-
Notifications
You must be signed in to change notification settings - Fork 281
/
Copy pathanssi-recommandations-pour-la-protection-des-sie.yaml
1674 lines (1674 loc) · 93 KB
/
anssi-recommandations-pour-la-protection-des-sie.yaml
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
685
686
687
688
689
690
691
692
693
694
695
696
697
698
699
700
701
702
703
704
705
706
707
708
709
710
711
712
713
714
715
716
717
718
719
720
721
722
723
724
725
726
727
728
729
730
731
732
733
734
735
736
737
738
739
740
741
742
743
744
745
746
747
748
749
750
751
752
753
754
755
756
757
758
759
760
761
762
763
764
765
766
767
768
769
770
771
772
773
774
775
776
777
778
779
780
781
782
783
784
785
786
787
788
789
790
791
792
793
794
795
796
797
798
799
800
801
802
803
804
805
806
807
808
809
810
811
812
813
814
815
816
817
818
819
820
821
822
823
824
825
826
827
828
829
830
831
832
833
834
835
836
837
838
839
840
841
842
843
844
845
846
847
848
849
850
851
852
853
854
855
856
857
858
859
860
861
862
863
864
865
866
867
868
869
870
871
872
873
874
875
876
877
878
879
880
881
882
883
884
885
886
887
888
889
890
891
892
893
894
895
896
897
898
899
900
901
902
903
904
905
906
907
908
909
910
911
912
913
914
915
916
917
918
919
920
921
922
923
924
925
926
927
928
929
930
931
932
933
934
935
936
937
938
939
940
941
942
943
944
945
946
947
948
949
950
951
952
953
954
955
956
957
958
959
960
961
962
963
964
965
966
967
968
969
970
971
972
973
974
975
976
977
978
979
980
981
982
983
984
985
986
987
988
989
990
991
992
993
994
995
996
997
998
999
1000
urn: urn:protocolpaladin:risk:library:anssi-recommandations-pour-la-protection-des-sie
locale: fr
ref_id: ANSSI-REC-SIE
name: "Recommandations pour la protection des syst\xE8mes d\u2019information essentiels"
description: "La directive Network and Information System Security a \xE9t\xE9 adopt\xE9\
e par les institutions europ\xE9ennes en 2016 et transpos\xE9e en droit fran\xE7\
ais en 2018. Elle cr\xE9e notamment l'obligation pour les op\xE9rateurs de services\
\ essentiels de mettre en \u0153uvre des r\xE8gles de s\xE9curit\xE9 dans les domaines\
\ de la gouvernance, de la protection, de la d\xE9fense et de la r\xE9silience des\
\ r\xE9seaux et syst\xE8mes d'information. Ce guide a pour objectif d'accompagner\
\ la mise en \u0153uvre technique des r\xE8gles 7 \xE0 16, c'est-\xE0-dire celles\
\ du chapitre II relatives \xE0 la protection des r\xE9seaux et syst\xE8mes d'information,\
\ \xE0 l'exception de la r\xE8gle 17 relative \xE0 la s\xE9curit\xE9 physique et\
\ environnementale. La mise en \u0153uvre des autres r\xE8gles est couverte par\
\ d'autres publications de l'ANSSI. Ce guide s'adresse en particulier aux op\xE9\
rateurs de services essentiels, pour mettre leurs syst\xE8mes d'information en conformit\xE9\
\ avec ces r\xE8gles de s\xE9curit\xE9. Ce guide peut \xE9galement servir aux fournisseurs\
\ de services num\xE9riques (FSN) pour d\xE9finir et mettre en \u0153uvre leurs\
\ propres mesures de s\xE9curit\xE9. Ce guide constitue enfin un recueil de bonnes\
\ pratiques pour les op\xE9rateurs d'importance vitale (OIV) et pour toute entit\xE9\
\ ayant des besoins de protection de ses SI, et pour leurs prestataires tels que\
\ les entreprises de services num\xE9riques (ESN).\nhttps://cyber.gouv.fr/sites/default/files/2020/12/guide_protection_des_systemes_essentiels.pdf"
copyright: Licence ouverte / Open Licence v2.0 (Etalab)
version: 2
provider: ANSSI
packager: protocolpaladin
objects:
framework:
urn: urn:protocolpaladin:risk:framework:anssi-recommandations-pour-la-protection-des-sie
ref_id: ANSSI-REC-SIE
name: "Recommandations pour la protection des syst\xE8mes d\u2019information essentiels"
description: "La directive Network and Information System Security a \xE9t\xE9\
\ adopt\xE9e par les institutions europ\xE9ennes en 2016 et transpos\xE9e en\
\ droit fran\xE7ais en 2018. Elle cr\xE9e notamment l'obligation pour les op\xE9\
rateurs de services essentiels de mettre en \u0153uvre des r\xE8gles de s\xE9\
curit\xE9 dans les domaines de la gouvernance, de la protection, de la d\xE9\
fense et de la r\xE9silience des r\xE9seaux et syst\xE8mes d'information. Ce\
\ guide a pour objectif d'accompagner la mise en \u0153uvre technique des r\xE8\
gles 7 \xE0 16, c'est-\xE0-dire celles du chapitre II relatives \xE0 la protection\
\ des r\xE9seaux et syst\xE8mes d'information, \xE0 l'exception de la r\xE8\
gle 17 relative \xE0 la s\xE9curit\xE9 physique et environnementale. La mise\
\ en \u0153uvre des autres r\xE8gles est couverte par d'autres publications\
\ de l'ANSSI. Ce guide s'adresse en particulier aux op\xE9rateurs de services\
\ essentiels, pour mettre leurs syst\xE8mes d'information en conformit\xE9 avec\
\ ces r\xE8gles de s\xE9curit\xE9. Ce guide peut \xE9galement servir aux fournisseurs\
\ de services num\xE9riques (FSN) pour d\xE9finir et mettre en \u0153uvre leurs\
\ propres mesures de s\xE9curit\xE9. Ce guide constitue enfin un recueil de\
\ bonnes pratiques pour les op\xE9rateurs d'importance vitale (OIV) et pour\
\ toute entit\xE9 ayant des besoins de protection de ses SI, et pour leurs prestataires\
\ tels que les entreprises de services num\xE9riques (ESN)."
