La méthode MARION et la sécurité informatique

Thèmes abordés

Méthode MARION, sécurité informatique, schéma directeur sécurité des systèmes d'informatique, SDSSI

Résumé du document

La méthode MARION, principale référence européenne, a été mise au point par l'Assemblée Plénière des Sociétés d'Assurances-Dommages (APSAD). Elle a eu le mérite de promouvoir la sécurité informatique lors de ses débuts. En voici les différentes étapes.

Extraits

[...] Elle a eu le mérite de promouvoir la sécurité informatique lors de ses débuts. En voici les différentes étapes. L'analyse des risques majeurs Cette étape permet de déterminer exhaustivement et quantitativement les scénarios de risques majeurs encourus par l'entreprise. La méthode permet de cerner le champ concerné, de découper le système d'information en fonctions (et en applications et données stratégiques) qui seront analysées dans le cadre de groupes fonctionnels (informaticiens + utilisateurs) en utilisant des dossiers experts de préparation de scénarios Les scénarios sont détaillés dans leurs aspects techniques et fonctionnels, puis hiérarchisés à partir d'une convention de mesure des conséquences. [...]

[...] Doivent être construite en complément la solution assurance et établis les budgets et le planning par année, par responsabilité, par mesure ainsi que le bilan (coût/abaissement des risques majeurs et courants). Doivent être précisées également la structure et l'organisation nécessaires à l'application, au suivi et à la révision ultérieure du SDSSI. Doit enfin être rédigé le SDSSI sous sa forme normative (note de synthèse, rapport de synthèse, annexe confidentielle des scénarios, annexe confidentielle de l'audit et des justificatifs, annexe confidentielle des solutions détaillées). [...]

[...] L'évaluation des contraintes Cette étape introduit la notion importante de contrainte d'équilibrage prévention/protection qui permet de préciser la part minimale du budget à allouer à la prévention afin de minimiser le coût annuel des sinistres informatiques potentiels. C'est le point de jonction et de cohérence de la voie d'approche globale des risques majeurs et et de la voie d'approche globale des risques courants On recense également les contraintes générales (techniques, procédurales, budgétaires, structurelles, humaines, etc.). Le choix des moyens Cette étape liste les moyens à mettre en œuvre ou à améliorer, l'ordre logique dans lequel on doit intervenir (priorité), le degré d'amélioration nécessaire pour chaque moyen sélectionné ainsi que l'ordre de grandeur du coût correspondant. [...]

[...] L'analyse des moyens de la sécurité Cette étape est fondée sur un audit (assorti d'une analyse approfondie et d'un débat contradictoire des justificatifs) qui permet d'inventorier et de qualifier de manière cohérente et exhaustive les moyens de la sécurité (organisation générale et contrôles hors informatique, facteurs socio-économiques, sécurité physique et organisation de l'informatique, sécurité des matériels et logiciels de base, sécurité de l'exploitation, sécurité des applications informatiques). Cette photographie objective de la situation du risque se traduit en pratique par des représentations graphiques. [...]