Guide Hygiene Informatique Anssi

Guide dhyGine informatique
3
Table des maTires
- I -
Connatre le systme dinformation et ses utilisateurs 9
- II -
Matriser le rseau 13
- III -
Mettre niveau les logiciels 15
- IV -
Authentiter l'utilisateur 17
- V -
Scuriser les quipements terminaux 21
- VI -
Scuriser lintrieur du rseau 25
- VII -
Protger le rseau interne de lInternet 29
- VIII -
Surveiller les systmes 31
- IX -
Scuriser ladministration du rseau 33
- X -
Contrler laccs aux locaux et la scurit physique 35
- XI -
Organiser la raction en cas dincident 39
- XII -
Sensibiliser 43
- XIII -
Faire auditer la scurit 45
4
5
Prambule
Les formidables dveloppements de linformatique et dInternet ont rvolutionn
nos manires de vivre et de travailler.
La perte ou le vol de certaines informations ou lindisponibilit de son systme
dinformation peuvent avoir de lourdes consquences pour lentreprise : perte
de oontanoe des olients, des partenaires, avantage pris par un oonourrent, perte
dexploitation suite une interruption de la production. Les communications de
lquipe dirigeante sont souvent une cible privilgie.
Bien protger les informations oontdentielles oontes par des olients et des
partenaires peut dsormais orer un avantage oonourrentiel. Plus enoore, protger
ses donnes et son rseau informatique est crucial pour la survie de lentreprise et
sa comptitivit.
Si les erreurs humaines ou la malveillance dun salari peuvent tre lorigine dun
inoident, les agressions externes sont de plus en plus frquentes : attaque oontre le
site lnternet de l'entreprise, programmes informatiques malveillants oaohs dans
des pioes jointes des oourriels ou dans des ols u3B piges, vol de mots de
passe.
ll est de la responsabilit des dirigeants de vriter que les mesures de proteotion
adaptes sont mises en place et oprationnelles. Elles doivent faire lobjet dune
politique de sourit orite, oomprise et oonnue de tous et dont l'applioation doit
tre rgulirement vrite par l'enoadrement.
Parmi oes mesures, il existe des mesures teohniques simples, qualites d'hygine
informatique car elles sont la transposition dans le monde numrique de rgles
lmentaires de scurit sanitaire.
La majeure partie des attaques informatiques sur lesquelles lANSSI est intervenue
auraient pu tre vites si les mesures dhygine informatique dcrites dans ce
guide avaient t appliques par les entreprises concernes.
3'adressant aux personnes en oharge de la sourit informatique, que oe soit
un responsable de la scurit des systmes dinformation (RSSI) ou toute autre
personne qui remplit oette fonotion, oe dooument prsente les 40 rgles d'hygine
informatique incontournables.
Elles ne prtendent pas avoir un caractre dexhaustivit. Elles constituent
cependant le socle minimum des rgles respecter pour protger les informations
dune entreprise.
Ne pas les suivre expose l'entreprise des risques d'inoidents majeurs, susoeptibles
de mettre sa oomptitivit, voire sa prennit, en danger.
6
destination des resPonsables
informatiques
Vous tes responsable de la scurit des systmes dinformation de votre
organisation ou, plus simplement, o'est vous que revient la responsabilit du
bon fonotionnement de son informatique. vous le savez, en quelques annes,
votre mtier a volu au rythme de larrive des technologies de linformation qui
irriguent dsormais toutes les fonotions des entreprises, des administrations, des
oolleotivits territoriales, oomme de notre vie quotidienne. Ue nouveaux usages
rendent galement plus complexe la matrise des systmes dont vous avez la
charge.
Bases de donnes des olients, oontrats oommeroiaux ou brevets, donnes de
produotion, dossiers des usagers, dmarohes administratives, informations
oonoernant un maroh publio sont dsormais aooessibles en ligne, le plus souvent
via Internet travers des postes de travail ou des tlphones mobiles.
Les consquences quauraient pour votre organisation la perte ou le vol de certaines
informations ou lindisponibilit de son informatique peuvent tre extrmement
lourdes. A l'inverse, bien protger les informations oontdentielles de l'entreprise
ou oelles oontes par des olients, des partenaires ou des fournisseurs gnre la
oontanoe et tuidite l'aotivit.
Si les erreurs humaines ou la malveillance dun employ peuvent parfois tre
l'origine d'un inoident, les agressions externes, des tns d'espionnage voire de
sabotage, sont aujourd'hui extrmement frquentes et disortes.
1outefois, de nombreuses attaques informatiques, traites par l'agenoe nationale
de sourit des systmes d'information (AN33l), auraient pu tre vites si des
mesures techniques essentielles avaient t appliques par les organisations
victimes.
Certaines de oes mesures peuvent tre qualites de - rgles lmentaires
dhygine informatique . Ne pas les suivre expose inutilement votre organisation
des risques d'inoidents majeurs, susoeptibles de mettre son fonotionnement ou sa
oomptitivit en danger, voire d'entrainer l'arrt de son aotivit.
Ce guide s'adresse vous. ll vous prsente les 40 rgles d'hygine informatique
essentielles pour assurer la scurit de votre systme dinformation et le moyen de
les mettre en uvre. Non exhaustives, oes rgles reprsentent oependant le soole
minimum respecter pour protger les informations de votre organisation.
une fois oes rgles partages et appliques, vous aurez aooompli une part
importante de votre mission : permettre votre organisation dinteragir avec ses
fournisseurs et ses partenaires, de servir ses olients, en respeotant l'intgrit et la
oontdentialit des informations qui les oonoernent.
7
Ce document se concentre sur les systmes de bureautique classiques. Bien quun
certain nombre des recommandations dcrites ici sappliquent galement aux
systmes industriels, l'AN33l a publi un guide spoitque pour assurer la sourit
des systmes de ce type
1
.
1 Voir sur le site de lanssi : www.ssi.gouv.fr/systemesindustriels.
8
Connatre le systme dinformation et ses utilisateurs
9
Connatre le systme dinformation et ses utilisateurs
i - Connatre le sYstme
dinformation et ses utilisateurs
La connaissance de son propre systme dinformation est un pralable important
sa sourisation. Ln effet, si le systme d'information oomprend un quipement
rgulirement omis des inventaires, oet quipement, qui deviendra rapidement
obsolte, sera une oible de ohoix pour un attaquant.
Llaboration dune cartographie du systme dinformation est le premier pas vers
une meilleure connaissance du systme dinformation. Elle permettra dlaborer
plus faoilement des mesures de sourit adaptes au systme, de garantir
quaucun quipement nest oubli lors de lapplication dune mesure de scurit et
de faciliter la raction en cas dincident.