implementation_groups_definition:
- ref_id: R--
name: Recommandation alternative de second niveau
description: "Cette recommandation permet de mettre en \u0153uvre une seconde\
\ alternative, d\u2019un niveau de s\xE9curit\xE9 moindre que les recommandations\
\ R et R -. \n"
- ref_id: R-
name: Recommandation alternative de premier niveau
description: "Cette recommandation permet de mettre en \u0153uvre une premi\xE8\
re alternative, d\u2019un niveau de s\xE9curit\xE9 moindre que la recommandation\
\ R. \n"
- ref_id: R
name: "Recommandation \xE0 l'\xE9tat de l'art"
description: "Cette recommandation permet de mettre en \u0153uvre un niveau\
\ de s\xE9curit\xE9 \xE0 l\u2019\xE9tat de l.\u2019art. \n"
- ref_id: R+
name: "Recommandation renforc\xE9e compl\xE9mentaire"
description: "Cette recommandation compl\xE9mentaire permet de mettre en \u0153\
uvre un niveau de s\xE9curit\xE9 renforc\xE9. Elle est destin\xE9e aux entit\xE9\
s qui sont matures en s\xE9curit\xE9 des syst\xE8mes d\u2019information. \n"
requirement_nodes:
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3
assessable: false
depth: 1
ref_id: '3'
name: "S\xE9curit\xE9 de l\u2019architecture (r\xE8gles 7 \xE0 10)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3
ref_id: '3.1'
name: "Configuration (r\xE8gle 7)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1
ref_id: 3.1.1
name: "R\xE9duction de la surface d\u2019attaque"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1.1
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1
ref_id: 3.1.1.1
name: "Modification de la configuration par d\xE9faut"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r1
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1.1
ref_id: R1
name: "Modifier les \xE9l\xE9ments de configuration par d\xE9faut"
description: "Lors de l\u2019installation ou de la r\xE9installation des services\
\ et \xE9quipements du SIE, il est fortement recommand\xE9 que l\u2019op\xE9\
rateur modifie les \xE9l\xE9ments de configuration fix\xE9s par d\xE9faut\
\ d\xE8s lors qu\u2019ils sont exploitables par un attaquant.\LEn particulier,\
\ l\u2019op\xE9rateur doit modifier les \xE9l\xE9ments secrets d\u2019authentification\
\ pour les comptes techniques ou les comptes d\u2019administration (section\
\ 5.2.1)."
implementation_groups:
- R-
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r1-
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1.1
ref_id: R1-
name: "Pallier l\u2019impossibilit\xE9 de changer un \xE9l\xE9ment par d\xE9\
faut"
description: "Lorsque des raisons techniques emp\xEAchent de modifier un \xE9\
l\xE9ment de configura- tion par d\xE9faut, et en particulier des \xE9l\xE9\
ments d\u2019authentification ou des droits trop \xE9tendus, il est fortement\
\ recommand\xE9 que l\u2019op\xE9rateur mette en \u0153uvre des mesures techniques\
\ ou organisationnelles pour r\xE9duire les risques associ\xE9s \xE0 ces \xE9\
l\xE9ments par d\xE9faut. \nIl est recommand\xE9 que l\u2019op\xE9rateur d\xE9\
crive les raisons, les mesures et leurs justifications dans le dossier d\u2019\
homologation du SIE. "
implementation_groups:
- R-
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1.2
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1
ref_id: 3.1.1.2
name: "Restriction des fonctionnalit\xE9s accessibles"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r2
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1.2
ref_id: R2
name: "Installer uniquement les services ou fonctionnalit\xE9s indispensables"
description: "L\u2019op\xE9rateur doit installer les seuls services et fonctionnalit\xE9\
s indispensables au fonctionnement ou \xE0 la s\xE9curit\xE9 du SIE, afin\
\ de limiter la surface d\u2019attaque exploitable par un attaquant.\LSi des\
\ services ou fonctionnalit\xE9s non indispensables sont install\xE9s par\
\ d\xE9faut, l\u2019op\xE9rateur les d\xE9sinstalle."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r2-
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1.2
ref_id: R2-
name: "Pallier l\u2019impossibilit\xE9 de d\xE9sinstaller un service non indispensable"
description: "Lorsqu\u2019il n\u2019est pas possible de d\xE9sinstaller les\
\ services et fonctionnalit\xE9s qui ne sont \npas utilis\xE9s sur le SIE,\
\ l\u2019op\xE9rateur doit d\xE9sactiver ces services et fonctionnalit\xE9\
s ou emp\xEAcher leur acc\xE8s.\LL\u2019op\xE9rateur doit verser au dossier\
\ d\u2019homologation la liste des services et fonctionnalit\xE9s inutiles\
\ qu\u2019il n\u2019a pas \xE9t\xE9 possible de d\xE9sinstaller. Les raisons\
\ et les mesures de r\xE9duction de risque sont \xE9galement pr\xE9cis\xE9\
es dans le dossier d\u2019homologation."
