Présentation des FRAP

Ce document est issu d’un rapport authentique et permet d’avoir une première approche, certes incomplète, mais suffisante de ce type de document.

Afin de préserver l’anonymat de la société réelle, tous les noms et toutes les références ont été volontairement modifiés.

Entreprise

L’entreprise Dombard Frères, spécialiste du mobilier en bois traditionnel, est implanté dans la région depuis 1949 et réalise 90% de son chiffre d’affaires auprès des grands réseaux de vendeurs de meubles (Atlas, But, Conforama, etc.). Elle s’appuie pour se faire sur un réseau de commerciaux placés dans 4 régions : Nord, Paris, Sud-Ouest et Sud-Est.

Présentation des FRAP

Présentation des FRAP

Seules 3 feuilles de révélation et d’analyse des problèmes sont ici présentées. Il existe dans le cas de cette entreprise une vingtaine de problèmes recensés.

Il existe 15 feuilles FRAP dont le contenu a été mis dans le rapport final. Pour parvenir à ces 15 feuilles, on a procédé ainsi :

Un dossier avec pour chacun des 34 problèmes constatés sur le terrain a été fait avec par problèmes les informations suivantes :

• N° d’ordre

• Problème (texte détaillé)

• Type (panne, incident, dysfonction, omission, bug, risque, …)

• Conséquences / Risques (texte détaillé)

• Thème (thème de référence)

• Cause (origine et cause du problème)

• Preuves (texte expliquant comment a été trouvé le problème)

• Acteurs (concernés par le problème ou ses conséquences)

• Seuil confiance (4 seuils 25-50-75 et 100%, les points en dessous de

75% ont été revus et – sauf pour 3 – ont été réétudiés et ont eu un seuil réévalué après recherches de meilleures preuves et définitions)

• Importance : SETA [stratégique, économique, technique ou autre],

importance des risques et conséquences

• Dépendance (n° des problèmes liés)

• Préconisation (texte détaillant une ou plusieurs préconisations).

Les thèmes retenus ont été :

• Sécurité des données (confidentialité et pérennité)

• Sécurité des accès internes (logiques)

• Sécurité des accès externes (accès internes, transfert vers la banques, messagerie)

• Sécurité technique (matériel réseau, ordinateurs, accès aux

périphériques)

• Sécurité logiciels (conformité, adéquation, légalité, etc.)

• Sécurité humaine (compétences et savoir-faire informatique

principalement)

FRAP et Rapport

Audit de la sécurité du réseau informatique interne.

Fiche n° 1 – Sécurité générale de domaine NT

Concerne : Toute l’entreprise – tout le réseau

Problème

Le réseau NT ne dispose d'aucun domaine et n'est qu'organisé en Workgroup, sans accès protégés

Constats

L'analyse des divers postes fait apparaître les éléments suivants :

• pas de référence à un domaine NT

• pas d'ouvertures de sessions NT

• pas d'accès à un poste par un mot de passe (sauf poste PC7 - comptable)

• pas de définitions de droits d'accès utilisateurs sur les postes

Causes - Origines

Le système n'a pas été étudié ni mis en place comme un réel réseau NT, les

personnes ayant installé le dit réseau sont parties du principe que NT

s'autoprotégeait. Et que la définition d'un Workgroup était suffisante vu la petite taille de l'entreprise

Il semble, mais ceci n'a pu être prouvé du fait de l'arrêt des relations avec le

prestataire, que la société ayant installé le système n'avait pas les compétences NT,ni l'organisation d'un réseau Ethernet (erreurs nombreuses dans les adressages IP -voir fiche n° 12)

Conséquences

Le système actuel ne dispose d'aucune protection des accès. Il est actuellement

possible à n'importe quelle personne pouvant physiquement s'approcher d'une

machine d'accéder aux fichiers de celles-ci, voire plus.

Le système actuel ne dispose d'aucune séparation des accès. De ce fait, lors d'une connexion Internet, il est possible d'avoir accès à l'ensemble du réseau depuis l'extérieur en cas d'attaque.

Risques : Economiques et Techniques

Les risques potentiels sont ceux classiques liés à ce type de non-sécurité :

- perte ou vol de données confidentielles ou sensibles au sein de l'entreprise ou par un tiers non autorisé.

Les risques ne sont pas chiffrables directement, mais l'actuel problème de l'entreprise sur les conflits de vols de savoir-faire par l'un de ses concurrents donne déjà l'indication des conséquences.

Recommandations

La mise en place d'un réseau NT réel avec domaine est indispensable, il n'est pas possible malgré tout de réaliser cela sans un arrêt complet de tout

...