Aspects organisationnels et physiques de la sécurité - Département ...

denis.mangin@francetelecom.com
France Télécom - Secrétariat Général 02/03/2005 1

Plan de de la présentation
1) Politique de sûreté de l’entreprise
2) Gestion du risque
3) Analyse de risques
4) Mise en sûreté d’un immeuble
5) Programme stratégique
6) Un risque émergent : la Fraude
France Télécom - Secrétariat Général 02/03/2005 2

Politique de sûreté de
l’entreprise
France Télécom - Secrétariat Général 02/03/2005 3

L’entreprise et les risques de malveillance
La protection des biens au centre des préoccupations .
Le sentiment d’insécurité exacerbe la préoccupation sécurité.
Quelques exemples des menaces :
- Pillage ou piratage de données informatiques, intrusions ou ingérences, virus
informatiques,
- Déstabilisation de l’entreprise par la rumeur ou la désinformation ,
- Vengeance d’un cadre, d’un salarié licencié ou débauché,
- Vols,
- Vandalisme, dégradations et destructions volontaires…
Une crise résultant d’un acte de malveillance majeur ou d’un risque accidentel peut
être fatale à la survie d’une entreprise.
France Télécom - Secrétariat Général 02/03/2005 4

Politique de sûreté (Parlons le même langage)
Définitions CNPP (Centre National de Prévention et de Protection)
La sécurité :
Au sens large : englobe la sécurité des personnes et des biens , les risques
d’incendie comme de malveillance.
Employé seul : concerne les mesures de prévention et de réaction pour
faire face à une situation d’exposition résultant de risques accidentels
qu’ils soient le fait de l’homme de la nature ou de la machine.
La sûreté :
Ce terme regroupe toutes les mesures visant à réduire une situation
d’exposition résultant de menace ou d’action malveillante
France Télécom - Secrétariat Général 02/03/2005 5

Politique de sûreté (La prévention des risques de
malveillance
La sécurité vue par le législateur vise à assurer la protection des
personnes (travailleurs, clients, visiteurs…) et de l’environnement face aux
risques physiques ;
Le domaine réglementaire :
CT, CCH
les règlements de sécurité des ERP - IGH
la réglementation relative aux ICPE
LE LEGISLATEUR IMPOSE ET CONTRÔLE L’ENSEMBLE DES MESURES,
L’ENTREPRISE OBTEMPERE ET MET EN OEUVRE.
France Télécom - Secrétariat Général 02/03/2005 6

Politique de sûreté (La prévention des risques de
malveillance)
La sûreté vue par l’entreprise et les assureurs vise à assurer la
protection de l’outils de travail.
L’Entreprise, met en place son propre système de management de la
sûreté en s’inspirant des règles et normes existantes (APSAD, ISO…) afin
d’assurer la protection de :
- son patrimoine,
- ses outils de production,
- son image de marque,
C’EST L’ENTREPRISE QUI DECIDE DE SON NIVEAU DE SÛRETE
Les assureurs incitent contraignent !!! l’entreprise à mettre en place ces
mesures de protection (primes)
France Télécom - Secrétariat Général 02/03/2005 7

Politique de sûreté (Généralités)
La gestion de la sûreté d’un organisme est liée :
- à son activité, à sa structure organisationnelle et dépend de sa stratégie.
Il existe donc autant de politiques de sûreté que d’entreprises.
Le Groupe a procédé à :
- une évaluation des risques de l’établissement (la cartographie des risques),
- la mise en place d’une structure de pilotage (Ex : la Direction de la sécurité de
l’information (DSEC).
- la rédaction d’une note stratégique (Ex : Politique de Sécurité de l’Information Groupe
« PSIG »),
L’objectif à atteindre étant une appropriation des grands principes décrits dans la
note stratégique par les différentes entités (DR,DIV,Métiers…) « Politiques
Sectorielles métiers ».
France Télécom - Secrétariat Général 02/03/2005 8

Politique de sûreté (Note stratégique)
Signée par le président, elle fixe les principes de sécurité et de sûreté liés aux
biens physiques afin de :
Garantir qu’aucun préjudice ne puisse mettre en péril la pérennité de
l’entreprise.
Cela consiste à :
- diminuer la probabilité d’occurrence de voir une menace se concrétiser,
- limiter les atteintes ou dysfonctionnements induits,
- autoriser le retour à un fonctionnement normal, à des coûts et des délais acceptables en
cas de sinistre.
La sécurité/sûreté doit être considérée comme un facteur de différentiation,
voire un avantage concurrentiel.
France Télécom - Secrétariat Général 02/03/2005 9

