Aller au contenu principal

Le RSSI et la sécurité du SI

  • Rôle et missions du RSSI

    Le RSSI a la charge des aspects sécurité liés à l'informatique mais aussi à l'information au sens large.

    La sécurité du Système d'information repose sur plusieurs critères relatifs aux données : 1. confidentialité / 2. intégrité / 3.disponibilité / 4.traçabilité

    Le RSSI joue un rôle de conseil au niveau de l'étude de dossiers nouveaux : applications, mode de stockage d'informations, utilisation réseau, BYOD (bring your own device). L'utilisation d'ordinateurs portables et de smartphones a un impact sur la sécurité du SI (sécurité des données et du réseau).

    Le RSSI s'assure de la formation et de la diffusion de l'information sur les usages du SI. Il sensibilise les utilisateurs aux aspects liés à la sécurité.

    Le RSSI pilote l'élaboration de la PSSI (politique SSI) propre à l'établissement.

    La nomination d'un RSSI est obligatoire dans chaque établissement. La loi définit précisément le fonctionnement et la mise en oeuvre de la SSI: structures hiérarchiques, relations entre les acteurs, modalités d'action et de réaction.

  • L'organisation de la sécurité du SI

    Le schéma ci-dessous décrit le rôle des services du Premier ministre dans la définition et la coordination de la SSI.

    La sécurité du système d'information implique un ensemble d'acteurs dans une chaîne montante et descendante: relai d'informations, veille technologique et juridique, alertes.

    Cette chaîne comporte de nombreuses interactions avec le ministère de tutelle et les différents services de l'Etat: UCLAT (unité de coordination de la luttre antiterrorisme), Procureur de la République, services de police et de gendarmerie, CERT RENATER, CERT-A... Les CERT (computer emergency response team) sont des services de réponse rapide aux questions relatives au réseau et à l'administration de système. Ils ont un rôle de veille continue, d'observation et de détection.

    Acteurs de la chaîne SSI [Description]

    Les acteurs de la  de la chaîne SSI

    • Premier ministre
    • Les ministres et ministres délégués
    • Haut Fonctionnaire Défense Sécurité Adjoint (HFDS)
    • Fonctionnaire Sécurité Systèmes d'Information (FSSI)
    • Autorité Qualifiée Sécurité Sécurité Systèmes d'Information (AQSSI)
    • Président de l'Université
    • Fonctionnaire Sécurité Défense (FSD)
    • Responsable Sécurité Systèmes d'Information (RSSI)
  • La chaîne SSI au sein de l'Université

    Les acteurs de la sécurité du système d'information au sein d'AMU sont: le Président, le FSD (fonctionnaire sécurité défense), le RSSI, la DOSI, le CIL (correspondant informatique et libertés) et les correspondants SSI par structure.

    La chaîne de la SSI regroupe un ensemble de personnes mobilisées et informées; elle se décline en trois réseaux:

    • Une chaîne fonctionnelle assez vaste qui permet de transmettre et de recevoir de l'information;
    • Une chaîne opérationnelle composée d'agents ayant des compétences techniques, qui permet une mise en oeuvre active - par exemple, des mises à jour majeures à effectuer sur les postes;
    • Une chaîne d'alerte plus restreinte, apte à intervenir en cas de crise - par exemple, en cas de piratage d'un serveur, arrêt du serveur et anticipation de l'impact de l'arrêt.

    Au sein de la DOSI, le pôle réseau est particulièrement impliqué dans le processus de veille.

  • Réception de mails frauduleux (phishing)

    Le phishing est une technique qui consiste à envoyer un courriel à des destinataires choisis soit aléatoirement, soit par piratage d'un annuaire.

    Ce courriel demande des informations particulières à l'utilisateur, typiquement un login, un mot de passe et des coordonnées bancaires (pour "mettre à jour votre compte" ou "obtenir un remboursement"). Ce courriel a toutes les apparences d'un courriel officiel (logos...)

    Un lien et/ou des images figurent dans le mail frauduleux, et renvoient vers un site copiant un site officiel.

    Le simple fait de cliquer sur le lien ou les images peut permettre d'identifier l'ordinateur et de le pirater par la suite. Si l'utilisateur fournit des informations sur le site, il encourt le risque que ces informations soient utilisées à ses dépends: piratage de son compte mail, de ses contacts, transmission d'informations repérées sur sa machine...

    Les services d'AMU ne doivent jamais demander de fournir des identifiants par mail. Si nécessaire, il vous sera demandé de vous présenter physiquement dans les locaux de campus de la DOSI ou de transmettre des documents par courrier interne.

    • Pourquoi reçoit-on ce type de courriels ?

    Il est très délicat de filtrer tous les messages sans prendre le risque de filtrer des messages professionnels. Et il faut savoir que si le phishing perdure, c'est parce que cela marche ! Il existe un taux de réponse minimal qui rend l'opération rentable.

    • Comment peut-on se prémunir ?

    C'est très difficile, mais en aucun cas vous ne devez cliquer sur un lien ou fournir des informations.

    • J'ai transmis des informations par erreur, que faire ?

    Il faut modifier immédiatement votre mot de passe dans l'application Sesame accessible à partir de la page d'accueil de l'ENT. La DOSI peut vous apporter une assistance si nécessaire.

  • Téléchargements et usage du réseau

    La lecture en streaming et le téléchargement illégal de vidéos et de musiques sont interdits sur le réseau de l'université. Tout utilisateur contrevenant peut être identifié et encourt le risque de voir ses coordonnées transmises aux autorités compétentes.

    Les personnels de l'université qui utiliserait le réseau professionnel pour lire ou télécharger ce type de contenus sont passibles de sanctions.

    L'accès au réseau du service ou de la structure à laquelle appartient l'utilisateur peut également être interrompu s'il y a un risque pour la sécurité du système d'information.

    Ce type d'incident est très rare, mais pas inexistant. Le rôle du RSSI n'est pas de freiner les évolutions de la technique et des usages, mais de les accompagner par une formation et une sensibilisation des étuditants et des agents, qui sont tous acteurs de la sécurité de l'établissement.