Contenus à propos de Sécurité de l'information.

On a tous joué au moins une fois à « Qui est-ce ? », ce jeu de société qui consiste à trouver un personnage avant l’adversaire en posant des questions qui éliminent le maximum de possibilités : est-ce un homme, a-t-il une barbe, etc. Sachez qu’avec juste le sexe, le code postal et la date de naissan...

Un consultant m'a récemment proposé, pour la mise en conformité ISO 27001 d'un établissement de santé, trente jours d'ateliers EBIOS RM avec les métiers. Trente jours, tarif journalier à l'avenant, plus le déplacement du consultant en cabriolet façon jet-set du conseil. Sympa. Sauf qu'à aucun endroi...

En général, quand on entame une démarche 27001, on trouve sans peine dans le cartable du consultant encravaté (ou sur le Web, ou chez les copains, c'est selon) des kits prêts à l'emploi pour cocher certaines cases de la norme dont on ne voit que peu l'intérêt, au moins lors d'un premier round.

Après avoir expliqué qu’une PSSI et une appréciation des risques ne servaient à rien (ici 1) -mais un peu quand même -, intéressons-nous à un autre sujet brûlant qui déchaîne les passions, pire que JR (2) et la fin du Prisonnier (3) : la quantification du risque.

La question posée telle qu’elle paraît étrange : une faille de sécurité, on doit la corriger, point barre. Non ? En fait, ce n’est pas si simple, et comme d’habitude, il faut tourner autour de la question avec des approches hétérogènes pour mieux l’appréhender.

Care Domaine 2 exige, entre autres, une PSSI pour le GHT qui candidate. Cela peut paraître simple, mais en fait cette exigence amène des questions et des réponses, surtout plus de questions que de réponses. Pour en avoir discuté avec pas mal de confrères ces derniers temps, force est de constater qu...