EuropeAid/129-733/D/SER/BJ

Contract Nº 001/MEF/ON-FED/MS/2012

Projet d'Appui Conjoint à la Bonne Gouvernance dans les Domaines des

Finances Publiques et de la Statistique (PAC)

Assistance technique à la Gestion des Finances Publiques

AUDIT DU RESEAU INFORMATIQUE

Pays bénéficiaire: Bénin

Mai 2013

Ce projet est financé par Mission effectuée par TRANSTEC

l’Union Européenne en consortium avec AFRIQUE
ETUDES, ACE, ECORYS

Mai 2013
 « Le présent rapport a été élaboré par des experts indépendants et n’engage que ses auteurs ; il ne peut être considéré comme
reflétant l’avis du Gouvernement Béninois ni de l’Union Européenne »

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 2

Contrôle du document
Auteurs

Action Name Date Version

Préparation Hichem MAALAOUI 25/05/2013 Version 1

Modification Hichem MAALAOUI 03/06/2013 Version 2

Révision Loïc ELIES 06/06/2013 Version 2

Prosper GNIMADI

Modification Hichem MAALAOUI 05/07/2013 Version 3

Liste de distribution

Nom Organisation Titre

Ministère de
Directeur de l’Organisation et de l’Informatique
Côme DOSSOU l'Economie et
et du Pré archivage
des Finances

Florence Tellier Transtec Senior Project Manager

Ministère de
Ingénieur Informatique (Réseaux et Systèmes
Fréjus Roméo GBAGUIDI l'Economie et
d'Informations)
des Finances

Guy de Scoraille Transtec Chef d'équipe TRANSTEC

Assistant Technique du Plan d'Evolution du

Loïc ELIES Transtec
Système d'Informations

Prosper GNIMADI Transtec Expert régional réseaux locaux et étendus

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 3

Contenu
1 Introduction..................................................................................................................................... 5

2 Présentation de la mission .............................................................................................................. 5

2.1 Résultats à atteindre ............................................................................................................... 5

2.2 Méthodologie .......................................................................................................................... 6

2.3 Phases ...................................................................................................................................... 6

2.4 Calendrier d'exécution de la mission ..................................................................................... 7

3 Résultats de l'audit .......................................................................................................................... 7

3.1 Architecture ............................................................................................................................. 7

3.2 Évaluation de l'environnement de l'infrastructure réseau ..................................................... 8

3.3 Evaluation des performances du réseau ................................................................................. 8

3.4 Evaluation de la sécurité ......................................................................................................... 9

3.4.1 Sécurité du périmètre ..................................................................................................... 9

3.4.2 Sécurité des serveurs .................................................................................................... 10

3.4.3 Sécurité des réseaux locaux .......................................................................................... 10

3.5 Evaluation de la disponibilité et la faisabilité du réseau ....................................................... 11

3.6 Evaluation de la gestion de l'infrastructure .......................................................................... 11

3.6.1 Organisation .................................................................................................................. 11

3.6.2 Outils de gestion et de supervision ............................................................................... 12

3.6.3 Tableaux de bord, indicateurs et rapports .................................................................... 12

3.6.4 Documentation du réseau ............................................................................................. 13

4 Recommandations......................................................................................................................... 13

5 Plan d'action .................................................................................................................................. 15

5.1 Vue d'ensemble ..................................................................................................................... 15

5.2 Chronogramme de mise en œuvre des recommandations .................................................. 15

5.3 Acquisition urgente ............................................................................................................... 15

6 LIVRABLES ...................................................................................................................................... 16

7 Conclusion ..................................................................................................................................... 16