Politique de sûreté (Enjeux)
Répondre aux enjeux suivants :
- protéger le patrimoine physique, intellectuel et commercial notion rendue
incontournable depuis l’avènement de la concurrence totale,
- protéger les biens afin que l’entreprise assure auprès de ses clients les engagements
de continuité et de qualité de service,
- protéger les réseaux (systèmes de commutation, de transmission, de supervision, …),
- contribuer à la gestion de l’image de marque celle-ci peut-être affectée par une série
d'incidents (vol, effraction, pollutions…),
- rendre les locaux plus sûrs besoin essentiel de toute entreprise afin d'assurer la
protection des personnes (personnel, clients, prestataires, tiers).
France Télécom - Secrétariat Général 02/03/2005 10

Politique de sûreté (Déclinaison et Appropriation)
Le socle commun :
- décline le chapitre lié aux Principes de sécurité liés aux biens physiques de la note
stratégique sur la Politique de Sécurité de l’Entreprise, du Groupe…
- traite de la sûreté des bâtiments et des locaux,
- résulte d’un groupe de travail intégrant les acteurs de l’immobilier et des métiers,
- doit être validé par un panel représentatif de correspondants métiers (maison mère,
filiales…) et par les instances dirigeantes de l’entreprise,
- sert de référentiel de base à l’ensemble des entités du groupe (directions fonctionnelles
et directions métiers).
Chaque entité doit se l’approprier et le décliner en « Politique sectorielle » propre à ses
activités .
France Télécom - Secrétariat Général 02/03/2005 11

Gestion du Risque
France Télécom - Secrétariat Général 02/03/2005 12

Définition du risque
Le risque selon l’IFACI (Institut Français de l’Audit et du Contrôle
Interne)
« Un risque peut être défini comme le niveau d’incertitudes
qui pèsent sur l’entreprise. L’entreprise doit comprendre et
gérer ces incertitudes lors de la mise en œuvre de sa stratégie,
afin d’atteindre ses objectifs et créer de la valeur »
France Télécom - Secrétariat Général 02/03/2005 13

Risque ! Sécurité ! (Quelques vérités)
- Le risque zéro n’existe pas.
- La sécurité est l’affaire de tous.
- Trop de sécurité est aussi problématique que pas assez.
- La sécurité ne doit pas être un frein aux activités de l’entreprise.
- La sécurité doit être fonction des risques et proportionnelle aux enjeux.
- La sécurité n’est jamais acquise définitivement, elle vit au quotidien.
- La qualité des outils de sécurité dépend de la politique de sécurité qu’ils servent.
- Plus grande est la récompense, plus grand est le risque (notion d’attractibilité de
l’entreprise en tant que cible)
France Télécom - Secrétariat Général 02/03/2005 14

Gestion du Risque (Définitions)
« Gérer » est un verbe
« Gérer le risque » est un processus
France Télécom - Secrétariat Général 02/03/2005 15

Gestion du Risque (Généralités)
Le risque dépend des métiers de l’entreprise; créer un langage commun est donc
essentiel
Les entreprises sont différentes, leurs stratégies le sont également
Nécessité de prendre en compte les facteurs de risques au niveau global
Intégrer la notion de risque dans la gestion de chaque processus
Le risque management, c’est un processus
Chaque étape du processus compte autant que l’objectif final
France Télécom - Secrétariat Général 02/03/2005 16

Des risques omniprésents
Prise de décisions stratégiques
Systèmes de contrôle interne
Technologies de l’information
Relations avec les fournisseurs
Attitudes des salariés
Fidélité de la clientèle
Événements catastrophiques
Réglementation
Atteinte aux biens
Atteinte aux personnes
Dégradation de l’image
Espionnage industriel
France Télécom - Secrétariat Général 02/03/2005 17

Gestion du Risque (Risques et opportunités)
Innovation et
complexité
technologiques
Évolution constante
des concurrents
Impératif de
différenciation
Externalisation et
partenariat
Volatilité des
marchés
Complexification des
modèles et des solutions
Multiplication des
instruments financiers
Nouvelles réalités
internationales
Mondialisation
Prise en compte
des aspects sociaux et culturels
Médiatisation
des échecs
Accélération des
changements
Guerre des
talents
Réglementation
France Télécom - Secrétariat Général 02/03/2005 18

