Enviar pesquisa
Carregar
guide_hygiene_informatique_anssi.pdf
âą
0 gostou
âą
2 visualizaçÔes
khalid el hatmi
Seguir
it
Leia menos
Leia mais
Tecnologia
Denunciar
Compartilhar
Denunciar
Compartilhar
1 de 72
Baixar agora
Baixar para ler offline
Recomendados
Guide hygiene informatique_anssi
Guide hygiene informatique_anssi
Gaudefroy Ariane
Â
Guide hygiene informatique Anssi
Guide hygiene informatique Anssi
Agathe Mercante
Â
Guide hygiene informatique_anssi
Guide hygiene informatique_anssi
kabengniga ibrahima soro
Â
Guide d'hygiĂšne informatique - ANSSI - 2014
Guide d'hygiĂšne informatique - ANSSI - 2014
polenumerique33
Â
Sã©curitã© des systãšmes d'information
Sã©curitã© des systãšmes d'information
Dany Rabe
Â
Guide hygiene informatique_anssi
Guide hygiene informatique_anssi
Samy Ntumba Tshunza
Â
Comment appliquer le principe du Privacy By Design
Comment appliquer le principe du Privacy By Design
Thierry RAMARD
Â
Le guide de l'hygiĂšne informatique
Le guide de l'hygiĂšne informatique
NRC
Â
Recomendados
Guide hygiene informatique_anssi
Guide hygiene informatique_anssi
Gaudefroy Ariane
Â
Guide hygiene informatique Anssi
Guide hygiene informatique Anssi
Agathe Mercante
Â
Guide hygiene informatique_anssi
Guide hygiene informatique_anssi
kabengniga ibrahima soro
Â
Guide d'hygiĂšne informatique - ANSSI - 2014
Guide d'hygiĂšne informatique - ANSSI - 2014
polenumerique33
Â
Sã©curitã© des systãšmes d'information
Sã©curitã© des systãšmes d'information
Dany Rabe
Â
Guide hygiene informatique_anssi
Guide hygiene informatique_anssi
Samy Ntumba Tshunza
Â
Comment appliquer le principe du Privacy By Design
Comment appliquer le principe du Privacy By Design
Thierry RAMARD
Â
Le guide de l'hygiĂšne informatique
Le guide de l'hygiĂšne informatique
NRC
Â
ESTEM5A PART 1 POLITIQUE DE securite informatique.ppt
ESTEM5A PART 1 POLITIQUE DE securite informatique.ppt
NourAkka1
Â
Note technique ANSSI 2015 - Recommandations relatives Ă lâadministration sĂ©cu...
Note technique ANSSI 2015 - Recommandations relatives Ă lâadministration sĂ©cu...
polenumerique33
Â
CNIL - Guide de la sécurité des données personnelles
CNIL - Guide de la sécurité des données personnelles
Christophe Elut
Â
Cnil guide securite_personnelle
Cnil guide securite_personnelle
Dominique Gayraud
Â
ANSSI D2IE Formation à la cybersécurité des TPE / PME
ANSSI D2IE Formation à la cybersécurité des TPE / PME
polenumerique33
Â
resume-theorique-m212-cybersecurite-v1-1509-_2.pdf
resume-theorique-m212-cybersecurite-v1-1509-_2.pdf
FootballLovers9
Â
anssi-guide-tpe_pme.pdf
anssi-guide-tpe_pme.pdf
rodolphe gilbert-collet
Â
2015-05-21 Atelier N°14 SSA 2015 "Politique générale de sécurité des SIS : co...
2015-05-21 Atelier N°14 SSA 2015 "Politique générale de sécurité des SIS : co...
ASIP Santé
Â
Baudoin karle-ids-ips
Baudoin karle-ids-ips
Yassmina AGHIL
Â
Programme de cybersécurité : Implementer le framework NIST CSF en entreprise
Programme de cybersécurité : Implementer le framework NIST CSF en entreprise
EyesOpen Association
Â
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
FootballLovers9
Â
EBIOS
EBIOS
Houda Elmoutaoukil
Â
resume-theorique-m206-v1-0-62f6e972d0748.pdf
resume-theorique-m206-v1-0-62f6e972d0748.pdf
Amineelbouabidi
Â
Mehari
Mehari
Afaf MATOUG
Â
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
Jean-Michel Razafindrabe
Â
Solucom lettre sécurité 36 janvier 2015 1201web
Solucom lettre sécurité 36 janvier 2015 1201web
Wavestone
Â
Mehari
Mehari
Houda Elmoutaoukil
Â
Sensibilisation personnel a la protection des informations sensibles
Sensibilisation personnel a la protection des informations sensibles
vendeers
Â
La sĂ©curitĂ© des systĂšmes dâinformation
La sĂ©curitĂ© des systĂšmes dâinformation
lara houda
Â
2013-11-21 ASIP SantĂ© JNI "Point dâavancement PGSSI SantĂ©"
2013-11-21 ASIP SantĂ© JNI "Point dâavancement PGSSI SantĂ©"
ASIP Santé
Â
Mais conteĂșdo relacionado
Semelhante a guide_hygiene_informatique_anssi.pdf
ESTEM5A PART 1 POLITIQUE DE securite informatique.ppt
ESTEM5A PART 1 POLITIQUE DE securite informatique.ppt
NourAkka1
Â
Note technique ANSSI 2015 - Recommandations relatives Ă lâadministration sĂ©cu...
Note technique ANSSI 2015 - Recommandations relatives Ă lâadministration sĂ©cu...
polenumerique33
Â
CNIL - Guide de la sécurité des données personnelles
CNIL - Guide de la sécurité des données personnelles
Christophe Elut
Â
Cnil guide securite_personnelle
Cnil guide securite_personnelle
Dominique Gayraud
Â
ANSSI D2IE Formation à la cybersécurité des TPE / PME
ANSSI D2IE Formation à la cybersécurité des TPE / PME
polenumerique33
Â
resume-theorique-m212-cybersecurite-v1-1509-_2.pdf
resume-theorique-m212-cybersecurite-v1-1509-_2.pdf
FootballLovers9
Â
anssi-guide-tpe_pme.pdf
anssi-guide-tpe_pme.pdf
rodolphe gilbert-collet
Â
2015-05-21 Atelier N°14 SSA 2015 "Politique générale de sécurité des SIS : co...
2015-05-21 Atelier N°14 SSA 2015 "Politique générale de sécurité des SIS : co...
ASIP Santé
Â
Baudoin karle-ids-ips
Baudoin karle-ids-ips
Yassmina AGHIL
Â
Programme de cybersécurité : Implementer le framework NIST CSF en entreprise
Programme de cybersécurité : Implementer le framework NIST CSF en entreprise
EyesOpen Association
Â
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
FootballLovers9
Â
EBIOS
EBIOS
Houda Elmoutaoukil
Â
resume-theorique-m206-v1-0-62f6e972d0748.pdf
resume-theorique-m206-v1-0-62f6e972d0748.pdf
Amineelbouabidi
Â
Mehari
Mehari
Afaf MATOUG
Â
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
Jean-Michel Razafindrabe
Â
Solucom lettre sécurité 36 janvier 2015 1201web
Solucom lettre sécurité 36 janvier 2015 1201web
Wavestone
Â
Mehari
Mehari
Houda Elmoutaoukil
Â
Sensibilisation personnel a la protection des informations sensibles
Sensibilisation personnel a la protection des informations sensibles
vendeers
Â
La sĂ©curitĂ© des systĂšmes dâinformation
La sĂ©curitĂ© des systĂšmes dâinformation
lara houda
Â
2013-11-21 ASIP SantĂ© JNI "Point dâavancement PGSSI SantĂ©"
2013-11-21 ASIP SantĂ© JNI "Point dâavancement PGSSI SantĂ©"
ASIP Santé
Â
Semelhante a guide_hygiene_informatique_anssi.pdf
(20)
ESTEM5A PART 1 POLITIQUE DE securite informatique.ppt
ESTEM5A PART 1 POLITIQUE DE securite informatique.ppt
Â
Note technique ANSSI 2015 - Recommandations relatives Ă lâadministration sĂ©cu...
Note technique ANSSI 2015 - Recommandations relatives Ă lâadministration sĂ©cu...
Â
CNIL - Guide de la sécurité des données personnelles
CNIL - Guide de la sécurité des données personnelles
Â
Cnil guide securite_personnelle
Cnil guide securite_personnelle
Â
ANSSI D2IE Formation à la cybersécurité des TPE / PME
ANSSI D2IE Formation à la cybersécurité des TPE / PME
Â
resume-theorique-m212-cybersecurite-v1-1509-_2.pdf
resume-theorique-m212-cybersecurite-v1-1509-_2.pdf
Â
anssi-guide-tpe_pme.pdf
anssi-guide-tpe_pme.pdf
Â
2015-05-21 Atelier N°14 SSA 2015 "Politique générale de sécurité des SIS : co...
2015-05-21 Atelier N°14 SSA 2015 "Politique générale de sécurité des SIS : co...
Â
Baudoin karle-ids-ips
Baudoin karle-ids-ips
Â
Programme de cybersécurité : Implementer le framework NIST CSF en entreprise
Programme de cybersécurité : Implementer le framework NIST CSF en entreprise
Â
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
resume-theorique-m206-v1-0-630dcd4c22d1d (1).pdf
Â
EBIOS
EBIOS
Â
resume-theorique-m206-v1-0-62f6e972d0748.pdf
resume-theorique-m206-v1-0-62f6e972d0748.pdf
Â
Mehari
Mehari
Â
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
cyberedu_module_4_cybersecurite_organisation_02_2017.pptx
Â
Solucom lettre sécurité 36 janvier 2015 1201web
Solucom lettre sécurité 36 janvier 2015 1201web
Â
Mehari
Mehari
Â
Sensibilisation personnel a la protection des informations sensibles
Sensibilisation personnel a la protection des informations sensibles
Â
La sĂ©curitĂ© des systĂšmes dâinformation
La sĂ©curitĂ© des systĂšmes dâinformation
Â
2013-11-21 ASIP SantĂ© JNI "Point dâavancement PGSSI SantĂ©"
2013-11-21 ASIP SantĂ© JNI "Point dâavancement PGSSI SantĂ©"
Â
guide_hygiene_informatique_anssi.pdf
1.
1 GUIDE DâHYGIĂNE INFORMATIQUE RENFORCER
LA SĂCURITĂ DE SON SYSTĂME DâINFORMATION EN 42 MESURES
2.
3.
1 AVANT-PROPOS Paru en janvier
2013 dans sa premiĂšre version, le Guide dâhygiĂšne infor- matique Ă©ditĂ© par lâANSSI sâadresse aux entitĂ©s publiques ou privĂ©es dotĂ©es dâune direction des systĂšmes dâinformation (DSI) ou de professionnels dont la mission est de veiller Ă leur sĂ©curitĂ©. Il est nĂ© du constat que si les mesures qui y sont Ă©dictĂ©es avaient Ă©tĂ© appliquĂ©es par les entitĂ©s concernĂ©es, la majeure partie des attaques informatiques ayant requis une intervention de lâagence aurait pu ĂȘtre Ă©vitĂ©e. Cette nouvelle version a fait lâobjet dâune mise Ă jour portant Ă la fois sur les technologies et pratiques â nouvelles ou croissantes â avec lesquelles il sâagit de composer en matiĂšre de sĂ©curitĂ© (nomadisme, sĂ©paration des usages, etc.) mais aussi sur la mise Ă disposition dâoutils (indicateurs de niveau standard ou renforcĂ©) pour Ă©clairer le lecteur dans lâapprĂ©ciation des mesures Ă©noncĂ©es. Si lâobjet de ce guide nâest pas la sĂ©curitĂ© de lâinformation en tant que telle, appliquer les mesures proposĂ©es maximise la sĂ©curitĂ© du systĂšme dâinforma- tion, berceau des donnĂ©es de votre entitĂ©. La sĂ©curitĂ© nâest plus une option. Ă ce titre, les enjeux de sĂ©curitĂ© numĂ©rique doivent se rapprocher des prĂ©occupations Ă©conomiques, stratĂ©giques ou encore dâimage qui sont celles des dĂ©cideurs. En contextualisant le besoin, en rappelant lâobjectif poursuivi et en y rĂ©pondant par la mesure concrĂšte correspondante, ce guide dâhygiĂšne informatique est une feuille de route qui Ă©pouse les intĂ©rĂȘts de toute entitĂ© consciente de la valeur de ses donnĂ©es.
4.
2 SOMMAIRE Avant-propos Mode dâemploi du
guide I- Sensibiliser et former - P.4 II- ConnaĂźtre le systĂšme dâinformation - p.8 III- Authentifier et contrĂŽler les accĂšs - p.13 IV- SĂ©curiser les postes - p.20 V- SĂ©curiser le rĂ©seau - p.26 VI- SĂ©curiser lâadministration - p.36 VII- GĂ©rer le nomadisme - p.40 VIII- Maintenir le systĂšme dâinformation Ă jour - p.45 IX- Superviser, auditer, rĂ©agir - p.48 X- Pour aller plus loin - p.55 Outil de suivi Bibliographie
5.