Cette cartographie doit au minimum comprendre les lments suivants :
liste des ressources matrielles (avec leur modle) et logicielles (avec leur
version) utilises. Il convient bien entendu dtre le plus prcis possible. Pour
entamer la dmarohe, l'tablissement d'une liste des maohines dployes
assooies leurs attributaires et leurs paramtres teohniques (adresse lP,
adresse MAC) d'une part, et des logioiels prinoipaux dploys sur oes postes
(suite bureautique, visionneuse PUl, navigateur, olient de messagerie) aveo
leurs versions peut tre envisag. Par ailleurs, les postes d'administration
doivent faire partie du primtre de la oartographie. Plus le paro est homogne,
plus ltablissement et le maintien jour dune telle liste sont aiss ;
arohiteoture rseau sur laquelle sont identits les points nvralgiques
(connexions externes
1
, serveurs hbergeant des donnes ou des fonotions
sensibles, eto.).
1 inventorier en particulier tous les accs internet du systme dinformation et toutes les
interconnexions avec des rseaux partenaires (fournisseurs, partenaires commerciaux, etc.). Cet
inventaire doit tre exhaustif. il doit comprendre les accs adsl ventuellement mis en place
pour |es besons spcques des ut|sateurs ans que |es |asons spca|ses.
rgle 1
disposer dune cartographie prcise de linstallation
nformatque et |a mantenr [our.
10
Connatre le systme dinformation et ses utilisateurs Connatre le systme dinformation et ses utilisateurs
une fois oette oartographie tablie, elle doit tre maintenue jour et enriohie,
notamment aveo des lments lis aux protoooles mis en uvre (matrioes de tux).
Cette cartographie ne doit idalement pas tre stocke sur le rseau quelle
reprsente, oar il s'agit de l'un des lments que l'attaquant va reoheroher en
premier lieu en cas dintrusion russie.
A minima, il est important de disposer de la liste :
des utilisateurs qui disposent dun compte administrateur (ou de privilges
suprieurs ceux dun utilisateur standard) sur le systme dinformation ;
des utilisateurs qui disposent de privilges suftsants pour aooder aux
rpertoires de travail des dirigeants ou, a fortiori, de l'ensemble des utilisateurs ,
des utilisateurs qui disposent dun poste non administr par le service
informatique et donc non gr selon la politique de scurit gnrale de
lorganisme.
Cette liste doit bien entendu tre maintenue jour.
Par ailleurs, il est souhaitable de disposer de la liste des utilisateurs qui disposent
de privilges suftsants pour lire la messagerie des dirigeants de la sooit ou a
fortiori de lensemble des utilisateurs. Ltablissement de la liste des personnes
ayant rellement accs ces informations est cependant parfois extrmement
diftoile. 3i la liste ne peut tre tablie de manire table, une journalisation des
aoos aux boites lettres et une vritoation priodique de la liste des personnes
ayant consult les botes lettres les plus sensibles devraient tre ralise (voir
rgle 26).
3ur un systme windows, la plupart de oes informations peuvent tre obtenues
par l'analyse de la oontguration de l'Active Directory. Le document Audit des
permissions en environnement Active Directory
2
disponible sur le site de lANSSI
2 Voir sur le site internet de lanssi : http://www.ssi.gouv.fr/active-directory.
rgle 2
disposer dun inventaire exhaustif des comptes privilgis et le
mantenr [our.
11
Connatre le systme dinformation et ses utilisateurs Connatre le systme dinformation et ses utilisateurs
prcise un ensemble de mthodes permettant den raliser linventaire.
Il est de plus trs fortement recommand dutiliser une nomenclature claire pour
les noms de comptes (faire systmatiquement prcder les noms de comptes de
servioe par le prtxe 3Rv, les oomptes d'administration du prtxe AUM).
Ces procdures sont destines garantir que les droits octroys sur le
systme d'information sont appliqus au plus juste. Notamment, il est
important que lensemble des droits affects une personne soient
rvoqus lors de son dpart. Les procdures doivent dcrire a minima :
la gestion (cration / destruction) des comptes informatiques (et des botes
lettres associes) et lattribution des droits associs ces comptes sur le
systme d'information, y oompris pour les partenaires et les prestataires
externes ;
la gestion des accs aux locaux (perception et restitution des cartes daccs
aux locaux notamment) ;
la gestion des quipements mobiles ;
la gestion des doouments sensibles (dtention, ventuelles autorisations de
sortie) ;
la gestion du contrle des habilitations du personnel.
ll est important de bien grer les mutations de personnel, soit en les traitant oomme
un dpart suivi d'une arrive soit en dtnissant une proodure adapte. 0n observe
frquemment une intation des privilges assoois oertains oomptes utilisateur du
fait de mouvements internes qui conduisent louverture de nouveaux droits sans
suppression de ceux devenus inutiles.
rgle 3
Pdger et app|quer des procdures d'arrve et de dpart des
utilisateurs (personnel, stagiaires).
matriser le rseau
12
13
matriser le rseau
ii - matriser le rseau
ll oonvient de oonnaitre proisment les points d'aoos lnternet (box AU3L, eto.)
et les interconnexions avec des rseaux partenaires et de les limiter au strict
ncessaire de manire pouvoir plus facilement centraliser et rendre homogne la
surveillance des changes.
La connexion des quipements personnels ne peut tre envisage que sur des
rseaux ne contenant strictement aucune information sensible. Les quipements
personnels (assistants personnels, tablettes, smartphones, leoteurs MP3, ols u3B)
sont en effet diftoilement maitrisables par l'organisme dans la mesure ou oe sont les
utilisateurs eux-mmes qui dcident du niveau de scurit de leurs quipements.
Les mesures de scurit en vigueur au sein dun tablissement ou dune entreprise
ne peuvent dono, par essenoe, pas s'appliquer oe type d'quipement.
Cette rgle est le plus souvent perue comme une contrainte inacceptable
voire rtrograde par de trs nombreux utilisateurs. Cependant, y droger faoilite
grandement le travail d'un attaquant en fragilisant le rseau de l'entreprise. Ln effet,
sur une oentaine d'quipements personnels oonneots au rseau d'une entreprise,
on estime statistiquement quau minimum dix dentre eux sont compromis par un
code malveillant gnrique (sans parler dattaque cible).
Il est donc important dinterdire ou dempcher leur connexion au systme
dinformation de lentreprise. Cette interdiction est dabord organisationnelle :
mme si auoune rgle teohnique n'empohe leur oonnexion, il oonvient d'inoiter
les utilisateurs ne pas recourir de telles pratiques par exemple au moyen de la
charte dutilisation des moyens informatiques.