Gestion du Risque (Exemples de risques)
Détournements d ’actif
Pertes catastrophiques
Coûts écologiques
inacceptables
Physique
ENTREPRISE
Client
• Service médiocre au client
• Attentes déçues
• Défaut de qualité
• Pertes importantes de clients ou de
canaux de distribution
• Difficultés de fidélisation
• Canaux de distribution inefficaces
• Perte de marchés ou d’opportunités
Rendements médiocres
Sources insuffisantes de
emprunt/fonds propres
Pertes inacceptables
Liquidités insuffisantes
Emploi inefficace des fonds
Fraude
financement
Finances
• Stratégies floues ou dépassées
• Manque d’apprentissage collectif
• Processus inefficaces/improductifs
• Perte d’intégrité
• Promesses de la marque non tenues
• Interruption d’une activité
• Détérioration de l’image
• Fraudes
Personnel
• Expériences et compétences
insuffisantes
• Érosion du « capital intellectuel »
• Baisse du moral
• Grèves
• Détérioration des relations (fournisseurs
• Coûts et délais excessifs
• Incapacité à nouer des partenariats
• Vols et détournements
France Télécom - Secrétariat Général 02/03/2005 19
ef

Gestion du Risque (Genèse d’un sinistre)
Aboutissement d’un faisceau de facteurs convergents représentant des grandes catégories de
risques
Inobservation des règles
et règlements
Ignorance
Inconscience
Dysfonctionnement
technique
Sinistre
…
Élément inattendu
Concours de circonstances
Malveillance
France Télécom - Secrétariat Général 02/03/2005 20

Gestion du Risque (Conséquences d’un sinistre)
CONSEQUENCES DIRECTES
Pertes matérielles ou
immatérielles directes
Temps d’arrêt
Vol
Détournement
Espionnage
Mouvements Sociaux
Vandalisme
SINISTRE
CONSEQUENCES INDIRECTES
Pertes matérielles ou
immatérielles indirectes
& pertes corporelles
MENACES
Menace = probabilité de survenance d ’un sinistre
Statistiques/Probabilités
Contexte
Résultat d’évaluations ou d’enquêtes
ENTREPRISE
CONSEQUENCES INDUITES
Crise de trésorerie
Crise structurelle
Cessation d’activité
France Télécom - Secrétariat Général 02/03/2005 21

Analyse de risques
France Télécom - Secrétariat Général 02/03/2005 22

Analyse de risques (Généralités -1)
La prise en compte de la sûreté ,
- repose sur une approche globale des risques,
- s’insère dans le management de l’entreprise,
- repose sur analyse de risques structurée.
Le principe de base de toute prévention en matière de lutte contre les actes de
malveillance consiste à :
- analyser tous les scenarii vraisemblables.
- prendre les mesures nécessaires pour :
- dissuader le malveillant,
- détecter une intrusion le plus rapidement possible,
- déclencher éventuellement une intervention.
France Télécom - Secrétariat Général 02/03/2005 23

Analyse de risques (Généralités -2)
Inventaire des vulnérabilités qui pèsent sur l’entreprise ;
- Risque environnement : dossiers administratifs, pollutions, gestion des déchets, transports
de matières dangereuses, accidents, phénomènes naturels…;
- Risque sécurité : obligations réglementaires, facteurs potentiels d’accidents…;
- Risque sûreté : ensemble des événements intentionnels tels que terrorisme, espionnage
industriel, sabotage, vol…;
- Risque informatique et communication : atteinte aux équipements informatiques et de
transmission ou au patrimoine immatériel de l’organisme…;
- Risque lié à l’absence de formation à la Sécurité/Sûreté et à la gestion de crises : risques
engendrés par l’absence de sensibilisation, la méconnaissance de la réglementation…
France Télécom - Secrétariat Général 02/03/2005 24