3 MODE DâEMPLOI DU
GUIDE Le prĂ©sent document comporte 42 rĂšgles de sĂ©curitĂ© simples. Chacune dâentre elles est importante et vous pouvez tout Ă fait les considĂ©rer indĂ©pendamment les unes des autres pour amĂ©liorer votre niveau de sĂ©curitĂ© sur quelques points particuliers. Cependant, nous vous conseillons dâutiliser ce guide comme base pour dĂ©finir un plan dâactions : 1. Commencez par Ă©tablir un Ă©tat des lieux pour chacune des rĂšgles grĂące Ă lâoutil de suivi qui se trouve en annexe de ce document. Pour chaque rĂšgle, dĂ©terminez si votre organisme atteint le niveau standard et, le cas Ă©chĂ©ant, le niveau renforcĂ©. 2. Si vous ne pouvez pas faire cet Ă©tat des lieux par manque de connais- sance de votre systĂšme dâinformation, nâhĂ©sitez pas Ă solliciter lâaide dâun spĂ©cialiste pour procĂ©der Ă un diagnostic et assurer un niveau de sĂ©curitĂ© Ă©lĂ©mentaire. (Ă lire : ANSSI-CGPME, Guide des bonnes pratiques de lâinformatique, mars 2015). 3. Ă partir du constat Ă©tabli Ă cette premiĂšre Ă©tape, visez en prioritĂ© les rĂšgles pour lesquelles vous nâavez pas encore atteint le niveau « standard », pour dĂ©finir un premier plan dâactions. Si les mesures de ce guide doivent ĂȘtre appliquĂ©es dans le cadre dâun rĂ©fĂ©rentiel publiĂ© par lâANSSI et sauf mention explicite, il sâagit des mesures de niveau « standard ». 4. Lorsque vous avez atteint partout le niveau « standard », vous pouvez dĂ©finir un nouveau plan dâactions en visant le niveau « renforcĂ© » pour les rĂšgles concernĂ©es.
6.
4 I SENSIBILISER ET FORMER
7.
5 Guide dâhygiĂšne informatique sensibiliser et former 5 I / standard Les Ă©quipes
opĂ©rationnelles (administrateurs rĂ©seau, sĂ©curitĂ© et systĂšme, chefs de projet, dĂ©veloppeurs, RSSI) ont des accĂšs privilĂ©giĂ©s au systĂšme dâinforma- tion. Elles peuvent, par inadvertance ou par mĂ©connaissance des consĂ©quences de certaines pratiques, rĂ©aliser des opĂ©rations gĂ©nĂ©ratrices de vulnĂ©rabilitĂ©s. Citons par exemple lâaffectation de comptes disposant de trop nombreux privilĂšges par rapport Ă la tĂąche Ă rĂ©aliser, lâutilisation de comptes personnels pour exĂ©cuter des services ou tĂąches pĂ©riodiques, ou encore le choix de mots de passe peu robustes donnant accĂšs Ă des comptes privilĂ©giĂ©s. Les Ă©quipes opĂ©rationnelles, pour ĂȘtre Ă lâĂ©tat de lâart de la sĂ©curitĂ© des systĂšmes dâinformation, doivent donc suivre - Ă leur prise de poste puis Ă intervalles rĂ©guliers - des formations sur : > > la lĂ©gislation en vigueur ; > > les principaux risques et menaces ; > > le maintien en condition de sĂ©curitĂ© ; > > lâauthentification et le contrĂŽle dâaccĂšs ; > > le paramĂ©trage fin et le durcissement des systĂšmes ; > > le cloisonnement rĂ©seau ; > > et la journalisation. Cette liste doit ĂȘtre prĂ©cisĂ©e selon le mĂ©tier des collaborateurs en considĂ©rant des aspects tels que lâintĂ©gration de la sĂ©curitĂ© pour les chefs de projet, le dĂ©veloppement sĂ©curisĂ© pour les dĂ©veloppeurs, les rĂ©fĂ©rentiels de sĂ©curitĂ© pour les RSSI, etc. Il est par ailleurs nĂ©cessaire de faire mention de clauses spĂ©cifiques dans les contrats de prestation pour garantir une formation rĂ©guliĂšre Ă la sĂ©curitĂ© des systĂšmes dâinformation du personnel externe et notamment les infogĂ©rants. 1 Former les Ă©quipes opĂ©rationnelles Ă la sĂ©curitĂ© des systĂšmes dâinformation
8.
6 Guide dâhygiĂšne informatique sensibiliser et former 6 I / standard Chaque utilisateur
est un maillon Ă part entiĂšre de la chaĂźne des systĂšmes dâinformation. Ă ce titre et dĂšs son arrivĂ©e dans lâentitĂ©, il doit ĂȘtre informĂ© des enjeux de sĂ©curitĂ©, des rĂšgles Ă respecter et des bons comportements Ă adopter en matiĂšre de sĂ©curitĂ© des systĂšmes dâinformation Ă travers des actions de sensibilisation et de formation. Ces derniĂšres doivent ĂȘtre rĂ©guliĂšres, adaptĂ©es aux utilisateurs ciblĂ©s, peuvent prendre diffĂ©rentes formes (mails, affichage, rĂ©unions, espace intranet dĂ©diĂ©, etc.) et aborder au minimum les sujets suivants : > > les objectifs et enjeux que rencontre lâentitĂ© en matiĂšre de sĂ©curitĂ© des systĂšmes dâinformation ; > > les informations considĂ©rĂ©es comme sensibles ; > > les rĂ©glementations et obligations lĂ©gales ; > > les rĂšgles et consignes de sĂ©curitĂ© rĂ©gissant lâactivitĂ© quotidienne : respect de la politique de sĂ©curitĂ©, non-connexion dâĂ©quipements personnels au rĂ©seau de lâentitĂ©, non-divulgation de mots de passe Ă un tiers, non-rĂ©utilisa- tion de mots de passe professionnels dans la sphĂšre privĂ©e et inversement, signalement dâĂ©vĂ©nements suspects, etc. ; > > les moyens disponibles et participant Ă la sĂ©curitĂ© du systĂšme : verrouillage systĂ©matique de la session lorsque lâutilisateur quitte son poste, outil de protection des mots de passe, etc. / renforcĂ© Pour renforcer ces mesures, lâĂ©laboration et la signature dâune charte des moyens informatiques prĂ©cisant les rĂšgles et consignes que doivent respecter les utilisateurs peut ĂȘtre envisagĂ©e. ANSSI, Charte dâutilisation des moyens informatiques et des outils numĂ©riques â Guide dâĂ©laboration en 8 points clĂ©s pour les PME et ETI, guide, juin 2017 2 Sensibiliser les utilisateurs aux bonnes pratiques Ă©lĂ©mentaires de sĂ©curitĂ© informatique
9.
7 Guide dâhygiĂšne informatique sensibiliser et former 7 I / standard Lorsquâune entitĂ©
souhaite externaliser son systĂšme dâinformation ou ses donnĂ©es, elle doit en amont Ă©valuer les risques spĂ©cifiques Ă lâinfogĂ©rance (maĂźtrise du systĂšme dâinformation, actions Ă distance, hĂ©bergement mutualisĂ©, etc.) afin de prendre en compte, dĂšs la rĂ©daction des exigences applicables au futur prestataire, les besoins et mesures de sĂ©curitĂ© adaptĂ©s. Les risques SSI inhĂ©rents Ă ce type de dĂ©marche peuvent ĂȘtre liĂ©s au contexte de lâopĂ©ration dâexternalisation mais aussi Ă des spĂ©cifications contractuelles dĂ©ficientes ou incomplĂštes. En faveur du bon dĂ©roulement des opĂ©rations, il sâagit donc : > > dâĂ©tudier attentivement les conditions des offres, la possibilitĂ© de les adapter Ă des besoins spĂ©cifiques et les limites de responsabilitĂ© du prestataire ; > > dâimposer une liste dâexigences prĂ©cises au prestataire : rĂ©versibilitĂ© du contrat, rĂ©alisation dâaudits, sauvegarde et restitution des donnĂ©es dans un format ouvert normalisĂ©, maintien Ă niveau de la sĂ©curitĂ© dans le temps, etc. Pour formaliser ces engagements, le prestataire fournira au commanditaire un plan dâassurance sĂ©curitĂ© (PAS) prĂ©vu par lâappel dâoffre. Il sâagit dâun document contractuel dĂ©crivant lâensemble des dispositions spĂ©cifiques que les candidats sâengagent Ă mettre en Ćuvre pour garantir le respect des exi- gences de sĂ©curitĂ© spĂ©cifiĂ©es par lâentitĂ©. Le recours Ă des solutions ou outils non maĂźtrisĂ©s (par exemple hĂ©bergĂ©s dans le nuage) nâest pas ici considĂ©rĂ© comme Ă©tant du ressort de lâinfogĂ©rance et par ailleurs dĂ©conseillĂ© en cas de traitement dâinformations sensibles. ANSSI, Guide de lâexternalisation â MaĂźtriser les risques de lâinfogĂ©rance, guide, dĂ©cembre 2010 3 MaĂźtriser les risques de lâinfogĂ©rance
10.
8 II CONNAĂTRE LE SYSTĂME
DâINFORMATION
11.
9 9 Guide dâhygiĂšne informatique CONNAĂTRE LE SYSTĂME DâINFORMATION II /Standard Chaque entitĂ© possĂšde
des donnĂ©es sensibles. Ces derniĂšres peuvent porter sur son activitĂ© propre (propriĂ©tĂ© intellectuelle, savoir-faire, etc.) ou sur ses clients, administrĂ©s ou usagers (donnĂ©es personnelles, contrats, etc.). Afin de pouvoir les protĂ©ger efficacement, il est indispensable de les identifier. Ă partir de cette liste de donnĂ©es sensibles, il sera possible de dĂ©terminer sur quels composants du systĂšme dâinformation elles se localisent (bases de donnĂ©es, partages de fichiers, postes de travail, etc.). Ces composants corres- pondent aux serveurs et postes critiques pour lâentitĂ©. Ă ce titre, ils devront faire lâobjet de mesures de sĂ©curitĂ© spĂ©cifiques pouvant porter sur la sauve- garde, la journalisation, les accĂšs, etc. Il sâagit donc de crĂ©er et de maintenir Ă jour un schĂ©ma simplifiĂ© du rĂ©seau (ou cartographie) reprĂ©sentant les diffĂ©rentes zones IP et le plan dâadressage associĂ©, les Ă©quipements de routage et de sĂ©curitĂ© (pare-feu, relais applicatifs, etc.) et les interconnexions avec lâextĂ©rieur (Internet, rĂ©seaux privĂ©s, etc.) et les partenaires. Ce schĂ©ma doit Ă©galement permettre de localiser les serveurs dĂ©tenteurs dâinformations sensibles de lâentitĂ©. 4 Identifier les informations et serveurs les plus sensibles et maintenir un schĂ©ma du rĂ©seau
12.
10 10 II CONNAĂTRE LE SYSTĂME DâINFORMATION Guide dâhygiĂšne informatique 5 Disposer dâun inventaire exhaustif
des comptes privilĂ©giĂ©s et le maintenir Ă jour /Standard Les comptes bĂ©nĂ©ficiant de droits spĂ©cifiques sont des cibles privilĂ©giĂ©es par les attaquants qui souhaitent obtenir un accĂšs le plus large possible au systĂšme dâinformation. Ils doivent donc faire lâobjet dâune attention toute particuliĂšre. Il sâagit pour cela dâeffectuer un inventaire de ces comptes, de le mettre Ă jour rĂ©guliĂšrement et dây renseigner les informations suivantes : > > les utilisateurs ayant un compte administrateur ou des droits supĂ©rieurs Ă ceux dâun utilisateur standard sur le systĂšme dâinformation ; > > les utilisateurs disposant de suffisamment de droits pour accĂ©der aux rĂ©pertoires de travail des responsables ou de lâensemble des utilisateurs ; > > les utilisateurs utilisant un poste non administrĂ© par le service infor- matique et qui ne fait pas lâobjet de mesures de sĂ©curitĂ© Ă©dictĂ©es par la politique de sĂ©curitĂ© gĂ©nĂ©rale de lâentitĂ©. Il est fortement recommandĂ© de procĂ©der Ă une revue pĂ©riodique de ces comptes afin de sâassurer que les accĂšs aux Ă©lĂ©ments sensibles (notamment les rĂ©pertoires de travail et la messagerie Ă©lectronique des responsables) soient maitrisĂ©s. Ces revues permettront Ă©galement de supprimer les accĂšs devenus obsolĂštes suite au dĂ©part dâun utilisateur par exemple. Enfin, il est souhaitable de dĂ©finir et dâutiliser une nomenclature simple et claire pour identifier les comptes de services et les comptes dâadministration. Cela facilitera notamment leur revue et la dĂ©tection dâintrusion.
13.
11 11 Guide dâhygiĂšne informatique CONNAĂTRE LE SYSTĂME DâINFORMATION II 6 Organiser les procĂ©dures
dâarrivĂ©e, de dĂ©part et de changement de fonction des utilisateurs /Standard Les effectifs dâune entitĂ©, quâelle soit publique ou privĂ©e, Ă©voluent sans cesse : arrivĂ©es, dĂ©parts, mobilitĂ© interne. Il est par consĂ©quent nĂ©cessaire que les droits et les accĂšs au systĂšme dâinformation soient mis Ă jour en fonction de ces Ă©volutions. Il est notamment essentiel que lâensemble des droits affectĂ©s Ă une personne soient rĂ©voquĂ©s lors de son dĂ©part ou en cas de changement de fonction. Les procĂ©dures dâarrivĂ©e et de dĂ©part doivent donc ĂȘtre dĂ©finies, en lien avec la fonction ressources humaines. Elles doivent au minimum prendre en compte : > > la crĂ©ation et la suppression des comptes informatiques et boĂźtes aux lettres associĂ©es ; > > les droits et accĂšs Ă attribuer et retirer Ă une personne dont la fonction change ; > > la gestion des accĂšs physiques aux locaux (attribution, restitution des badges et des clĂ©s, etc.) ; > > lâaffectation des Ă©quipements mobiles (ordinateur portable, clĂ© USB, disque dur, ordiphone, etc.) ; > > la gestion des documents et informations sensibles (transfert de mots de passe, changement des mots de passe ou des codes sur les systĂšmes existants). /RenforcĂ© Les procĂ©dures doivent ĂȘtre formalisĂ©es et mises Ă jour en fonction du contexte.