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 4

1 Introduction
Dans le cadre de l'amélioration de la gestion des finances publiques, le gouvernement béninois a
élaboré un Plan d'Actions pour l'amélioration de la gestion des finances publiques 2009-2013 ("Plan
d'Actions"), validé en mars 2009 par l’ensemble des parties prenantes, gouvernement et bailleurs. Sa
mise en œuvre est effective depuis 2009.
Le Plan d’Actions est appuyé en partie par l’Union européenne à travers le Programme d’Appui
Conjoint à la Bonne Gouvernance en matière de Finances Publiques et de Statistiques. Ce
programme vise à appuyer la mise en œuvre du Plan d'Actions et celle de la Stratégie Nationale de
Développement de la Statistique.
L’une des composantes du Plan d'Actions est relative au développement et à la sécurisation des
systèmes d’information, composante dont le chef de file est la Direction de l’Organisation et de
l’Informatique et du Pré archivage (DOIP). C’est dans ce cadre que le Ministère de l'économie et des
Finances(MEF), en collaboration avec l’Unité de Gestion de la Réforme (UGR) et l’Union Européenne,
a lancé une consultation pour élaborer le Plan d’Evolution du Système d’Information (PESI). Cette
étude a été réalisée à partir d’avril 2011. Le PESI a permis d’établir un diagnostic de la situation de
l’informatique en 2011 selon les 7 thématique suivantes : applications, organisation et ressources
humaines, parc informatique, réseau, sites WEB, sécurité, alimentation électrique. Le PESI a ensuite
proposé une stratégie d’évolution du système d’information, déclinée en quarante projets à réaliser
sur la période 2012-2015.
Cette mission a été menée dans le cadre d'un de ces projets : le projet I4 : " Audit du réseau
informatique du MEF". Dans le cadre de cette mission, nous avons élaboré quatre livrables. Le
premier est la nouvelle version, mise à jour, du classeur du projet I4. Le deuxième livrable est le
rapport de démarrage qui été préparé au début de la mission. A la fin de la phase audit, nous avons
élaboré le troisième livrable : rapport d'audit. A la fin de la mission nous avons soumis le quatrième
livrable : Recommandations et Plan d'action.
Ce document est le rapport de synthèse de la mission. Nous commençons par la présentation de la
mission. Ensuite, nous présentons les résultats de l'audit. Après nous présentons les différentes
recommandations. Enfin, nous proposons un plan d'action sur 3 ans.

2 Présentation de la mission
2.1 Résultats à atteindre
Tel que spécifié dans le cahier des termes de références pour la mission, les résultats à atteindre
suite à cette mission se résument dans les quatre points suivants :

 Résultat 1 : Diagnostiquer les forces et faiblesses du réseau actuel:

• LANs des sites concernés

• Interconnexions entre les sites concernés

 Résultat 2 : Actualiser les schémas des réseaux informatiques des sites concernés :

• Réseaux d’interconnexion entre les bâtiments

• Réseaux locaux des principaux bâtiments

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 5

 • Réseaux d’interconnexion entre le MEF et les autres ministères et régions

 Résultat 3 : Formulation de recommandations et élaboration d’un plan d’action sur 3 ans

pour l’évolution technique du réseau ;

 Résultat 4 : Elaboration de 3 scénarios (et plans d’actions associés) pour l’interconnexion

de toutes les structures intervenant dans la GFP (réseau métropolitain / VPN / autre).

Chacun de ces 4 résultats a été obtenu. Voir le résumé en conclusion.

2.2 Méthodologie
 Collecte d’information via la consultation de la documentation existante, des entretiens avec
les équipes IT, des visites des sites concernés, etc

 Capture et analyse des échantillons du trafic

 Tests actifs de mesure de temps de réponse et de taux de pertes sur le réseau ainsi que le
temps de réponse de quelques services

 Analyse des fichiers de configurations des équipements concernés par l’étude

2.3 Phases
La mission s'est déroulée selon les phases suivantes :

I. Phase 1 : Audit du réseau

1. Documentation et révision du classeur projet I4

2. Rapport de démarrage

3. Etude détaillée du réseau

4. Rapport de l’audit

II. Phase 2 : Recommandations et plan d'action

1. LANs et Data Centers

2. Interconnexions des sites

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 6

2.4 Calendrier d'exécution de la mission
Février Mars Avril Mai
S1 S2 S3 S4 S1 S2 S3 S4 S1 S2 S3 S4 S1 S2 S3
LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV LMMJV
Audit du réseau
Documentation et révision du classeur projet I4
Rapport de démarrage
Réunion de démarrage
Audit du réseau
Collecte des informations et des fichiers des configs
Entretiens avec l'équipe IT
Visite des sites sur Cotonou
Visite des sites à Abomey
Documentation du réseau
Tests, mesures et analyses
Préparation des résultats préliminaires
Présentation préliminaire
Rapport de l’audit
Soumission du rapport de l'audit

Recommandations et plan d'action

LANs et Data center
Interconnexions des sites
Présentation des recommandations et du plan d'action