Cette interdiction doit dans la mesure du possible tre complte par des mesures
teohniques, dont la mise en uvre peut toutefois s'avrer plus oomplexe (oontrle
systmatique d'aoos au rseau, dsaotivation des ports u3B).
rgle 4
limiter le nombre daccs internet de lentreprise au strict
ncessaire.
rgle 5
Interdre |a connexon d'qupements personne|s au systme
dinformation de lorganisme.
14
mettre niveau les logiCiels matriser le rseau
Lorsque le travail distanoe est noessaire, l'organisme doit fournir des moyens
professionnels pour permettre de tels usages. Le transfert de messages des
messageries professionnelles vers des messageries personnelles doit tre
explicitement interdit.
15
mettre niveau les logiCiels matriser le rseau
iii - mettre niVeau les loGiCiels
Chaque jour, des vulnrabilits sont mises en videnoe dans de trs nombreux
logioiels largement utiliss. uelques heures sont parfois suftsantes pour que des
codes malveillants exploitant ces vulnrabilits commencent circuler sur Internet.
ll est dono trs important d'utiliser en priorit des teohnologies prennes, dont
le support est assur, d'viter les teohnologies non maitrises en interne et de
respecter les recommandations du prsent chapitre.
Il est primordial de dterminer comment les composants logiciels utiliss par
l'entreprise peuvent tre mis jour. 3i un oomposant ne peut tre mis jour, il ne
doit pas tre utilis (voir la rgle 7 pour la gestion des exceptions en la matire).
Par ailleurs, les mises jour (oomme les logioiels) ne doivent tre tloharges que
depuis des sites de oontanoe (le site de leur diteur gnralement).
Il est recommand de traiter en priorit les composants de base (systme
d'exploitation, suite bureautique, navigateur et outils noessaires la navigation -
tels que la maohine virtuelle 1ava ou le leoteur llash, visionneuses de dooument)
puis de complter linventaire avec lensemble des autres composants logiciels et
dintgrer ces lments la cartographie.
Il est par ailleurs ncessaire dinventorier et de suivre les sources dinformation
susoeptibles de remonter des vulnrabilits sur les oomposants identits et de
diffuser des mises jour (site des diteurs des logioiels oonsidrs, sites des CLR1).
rgle 6
Uonnatre |es moda|ts de mses [our de |'ensemb|e
des composants logiciels utiliss et se tenir inform des
vu|nrab|ts de ces composants et des mses [our ncessares.
16
autHentifier lutilisateur mettre niveau les logiCiels
Cette politique devra comprendre :
les lments mettre jour ;
les responsabilits des diffrents acteurs dans cette mise jour ;
les moyens de roupration et de qualitoation des mises jour.
Elle pourra prendre la forme dun simple tableau comprenant ces lments.
Lorsqu'il en existe, il oonvient d'utiliser un outil ddi (par exemple w3u3 en
environnement Microsoft) permettant dappliquer les mises jour de manire
homogne sur l'ensemble du paro. U'une manire gnrale, une qualitoation des
mises jour en termes dimpact sur le fonctionnement du systme doit tre ralise
avant application.
ll est impratif, en vertu de la rgle 6 oi-dessus, de n'exolure auoun oomposant, et
a fortiori auoun poste, de la politique de mise jour.
Cependant, il est malheureusement frquent que des servioes informatiques
maintiennent en fonctionnement des systmes obsoltes qui ne sont plus supports
par leurs fabricants en raison dune adhrence particulire des applications ce
systme. Uans oe oas, il est primordial d'isoler oes systmes :
au niveau du rseau, l'aide d'un tltrage trs striot n'autorisant qu'un aoos
aux applications ncessaires ;
au niveau de l'authentitoation, en nutilisant aucun mot de passe (systme et
logiciel) commun avec le reste du systme dinformation ;
au niveau des applioations, en s'assurant que oes systmes n'utilisent
pas de ressources partages avec le reste du systme dinformation.
Par ailleurs, les quipements isols (doonneots du rseau) ne doivent pas tre
exolus de la politique de mise jour. Pour oes systmes, une mise jour manuelle
simpose.
rgle 7
0nr une po|tque de mse [our et |'app|quer strctement.
17
autHentifier lutilisateur mettre niveau les logiCiels
iV - autHentifier lutilisateur
Les mots de passe constituent souvent le talon dAchille des systmes dinformation.
Ln effet, si les organismes dtnissent relativement frquemment une politique de
mots de passe, il est rare qu'elle soit effeotivement applique de manire homogne
sur lensemble du parc informatique.
Cette rgle dont lobjet est de supprimer les comptes et accs gnriques et
anonymes est destine faciliter lattribution dune action sur le systme. Cela
sera particulirement utile en cas dincident.
Bien entendu, oette rgle n'interdit pas de oonserver des oomptes teohniques (dits
de servioe) non attribus une personne physique mais relis un servioe, un
mtier ou une applioation (par exemple utilisateur - apache pour un serveur web).
Ces comptes doivent cependant tre grs avec une politique au moins aussi stricte
que celle des comptes nominatifs.
On trouvera les bonnes pratiques en matire de choix et de dimensionnement des
mots de passe dans le dooument de l'AN33l, Recommandations de scurit relatives
aux mots de passe
3
. Parmi oes rgles, les plus oritiques sont de sensibiliser les
utilisateurs aux risques lis au choix dun mot de passe qui puisse se deviner trop
faoilement, et la rutilisation de mots de passe en partioulier entre messageries
personnelles et professionnelles.
3 vor http://www.ss.gouv.fr/fr/bonnes-pratques/recommandatons-et-gudes/securte-du-poste-
de-travail-et-des-serveurs/mot-de-passe.html.
rgle 8
Identer nommment chaque personne ayant accs au
systme.
rgle 9
0nr des rg|es de chox et de dmensonnement des mots
de passe.
18
autHentifier lutilisateur autHentifier lutilisateur
Les moyens permettant de faire respeoter la politique en matire d'authentitoation
et de mots de passe pourront tre :
le blocage des comptes tous les 6 mois tant que le mot de passe na pas t
chang ;
le blooage de toute oontguration du poste qui permettrait le dmarrage du
poste dans un mode - sans mot de passe (autologon) ou depuis un compte
invit ;
la vritoation que les mots de passe ohoisis ne sont pas faoiles retrouver.
Certains outils permettent par ailleurs nativement de vriter au moment du
changement de mot de passe que le nouveau mot de passe choisi nest pas
trivialement simple retrouver partir de lancien mot de passe. Bien que lobjectif
de ce type doutil soit louable (il est souvent facile de deviner le nouveau mot de
passe d'un utilisateur partir de la oonnaissanoe de ses autres mots de passe), il
est fortement dconseill de les utiliser sauf lorsquils sont bien matriss car ils
peuvent ncessiter de conserver un historique des anciens mots de passe.
