Votre panier est vide.
Elle invite les parties prenantes à y prendre part
La DGSSI souhaite, à travers ces documents, renforcer davantage les dispositifs mis à la disposition des administrations, des établissements publics ainsi que des infrastructures d’importance vitale publiques et privées.
La protection des données numériques est plus que jamais une préoccupation de premier ordre pour les organismes publics. Au Maroc, la Direction générale de la sécurité des systèmes d’information joue un rôle central dans la sensibilisation et l’accompagnement de ces structures contre les cyberattaques. Rien que durant le mois de mai, cette Direction a émis plus d’une quarantaine de bulletins de sécurité sur la vulnérabilité des systèmes informatiques. Elle a récemment publié deux documents de référence dans ce domaine, et ce dans la continuité des travaux élaborés précédemment. Le premier est un référentiel de vérification de la sécurité des applications. Le deuxième est un guide de bonnes pratiques sur l’évaluation de la maturité de la sécurité du cycle de vie des développements logiciels.
Assurer une protection de bout en bout
La DGSSI souhaite, à travers ces documents, renforcer davantage les dispositifs mis à la disposition des administrations, des établissements publics ainsi que des infrastructures d’importance vitale publiques et privées. Il s’agit de leur permettre de mener les tests recommandés durant le cycle de développement conformément aux politiques et référentiels de développement sécurisé en vigueur, indique la DGSSI. Ledit référentiel repose sur un ensemble d’exigences et de contrôles de sécurité basé sur des tests fonctionnels et non fonctionnels qui doivent être appliqués lors de la conception, du développement et du test des applications. Il s’applique à tous les modèles de développement logiciel. L’objectif étant d’aider les organismes publics à développer et maintenir des applications sécurisées et permettre aux fournisseurs de services de sécurité, aux pourvoyeurs d’outils de sécurité et aux consommateurs d’aligner leurs exigences avec les offres proposées. «L’objectif de la sécurité logicielle est d’assurer la confidentialité, l’intégrité et la disponibilité des informations traitées par un service applicatif. Il est impératif d’intégrer la sécurité dès la phase de conception, et de la respecter le long du cycle de vie du logiciel. En adoptant cette démarche, les développeurs peuvent affirmer que les logiciels développés respectent les meilleures pratiques de sécurité. La mise en œuvre de mesures de sécurité après le déploiement d’un logiciel est nettement plus coûteuse et n’offre généralement qu’une protection limitée par rapport à la sécurité intégrée dès le début du processus suivant ce référentiel», indique la DGSSI. En effet, il est essentiel d’inclure le volet sécurité tout au long du processus de développement pour gérer efficacement les problèmes de sécurité. «Cela réduit le risque d’ignorer des exigences de sécurité qui peuvent être importantes d’une part et d’autre part, pour éviter de commettre des erreurs critiques dans la conception du logiciel», relève la même source. Il faut dire que la sécurité des développements logiciels est un terme générique qui consiste à établir un ensemble de stratégies qui fonctionnent conjointement pour contribuer à la protection des données numériques. Comme l’explique la DGSSI dans son document, «l’objectif de la sécurité logicielle est d’assurer la confidentialité, l’intégrité et la disponibilité des informations manipulées par un service applicatif».
Les différents niveaux de sécurité
Trois niveaux de vérification de la sécurité ont été retenus. Le troisième représente le niveau d’assurance le plus élevé alors que le premier est un niveau d’assurance faible. Il comporte des tests d’intrusions classiques. Ce niveau constitue une première étape pour sécuriser d’une manière progressive les applications d’une entité. Il est aussi parfois suffisant pour les applications qui ne stockent pas ou qui ne traitent pas des données sensibles et partant ne nécessitent pas des contrôles rigoureux contenus dans les niveaux 2 ou 3. Le niveau 2 est nécessaire pour les applications qui contiennent des données sensibles et qui nécessitent une protection adaptée. Ce niveau constitue généralement le niveau recommandé pour la plupart des applications. Le niveau 3 est destiné aux applications critiques, qui traitent des données hautement sensibles, ou qui requièrent un haut niveau de confiance. «En fonction de l’analyse du risque et des exigences métiers, chaque organisme doit déterminer le niveau d’exigence approprié. Aussi, pour gérer efficacement les problèmes de sécurité, il est nécessaire d’intégrer une réflexion axée sur la sécurité tout au long du processus de développement. Cela réduit le risque d’ignorer des exigences de sécurité qui peuvent être importantes d’une part et d’autre part, pour éviter de commettre des erreurs critiques dans la conception du logiciel»
75% des attaques ciblent les logiciels
Environ 75% des attaques sur Internet ont exploité des failles de sécurité propres aux logiciels, indique la DGSSI se référant au cabinet «Software Improvement Group». La direction recommande d’intégrer la notion de risques dans le cycle de vie des projets de développement logiciel. L’objectif étant de proposer une suite d’actions, répartie sur tout le cycle de conception et de développement d’un produit et qui s’intègre dans la méthodologie projet existante de chaque entité. «L’implication de tous les intervenants (Développeurs, Responsables de sécurité/risque, opérations) constitue un gage de sécurité dans cette démarche», souligne la même source. La DGSSI a dans ce sens élaboré un guide relatif à la maturité du cycle de développement des logiciels. La démarche proposée peut être appliquée à tous les types de projets. Il s’agit de «développer davantage la culture de la sécurité applicative au niveau national». Partant de là, la DGSSI invite toutes les parties prenantes à procéder à l’évaluation proposée dans ce document et de lui faire part des résultats pour consolider un document relatif à la maturité de la sécurité du cycle de développement logiciel au niveau national.