Analyse de risques (Cartographie)
PROCESSUS
STRATEGIE
PRISE EN COMPTE DES
BESOINS DES UTILISATEURS
EVALUATION DU
DATE DE
RISQUE
REALISATION
PROBABLE DE
Réseaux
Superviser le trafic
Destruction accidentelle ou
L’ÉTUDE
malintentionnée d’un nœud
stratégique
Système d’Information
Sécurité Physique et
Protection logique des
Logique du SI
applications et des données.
Protection physique des
bâtiments USEI
Achats
Approvisionner et
Protection des terminaux en
Distribuer
stock. Attaques d’agences
France Télécom - Secrétariat Général 02/03/2005 25

Analyse de risques (Évaluation -1)
Éléments nécessaires à l’évaluation des risques de malveillance :
- Les menaces internes et externes,
- Les cibles potentielles,
- L’attractivité des produits, des informations, des savoir-faire,des équipements et outils
de travail,
- Les différents modes de fonctionnement de l’entreprise,
- La configuration des locaux, l’environnement immédiat du site…
- Le délai d’intervention de la société de télésécurité ou des personnels habilités…
Actions influant comme éléments de pondération :
- Actions de suppression du risque (notamment de la cible),
- Actions de prévention,
- Moyens de protection,
- Organisation de la sécurité au sein de l’entreprise…
France Télécom - Secrétariat Général 02/03/2005 26

Analyse de risques (Évaluation -2)
Dans la pratique, des questions simples, des réponses précises :
- Quelles sont les valeurs de l’entreprise ?
- Quel est leur niveau de sensibilité ou de criticité ?
- De qui, de quoi doit-on se protéger ?
- Quels sont les risques réellement encourus ?
- Ces risques sont-ils supportables ?
- Quel est le niveau actuel de sécurité de l’entreprise ?
- Quel est le niveau de sécurité que l’on désire atteindre ?
- Comment passer du niveau actuel au niveau désiré ?
- Quelles sont les contraintes effectives ?
- Quelles sont les ressources disponibles (humaines, financières, matérielles…) ?
France Télécom - Secrétariat Général 02/03/2005 27

Analyse de risques (Hiérarchisation -1)
L’IMPORTANCE DES RISQUES SE MESURE EN TERMES DE PROBALITE ET DE GRAVITE
Très Grave
Modéré
Risque Majeur
Gravité
Risque Mineur
Modéré
Peu Grave
Probabilité
Peu Probable
Très Probable
France Télécom - Secrétariat Général 02/03/2005 28

Analyse de risques (Hiérarchisation -2)
Poids du risque pour une menace donnée :
BRU
T
X
PONDER
E
RISQUE A
5
RISQUE B
5
RISQUE C
6
RISQUE D
7
5 4 3 2 1 1 2 3 4 5
GRAVITE
PROBABILITE
France Télécom - Secrétariat Général 02/03/2005 29

GRAVITE
Analyse de risques (Gravité, Probabilité et Facteur « temps »
)
variables
Forte
clés de la prise de décisions)
3
Événements
exceptionnels
4
Impératifs
stratégiques
Validité de toutes les
options; besoin d’une
bonne gestion à long terme
Validité de toutes les options, mais
la gestion du risque demeure limitée
Faible
1 Non
applicable
ou sans
importance
2
Problèmes
opérationnels
ou de
conformité
Application de contrôles
préventifs et de détection
Acceptable au niveau actuel,
Faible
PROBABILITE
Forte
mais à suivre à l’avenir
France Télécom - Secrétariat Général 02/03/2005 30

Analyse de risques (Gestion)
Éviter
Céder Interdire Arrêter
Cibler Sélectionner Supprimer
Conserver
Accepter Revaloriser
S'auto assurer
Compenser
Planifier
Réduire
Disperser
Contrôler
Transférer
Assurer Réassurer
Titriser
Partager
Se couvrir Indemniser
Externaliser
Exploiter
Affecter
Diversifier
Réorganiser
Valoriser
Accroître Créer Reconfigurer
Arbitrer Renégocier
Influencer
France Télécom - Secrétariat Général 02/03/2005 31

Mise en sûreté d’un immeuble
France Télécom - Secrétariat Général 02/03/2005 32

Mise en sûreté d’un immeuble (Généralités -1)
La protection des infrastructures se résume en cinq types d’actions génériques :
- Définir le périmètre de la vulnérabilité lié à l’usage (sensibilité des locaux, des
activités,…) « analyse de risques »;
- Offrir un niveau de protection adapté aux risques encourus par l’entreprise « analyse
coût/efficacité »;
- Mettre en œuvre et valider l’organisation, les mesures, les outils et les procédures de
sûreté « plan d’action »;
- Optimiser le type de protection en fonction du niveau de sûreté requis « adéquation
entre les moyens et le niveau de sûreté nécessaire »;
- Assurer les conditions d’évolution des systèmes de sûreté « extensions, mises à
niveau ».
- Intégrer la composante de l’environnement de contrôle
Conformité à l’approche PDCA (Roue de Deming)
France Télécom - Secrétariat Général 02/03/2005 33

