Objectif 7 : Sécurisation de l'architecture des systèmes d'information

Notre lecture de cet objectif

Autrement dit : tout est-il branché à tout, ou avez-vous posé des cloisons ?

Ce que le texte exige

« Les entités importantes ou essentielles identifient les besoins d'exposition des services et interfaces de leurs systèmes d'information ainsi que les besoins d'interconnexion [...] Ces entités filtrent les communications entrantes et sortantes. »

Le cloisonnement en zones de sécurité cohérentes, lui, n'est demandé qu'aux entités essentielles.

Ce que ça veut dire chez vous

C'est l'objectif le plus technique du référentiel, et c'est aussi celui où la lecture attentive fait gagner le plus de temps.

Parce que si vous êtes une entité importante, le gros morceau ne vous concerne pas. Le cloisonnement en zones, les huit mesures de la section correspondante, sont très majoritairement réservés aux entités essentielles. Ce qu'on attend de vous, c'est de savoir ce que vous exposez sur Internet, et de filtrer ce qui entre et ce qui sort.

« Savoir ce qu'on expose » est plus rare qu'il n'y paraît. Le nombre de PME qui découvrent, lors d'un premier audit, une interface d'administration de NAS ou une caméra accessible depuis Internet est considérable. Ce n'est jamais une décision : c'est une case cochée par défaut, ou un prestataire qui a ouvert un port pour dépanner un dimanche soir et ne l'a jamais refermé.

Le filtrage sortant, lui, est le parent pauvre. Tout le monde filtre ce qui entre. Presque personne ne regarde ce qui sort, alors que c'est par là que partent les données en cas de compromission, et que c'est souvent le seul signal disponible.

Ce qui est attendu de vous

Treize mesures, dont six seulement attendues d'une entité importante. L'un des objectifs où la proportionnalité joue le plus en votre faveur.

Les gestes qui couvrent cet objectif

E-CLOISON : les postes, les serveurs et l'administration sont séparés. État, à réattester périodiquement. E-FILTRAGE : les flux entrants et sortants sont filtrés, et ce qui est exposé sur Internet est connu et voulu. État. G-MES : mettre un service en production. C'est là qu'on décide de ce qu'on expose, pas après.

Ces deux états ne sont pas des gestes à exécuter mais des propriétés à maintenir vraies. L'outil vous demande de les réattester, avec une preuve, à une fréquence que vous fixez. C'est ce qui évite qu'une règle de pare-feu ouverte pour un dépannage reste en place trois ans.

Ce qui se passe si vous ne le faites pas

L'annexe du référentiel décrit l'aggravation plutôt que l'incident initial : sans cloisonnement ni filtrage, les conséquences d'une compromission sont aggravées par la capacité de l'attaquant à étendre son attaque à d'autres systèmes. C'est la latéralisation, et c'est ce qui transforme un poste infecté en entreprise arrêtée.