L'approche Secure By Design

Voici une démarche en trois étapes pour intégrer l’approche « Secure-by-Design » :

1. Qualification des risques projet : La première étape consiste à qualifier les risques du projet en question. Cette étape vise à comprendre les menaces potentielles auxquelles le projet est confronté et les impacts possibles de ces menaces. Pour ce faire, il est recommandé de réaliser une analyse de risques qui permettra de :

• Identifier les actifs informatiques critiques : Les actifs informatiques sont les éléments clés du système d’information et sont à l’origine des risques de sécurité. Il est donc important d’identifier les actifs informatiques critiques pour pouvoir les protéger efficacement.
• Évaluer les menaces potentielles : Il s’agit de recenser les scénarios de menaces qui peuvent affecter les actifs informatiques critiques. Les menaces peuvent être internes (ex : erreur humaine) ou externes (ex : cyberattaque).
• Estimer les impacts : Il s’agit d’évaluer l’impact potentiel de chaque scénario de menace sur les actifs informatiques critiques. Les impacts peuvent être financiers, réputationnels, juridiques, etc.

2. Identification des mesures à intégrer : La seconde étape consiste à identifier les mesures à intégrer pour réduire les risques identifiés. Ces mesures doivent être intégrées dès le début du processus de développement et doivent être en cohérence avec les risques identifiés lors de la première étape. Les mesures peuvent être techniques (ex : chiffrement des données) ou organisationnelles (ex : politique de sécurité). Il est recommandé de réaliser une liste de mesures à intégrer en fonction des risques identifiés. Cette liste doit être partagée avec toutes les parties prenantes pour s’assurer de sa pertinence et de sa faisabilité.


3. Évaluation des risques résiduels : La troisième étape consiste à évaluer les risques résiduels après l’intégration des mesures de sécurité. Cette étape permet de mesurer l’efficacité des mesures intégrées et de déterminer si des risques supplémentaires ont été introduits. L’évaluation des risques résiduels peut être réalisée grâce à une analyse de risques résiduels qui permettra de :

• Identifier les risques résiduels : Les risques résiduels sont les risques qui subsistent après l’intégration des mesures de sécurité.
• Évaluer les risques résiduels : Il s’agit d’évaluer l’impact potentiel des risques résiduels sur les actifs informatiques critiques.
• Déterminer les mesures supplémentaires à intégrer : En fonction des risques résiduels identifiés, il est possible que des mesures supplémentaires doivent être intégrées pour réduire ces risques.