En Tunisie, comme ailleurs dans le monde, il est très difficile d'estimer et d'identifier le nombre d'entreprises piratées. Il est encore plus difficile d'estimer les coûts directs et indirects de ces actes malveillants. Plusieurs organisations sur le terrain ont publié une alerte pour avertir qu'une grande majorité des entreprises n'ont pas de plan d'urgence et qu'en cas d'incident, un grand nombre d'entreprises ne seraient pas en mesure de récupérer ses données ou de poursuivre son activité. Cela signifie que, dans ce cas, ils ne sont pas en mesure de récupérer leurs données rapidement afin de continuer leur activité normale. Il est facile d'imaginer les conséquences dramatiques que cela implique à la fois financièrement et humainement.
Une étude aux États-Unis montre qu'en un an (1999 à 2000), le coût du piratage est passé de 265 millions de dollars à 378 millions de dollars (Sécurité informatique & Source du FBI), Une augmentation de 42%. Pire encore, selon une étude de Deloitte, plus de 83% des systèmes informatiques des institutions financières ont connu des problèmes de sécurité en 2004. Un phénomène alarmant en pleine croissance, le même sondage a révélé «seulement» 39% des systèmes vulnérables en 2003.
"Les virus, les vers, les programmes malveillants, le sabotage et le vol d'identité sont tous des moyens d'attaquer les systèmes cibles", a déclaré Ted DeZabala, un porte-parole de Deloitte & Touche. Parmi les révélations de cette enquête, citons les attaques menées à l'extérieur et à l'intérieur de l'entreprise...
Pourtant, il est vraiment possible de réduire de manière significative ces risques en poursuivant une politique de sécurité efficace à un coût raisonnable. Le premier réflexe à avoir est de poser la question de l'inventaire: «Qu'en est-il de mon système d'information? Les moyens nécessaires à sa protection et à son intégrité ont-ils été mis en œuvre?
Pour répondre à ces questions, il faut commencer par prendre une photo à la fois T du périmètre à évaluer. Cette «photographie» est une vérification. Il existe plusieurs catégories d'audits qui peuvent être implémentées dans une entreprise :
Audit Boîte Blanche
Audit de sécurité avec information fournie par le client. Vision totalement transparente de la sécurité technique et organisationnelle en place. Très utile avant le lancement d'un site web ou d'une nouvelle architecture réseau.
- Le client fournit à notre équipe tous les documents de la cible (pages sources, plan d'architecture, documents organisationnels...)
- L'équipe vérifie, étudie, teste et valide la cible avec accès complet aux informations
- Un rapport détaillé est rédigé par INTELLIGENT SECURITY IT mettant en évidence les faiblesses identifiées
- Recommandations hiérarchiques pour sécuriser le Syst��me d'Information
- Réunion post-audit dans vos locaux pour échanger avec les équipes techniques
Audit Boîte Noire
Vérification aveugle sans information fournie par le client. Permet de valider un site web déjà en place et d'obtenir une vue complète de la sécurité technique.
- Le client met à disposition une connexion sur son réseau
- Aucune autre information n'est fournie par le client
- L'équipe connecte une machine au réseau et teste les vulnérabilités
- Rapport détaillé des forces et faiblesses du système d'information
- Recommandations hiérarchiques pour sécuriser le système
Audit Intrusif
Valide le niveau d'imperméabilité à toute intrusion du réseau d'entreprise. Peut être conduit depuis l'extérieur ou depuis un point spécifique du réseau interne.
- Aucune information préalable fournie par le client
- Vérification depuis l'extérieur ou depuis un point spécifique du réseau
- Tentative de pénétration dans le système d'information client
- Preuves documentées des intrusions réussies (fichiers témoins)
- Rapport complet des forces et faiblesses identifiées
- Recommandations de sécurisation prioritaires
Audit de Vulnérabilités
Analyse systématique des vulnérabilités existantes dans votre infrastructure réseau et vos systèmes.
- Analyse des systèmes d'exploitation (Windows, Linux, Unix...)
- Identification des failles dans les applications et logiciels installés
- Vérification des configurations des postes de travail et serveurs
- Analyse des vulnérabilités réseau et des services exposés
Audit de Code
Valide la sécurité d'un programme en analysant son code source. Confirme la sécurité de tout programme écrit dans différents langages.
- Le client fournit les codes sources du site ou de l'application à analyser
- L'équipe INTELLIGENT SECURITY IT teste et valide le code fourni
- Rapport détaillé des points forts et faiblesses des codes analysés
- Recommandations hiérarchiques pour s��curiser les codes vérifiés
- Réunion post-audit avec les équipes de développement
Audit Organisationnel
Prend en compte la sécurité globale dans l'entreprise. Permet d'évaluer tous les aspects de la sécurité informatique, au-delà du technique.
- Évaluation générale de la sécurité
- Appréciation de la sécurité physique
- Évaluation de la sécurité organisationnelle
- Évaluation des études et des réalisations
- Évaluation de la production et des opérations
- Évaluation logique et télécom
- Rapport détaillé des forces et faiblesses par catégorie
- Recommandations hiérarchiques personnalisées