3 Résultats de l'audit
3.1 Architecture
Nous avons commencé l'audit par la revue de l'architecture du réseau. Tout d'abord nous avons
constaté que, pour la plupart des sites, l'architecture n'est pas modulaire. Ceci signifie que le réseau
n'est pas organisé en des modules dédiés à chaque utilisation: module de connexion des utilisateurs,
module d'interconnexion des serveurs, modules d'interconnexion avec les réseaux distants, etc. Les
différents modules du réseau sont confondus. Ceci affecte la sécurité, les performances, la
disponibilité et l'évolutivité du réseau. En plus, le réseau n'est pas hiérarchique, c'est à dire, les
équipements ne sont pas connectés entre eux selon des couches hiérarchiques. Ainsi, souvent deux
nœuds du réseau communiquent entre eux en traversant un grand nombre d'équipements. Ceci
affecte la disponibilité et les performances du réseau.

Au niveau de la plupart des structures, une seule plage d'adresse IP est utilisée pour adresser les
ordinateurs des employés, les serveurs, les équipements réseau, les imprimantes, etc. Ainsi, tous les
nœuds du réseau sont placés dans le même réseau logique. D'une part, ceci présente une
vulnérabilité très critique. Par exemple, il suffit qu'un utilisateur attribue à sur son ordinateur
l'adresse IP d'un serveur pour rendre l'application hébergé sur se serveur incassable. D'autre part, il
est impossible de sécuriser les différentes zones du réseau. En plus, ceci affecte les performances et
la disponibilité du réseau : un problème au niveau d'une zone dans le réseau affectera tout le réseau.

Nous avons également remarqué l'absence des solutions de sécurité au niveau du réseau du MEF.
Ainsi, le réseau est vulnérable aux différentes menaces : attaque réseau depuis Internet, propagation
de virus à partir des sites distants, infection virale ou tentative de sabotage à partir du réseau
interne, etc.

En plus, l'architecture actuelle ne permet pas une bonne fiabilité du réseau. En effet, en cas d'une
panne d'un équipement névralgique, le service sera interrompu. Ceci est à cause du manque de
mécanismes de basculement automatique et d'équipements de secours au niveau du réseau.

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 7

3.2 Évaluation de l'environnement de l'infrastructure réseau
Durant l'audit nous avons visité les différentes salles serveurs et les répartiteurs des sites concernés
par l'audit. Nous avons relevé plusieurs points :

• Dans plusieurs sites, les équipements réseau sont hébergés dans des environnements qui ne
répondent pas aux exigences d'un fonctionnement normal (poussières, encombrement de la
salle serveur par des cartons, etc.)

• Dans certains sites, le câblage informatique n'est pas bien entretenu (prises réseaux non
fonctionnelles, dégradation des composants du système de câblage, etc.)

• Quelques armoires et coffrets réseau ne sont pas bien aménagés et les câbles sont brassés
sans aucun arrangement.

• Sur certains sites, la fibre optique n’est pas installée conformément à la norme

• Bien que la plupart des équipements réseaux soient alimentés via des onduleurs, nous avons
remarqué que certains onduleurs ne sont pas mis sur le groupe électrogène.

• La sécurité physique des équipements réseaux et des salles informatiques n'est pas bien
assurée (certains coffrets réseaux sont placés dans des salles accessibles, les coffrets ne sont
pas fermés par des clés, absence de mécanisme de contrôle d'accès, vidéosurveillance, et
détection d'intrusion au niveau des salles serveurs)

3.3 Evaluation des performances du réseau

Afin d'avoir plus d'informations sur le trafic qui traverse le réseau ainsi que la performance du réseau
et des différentes applications et services, nous avons procédé à la capture des échantillons du trafic
pour les analyser.

Les résultats détaillés de l'analyse du trafic ont été présentés dans le rapport d'audit. Dans ce qui suit
nous résumons les résultats :

• Le nombre d'ordinateur sur le même segment de réseau atteint, au niveau de quelques sites,
les 450. Ceci affecte les performances et la sécurité du réseau. Les réseaux doivent être
segmentés en des réseaux plus petits.

• Le pourcentage de trafic inutile sur le réseau dépasse souvent la moitié du trafic total. Ceci
affecte les performances du réseau et des serveurs.

• Le temps de réponse des services DNS (services de résolution des noms) est assez élevé (la
plupart des requêtes prennent plus de dix secondes). Ceci engendre une lenteur pour
accéder aux différents services Internet. L'installation des serveurs DNS au niveau du MEF
peut réduire ces délais.