Mise en sûreté d’un immeuble (Généralités -2)
La mise en sûreté ou "sanctuarisation d'un site" est réalisée selon la méthode
dite de la « pelure d'oignon ».
D'une manière générale on part du principe qu'un site comporte trois périmètres de
Sûreté :
1. la périphérie du site (limite de propriété),
2. la périmétrie du bâtiment (enveloppe du bâtiment),
3. l'intérieur du bâtiment (locaux ou zones à définir par les métiers)
avant de finir par la protection ponctuelle des objets sensibles (coffre, dossiers,.. .).
Lorsque ces différents périmètres ont été identifiés, il est possible de procéder à
l'inventaire des mesures matérielles et humaines que l'on désire y appliquer, en
fonction de la vulnérabilité et des risques constatés lors de l'analyse de risques
(niveaux de sûreté).
France Télécom - Secrétariat Général 02/03/2005 34

Mise en sûreté d’un immeuble (Niveaux -1)
Attribution des niveaux de sûreté pour les sites :
Ces niveaux sont liés à l’impact qu’aurait un incident sur la continuité et la qualité
du service offert au client, le patrimoine physique et intellectuel, l’image de
marque, ...
-Niveau 1 : Impact vital (majeur pour l’entreprise)
-Niveau 2 : Impact critique (grave pour l’entreprise)
-Niveau 3 : Impact sensible (faible pour l’entreprise)
-Niveau 4 : Impact quasi-nul (négligeable : peu de conséquence, mais on ne saurait
considérer que la destruction d’un bâtiment soit sans impact)
France Télécom - Secrétariat Général 02/03/2005 35

Mise en sûreté d’un immeuble (Niveaux -2)
Attribution des niveaux de sûreté pour les locaux :
-Niveau 1 : Accès très restreint (impact vital, enjeux très importants, menace sur
l'entreprise)
-Niveau 2 : Accès contrôlé (impact critique, enjeux importants, grave mais sans menace sur
l'entreprise)
-Niveau 3 : Accès limité (impact sensible, enjeux modérés et maîtrisés, cause du tort à
l'entreprise)
-Niveau 4 : Accès libre (pas d'impact, enjeux faibles et maîtrisés, préjudice faible)
France Télécom - Secrétariat Général 02/03/2005 36

Mise en sûreté d’un immeuble (Moyens -1)
A chaque niveau de sûreté attribué à un site, bâtiment ou local (cf. analyse de risques)
doivent correspondre les mesures de sécurité passives et actives adaptées.
Moyens de sécurisation :
- Protections mécaniques et protections électroniques,
- Surveillance humaine
- Contrôle d’accès,
- Détection et signalisation d’intrusion,
- Télésurveillance et télésécurité,
- Vidéosurveillance…
- Procédures et consignes de sécurité-sûreté
Seule une analyse fine permettra d'optimiser l'efficacité des systèmes mis en place et
les coûts induits par ces mesures de sûreté.
France Télécom - Secrétariat Général 02/03/2005 37

Mise en sûreté d’un immeuble (Moyens -2)
L’installation de moyens de protection électronique implique nécessairement la mise
en œuvre de moyens complémentaires de télésurveillance et de télésécurité afin
d’optimiser l’efficacité des systèmes et de rentabiliser les investissements.
L’ensemble des moyens de sécurisation (humains, mécaniques et électroniques)
concourant à la mise en sûreté des sites, des bâtiments et des locaux doit répondre
aux 4 principes de la sûreté, à savoir :
dissuader protéger retarder alerter
Pour accroître l’efficacité de ces dispositifs et préserver le niveau de protection de
certaines informations ou installations particulièrement sensibles, les locaux peuvent
être séparés en plusieurs zones c’est ce que l’on appelle le compartimentage.
France Télécom - Secrétariat Général 02/03/2005 38

