La gestion du risque et de la sécurité en mode Agile

© 2019 CGI inc. Confidentiel© 2019 Le groupe CGI inc.
Gestion du risque
et de la sécurité dans les projets
Réjean Rhéaume
MBA, Adm.A., CISA, CRISC, CGEIT, CCIPA, CCVM, ISO 27001 LA
Directeur-conseil – Expert
Agile Tour, Montréal, 2019
© 2019 CGI inc.

© 2019 CGI inc. Confidentiel
Une diapo pour se souvenir de tout…
• Disponibilité
• Intégrité
• Confidentialité
Sécurité
« DIC »
• Impact
• Menace
• Vulnérabilité
« I*M*V »
Risque
Action
• Détection
• Protection
• Réponse
• Recouvrement
« DPR2 »
2
Variantes RIPDICfan
Fiabilité
Authentification
Non répudiation

La sécurité en mode Agile…
3
Nous allons essayer
quelque chose appelé
programmation Agile.
Cela signifie moins de
planification et de
documentation.
Commencez juste à écrire
du code et à vous
plaindre.
Je suis
content
qu'il ait
un nom.
C’était
votre
formation.

La sécurité vs Agile?
• « La méthode Agile est un prétexte pour aller vite et ne pas faire
de la gestion de risque… » Est-ce vrai?
• « Je suis un expert de sécurité et j’ai de la difficulté à vivre avec la
méthode Agile. Cela me frustre. »
• « Nous avons des manières de faire éprouvées et la méthode
Agile est incompatible avec nos processus… »
4

La sécurité vs Agile?
• Comment arriver à certifier, avant la livraison finale au client, qu’un
système est sécuritaire, qu’il rencontre toutes les exigences de
sécurité alors que ce même système va être spécifié, construit,
testé et mis en production par morceaux, par étapes ?
• Est-ce un problème ou une opportunité pour notre approche de
sécurité?
• Faudrait-il revoir notre processus d’intégration habituel de la
sécurité dans les projets pour le rendre plus vivable?
5

Source: http://spiresecurity.com/?p=507 (traduction)
Propriétaire
Contre-mesure
Vulnérabilité
Risque
ActifsMenace
Agent de
menace
possède
veut diminuer
diminue
impose
peut être
au courant
réduit par amène
qui implique
qui implique
qui accroit
qui exploite
veut abuser
met en œuvre
Vraisemblance
généralement
difficile à évaluer
Le grand dessein de sécurité
6
• Expertise?
• Motivation?
• Opportunité?
• Groupe?

La sécurité dans les projets c’est quoi?
7
L’intégration de la sécurité dans les projets est une méthode pour réaliser les actions « sécurité »
pour s’assurer que les risques soient atténués (ou acceptés)
Concevoir
ConstruireÉvaluer
Maintenir
Une analyse de risque formalise…
Besoins d’affaires
Solution TI
Risques bruts à
réduire
Mesures de sécurité
à mettre en œuvre
Risques résiduels
acceptés par les
affaires
PDCA

La sécurité en « V »
8
Ca tient la route facilement, on suit le courant de la rivière.
On se colle sur le cycle de projet et on fait la sécurité en même temps que le reste,
on teste en même temps, on livre le tout en même temps.
Besoins Conception Implantation Vérification MaintenanceProjet
Analyse des besoins de
sécurité + conformité
Analyse de risque
Mise en œuvre des
solutions de sécurité
Recette globale
Gouvernance
Audit de sécurité
Séparation des tâches
Choix des mesures
Risques résiduels
Sécurité

La sécurité en mode Agile
9
Mais en mode Agile ça ne peut pas fonctionner comme ça...
AGILE
« V »
Délai « idéal » de
mise en œuvre
d’une évolution
Court
Moyen
ou long
Stabilité
des
besoins
Instable
Stable

La sécurité en mode Agile
10
Équipe Scrum
Scrum Master
Sprint Review
MVP Minimal
Viable Product
Autres
(PM, etc.)
Rythme
d’itérations élevé
Absence de
compétences sécurité
lors des réunions
Ils ne se sentent
pas impliqués
Peu sensibilisée
aux bonnes
pratiques de
sécurité
Le produit
continue
d’évoluer après
la livraison
Client
Fonctionnalités
peu connues au
début du projet

Le grand principe de la solution
11
Adaptez le niveau de sécurité aux enjeux du projet
au niveau du MVPx, de façon itérative
Le niveau de sécurité va monter progressivement,
mais surtout commencer au bon niveau
Réajustez les objectifs de
sécurité à chaque itération