14.
12 12 II CONNAĂTRE LE SYSTĂME DâINFORMATION Guide dâhygiĂšne informatique 7 Autoriser la connexion
au rĂ©seau de lâentitĂ© aux seuls Ă©quipements maĂźtrisĂ©s /Standard Pour garantir la sĂ©curitĂ© de son systĂšme dâinformation, lâentitĂ© doit maĂźtriser les Ă©quipements qui sây connectent, chacun constituant un point dâentrĂ©e po- tentiellement vulnĂ©rable. Les Ă©quipements personnels (ordinateurs portables, tablettes, ordiphones, etc.) sont, par dĂ©finition, difficilement maĂźtrisables dans la mesure oĂč ce sont les utilisateurs qui dĂ©cident de leur niveau de sĂ©curitĂ©. De la mĂȘme maniĂšre, la sĂ©curitĂ© des Ă©quipements dont sont dotĂ©s les visiteurs Ă©chappe Ă tout contrĂŽle de lâentitĂ©. Seule la connexion de terminaux maĂźtrisĂ©s par lâentitĂ© doit ĂȘtre autorisĂ©e sur ses diffĂ©rents rĂ©seaux dâaccĂšs, quâils soient filaire ou sans fil. Cette recom- mandation, avant tout dâordre organisationnel, est souvent perçue comme inacceptable ou rĂ©trograde. Cependant, y dĂ©roger fragilise le rĂ©seau de lâentitĂ© et sert ainsi les intĂ©rĂȘts dâun potentiel attaquant. La sensibilisation des utilisateurs doit donc sâaccompagner de solutions prag- matiques rĂ©pondant Ă leurs besoins. Citons par exemple la mise Ă disposition dâun rĂ©seau Wi-Fi avec SSID dĂ©diĂ© pour les terminaux personnels ou visiteurs. /RenforcĂ© Ces amĂ©nagements peuvent ĂȘtre complĂ©tĂ©s par des mesures techniques telles que lâauthentification des postes sur le rĂ©seau (par exemple Ă lâaide du standard 802.1X ou dâun Ă©quivalent).
15.
13 III AUTHENTIFIER ET CONTRĂŽLER
LES ACCĂS
16.
14 14 III AUTHENTIFIER ET CONTROLER LES ACCĂS Guide dâhygiĂšne informatique 8 Identifier nommĂ©ment chaque personne
accĂ©dant au systĂšme et distinguer les rĂŽles utilisateur/administrateur /Standard Afin de faciliter lâattribution dâune action sur le systĂšme dâinformation en cas dâincident ou dâidentifier dâĂ©ventuels comptes compromis, les comptes dâaccĂšs doivent ĂȘtre nominatifs. Lâutilisation de comptes gĂ©nĂ©riques (ex : admin, user) doit ĂȘtre marginale et ceux- ci doivent pouvoir ĂȘtre rattachĂ©s Ă un nombre limitĂ© de personnes physiques. Bien entendu, cette rĂšgle nâinterdit pas le maintien de comptes de service, rattachĂ©s Ă un processus informatique (ex : apache, mysqld). Dans tous les cas, les comptes gĂ©nĂ©riques et de service doivent ĂȘtre gĂ©rĂ©s selon une politique au moins aussi stricte que celle des comptes nominatifs. Par ailleurs, un compte dâadministration nominatif, distinct du compte utilisa- teur, doit ĂȘtre attribuĂ© Ă chaque administrateur. Les identifiants et secrets dâauthentification doivent ĂȘtre diffĂ©rents (ex : pmartin comme identifiant utilisateur, adm-pmartin comme identifiant administrateur). Ce compte dâad- ministration, disposant de plus de privilĂšges, doit ĂȘtre dĂ©diĂ© exclusivement aux actions dâadministration. De plus, il doit ĂȘtre utilisĂ© sur des environnements dĂ©diĂ©s Ă lâadministration afin de ne pas laisser de traces de connexion ni de condensat de mot de passe sur un environnement plus exposĂ©. /RenforcĂ© DĂšs que possible la journalisation liĂ©e aux comptes (ex : relevĂ© des connexions rĂ©ussies/Ă©chouĂ©es) doit ĂȘtre activĂ©e.
17.
15 15 Guide dâhygiĂšne informatique AUTHENTIFIER ET CONTROLER LES ACCĂS III 9 Attribuer les bons
droits sur les ressources sensibles du systĂšme dâinformation /Standard Certaines des ressources du systĂšme peuvent constituer une source dâinfor- mation prĂ©cieuse aux yeux dâun attaquant (rĂ©pertoires contenant des don- nĂ©es sensibles, bases de donnĂ©es, boĂźtes aux lettres Ă©lectroniques, etc.). Il est donc primordial dâĂ©tablir une liste prĂ©cise de ces ressources et pour chacune dâentre elles : > > de dĂ©finir quelle population peut y avoir accĂšs ; > > de contrĂŽler strictement son accĂšs, en sâassurant que les utilisateurs sont authentifiĂ©s et font partie de la population ciblĂ©e ; > > dâĂ©viter sa dispersion et sa duplication Ă des endroits non maĂźtrisĂ©s ou soumis Ă un contrĂŽle dâaccĂšs moins strict. Par exemple, les rĂ©pertoires des administrateurs regroupant de nombreuses informations sensibles doivent faire lâobjet dâun contrĂŽle dâaccĂšs prĂ©cis. Il en va de mĂȘme pour les informations sensibles prĂ©sentes sur des partages rĂ©seau : exports de fichiers de configuration, documentation technique du systĂšme dâinformation, bases de donnĂ©es mĂ©tier, etc. Une revue rĂ©guliĂšre des droits dâaccĂšs doit par ailleurs ĂȘtre rĂ©alisĂ©e afin dâidentifier les accĂšs non autorisĂ©s.
18.
16 16 III AUTHENTIFIER ET CONTROLER LES ACCĂS Guide dâhygiĂšne informatique 10 DĂ©finir et vĂ©rifier
des rĂšgles de choix et de dimensionnement des mots de passe /Standard LâANSSI Ă©nonce un ensemble de rĂšgles et de bonnes pratiques en matiĂšre de choix et de dimensionnement des mots de passe. Parmi les plus critiques de ces rĂšgles figure la sensibilisation des utilisateurs aux risques liĂ©s au choix dâun mot de passe qui serait trop facile Ă deviner, ou encore la rĂ©utilisation de mots de passe dâune application Ă lâautre et plus particuliĂšrement entre messageries personnelles et professionnelles. Pour encadrer et vĂ©rifier lâapplication de ces rĂšgles de choix et de dimen- sionnement, lâentitĂ© pourra recourir Ă diffĂ©rentes mesures parmi lesquelles : > > le blocage des comptes Ă lâissue de plusieurs Ă©checs de connexion ; > > la dĂ©sactivation des options de connexion anonyme ; > > lâutilisation dâun outil dâaudit de la robustesse des mots de passe. En amont de telles procĂ©dures, un effort de communication visant Ă expli- quer le sens de ces rĂšgles et Ă©veiller les consciences sur leur importance est fondamental. ANSSI, Recommandations de sĂ©curitĂ© relatives aux mots de passe, note technique, juin 2012
19.
17 17 Guide dâhygiĂšne informatique AUTHENTIFIER ET CONTROLER LES ACCĂS III 11 ProtĂ©ger les mots
de passe stockĂ©s sur les systĂšmes /Standard La complexitĂ©, la diversitĂ© ou encore lâutilisation peu frĂ©quente de certains mots de passe, peuvent encourager leur stockage sur un support physique (mĂ©mo, post-it) ou numĂ©rique (fichiers de mots de passe, envoi par mail Ă soi- mĂȘme, recours aux boutons « Se souvenir du mot de passe ») afin de pallier tout oubli ou perte. Or, les mots de passe sont une cible privilĂ©giĂ©e par les attaquants dĂ©sireux dâaccĂ©der au systĂšme, que cela fasse suite Ă un vol ou Ă un Ă©ventuel partage du support de stockage. Câest pourquoi ils doivent impĂ©rativement ĂȘtre protĂ©gĂ©s au moyen de solutions sĂ©curisĂ©es au premier rang desquelles figurent lâutilisation dâun coffre-fort numĂ©rique et le recours Ă des mĂ©canismes de chiffrement. Bien entendu, le choix dâun mot de passe pour ce coffre-fort numĂ©rique doit respecter les rĂšgles Ă©noncĂ©es prĂ©cĂ©demment et ĂȘtre mĂ©morisĂ© par lâutilisateur, qui nâa plus que celui-ci Ă retenir.
20.
18 18 III AUTHENTIFIER ET CONTROLER LES ACCĂS Guide dâhygiĂšne informatique 12 Changer les Ă©lĂ©ments dâauthentification
par dĂ©faut sur les Ă©quipements et services /Standard Il est impĂ©ratif de partir du principe que les configurations par dĂ©faut des systĂšmes dâinformation sont systĂ©matiquement connues des attaquants, quand bien mĂȘme celles-ci ne le sont pas du grand public. Ces configurations se rĂ©vĂšlent (trop) souvent triviales (mot de passe identique Ă lâidentifiant, mal dimensionnĂ© ou commun Ă lâensemble des Ă©quipements et services par exemple) et sont, la plupart du temps, faciles Ă obtenir pour des attaquants capables de se faire passer pour un utilisateur lĂ©gitime. Les Ă©lĂ©ments dâauthentification par dĂ©faut des composants du systĂšme doivent donc ĂȘtre modifiĂ©s dĂšs leur installation et, sâagissant de mots de passe, ĂȘtre conformes aux recommandations prĂ©cĂ©dentes en matiĂšre de choix, de dimen- sionnement et de stockage. Si le changement dâun identifiant par dĂ©faut se rĂ©vĂšle impossible pour cause, par exemple, de mot de passe ou certificat « en dur » dans un Ă©quipement, ce problĂšme critique doit ĂȘtre signalĂ© au distributeur du produit afin que cette vulnĂ©rabilitĂ© soit corrigĂ©e au plus vite. /RenforcĂ© Afin de limiter les consĂ©quences dâune compromission, il est par ailleurs essentiel, aprĂšs changement des Ă©lĂ©ments dâauthentification par dĂ©faut, de procĂ©der Ă leur renouvellement rĂ©gulier.
21.
19 19 Guide dâhygiĂšne informatique AUTHENTIFIER ET CONTROLER LES ACCĂS III 13 PrivilĂ©gier lorsque câest
possible une authentification forte /Standard Il est vivement recommandĂ© de mettre en Ćuvre une authentification forte nĂ©cessitant lâutilisation de deux facteurs dâauthentification diffĂ©rents parmi les suivants : > > quelque chose que je sais (mot de passe, tracĂ© de dĂ©verrouillage, signature) ; > > quelque chose que je possĂšde (carte Ă puce, jeton USB, carte magnĂ©tique, RFID, un tĂ©lĂ©phone pour recevoir un code SMS) ; > > quelque chose que je suis (une empreinte biomĂ©trique). /RenforcĂ© Les cartes Ă puces doivent ĂȘtre privilĂ©giĂ©es ou, Ă dĂ©faut, les mĂ©canismes de mots de passe Ă usage unique (ou One Time Password) avec jeton physique. Les opĂ©rations cryptographiques mises en place dans ces deux facteurs offrent gĂ©nĂ©ralement de bonnes garanties de sĂ©curitĂ©. Les cartes Ă puce peuvent ĂȘtre plus complexes Ă mettre en place car nĂ©cessitant une infrastructure de gestion des clĂ©s adaptĂ©e. Elles prĂ©sentent cependant lâavantage dâĂȘtre rĂ©utilisables Ă plusieurs fins : chiffrement, authentification de messagerie, authentification sur le poste de travail, etc.
22.
20 IV SĂCURISER LES POSTES
23.
21 21 Guide dâhygiĂšne informatique SĂCURISER LES POSTES IV 14 Mettre en place
un niveau de sĂ©curitĂ© minimal sur lâensemble du parc informatique /Standard Lâutilisateur plus ou moins au fait des bonnes pratiques de sĂ©curitĂ© informatique est, dans de trĂšs nombreux cas, la premiĂšre porte dâentrĂ©e des attaquants vers le systĂšme. Il est donc fondamental de mettre en place un niveau de sĂ©curitĂ© minimal sur lâensemble du parc informatique de lâentitĂ© (postes utilisateurs, serveurs, imprimantes, tĂ©lĂ©phones, pĂ©riphĂ©riques USB, etc.) en implĂ©mentant les mesures suivantes : > > limiter les applications installĂ©es et modules optionnels des navigateurs web aux seuls nĂ©cessaires ; > > doter les postes utilisateurs dâun pare-feu local et dâun anti-virus (ceux-ci sont parfois inclus dans le systĂšme dâexploitation) ; > > chiffrer les partitions oĂč sont stockĂ©es les donnĂ©es des utilisateurs ; > > dĂ©sactiver les exĂ©cutions automatiques (autorun). En cas de dĂ©rogation nĂ©cessaire aux rĂšgles de sĂ©curitĂ© globales applicables aux postes, ceux-ci doivent ĂȘtre isolĂ©s du systĂšme (sâil est impossible de mettre Ă jour certaines applications pour des raisons de compatibilitĂ© par exemple). /RenforcĂ© Les donnĂ©es vitales au bon fonctionnement de lâentitĂ© que dĂ©tiennent les postes utilisateurs et les serveurs doivent faire lâobjet de sauvegardes rĂ©guliĂšres et stockĂ©es sur des Ă©quipements dĂ©connectĂ©s, et leur restauration doit ĂȘtre vĂ©rifiĂ©e de maniĂšre pĂ©riodique. En effet, de plus en plus de petites structures font lâobjet dâattaques rendant ces donnĂ©es indisponibles (par exemple pour exiger en contrepartie de leur restitution le versement dâune somme consĂ©- quente (rançongiciel)).
