Ouverture d'un pôle sécurité. Demande de conseils

[Clem]

Bonjour à tous,

Je ne savais pas trop où créer ce post et ne souhaitant pas faire n'importe quoi j'ai décidé de le créer dans cette rubrique. Je laisse le soin aux administrateurs de le déplacer où bon leur semblent si cela s'avère plus pertinent.

Je travaille depuis 3 ans dans une société de services en ingénieure informatique. Le fonctionnement de ma société est quelque peu particulier et ne ressemble pas à une SSII standard. Je ne rentrerais pas dans les détails de son fonctionnement.

Quoi qu'il en soit nous sommes un hébergeur dit "delux" | "de luxe" étant donné que nous visons essentiellement des clients grands comptes. Aujourd'hui la société évolue et nous commençons à perdre des clients notamment car nous ne sommes pas certifié ISO 27001.

Chevronné et passionné de la sécurité informatique, j'ai pris la décision de préparer un dossier que je vais présenter à ma direction pour la création d'un pole "Sécurité".

Je vous ferais part de l'avancer de mon projet et je reviendrais vers vous avec des questions pertinentes.
Je n'ai pas encore défini les limites du poste et l'ensemble de ses fonctions mais je tenais à venir en discuter avec vous pour recueillir des idées et des conseils.

J'ai téléchargé le livre "Sécurité informatique : Principes et méthodes à l'usage des DSI, RSSI et admin.pdf" que je vais lire et potasser afin de m'aider dans ce projet.
Je tiens à remercier le partage.

Merci.

[DreAmuS]

Salut,

Ne prends pas mal ce que je vais te dire et cela n'est que mon avis personnel.

Tu arrive, tu parle d'une société ingénieur bon Une url ? Un nom ? Un titre ? bon rien.

Tu parle d'un fonctionnement SSII mais pas vraiment, bien mais de quoi? De qui ? De où ? Toujours pas d'indice Mystère et boule de Gomme, on ira chercher l'équipe de scoobydoo alors .

Ensuite, tu m'a l'air bien barré tiens avec un PDF, une paire de questions, tu ne serais pas le Pantagruel du 21eme siècle.

Ou alors ta société ne veut pas te payer la formation de 2800 euros.

Dans tous les cas moi je ne t'aiderais pas tant que tu te présenteras pas clairement, avec un nom de société et surtout pourquoi, qui es tu à l'intérieur.

Si tu n'a pas confiance, alors moi non plus. Si d'autres veulent le faire tant mieux, mais je suis pour la libre transparence et l'open source. Si entre tous vos ingénieurs vous avez besoin d'un site communautaire pour apprendre la méthodologie d'audit et les définitions du poste d'agent de sécurité avec tout ce que cela comporte, c'est grave.

Voila ma réponse, je te le répète ne le prend pas mal et si tu es courtois et intelligent, tu accepteras d'au moins entrer dans plus de détails.

Demain je ne viendrais pas chez toi te demander de l'aide, puis ensuite je te dis voila je te donne pas mon adresse, ni mon tel, ni mail, ni qui je suis mais aide moi STP.

On n'est pas chez 3615-Anonymus

En plus avec une recherche Google simple qui est à la rigueur au niveau du Geek du Cyber café en bas de chez moi, tu trouverais de quoi faire pour orienté ton plan de dossier.

Pour information ce moteur de recherche s'appelle Google Search : https://www.google.fr/intx/fr/work/s...ducts/gsa.html

Et voici ce qu'il peu trouver en un rien de temps : http://lc.cx/BWz

En entrant les bon mots clés.

Allez bonne chance.

[fred]

@Dreamus,

Sur ce coup je ne te suis pas, je peux comprendre que l'anonymat soit important... surtout dans le cas d'entreprise dont l'informatique est très liée à la sécurité.

Ensuite les normes sont payantes, très chères et donc ne sont que très rarement accessible sur le net.

@Clem,

Là ce qui l'intéresse c'est la certification ISO 27001, il te faudra donc trouver un responsable qualité qui vous permettra de certifier mais aussi de suivre les évolutions liées à la norme. Pour rendre plus fort l'entreprise, tu auras besoin de faire des demandes d'audit tous les 3 à 5 ans par exemple (je dis un temps au hasard).

Pour commencer correctement il te faudra acquérir la norme ISO 27001, mais cet investissement doit tenir compte d'une recherche démontrant les avantages de cette certification. Il faudra des chiffres...

La qualité, c'était mes études universitaires mais pour des entreprises de productions mécanique, non informatique.

Par contre je ne vois pas trop comment t'aider, sachant que je ne connais absolument pas cette norme.

[Clem]

Bonjour Fred & Dreamus,

Merci d'avoir pris le temps de lire mon sujet et d'y avoir répondu.

@Dreamus :

Comme tu l'as dit je n'ai aucune raison de le prendre mal. je m'estime effectivement suffisamment intelligent pour faire la part des choses et réfléchir aux différents points de vue.
Je suis effectivement resté "flou" pour plusieurs raisons.

La première, je souhaitais rester dans une démarche disons généraliste autour de sujets très vastes qui sont la sécurité et la qualité.
La deuxième, mon entreprise ainsi que mon responsable hiérarchique sont très à cheval sur l'anonymat notamment imposé par certains clients grands compte. Il serait facile avec comme tu l'as dit une simple recherche google de retrouver les clients pour qui nous travaillons et ceci nous a été formellement interdit. (là nous sommes dans de la politique industrielle sur lequel je n'ai aucun pouvoir).

Pour revenir sur google, je suis un autodidacte qui a appris beaucoup de choses "seul" grâce à cet outil depuis 10 ans. Pour le coup j'apprécie que moyennement cette facilitée de réponse (qui plus est légèrement hautaine) sur un forum où l'idée est l'entraide et le partage (idées, conseils, informations, compétences, ...)

Je ne viens pas ici chercher une solution carte sur table. Je viens discuter d'un "projet" sur un sujet qui me fascine et qui est une réalité industrielle.

Je pense que nous partageons le même esprit. Je suis aussi un fervent défenseur de l'open-source et de la transparence mais là n'est pas le sujet pour les raisons que j'ai énoncées.

Concernant le pauvre PDF, il faut bien commencer quelque part

@Fred :

Merci beaucoup pour ta réponse. Je vais me pencher sur ce sujet, faire les recherches nécessaires et l'indiquer dans le dossier de mon projet.

Pour le reste, je reviendrais sur ce post avec des questions plus concrètes au fur et à mesure que j'avancerais sur mon projet.

Bien à vous.

Cordialement.