Analyse des risques - Links Capital

Thèmes abordés

Links Capital, analyse des risques, sécurité de l'information, plan de traitement, données clients, propriété intellectuelle, hameçonnage

Résumé du document

Vous travaillez présentement comme analyste Sécurité de l'information au sein de la compagnie Links Capital.

Le travail consiste à :
- Effectuer une priorisation des risques identifiés et proposer un plan de traitement pour les 2 risques les plus importants de chaque actif ;
- Proposer des mesures correctives (ou contrôles) pour les 2 risques les plus importants de chaque actif ;
- Pour les mesures correctives identifiées, proposer des indicateurs permettant de s'assurer de leur efficacité dans le temps. Proposer un plan d'action de mise en oeuvre.

Extraits

[...] Employé corrompu - Développer la culture d'entreprise Investir dans une culture d'entreprise positive. Travailler au bien être des employés afin de développer un sentiment d'appartenance à l'entreprise - Surveillance des activités Mettre en place une surveillance des activités des employés, que ce soit sur les sites consulter, les accès aux données sensibles, ? Mesures correctives La plateforme en elle même Indisponibilité de la plateforme Réaliser des tests de performances réguliers afin de tester les montées de charge de la plateforme sur un serveur de test. [...]

[...] Cela pourrait se produire lors d'une présentation, un employé divulgue des informations à un public qui ne devrait pas être au courant de ladite information. Se basant sur une erreur humaine, cela peut se produire assez facilement. En revanche, si l'information reste en interne, cela ne devrait pas avoir de conséquences majeures. Développement non sécurisé des nouvelles fonctionnalités A cause d'un marché tendu et une envie de sortir une nouvelle fonctionnalité dans les plus brefs délais, l'entreprise pourrait s'exposer à une faille de sécurité. [...]

[...] Analyse des risques - Links Capital Introduction Au vue des questions préliminaires, nous avons besoins de plus amples scenarios pour continuer. Voici les scénarios que je vous propose, il se base en partie sur les menaces et vulnérabilités que vous avez mentionné dans les questions 1 à 3 La plateforme en elle-même Indisponibilité de la plateforme Ce scénario se base sur l'indisponibilité de la plateforme à cause d'un problème technique Cela entrainerait l'incapacité d'utiliser la plateforme pour les utilisateurs, suite à une attaque DDoS par exemple. [...]

[...] Ces contenus peuvent être inappropriés, illégaux ou nuisibles sur la plateforme. L'impact pourrait s'avérer important, car la présence de contenus inappropriés peut nuire à la réputation de l'entreprise. Critères Réputation Juridique Financier Qualité de service Humain Opération Environnement Coté d'impact Description Pondération 5 3 3 3 2 2 2 Indisponibilité de la plateforme 5 3 5 5 4 5 1 84 Très élevé Défaillance matérielle 3 2 4 4 2 3 2 59 Moyen Contenus inappropriés 4 4 3 2 3 2 2 61 Elevé Côte d'impact Description Probabilité Description Côte de gravité Indisponibilité de la plateforme 84 Très élevé 4 Elevée 336 Défaillance matérielle 59 Moyen 2 Basse 118 Contenus inappropriés 61 Elevé 4 Elevée 244 Informations clients Violation de données client due à une faille de sécurité A cause d'un manque de sécurité dans le stockage et la transmission des données clients, on pourrait s'exposer à des piratages ou vol d'informations sur les clients Les données clients ne représentent pas une information prisée des hackeurs mais cela pourrait porter un lourd préjudice à l'entreprise, aussi bien d'un côté réputation que juridique. [...]

[...] Il faudra alors suivre le pourcentage de contenu banni parmi tous ceux présents sur le dictionnaire. Informations clients Hameçonnage On peut identifier ici deux indicateurs clefs, le premier au travers des formations en continue, on mesurera le nombre d'employé qui ont suivi la formation (et potentiellement les résultats si on met un test à la fin de la formation) Dans un second temps, on pourra mesurer le nombre d'employés qui seront tombés dans le piège des faux mail d'hameçonnage, ce nombre devra décroitre avec le temps Violation de données client Les bugs bounty peuvent être un très bon indicateur, cela permet de suivre au fil des déploiements le nombre de bug découverts après coup. [...]