24.
22 22 IV SĂCURISER LES POSTES Guide dâhygiĂšne informatique 15 Se protĂ©ger des
menaces relatives Ă lâutilisation de supports amovibles /Standard Les supports amovibles peuvent ĂȘtre utilisĂ©s afin de propager des virus, voler des informations sensibles et stratĂ©giques ou encore compromettre le rĂ©seau de lâentitĂ©. De tels agissements peuvent avoir des consĂ©quences dĂ©sastreuses pour lâactivitĂ© de la structure ciblĂ©e. Sâil nâest pas question dâinterdire totalement lâusage de supports amovibles au sein de lâentitĂ©, il est nĂ©anmoins nĂ©cessaire de traiter ces risques en identifiant des mesures adĂ©quates et en sensibilisant les utilisateurs aux risques que ces supports peuvent vĂ©hiculer. Il convient notamment de proscrire le branchement de clĂ©s USB inconnues (ramassĂ©es dans un lieu public par exemple) et de limiter au maximum celui de clĂ©s non maĂźtrisĂ©es (dont on connait la provenance mais pas lâintĂ©gritĂ©) sur le systĂšme dâinformation Ă moins, dans ce dernier cas, de faire inspecter leur contenu par lâantivirus du poste de travail. /RenforcĂ© Sur les postes utilisateur, il est recommandĂ© dâutiliser des solutions permettant dâinterdire lâexĂ©cution de programmes sur les pĂ©riphĂ©riques amovibles (par exemple Applocker sous Windows ou des options de montage noexec sous Unix). Lors de la fin de vie des supports amovibles, il sera nĂ©cessaire dâimplĂ©menter et de respecter une procĂ©dure de mise au rebut stricte pouvant aller jusquâĂ leur destruction sĂ©curisĂ©e afin de limiter la fuite dâinformations sensibles. ANSSI, Recommandations pour la mise en Ćuvre dâune politique de restrictions logicielles sous Windows, note technique, dĂ©cembre 2013 ANSSI, Recommandations de configuration dâun systĂšme GNU/Linux, note technique, janvier 2016
25.
23 23 Guide dâhygiĂšne informatique SĂCURISER LES POSTES IV 16 Utiliser un outil
de gestion centralisĂ©e afin dâhomogĂ©nĂ©iser les politiques de sĂ©curitĂ© /Standard La sĂ©curitĂ© du systĂšme dâinformation repose sur la sĂ©curitĂ© du maillon le plus faible. Il est donc nĂ©cessaire dâhomogĂ©nĂ©iser la gestion des politiques de sĂ©curitĂ© sâappliquant Ă lâensemble du parc informatique de lâentitĂ©. Lâapplication de ces politiques (gestion des mots de passe, restrictions de connexions sur certains postes sensibles, configuration des navigateurs Web, etc.) doit ĂȘtre simple et rapide pour les administrateurs, en vue notamment de faciliter la mise en Ćuvre de contre-mesures en cas de crise informatique. Pour cela, lâentitĂ© pourra se doter dâun outil de gestion centralisĂ©e (par exemple Active Directory en environnement Microsoft) auquel il sâagit dâinclure le plus grand nombre dâĂ©quipements informatiques possible. Les postes de travail et les serveurs sont concernĂ©s par cette mesure qui nĂ©cessite Ă©ventuellement en amont un travail dâharmonisation des choix de matĂ©riels et de systĂšmes dâexploitation. Ainsi, des politiques de durcissement du systĂšme dâexploitation ou dâapplications pourront facilement sâappliquer depuis un point central tout en favorisant la rĂ©activitĂ© attendue en cas de besoin de reconfiguration. ANSSI, Recommandations de sĂ©curitĂ© relatives Ă Active Directory, note technique, septembre 2014
26.
24 24 IV SĂCURISER LES POSTES Guide dâhygiĂšne informatique 17 Activer et configurer
le pare- feu local des postes de travail /Standard AprĂšs avoir rĂ©ussi Ă prendre le contrĂŽle dâun poste de travail (Ă cause, par exemple, dâune vulnĂ©rabilitĂ© prĂ©sente dans le navigateur Internet), un atta- quant cherchera souvent Ă Ă©tendre son intrusion aux autres postes de travail pour, in fine, accĂ©der aux documents des utilisateurs. Afin de rendre plus difficile ce dĂ©placement latĂ©ral de lâattaquant, il est nĂ©- cessaire dâactiver le pare-feu local des postes de travail au moyen de logiciels intĂ©grĂ©s (pare-feu local Windows) ou spĂ©cialisĂ©s. Les flux de poste Ă poste sont en effet trĂšs rares dans un rĂ©seau bureautique classique : les fichiers sont stockĂ©s dans des serveurs de fichiers, les applications accessibles sur des serveurs mĂ©tier, etc. /RenforcĂ© Le filtrage le plus simple consiste Ă bloquer lâaccĂšs aux ports dâadministration par dĂ©faut des postes de travail (ports TCP 135, 445 et 3389 sous Windows, port TCP 22 sous Unix), exceptĂ© depuis les ressources explicitement identi- fiĂ©es (postes dâadministration et dâassistance utilisateur, Ă©ventuels serveurs de gestion requĂ©rant lâaccĂšs Ă des partages rĂ©seau sur les postes, etc.). Une analyse des flux entrants utiles (administration, logiciels dâinfrastruc- ture, applications particuliĂšres, etc.) doit ĂȘtre menĂ©e pour dĂ©finir la liste des autorisations Ă configurer. Il est prĂ©fĂ©rable de bloquer lâensemble des flux par dĂ©faut et de nâautoriser que les services nĂ©cessaires depuis les Ă©quipements correspondants (« liste blanche »). Le pare-feu doit Ă©galement ĂȘtre configurĂ© pour journaliser les flux bloquĂ©s, et ainsi identifier les erreurs de configuration dâapplications ou les tentatives dâintrusion.
27.
25 25 Guide dâhygiĂšne informatique SĂCURISER LES POSTES IV 18 Chiffrer les donnĂ©es
sensibles transmises par voie Internet /Standard Internet est un rĂ©seau sur lequel il est quasi impossible dâobtenir des garanties sur le trajet que vont emprunter les donnĂ©es que lâon y envoie. Il est donc tout Ă fait possible quâun attaquant se trouve sur le trajet de donnĂ©es transitant entre deux correspondants. Toutes les donnĂ©es envoyĂ©es par courriel ou transmises au moyen dâoutils dâhĂ©bergement en ligne (Cloud) sont par consĂ©quent vulnĂ©rables. Il sâagit donc de procĂ©der Ă leur chiffrement systĂ©matique avant de les adresser Ă un correspondant ou de les hĂ©berger. La transmission du secret (mot de passe, clĂ©, etc.) permettant alors de dĂ©chiffrer les donnĂ©es, si elle est nĂ©cessaire, doit ĂȘtre effectuĂ©e via un canal de confiance ou, Ă dĂ©faut, un canal distinct du canal de transmission des donnĂ©es. Ainsi, si les donnĂ©es chiffrĂ©es sont transmises par courriel, une remise en main propre du mot de passe ou, Ă dĂ©faut, par tĂ©lĂ©phone doit ĂȘtre privilĂ©giĂ©e. Catalogue des produits et prestataires de service qualifiĂ©s
28.
26 V SĂCURISER LE RĂSEAU
29.
27 27 Guide dâhygiĂšne informatique SĂCURISER LE RĂSEAU V 19 Segmenter le rĂ©seau
et mettre en place un cloisonnement entre ces zones /Standard Lorsque le rĂ©seau est « Ă plat », sans aucun mĂ©canisme de cloisonnement, chaque machine du rĂ©seau peut accĂ©der Ă nâimporte quelle autre machine. La compromission de lâune dâelles met alors en pĂ©ril lâensemble des machines connectĂ©es. Un attaquant peut ainsi compromettre un poste utilisateur et ensuite « rebondir » jusquâĂ des serveurs critiques. Il est donc important, dĂšs la conception de lâarchitecture rĂ©seau, de raisonner par segmentation en zones composĂ©es de systĂšmes ayant des besoins de sĂ©cu- ritĂ© homogĂšnes. On pourra par exemple regrouper distinctement des serveurs dâinfrastructure, des serveurs mĂ©tiers, des postes de travail utilisateurs, des postes de travail administrateurs, des postes de tĂ©lĂ©phonie sur IP, etc. Une zone se caractĂ©rise alors par des VLAN et des sous-rĂ©seaux IP dĂ©diĂ©s voire par des infrastructures dĂ©diĂ©es selon sa criticitĂ©. Ainsi, des mesures de cloisonnement telles quâun filtrage IP Ă lâaide dâun pare-feu peuvent ĂȘtre mises en place entre les diffĂ©rentes zones. On veillera en particulier Ă cloisonner au- tant que possible les Ă©quipements et flux associĂ©s aux tĂąches dâadministration. Pour les rĂ©seaux dont le cloisonnement a posteriori ne serait pas aisĂ©, il est recommandĂ© dâintĂ©grer cette dĂ©marche dans toute nouvelle extension du rĂ©seau ou Ă lâoccasion dâun renouvellement dâĂ©quipements. ANSSI, Recommandations pour la dĂ©finition dâune politique de filtrage rĂ©seau dâun pare-feu, note technique, mars 2013
30.
28 28 V SĂCURISER LE RĂSEAU Guide dâhygiĂšne informatique 20 Sâassurer de la
sĂ©curitĂ© des rĂ©seaux dâaccĂšs Wi-Fi et de la sĂ©paration des usages /Standard Lâusage du Wi-Fi en milieu professionnel est aujourdâhui dĂ©mocratisĂ© mais prĂ©sente toujours des risques de sĂ©curitĂ© bien spĂ©cifiques : faibles garanties en matiĂšre de disponibilitĂ©, pas de maĂźtrise de la zone de couverture pouvant mener Ă une attaque hors du pĂ©rimĂštre gĂ©ographique de lâentitĂ©, configuration par dĂ©faut des points dâaccĂšs peu sĂ©curisĂ©e, etc. La segmentation de lâarchitecture rĂ©seau doit permettre de limiter les consĂ©- quences dâune intrusion par voie radio Ă un pĂ©rimĂštre dĂ©terminĂ© du systĂšme dâinformation. Les flux en provenance des postes connectĂ©s au rĂ©seau dâaccĂšs Wi-Fi doivent donc ĂȘtre filtrĂ©s et restreints aux seuls flux nĂ©cessaires. De plus, il est important dâavoir recours prioritairement Ă un chiffrement robuste (mode WPA2, algorithme AES CCMP) et Ă une authentification centralisĂ©e, si possible par certificats clients des machines. La protection du rĂ©seau Wi-Fi par un mot de passe unique et partagĂ© est dĂ©- conseillĂ©e. Ă dĂ©faut, il doit ĂȘtre complexe et son renouvellement prĂ©vu mais il ne doit en aucun cas ĂȘtre diffusĂ© Ă des tiers non autorisĂ©s. Les points dâaccĂšs doivent par ailleurs ĂȘtre administrĂ©s de maniĂšre sĂ©curisĂ©e (ex : interface dĂ©diĂ©e, modification du mot de passe administrateur par dĂ©faut). Enfin, toute connexion Wi-Fi de terminaux personnels ou visiteurs (ordinateurs portables, ordiphones) doit ĂȘtre sĂ©parĂ©e des connexions Wi-Fi des terminaux de lâentitĂ© (ex : SSID et VLAN distincts, accĂšs Internet dĂ©diĂ©). ANSSI, Recommandations de sĂ©curitĂ© relatives aux rĂ©seaux Wi-Fi, note technique, septembre 2013
31.
29 29 Guide dâhygiĂšne informatique SĂCURISER LE RĂSEAU V 21 Utiliser des protocoles
rĂ©seaux sĂ©curisĂ©s dĂšs quâils existent /Standard Si aujourdâhui la sĂ©curitĂ© nâest plus optionnelle, cela nâa pas toujours Ă©tĂ© le cas. Câest pourquoi de nombreux protocoles rĂ©seaux ont dĂ» Ă©voluer pour intĂ©grer cette composante et rĂ©pondre aux besoins de confidentialitĂ© et dâintĂ©gritĂ© quâimpose lâĂ©change de donnĂ©es. Les protocoles rĂ©seaux sĂ©curisĂ©s doivent ĂȘtre utilisĂ©s dĂšs que possible, que ce soit sur des rĂ©seaux publics (Internet par exemple) ou sur le rĂ©seau interne de lâentitĂ©. Bien quâil soit difficile dâen dresser une liste exhaustive, les protocoles les plus courants reposent sur lâutilisation de TLS et sont souvent identifiables par lâajout de la lettre « s » (pour secure en anglais) Ă lâacronyme du protocole. Citons par exemple https pour la navigation Web ou IMAPS, SMTPS ou POP3S pour la messagerie. Dâautres protocoles ont Ă©tĂ© conçus de maniĂšre sĂ©curisĂ©e dĂšs la conception pour se substituer Ă dâanciens protocoles non sĂ©curisĂ©s. Citons par exemple SSH (Secure SHell) venu remplacer les protocoles de communication historiques TELNET et RLOGIN. ANSSI, Recommandations pour un usage sĂ©curisĂ© dâ[OPEN] SSH, note technique, aoĂ»t 2016
32.