implementation_groups:
- R-
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r3
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.1.2
ref_id: R3
name: "D\xE9finir et utiliser des configurations de r\xE9f\xE9rence"
description: "Il est recommand\xE9 que l\u2019op\xE9rateur d\xE9finisse une\
\ ou plusieurs configurations de r\xE9f\xE9rence s\xE9curis\xE9es, expurg\xE9\
es de tous les \xE9l\xE9ments inutiles et qu\u2019il les utilise lorsqu\u2019\
il installe un nouvel \xE9l\xE9ment du SIE.\LIl est recommand\xE9 que l\u2019\
op\xE9rateur maintienne ces configurations de r\xE9f\xE9rence \xE0 jour dans\
\ la dur\xE9e. \nIl est recommand\xE9 que les \xE9carts entre les configurations\
\ en production et les configurations de r\xE9f\xE9rence fassent l\u2019objet\
\ d\u2019un suivi r\xE9gulier, afin de les identifier au plus t\xF4t."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1
ref_id: 3.1.2
name: "Ma\xEEtrise des \xE9l\xE9ments du SIE"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.2.1
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.2
ref_id: 3.1.2.1
name: "Inventaire des \xE9l\xE9ments connect\xE9s au SIE"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r4
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.2.1
ref_id: R4
name: "\xC9tablir un inventaire technique des \xE9l\xE9ments et des acc\xE8\
s au SIE"
description: "Il est fortement recommand\xE9 que l\u2019op\xE9rateur \xE9tablisse\
\ un inventaire technique des \xE9l\xE9ments composant le SIE et des \xE9\
l\xE9ments qui peuvent y \xEAtre connect\xE9s (postes de travail, \xE9quipements,\
\ mat\xE9riels p\xE9riph\xE9riques, supports amovibles, etc.), physiquement\
\ ou \xE0 distance. \nDans le cas o\xF9 une tierce partie se connecte au SIE,\
\ il est recommand\xE9 que l\u2019op\xE9rateur le note dans sa cartographie\
\ et en tienne compte dans l\u2019analyse de risque."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.2.2
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.2
ref_id: 3.1.2.2
name: "Utilisation d\u2019\xE9l\xE9ments ma\xEEtris\xE9s dans le SI"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r5
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.2.2
ref_id: R5
name: "Utiliser uniquement des \xE9quipements ma\xEEtris\xE9s"
description: "L\u2019op\xE9rateur doit s\u2019assurer que seuls des \xE9quipements\
\ ma\xEEtris\xE9s et indispensables au fonctionnement ou \xE0 la s\xE9curit\xE9\
\ du SIE sont utilis\xE9s sur le SIE. Cela inclut les postes de travail, serveurs,\
\ \xE9quipements r\xE9seau, p\xE9riph\xE9riques amovibles, etc. L\u2019op\xE9\
rateur doit interdire l\u2019utilisation de tout autre \xE9quipement. \nCette\
\ politique doit couvrir les activit\xE9s des salari\xE9s internes comme celles\
\ des prestataires, que les connexions au SIE soient locales ou distantes."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1
ref_id: 3.1.3
name: Gestion des supports amovibles
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.1
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3
ref_id: 3.1.3.1
name: "D\xE9dier des supports amovibles au SIE"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r6
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.1
ref_id: R6
name: "D\xE9dier aux SIE des supports amovibles identifi\xE9s"
description: "Les supports amovibles \xE9tant des vecteurs d\u2019attaque, l\u2019\
op\xE9rateur doit d\xE9dier des sup- ports amovibles au fonctionnement des\
\ SIE (exploitation, maintenance, administration, s\xE9curit\xE9, etc.).\L\
Seuls ces supports peuvent \xEAtre connect\xE9s au SIE. Ils ne peuvent \xEA\
tre connect\xE9s qu\u2019au SIE et aux syst\xE8mes explicitement pr\xE9vus\
\ par l\u2019op\xE9rateur. \nCes supports doivent \xEAtre inventori\xE9s et\
\ physiquement identifi\xE9s."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.2
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3
ref_id: 3.1.3.2
name: "Innocuit\xE9 des supports amovibles \xE0 usage mixte"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r7
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.2
ref_id: R7
name: "D\xE9contaminer les supports amovibles avant leur utilisation"
description: "L\u2019op\xE9rateur doit proc\xE9der \xE0 l\u2019analyse syst\xE9\
matique du contenu de chaque support amovible d\xE8s sa connexion au SIE,\
\ avant de pouvoir l\u2019utiliser.\LPour permettre cette analyse avant utilisation,\
\ il est fortement recommand\xE9 de d\xE9sactiver l\u2019ex\xE9cution automatique\
\ des contenus (autorun). \nL\u2019analyse doit au minimum rechercher des\
\ codes malveillants par rapport \xE0 une base de connaissance \xE0 jour."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r7+
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.2
ref_id: R7+
name: "Utiliser un \xE9quipement d\xE9di\xE9 \xE0 l\u2019analyse des supports\
\ amovibles"
description: "Afin de limiter l\u2019impact de l\u2019ex\xE9cution d\u2019un\
\ code malveillant pr\xE9sent sur un support amovible, il est fortement recommand\xE9\
\ d\u2019utiliser des \xE9quipements sp\xE9cifiques pour \nanalyser les supports\
\ amovibles avant leur connexion au SIE."
