1.3 Treinamento PSI Responsabilidades e Aspectos Físicos

Summary

Ce module de formation sur la sécurité de l'information présente les responsabilités clés des utilisateurs, responsables, et secteurs au sein d'une organisation. Eduardo Claudino et João Doreto expliquent comment les employés, fournisseurs et visiteurs doivent manipuler les actifs d'information conformément aux politiques internes, en soulignant l'importance de la conformité aux règles, la mise à jour régulière des politiques, et la gestion des incidents de sécurité. Le rôle crucial de l'IT et des responsables dans le maintien de la sécurité, de la confidentialité et de la gouvernance des données est également abordé.

Takeaways

• 😀 Tous les utilisateurs d'informations sont responsables des dommages ou pertes causés ou subis, s'ils sont dus à la non-conformité aux règles internes de sécurité.
• 😀 Les utilisateurs doivent toujours enregistrer et classer les données sur lesquelles ils effectuent un traitement pour pouvoir suivre les incidents de sécurité et prouver leur conformité.
• 😀 Il est crucial que tous les utilisateurs se tiennent à jour concernant la politique de sécurité de l'information et les documents associés, car ils évoluent régulièrement.
• 😀 En cas de doute ou d'incertitude sur la sécurité de l'information ou le traitement des données personnelles, les utilisateurs doivent toujours consulter la personne responsable ou le DPO (Responsable de la Protection des Données).
• 😀 Une violation de la sécurité peut inclure des erreurs humaines simples, comme envoyer un email à un destinataire incorrect, ce qui peut compromettre la confidentialité des informations.
• 😀 Les responsables doivent être des modèles de conduite, en suivant et en appliquant les pratiques de sécurité de l'information et de confidentialité au sein de l'organisation.
• 😀 Les responsables doivent s'assurer que tous les employés signent des documents d'engagement, notamment le terme de confidentialité et le code de conduite, pour garantir leur conformité aux normes internes.
• 😀 Les violations de confidentialité, telles que la divulgation non autorisée d'informations, peuvent entraîner des sanctions civiles et pénales.
• 😀 Le département des Technologies de l'Information (IT) est responsable de la gestion des contrôles technologiques et de la protection des informations numériques, y compris la gestion des accès et des autorisations.
• 😀 Le secteur IT doit maintenir des journaux d'audit pour suivre l'accès et l'utilisation des systèmes et s'assurer que des sauvegardes sont effectuées pour protéger les données contre la perte ou la corruption.
• 😀 La sécurité physique des installations de l'organisation est essentielle, notamment en limitant l'accès non autorisé aux ressources physiques et en protégeant les endroits où les informations sensibles sont stockées.

Q & A

Qu'est-ce qu'un actif d'information dans le cadre de la sécurité de l'information?

Un actif d'information peut être défini comme tout ce qui peut avoir ou fournir de la valeur à l'organisation, comme des logiciels signés, des ordinateurs, des téléphones portables, des clés USB, et même les personnes elles-mêmes qui font partie de l'organisation.

Quelles sont les responsabilités principales des utilisateurs d'information dans une organisation?

Les utilisateurs sont responsables des dommages et pertes qu'ils causent ou subissent en raison de la non-conformité aux directives établies dans les règles internes. Ils doivent également enregistrer et classer les données qu'ils traitent et se tenir informés des mises à jour de la politique de sécurité de l'information.

Pourquoi est-il important de maintenir un enregistrement des actions des utilisateurs dans un système de sécurité?

Cela permet de maintenir une trace, ou un journal, pour comprendre ce qui a causé une violation ou un incident de sécurité, et aussi pour prouver que l'utilisateur a agi correctement selon les lignes directrices de sécurité.

Quels types de sanctions peuvent être appliqués si un utilisateur cause des dommages en ne respectant pas la politique de sécurité de l'information?

Les sanctions peuvent varier d'un simple avertissement à des sanctions plus graves, comme un licenciement pour faute grave, en fonction de la gravité de la violation.

Quelles sont les responsabilités des managers en matière de sécurité de l'information?

Les managers doivent se comporter en tant que modèles de conduite, guider les employés sur les comportements à adopter en matière de sécurité, et assurer la mise en place d'une culture de sécurité dans l'organisation. Ils sont également responsables de la collecte des signatures de termes d'engagement et de confidentialité.

Quel est le rôle des responsables informatiques dans la gestion de la sécurité de l'information?

Les responsables informatiques sont chargés de tester et maintenir les contrôles technologiques, de gérer l'accès et les autorisations aux systèmes, de maintenir des pistes d'audit, de gérer les sauvegardes des données et de séparer les environnements de test et de production.

Pourquoi est-il nécessaire d'avoir une gestion des accès et des autorisations dans une organisation?

Cela permet de garantir que seules les personnes ayant un besoin professionnel légitime peuvent accéder à certaines informations, contribuant ainsi à la confidentialité des données.

Que doivent faire les utilisateurs en cas de doute concernant la sécurité de l'information ou le traitement des données?

Les utilisateurs doivent toujours consulter la personne responsable de la sécurité de l'information ou le DPO (délégué à la protection des données) pour obtenir des conseils et éviter les violations potentielles de la politique.

Quels exemples d'incidents de sécurité ne sont pas uniquement technologiques?

Un exemple simple serait l'envoi d'un e-mail à un destinataire incorrect, contenant des informations sensibles qui ne devraient pas être partagées. Cela illustre un incident causé par une erreur humaine.

Quelles mesures de sécurité physique doivent être prises dans une organisation pour protéger les informations?

Les lieux physiques où l'information est stockée doivent être protégés contre les accès non autorisés. Les locaux doivent être verrouillés lorsqu'ils ne sont pas surveillés, et les armoires ou dossiers contenant des informations sensibles doivent être verrouillés pour éviter les accès non autorisés.