Face aux informations sensibles, le responsable se trouve confronté à de nombreuses questions : Comment gérer les informations sensibles ? Comment les labelliser ? Comment gérer la différence entre des informations confidentielles, très confidentielles et secrètes ? Comment réserver l'accès aux informations aux seules personnes autorisées ? Comment limiter l'accès à des circonstances spécifiques ? En bref, comment s'organiser ?

Diverses dispositions légales ou réglementaires imposent une classification de l'information ; mais dans la pratique, force est de constater les difficultés de mettre en place une telle classification. Les lacunes de gestion conduisent souvent à une mauvaise protection des informations sensibles. La mise en application des principes de classification ne sont que rarement bien traduits dans les processus de gestion générale. Les faiblesses constatées induisent des questions sur l'efficacité des protections. Quelques normes ISO fournissent des indications utiles mais insuffisantes pour construire un modèle de gestion. La législation en vigueur s'avère muette ou dépassée quant à la mise en œuvre concrète de la classification.

Par ailleurs, les modèles traditionnels de gestion des accès comme le RBAC (Role Based Access Control) conduisent à structurer les informations selon une structure fixe propre à l'entreprise. Ces modèles sont relativement statiques alors que les rôles changent constamment et que les fonctions applicatives sont revues fréquemment. Les droits d'accès dépendent en effet de diverses variables, comme le temps ou le contexte du traitement. Dans un contexte organisationnel instable, la problématique est dès lors: comment donner à chacun l'accès aux informations pertinentes pour la fonction, à l'exclusion des autres ?

Une analyse théorique basée sur un modèle graphique met en évidence des concepts intéressants et de nouvelles perspectives pour la classification. Elle montre l'importance de baser la classification sur la nature de l'information. L'approche proposée, innovante, offre des avantages évidents : gestion simplifiée, meilleur respect des exigences légales, particulièrement en protection des données à caractère personnel ou pour les données sensibles (loi du 11 décembre 1998). Le modèle proposé à été confronté dans des univers avec des besoins très diversifiés : médicaux, militaires, bancaires, etc. Les perspectives de gestion simplifiée sont prometteuses et les solutions techniques disponibles. Cette démarche de classification, relativement récente, se voit aujourd'hui supportée par de nouveaux modèles et logiciels de gestion des accès. Le Modèle OrBAC, par exemple, fournit des solutions élégantes à la gestion fine des informations classifiées.

En se basant sur ces nouveaux concepts illustrés d'exemples concrets, la formation proposera des solutions aux problèmes posés par l'organisation de l'entreprise, la gestion des informations sensibles et de leurs accès.

• Les constats sur le terrain
• Définitions des attributs de sécurité
• Analyse théorique des axes de classification
• Les critères de classification et les contraintes diverses
• Définitions des objets, des acteurs et des actions intervenant dans une classification
• Comparaison entre les modèles de gestion des accès (RBAC, OrBAC, etc.)
• Les règles pour adapter l'organisation et les procédures aux besoins de la classification
• Exemples d'organisations et de labels

Eclairé par une expérience de plus de 10 ans, l'exposé se veut très interactif, notamment par les questions ou constats des participants.

• Administrateur-gérant de GALAXIA I.S.E,
• Consultant en sécurité de l'informatique
• Membre de la Commission de la protection de la vie privée,
• Eric Gheur, licencié en Sciences Mathématiques et en Sciences Médico-Sociales et Gestion Hospitalière, a pratiqué les différents métiers informatiques tout en gardant un pied dans le monde de l'organisation.

- Le formateur se déplace à l’endroit de votre choix :
  plus de problème de mobilité et gain de temps pour vos collaborateurs
- Horaire adapté pour permettre aux participants de traiter les affaires ‘courantes’
- Contenu de la formation : ‘standard’
- Support de cours communiqué par mail 2 jours avant la formation