30 30 V SĂCURISER LE RĂSEAU Guide dâhygiĂšne informatique 22 Mettre en place
une passerelle dâaccĂšs sĂ©curisĂ© Ă Internet /Standard LâaccĂšs Ă Internet, devenu indispensable, prĂ©sente des risques importants : sites Web hĂ©bergeant du code malveillant, tĂ©lĂ©chargement de fichiers « toxiques » et, par consĂ©quent, possible prise de contrĂŽle du terminal, fuite de donnĂ©es sensibles, etc. Pour sĂ©curiser cet usage, il est donc indispensable que les ter- minaux utilisateurs nâaient pas dâaccĂšs rĂ©seau direct Ă Internet. Câest pourquoi il est recommandĂ© de mettre en Ćuvre une passerelle sĂ©curi- sĂ©e dâaccĂšs Ă Internet comprenant au minimum un pare-feu au plus prĂšs de lâaccĂšs Internet pour filtrer les connexions et un serveur mandataire (proxy) embarquant diffĂ©rents mĂ©canismes de sĂ©curitĂ©. Celui-ci assure notamment lâauthentification des utilisateurs et la journalisation des requĂȘtes. /RenforcĂ© Des mĂ©canismes complĂ©mentaires sur le serveur mandataire pourront ĂȘtre activĂ©s selon les besoins de lâentitĂ© : analyse antivirus du contenu, filtrage par catĂ©gories dâURLs, etc. Le maintien en condition de sĂ©curitĂ© des Ă©quipements de la passerelle est essentiel, il fera donc lâobjet de procĂ©dures Ă respecter. Suivant le nombre de collaborateurs et le besoin de disponibilitĂ©, ces Ă©qui- pements pourront ĂȘtre redondĂ©s. Par ailleurs, pour les terminaux utilisateurs, les rĂ©solutions DNS en direct de noms de domaines publics seront par dĂ©faut dĂ©sactivĂ©es, celles-ci Ă©tant dĂ©lĂ©guĂ©es au serveur mandataire. Enfin, il est fortement recommandĂ© que les postes nomades Ă©tablissent au prĂ©alable une connexion sĂ©curisĂ©e au systĂšme dâinformation de lâentitĂ© pour naviguer de maniĂšre sĂ©curisĂ©e sur le Web Ă travers la passerelle.
33.
31 31 Guide dâhygiĂšne informatique SĂCURISER LE RĂSEAU V 23 Cloisonner les services
visibles depuis Internet du reste du systĂšme dâinformation /Standard Une entitĂ© peut choisir dâhĂ©berger en interne des services visibles sur Internet (site web, serveur de messagerie, etc.). Au regard de lâĂ©volution et du perfec- tionnement des cyberattaques sur Internet, il est essentiel de garantir un haut niveau de protection de ce service avec des administrateurs compĂ©tents, formĂ©s de maniĂšre continue (Ă lâĂ©tat de lâart des technologies en la matiĂšre) et disponibles. Dans le cas contraire, le recours Ă un hĂ©bergement externalisĂ© auprĂšs de professionnels est Ă privilĂ©gier. De plus, les infrastructures dâhĂ©bergement Internet doivent ĂȘtre physiquement cloisonnĂ©es de toutes les infrastructures du systĂšme dâinformation qui nâont pas vocation Ă ĂȘtre visibles depuis Internet. Enfin, il convient de mettre en place une infrastructure dâinterconnexion de ces services avec Internet permettant de filtrer les flux liĂ©s Ă ces services de maniĂšre distincte des autres flux de lâentitĂ©. Il sâagit Ă©galement dâimposer le passage des flux entrants par un serveur mandataire inverse (reverse proxy) embarquant diffĂ©rents mĂ©canismes de sĂ©curitĂ©. ANSSI, Guide de dĂ©finition dâune architecture de passerelle dâinterconnexion sĂ©curisĂ©e, note technique, dĂ©cembre 2011 ANSSI, MaĂźtriser les risques de lâinfogĂ©rance, guide, dĂ©cembre 2010
34.
32 32 V SĂCURISER LE RĂSEAU Guide dâhygiĂšne informatique 24 ProtĂ©ger sa messagerie professionnelle /Standard La
messagerie est le principal vecteur dâinfection du poste de travail, quâil sâagisse de lâouverture de piĂšces jointes contenant un code malveillant ou du clic malencontreux sur un lien redirigeant vers un site lui-mĂȘme malveillant. Les utilisateurs doivent ĂȘtre particuliĂšrement sensibilisĂ©s Ă ce sujet : lâexpĂ©diteur est-il connu ? Une information de sa part est-elle attendue ? Le lien proposĂ© est-il cohĂ©rent avec le sujet Ă©voquĂ© ? En cas de doute, une vĂ©rification de lâau- thenticitĂ© du message par un autre canal (tĂ©lĂ©phone, SMS, etc.) est nĂ©cessaire. Pour se prĂ©munir dâescroqueries (ex : demande de virement frauduleux Ă©manant vraisemblablement dâun dirigeant), des mesures organisationnelles doivent ĂȘtre appliquĂ©es strictement. Par ailleurs, la redirection de messages professionnels vers une messagerie personnelle est Ă proscrire car cela constitue une fuite irrĂ©mĂ©diable dâinfor- mations de lâentitĂ©. Si nĂ©cessaire des moyens maĂźtrisĂ©s et sĂ©curisĂ©s pour lâaccĂšs distant Ă la messagerie professionnelle doivent ĂȘtre proposĂ©s. Que lâentitĂ© hĂ©berge ou fasse hĂ©berger son systĂšme de messagerie, elle doit sâassurer : > > de disposer dâun systĂšme dâanalyse antivirus en amont des boĂźtes aux lettres des utilisateurs pour prĂ©venir la rĂ©ception de fichiers infectĂ©s ; > > de lâactivation du chiffrement TLS des Ă©changes entre serveurs de mes- sagerie (de lâentitĂ© ou publics) ainsi quâentre les postes utilisateur et les serveurs hĂ©bergeant les boĂźtes aux lettres.
35.
33 33 Guide dâhygiĂšne informatique SĂCURISER LE RĂSEAU V /RenforcĂ© Il est souhaitable
de ne pas exposer directement les serveurs de boĂźte aux lettres sur Internet. Dans ce cas, un serveur relai dĂ©diĂ© Ă lâenvoi et Ă la rĂ©ception des messages doit ĂȘtre mis en place en coupure dâInternet. Alors que le spam - malveillant ou non - constitue la majoritĂ© des courriels Ă©changĂ©s sur Internet, le dĂ©ploiement dâun service anti-spam doit permettre dâĂ©liminer cette source de risques. Enfin, lâadministrateur de messagerie sâassurera de la mise en place des mĂ©canismes de vĂ©rification dâauthenticitĂ© et de la bonne configuration des enregistrements DNS publics liĂ©s Ă son infrastructure de messagerie (MX, SPF, DKIM, DMARC). ANSSI, Bonnes pratiques pour lâacquisition et lâexploitation de noms de domaine, guide, fĂ©vrier 2015
36.
34 34 V SĂCURISER LE RĂSEAU Guide dâhygiĂšne informatique 25 SĂ©curiser les interconnexions rĂ©seau
dĂ©diĂ©es avec les partenaires /Standard Pour des besoins opĂ©rationnels, une entitĂ© peut ĂȘtre amenĂ©e Ă Ă©tablir une interconnexion rĂ©seau dĂ©diĂ©e avec un fournisseur ou un client (ex : infogĂ©- rance, Ă©change de donnĂ©es informatisĂ©es, flux monĂ©tiques, etc.). Cette interconnexion peut se faire au travers dâun lien sur le rĂ©seau privĂ© de lâentitĂ© ou directement sur Internet. Dans le second cas, il convient dâĂ©tablir un tunnel site Ă site, de prĂ©fĂ©rence IPsec, en respectant les prĂ©conisations de lâANSSI. Le partenaire Ă©tant considĂ©rĂ© par dĂ©faut comme non sĂ»r, il est indispensable dâeffectuer un filtrage IP Ă lâaide dâun pare-feu au plus prĂšs de lâentrĂ©e des flux sur le rĂ©seau de lâentitĂ©. La matrice des flux (entrants et sortants) devra ĂȘtre rĂ©duite au juste besoin opĂ©rationnel, maintenue dans le temps et la configuration des Ă©quipements devra y ĂȘtre conforme. /RenforcĂ© Pour des entitĂ©s ayant des besoins de sĂ©curitĂ© plus exigeants, il conviendra de sâassurer que lâĂ©quipement de filtrage IP pour les connexions partenaires est dĂ©diĂ© Ă cet usage. Lâajout dâun Ă©quipement de dĂ©tection dâintrusions peut Ă©galement constituer une bonne pratique. Par ailleurs la connaissance dâun point de contact Ă jour chez le partenaire est nĂ©cessaire pour pouvoir rĂ©agir en cas dâincident de sĂ©curitĂ©. ANSSI, Recommandations de sĂ©curitĂ© relatives Ă IPsec pour la protection des flux rĂ©seau, note technique, aoĂ»t 2015 ANSSI, Recommandations pour la dĂ©finition dâune politique de filtrage rĂ©seau dâun pare-feu, note technique, mars 2013
37.
35 35 Guide dâhygiĂšne informatique SĂCURISER LE RĂSEAU V 26 ContrĂŽler et protĂ©ger
lâaccĂšs aux salles serveurs et aux locaux techniques /Standard Les mĂ©canismes de sĂ©curitĂ© physique doivent faire partie intĂ©grante de la sĂ©curitĂ© des systĂšmes dâinformation et ĂȘtre Ă lâĂ©tat de lâart afin de sâassurer quâils ne puissent pas ĂȘtre contournĂ©s aisĂ©ment par un attaquant. Il convient donc dâidentifier les mesures de sĂ©curitĂ© physique adĂ©quates et de sensibiliser continuellement les utilisateurs aux risques engendrĂ©s par le contournement des rĂšgles. Les accĂšs aux salles serveurs et aux locaux techniques doivent ĂȘtre contrĂŽlĂ©s Ă lâaide de serrures ou de mĂ©canismes de contrĂŽle dâaccĂšs par badge. Les accĂšs non accompagnĂ©s des prestataires extĂ©rieurs aux salles serveurs et aux locaux techniques sont Ă proscrire, sauf sâil est possible de tracer strictement les accĂšs et de limiter ces derniers en fonction des plages horaires. Une revue des droits dâaccĂšs doit ĂȘtre rĂ©alisĂ©e rĂ©guliĂšrement afin dâidentifier les accĂšs non autorisĂ©s. Lors du dĂ©part dâun collaborateur ou dâun changement de prestataire, il est nĂ©cessaire de procĂ©der au retrait des droits dâaccĂšs ou au changement des codes dâaccĂšs. Enfin, les prises rĂ©seau se trouvant dans des zones ouvertes au public (salle de rĂ©union, hall dâaccueil, couloirs, placards, etc.) doivent ĂȘtre restreintes ou dĂ©sactivĂ©es afin dâempĂȘcher un attaquant de gagner facilement lâaccĂšs au rĂ©seau de lâentreprise.
38.
36 VI SĂCURISER LâADMINISTRATION
39.
37 37 Guide dâhygiĂšne informatique SĂCURISER LâADMINISTRATION VI 27 Interdire lâaccĂšs Ă
Internet depuis les postes ou serveurs utilisĂ©s pour lâadministration du systĂšme dâinformation /Standard Un poste de travail ou un serveur utilisĂ© pour les actions dâadministration ne doit en aucun cas avoir accĂšs Ă Internet, en raison des risques que la navigation Web (Ă travers des sites contenant du code malveillant) et la messagerie (au travers de piĂšces jointes potentiellement vĂ©rolĂ©es) font peser sur son intĂ©gritĂ©. Pour les autres usages des administrateurs nĂ©cessitant Internet (consultation de documentation en ligne, de leur messagerie, etc.), il est recommandĂ© de mettre Ă leur disposition un poste de travail distinct. Ă dĂ©faut, lâaccĂšs Ă une infrastructure virtualisĂ©e distante pour la bureautique depuis un poste dâad- ministration est envisageable. La rĂ©ciproque consistant Ă fournir un accĂšs distant Ă une infrastructure dâadministration depuis un poste bureautique est dĂ©conseillĂ©e car elle peut mener Ă une Ă©lĂ©vation de privilĂšges en cas de rĂ©cupĂ©ration des authentifiants dâadministration. /RenforcĂ© Concernant les mises Ă jour logicielles des Ă©quipements administrĂ©s, elles doivent ĂȘtre rĂ©cupĂ©rĂ©es depuis une source sĂ»re (le site de lâĂ©diteur par exemple), contrĂŽlĂ©es puis transfĂ©rĂ©es sur le poste ou le serveur utilisĂ© pour lâadministration et non connectĂ© Ă Internet. Ce transfert peut ĂȘtre rĂ©alisĂ© sur un support amovible dĂ©diĂ©. Pour des entitĂ©s voulant automatiser certaines tĂąches, la mise en place dâune zone dâĂ©changes est conseillĂ©e. ANSSI, Recommandations relatives Ă lâadministration sĂ©curisĂ©e des systĂšmes dâinformation, note technique, fĂ©vrier 2015
40.