Un exemple (très simple sinon simpliste…)
12
Votre projet est de mettre en place, notamment, un site web avec une page d’authentification
file:///Users/CGI/test/test.html
Allo!
Un « hacker » s'empare de la page?
• Impact pour l'entreprise = nul (pour cette page là! Pas pour le reste…)
• Système non en production
• Sécurité minimum!
MVP1

• Dans le projet en « V », l'affichage de cette page n'aurait jamais pu se faire
• Il aurait fallu que :
• l'ensemble du système soit homologué
• le système de sécurité complet des serveurs soit mis en place...
• Même si cette solution sécuritaire porte sur 1% des fonctions développées…
• 99% de fonctions sont encore non développées
13

14
MVP2
Allo!
https://cgitestexterne.com/test/test.html
Allo!
Identifiez-vous!
Usager: xxxx
Mot de passe: xxxx
Un « hacker » s'empare de la page?
• Impact pour l'entreprise = limité
• Serveur externe non relié à nos systèmes en
production
Un nom d’usager / mot de passe est suffisant!

Allo!
https://cgi.com/test.html
Allo!
Identifiez-vous!
Usager: xxxx
Mot de passe: xxxx
15
MVP3 Un « hacker » s'empare de la page?
• Impact pour l'entreprise = fort
• Serveur relié à nos systèmes en production
Un nom d’usager / mot de passe et un 2FA sont
nécessaires!

ATTENTION!
16
Bâtissez sur vos fondations
N’enlevez jamais une brique d’en
dessous
Faites des tests de régression
Intégrez un spécialiste sécurité
dès le début

© 2019 CGI inc. Confidentiel 17
En intégrant la sécurité dès le départ…
Besoins
en contrôle
de sécurité
MVP1 MVP2 MVP3 Produit
final
Départ Test 1 Test 2 Test 3
Évolution du projet
Un plus grand effort est demandé à la sécurité pour diviser ses contrôles au début du projet

Le coût de ne pas le faire tôt?
18
Effort
Phases
Habilité à influencer les coûts
et la capacité fonctionnelle Coûts de changements
Source: Patrick MacLeamy (HOK)
Épargne
potentielle

Quelques pistes de solutions
19
• Sensibilisation de l’équipe
Projet
• Protection des documents
Projet et des données de
tests
• Sécurisation de
l’architecture de
développement
• Déploiement des outils de
tests de sécurité
• Revue d’architecture
• Durcissement de la base
• Sécurité de l’hébergement
• Intégration de la sécurité
dans les ateliers de
conception (couvrant au
minimum : données, flux,
transactions, accès)
• Test unitaire de sécurité /
revue de code
• Correction des codes
• Sécuriser la mécanique du
projet
• Connaître les exigences de
sécurité dès le départ
• Déterminer la granularité des
exigences
• Pas de « Big Bang »
• La solution de sécurité ne
doit pas être
disproportionnée vs le MPV
1 2 3

Le gros avantage?
20
Vous faites un audit en continue
Vous prouvez vos avancements
au fil de l’eau…

Et maintenant le risque…
21© 2019 CGI inc.
Ça, c'est le
numéro
trente-six.
Je ne
comprends
pas ces
risques.
Risque 1: Indécision
Risque 2: Sur-analyse
Risque 3: Ignorance
Risque 4: Micro-gestion
Risque 5: …
Nous aurions besoin
d'une analyse de
risque sur ce projet
avant de pouvoir
l'approuver.

Définitions… (officielles et « langage courant »…)
22
Le risque se définit comme
la probabilité d'un
événement et ses
conséquences.
La gestion des risques est
l'utilisation de processus,
méthodes et outils pour
gérer ces risques.
© 2019 CGI inc.
Quelque chose de
mauvais pourrait
arriver…
C’est paraître
intelligent en
prenant des chances

Risque = Menace x VulnérabilitéImpact x( )
Risque
23
Un risque c’est…

Probabilité,
vraisemblance
ou « likehood »
Rapidité ou
« velocity »
Risque = Menace x Vulnérabilité
( )Contre-mesure*
Contre-mesure*
* Contre-mesure = « contrôles »
« Valeur » de
l’actif attaqué
Initiation
Succès
Efficacité
Prédisposition?
Sévérité?
Omniprésence?
Facilité de découverte?
Facilité d’exploitation?
Connue?
Détection de l’intrusion?
Risque
24
Impact x

Probabilité,
vraisemblance
ou « likehood »
Risque = Menace x Vulnérabilité
Rapidité ou
« velocity »
( )Contre-mesure*
Contre-mesure*
* Contre-mesure = « contrôles »
?

Risque
25
Impact x
Probabilité,
vraisemblance
ou « likehood »
« Valeur » de
l’actif attaqué
Initiation
Succès
Efficacité
Prédisposition?
Sévérité?
Omniprésence?
Facilité de découverte?
Facilité d’exploitation?
Connue?
Détection de l’intrusion?