implementation_groups:
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.3
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3
ref_id: 3.1.3.3
name: "Tra\xE7abilit\xE9 de l\u2019utilisation des supports amovibles sur le\
\ SIE"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r8
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.3
ref_id: R8
name: "Mettre en \u0153uvre une tra\xE7abilit\xE9 de l\u2019utilisation des\
\ supports amovibles"
description: "Lorsque le fonctionnement du SIE requiert l\u2019utilisation de\
\ supports amovibles, il est fortement recommand\xE9 que l\u2019op\xE9rateur\
\ mette en place un outil de tra\xE7abilit\xE9 lui permettant d\u2019avoir\
\ des informations sur les connexions de supports amovibles au SIE, et sur\
\ les donn\xE9es import\xE9es ou export\xE9es du SIE."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r8+
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.1.3.3
ref_id: R8+
name: "Mettre en \u0153uvre un outil de protection contre l\u2019exfiltration\
\ de donn\xE9es"
description: "Il est fortement recommand\xE9 que l\u2019op\xE9rateur utilise\
\ un outil filtrant ce qui est extrait du SIE."
implementation_groups:
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3
ref_id: '3.2'
name: "Cloisonnement (r\xE8gle 8)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2
ref_id: 3.2.1
name: Segmentation du SI en zones
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r9
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.1
ref_id: R9
name: "Segmenter le SI en syst\xE8mes et sous-syst\xE8mes"
description: "L\u2019op\xE9rateur doit segmenter son SI en plusieurs syst\xE8\
mes et sous-syst\xE8mes.\LLes SIE doivent \xEAtre cloisonn\xE9s des autres\
\ SI de l\u2019op\xE9rateur et des SI tiers.\LChaque SIE doit \xEAtre subdivis\xE9\
\ en sous-syst\xE8mes rassemblant des ressources assurant des fonctionnalit\xE9\
s similaires et ayant des niveaux de sensibilit\xE9, d\u2019exposition et\
\ de s\xE9curit\xE9 homog\xE8nes.\LL\u2019op\xE9rateur doit d\xE9crire le\
\ cloisonnement mis en \u0153uvre dans le dossier d\u2019homologation du SIE."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r10
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.1
ref_id: R10
name: Autoriser les interconnexions suivant le besoin de fonctionnement
description: "L\u2019op\xE9rateur doit s\u2019assurer que toute communication\
\ entre le SIE et d\u2019autres SI, et entre diff\xE9rents sous-syst\xE8mes\
\ issus de la segmentation du SIE, est associ\xE9e \xE0 un besoin \nde fonctionnement\
\ l\xE9gitime."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2
ref_id: 3.2.2
name: Cloisonnement physique ou logique
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2.1
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2
ref_id: 3.2.2.1
name: Le cloisonnement physique
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r11
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2.1
ref_id: R11
name: Mettre en place un cloisonnement physique
description: "L\u2019op\xE9rateur doit cloisonner physiquement des sous-syst\xE8\
mes de sensibilit\xE9s ou d\u2019expositions diff\xE9rentes et ne conserver\
\ que les interconnexions strictement n\xE9cessaires \nau bon fonctionnement\
\ des deux sous-syst\xE8mes."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2.2
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2
ref_id: 3.2.2.2
name: Le cloisonnement logique par le chiffre
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r11-
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2.2
ref_id: R11-
name: Mettre en place un cloisonnement logique par le chiffre
description: "\xC0 d\xE9faut d\u2019un cloisonnement physique entre sous-syst\xE8\
mes de sensibilit\xE9s ou d\u2019ex- positions diff\xE9rentes, l\u2019op\xE9\
rateur doit avoir recours \xE0 un m\xE9canisme logique de cloisonnement par\
\ le chiffre, en utilisant des secrets diff\xE9rents pour les sous-syst\xE8\
mes \xE0 cloisonner. \nL\u2019op\xE9rateur doit s\u2019assurer de l\u2019\
efficacit\xE9 du cloisonnement apport\xE9 et privil\xE9gier des \nsolutions\
\ disposant d\u2019un visa de s\xE9curit\xE9 de l\u2019ANSSI."
implementation_groups:
- R-
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2.3
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2
ref_id: 3.2.2.3
name: Le cloisonnement logique simple
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r11---
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.2.3
ref_id: R11- -
name: Mettre en place un cloisonnement logique
description: "\xC0 d\xE9faut d\u2019un cloisonnement physique entre sous-syst\xE8\
mes ou d\u2019un cloisonnement logique par le chiffre, l\u2019op\xE9rateur\
\ peut avoir recours \xE0 un cloisonnement logique simple.\LL\u2019op\xE9\
rateur doit s\u2019assurer de l\u2019efficacit\xE9 du cloisonnement par des\
\ mesures techniques ou organisationnelles."
