Récuperation de données: les bonne pratiques

Depuis quelques temps, la récuperation de données est devenue une activité à la mode. Beaucoup d'informaticiens professionnels et de sociétés de service rajoutent ce type de prestation à leur offre courante.

Les enjeux de ce type d'intervention sont nombreux : optimisation des chances de récupération, compétence des opérateurs, issue de la prestation, confidentialité... bref il est facile de mal s'y prendre et de se retrouver dans des situations délicates.

Il existe un document de bonnes pratiques qui peut servir de réference afin de juger de la qualité d'une prestation dans le domaine. Il est récupérable ici.

Les thèmes abordés en 3 pages sont les suivants:

- établissement du devis

- niveau d'intervention (recuperation simple, recuperation intrusive,...)

- engagement contractuel

- protection des données et supports

- transport

- compétence des opérateurs

- issue de la prestation (destruction des copies, restitution des supports)

Une réference précise et concise à garder sous le coude.

Sécurité : une définition

"Sécurité : processus permanent de maintien des risques perçus à un niveau acceptable."

Cette définition simple résume en quelques mots toute la richesse du concept de sécurité de l'information. Elle est elle-même composée de 2 élements fondamentaux :

- "processus permanent de maintien:

cela sous-entend une action continue et sans fin.
La notion d'action continue dans le but d'améliorer sans cesse les procédés est au coeur de tout SMSI (Systèmes de Management de la Sécurité de l'Information).
Cette notion est modélisée par la roue de Deming qui illustre le processus infini consistant à identifier, mettre en place des mesures, surveiller leurs effets et corriger les écarts.

- "risques perçus à un niveau acceptable" :

cela sous-entend que la plupart des risques auxquels l'organisation est soumise ont été préalablement caractérisés et traités par les décideurs en fonction des orientations et objectifs métiers et stratégiques.
Cette notion se retrouve complétement dans les méthodes d'analyse de risques de type ISO27005.

Que peut-on déduire de tout cela ?

* Si aucun processus de maintien n'existe et que l'on se contente de prendre des mesures sans PDCA ("les bonnes pratiques") on ne peut pas maintenir les risques à un niveau acceptable.

* Si certains risques ont mal été perçus voire oubliés, le processus de maintien est partiellement inefficace puisque ignorant.

* Si le niveau d'acceptabilité est mal choisi, certains risques seront sous/sur estimés et des mesures inadaptées (trop couteuses, peu robustes) seront prises.

Pour garantir la sécurité, les composantes "gestion des risques" et "processus de maintien" sont indispensables.

La phrase du jour

“Seul un ordinateur éteint, enfermé dans un coffre-fort et enterré six pieds sous terre dans un endroit tenu secret peut être considéré comme sécurisé, et encore.“ Bruce Schneier, expert sécurité

Objectif 2011 : CISSP

Je m'intéresse à la sécurité des systèmes d'information depuis plusieurs mois maintenant. Le sujet est aussi vaste que prenant. J'ai accumulé pas mal de connaissances théoriques et j'aimerai valider tout cela avec une certification. Je me suis fixé comme objectif de passer le CISSP avant fin 2011. Ce blog va me permettre de me préparer et de suivre ma progression. En plus il y a peu de références online en français concernant cette certif'. Si ce weblog peut apporter quelque chose à d'autres, ce sera tant mieux.

"Même le plus long des chemins commence par un simple pas." (Lao Tzu)