Par souoi de simplioit, les utilisateurs ou les administrateurs orivent frquemment
leurs mots de passe en olair dans des tohiers stooks sur leurs postes informatiques
ou se les envoient par courriel. Ces pratiques sont proscrire. Les mots de passe ou
les lments secrets stocks sur les machines des utilisateurs sont des lments
recherchs et exploits en priorit par les attaquants.
Il est en outre important de ne pas utiliser de mcanismes automatiques de
sauvegarde des mots de passe (bouton -toujours se souvenir du mot de passe
dun navigateur par exemple). Si le nombre de mots de passe impose de recourir
une solution de stookage oentralis, il faut reoourir un systme dont la sourit a
t expertise. L'AN33l a oertit des produits permettant oe type d'usage
4
.
4 http://www.ssi.gouv.fr/fr/produits-et-prestataires/.
rgle 10
Mettre en p|ace des moyens technques permettant de fare
respecter |es rg|es re|atves |'authentcaton.
rgle 11
Ne pas conserver |es mots de passe en c|ar dans des chers
sur |es systmes nformatques.
19
autHentifier lutilisateur autHentifier lutilisateur
Les lments par dfaut sont systmatiquement connus des attaquants. Par
ailleurs, ils sont bien souvent triviaux (mot de passe identique l'identitant
oorrespondant, mot de passe partag entre plusieurs quipements d'une mme
gamme, eto.). lls doivent dono tre ohangs. 3i la moditoation n'est pas possible
(oertitoat - en dur dans un quipement par exemple), oe problme oritique doit
tre signal au oonstruoteur atn qu'il oorrige au plus vite oette vulnrabilit.
ll est fortement reoommand de mettre en uvre une authentitoation forte reposant
sur lemploi dune carte puce dont lutilisation ncessite la connaissance dun
oode PlN (voir annexe B.3 du rfrentiel gnral de sourit
5
).
La mise en place dun mcanisme de contrle daccs par carte puce sur un
systme nen disposant pas est cependant plus longue et coteuse que la mise en
uvre des autres rgles dcrites dans ce document.
5 http://www.ssi.gouv.fr/rgs.
rgle 12
Penouve|er systmatquement |es |ments d'authentcaton
par dfaut (mots de passe, certcats) sur |es qupements
(commutateurs rseau, routeurs, serveurs, imprimantes).
rgle 13
Prv|ger |orsque c'est possb|e une authentcaton forte par
carte puce.
sCuriser les quipements terminaux
20
20
sCuriser les quipements terminaux
21
sCuriser les quipements terminaux sCuriser les quipements terminaux
V - sCuriser les quiPements
terminauX
3i, il y a enoore quelques annes, les attaquants oiblaient en priorit les serveurs,
lattaque dun poste client est aujourdhui lun des moyens les plus simples
pour pntrer sur un rseau. Ln effet, il n'est pas rare que les postes olients
soient moins bien scuriss et surtout moins bien superviss que les serveurs.
ll est en partioulier impratif, au minimum, de dsaotiver les servioes inutiles et
de restreindre les privilges des comptes utilisateurs. Lutilisation dun pare-
feu personnel oontgur au minimum pour bloquer les oonnexions entrantes
non sollicites sur chaque poste client est gnralement indispensable. Sur les
systmes qui le permettent (serveurs ou postes olients sous Linux par exemple), le
durcissement du systme dexploitation par lajout de composants optionnels de
sourit (0R3eo, PaX eto.) doit tre envisag.
Par ailleurs, le Bl03 des maohines doit tre verrouill aveo un mot de passe non
trivial et le dmarrage sur supports amovibles ou via le rseau (Wake On LAN)
dsactiv.
Au niveau applioatif, il oonvient de oontgurer le plus tnement possible les olients
de rception de courriel (forcer lmission et la rception de courrier en texte brut
et non en 1ML est par exemple une bonne pratique), les navigateurs (bloquer par
dfaut oertains oontenus et n'aotiver le support qu'au oas par oas par exemple), ou
les suites de bureautique (dsactiver les possibilits dexcution des macros).
Conoernant oe dernier point, il est noter que le blooage de oertains oontenus
(javasoript, tash), mme s'il est primordial du point de vue de la sourit est
souvent peru oomme diftoile voire impossible oar l'aoos l'information noessite
l'utilisation de oes teohnologies. ll est oependant important qu'au minimum, oes
technologies soient dsactives sur les machines sur lesquelles leur utilisation
nest pas strictement ncessaire.
rgle 14
mettre en place un niveau de scurit homogne sur lensemble
du parc nformatque.
22
Les supports amovibles sont un moyen privilgi de propagation des codes
malveillants et d'extltration de donnes. ll oonvient dono d'essayer d'en limiter
au maximum lusage. Il nest souvent pas raliste dinterdire compltement la
connexion de supports amovibles sur lensemble des machines de lentreprise.
La bonne dmarohe est d'identiter les maohines sur lesquelles la oonnexion de
support amovibles est noessaire, de n'autoriser la oonnexion que sur oelles-oi et
de reprendre frquemment cette liste dans une optique de minimisation du nombre
de maohines qui y tgurent.
Ue nombreuses organisations privilgient l'utilisation de stations blanohes (ou - sas
daccs ) par lesquelles doivent passer lensemble des supports amovibles avant
dtre connects au systme de lentreprise. Si lobjectif est louable (effectuer un
oontrle de l'innoouit des supports avant leur oonnexion), oes stations deviennent
rapidement un point nvralgique du systme dinformation (elles sont accessibles
tous les utilisateurs, elles sont elles-mmes trs exposes). Leur usage ne doit tre
envisag que si elles peuvent tre matrises.
Ln tout tat de oause, l'exoution automatique de oode depuis des supports
amovibles (autorun) doit tre systmatiquement interdite techniquement.
Par ailleurs, il est possible sur les systmes Miorosoft partir de windows XP, de
restreindre la possibilit d'exouter des programmes selon divers oritres, groe
aux stratgies de restriction logicielle (Software Restriction Policies). Une telle
politique peut tre mise en uvre dans le but de limiter le risque dimportation
involontaire de virus, en partioulier par ol u3B.
rgle 15
Interdre technquement |a connexon des supports amovb|es
sauf si cela est strictement ncessaire ; dsactiver lexcution
des autoruns depuis de tels supports.
23
Lutilisation dun outil de gestion de parc est primordiale pour assurer le suivi des
postes sur le rseau.