implementation_groups:
- R--
- R-
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.3
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2
ref_id: 3.2.3
name: "Mise en \u0153uvre technique du cloisonnement"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r12
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.3
ref_id: R12
name: "Chiffrer les donn\xE9es en amont du stockage avec des secrets distincts"
description: "Pour que le cloisonnement par le chiffre d\u2019un syst\xE8me\
\ de stockage soit efficace, il est fortement recommand\xE9 que le chiffrement\
\ soit appliqu\xE9 en amont du syst\xE8me de stockage, par les syst\xE8mes\
\ propri\xE9taires des donn\xE9es, et non pas par le syst\xE8me de stockage\
\ lui-m\xEAme au moment de l\u2019\xE9criture sur les disques. \nDe plus,\
\ les secrets associ\xE9s au chiffrement doivent \xEAtre diff\xE9rents pour\
\ chaque sous- syst\xE8me."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.4
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2
ref_id: 3.2.4
name: "Cas des SIE dont l\u2019h\xE9bergement est externalis\xE9"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r13
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.4
ref_id: R13
name: "Contr\xF4ler le cloisonnement mis en place en cas d\u2019externalisation"
description: "Dans le cas d\u2019un SIE externalis\xE9 chez un tiers, l\u2019\
op\xE9rateur doit s\u2019assurer que son prestataire met en \u0153uvre le\
\ cloisonnement attendu dans l\u2019architecture propos\xE9e."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.5
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2
ref_id: 3.2.5
name: "Cas des SIE des infrastructures num\xE9riques"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r14
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.5
ref_id: R14
name: "Infrastructures num\xE9riques : cloisonner les services internes"
description: "Dans le cas d\u2019un SIE du secteur des infrastructures num\xE9\
riques, il est recommand\xE9 que l\u2019op\xE9rateur applique en priorit\xE9\
\ les recommandations relatives au cloisonnement aux services internes au\
\ SIE, dont son administration.\LLorsqu\u2019il n\u2019est effectivement pas\
\ possible d\u2019appliquer les recommandations pr\xE9c\xE9dentes sur certains\
\ de ses SIE, l\u2019op\xE9rateur doit mettre en \u0153uvre des mesures de\
\ protection suppl\xE9mentaires afin d\u2019atteindre les m\xEAmes objectifs\
\ de s\xE9curit\xE9."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.6
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2
ref_id: 3.2.6
name: Cas des SIE ouverts au public
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r15
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.2.6
ref_id: R15
name: "Segmenter les SIE publics en au moins deux sous-syst\xE8mes"
description: "Si le SIE est accessible depuis un r\xE9seau public, l\u2019op\xE9\
rateur doit segmenter le SIE en au moins deux sous-syst\xE8mes :\L- un premier\
\ sous-syst\xE8me correspondant \xE0 la partie du SIE directement accessible\
\ \ndepuis le r\xE9seau public. Ce sous-syst\xE8me joue un r\xF4le de passerelle\
\ ; \n- au moins un deuxi\xE8me sous-syst\xE8me correspondant \xE0 la partie\
\ interne du SIE, non directement accessible depuis le r\xE9seau public mais\
\ uniquement \xE0 travers la passerelle. \nL\u2019op\xE9rateur peut se reporter\
\ au guide recommandations relatives \xE0 l\u2019interconnexion d\u2019un\
\ syst\xE8me d\u2019information \xE0 Internet [31] de l\u2019ANSSI pour concevoir\
\ la passerelle."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3
ref_id: '3.3'
name: "Acc\xE8s \xE0 distance (r\xE8gle 9)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3
ref_id: 3.3.1
name: "Acc\xE8s publics \xE0 un SIE"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r16
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.1
ref_id: R16
name: "Acc\xE8s public : chiffrer et authentifier les flux au niveau applicatif"
description: "L\u2019op\xE9rateur doit mettre en \u0153uvre un cloisonnement\
\ logique par le chiffre pour l\u2019acc\xE8s public au SIE, en utilisant\
\ si n\xE9cessaire des protocoles ne n\xE9cessitant pas d\u2019installer d\u2019\
\xE9l\xE9ments sur le poste de l\u2019utilisateur. Cela inclut l\u2019utilisation\
\ du protocole HTTPS pour les acc\xE8s Web. \nIl est fortement recommand\xE9\
\ que ces protocoles soient conformes aux r\xE8gles pr\xE9conis\xE9es par\
\ l\u2019ANSSI et d\xE9taill\xE9es notamment dans le r\xE9f\xE9rentiel g\xE9\
n\xE9ral de s\xE9curit\xE9 [34] et dans les recommandations de s\xE9curit\xE9\
\ relatives \xE0 TLS [28].\LIl est \xE9galement fortement recommand\xE9 que\
\ le SIE soit authentifi\xE9 par la pr\xE9sentation d\u2019un certificat serveur\
\ dont les clients peuvent v\xE9rifier la validit\xE9."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r17
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.1
ref_id: R17
name: "Acc\xE8s public : authentifier les utilisateurs"
description: "Il est fortement recommand\xE9 que tout \xE9l\xE9ment du SIE accessible\
\ publiquement et qui n\xE9cessite une authentification de l\u2019utilisateur\
\ fasse appel \xE0 un m\xE9canisme d\u2019authentification \xE0 l\u2019\xE9\
tat de l\u2019art."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r17+
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.1