38 38 VI SĂCURISER LâADMINISTRATION Guide dâhygiĂšne informatique 28 Utiliser un rĂ©seau
dĂ©diĂ© et cloisonnĂ© pour lâadministration du systĂšme dâinformation /Standard Un rĂ©seau dâadministration interconnecte, entre autres, les postes ou serveurs dâadministration et les interfaces dâadministration des Ă©quipements. Dans la logique de segmentation du rĂ©seau global de lâentitĂ©, il est indispensable de cloisonner spĂ©cifiquement le rĂ©seau dâadministration, notamment vis-Ă -vis du rĂ©seau bureautique des utilisateurs, pour se prĂ©munir de toute compromission par rebond depuis un poste utilisateur vers une ressource dâadministration. Selon les besoins de sĂ©curitĂ© de lâentitĂ©, il est recommandĂ© : > > de privilĂ©gier en premier lieu un cloisonnement physique des rĂ©seaux dĂšs que cela est possible, cette solution pouvant reprĂ©senter des coĂ»ts et un temps de dĂ©ploiement importants ; /RenforcĂ© > > Ă dĂ©faut, de mettre en Ćuvre un cloisonnement logique cryptographique reposant sur la mise en place de tunnels IPsec. Ceci permet dâassurer lâintĂ©gritĂ© et la confidentialitĂ© des informations vĂ©hiculĂ©es sur le rĂ©seau dâadministration vis-Ă -vis du rĂ©seau bureautique des utilisateurs ; /Standard > > au minimum, de mettre en Ćuvre un cloisonnement logique par VLAN. /Standard ANSSI, Recommandations relatives Ă lâadministration sĂ©curisĂ©e des systĂšmes dâinformation, note technique, fĂ©vrier 2015
41.
39 39 Guide dâhygiĂšne informatique SĂCURISER LâADMINISTRATION VI 29 Limiter au strict
besoin opĂ©rationnel les droits dâadministration sur les postes de travail /Standard De nombreux utilisateurs, y compris au sommet des hiĂ©rarchies, sont tentĂ©s de demander Ă leur service informatique de pouvoir disposer, par analogie avec leur usage personnel, de privilĂšges plus importants sur leurs postes de travail : installation de logiciels, configuration du systĂšme, etc. Par dĂ©faut, il est recommandĂ© quâun utilisateur du SI, quelle que soit sa position hiĂ©rar- chique et ses attributions, ne dispose pas de privilĂšges dâadministration sur son poste de travail. Cette mesure, apparemment contraignante, vise Ă limiter les consĂ©quences de lâexĂ©cution malencontreuse dâun code malveillant. La mise Ă disposition dâun magasin Ă©toffĂ© dâapplications validĂ©es par lâentitĂ© du point de vue de la sĂ©curitĂ© permettra de rĂ©pondre Ă la majoritĂ© des besoins. Par consĂ©quent, seuls les administrateurs chargĂ©s de lâadministration des postes doivent disposer de ces droits lors de leurs interventions. Si une dĂ©lĂ©gation de privilĂšges sur un poste de travail est rĂ©ellement nĂ©cessaire pour rĂ©pondre Ă un besoin ponctuel de lâutilisateur, celle-ci doit ĂȘtre tracĂ©e, limitĂ©e dans le temps et retirĂ©e Ă Ă©chĂ©ance.
42.
40 VII GĂRER LE NOMADISME
43.
41 41 Guide dâhygiĂšne informatique GĂRER LE NOMADISME VII 30 Prendre des mesures
de sĂ©curisation physique des terminaux nomades /Standard Les terminaux nomades (ordinateurs portables, tablettes, ordiphones) sont, par nature, exposĂ©s Ă la perte et au vol. Ils peuvent contenir localement des informations sensibles pour lâentitĂ© et constituer un point dâentrĂ©e vers de plus amples ressources du systĂšme dâinformation. Au-delĂ de lâapplication au minimum des politiques de sĂ©curitĂ© de lâentitĂ©, des mesures spĂ©cifiques de sĂ©curisation de ces Ă©quipements sont donc Ă prĂ©voir. En tout premier lieu, les utilisateurs doivent ĂȘtre sensibilisĂ©s pour augmenter leur niveau de vigilance lors de leurs dĂ©placements et conserver leurs Ă©qui- pements Ă portĂ©e de vue. Nâimporte quelle entitĂ©, mĂȘme de petite taille, peut ĂȘtre victime dâune attaque informatique. DĂšs lors, en mobilitĂ©, tout Ă©quipement devient une cible potentielle voire privilĂ©giĂ©e. Il est recommandĂ© que les terminaux nomades soient aussi banalisĂ©s que possible en Ă©vitant toute mention explicite de lâentitĂ© dâappartenance (par lâapposition dâun autocollant aux couleurs de lâentitĂ© par exemple). Pour Ă©viter toute indiscrĂ©tion lors de dĂ©placements, notamment dans les transports ou les lieux dâattente, un filtre de confidentialitĂ© doit ĂȘtre posi- tionnĂ© sur chaque Ă©cran. /RenforcĂ© Enfin, afin de rendre inutilisable le poste seul, lâutilisation dâun support externe complĂ©mentaire (carte Ă puce ou jeton USB par exemple) pour conserver des secrets de dĂ©chiffrement ou dâauthentification peut ĂȘtre envisagĂ©e. Dans ce cas il doit ĂȘtre conservĂ© Ă part. ANSSI-CDSE, Passeport de conseils aux voyageurs, bonnes pratiques, janvier 2010
44.
42 42 VII GĂRER LE NOMADISME Guide dâhygiĂšne informatique 31 Chiffrer les donnĂ©es
sensibles, en particulier sur le matĂ©riel potentiellement perdable /Standard Les dĂ©placements frĂ©quents en contexte professionnel et la miniaturisation du matĂ©riel informatique conduisent souvent Ă la perte ou au vol de celui-ci dans lâespace public. Cela peut porter atteinte aux donnĂ©es sensibles de lâentitĂ© qui y sont stockĂ©es. Il faut donc ne stocker que des donnĂ©es prĂ©alablement chiffrĂ©es sur lâensemble des matĂ©riels nomades (ordinateurs portables, ordiphones, clĂ©s USB, disques durs externes, etc.) afin de prĂ©server leur confidentialitĂ©. Seul un secret (mot de passe, carte Ă puce, code PIN, etc.) pourra permettre Ă celui qui le possĂšde dâaccĂ©der Ă ces donnĂ©es. Une solution de chiffrement de partition, dâarchives ou de fichier peut ĂȘtre envisagĂ©e selon les besoins. LĂ encore, il est essentiel de sâassurer de lâunicitĂ© et de la robustesse du secret de dĂ©chiffrement utilisĂ©. Dans la mesure du possible, il est conseillĂ© de commencer par un chiffrement complet du disque avant dâenvisager le chiffrement dâarchives ou de fichiers. En effet, ces derniers rĂ©pondent Ă des besoins diffĂ©rents et peuvent poten- tiellement laisser sur le support de stockage des informations non chiffrĂ©es (fichiers de restauration de suite bureautique, par exemple). Catalogue des produits et prestataires de service qualifiĂ©s
45.
43 43 Guide dâhygiĂšne informatique GĂRER LE NOMADISME VII 32 SĂ©curiser la connexion rĂ©seau
des postes utilisĂ©s en situation de nomadisme /Standard En situation de nomadisme, il nâest pas rare quâun utilisateur ait besoin de se connecter au systĂšme dâinformation de lâentitĂ©. Il convient par consĂ©quent de sâassurer du caractĂšre sĂ©curisĂ© de cette connexion rĂ©seau Ă travers Internet. MĂȘme si la possibilitĂ© dâĂ©tablir des tunnels VPN SSL/TLS est aujourdâhui courante, il est fortement recommandĂ© dâĂ©tablir un tunnel VPN IPsec entre le poste nomade et une passerelle VPN IPsec mise Ă disposition par lâentitĂ©. Pour garantir un niveau de sĂ©curitĂ© optimal, ce tunnel VPN IPsec doit ĂȘtre automatiquement Ă©tabli et ne pas ĂȘtre dĂ©brayable par lâutilisateur, câest-Ă -dire quâaucun flux ne doit pouvoir ĂȘtre transmis en dehors de ce tunnel. Pour les besoins spĂ©cifiques dâauthentification aux portails captifs, lâentitĂ© peut choisir de dĂ©roger Ă la connexion automatique en autorisant une connexion Ă la demande ou maintenir cette recommandation en encourageant lâutilisateur Ă utiliser un partage de connexion sur un tĂ©lĂ©phone mobile de confiance. /RenforcĂ© Afin dâĂ©viter toute rĂ©utilisation dâauthentifiants depuis un poste volĂ© ou perdu (identifiant et mot de passe enregistrĂ©s par exemple), il est prĂ©fĂ©rable dâavoir recours Ă une authentification forte, par exemple avec un mot de passe et un certificat stockĂ© sur un support externe (carte Ă puce ou jeton USB) ou un mĂ©canisme de mot de passe Ă usage unique (One Time Password). ANSSI, Recommandations de sĂ©curitĂ© relatives Ă IPsec pour la protection des flux rĂ©seau, note technique, aoĂ»t 2015
46.
44 44 VII GĂRER LE NOMADISME Guide dâhygiĂšne informatique 33 Adopter des politiques de
sĂ©curitĂ© dĂ©diĂ©es aux terminaux mobiles /Standard Les ordiphones et tablettes font partie de notre quotidien personnel et/ou professionnel. La premiĂšre des recommandations consiste justement Ă ne pas mutualiser les usages personnel et professionnel sur un seul et mĂȘme terminal, par exemple en ne synchronisant pas simultanĂ©ment comptes professionnel et personnel de messagerie, de rĂ©seaux sociaux, dâagendas, etc. Les terminaux, fournis par lâentitĂ© et utilisĂ©s en contexte professionnel doivent faire lâobjet dâune sĂ©curisation Ă part entiĂšre, dĂšs lors quâils se connectent au systĂšme dâinformation de lâentitĂ© ou quâils contiennent des informations professionnelles potentiellement sensibles (mails, fichiers partagĂ©s, contacts, etc.). DĂšs lors, lâutilisation dâune solution de gestion centralisĂ©e des Ă©quipe- ments mobiles est Ă privilĂ©gier. Il sera notamment souhaitable de configurer de maniĂšre homogĂšne les politiques de sĂ©curitĂ© inhĂ©rentes : moyen de dĂ©ver- rouillage du terminal, limitation de lâusage du magasin dâapplications Ă des applications validĂ©es du point de vue de la sĂ©curitĂ©, etc. Dans le cas contraire, une configuration prĂ©alable avant remise de lâĂ©quipe- ment et une sĂ©ance de sensibilisation des utilisateurs est souhaitable. /RenforcĂ© Entre autres usages potentiellement risquĂ©s, celui dâun assistant vocal intĂ©grĂ© augmente sensiblement la surface dâattaque du terminal et des cas dâattaque ont Ă©tĂ© dĂ©montrĂ©s. Pour ces raisons, il est donc dĂ©conseillĂ©. ANSSI, Recommandations de sĂ©curitĂ© relatives aux ordiphones, note technique, juillet 2015
47.
45 VIII MAINTENIR LE SYSTĂME
DâINFORMATION Ă JOUR
48.
46 46 VIII MAINTENIR LE SYSTĂME DâINFORMATION Ă JOUR Guide dâhygiĂšne informatique 34 DĂ©finir une politique
de mise Ă jour des composants du systĂšme dâinformation /Standard De nouvelles failles sont rĂ©guliĂšrement dĂ©couvertes au cĆur des systĂšmes et logiciels. Ces derniĂšres sont autant de portes dâaccĂšs quâun attaquant peut exploiter pour rĂ©ussir son intrusion dans le systĂšme dâinformation. Il est donc primordial de sâinformer de lâapparition de nouvelles vulnĂ©rabilitĂ©s (CERT- FR) et dâappliquer les correctifs de sĂ©curitĂ© sur lâensemble des composants du systĂšme dans le mois qui suit leur publication par lâĂ©diteur. Une politique de mise Ă jour doit ainsi ĂȘtre dĂ©finie et dĂ©clinĂ©e en procĂ©dures opĂ©rationnelles. Celles-ci doivent notamment prĂ©ciser : > > la maniĂšre dont lâinventaire des composants du systĂšme dâinformation est rĂ©alisĂ© ; > > les sources dâinformation relatives Ă la publication des mises Ă jour ; > > les outils pour dĂ©ployer les correctifs sur le parc (par exemple WSUS pour les mises Ă jour des composants Microsoft, des outils gratuits ou payants pour les composants tiers et autres systĂšmes dâexploitation) ; > > lâĂ©ventuelle qualification des correctifs et leur dĂ©ploiement progressif sur le parc. Les composants obsolĂštes qui ne sont plus supportĂ©s par leurs fabricants doivent ĂȘtre isolĂ©s du reste du systĂšme. Cette recommandation sâapplique aussi bien au niveau rĂ©seau par un filtrage strict des flux, quâau niveau des secrets dâauthentification qui doivent ĂȘtre dĂ©diĂ©s Ă ces systĂšmes. CERT-FR : au sein du COSSI, le Centre gouvernemental de veille, dâalerte et de rĂ©ponse aux attaques informatiques (CERT-FR) assure le rĂŽle de CERT (pour Computer Emergency Res- ponse Team) gouvernemental français. Ă ce titre, il compte parmi ses missions principales une action de veille technologique informant tout un chacun sur lâĂ©tat de lâart des systĂšmes et logiciels.
49.
