情報システム セキュリティにおいて、データ セキュリティは、情報処理の側面に加えて、主にデータに関係する部門です。
コンピューターのデータに関する注意事項
歴史の始まり（文字の出現）以来、人間は情報を操作してきました。その結果、データの構造化はますます少なくなります。
米国では 1940 年代後半以降のコンピューティングの出現により、電子メディアに記録されたデジタル形式のデータが導入されました。この発展は、 15世紀の 1450 年代の印刷の出現に匹敵します。
基本的に、データ記憶媒体はコンピュータメモリであり、コンピュータ プログラムの基本命令がその上で動作します。
次の基本的な側面を忘れずに、データ セキュリティに対処することはできません。
データはコンピュータ ハードウェアとオペレーティング システムで処理されます。
スーパーコンピューターからマイクロコンピューター (中央コンピューターやオープン システムを含む) まで、さまざまな種類のコンピューター ハードウェア (およびその周辺機器) では、常に次のようなさまざまな種類の物理メディアが使用されています。
- コンピューターのメモリ、
- バックアップおよび保管用のディスク、キャビネット（デバイス）、
- アーカイブシステム…
データは、電気通信ネットワーク、ローカル ネットワーク、衛星電気通信ネットワークなどの物理通信ネットワーク内のシステム間を循環できます。
物理メディアでは、データへのアクセスとその処理を管理するシステムを実装する必要があります。これらのシステムの論理アクセスはシーケンシャル タイプまたはインデックス タイプで、ほとんどの場合、ファイルはデータベースに置き換えられ、アクセスやより高度な更新が可能になります。
データベース管理システム (DBMS) は基本的なソフトウェアレベルにあり、コンピュータがデータに対するこれらのさまざまな種類の処理を管理できるようにします。
レベルを区別します。
- 概念的な、
- ロジック、
- 物理的な。
データセキュリティの簡単な歴史
近年、特に経済的および金融的側面におけるグローバリゼーションにより、世界規模の IT プロジェクトが生み出されています。
特に注目すべきは、2000 年 (Y2K) への IT 移行であり、影響を受ける可能性のある世界中の3,000 ～ 6,000 億のプログラム行の検証と変換が必要でした (Gartner Group の推定)。
ヨーロッパでは、ユーロへの移行には、ヨーロッパ境界線における 2000 年への移行のコストとほぼ同等のコストがかかりました。このプロジェクトは2 つの段階で行われました。1999 年初頭の第 1段階では、金融市場と企業財務アプリケーションのユーロへの移行が行われました。第 2 段階は、これまでで最も重要で、通常のみ可能であった他のほとんどの IT アプリケーションの変換でした。 2000 年 (Y2K) [ 1 ]への IT 移行と会計期間に関する制約のため、2000 年と 2001 年に実施される予定です。
これらの両方のプロジェクトでは、相互運用性要件と IT データが重要な役割を果たしました。これは、IT システムとレコードの日付 (メタデータ) と通貨フィールドの形式であるためです。
コンピュータ ハードウェアの観点から見ると、ヨーロッパでは、2000 年までの IT 移行がユーロへの移行よりも大きな影響を与えました。言い換えれば、2000 年への移行にはより技術的な側面が含まれていたのに対し、ユーロへの移行にはむしろ機能的な問題が含まれていたと言えます。
1991 年に米国国防総省は共通のセキュリティ基準(TCSEC を参照) を開発し、同時にヨーロッパの組織は情報システム セキュリティ ポリシー (ITSEC) を定義しました。
データセキュリティの問題
人や組織のレベルで
データ セキュリティの問題は次のとおりです (このリストはすべてではありません)。
- 個人の自由:プライバシーの保護 (プライバシーと IT を参照)、
- オフィスオートメーション: マイクロコンピューターのハードドライブに記録されたデータ (電子メール、ディレクトリ、文書ファイル、スプレッドシートやプレゼンテーションのデータなど) のセキュリティ。
- コミュニケーション: 内部および外部の利害関係者を彼らの関心に応じてターゲットにし、インターネット上で不必要に構造化されていない情報を公開しすぎないこと。
- ビジネス秘密: 企業の知的資本の保護
- マーケティング: 敏感な市場の特定、競合情報、
- 研究開発：マーケティングによって特定および検証された市場ニーズと研究開発プロセスの調整：ビジネス監視、技術監視、および企業の知的資本の開発からのデータの保護。
- 化学の例: タイヤおよび自動車産業向けの化学物質の安全データシートなど。
- 文書のトレーサビリティと欠陥製品に対する責任: 製品の品質の証明を提供できること。
- 購入: 購入リクエスト (航空、自動車など)、サプライヤーを選択するために使用される基準。