ref_id: R17+
name: "Acc\xE8s public : authentifier les utilisateurs avec deux facteurs"
description: "Si le besoin de s\xE9curit\xE9 le justifie, il est fortement recommand\xE9\
\ de mettre en place une authentification \xE0 double facteur pour les utilisateurs\
\ du service. "
implementation_groups:
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3
ref_id: 3.3.2
name: "Acc\xE8s nomades \xE0 un SIE"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r18
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.2
ref_id: R18
name: "Acc\xE8s nomade : mettre en place un tunnel chiffr\xE9 et authentifi\xE9"
description: "L\u2019op\xE9rateur doit configurer le poste de travail nomade\
\ afin qu\u2019il \xE9tablisse toujours un tunnel authentifi\xE9 et chiffr\xE9\
\ depuis le poste de travail jusqu\u2019au SIE, ou \xE0 d\xE9faut, jusqu\u2019\
au SI interne de l\u2019op\xE9rateur.\LIl est recommand\xE9 de mettre en \u0153\
uvre un tunnel reposant sur la technologie de VPN IPsec, configur\xE9 conform\xE9\
ment aux recommandations de s\xE9curit\xE9 relatives \xE0 IPsec pour la protection\
\ des flux r\xE9seau [24] de l\u2019ANSSI. \xC0 d\xE9faut, la technologie\
\ TLS peut \xEAtre employ\xE9e [28]."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r19
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.2
ref_id: R19
name: "Acc\xE8s nomade : authentifier les utilisateurs avec deux facteurs"
description: "L\u2019op\xE9rateur doit s\u2019assurer de l\u2019identit\xE9\
\ de l\u2019utilisateur nomade en l\u2019obligeant \xE0 utiliser une authentification\
\ \xE0 double facteur sur le poste de travail.\LLorsque des raisons techniques\
\ ou organisationnelles emp\xEAchent de mettre en place de l\u2019authentification\
\ \xE0 double facteur pour les utilisateurs nomades, l\u2019op\xE9rateur doit\
\ d\xE9crire ces raisons dans le dossier d\u2019homologation du SIE."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r20
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.2
ref_id: R20
name: "Acc\xE8s nomade : chiffrer int\xE9gralement le disque du poste"
description: "L\u2019op\xE9rateur doit prot\xE9ger la confidentialit\xE9 et\
\ l\u2019int\xE9grit\xE9 des m\xE9moires de masse utilis\xE9es sur les postes\
\ de travail en les chiffrant int\xE9gralement (\xE0 la fois la partition\
\ syst\xE8me et les partitions de donn\xE9es).\LL\u2019op\xE9rateur doit employer\
\ des m\xE9canismes de chiffrement et d\u2019authentification conformes aux\
\ r\xE8gles pr\xE9conis\xE9es par l\u2019ANSSI et d\xE9taill\xE9es notamment\
\ dans le R\xE9f\xE9rentiel g\xE9n\xE9ral de s\xE9curit\xE9 (RGS) [34]."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r21
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.2
ref_id: R21
name: "Acc\xE8s nomade : utiliser des filtres de confidentialit\xE9"
description: "Il est fortement recommand\xE9 que l\u2019op\xE9rateur fournisse\
\ aux utilisateurs en situation de nomadisme des filtres de confidentialit\xE9\
, afin de prot\xE9ger la confidentialit\xE9 des donn\xE9es relatives au SIE."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.3
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3
ref_id: 3.3.3
name: "Acc\xE8s internes \xE0 un SIE"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r22
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.3.3
ref_id: R22
name: "Acc\xE8s interne : mettre en place un tunnel chiffr\xE9 et authentifi\xE9"
description: "L\u2019op\xE9rateur doit mettre en place un tunnel authentifi\xE9\
\ et chiffr\xE9 d\xE8s lors qu\u2019une communication li\xE9e au SIE transite\
\ par un r\xE9seau non ma\xEEtris\xE9.\LIl est recommand\xE9 de mettre en\
\ \u0153uvre un tunnel reposant sur la technologie de VPN IPsec, configur\xE9\
\ conform\xE9ment aux recommandations de s\xE9curit\xE9 relatives \xE0 IPsec\
\ pour la protection des flux r\xE9seau [24] de l\u2019ANSSI. \xC0 d\xE9faut,\
\ la technologie TLS peut \xEAtre employ\xE9e [28]."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3
ref_id: '3.4'
name: "Filtrage r\xE9seau (r\xE8gle 10)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4
ref_id: 3.4.1
name: Points de filtrage
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r23
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.1
ref_id: R23
name: "Filtrer les flux aux interconnexions entre les syst\xE8mes et entre les\
\ sous-syst\xE8mes"
description: "L\u2019op\xE9rateur doit filtrer les flux r\xE9seau au niveau\
\ des interconnexions entre les syst\xE8mes et les sous-syst\xE8mes d\xE9\
finis par la r\xE8gle 7 relative au cloisonnement. Ce filtrage est d\xE9sign\xE9\
\ filtrage p\xE9rim\xE9trique.\LLes dispositifs de filtrage p\xE9rim\xE9trique\
\ ne peuvent \xEAtre mutualis\xE9s qu\u2019entre des sous- syst\xE8mes de\
\ sensibilit\xE9 et d\u2019exposition similaires."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r23+
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.1
ref_id: R23+
name: "Filtrer les flux aux extr\xE9mit\xE9s des communications"
description: "En compl\xE9ment du filtrage p\xE9rim\xE9trique, il est recommand\xE9\
\ de filtrer les flux aux extr\xE9mit\xE9s des communications, au niveau des\
\ serveurs, postes de travail et autres \xE9quipements. Ce filtrage est d\xE9\
sign\xE9 filtrage local. Il est en g\xE9n\xE9ral mis en \u0153uvre par des\
\ pare-feux logiciels int\xE9gr\xE9s aux \xE9quipements."
