Usages de la journalisation
En raison de ses missions, le RSSI est régulièrement confronté à quatre besoins
différents.
Détecter : parmi les missions du RSSI, une des plus importantes consiste à détecter
les incidents aussi vite que possible, car plus un incident est détecté rapidement, plus
ses conséquences sont limitées. Des dispositifs techniques de détection s’imposent.
Enquêter : il arrive régulièrement qu’une enquête soit nécessaire pour lever le doute
sur un événement suspect. Seulement, pour enquêter, encore faut-il disposer de traces.
Aussi des traces techniques sur les activités clés du système s’avèrent nécessaires.
Répondre aux exigences légales : en marge des incidents de sécurité, tout organisme
public ou privé est tenu de mettre à la disposition de la justice un certain nombre
d’informations. Des dispositions doivent impérativement être prises en ce sens, sous
peine d’être en infraction avec la loi.
Revues : le RSSI est en charge de superviser les revues périodiques sur les comptes et
sur les droits des éléments les plus sensibles du SI. Pour réaliser ces revues, il est
nécessaire de disposer des traces de l’activité des différents utilisateurs concernés.
La journalisation répond précisément à ces besoins. Elle peut être utilisée pour détecter
en temps réel des événements suspects ou bien pour enquêter après coup. Elle permet
aussi de répondre aux obligations légales.