47 47 Guide dâhygiĂšne informatique MAINTENIR LE SYSTĂME DâINFORMATION Ă JOUR VIII 35 Anticiper la fin
de la maintenance des logiciels et systĂšmes et limiter les adhĂ©rences logicielles /Standard Lâutilisation dâun systĂšme ou dâun logiciel obsolĂšte augmente significativement les possibilitĂ©s dâattaque informatique. Les systĂšmes deviennent vulnĂ©rables dĂšs lors que les correctifs ne sont plus proposĂ©s. En effet, des outils malveillants exploitant ces vulnĂ©rabilitĂ©s peuvent se diffuser rapidement sur Internet alors mĂȘme que lâĂ©diteur ne propose pas de correctif de sĂ©curitĂ©. Pour anticiper ces obsolescences, un certain nombre de prĂ©cautions existent : > > Ă©tablir et tenir Ă jour un inventaire des systĂšmes et applications du sys- tĂšme dâinformation ; > > choisir des solutions dont le support est assurĂ© pour une durĂ©e corres- pondant Ă leur utilisation ; > > assurer un suivi des mises Ă jour et des dates de fin de support des logiciels ; > > maintenir un parc logiciel homogĂšne (la coexistence de versions diffĂ©- rentes dâun mĂȘme produit multiplie les risques et complique le suivi) ; > > limiter les adhĂ©rences logicielles, câest-Ă -dire les dĂ©pendances de fonc- tionnement dâun logiciel par rapport Ă un autre, en particulier lorsque le support de ce dernier arrive Ă son terme ; > > inclure dans les contrats avec les prestataires et fournisseurs des clauses garantissant le suivi des correctifs de sĂ©curitĂ© et la gestion des obsolescences ; > > identifier les dĂ©lais et ressources nĂ©cessaires (matĂ©rielles, humaines, budgĂ©taires) Ă la migration de chaque logiciel en fin de vie (tests de non-rĂ©gression, procĂ©dure de sauvegarde, procĂ©dure de migration des donnĂ©es, etc.).
50.
48 IX SUPERVISER, AUDITER, RĂAGIR
51.
49 49 Guide dâhygiĂšne informatique SUPERVISER, AUDITER, RĂAGIR IX 36 Activer et configurer
les journaux des composants les plus importants /Standard Disposer de journaux pertinents est nĂ©cessaire afin de pouvoir dĂ©tecter dâĂ©ventuels dysfonctionnements et tentatives dâaccĂšs illicites aux composants du systĂšme dâinformation. La premiĂšre Ă©tape consiste Ă dĂ©terminer quels sont les composants critiques du systĂšme dâinformation. Il peut notamment sâagir des Ă©quipements rĂ©seau et de sĂ©curitĂ©, des serveurs critiques, des postes de travail dâutilisateurs sen- sibles, etc. Pour chacun, il convient dâanalyser la configuration des Ă©lĂ©ments journali- sĂ©s (format, frĂ©quence de rotation des fichiers, taille maximale des fichiers journaux, catĂ©gories dâĂ©vĂšnements enregistrĂ©s, etc.) et de lâadapter en consĂ©- quence. Les Ă©vĂšnements critiques pour la sĂ©curitĂ© doivent ĂȘtre journalisĂ©s et gardĂ©s pendant au moins un an (ou plus en fonction des obligations lĂ©gales du secteur dâactivitĂ©s). Une Ă©tude contextuelle du systĂšme dâinformation doit ĂȘtre effectuĂ©e et les Ă©lĂ©ments suivants doivent ĂȘtre journalisĂ©s : > > pare-feu : paquets bloquĂ©s ; > > systĂšmes et applications : authentifications et autorisations (Ă©checs et succĂšs), arrĂȘts inopinĂ©s ; > > services : erreurs de protocoles (par exemples les erreurs 403, 404 et 500 pour les services HTTP), traçabilitĂ© des flux applicatifs aux interconnexions (URL sur un relai HTTP, en-tĂȘtes des messages sur un relai SMTP, etc.) ; Afin de pouvoir corrĂ©ler les Ă©vĂšnements entre les diffĂ©rents composants, leur source de synchronisation de temps (grĂące au protocole NTP) doit ĂȘtre identique.
52.
50 50 IX SUPERVISER, AUDITER, RĂAGIR Guide dâhygiĂšne informatique /RenforcĂ© Si toutes les
actions prĂ©cĂ©dentes ont Ă©tĂ© mises en Ćuvre, une centralisation des journaux sur un dispositif dĂ©diĂ© pourra ĂȘtre envisagĂ©e. Cela permet de faciliter la recherche automatisĂ©e dâĂ©vĂ©nements suspects, dâarchiver les jour- naux sur une longue durĂ©e et dâempĂȘcher un attaquant dâeffacer dâĂ©ventuelles traces de son passage sur les Ă©quipements quâil a compromis. ANSSI, Recommandations de sĂ©curitĂ© pour la mise en Ćuvre dâun systĂšme de journalisation, note technique, dĂ©cembre 2013
53.
51 51 Guide dâhygiĂšne informatique SUPERVISER, AUDITER, RĂAGIR IX 37 DĂ©finir et appliquer
une politique de sauvegarde des composants critiques /Standard Suite Ă un incident dâexploitation ou en contexte de gestion dâune intrusion, la disponibilitĂ© de sauvegardes conservĂ©es en lieu sĂ»r est indispensable Ă la poursuite de lâactivitĂ©. Il est donc fortement recommandĂ© de formaliser une politique de sauvegarde rĂ©guliĂšrement mise Ă jour. Cette derniĂšre a pour objectif de dĂ©finir des exigences en matiĂšre de sauvegarde de lâinformation, des logiciels et des systĂšmes. Cette politique doit au moins intĂ©grer les Ă©lĂ©ments suivants : > > la liste des donnĂ©es jugĂ©es vitales pour lâorganisme et les serveurs concernĂ©s ; > > les diffĂ©rents types de sauvegarde (par exemple le mode hors ligne) ; > > la frĂ©quence des sauvegardes ; > > la procĂ©dure dâadministration et dâexĂ©cution des sauvegardes ; > > les informations de stockage et les restrictions dâaccĂšs aux sauvegardes ; > > les procĂ©dures de test de restauration ; > > la destruction des supports ayant contenu les sauvegardes. Les tests de restauration peuvent ĂȘtre rĂ©alisĂ©s de plusieurs maniĂšres : > > systĂ©matique, par un ordonnanceur de tĂąches pour les applications im- portantes ; > > ponctuelle, en cas dâerreur sur les fichiers ; > > gĂ©nĂ©rale, pour une sauvegarde et restauration entiĂšres du systĂšme dâin- formation. /RenforcĂ© Un fois cette politique de sauvegarde Ă©tablie, il est souhaitable de planifier au moins une fois par an un exercice de restauration des donnĂ©es et de conserver une trace technique des rĂ©sultats.
54.
52 52 IX SUPERVISER, AUDITER, RĂAGIR Guide dâhygiĂšne informatique 38 ProcĂ©der Ă des
contrĂŽles et audits de sĂ©curitĂ© rĂ©guliers puis appliquer les actions correctives associĂ©es /RenforcĂ© La rĂ©alisation dâaudits rĂ©guliers (au moins une fois par an) du systĂšme dâin- formation est essentielle car elle permet dâĂ©valuer concrĂštement lâefficacitĂ© des mesures mises en Ćuvre et leur maintien dans le temps. Ces contrĂŽles et audits permettent Ă©galement de mesurer les Ă©carts pouvant persister entre la rĂšgle et la pratique. Ils peuvent ĂȘtre rĂ©alisĂ©s par dâĂ©ventuelles Ă©quipes dâaudit internes ou par des sociĂ©tĂ©s externes spĂ©cialisĂ©es. Selon le pĂ©rimĂštre Ă contrĂŽler, des audits tech- niques et/ou organisationnels seront effectuĂ©s par les professionnels mobilisĂ©s. Ces audits sont dâautant plus nĂ©cessaires que lâentitĂ© doit ĂȘtre conforme Ă des rĂ©glementations et obligations lĂ©gales directement liĂ©es Ă ses activitĂ©s. Ă lâissue de ces audits, des actions correctives doivent ĂȘtre identifiĂ©es, leur application planifiĂ©e et des points de suivi organisĂ©s Ă intervalles rĂ©guliers. Pour une plus grande efficacitĂ©, des indicateurs sur lâĂ©tat dâavancement du plan dâaction pourront ĂȘtre intĂ©grĂ©s dans un tableau de bord Ă lâadresse de la direction. Si les audits de sĂ©curitĂ© participent Ă la sĂ©curitĂ© du systĂšme dâinformation en permettant de mettre en Ă©vidence dâĂ©ventuelles vulnĂ©rabilitĂ©s, ils ne consti- tuent jamais une preuve de leur absence et ne dispensent donc pas dâautres mesures de contrĂŽle. Les prestataires dâaudit de la sĂ©curitĂ© des systĂšmes dâinformation (PASSI) qualifiĂ©s par lâANSSI dĂ©livrent des prestations dâaudit dâarchitecture, de configuration, de code source, de tests dâintrusion et dâaudit organisationnel et physique.
55.
53 53 Guide dâhygiĂšne informatique SUPERVISER, AUDITER, RĂAGIR IX 39 DĂ©signer un rĂ©fĂ©rent
en sĂ©curitĂ© des systĂšmes dâinformation et le faire connaĂźtre auprĂšs du personnel /Standard Toute entitĂ© doit disposer dâun rĂ©fĂ©rent en sĂ©curitĂ© des systĂšmes dâinformation qui sera soutenu par la direction ou par une instance dĂ©cisionnelle spĂ©cialisĂ©e selon le niveau de maturitĂ© de la structure. Ce rĂ©fĂ©rent devra ĂȘtre connu de tous les utilisateurs et sera le premier contact pour toutes les questions relatives Ă la sĂ©curitĂ© des systĂšmes dâinformation : > > dĂ©finition des rĂšgles Ă appliquer selon le contexte ; > > vĂ©rification de lâapplication des rĂšgles ; > > sensibilisation des utilisateurs et dĂ©finition dâun plan de formation des acteurs informatiques ; > > centralisation et traitement des incidents de sĂ©curitĂ© constatĂ©s ou remon- tĂ©s par les utilisateurs. Ce rĂ©fĂ©rent devra ĂȘtre formĂ© Ă la sĂ©curitĂ© des systĂšmes dâinformation et Ă la gestion de crise. Dans les entitĂ©s les plus importantes, ce correspondant peut ĂȘtre dĂ©signĂ© pour devenir le relais du RSSI. Il pourra par exemple signaler les dolĂ©ances des utilisateurs et identifier les thĂ©matiques Ă aborder dans le cadre des sensibilisations, permettant ainsi dâĂ©lever le niveau de sĂ©curitĂ© du systĂšme dâinformation au sein de lâorganisme.
56.
54 54 IX SUPERVISER, AUDITER, RĂAGIR Guide dâhygiĂšne informatique 40 DĂ©finir une procĂ©dure
de gestion des incidents de sĂ©curitĂ© /Standard Le constat dâun comportement inhabituel de la part dâun poste de travail ou dâun serveur (connexion impossible, activitĂ© importante, activitĂ©s inhabi- tuelles, services ouverts non autorisĂ©s, fichiers crĂ©Ă©s, modifiĂ©s ou supprimĂ©s sans autorisation, multiples alertes de lâantivirus, etc.) peut alerter sur une Ă©ventuelle intrusion. Une mauvaise rĂ©action en cas dâincident de sĂ©curitĂ© peut faire empirer la situation et empĂȘcher de traiter correctement le problĂšme. Le bon rĂ©flexe est de dĂ©connecter la machine du rĂ©seau, pour stopper lâattaque. En revanche, il faut la maintenir sous tension et ne pas la redĂ©marrer, pour ne pas perdre dâinformations utiles pour lâanalyse de lâattaque. Il faut ensuite prĂ©venir la hiĂ©rarchie, ainsi que le rĂ©fĂ©rent en sĂ©curitĂ© des systĂšmes dâinformation. Celui-ci peut prendre contact avec un prestataire de rĂ©ponse aux incidents de sĂ©curitĂ© (PRIS) afin de faire rĂ©aliser les opĂ©rations techniques nĂ©cessaires (copie physique du disque, analyse de la mĂ©moire, des journaux et dâĂ©ventuels codes malveillants, etc.) et de dĂ©terminer si dâautres Ă©lĂ©ments du systĂšme dâinformation ont Ă©tĂ© compromis. Il sâagira Ă©galement dâĂ©laborer la rĂ©ponse Ă apporter afin de supprimer dâĂ©ventuels codes malveillants et accĂšs dont disposerait lâattaquant et de procĂ©der au changement des mots de passe compromis. Tout incident doit ĂȘtre consignĂ© dans un registre centralisĂ©. Une plainte pourra Ă©galement ĂȘtre dĂ©posĂ©e auprĂšs du service judiciaire compĂ©tent. Les prestataires de rĂ©ponse aux incidents de sĂ©curitĂ© (PRIS) interviennent lorsquâune concor- dance de signaux permet de soupçonner ou dâattester une activitĂ© informatique malveillante au sein dâun systĂšme dâinformation. La criticitĂ© de ces prestations engageant la pĂ©rennitĂ© des systĂšmes dâinformation, lâANSSI a Ă©laborĂ© un rĂ©fĂ©rentiel dont lâobjectif est dâapporter aux commanditaires de telles prestations les garanties nĂ©cessaires vis-Ă -vis de ces prestataires, tant en termes de compĂ©tence que de confiance.
57.
55 X POUR ALLER PLUS
LOIN
58.