implementation_groups:
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4
ref_id: 3.4.2
name: Besoins de filtrage
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r24
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.2
ref_id: R24
name: "D\xE9finir les besoins de filtrage sur le SIE"
description: "L\u2019op\xE9rateur doit r\xE9pertorier pr\xE9cis\xE9ment les\
\ communications strictement n\xE9cessaires (ou besoin de fonctionnement)\
\ entre le SIE et les autres syst\xE8mes, et entre les sous- \nsyst\xE8mes\
\ du SIE, pour formaliser les besoins de filtrage."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.3
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4
ref_id: 3.4.3
name: "R\xE8gles de filtrage"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r25
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.3
ref_id: R25
name: "Formaliser les r\xE8gles de filtrage"
description: "L\u2019op\xE9rateur doit \xE9tablir et tenir \xE0 jour une liste\
\ des r\xE8gles de filtrage en vigueur et des r\xE8gles supprim\xE9es depuis\
\ moins d\u2019un an. Cette liste constitue la matrice de flux globale. \n\
Il est fortement recommand\xE9 que cette liste pr\xE9cise pour chaque r\xE8\
gle :\L- la date et le motif de la mise en \u0153uvre, de la modification\
\ ou de la suppression de la r\xE8gle ; \n- un historique dat\xE9 des modifications\
\ de la r\xE8gle ; \n- les modalit\xE9s techniques de mise en \u0153uvre de\
\ la r\xE8gle, notamment le point de filtrage (le dispositif de filtrage)\
\ concern\xE9 ; \n- les crit\xE8res techniques de filtrage r\xE9seau : adresses\
\ r\xE9seau, protocoles, num\xE9ros de ports, modes d\u2019inspection, etc."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r26
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.3
ref_id: R26
name: "Passer r\xE9guli\xE8rement en revue les r\xE8gles de filtrage"
description: "Il est recommand\xE9 que l\u2019op\xE9rateur effectue r\xE9guli\xE8\
rement une revue exhaustive des r\xE8gles de filtrage relatives au SIE afin\
\ de s\u2019assurer que ce qui est attendu est pertinent, et que ce qui est\
\ impl\xE9ment\xE9 correspond effectivement \xE0 ce qui est attendu.\LLa p\xE9\
riodicit\xE9 de cette revue est fix\xE9e par l\u2019analyse de risque, mais\
\ il est recommand\xE9 qu\u2019elle ne d\xE9passe pas un an."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.4
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4
ref_id: 3.4.4
name: "Mise en \u0153uvre du filtrage"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.4.1
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.4
ref_id: 3.4.4.1
name: Choix et mutualisation des dispositifs de filtrage
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r27
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.4.1
ref_id: R27
name: "Mettre en \u0153uvre le filtrage gr\xE2ce \xE0 des \xE9quipements sp\xE9\
cialis\xE9s"
description: "Il est fortement recommand\xE9 que l\u2019op\xE9rateur utilise\
\ des dispositifs d\xE9di\xE9s tels que des pare-feux pour mettre en \u0153\
uvre la fonction de filtrage, et non des \xE9quipements dont ce n\u2019est\
\ pas la fonction premi\xE8re.\LIl est recommand\xE9 de privil\xE9gier des\
\ solutions disposant d\u2019un visa de s\xE9curit\xE9 de l\u2019ANSSI. \n\
Enfin, dans un objectif de r\xE9duction de la surface d\u2019attaque, il est\
\ recommand\xE9 que l\u2019op\xE9rateur limite le nombre de fonctions 20 port\xE9\
es par ses pare-feux."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.4.2
assessable: false
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.4
ref_id: 3.4.4.2
name: "Listes d\u2019autorisation et d\u2019interdiction"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r28
assessable: true
depth: 5
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:3.4.4.2
ref_id: R28
name: "Bloquer tous les flux non explicitement autoris\xE9s"
description: "L\u2019op\xE9rateur doit mettre en \u0153uvre des m\xE9canismes\
\ de filtrage reposant sur le principe des listes d\u2019autorisation, en\
\ d\xE9crivant sp\xE9cifiquement ce qui est autoris\xE9 et en interdisant\
\ par d\xE9faut tous les autres flux."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4
assessable: false
depth: 1
ref_id: '4'
name: "S\xE9curit\xE9 de l\u2019administration (r\xE8gles 11 et 12)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4
ref_id: '4.2'
name: "Comptes d\u2019administration (r\xE8gle 11)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2
ref_id: 4.2.1
name: "Usage des comptes d\u2019administration"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r29
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.1
ref_id: R29
name: "Utiliser des comptes d\u2019administration d\xE9di\xE9s"
description: "L\u2019administrateur doit disposer d\u2019un ou plusieurs comptes\
\ d\u2019administration d\xE9di\xE9s, distincts de son compte utilisateur,\
\ pour effectuer des actions d\u2019administration.\LLes comptes d\u2019administration\
\ doivent \xEAtre utilis\xE9s exclusivement pour des actions d\u2019administration.\
\ En particulier, aucun compte d\u2019administration ne doit \xEAtre utilis\xE9\
\ pour des actions bureautiques ou l\u2019ouverture de sessions de travail\
\ sur des postes autres que ceux r\xE9serv\xE9s aux actions d\u2019administration."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r29-
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.1
ref_id: R29-
name: "Pallier l\u2019absence de comptes d\xE9di\xE9s \xE0 l\u2019administration"
description: "Lorsque des raisons techniques emp\xEAchent d\u2019utiliser des\