Risque = Impact x Probabilité
Productivité
Réponse
Remplacement
Amendes et jugements
Avantage compétitif
Réputation
• Technique ou affaires?
• Criticité (DIC)
• Coût ou financière
• Sensibilité
• Embarras
• Avantage compétitif
• Légal-Règlementaire
• Conformité
Actif
Perte
Valeur
Risque

26

Souvent, c’est quoi le problème?
27© 2019 CGI inc.

30
• « Humain »
• Préjugé
• Attitude
• Propension naturelle
• Biais cognitif*
© 2019 CGI inc.
* Déviation systématique de la pensée logique et rationnelle par rapport à la réalité
• Confiance
• Manque d’imagination
• Habitudes
• Vie compliquée

29
1922Niels Bohr
L’électron
est là!
1) Le risque, c’est précis! (!) L’électron
est quelque
part par là!
Chaque science
« exacte »
est basée
sur des
approximations
Erwin Schrödinger1922 1933

30
2) Souvent, seul le « buffer » est pris en compte dans la solution
Cumul des expositions au risque
• Avec ce calcul nous finirons par avoir une belle
courbe de distribution
• Ce qui implique que: soyez assuré que le tiers
de vos projets seront soit en retard soit sous-
budgété
Méthode de la chaîne critique (CCPM ou Critical
Chain Project Management)
• Le « buffer » est la différence entre le temps
« au plus tôt » et le temps « au plus tard »
• Le client voudra « au plus tôt », les ressources
« au plus tard »…
• On montrera au client « au plus tard » et aux les
ressources « au plus tôt »…
© 2019 CGI inc.
Méthode PO4PP6 (« pocat-pépésix » via Planning Poker notamment)
« Buffer » = Pessimiste – ((Optimiste + (4 x Probable) + Pessimiste) / 6)
Méthode 15%
On ajoute 15%

31
La prémisse que l’on a est que la valeur des ressources
est la même avant le « buffer » qu’après (ou pendant)…
C’est faux!
“The calculation of buffer size considering activity schedule risk”
N. Cui & J. Hao, Huazhong University, 2017
© 2019 CGI inc.

32
Analogie avec des travaux routiers
• Pourquoi passons-nous devant des
travaux routiers où rien ne semble
se faire?
• Nous attendons en file indienne
pour pouvoir passer ces travaux et
cela nous enrage… pourquoi?
© 2019 CGI inc.

33
3) On préfère se dire que la gestion du risque c’est compliqué
Il y a 93,75% de chances que la médiane d'une population se situe entre les valeurs
les plus petites et les plus grandes dans un échantillon aléatoire de cinq personnes de
cette population
© 2019 CGI inc.
Étant donné le maximum d'incertitude quant à une proportion de la population (telle
que vous pensez que la proportion pourrait être comprise entre 0% et 100%, toutes
les valeurs étant également vraisemblable), il y a 75% de chances qu'un seul
échantillon choisi au hasard appartienne à la majorité de la population.
www.hubbardresearch.com
La règle
du 5
La règle
du simple
échantillon

34
3) On préfère se dire que la gestion du risque c’est compliqué
© 2019 CGI inc.
C’est la vérité mathématique qui contredit l'intuition
L’incertitude d’une donnée annule souvent celle d’une autre
Le paradoxe des
anniversaires
Dans un groupe de 25 personnes, il y a plus de 50% de chance que deux
personnes aient leur anniversaire le même jour.
Pour un groupe de 50 personnes, c’est 95% !
Pour un groupe de 57 personnes, c’est 99% !

35
Estimation de
Fermi
© 2019 CGI inc.
Combien d’accordeurs de piano à Chicago ?
Population de la région métropolitaine de Chicago 9 000 000
Nombre de foyer (2 personnes/foyer) 4 500 000
Nombre de piano (Un foyer sur 20 possède un piano) 225 000
Nombre d'accordage / an 1
Nombre d'accordage total 225 000
Heures de travail par jour par accordeur 8
Nombre de jours / semaine 5
Nombre de semaines travaillées par an 48
Nombre d'heures travaillées par an par accordeur 1 920
Temps requis (heure) pour l'accordage (incluant transport) 2
Nombre de piano accordé / an / accordeur 960
Nombre d'accordeur de piano total 234
Nombre réel d'accordeur (2009) 290
National Archives Identifier: 558578

36
Minimiser les pertes Maximiser les gains
1 10
* Petit sondage à faire…
© 2019 CGI inc.
Vous recevez 5 000$
tout de suite
Pile: Vous recevez 20 000$
Face: Vous payez 10 000$
Même
espérance
de gain
4) Le votre profil de joueur dans les affaires

