On entend par vulnérabilités, explique le CLUSIF, les faiblesses ou failles techniques d’un composant ou d’un groupe de composants informatiques (systèmes, équipements réseaux, pare-feu, bases de données, applications Web, etc.), qui, si exploitées, peuvent porter préjudice à l'organisation : sécurité, image détériorée, perte de confiance des clients, non respect de réglementations, baisse des revenus, réduction de la marge opérationnelle, etc. Face à l’évolution croissante des attaques et un niveau de risque au plus haut, les entreprises doivent en permanence surveiller ces failles.
Pour les accompagner, le CLUSIF a décidé de créer un nouveau groupe de travail, « Gestion des vulnérabilités », prenant en compte aussi bien les vulnérabilités logicielles que les vulnérabilités de configuration.
Suite aux travaux menés, le groupe réalisera un guide pratique sur la définition et la mise en place d’un programme de gestion des vulnérabilités.
Le livrable intitulé « Gestion des vulnérabilités informatiques : vers une meilleure gestion des risques » ciblera en priorité les RSSI, DSI et Risk Managers des organisations aussi bien ceux de grands groupes que ceux de PME. Deux sous-livrables leur seront proposés pour permettre :
- d’expliquer la valeur et le caractère stratégique de la gestion des vulnérabilités techniques au sein de leur programme de sécurité des S.I. Cela permettra ainsi d’obtenir l’adhésion et le support des dirigeants au plus haut niveau, et de lancer un tel programme au sein de leur organisation.
Cibles : RSSI, DSI, Risk Managers et Dirigeants.
- de formaliser leur programme, de piloter sa mise en œuvre et de s’assurer de l’efficacité d’un tel programme.
Cibles : DSI, RSSI, Responsable Sécurité Opérationnelle, et personnel informatique opérationnel.
L’ensemble de ces livrables prendra en considération les aspects organisationnels, processus, solutions et ressources humaines. Des exemples concrets, anonymes seront proposés dans la mesure du possible, notamment pour expliquer la valeur d’un programme de gestion des vulnérabilités aux dirigeants d’une organisation. Des fiches pratiques utilisables par des grands groupes ou des PME seront également disponibles.
A noter que le CLUSIF est ouvert à tous les professionnels souhaitant s’impliquer dans la promotion de la sécurité de l’information. Chaque adhérent peut, s’il le souhaite, participer aux groupes de travail, faire valoir son expertise et partager ainsi son point de vue avec ses homologues.
Pour en savoir plus : www.clusif.fr