56 56 X POUR ALLER PLUS LOIN Guide dâhygiĂšne informatique 41 Mener une analyse
de risques formelle /RenforcĂ© Chaque entitĂ© Ă©volue dans un environnement informationnel complexe qui lui est propre. Aussi, toute prise de position ou plan dâaction impliquant la sĂ©curitĂ© du systĂšme dâinformation doit ĂȘtre considĂ©rĂ© Ă la lumiĂšre des risques pressentis par la direction. En effet, quâil sâagisse de mesures organisationnelles ou techniques, leur mise en Ćuvre reprĂ©sente un coĂ»t pour lâentitĂ© qui nĂ©cessite de sâassurer quâelles permettent de rĂ©duire au bon niveau un risque identifiĂ©. Dans les cas les plus sensibles, lâanalyse de risque peut remettre en cause certains choix passĂ©s. Ce peut notamment ĂȘtre le cas si la probabilitĂ© dâap- parition dâun Ă©vĂ©nement et ses consĂ©quences potentielles sâavĂšrent critiques pour lâentitĂ© et quâil nâexiste aucune action prĂ©ventive pour le maĂźtriser. La dĂ©marche recommandĂ©e consiste, dans les grandes lignes, Ă dĂ©finir le contexte, apprĂ©cier les risques et les traiter. LâĂ©valuation de ces risques sâopĂšre gĂ©nĂ©ralement selon deux axes : leur probabilitĂ© dâapparition et leur gravitĂ©. Sâensuit lâĂ©laboration dâun plan de traitement du risque Ă faire valider par une autoritĂ© dĂ©signĂ©e Ă plus haut niveau. Trois types dâapproches peuvent ĂȘtre envisagĂ©s pour maĂźtriser les risques associĂ©s Ă son systĂšme dâinformation : > > le recours aux bonnes pratiques de sĂ©curitĂ© informatique ; > > une analyse de risques systĂ©matique fondĂ©e sur les retours dâexpĂ©rience des utilisateurs ; > > une gestion structurĂ©e des risques formalisĂ©e par une mĂ©thodologie dĂ©diĂ©e.
59.
57 57 Guide dâhygiĂšne informatique POUR ALLER PLUS LOIN X Dans ce dernier
cas, la mĂ©thode EBIOS rĂ©fĂ©rencĂ©e par lâANSSI est recomman- dĂ©e. Elle permet dâexprimer les besoins de sĂ©curitĂ©, dâidentifier les objectifs de sĂ©curitĂ© et de dĂ©terminer les exigences de sĂ©curitĂ©. La mĂ©thode dâanalyse de risques EBIOS (Expression des Besoins et Identification des Objec- tifs de SĂ©curitĂ©) permet dâapprĂ©cier et de traiter les risques relatifs Ă la sĂ©curitĂ© des systĂšmes dâinformation (SSI). Elle permet aussi de communiquer Ă leur sujet au sein de lâorganisme et vis-Ă -vis de ses partenaires, constituant ainsi un outil complet de gestion des risques SSI.
60.
58 58 X POUR ALLER PLUS LOIN Guide dâhygiĂšne informatique 42 PrivilĂ©gier lâusage de
produits et de services qualifiĂ©s par lâANSSI /RenforcĂ© La qualification prononcĂ©e par lâANSSI offre des garanties de sĂ©curitĂ© et de confiance aux acheteurs de solutions listĂ©es dans les catalogues de produits et de prestataires de service qualifiĂ©s que publie lâagence. Au-delĂ des entitĂ©s soumises Ă rĂ©glementation, lâANSSI encourage plus gĂ©nĂ©- ralement lâensemble des entreprises et administrations françaises Ă utiliser des produits quâelle qualifie, seul gage dâune Ă©tude sĂ©rieuse et approfondie du fonctionnement technique de la solution et de son Ă©cosystĂšme. Sâagissant des prestataires de service qualifiĂ©s, ce label permet de rĂ©pondre aux enjeux et projets de cybersĂ©curitĂ© pour lâensemble du tissu Ă©conomique français que lâANSSI ne saurait adresser seule. ĂvaluĂ©s sur des critĂšres tech- niques et organisationnels, les prestataires qualifiĂ©s couvrent lâessentiel des mĂ©tiers de la sĂ©curitĂ© des systĂšmes dâinformation. Ainsi, en fonction de ses besoins et du maillage national, une entitĂ© pourra faire appel Ă un Prestataire dâaudit de la sĂ©curitĂ© des systĂšmes dâinformation (PASSI), un Prestataire de rĂ©ponse aux incidents de sĂ©curitĂ© (PRIS), un Prestataire de dĂ©tection des incidents de sĂ©curitĂ© (PDIS) ou Ă un prestataire de service dâinformatique en nuage (SecNumCloud). Catalogue des produits et prestataires de service qualifiĂ©s
61.
62.
60 OUTIL DE SUIVI I
- Sensibiliser et former Standard RenforcĂ© 1 Former les Ă©quipes opĂ©rationnelles Ă la sĂ©curitĂ© des systĂšmes dâinformation 2 Sensibiliser les utilisateurs aux bonnes pratiques Ă©lĂ©mentaires de sĂ©curitĂ© informatique 3 MaĂźtriser les risques de lâinfogĂ©rance II - Connaitre le systĂšme dâinformation Standard RenforcĂ© 4 Identifier les informations et serveurs les plus sensibles et maintenir un schĂ©ma du rĂ©seau 5 Disposer dâun inventaire exhaustif des comptes privilĂ©giĂ©s et le maintenir Ă jour 6 Organiser les procĂ©dures dâarrivĂ©e, de dĂ©part et de changement de fonction des utilisateurs 7 Autoriser la connexion au rĂ©seau de lâentitĂ© aux seuls Ă©quipements maĂźtrisĂ©s
63.
61 III - Authentifier
et contrĂŽler les accĂšs Standard RenforcĂ© 8 Identifier nommĂ©ment chaque personne accĂ©dant au systĂšme et distinguer les rĂŽles utilisateur/administrateur 9 Attribuer les bons droits sur les ressources sensibles du systĂšme dâinformation 10 DĂ©finir et vĂ©rifier des rĂšgles de choix et de dimensionnement des mots de passe 11 ProtĂ©ger les mots de passe stockĂ©s sur les systĂšmes 12 Changer les Ă©lĂ©ments dâauthentification par dĂ©faut sur les Ă©quipements et services 13 PrivilĂ©gier lorsque câest possible une authentification forte IV - SĂ©curiser les postes Standard RenforcĂ© 14 Mettre en place un niveau de sĂ©curitĂ© minimal sur lâensemble du parc informatique 15 Se protĂ©ger des menaces relatives Ă lâutilisation de supports amovibles 16 Utiliser un outil de gestion centralisĂ©e afin dâhomogĂ©nĂ©iser les politiques de sĂ©curitĂ©
64.
62 17 Activer et configurer
le pare-feu local des postes de travail 18 Chiffrer les donnĂ©es sensibles transmises par voie Internet V - SĂ©curiser le rĂ©seau Standard RenforcĂ© 19 Segmenter le rĂ©seau et mettre en place un cloisonnement entre ces zones 20 Sâassurer de la sĂ©curitĂ© des rĂ©seaux dâaccĂšs Wi-Fi et de la sĂ©paration des usages 21 Utiliser des protocoles sĂ©curisĂ©s dĂšs quâils existent 22 Mettre en place une passerelle dâaccĂšs sĂ©curisĂ© Ă Internet 23 Cloisonner les services visibles depuis Internet du reste du systĂšme dâinformation 24 ProtĂ©ger sa messagerie professionnelle 25 SĂ©curiser les interconnexions rĂ©seau dĂ©diĂ©es avec les partenaires 26 ContrĂŽler et protĂ©ger lâaccĂšs aux salles serveurs et aux locaux techniques
65.
63 VI - SĂ©curiser
lâadministration Standard RenforcĂ© 27 Interdire lâaccĂšs Ă Internet depuis les postes ou serveurs utilisĂ©s pour lâadministration du systĂšme dâinformation 28 Utiliser un rĂ©seau dĂ©diĂ© et cloisonnĂ© pour lâadministration du systĂšme dâinformation 29 Limiter au strict besoin opĂ©rationnel les droits dâadministration sur les postes de travail VII - GĂ©rer le nomadisme Standard RenforcĂ© 30 Prendre des mesures de sĂ©curisation physique des terminaux nomades 31 Chiffrer les donnĂ©es sensibles, en particulier sur le matĂ©riel potentiellement perdable 32 SĂ©curiser la connexion rĂ©seau des postes utilisĂ©s en situation de nomadisme 33 Adopter des politiques de sĂ©curitĂ© dĂ©diĂ©es aux terminaux mobiles
66.
64 VIII - Maintenir
Ă jour le systĂšme dâinformation Standard RenforcĂ© 34 DĂ©finir une politique de mise Ă jour des composants du systĂšme dâinformation 35 Anticiper la fin de la maintenance des logiciels et systĂšmes et limiter les adhĂ©rences logicielles IX - Superviser, auditer, rĂ©agir Standard RenforcĂ© 36 Activer et configurer les journaux des composants les plus importants 37 DĂ©finir et appliquer une politique de sauvegarde des composants critiques 38 ProcĂ©der Ă des contrĂŽles et audits de sĂ©curitĂ© rĂ©guliers puis appliquer les actions correctives associĂ©es 39 DĂ©signer un rĂ©fĂ©rent en sĂ©curitĂ© des systĂšmes dâinformation et le faire connaĂźtre auprĂšs du personnel 40 DĂ©finir une procĂ©dure de gestion des incidents de sĂ©curitĂ©
67.
65 X - Pour
aller plus loin Standard RenforcĂ© 41 Mener une analyse de risques formelle 42 PrivilĂ©gier lâusage de produits et de services qualifiĂ©s par lâANSSI
68.
66 BIBLIOGRAPHIE Guides et méthodes ANSSI,
Bonnes pratiques pour lâacquisition et lâexploitation de noms de domaine, guide, fĂ©vrier 2015 www.ssi.gouv.fr/guide-bonnes-pratiques/ ANSSI, Expression des Besoins et Identification des Objectifs de SĂ©curitĂ© (EBIOS), mĂ©thode, janvier 2010 www.ssi.gouv.fr/ebios/ ANSSI, Guide de lâexternalisation â MaĂźtriser les risques de lâinfogĂ©rance, guide, dĂ©cembre 2010 www.ssi.gouv.fr/externalisation/ ANSSI, MaĂźtriser les risques de lâinfogĂ©rance, guide, dĂ©cembre 2010 www.ssi.gouv.fr/infogerance/ ANSSI-CDSE, Passeport de conseils aux voyageurs, bonnes pratiques, janvier 2010 www.ssi.gouv.fr/passeport-de-conseils-aux-voyageurs/ ANSSI, Charte dâutilisation des moyens informatiques et des outils numĂ©riques â Guide dâĂ©laboration en 8 points clĂ©s pour les PME et ETI, guide, juin 2017 www.ssi.gouv.fr/charte-utilisation-outils-numeriques/ Notes techniques ANSSI, Guide de dĂ©finition dâune architecture de passerelle dâinterconnexion sĂ©curisĂ©e, note technique, dĂ©cembre 2011 www.ssi.gouv.fr/passerelle-interconnexion/ ANSSI, Recommandations de sĂ©curitĂ© relatives aux mots de passe, note tech- nique, juin 2012 www.ssi.gouv.fr/mots-de-passe/
69.
67 ANSSI, Recommandations pour
la dĂ©finition dâune politique de filtrage rĂ©seau dâun pare-feu, note technique, mars 2013 www.ssi.gouv.fr/politique-filtrage-parefeu/ ANSSI, Recommandations de sĂ©curitĂ© relatives aux rĂ©seaux Wi-Fi, note tech- nique, septembre 2013 www.ssi.gouv.fr/nt-wifi/ ANSSI, Recommandations pour la mise en Ćuvre dâune politique de restrictions logicielles sous Windows, note technique, dĂ©cembre 2013 www.ssi.gouv.fr/windows-restrictions-logicielles/ ANSSI, Recommandations de sĂ©curitĂ© pour la mise en Ćuvre dâun systĂšme de journalisation, note technique, dĂ©cembre 2013 www.ssi.gouv.fr/journalisation/ ANSSI, Recommandations de sĂ©curitĂ© relatives Ă Active Directory, note tech- nique, septembre 2014 www.ssi.gouv.fr/Active-Directory/ ANSSI, Recommandations relatives Ă lâadministration sĂ©curisĂ©e des systĂšmes dâinformation, note technique, fĂ©vrier 2015 www.ssi.gouv.fr/securisation-admin-si/ ANSSI, Recommandations de sĂ©curitĂ© relatives aux ordiphones, note technique, juillet 2015 www.ssi.gouv.fr/securisation-ordiphones/ ANSSI, Recommandations de sĂ©curitĂ© relatives Ă IPsec pour la protection des flux rĂ©seau, note technique, aoĂ»t 2015 www.ssi.gouv.fr/ipsec/ ANSSI, Recommandations de configuration dâun systĂšme GNU/Linux, note technique, janvier 2016 www.ssi.gouv.fr/reco-securite-systeme-linux/
70.
68 Ressources en ligne Site
Web de lâANSSI Catalogue des produits et prestataires de service qualifiĂ©s www.ssi.gouv.fr/qualifications/ Twitter @ANSSI_FR www.twitter.com/anssi_fr CERT-FR www.cert.ssi.gouv.fr CNIL www.cnil.fr RĂ©fĂ©rences Douglas Adams, The Hitchhikerâs Guide to the Galaxy (ou H2G2), roman de science-fiction, 1979
71.
72.
Version 2.0 -
Septembre 2017 20170901-1756 Licence Ouverte/Open Licence (Etalab - V1) agence nationale de la sĂ©curitĂ© des systĂšmes dâinformation ANSSI - 51, boulevard de la Tour-Maubourg - 75700 PARIS 07 SP www.ssi.gouv.fr / communication@ssi.gouv.fr
Baixar agora