データ セキュリティには、データを構造化する特定の方法が含まれます。
マクロ経済レベルで
システムエンジニアリングでは、産業用制御システム、輸送システム、ガバナンス ビジネスと統合管理アプリケーション、知識エンジニアリング アプリケーション、意思決定など、異種システムと分散システム間の複数の相互接続により、データ セキュリティの問題が今日非常に重要になっています。金融市場システムなどのシステム構築
これらのシステムは現在、企業、公共サービス、国際機関、中央および準州行政（地域および都市）、研究および研究センター、大学、グランゼコール、商工会議所など、さまざまな組織で使用されています。私たちは時々ステークホルダーについて話します（英語のstakeholderの訳、直訳するとイシューハンター）。
関連する物理システムの多様性の例は、「分散ユニバースにおけるデータの一貫性」の記事にあります。
さらに詳しく調べるには:
- セキュリティのさまざまな側面については、セキュリティに関する記事を参照してください。
- コミュニケーションに関する側面については、 「コミュニケーション」を参照してください。
- 特に物理システムの相互接続に関連する問題については、相互運用性の記事を参照してください。
- リスクについては、 「リスク」を参照してください。
集合知と知識技術 (TICC、バーナード・ベッソンの表現) の出現により、情報の用途が状況に応じて明確に定義されておらず、コミュニケーションが不十分に管理されている場合、企業のスキルが失われるリスクがあります。
見る ：
- 使用
- コミュニケーション
- コミュニケーションにおける人間のコンテキストとコミュニケーションで使用されるモデル、
最も重要な問題は何よりも人間の問題であり、知的資本を維持することです。
専門用語で言えば、特に知識エンジニアリングにとって不可欠な「資産」の分類について話しています。
これらの問題は主権に関する問題を引き起こすほどです。
情報システムのセキュリティ概念の再確認
情報システムのセキュリティの側面
情報セキュリティにはいくつかの側面があり、それらもデータに関連しています。
- 機密保持、
- 誠実さ、
- 可用性。
ISO 13335標準(英語のみ) にも、否認防止、証拠管理 (説明責任)、および認証について言及されています。
- 認証は、アクセス制御の 3 つのフェーズの 1 つに対応し、機密性の領域に属します。アクセス制御に直接関係しない信頼性の概念もあります。データを参照する人にとって、それはデータの発行者または作成者の身元を自分自身に確信させる問題です。
- 否認防止の目的は、データの作成者が後で自分が作成者ではないと主張することを防ぐことです。それは誠実さを意味しますが、それを超えています。
- 証拠管理 (説明責任) は、情報システムのセキュリティのあらゆる側面に関係します。
基本的な概念
国際レベルで定義された共通基準は、保護プロファイルの形式で文書化する必要があり、これらは最高レベルで情報セキュリティを確保するために不可欠な情報です。
情報システムの都市化では、データマッピングを確立する前に、保護プロファイルの定義が主要な前提条件の 1 つである「戦略的調整」を実行する必要があります。
情報システムセキュリティプレーヤー
情報システム セキュリティの専門家は、次の 3 つのタイプのセキュリティ アクターを認識しています。
- 認証局、
- 登録機関、
- 認証事業者。
1991 年にヨーロッパでセキュリティ ポリシー組織標準である ITSEC が定義されましたが、これは国際標準 (ISO) の地位を取得していませんでした。
すべての大企業には、情報システム セキュリティ マネージャー (CISO) がおり、ケースに応じて IT ディレクターまたはセキュリティ ディレクターに階層的に報告されます。 CISO がセキュリティ責任者に階層的に報告する場合、CISO は IT 責任者と機能上の関係を持ちます (逆も同様です)。
組織
データ セキュリティを組織することは、情報システム セキュリティの重要な部分です。情報システムのセキュリティ ポリシーで定義する必要があります。
このポリシーは、認証プロセスにおける企業の利害関係者と信頼できる第三者のそれぞれの役割を示す必要があります。
データを使用したグローバルな分析により、PSSI を特殊なポリシー (コンピューター システム、ネットワークなど) に分解することが可能になります。
データセキュリティプロジェクト
機密データの特定と評価
機密データを保護するには、まず保護対象の会社資産とその価値を認識する必要があります。
すべての種類の資産が標準化されていないにもかかわらず、さまざまな分類が存在します。
ここでは、ISO 13335-1 標準 (IT セキュリティの概念とモデル) によって提案されている短いリストを示しますが、フランス語に翻訳されていないことに注意してください。
- 人々 、
- 製品、サービス、
- 物理的資産、