37
-60 -40 -20 0 20 40 60 80 100
Il faut réduire
l’écart-type
Factor Analysis of
Information Risk (FAIR)
modèle pour comprendre,
analyser et quantifier les
risques liés aux
informations en termes
financiers.
5) Le risque est trop large
ISO31000
Brainstorming
Entretiens
Delphi
Liste de contrôles
Analyse préliminaire du danger
HAZOP
ICHIKAWA
5P/5M/5W
Risques environnementaux
SWIFT
Scénarios
Impact sur l’activité
Causes profondes
Modes de défaillance et leurs effets
Arbre de panne
Arbres d’événements
Causes-conséquences
Causes et effets
LOPA
Monte-Carlo
Arbre de décision
Fiabilité humaine
Nœud papillon
Maintenance basée sur la fiabilité
Analyse transitoire
Markov
Réseaux de Bayes
Courbes FN
Indices de risque
Matrice conséquence / probabilité
Coût / bénéfice
ADCM

38
Pensez à utiliser une méthode
statistique de gestion de risque
telle que la Simulation Monte
Carlo*
Elle est de plus en plus utilisée de
nos jours malgré son âge…
* Nicholas Metropolis 1947
© 2019 CGI inc.
http://quantmleap.com/blog/2009/10/monte-carlo-simulation-for-dummies/

39
• Peu importe la complexité ou la singularité de votre problème
de mesure, supposez qu’il a déjà été mesuré auparavant.
• Si vous êtes débrouillard, vous pouvez probablement trouver plus
de sources de données que vous ne le pensiez au début.
• Vous avez probablement besoin de moins de données que votre
intuition ne vous le dit.
“How to measure anything in cybersecurity risk”
D.W. Hubbard & R. Seiersen, Wiley, 2017
© 2019 CGI inc.
“If you know almost nothing,
almost anything will tell you something.”

6) On ne tient pas assez compte du risque intégré…
Mettez-vous dans la peau du client, pouvez-vous répondre à ces questions?
Puis… des premières questions à nous poser:
• Dans quelle mesure le projet est-il en phase avec les préoccupations du client?
• Qu'est-ce qui pourrait faire dérailler le projet que nous allons commencer?
• Quel risque ai-je tendance à sous-estimer ?
• Puis-je nommer trois risques que je veux éviter à tout prix?
• Comment je m’assure qu'ils ne se réalisent pas? Puis-je l’expliquer?
• Comment mon risque le plus préoccupant a-t’il évolué depuis un
an?
© 2019 CGI inc.
?
41

Les avantages de la gestion du risque
1) Identifier les problèmes potentiels
2) Être proactif pour y remédier
3) Ne pas mettre son/sa supérieur (ou son client) dans l’ignorance
4) Vous gardez le contrôle
5) Vous suivez votre projet au fil de l’eau
6) Vous protégez vos arrières
7) Vous faites des choix rationnels
8) Vous protégez les objectifs du projet
42

Quelques commentaires en terminant…
43
1) Avez-vous au moins une de vos méthodes de gestion
de risque qui fonctionne?
2) Avez-vous quelqu'un dans votre organisation qui le
saurait si la gestion du risque ne fonctionnait pas?
3) Si votre gestion du risque ne fonctionne pas, quelles
en seraient les conséquences?
Une faible gestion du risque est votre plus grand risque
© 2019 CGI inc.
“How to measure anything in cybersecurity risk”
D.W. Hubbard & R. Seiersen, Wiley, 2017

Questions?
44© 2019 CGI inc.
Comment pouvez-vous
être sûr qu'il n'y a
aucun risque imprévu
avec ce plan?
Il n'est pas possible de
savoir si on a pris en
compte tous les risques.
Par conséquent, nous ne
pouvons jamais être sûrs,
Alors ... je
peux toujours
vous en vouloir
pour tous les
problèmes qui
apparaissent?
Oui, cette
partie du
processus
est
toujours
intacte.

Quelques références utiles
http://www.PensezCybersecurite.gc.ca
http://www.canada.ca/fr/secretariat-conseil-tresor/organisation/gestion-risque.html
https://www.tresor.gouv.qc.ca/ressources-informationnelles/publications/
https://www.iso.org
Voir la série ISO 27000, 27001, etc… pour la sécurité
Voir la série ISO 31000 pour la gestion du risque
45

La gestion du risque et de la sécurité en mode Agile

Empfohlen

Empfohlen

Weitere ähnliche Inhalte

Was ist angesagt?

Was ist angesagt? (20)

Ähnlich wie La gestion du risque et de la sécurité en mode Agile

Ähnlich wie La gestion du risque et de la sécurité en mode Agile (20)

Mehr von Agile Montréal

Mehr von Agile Montréal (20)

La gestion du risque et de la sécurité en mode Agile