Il est ncessaire dinclure un maximum dquipements informatiques dans le
primtre des quipements grs par loutil en question.
Ln oas de disparit de traitement entre les terminaux nomades et les postes txes,
le niveau rel de scurit du rseau est celui du maillon le plus faible.
Les postes nomades doivent dono bntoier au moins des mmes mesures de
sourit que les postes txes (mises jour, restriotion de privilges eto.). Les oonditions
d'utilisation des postes nomades imposent de plus, souvent, le renforoement de
oertaines fonotions de sourit (ohiffrement de disque, authentitoation renforoe,
voir rgle 19) mais la mise en plaoe de telles fonotions sur les postes txes est
galement une bonne pratique au titre de la dfense en profondeur.
rgle 16
Ut|ser un out| de geston de parc nformatque permettant de
dp|oyer des po|tques de scurt et |es mses [our sur |es
qupements.
rgle 17
Urer |es termnaux nomades se|on une po|tque de scurt
au mons auss strcte que ce||e des postes xes.
24
sCuriser lintrieur du rseau sCuriser les quipements terminaux
Uans les oas ou l'applioation de oette rgle n'est pas possible, respeoter striotement
les principes dcrits dans le document technique Recommandations de scurit
relatives la tlassistance
6
.
La perte ou le vol dun quipement (ou dun support) mobile ou nomade peut
tre lourd de oonsquenoes pour l'entreprise : en l'absenoe de ohiffrement, les
donnes stookes sur le terminal (patrimoine teohnologique de l'entreprise, base
de donnes olient) seront en effet oompromises, et oe mme si le terminal est
teint ou si la session utilisateur est ferme. Il est donc important de chiffrer les
donnes sensibles. Plusieurs produits de chiffrement de disques ou de partitions
(ou supports ohiffrants) ont t qualits par l'AN33l
7
. Il convient de les utiliser
en priorit. La qualitoation par l'AN33l garantit la robustesse des moanismes
cryptographiques mis en uvre.
Le chiffrement peut tre ralis sur lensemble du systme (on parle de chiffrement
intgral), sur un sous-ensemble du systme (ohiffrement de partitions) ou sur les
tohiers les plus sensibles. Les moanismes de ohiffrement intgral de disque
sont les plus eftoaoes du point de vue de la sourit et ne noessitent pas pour
l'utilisateur d'identiter les tohiers ohiffrer. Uans les oas ou la mise en uvre de
ce type de systme de chiffrement savre trop complexe (par exemple pour une
organisation de petite taille), il est impratif de mettre disposition des utilisateurs
un systme de chiffrement de partitions.
6 Voir sur le site de lanssi : http://www.ssi.gouv.fr/imG/pdf/nP_teleassistance_notetech.pdf.
7 Voir sur le site internet de lanssi : http://www.ssi.gouv.fr/fr/produits-et-prestataires/produits-
qua|es/.
rgle 18
interdire dans tous les cas o cela est possible les connexions
dstance sur |es postes c|ents.
rgle 19
Chiffrer les donnes sensibles, en particulier sur les postes
nomades et les supports potentiellement perdables.
25
sCuriser lintrieur du rseau sCuriser les quipements terminaux
Vi - sCuriser lintrieur du rseau
Il est important de ne pas se contenter de mettre en place des mesures primtriques
(pare-feux, serveurs mandataires). Ln effet, si oes dernires sont indispensables
(voir 3eotion vll), il existe de nombreux moyens pour un attaquant de les oontourner.
Il est donc indispensable que le rseau se protge contre un attaquant qui aurait
dj contourn ces mesures de dfense primtriques.
Les services dannuaire (Active Directory, Lightweight Directory Access Protocol
- LUAP) permettant d'attribuer ohaque utilisateur des droits sur un systme
dinformation sont par ailleurs des lments cruciaux qui constituent une cible de
ohoix pour les attaquants et dont il oonvient de vriter frquemment l'intgrit.
Il est recommand de suivre les rgles nonces dans larticle Audit des permissions
en environnement Active Directory
8
. ll oonvient notamment de vriter intervalles
rguliers si les droits daccs aux donnes des personnes cls de lentreprise
(dirigeants notamment) sont correctement positionns.
8 Voir http://www.ssi.gouv.fr/active-directory.
rgle 20
Audter ou fare audter frquemment |a conguraton de
lannuaire central (Active Directory en environnement Windows
ou annuaire ldaP par exemple)
26
sCuriser lintrieur du rseau sCuriser lintrieur du rseau
Lorsque le rseau est - plat
9
, la oompromission d'un oontrleur de domaine
entrane systmatiquement la compromission de lensemble du rseau.
Il est important de prendre en compte cette rgle en amont ds la conception du
rseau. Ln effet, en fonotion de l'tendue du rseau et de sa oomplexit, il sera
souvent trs diftoile a posteriori de cloisonner le rseau. Pour les rseaux dont le
oloisonnement ne serait pas ais, il est reoommand :
de prendre en compte les besoins de cloisonnement dans toute nouvelle
extension du rseau ;
d'laborer un plan de rtexion sur l'arohiteoture du rseau qui sort du oadre
strict de lhygine informatique.
L'usage des teohnologies sans tl au sein d'un rseau n'est pas oonseill (faibles
garanties en matire de disponibilit, diftoult de dtnition d'une arohiteoture
d'aoos sourise faible oot, eto.).
3i de telles teohnologies doivent tre employes, la segmentation de l'arohiteoture
rseau doit permettre de limiter les consquences dune intrusion depuis la voie
radio un primtre dtermin. Le oloisonnement du rseau d'aoos wit du reste
du rseau est fortement conseill : linterconnexion au rseau principal doit se
9 Un rseau - p|at - est un rseau ne mettant en uvre aucun mcansme de c|osonnement
rseau en nterne. Uhaque machne du rseau a donc |a possb|t d'accder n'mporte que||e
autre machine du rseau.
rgle 21
mettre en place des rseaux cloisonns. Pour les postes ou les
serveurs contenant des informations importantes pour la vie de
lentreprise, crer un sous-rseau protg par une passerelle
d'nterconnexon spcque.
rgle 22
Lvter |'usage d'nfrastructures sans | (W). 5 |'usage de ces
technologies ne peut tre vit, cloisonner le rseau daccs
W du reste du systme d'nformaton.
27
sCuriser lintrieur du rseau sCuriser lintrieur du rseau
faire au travers dune passerelle matrise permettant de tracer les accs et de
restreindre les ohanges aux seuls tux noessaires. La oonoeption d'un tel rseau
daccs sort du cadre des mesures lmentaires dhygine informatique.