- 情報/データ (構造化されているかどうか)、
- 無形の資産。
人材に関しては、健康状態を超えて、ノウハウが会社にとって最大の関心事であることに気づくでしょう。その評価は知識工学において非常に重要です。
従来の会計手法では、この種の資本は考慮されていません（資本を参照）。
ビジネス インテリジェンス モデルでは、情報資産の強化と保護には次の重要なポイントが集約されると考えられます。
- 倫理：
- プライバシーと個人データの保護、
- 情報収集および影響力の実践における倫理の適用、
- 情報と影響力のアウトソーシングにおける存在論的厳密性の適用。
- いくつかのタイプの値による価値の創造:
- 株主、
- お客様、
- スタッフ、
- コミュニティ、
- パートナー (イノベーションの開発)。
- 写真:
- 感知、
- 評価、
- プロモーション。
ビジネス インテリジェンスおよびナレッジ エンジニアリングの監査方法では、企業の記憶の要素を管理管理プロセスと並行してリスト化し、評価し、ビジネス プロセスに構造化できる標準的なアンケートも提供されます。
これらはすべて保護する必要がある資産です。無形資本に関する最新の研究、特に 2006 年に実施された CIGREF 研究では、データの信頼性と監査可能性が企業の無形資本の評価、したがって知識の投資収益率の評価に必要な条件であることが示されています。エンジニアリングプロジェクトと価値創造。
信頼できるサードパーティの選択
組織の戦略と情報システムのセキュリティ ポリシーの一環として、IS 管理者は提案された保護プロファイルに基づいて信頼できるサードパーティを選択する際に細心の注意を払う必要があります。
安全なデータアーキテクチャの設計
専門家さえも、セキュリティと情報システムのアーキテクチャの間には関係があると述べています。
保護プロファイルの評価と実装には、共通の基準を検討し、それを情報システムの適切なレベルに位置付ける必要があります。都市計画メタモデルの使用は、セキュリティの影響がコンピュータ ハードウェアからすべてのソフトウェア層およびネットワークに至るすべてのレベルで見られるため、保護プロファイルを評価および実装するための共通のベンチマークを見つけるのに役立ちます。
情報システムプロジェクト、おそらく情報システム都市化プロジェクトが存在する場合は、情報セキュリティに対応するデータを統合する必要があります。
ミクロ経済レベルの課題に対応するには、記録管理標準を実装する必要があります (記録管理。分野別 ISO 標準のリストを参照)。ドキュメント (基本的には顧客、製品、サービス) のインデックスを作成するデータ (メタデータ) を構造化し、管理管理アプリケーションとエンジニアリング アプリケーション (ドキュメント) を統合できるように、このデータが同等の構造を持つようにする必要があります。 、ウェブサイト、フォーラム、いわゆる非構造化情報）。
例: 購入プロセスでは、サプライヤーから購入したい航空機エンジンのコンポーネントの仕様書を、購入要求レベルで非常に正確に特定できなければなりません。これらには、トレーサビリティ、ライフサイクル分析、価格評価 (TCO)、欠陥製品に対する責任、および画像が含まれます。
公開キー基盤 (PKI) の使用は、メタデータ レジストリの使用に関連付けられている場合にのみ、複雑なネットワーク アプリケーションで実際のセキュリティを提供します。電子証明書は識別子要素に関連付けることができます。
プログラム構成
情報システムセキュリティポリシーを導入することで、良好なデータセキュリティが得られます（詳細記事を参照）。
1996 年に開発された ISO 13335 規格は、セキュリティ管理プログラムの大まかな概要をすでに示しており、これは当時重要な問題でした。
このようなプログラムは、組織のいくつかのレベルにあります。
- グループ レベル:
- セキュリティ全般の専任マネージャー、
- 特に専任のITセキュリティマネージャー。後者は、情報システム セキュリティ マネージャー、または略して CISO と呼ばれます。後者は、他の分野 (健康と安全など) のセキュリティ手順を翻訳した IT セキュリティ手順を開発します。
- 部門（またはビジネスユニット）レベル、
- ドメインまたはプロジェクト レベル。ここで管理者が見つかります。
通常、階層の下位レベルでは、セキュリティ担当者がこの唯一のタスクを担当するわけではありません。多くの場合、これは特派員であり、同時に他の責任もあります。
このプログラムは運営委員会が設置されて初めて効果を発揮します。現代の議論方法はフォーラムです。したがって、コンピュータ セキュリティは、次のような役割を持つ特定のフォーラムの主題となる必要があります。
- 要件を特定し、
- マネージャーに下すべき決定についてアドバイスし、推奨事項を作成します。
- 手順を説明し、
- 情報セキュリティプログラムを設計し、
- アクションをレビューします。
