EXEMPLE DE RISQUE EXEMPLE DE FACTEURS DÉCLENCHANTS EXEMPLE D’IMPACTS (Ces éléments non exhaustifs peuvent être complétés des risques et facteurs de risque propres à la collectivité) OBJECTIF EXEMPLE DE BONNES PRATIQUES En cas de départ d'un agent, les accès sont supprimés dans les plus brefs délais. PLAN D’ACTION DE LA COLLECTIVITÉ (Compléter des actions mises en œuvre ou devant être mises en œuvre par la collectivité) FICHE 3 : RESTRICTION DES ACCÈS PHYSIQUES Carence dans la mise en œuvre des dispositifs de sécurité physique du SI Accès aux infrastructures et installations informatiques par une personne non autorisée Attribution d'un accès à tort Maintien d’un droit d’accès non justifié Dysfonctionnement du dispositif de contrôle des accès Sécurité des biens et des personnes : intrusion dans le réseau, perte ou vol de données Budgétaire : coût lié à la détérioration du matériel Juridique : responsabilité de la collectivité en matière de sécurité des SI et de protection des données personnelles Comptable et financier : altération des données concourant à la production des états financiers S’assurer que l'accès aux infrastructures et installations informatiques est limité aux personnes autorisées et que des dispositifs de sécurité adéquats sont mis en place. Levier « documentation » La gestion des droits d’accès aux infrastructures et installations informatiques est encadrée par la Politique de Sécurité des SI (PSSI). Les consignes de sécurité sont formalisées dans un document signé par les personnes disposant d’un droit d’accès permanent. Levier « organisation » Des dispositifs de contrôle d’accès dématérialisés (système de badgeage, registre des entrées et sorties) sont utilisés pour restreindre l'accès physique aux installations hébergeant les applications clés. Les formulaires de demandes d'attribution d'accès (y compris pour les prestataires) sont soumis par les responsables informatiques à la DSI. Celle-ci valide la liste des personnes autorisées à accéder aux infrastructures et installations informatiques ainsi que les droits différenciés (par exemple en cas de zone de haute sécurité). Une revue périodique des droits d’accès aux infrastructures et installations informatiques est mise en œuvre (a minima 1 fois par an). En cas d’anomalie constatée lors de la revue périodique des droits d’accès, les corrections nécessaires (ex : modification/suppression des droits) sont effectuées dans des délais raisonnables. Levier « traçabilité » Le système de badgeage conserve les logs d’accès afin de pouvoir procéder à une extraction des entrées et sorties. Dans le cas contraire, un formulaire d'accès ou un registre papier des entrées et sorties est à jour et consultable. Le système dispose d’une copie / sauvegarde non raccordée au réseau afin de se prémunir contre des attaques. Les comptes-rendus des revues périodiques des droits d’accès sont archivés en zone sécurisée.
194365