Ue plus, il est important d'avoir prioritairement reoours un ohiffrement des
rseaux wit reposant sur wPA Lntreprise (LAP-1L3 aveo ohiffrement wPA2 CCMP)
qui permet l'authentitoation des maohines par oertitoats olients des maohines
accdant au rseau. Les mcanismes de protection bass sur une cl partage
doivent tre proscrits ds lors que des prestataires externes ou un trop grand
nombre d'utilisateurs doivent tre amens aooder oe rseau wit.
Il convient galement dviter le recours aux technologies CPL (Courants Porteurs
en Ligne) sans avoir recours des mcanismes de protection quivalents ceux
reoommands pour les teohnologies sans tl. Le primtre oouvert par le rseau
CPL est en effet diftoile dtnir proisment.
L'utilisation de protoooles souriss, y oompris sur le rseau interne, oontribue
la dfense en profondeur et oomplique la tohe d'un attaquant qui aurait dj
compromis une machine sur le rseau et qui chercherait tendre son emprise sur
ce dernier.
Les protoooles non souriss (telnet, l1P, P0P, 3M1P, 11P) sont en rgle gnrale
prosorire sur le rseau de l'entreprise, et remplaoer par leurs quivalents
souriss (33, 3l1P, P0P3, 3M1P3, 11P3, eto.).
Par ailleurs, il est important que les applioations mtier soient dveloppes en
considrant les risques de scurit. Leur adhrence une technologie particulire
(version donne dun systme dexploitation ou dune machine virtuelle Java
typiquement) doit tre rduite, de manire ne pas limiter les oapaoits de maintien
en conditions de scurit et de mises jour de ces applications.
rgle 23
Ut|ser systmatquement des app|catons et des protoco|es
scuriss.
protger le rseau interne de linternet
28
29
protger le rseau interne de linternet
Vii - ProtGer le rseau interne de
linternet
Si certaines attaques peuvent tre d'origine interne, l'un des moyens prinoipaux
dattaque constats par lANSSI est linfection suite la connexion sur un site Internet
oompromis. ll est dono important, en oomplment des mesures de proteotion du
rseau interne, dont la limitation du nombre d'interoonnexions prsentes plus
haut dans oe dooument, de mettre en plaoe des mesures de dfense primtriques
spoitques.
ll faut pour oela mettre en plaoe des servioes de sourit oorreotement oontgurs
(par exemple, oonformes aux reoommandations du dooument
dune architecture de passerelle dinterconnexion scurise
10
) permettant un
oloisonnement entre l'aoos lnternet, la zone de servioe (UML) et le rseau interne.
Ue nombreux quipements oomportent des interfaoes d'administration (par
exemple via un serveur web). Certaines de ces interfaces sont accessibles par
dfaut et ne seront donc dsactives quen cas daction explicite de ladministrateur
de lquipement. Ces interfaces sont souvent exploites par les attaquants dans le
oadre d'une intrusion, a fortiori si elles sont exposes sur Internet. Plusieurs milliers
d'entreprises exposent sur lnternet oe type d'interfaoe, le plus souvent sans en tre
conscientes.
Cette rgle oonoerne les imprimantes, les serveurs, les routeurs, les oommutateurs
rseau ainsi que les quipements industriels ou de supervision.
10 vor http://www.ss.gouv.fr/fr/bonnes-pratques/recommandatons-et-gudes/securte-des-
reseaux/denton-d-une-archtecture-de-passere||e-d-nterconnexon-secursee.htm|.
rgle 24
scuriser les passerelles dinterconnexion avec internet.
rgle 25
vrer qu'aucun qupement du rseau ne comporte d'nterface
dadministration accessible depuis linternet.
surveiller les systmes
30
31
surveiller les systmes
Viii - surVeiller les sYstmes
La plupart des mesures dcrites jusquici sont de nature prventive et destines
rduire le risque dexploitation par un attaquant dune des vulnrabilits du
systme. La mise en place de mesures prventives ne dispense jamais dune
supervision du systme lors de son exploitation. Cette supervision doit respecter
les rgles proposes dans ce chapitre.
Uans la majeure partie des oas, les vnements suivants doivent gnrer une
alerte qui doit imprativement tre traite dans les 24 heures :
connexion dun utilisateur hors de ses horaires habituels de travail ou pendant
une priode dabsence dclare ;
transfert massif de donnes vers lextrieur de lentreprise ;
tentatives de connexions successives ou rptes sur un service ;
tentatives de connexion sur un compte non actif ;
tentatives de contournement de la politique de scurit (utilisation dun
servioe interdit, oonnexion non autorise un servioe, eto.).
rgle 26
0nr concrtement |es ob[ectfs de |a supervson des
systmes et des rseaux.
32
sCuriser ladministration du rseau surveiller les systmes
ll est primordial de dtnir galement les proodures de vritoation des journaux
qui permettront de gnrer une alerte ds lors que l'un des objeotifs identits n'est
pas rempli. Ces procdures devront garantir que les journaux sont frquemment
analyss.
0utre les lments mentionns dans la rgle 26, l'analyse des journaux pourra
notamment se concentrer sur les points suivants :
analyse de la liste des accs aux comptes de messagerie des personnes-cl
de lentreprise ;
analyse des accs aux machines ou aux ressources sensibles de lentreprise.
Atn de faoiliter la vritoation des journaux, il est primordial que les maohines soient
synchronises sur la mme horloge.
rgle 27
0nr |es moda|ts d'ana|yse des vnements [ourna|ss.
33
sCuriser ladministration du rseau surveiller les systmes
iX - sCuriser ladministration du
rseau
Uans de nombreux oas traits par l'AN33l, les attaquants ont pris le oontrle oomplet,
via internet, des postes des administrateurs ou de oomptes d'administration atn de
bntoier des privilges les plus levs sur le systme.
Cette interdiction sapplique en particulier aux machines des administrateurs du
systme. Cette rgle est gnralement mal accepte par les utilisateurs car elle
peut gnrer des contraintes dexploitation (obligation dutiliser des comptes
distincts en fonction des actions ralises). Le poids de cette contrainte peut tre
notablement allg en quipant les administrateurs de deux postes distinots,
atn de leur permettre par exemple de oonsulter la dooumentation sur le site
dun constructeur avec un poste (en utilisant leur compte non privilgi) tout en
administrant lquipement concern sur lautre (avec leur compte dadministrateur).
Cela facilite en outre lapplication de la rgle 29.