• L'analyse des performances des applications a montré que les utilisateurs distants reliés par
la boucle locale radio souffrent d'une mauvaise qualité lors de l'utilisation des applications.
Les pertes de paquets sont la cause principale de la dégradation de la qualité. L'origine de ce
problème est l'interférence radio au niveau des boucles locales radio.

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 8

 • L'analyse de la connexion Internet a montré que la connexion principale (Faisceau hertzien à
12 Mbits/s) est totalement saturée. Ceci explique les lenteurs dans la connexion Internet.
Nous avons poussé les analyses pour déterminer la nature du contenu qui est entrain de
consommer la bande passante. Les analyses ont montré que plus de 70% de ce trafic est
généré par les sites Web : Youtube, Facebook et xvideo.com. La mise en place d'une solution
de sécurité Web (Proxy) peut restreindre l'accès à ces sites et améliorer la qualité de la
connexion Internet.

Figure 1: Répartition de la bande passante Internet

3.4 Evaluation de la sécurité

3.4.1 Sécurité du périmètre

La sécurité de périmètres vise à protéger le réseau des menaces externes parvenues d'Internet ou
des sites distants.

L'internet reste une source de menace pour la sécurité des réseaux. De jour en jour, les techniques
d'attaque et d'intrusion évoluent et chaque faille ou vulnérabilité peut être exploitée par des pirates.
Compte tenu de la criticité et de l'importance des données traitées au sein du MEF, elle est une cible
privilégiée des pirates. Ainsi, une attention particulière doit être attribuée à la sécurisation de l'accès
Internet. Durant l'audit, nous avons noté les lacunes suivantes :

• Aucune solution, pour la protection du réseau du MEF contre les attaques réseaux qui
peuvent être lancées via Internet, n'est mise en place au niveau de la plupart des sites.
• Aucune solution de détection ou de prévention des intrusions n'est déployée au niveau du
réseau. Ainsi, dans le cas d'une intrusion, l'administrateur réseau ainsi que l'équipe de
sécurité ne seront pas alertés. En plus, l'intrusion peut initier d'autres types d'attaques plus
dangereuses.
• Il n'existe aucune solution de filtrage des sites web par catégorie ou par contenu. En plus, il
n'existe aucun mécanisme de protection des utilisateurs des menaces des sites web. Aussi, il
n'y a pas une inspection des fichiers téléchargés depuis Internet pour s'assurer qu'ils ne
contiennent pas de virus. Enfin, les utilisateurs ne sont pas protégés contre les sites de
phishing utilisés pour les vols d'informations.

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 9

Durant l'audit, nous avons également remarqué que l'interconnexion du MEF avec les réseaux des
sites distants (autres ministères interconnectés au MEF, sites départementaux, autres structures
connectées au ministère) présente plusieurs vulnérabilités :
• Il n'y a aucun contrôle et aucune restriction pour les accès aux différentes ressources du
Ministère. Par exemple, il est possible de prendre le contrôle de certains serveurs depuis un
des réseaux distants.
• Les ministères qui sont connectés par Boucle Locale Radio (BLR) utilisent des adresses IP dans
la même plage. Ainsi, par erreur ou par mauvaise intention, il est possible de créer des
conflits d'adresses IP. Ceci aura des conséquences désastreuses s'il s'agit de conflit d'adresse
IP avec la passerelle par défaut. Dans le cas de tels problèmes, il est difficile d'identifier la
source du problème pour l'isoler.
• Le trafic passe sur des liaisons sans fil sans aucune protection. Il est nécessaire de faire du
cryptage au niveau IP.

3.4.2 Sécurité des serveurs

Dans chaque système d'information, les serveurs représentent le cœur du système d'information.
Une attaque sur les serveurs peut avoir des résultats catastrophiques tels que le vol des données, la
modification des données, la perturbation ou l'arrêt des services. Ainsi, une protection dédiée est
nécessaire pour les serveurs.

Durant l'audit, nous avons identifié les carences suivantes :

• Les serveurs sont dans le même réseau logique que le reste des utilisateurs. Ainsi, d'une part,
il est extrêmement facile de perturber le fonctionnement des serveurs, intentionnellement
ou par erreur. D'autre part, il est impossible de contrôler l'accès aux serveurs ou de
restreindre les services uniquement pour les utilisateurs légitimes.
• Les serveurs qui sont connectés directement à Internet, tels que le serveur Proxy, sont dans
la même zone que les serveurs applicatifs. Ainsi, en cas d'attaque de ce serveur, les serveurs
critiques du ministère seront également exposés.
• Il n'y a aucun mécanisme de détection ou de prévention d'intrusion. En cas d'une intrusion
dans le réseau, il sera très difficile de détecter cette intrusion. Ainsi, l'intrusion peut durer
une longue période. Durant ce temps, les données peuvent être volées et d'autre attaques
peuvent avoir lieu.

