|
Analyse par les processus |
|
|
|
|
05-10-2005 |
La mise en place d'un Système de Gestion de la Sécurité de
l'Information nécessite une bonne connaissance des enjeux métier de
l'entreprise ou de l'organisme ciblé.
La définition des domaines
d'activité, notamment, sera facilitée par une analyse systèmique
du fonctionnement de l'entreprise ou de l'organisme.
Ce modèle très classique
met en évidence la chaine de valeur de l'entreprise et fait la
part entre les domaines spécialisés (coeur du métier) et les domaines
tranverses (support des métiers). Pour aller plus loin : Modélisation des processus, point sur l'état de l'art par Antoine Lonjon de Mega sur JDNet
L'approche par les processus va permettre de déterminer les processus candidats à l'analyse des enjeux et les flux interprocessus impliqués.
Avant de procéder à une analyse des enjeux, il convient, à partir de l'analyse des processus, de définir le périmètre couvert par le projet SMSI et d'opérer un découpage tenant compte des aspects géographiques et organisationnels. L'analyse des enjeux va permettre, à partir de cette cartographie, de déterminer les processus critiques et d'en déduire
les composants (ou actifs) sensibles impliqués.
|
Le projet : permet de structurer le SMSI en
Multi-projet.
Cette dimension apportera la souplesse
dans le découpage pour en faire un outil
multi-entreprise ou multi-projet à l'intérieur d'une
entreprise.
L'Organisation : est celle sur laquelle
se focus le SMSI. Ce peut être une entrepise ou un organisme
voire une association.
L'Etablissement : ou subdivision
souhaitée en site.
Le domaine : c'est l'ensemble sur lequel portera
l'étude de sécurité.chaque domaine met en oeuvre
des processus
La démarche employée
s'appuiera sur la détection des processus dits « sensibles »
et seulement eux.
Les processus mettent en oeuvre des
ressources ou actifs
La démarche cherchera à
« classifier » les ressources notamment en
fonction du critère de Confidentialité, Disponibilité,
Intégrité et d' »Auditabilité »
c'est à dire le pouvoir de preuve attaché aux
ressources.
|
 |
|
|
Dernière mise à jour : ( 27-10-2008 )
|
Risk Management 
