L'IT, partenaire du Business - ITnation

BUSINESS DECISION MAKER
ACTUAL-IT
Sécurité
Pleins feux
sur la sécurité
Telindus a présenté les résultats de son étude sur l’état
de la sécurité de l’information au Luxembourg.
Première étude sur la sécurité exclusivement dédiée au Grand-Duché de
Luxembourg, ‘Benchmark 2007’ analyse l’état de la sécurité de l’information au
sein de 51 banques et sociétés d’assurances. Lancée l’été dernier par Telindus
PSF, l’étude s’adressait à plusieurs domaines de sécurité : physique, business
continuity, conformité, standardisation, responsabilisation, etc.
Avec cette première étude, Telindus PSF veut
ainsi donner un angle local à la problématique
de la sécurité et fournir des résultats utiles aux
institutions publiques et aux responsables de la
sécurité des systèmes d’information (RSSI). La
société a également souhaité mettre l’accent
sur la confidentialité des données. Ainsi, les
réponses furent utilisées avec la confidentialité
la plus complète, sans identifier directement
ou indirectement les participants. Un élément
important à prendre en compte alors que 80%
des répondants de l’étude représentent le secteur
bancaire, contre 20% pour les sociétés
d’assurances, et que les RSSI doivent évaluer
la sécurité de leurs systèmes…
Lors de l’évaluation du degré de protection
en termes de sécurité d’information, les RSSI
ont répondu : très bonne (20%), bonne ou
relativement bonne (75%) et mauvaise ou
insuffisante (5%). En termes de budget alloué
à la sécurité de l’information, 20% des répondants
prédisent une augmentation majeure
dans l’année à venir, 31% une augmentation,
41% que cela restera constant et 8% n’ont
donné aucune réponse. Plus précisément,
alors que les banques répondent en majorité
(55%) que les investissements seront
constants, les sociétés d’assurance y voient
une augmentation très importante (38%) ou
importante (46%). Seules 8% prédisent un
investissement semblable à l’année précédente,
ce qui induit une focalisation accrue
pour ces sociétés. Enfin, 72% des répondants
on un plan de business continuity en
place et formalisé, tandis que 20% sont en
cours, et 8% n’ont encore défini aucune stratégie
en la matière.
RôLE(S) DU RSSI
De manière générale, les répondants estiment
que le rôle du RSSI est bien défini et
chapeaute même d’autres fonctions (32%).
Cependant, 10% d’entre eux pensent que
la responsabilisation du RSSI n’est pas
assez claire tandis que 8% déclarent que
cette problématique est en cours de résolution.
Le RSSI peut aussi prendre en charge
d’autres fonctions, telles que l’IT, le risque
opérationnel, la sécurité physique, l’audit et
le management. En matière de risques, 15%
des répondants estiment que le risk assessment
est fait en fonction d’une méthodologie
reconnue, tandis que dans 65% des cas, la
méthode est inhouse. Dans 20% des cas, le
risk assessment n’est soit pas encore défini,
soit pas encore en projet.
LA CERTIFICATION,
NON PRIORITAIRE
Telindus PSF a également comparé les
systèmes d’information du secteur des bancassurances
luxembourgeois aux standards
internationaux ISO/IEC 27002 :2005.
Selon l’étude de Telindus, 65% des répondants
sont familiers avec ces standards,
tandis qu’environ un tiers des personnes les
connaissent peu ou pas du tout. Alors que
45% des sociétés sont en train d’implémenter
les recommandations émises par ces
standards, environ 55% ne comptent pas les
développer, ou les ignorent. Enfin, seuls 10%
des répondants vont suivre cette standardisation
jusqu’à obtenir la certification.
//// Priorités pour
l’année 2008 ////
1. Data confidentiality
2. a. Awareness-raising
and training of the personnel
b. Data backup
c. Disaster recovery
and business continuity plan
3. Information security policy
4. Network and remote
access protection
5. Analysis of risks
6. Compliance with legal
and regulatory aspects
7. a. Physical protection
of equipment and data
b. Rights, access and privilege control
8. Identification and classification
of assets and definition
of responsibilities
9. Information system monitoring,
incident detection and response
10. Protection against viruses,
malware, spyware and spam
juin 08 73