• Il n'y a aucun suivi des événements qui auront lieu sur les serveurs et aucune collecte ni
sauvegarde des logs. Ainsi, par exemple, une tentative d'accès non autorisée ne sera ni
détectée ni traitée.

3.4.3 Sécurité des réseaux locaux

Les attaques Internes restent la première source des menaces pour les réseaux. La sécurisation du
réseau contre les attaques internes est généralement assurée par les équipements réseaux tels que
les switches. Durant notre audit, nous avons remarqué que :

• Certains équipements réseaux (par exemple, switch, etc.) sont installés sans mot de passe ou
avec leur mot de passe par défaut. Ainsi, il est possible d'accéder à ces équipements et de

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 10

 faire des changements dans la configuration afin de perturber ou arrêter le service ou encore
pour rediriger le trafic et voler les données.
• Les équipements réseaux, ne sont pas configurés pour bloquer les attaques internes qui
peuvent cibler les équipements eux mêmes ou les ressources du réseau.
• Les réseaux Wifi comportent plusieurs vulnérabilités. D'abord, certains réseaux ne sont pas
protégés par un mot de passe. En plus, le réseau n'est pas protégé contre les points d'accès
intrus. Ainsi, il est possible de faire introduire dans le réseau des points d'accès non contrôlés
par les administrateurs réseau du MEF pour effectuer des attaques par déni de services ou
des attaques pour vols de mot de passe WiFi. Enfin, il n'y a aucun dispositif pour détecter ou
arrêter les attaques sur les réseaux Wifi.

3.5 Evaluation de la disponibilité et la faisabilité du réseau

Le réseau du MEF présente plusieurs défaillances en matière de disponibilité et de fiabilité. Le
premier type de problème consiste en des coupures répétitives et fréquentes du courant
électrique et en un basculement fréquent du site sur le groupe électrogène. Au niveau de
quelques sites, les équipements réseaux ne sont pas alimentés par le groupe électrogène. Dans
d'autres sites, les salles serveur sont alimentées par un groupe mais pas les climatiseurs de la
salle. Ce qui oblige l'équipe IT à mettre hors tension tous les équipements et les serveurs dès
que la coupure dure et la température dans la salle s'élève. En plus, bien que certains
équipements disposent d'une alimentation redondante, ces équipements sont alimentés par un
seul onduleur. Ainsi, en cas de problème sur cet onduleur, l'équipement sera hors tension.
D'autres équipements sont dotés d'une seule alimentation et ne peuvent pas avoir une haute
disponibilité pour l'alimentation électrique. Enfin, il n'y a aucune supervision des états des
onduleurs ni de la disponibilité du courant électrique. Ainsi, en cas de coupure, l'équipe
informatique peut ne pas être alertée.

Le deuxième type de problème concerne l'existence de plusieurs équipements qui présentent

des points de défaillance unique : en cas de perte d'un de ces équipements, le système
d'information, ou une partie, sera hors service.

Nous avons également remarqué que, même pour les composants qui sont redondants, aucune
solution de haute disponibilité n'est mise en place. Dans la plupart des cas, nous trouvons un
équipement qui fonctionne et un autre équipement, semblable, qui est éteint et qui servira
comme équipement de remplacement en cas de panne. Ainsi, en cas de problème, le service
sera interrompu jusqu'à la mise en service de l'équipement de secours.

Enfin, nous avons remarqué que la plupart des liens d'interconnexions avec les sites distants ne
sont pas secourus. Même pour les sites qui sont connectés au MEF par deux liaisons, aucune
solution de basculement automatique n'est mise en place.

3.6 Evaluation de la gestion de l'infrastructure

3.6.1 Organisation
La DOIP est la structure qui est responsable de la gestion du système d'information du MEF. En plus
de son rôle dans la gestion du système d'information du ministère elle intervient pour assister les

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 11

équipes informatiques des autres structures. Chaque structure est dotée d'un service informatique
composé de plusieurs divisions. Souvent le réseau est géré par la division qui s'occupe aussi de la
maintenance et du support des utilisateurs.