Le cloisonnement du rseau dadministration vis--vis du rseau de travail
des utilisateurs est impratif. Il est recommand (en fonction des capacits de
lorganisme) :
de privilgier un cloisonnement physique des rseaux ds que cela est
possible ;
dfaut, mettre en uvre un oloisonnement logique oryptographique bas
rgle 28
Interdre tout accs Internet depus |es comptes
dadministration.
rgle 29
Ut|ser un rseau dd |'admnstraton des qupements
ou au mons un rseau |ogquement spar du rseau des
utilisateurs.
34
Contrler laCCs aux loCaux et la sCurit pHysique sCuriser ladministration du rseau
sur la mise en plaoe de tunnels lPseo reposant sur un produit qualit par
l'AN33l. L'intgrit et la oontdentialit des informations vhioules sur le rseau
dadministration sont ainsi assures vis--vis du rseau de travail courant de
lentreprise ;
a minima, de mettre en uvre un oloisonnement logique par vLAN.
Les postes d'administration tant partioulirement oritiques, ils doivent tre suivis
en priorit. La mise jour des postes du rseau dadministration est primordiale.
Ue nombreux utilisateurs, y oompris au sommet des hirarohies, sont tents
de demander leur service informatique de pouvoir disposer de privilges plus
importants sur leurs maohines (pouvoir installer des logioiels, pouvoir oonneoter
des quipements personnels, eto.). Ue tels usages sont oependant exoessivement
dangereux et sont susceptibles de mettre en danger le rseau dans son ensemble.
Privilgier pour oela des moanismes d'authentitoation et des moyens de proteotion
de l'intgrit et de la oontdentialit qualits par l'AN33l.
rgle 30
ne pas donner aux utilisateurs de privilges dadministration.
ne faire aucune exception.
rgle 31
N'autorser |'accs dstance au rseau d'entreprse, y
comprs pour |'admnstraton du rseau, que depus des
postes de |'entreprse qu mettent en uvre des mcansmes
d'authentcaton forte et protgeant |'ntgrt et |a
condenta|t des changes |'ade de moyens robustes.
35
Contrler laCCs aux loCaux et la sCurit pHysique sCuriser ladministration du rseau
X - Contrler laCCs auX loCauX et
la sCurit PHYsique
La scurit du systme de contrle daccs aux locaux est bien souvent critique pour
la sourit d'une entreprise. Ln effet, ds lors qu'un attaquant parvient obtenir
un aoos au rseau interne de l'entreprise, les mesures de sourit primtriques
mises en plaoe deviennent ineftoaoes. La mise en adquation des mesures de
scurit physique avec les besoins de protection des systmes dinformation
est dautant plus complexe que les quipes en charge de ces deux aspects sont
bien souvent distinotes. Les responsabilits de ohaoune doivent tre olarites et
formalises.
Le moanisme de oontrle d'aoos mis en uvre doit tre l'tat de l'art atn
dassurer quil ne puisse pas tre contourn aisment par un attaquant. LANSSI
a publi un guide permettant dassister les entreprises dans la slection dun
mcanisme de contrle daccs robuste
11
.
Les rgles suivantes doivent tre appliques :
rcuprer systmatiquement les cls ou les badges dun employ son dpart
dtnitif de l'entreprise ,
changer frquemment les codes de lalarme de lentreprise ;
11 Voir sur le site internet de lanssi : http://www.ssi.gouv.fr/sans-contact.
rgle 32
utiliser imprativement des mcanismes robustes de contrle
daccs aux locaux.
rgle 33
Protger rigoureusement les cls permettant laccs aux locaux
et les codes dalarme.
36
Contrler laCCs aux loCaux et la sCurit pHysique Contrler laCCs aux loCaux et la sCurit pHysique
ne jamais donner de cl ou de code dalarme des prestataires extrieurs
sauf sil est possible de tracer ces accs et de les restreindre techniquement
des plages horaires donnes.
Ces endroits publios peuvent tre des salles d'attente, des plaoards ou des oouloirs
par exemple. Les attaquants peuvent par exemple rcuprer un accs au rseau de
lentreprise en connectant une machine dattaque en lieu et place des quipements
suivants, ds lors que oeux-oi sont oonneots au rseau :
imprimantes ou photocopieurs multifonctions entreposs dans un couloir ;
orans d'aftohage diffusant des tux d'information ,
camras de surveillance ;
tlphones :
prises rseau dans une salle dattente.
Par ailleurs, les ohemins de obles du rseau interne ne devraient pas non plus tre
accessibles dans les lieux publics.
Sil est toutefois ncessaire de rendre ponctuellement accessible le rseau depuis
une prise situe dans un espaoe publio (pour une prsentation par exemple), la
prise doit tre brasse pour loccasion et dbrasse ds que possible.
rgle 34
ne pas laisser de prises daccs au rseau interne accessibles
dans les endroits ouverts au public.
Contrler laCCs aux loCaux et la sCurit pHysique
37
Contrler laCCs aux loCaux et la sCurit pHysique Contrler laCCs aux loCaux et la sCurit pHysique Contrler laCCs aux loCaux et la sCurit pHysique
Les rgles suivantes peuvent tre dtnies :
utiliser des imprimantes disposant dun mcanisme dimpression ncessitant
la prsence physique du demandeur pour dmarrer limpression ;
dtruire en tn de journe les doouments oublis sur l'imprimante ou la
photocopieuse ;
broyer les documents plutt que les mettre la corbeille papier.
Ue manire similaire, il est souhaitable de mettre en plaoe des proodures olaires
de destruotion ou de reoyolage des supports informatiques en tn de vie.
rgle 35
0nr |es rg|es d'ut|saton des mprmantes et des
photocopieuses.
organiser la raCtion en Cas dinCident
38
39
organiser la raCtion en Cas dinCident
Xi - orGaniser la raCtion en Cas
dinCident
Lors de la dcouverte de la compromission dun quipement (ordinateur infect
par un virus par exemple), il est noessaire de dterminer rapidement, mais sans
proipitation, la dmarohe qui permettra de juger de la gravit potentielle de
l'inoident atn de prendre les mesures teohniques, organisationnelles et juridiques
proportionnes, d'endiguer l'infeotion et d'isoler les maohines oompromises. ll est
important de rtohir avant d'agir de manire ne pas prendre dans l'urgenoe des
dcisions qui pourraient savrer nfastes.
Uisposer d'un plan de reprise et de oontinuit d'aotivit informatique, oomprenant
idalement un volet ddi la raotion en oas d'attaque informatique, est primordial
pour une entreprise.
Lanalyse des consquences sur lactivit dun certain nombre dvnements
catastrophiques peut tre un bon point de dpart : que se passe-t-il si laccs
Internet ne fonctionne plus pendant deux jours ? Que se passe-t-il si un attaquant
efface toutes les donnes stockes sur les serveurs ?