\ comptes d\xE9di\xE9s \xE0 l\u2019administration, l\u2019op\xE9rateur doit\
\ mettre en place d\u2019une part des mesures permettant d\u2019assurer la\
\ tra\xE7abilit\xE9 et le contr\xF4le des actions d\u2019administration r\xE9\
alis\xE9es sur cette ressource et d\u2019autre part des mesures de r\xE9duction\
\ du risque li\xE9 \xE0 l\u2019utilisation d\u2019un compte qui n\u2019est\
\ pas d\xE9di\xE9 \xE0 l\u2019administration. \nL\u2019op\xE9rateur doit d\xE9\
crire les raisons, les mesures et leurs justifications dans le dossier d\u2019\
homologation du SIE.\n"
implementation_groups:
- R-
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r30
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.1
ref_id: R30
name: "Utiliser par d\xE9faut des comptes d\u2019administration individuels"
description: "L\u2019op\xE9rateur doit cr\xE9er un compte d\u2019administration\
\ individuel pour chaque administrateur.\LLes comptes natifs d\u2019administration\
\ ne doivent pas \xEAtre utilis\xE9s pour les actions courantes d\u2019administration\
\ et les secrets associ\xE9s ne doivent \xEAtre accessibles qu\u2019\xE0 un\
\ nombre tr\xE8s restreint de personnes."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r31
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.1
ref_id: R31
name: "Attribuer les droits d\u2019administration \xE0 des groupes"
description: "Il est recommand\xE9 d\u2019attribuer les droits d\u2019administration\
\ \xE0 des groupes de comptes d\u2019administration plut\xF4t qu\u2019unitairement\
\ \xE0 des comptes d\u2019administration."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.2
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2
ref_id: 4.2.2
name: "Protection des comptes d\u2019administration"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r32
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.2
ref_id: R32
name: "Prot\xE9ger l\u2019acc\xE8s aux annuaires des comptes d\u2019administration"
description: "Il est fortement recommand\xE9 que le ou les annuaires contenant\
\ les comptes d\u2019administration soient prot\xE9g\xE9s en confidentialit\xE9\
\ et en int\xE9grit\xE9 et ne soient pas expos\xE9s sur des environnements\
\ de moindre confiance (ex. : SI bureautique).\LIl est recommand\xE9 de d\xE9\
ployer un annuaire d\xE9di\xE9 au SI d\u2019administration en tant qu\u2019\
infrastructure d\u2019administration. Celui-ci g\xE8re les comptes d\u2019\
administration et le contr\xF4le d\u2019acc\xE8s aux ressources administr\xE9\
es."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r33
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.2
ref_id: R33
name: "Renforcer l\u2019authentification pour les comptes d\u2019administration"
description: "Il est fortement recommand\xE9 que l\u2019op\xE9rateur s\u2019\
assure que les comptes utilis\xE9s pour l\u2019administration technique du\
\ SIE ne puissent \xEAtre compromis en renfor\xE7ant leurs m\xE9canismes d\u2019\
authentification :\L- utilisation de mots de passe complexes ; \n- authentification\
\ \xE0 double facteur ;\L- chiffrement ou hachage robuste 22 des secrets d\u2019\
authentification, lorsqu\u2019ils sont en \ntransit ou stock\xE9s ;\L- m\xE9\
canismes de protection des mots de passe contre les attaques en force brute\
\ ; \n- m\xE9canismes de protection contre le rejeu de mots de passe."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r34
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.2
ref_id: R34
name: "Emp\xEAcher le stockage des secrets d\u2019authentification dans les\
\ journaux"
description: "L\u2019op\xE9rateur doit configurer ses journaux de telle sorte\
\ qu\u2019ils ne stockent aucune information sur les secrets utilis\xE9s pour\
\ l\u2019authentification des comptes d\u2019administration, que ce soit des\
\ \xE9l\xE9ments stock\xE9s en clair ou sous forme d\u2019empreinte cryptographique."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r35
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.2.2
ref_id: R35
name: "Respecter le principe du moindre privil\xE8ge dans l\u2019attribution\
\ des droits d\u2019administration"
description: "L\u2019op\xE9rateur doit attribuer les droits d\u2019administration\
\ aux comptes d\u2019administration en respectant le principe du moindre privil\xE8\
ge."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.3
assessable: false
depth: 2
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4
ref_id: '4.3'
name: "Syst\xE8mes d\u2019information d\u2019administration (r\xE8gle 12)"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.3.1
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.3
ref_id: 4.3.1
name: "Ma\xEEtrise des ressources d\u2019administration"
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:r36
assessable: true
depth: 4
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.3.1
ref_id: R36
name: "N\u2019utiliser que des \xE9quipements ma\xEEtris\xE9s pour l\u2019administration"
description: "L\u2019op\xE9rateur doit g\xE9rer et configurer les ressources\
\ mat\xE9rielles et logicielles utilis\xE9es pour r\xE9aliser les actions\
\ d\u2019administration, ou les faire g\xE9rer et configurer par un prestataire\
\ mandat\xE9 pour r\xE9aliser ces actions.\LEn aucun cas l\u2019utilisation\
\ d\u2019un \xE9quipement personnel ne doit \xEAtre tol\xE9r\xE9e pour l\u2019\
administration d\u2019un SI."
implementation_groups:
- R
- R+
- urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.3.3
assessable: false
depth: 3
parent_urn: urn:protocolpaladin:risk:req_node:anssi-recommandations-pour-la-protection-des-sie:4.3
ref_id: 4.3.3