L'organisation actuelle souffre des lacunes suivantes :

• La définition des rôles et des responsabilités entre l'équipe DOIP et l'équipe informatique de
chaque structure n'est pas claire. Par exemple les routeurs qui interconnectent les sites
distants (BLR et VSAT) sont gérés à la fois par la DGB et la DOIP.

• La sécurité informatique n'est pas mise en valeur dans l'organisation. Aucune structure ne
dispose d'un Responsable de Sécurité du Système d’Information (RSSI). En plus, les tâches de
sécurisation du réseau ne sont attribuées formellement à aucune division.

• L'équipe qui gère le réseau est souvent l'équipe qui gère la maintenance et le support des
utilisateurs. En plus, il n'y a aucun processus qui permet d'organiser le support client (gestion
d'incident, gestion de requêtes, gestion de changement, etc.), ainsi l'équipe ne trouvera pas
le temps pour bien gérer et exploiter le réseau.

• Les ressources techniques qui maitrisent le réseau ne sont pas nombreuses. Ainsi, souvent
des développeurs sont chargés des tâches d'administration et de gestion du réseau.

• Les utilisateurs ne disposent pas d'un contact unique pour la déclaration des incidents et les
demandes de changements. En plus il n'y a pas de procédure claire pour la gestion IT :
gestion d'incident, gestion des requêtes, gestion des changements, gestion des problèmes,
etc.

• Le côté supervision n'est pas pris en compte dans l'organisation actuelle. En effet, il n'y a
aucune notion d'un centre de supervision réseau (NOC) ou sécurité (SOC).

3.6.2 Outils de gestion et de supervision

Durant l'étude, nous avons découvert que la plupart des équipements sont livrés avec leurs
configurations par défaut et ne sont pas gérés. Aucun outil de gestion du réseau n'est disponible. Les
journaux d'événement (logs) des différents équipements ne sont ni collectés, ni sauvegardés. De
mêmes, les équipements ne sont pas configurés pour générer des alertes en cas de problème.

Nous avons également remarqué qu'aucun outil n'est utilisé pour la gestion du réseau ce qui rend les
opérations de diagnostic et de maintenance du réseau plus difficiles à faire. De même, nous n'avons
identifié aucun outil de supervision du réseau. Ceci empêche les administrateurs réseau d'être
proactifs aux problèmes et de prévenir les éventuelles pannes et perturbations.

3.6.3 Tableaux de bord, indicateurs et rapports

Afin de pouvoir évaluer d'une manière objective l'état et le rendement de l'infrastructure réseau, des
indicateurs de performances doivent être fixés. Ces indicateurs sont utilisés pour générer des
tableaux de bord qui reflètent l'état de l'infrastructure réseau. En parallèle, les administrateurs
s'appuient sur des rapports, qui sont gérés automatiquement par les différents outils de supervision
et de gestion, pour mieux maintenir leurs réseaux et prévenir les éventuels incidents. De même, les

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 12

décideurs utilisent d'autres rapports pour avoir une idée précise sur l'état et le comportement du
système d'information.

Durant l'audit, nous avons remarqué qu'il n'y a aucune trace des indicateurs ou des tableaux de bord
relatifs à l'infrastructure réseau. En plus, nous n'avons trouvé aucun rapport sur l'état du réseau.

3.6.4 Documentation du réseau

Pour qu'ils puissent accomplir les opérations d'exploitation et de maintenance, il est recommandé de
maintenir une documentation claire exhaustive et complète du réseau. Ceci inclut l'inventaire des
équipements, l'étiquetage des équipements réseaux et des composants du câblage, l'ajout des
commentaires et des descriptions au niveau des fichiers de configuration des équipements,
l'architecture du réseau, etc.

Au cours de l'audit, nous avons remarqué que la plupart de la documentation est incomplète et n'est
pas mise à jour. Ceci empêche les administrateurs réseau de bien exploiter et maintenir le réseau.

4 Recommandations
Afin de pallier les défaillances décrites dans les paragraphes précédents, nous résumons nos
recommandations dans les points suivants :

• Revoir l'architecture des différents réseaux afin de mettre en place une architecture qui
permettra une continuité de service de l’ensemble du système d’information, une protection
du système d'Information au vu des attaques qui peuvent survenir et une flexibilité dans
l'évolution de l'infrastructure. L'architecture de référence est modulaire et hiérarchique. Elle
permettra d'avoir un réseau gérable, évolutif, stable et sécurisé. L'architecture que nous
avons proposé est bien détaillée dans le rapport "Recommandation et plan d'action".

