et l acceptation des présentes conditions d utilisation, ci-après les «Conditions d Utilisation», sont requises avant toute Plus en détail Table de matières : 3. ACCES AU SITE ET MODALITE DE COMMANDE 4. COUVERTURE GEOGRAPHIQUE DE L OFFRE 1. IDENTITE DE LA SOCIETE DECORDECO
Conditions générales des ventes - 2013/2014 Table de matières : 1. IDENTITE DE LA SOCIETE DECORDECO... P2 2. OBJET... P2 3. ACCES AU SITE ET MODALITE DE COMMANDE... P3 4. COUVERTURE GEOGRAPHIQUE DE L OFFRE... Plus en détail FAIRE FACE A UN SINISTRE INFORMATIQUE
FAIRE FACE A UN SINISTRE INFORMATIQUE Lorraine Protéger son système d information 1 avec des solutions techniques ne suffit pas toujours pour faire face à un sinistre. En cas de perte, de vol ou de dégradation Plus en détail Chapitre 1 : Introduction aux bases de données
Chapitre 1 : Introduction aux bases de données Les Bases de Données occupent aujourd'hui une place de plus en plus importante dans les systèmes informatiques. Les Systèmes de Gestion de Bases de Données Plus en détail CONDITIONS PARTICULIERES
CONDITIONS PARTICULIERES HEBERGEMENT/CLOUD/SAAS GROUPE Com6 2015 Article 1. Préambule 1. Le client souhaite bénéficier d une prestation d hébergement. 2. Le client déclare avoir adhéré sans réserve aux Plus en détail Guide d accompagnement à l intention des entreprises désirant obtenir ou renouveler une autorisation pour contracter/souscontracter avec un organisme
Guide d accompagnement à l intention des entreprises désirant obtenir ou renouveler une autorisation pour contracter/souscontracter avec un organisme public Juin 2015 1 INTRODUCTION... 4 À QUI S ADRESSE Plus en détail LA SECURITE DU PATRIMOINE NUMERIQUE, UN ENJEU STRATEGIQUE. DBB Groupe ICT
LA SECURITE DU PATRIMOINE NUMERIQUE, DBB Groupe ICT Plan LA SECURITE DU PATRIMOINE NUMERIQUE, Le Patrimoine informationnel Menaces & Conséquences Responsabilité du Chef d Entreprise Comment répondre aux Plus en détail CONDITIONS PARTICULIERES DE VENTE EN LIGNE DE TITRES DE TRANSPORT SUR REMONTEES MECANIQUES
DJ/STB/819.14- version oct 2014- CONDITIONS PARTICULIERES DE VENTE EN LIGNE DE TITRES DE TRANSPORT SUR REMONTEES MECANIQUES SOCIETE MERIBEL ALPINA SAS au capital de 3 287 169, 01 RCS de Chambéry n 075 Plus en détail C ) Détail volets A, B, C, D et E. Hypothèses (facteurs externes au projet) Sources de vérification. Actions Objectifs Méthode, résultats
C ) Détail volets A, B, C, D et E Actions Objectifs Méthode, résultats VOLET A : JUMELAGE DE 18 MOIS Rapports d avancement du projet. Réorganisation de l administration fiscale Rapports des voyages d étude. Plus en détail Continuité. Management de la. d activité. Assurer la pérennité de l, entreprise : planification, choix techniques et mise en œuvre 2 e édition
E M M A N U E L Préface de Dominique Guinet B E S L U A U Management de la Continuité d activité Assurer la pérennité de l, entreprise : planification, choix techniques et mise en œuvre 2 e édition Groupe Plus en détail POLITIQUE DE GESTION ET DE CONSERVATION DES DOCUMENTS (Adoptée le 12 juin 2013)
POLITIQUE DE GESTION ET DE CONSERVATION DES DOCUMENTS (Adoptée le 12 juin 2013) Le générique masculin est utilisé sans discrimination uniquement dans le but d alléger le texte. 1. OBJECTIFS Gérer efficacement Plus en détail Charte informatique. Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités.
Charte informatique Ce document n est qu un exemple. Il doit être adapté à chaque entreprise selon ses moyens et ses nécessités. Préambule L'entreprise < NOM > met en œuvre un système d'information et Plus en détail 2017 © DocPlayer.fr Politique de confidentialité | Conditions de service | Feed-back