CaseFile : La ROOT 27001

Pour ne plus être perdu sur la Route 66 de l’ISO 27001, Il me fait plaisir de vous présenter Case File le petit dernier de Maltego Teeth. Ce dernier est intégré dans la distribution Kali-Linux .

L’application Maltego Case File est disponible sous  Java avec le support des systèmes Windows / Mac / Linux et la version officielle est disponible sur le site de Paterva .

Quésaco

CaseFile est une émanation allégée de Maltego Teeth. Il s’agit essentiellement de la même application graphique avec des bridages de fonctions (investigation en ligne). CaseFile vous permet d’ajouter rapidement, de lier et d’analyser les données au travers de nœud.

L’application a la possibilité de visualiser des données stockées dans des fichiers aux formats CSV, XLSX ainsi que d’exporter les représentations au format graphique.

Un atout complémentaire est la génération d’un rapport PDF reprenant l’ensemble des éléments avec les interactions.

L’application vise un besoin d’analyse «hors ligne» dont les sources d’information sont acquises  «sur le terrain», en recueillant des renseignements auprès d’autres personnes dans l’équipe et en dressant une carte d’information de leur investigation.

L’application répond à une formalisation  pour représenter des attaques, des scénarios de menaces ou un risque sur un processus. Il est un des outils indispensable de l’investigation numérique.

Le cas d’usage ISO 27001

Notre cas d’usage était de pouvoir modéliser la liste des mesures présentes en annexe de la norme ISO/IEC 27001:2013 et ainsi de pouvoir y attacher des actions ou de suivre les évolutions de cette norme.

Le premier pas

Pour pouvoir modéliser cette norme, il a fallu créer trois objets pour prendre en compte les domaines,  les objectifs et les mesures de sécurité. La création d’entités (Manage Entity) se fait assez rapidement avec une attribution d’un nom à l’objet, d’une description, d’un nom unique et d’un logo.

Le second pas

La modélisation se fait avec le glissement des objets sur la feuille, ensuite pour chaque objet, on lui affecte son attribut  à savoir dans notre cas d’usage les domaines,  les objectifs et les mesures cités en annexe de la norme ISO 27001:2013.

Après cette opération, il faut établir les relations entre les objets avec la relation suivante :

Un domaine intègre un ou plusieurs objectifs de sécurité ;
Un objectif intègre une ou plusieurs mesures de sécurité.

 

La navigation dans la galaxie

La modélisation des mesures de la norme ISO/IEC 27001, vous permet de naviguer sur les 14 domaines repris ci-dessous :

– A5 – Politiques de sécurité
– A6 – Organisation de la sécurité de l’information
– A7 – Sécurité des ressources humaines
– A8 – Gestion des actifs
– A9 – Contrôle d’accès
– A10 – Cryptographie
– A11 – Sécurité physique et environnementale
– A12 – Sécurité liée à l’exploitation
– A13 – Sécurité des communications
– A14 – Acquisition, développement et maintenance des systèmes d’information
– A15 – Relations avec les fournisseurs
– A16 – Gestion des incidents liés à la sécurité de l’information
– A17 – Aspects de la sécurité de l’information dans la gestion de la continuité de l’activité
– A18 – Conformité

et d’identifier les 35 objectifs et 114 mesures de sécurités de la norme . La documentation du modèle généré est reprise dans ce rapport ISO27001

Garder le cap avec l’ISO 27001.

Cette modélisation peut répondre tant à des besoins de cartographie de l’implémentation des mesures de sécurité de l’ISO  27001,  que pour la gestion de ses axes d’améliorations ou pour un audit d’un système.

 

Le fichier de modélisation  mtgx est disponible sur demande via un message linkedin.

Enregistrer