Mise en sûreté d’un immeuble (zonage)
Accès du personnel
Accès du public
Burea
u
Burea
u
Burea
u
Expo Matériels
Agence
Salle
coffre
Accès très
restreint
Stockag
e
Accès
Contrôlé
Pt
Mat Accès
Limité
CA
Espace de
vente
Accès libre
France Télécom - Secrétariat Général 02/03/2005 39

Mise en sûreté d’un immeuble (Le Contrôle d’accès
Définition :
électronique)
- La principale fonction d’un système de contrôle d’accès électronique est d’interdire à
tout individu non autorisé, l’accès à un périmètre contrôlé, tout en l’autorisant à des
personnes habilitées.
Les autres fonctions optionnelles étant :
- L’attribution individuelle des droits en fonction des besoins professionnels (sites, locaux,
plages horaires, durée de validité des droits…)
- La traçabilité des mouvements (entrées/sorties)
- La gestion des périodes de crises (mouvements sociaux, vigipirate… )
- La signalisation de dysfonctionnements
France Télécom - Secrétariat Général 02/03/2005 40

ise en sûreté d’un immeuble(Les moyens humains de protection)
La surveillance humaine (gardiens, agents de sécurité) permet de renforcer le niveau de
sûreté d’un site ou d’un bâtiment particulièrement sensible ou isolé.
Elle vient en complément des moyens de protection matérielle, mécaniques et électroniques
déjà mis en place.
- Cette activité consiste principalement à :
- Contrôler les entrées et les sorties, voire les mouvements internes en HO,
- Surveiller le site en HNO (effectuer des rondes de sécurité),
- Signaler/intervenir sur tout dysfonctionnement…
Le contrat définissant une prestation de surveillance doit permettre de répondre correctement
aux objectifs de la politique de sûreté fixés par l’entreprise.
France Télécom - Secrétariat Général 02/03/2005 41

ise en sûreté d’un immeuble (Télésurveillance et Télésécurité)
La télésurveillance consiste à recevoir et traiter à distance en temps réel des informations
émises par une installation d’alarme (capteurs, caméras…)
La télésurveillance repose sur :
- une installation d’alarme
- une centrale de télésurveillance
- une intervention adaptée « levé de doute »
La levé de doute :
- Technique => à distance
- Humaine => sur site (télésécurité)
- Mise en sécurité du site (gardiennage)
Devant le risque potentiel que représente une intervention humaine (cf. Document unique), il
doit être fait appel à une société de télésécurité qui dispose des moyens humains et matériels
adaptés à ce type de situation.
France Télécom - Secrétariat Général 02/03/2005 42

Mise en sûreté d’un immeuble (Moyens -3)
Mesures en « Réduction de risques »
SPECIFIQUES
Objectifs SMART
A un risque identifié correspondent une ou des mesures particulières (Analyse de risque)
MESURABLES
Cette/ces mesures doivent obligatoirement après mise en place, conduire à une meilleure maîtrise du risque
initial. (Notion du risque résiduel)
APPROPRIEES
Elles sont correctement dimensionnées (Analyse Coût/Efficacité)
REALISTES
Les actions proposées sont réalisables et utiles à l'entreprise (Crédibilité)
TEMPORISEES
Une date limite de mise en œuvre est arrêtée, et des étapes intermédiaires sont fixées (Échéancier)
France Télécom - Secrétariat Général 02/03/2005 43

Programme stratégique
France Télécom - Secrétariat Général 02/03/2005 44

Programme stratégique (1)
• Proposer un ensemble d’actions homogènes et cohérentes
• Hiérarchisées en fonction de l’existant et des besoins
• Adaptées aux risques et enjeux
• Quantifiables et mesurables
• Fournir des éléments de décision pour la Direction
France Télécom - Secrétariat Général 02/03/2005 45

Programme stratégique (2)
• Doit pouvoir être « vendu » à la Direction
• Doit être évolutif
• En fonction de son avancement
• En fonction du contexte
• Doit répondre aux questions
• Quelles sont les conséquences des actions proposées sur le niveau de sécurité ?
• Quelles sont les actions à forte contribution ?
France Télécom - Secrétariat Général 02/03/2005 46