Les donnes sensibles de lentreprise doivent tre sauvegardes priodiquement.
Cette sauvegarde est de prfrenoe automatique sur les serveurs de tohiers
et ne repose pas uniquement sur la bonne volont des utilisateurs qui risquent
frquemment de ne pas prendre le temps deffectuer de telles sauvegardes. Les
sauvegardes doivent tre vrites priodiquement et idalement stookes dans un
lieu distinot de oelui ou se trouvent les serveurs en fonotionnement.
rgle 36
disposer dun plan de reprise et de continuit dactivit
nformatque, mme sommare, tenu rgu|rement [our
dcrivant comment sauvegarder les donnes essentielles de
lentreprise.
40
organiser la raCtion en Cas dinCident organiser la raCtion en Cas dinCident
Tous les utilisateurs doivent au minimum pouvoir sadresser rapidement un
interloouteur rfrent, form la raotion, pour signaler tout inoident. lls doivent
pouvoir joindre cet interlocuteur facilement et doivent tre informs quil nest pas
souhaitable quils tentent de rgler le problme par eux-mmes.
Lorsque la taille de l'entreprise le permet et ds lors que les enjeux le justitent, il
est souhaitable que la chane dalerte comporte un mcanisme dastreinte voire
de permanence permettant de garantir que les incidents constats puissent tre
traits le plus eftoaoement possible.
Ue nombreuses entreprises, en ne oherohant pas d'emble oonnaitre le primtre
rel d'une infeotion, ont perdu plusieurs semaines, voire plusieurs mois, dans le
traitement dun incident. Chaque traitement dincident doit de plus faire lobjet dun
retour d'exprienoe et d'une oapitalisation permettant d'tre plus eftoaoe lorsqu'un
vnement similaire surgira lavenir.
Les questions se poser sont par exemple les suivantes :
quelle est la nature du poste oompromis ? en a-t-il d'autres du mme type,
exposs aux mmes menaces sur le rseau ?
quelles sont les informations auxquelles lattaquant est susceptible davoir
eu accs ?
le poste compromis a-t-il communiqu avec dautres postes ou serveurs ?
rgle 37
mettre en place une chane dalerte et de raction connue de
tous les intervenants.
rgle 38
Ne [amas se contenter de trater |'nfecton d'une machne sans
tenter de savoir comment le code malveillant a pu sinstaller
sur la machine, sil a pu se propager ailleurs dans le rseau et
que||es nformatons ont t manpu|es.
41
organiser la raCtion en Cas dinCident organiser la raCtion en Cas dinCident
Ln oas de oompromission, et atn de faoiliter le travail des quipes d'investigations,
les entits responsables pourront prendre les mesures suivantes :
isoler les maohines infeotes du rseau (dbranoher le oble rseau) ,
ne pas teindre lectriquement les machines infectes pour prserver les
informations disponibles en mmoire sur le code malveillant ;
raliser, ou faire raliser par des spoialistes, des oopies des mmoires et des
disques durs des maohines infeotes pour oonduire les investigations. vriter
la bonne intgrit des oopies ralises avant toute opration de mise jour, de
moditoation de la oontguration, de tentative de nettoyage ou de rinstallation
des machines compromises ;
rinstaller intgralement la machine aprs copie des disques si elle doit tre
remise en production. Ne jamais se contenter dune simple restauration ou dun
-nettoyage que peu d'experts seraient en mesure de pratiquer.
sensibiliser
42
sensibiliser
43
sensibiliser sensibiliser
Xii - sensibiliser
Chaque utilisateur devrait en permanence (au minimum chaque anne) se voir
rappeler :
que les informations traites doivent tre considres comme sensibles ;
que la sourit de oes informations repose, entre autres, sur l'exemplarit de
leur comportement et le respect des rgles lmentaires dhygine informatique
(non-oontournement de la politique de sourit, verrouillage systmatique de
la session lorsque l'utilisateur quitte sa position informatique, non-oonnexion
d'quipements personnels au rseau de l'entreprise, non-divulgation de mots
de passe un tiers, non rutilisation de mots de passe professionnels dans la
sphre prive, signalement des vnements suspeots, aooompagnement des
visiteurs et des intervenants extrieurs, eto.).
Le respeot des rgles d'hygine qui oonoernent les utilisateurs devraient tgurer
dans une charte dusage des moyens informatiques vise par chaque utilisateur.
rgle 39
5ensb|ser |es ut|sateurs aux rg|es d'hygne nformatque
lmentaires.
faire auditer la sCurit
44
45
faire auditer la sCurit
Xiii - faire auditer la sCurit
La ralisation daudits techniques sur un systme dinformation est essentielle.
Ln effet, l'audit est le seul moyen eftoaoe de oonstater oonortement l'eftoaoit
des mesures mises en uvre sur le terrain. Chaque audit permettra de dtnir un
plan d'aotions oorreotives mettre en uvre. Ues runions de suivi de oe plan
d'aotion doivent tre organises frquemment. Pour une plus grande eftoaoit,
lavancement du plan daction devra tre synthtis dans un indicateur du tableau
de bord destination des plus hauts degrs de management.

rgle 40
Iare ra|ser des audts de scurt prodques (au mnmum
tous |es ans). Uhaque audt dot tre assoc un p|an d'acton
dont |a mse en uvre est suve au p|us haut nveau.
46
47
propos de lANSSI
LAgence nationale de la scurit des systmes dinformation (ANSSI) a t cre le
7 juillet 2009 sous la forme d'un servioe oomptenoe nationale.
Ln vertu du doret n 2009-834 du 7 juillet 2009 modit par le doret n 2011-
170 du 11 fvrier 2011, l'agenoe assure la mission d'autorit nationale en
matire de dfense et de scurit des systmes dinformation. Elle est rattache
au 3eortaire gnral de la dfense et de la sourit nationale, sous l'autorit du
Premier ministre.
Pour en savoir plus sur l'AN33l et ses missions, rendez-vous sur www.ssi.gouv.fr.
version 1.0 - 1anvier 2013
Lioenoe - information publique librement rutilisable (LlP v1 2010.04.02)
Agence nationale de la scurit des systmes dinformation
AN33l - 51 boulevard de la 1our-Maubourg - 75700 PARl3 07 3P
Sites internet : www.ssi.gouv.fr et www.securite-informatique.gouv.fr
Messagerie : communication [at] ssi.gouv.fr

Guide Hygiene Informatique Anssi

Transféré par

Informations du document

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Guide Hygiene Informatique Anssi

Transféré par

Droits d'auteur :

Formats disponibles

Guide dhyGine informatique

Vous aimerez peut-être aussi