• Mettre en place un nouveau plan d'adressage et de nommage qui soit en adéquation avec la
nouvelle architecture et qui permettra une gestion plus facile du réseau.

• Mettre en place des services d'infrastructure telle que le service de résolution du nom (DNS),
le service d'allocation dynamique des adresses (DHCP), etc.

• Mettre en service tous les équipements réseaux qui ne sont pas exploités afin de fournir une
haute disponibilité au niveau des nœuds critiques du réseau. En cas de problème sur un
équipement, le réseau doit converger automatiquement sans que le service ne soit
interrompu.

• Mettre en service tous les équipements de sécurité qui ne sont pas exploités afin de mieux
sécuriser le réseau.

• Revoir le système de câblage au niveau des réseaux locaux et plus précisément les
interconnexions entre les différents coffrets réseau afin de mettre en place une architecture
hiérarchique hautement disponible.

• Revoir la configuration des équipements qui interconnectent les utilisateurs afin de protéger
le réseau contre les attaques internes.

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 13

 • Acquérir des solutions de sécurité qui permettent la protection du réseau contre les attaques
Internet et qui permettent de détecter et arrêter les intrusions dans le réseau.

• Mettre en place une solution de sécurité Internet qui permet de mieux gérer la connexion
internet, par le contrôle d'accès aux sites Web et par la protection des utilisateurs contre les
différents dangers d'Internet.

• Mettre à niveau le réseau d'interconnexion des sites distants. Ceci peut être fait selon un des
trois scénarios proposés dans le rapport "Recommandations et plan d'action" :

 Le premier scénario (Scénario A) consiste à l'utilisation du réseau Fibre optique de

Bénin Télécom pour les sites sur Cotonou avec l'utilisation de la Boucle Locale Radio
comme solution de secours. Pour les sites départementaux, le premier scénario
consiste à l'utilisation de liaisons spécialisées avec un accès de secours de type VPN
internet.

 Le deuxième scénario (Scénario B) consiste en la mise en place d'un réseau

métropolitain en fibre optique pour connecter les sites sur Cotonou et en l'utilisation
de la Boucle Locale Radio comme liaison de secours. Pour interconnecter les sites
départementaux, des liaisons spécialisées seront utilisées avec des liaisons VSAT
comme liaisons de secours.

 Le troisième scénario (Scénario C) consiste en l'utilisation du réseau Wimax comme

principale technologie d'accès pour les sites sur Cotonou avec une liaison de secours
de type VPN internet. Les sites départementaux garderont les liaisons VSAT actuelles
avec un backup de type VPN Internet.

• Consolider les serveurs de chaque structure dans une seule salle serveur qui doit être bien
aménagée. Dès que le Data center du ministère sera fonctionnel, il faudra migrer les serveurs
au Data Center.

• Mettre en place une solution de supervision et de gestion de l'infrastructure réseau afin de

pouvoir détecter et réparer les problèmes avant que le service ne soit impacté. Cette
solution peut être utilisée également pour pouvoir générer des tableaux de bord qui
mesurent la performance et la disponibilité de l'infrastructure du système d'information.

• Revoir l'organisation par :

 La création d'une équipe en charge de la supervision de l'infrastructure et des

applications.

 La création d'une cellule de Help desk qui sera la seule vis à vis des utilisateurs pour
la déclaration des incidents et les demandes d'interventions. Il est nécessaire
également d'unifier et de formaliser les canaux de demande de support.

 La désignation un responsable de l'exploitation de l'infrastructure réseau qui doit

être déchargé de toutes les tâches de support client et de gestion de parc
informatique ainsi que des tâches administratives.

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 14

  La désignation d'un responsable de l'exploitation de l'infrastructure de sécurité qui
doit être différent et non dépendant du responsable de sécurité du système
d'information (RSSI).

• Renforcer les compétences des équipes en charge de l'exploitation des équipements réseau
et sécurité par la planification et l'exécution d'un plan de formation pour les équipes en
charge de l'exploitation. Nous avons proposé dans le rapport "Recommandions et Plan
d'Action" un plan de formation qui peut être adopté.