このようなフォーラムには、他のプログラムとの関連性を調査する役割を担うセキュリティ担当者や特派員が含まれる場合があります。次のものが挙げられます。
- 一般的なセキュリティとリスク: セキュリティの機能的側面とコンテキストを考慮した上で、
- コミュニケーション: コミュニケーションに関連する特定のリスクを考慮し、
- 品質: 標準化の側面、
- 社会的責任: 純粋に機能的な側面。
データセキュリティのいくつかの側面
セキュリティ要件
一般に、情報システムのセキュリティ要件は、評価保証レベルスケールを使用して分析されます。
民生用途の場合、安全要件は通常、レベル EAL 4+ を超えません。
軍事用途の場合、安全要件の範囲は EAL 5 ～ 7 です。
情報システムの全体的なセキュリティは最も弱いリンクのセキュリティであり、データベースのセキュリティまたはアプリケーション間のインターフェイスのセキュリティによってよく表されます。したがって、DBMS およびインターフェイス システム (コンピューター バス、EAI) の EAL に関心を持つことが重要です。
フリー ソフトウェアの場合、フリー ソフトウェア コミュニティの経済力が低いため、使用されるデータベース (MySQL など) のセキュリティ レベルは、EAL スケールでは一般的にかなり低くなります。
情報資産の保護
情報資産を効果的に保護するには、何よりも法的枠組みを徹底的に検討する必要があります。規制には階層があることを認識することが非常に重要です。たとえば、欧州連合では、欧州の指令が加盟国の法律より優先されます (基準の階層)。
この法的研究を次の要素と組み合わせる必要があります。
- 一般的なレベルの IT セキュリティ (特に機密性) を備えた同じデータセットの電子文書を扱う人々のプロファイルの定義
- 機密データ (「資産」) の特定。
データと実践コミュニティの両方を適切に構造化する必要があり、それらには活動の領域とセキュリティのレベルが共通しています。これはコンテンツ管理の重要な側面です。
メタデータは、メタデータ レジストリを使用して標準化された方法で使用する必要があります。各要素がセキュリティにどのように介入するか、また関連する改良点 (識別子と関連する電子証明書、文書の性質、文書の範囲、権利、対象者など) を検討する必要があります。
証拠管理
(英語での記録管理)。
実際には、データ セキュリティは電子データの記録に関する措置を通じて実装する必要があります。
録音のセキュリティ
セキュリティの管理を可能にするデータは、選択される（または選択される）保護プロファイルにリンクされており、作成された記録が個人または人の行動の証拠を提供できるような方法で情報システムに配置されなければなりません。会社とそれに付随する事務。
証拠管理は、ISO 15489 標準 (英語およびフランス語) という規格の対象です。
データの記録と証拠の管理
したがって、データセキュリティと記録および証拠管理は非常に密接に関連しています。
ライフサイクルおよび関連プロセス（セクター）全体にわたって適切なデータ記録がなければ、適切な証拠管理はあり得ません。したがって、次の操作への影響を非常に正確に記述する必要があります。
- バックアップ、ストレージ、
- アーカイブ。
これらのプロセスには、知識工学の言葉で言えば、いわゆる形式知の資本が含まれているため、コンピューター サイエンスにおいて最も重要です。
結局のところ、データと情報処理の側面を完全に分離することは明らかに不可能であるため、データ アーキテクチャの選択は、コンピュータの物理アーキテクチャ、特にマルチタスク プロセスを実行する能力に大きな影響を与えます (マルチプロセッサも参照)。このため、情報システムの都市化へのアプローチの一環としてデータ セキュリティを研究することが好ましいのです。
個人データの保護
欧州連合にはプライバシー保護に関する規制があり、特にデータ保護に関する 1995 年 10 月 24 日の指令 95/46 があります。 G29は、欧州連合内のデータ保護当局の調整を担当する欧州グループです。
参照整合性
標準化と認証
標準化
適用される規格は次のとおりです。
- ISO 13335 の定義、概念、モデル、
- 要件と共通基準に関する ISO 15408。
特にメタデータについては、「メタデータの正規化」を参照してください。
証拠または説明責任の管理 (英語では記録管理) については、ISO 15489 および記録管理、メタデータ (英語のみ) を参照してください。
ISO 27000 規格は、情報システム セキュリティの一般規格です。
認証
ISO 15408 標準の適用に関して、フランスには評価を担当する CESTI (情報技術セキュリティ評価センター) が 6 つあります。
- アルゴリエル
- AQL（シリコンプ）、
- CEA レティ、
- セアチ、
- オッピダ
- サーマテクノロジー。
最終的に、承認を検証し、証明書を発行するのは DCSSI です。