Processus de gestion des risques
Etablir un processus de
gestion du risque
• Objectifs à CT et LT
• Langage commun
• Structure de pilotage
Améliorer en permanence la
gestion du risque
Evaluer les risques
• Identifier
• Rechercher la source
• Mesurer
Information pour
la prise de
décisions
Définir des stratégies de
gestion du risque
ι Eviter ι Réduire ιConserver
ι Exploiter ι Transférer
Contrôler la performance en
matière de gestion du risque
Concevoir/mettre en œuvre les
infrastructures de gestion du
risque
France Télécom - Secrétariat Général 02/03/2005 47

Fraude
France Télécom - Secrétariat Général 02/03/2005 48

Fraude un risque émergent (Définition)
On entend par fraude, toutes les irrégularités et actes illégaux
commis avec l’intention de tromper.
Les fraudes peuvent être commises pour le bénéfice de
l’organisation ou à son détriment, tant par les employés de
l’organisation que par des personnes extérieures à celle-ci.
France Télécom - Secrétariat Général 02/03/2005 49

Fraude un risque émergent (Objectifs généraux)
- Sensibiliser les acteurs de la « Sécurité » sur les risques
de Fraude
---
- Identifier les indicateurs permettant de mettre ces risques
en Évidence
- Aider à la recherche de la preuve
France Télécom - Secrétariat Général 02/03/2005 50

Fraude un risque émergent (Causes de
l’accélération)
- Multiforme, Endémique et Évolutive
- Les résultats de l’inventivité des organisateurs et de
l’adaptation aux carences offertes aux malveillants
- Opportuniste et Professionnelle
France Télécom - Secrétariat Général 02/03/2005 51

Fraude un risque émergent (Pour qui et pour quoi
faire)
- Dans l’intérêt personnel d’un salarié (vengeance)
- Dans l’intérêt d’un mandataire social (amélioration du
train de vie)
- Dans l’intérêt d’un dirigeant (surfacturation)
- Dans l’intérêt d’un réseau (intelligence économique)
France Télécom - Secrétariat Général 02/03/2005 52

Fraude un risque émergent (Pourquoi une
accélération)
- Absence de déontologie et d’éthique (règles écrites)
- La clause de la règle la plus favorable
- La primauté de la finalité sur la règle du droit
- La sophistication des systèmes
- Le regroupement de certaines fonctions
- L’importance de plus en plus forte d’un appel à la
sous - traitance
France Télécom - Secrétariat Général 02/03/2005 53

Bibliographie
OHSAS 18001 (1999)-système de management de la santé et de la
sécurité du travail,
ISO 14001 (10/1996)-système de management environnemental,
NF EN ISO 9001(version 2000)- système de management de la
qualité,
BP Z 74-500-référentiel des bonnes pratiques-sécurité des
informations stratégiques (Afnor-08/2002),
ISO 17799 (version 2000)-technologie de l’information-guide des
bonnes pratiques pour le management de la sécurité de
l’information .
EBIOS (SGDN-DCSSI)
MEHARI (CLUSIF)
France Télécom - Secrétariat Général 02/03/2005 54

Politique de sûreté de
l’entreprise
MERCI
de votre attention
France Télécom - Secrétariat Général 02/03/2005 55

Points sensibles (Généralités -1)
Définition :
Est considéré comme point sensible, tout établissement ou ouvrage présentant à titre
permanent, ou dans certaines circonstances, une importance particulière pour la
défense ou la survie de la nation.
Référentiels :
- Loi n°90-568 du 2 juillet 1990 relative à l’organisation du service public de la Poste et des
Télécommunications modifiée par la loi 2003-1365 du 31 décembre 2003
- Loi relative aux obligations de service public des télécommunications et à France Télécom
France Télécom - Secrétariat Général 02/03/2005 56

Points sensibles (Généralités -2)
Référentiels (suite) :
- Instruction Générale Interministérielle du Secrétariat Général de la Défense Nationale
n°4600 du 8 février 1993 sur la sécurité des Points et Réseaux Sensibles,
- Décret n°96-1 2 25 du 27 décembre 1996 portant approbation du cahier des charges de
France Télécom
- Code des postes et télécommunications article D 98-1 f) « Prescriptions exigées par la
défense et la sécurité publique »),
- Courrier réf. : SG/SSC/Patr-Déf/PG/97.03/DR du 14 janvier 1997 traitant de la gestion des
Points et Réseaux sensibles pour ce qui concerne France Télécom.
France Télécom - Secrétariat Général 02/03/2005 57