5 Plan d'action
5.1 Vue d'ensemble
Afin de mettre en œuvre ces recommandations nous proposons au MEF un plan d'action composé de
5 projets. Le tableau ci-dessous présente ces projets.

Projet Type Durée Priorité Budget (MFCFA)

P1: Optimisation du réseau actuel du MEF Service 2 mois Haute 40

P2 : Acquisition, installation et configuration

Acquisition
des équipements réseaux et sécurité pour la 6 mois Moyenne 250
et service
mise à niveau du réseau du MEF

P3: Mise en place d'une solution de Acquisition

2 mois Moyenne 60
supervision et de gestion du réseau et service

Scénario A: 1526
P4: Mise à niveau de l’interconnexion des Acquisition
18 mois Moyenne Scénario B: 1600
sites distants et service
Scénario C: 350

P5 : Renforcement des capacités Service 12 mois Moyenne 100

5.2 Chronogramme de mise en œuvre des recommandations

2013 2014 2015 2016
Projet T3 T4 T1 T2 T3 T4 T1 T2 T3 T4 T1 T2 T3 T4
P1: Optimisation du réseau actuel du MEF

P2 : Acquisition, installation et configuration

des équipements réseaux et sécurité pour la
mise à niveau du réseau du MEF
P3: Mise en place d'une solution de
supervision et de gestion du réseau
P4: Mise à niveau de l’interconnexion des sites
distants
P5 : Renforcement des capacités

5.3 Acquisition urgente

Il est urgent d'acquérir et de déployer une solution de sécurité Web pour :

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 15

  Mieux gérer la bande passante pour restreindre l'accès aux services qui consomment assez
de bande passante (tel que le streaming vidéo et audio) durant les horaires de travail.

 Sécuriser l'accès Internet à plusieurs niveaux : restriction d'accès, protection contre les virus
et les malware, protection contre les sites escroquerie, etc.

Les coûts de la solution se composent de :

• Le prix de boitier : prix d'acquisition

• Le prix de l'abonnement pour les mises à jour du logiciel, des bases de signatures de anti
virus et anti malware, la base de classification d'URL, etc.

Avec un abonnement d'une seule année le coût de la solution est autours de 25 MFCFA. Pour 3
années le coût s'élèvera à 40 MFCFA.

Des spécifications techniques de la solution recommandée on été proposées dans le rapport

"Recommandations et plan d'action".

6 LIVRABLES
En plus de ce rapport de synthèse, les livrables suivants ont été produits durant cette mission :

1. Livrable 1 : Nouvelle version du classer I4

2. Livrable 2 : Rapport de démarrage

3. Livrable 3 : Rapport d'audit du réseau du MEF

4. Livrable 4 : Recommandations et plan d'action

7 Conclusion
Cette mission, d'audit du réseau informatique du MEF, a pu déterminer les différentes défaillances
du réseau de MEF et a proposé un ensemble de recommandations et un plan d'action pour améliorer
le réseau.

Les différents résultats attendus de la mission ont été atteints :

1. Le premier résultat, diagnostiquer les forces et faiblesses du réseau actuel, a été obtenu par
le rapport "Audit du réseau".

2. Le deuxième résultat, actualiser les schémas des réseaux informatiques des sites concernés,
a été obtenu par la production des schémas des réseaux des différentes structures ainsi que
les schémas d'interconnexion.

3. Le troisième résultat, formulation de recommandations et élaboration d’un plan d’action sur

3 ans pour l’évolution technique du réseau, a été obtenu par la production du rapport
"Recommandations et plan d'action".

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 16

 4. Enfin, le quatrième résultat, élaboration de 3 scénarios (et plans d’actions associés) pour
l’interconnexion de toutes les structures intervenant dans la GFP, a été obtenu par la
proposition des scénarios A, B et C, qui sont détaillés dans le paragraphe 2.4 du rapport
"Recommandations et plan d'action".

Il est extrêmement important que le MEF inclut ces projets dans la liste des futurs projets du
ministère et commence à travailler sur le plan de financement de ces projets afin de les réaliser à
temps. L'exécution de ces différents projets permettra au MEF d'avoir une infrastructure réseau
performante, sécurisée, fiable et gérable. Ceci permettra au MEF de pouvoir mettre en place de
nouvelles applications afin d'urbaniser son système d'information pour pouvoir mieux gérer les
finances publiques et fournir plus de services aux citoyens et aux entreprises.

Projet I4: Audit du réseau Informatique du MEF. Rapport de synthèse Page 17