anssi-guide-hygiene.yaml

urn: urn:intuitem:risk:library:anssi-guide-hygiene
locale: fr
ref_id: ANSSI-GUIDE-HYGIENE
name: "ANSSI - Guide d'hygi\xE8ne informatique"
description: "Renforcer la s\xE9curit\xE9 de son syst\xE8me d\u2019information en\
  \ 42 mesures\n https://cyber.gouv.fr/sites/default/files/2017/01/guide_hygiene_informatique_anssi.pdf"
copyright: Licence Ouverte/Open Licence (Etalab - V1)
version: 1
provider: ANSSI
packager: intuitem
objects:
  framework:
    urn: urn:intuitem:risk:framework:anssi-guide-hygiene
    ref_id: ANSSI-GUIDE-HYGIENE
    name: "ANSSI - Guide d'hygi\xE8ne informatique"
    description: "Renforcer la s\xE9curit\xE9 de son syst\xE8me d\u2019information\
      \ en 42 mesures"
    requirement_nodes:
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i
      assessable: false
      depth: 1
      ref_id: I
      name: Sensibiliser et former
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:1
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i
      ref_id: '1'
      name: "Former les \xE9quipes op\xE9rationnelles \xE0 la s\xE9curit\xE9 des syst\xE8\
        mes d\u2019information"
      description: "Les \xE9quipes op\xE9rationnelles (administrateurs r\xE9seau,\
        \ s\xE9curit\xE9 et syst\xE8me, chefs de projet, d\xE9veloppeurs, RSSI) ont\
        \ des acc\xE8s privil\xE9gi\xE9s au syst\xE8me d\u2019information. Elles peuvent,\
        \ par inadvertance ou par m\xE9connaissance des cons\xE9quences de certaines\
        \ pratiques, r\xE9aliser des op\xE9rations g\xE9n\xE9ratrices de vuln\xE9\
        rabilit\xE9s.\nCitons par exemple l\u2019affectation de comptes disposant\
        \ de trop nombreux privil\xE8ges par rapport \xE0 la t\xE2che \xE0 r\xE9aliser,\
        \ l\u2019utilisation de comptes personnels pour ex\xE9cuter des services ou\
        \ t\xE2ches p\xE9riodiques, ou encore le choix de mots de passe peu robustes\
        \ donnant acc\xE8s \xE0 des comptes privil\xE9gi\xE9s.\nLes \xE9quipes op\xE9\
        rationnelles, pour \xEAtre \xE0 l\u2019\xE9tat de l\u2019art de la s\xE9curit\xE9\
        \ des syst\xE8mes d\u2019information, doivent donc suivre - \xE0 leur prise\
        \ de poste puis \xE0 intervalles r\xE9guliers - des formations sur :\n> la\
        \ l\xE9gislation en vigueur ;\n> les principaux risques et menaces ;\n> le\
        \ maintien en condition de s\xE9curit\xE9 ;\n> l\u2019authentification et\
        \ le contr\xF4le d\u2019acc\xE8s ;\n> le param\xE9trage fin et le durcissement\
        \ des syst\xE8mes ; > le cloisonnement r\xE9seau ; > et la journalisation.\
        \ \nCette liste doit \xEAtre pr\xE9cis\xE9e selon le m\xE9tier des collaborateurs\
        \ en consid\xE9rant des aspects tels que l\u2019int\xE9gration de la s\xE9\
        curit\xE9 pour les chefs de projet, le d\xE9veloppement s\xE9curis\xE9 pour\
        \ les d\xE9veloppeurs, les r\xE9f\xE9rentiels de s\xE9curit\xE9 pour les RSSI,\
        \ etc. \nIl est par ailleurs n\xE9cessaire de faire mention de clauses sp\xE9\
        cifiques dans les contrats de prestation pour garantir une formation r\xE9\
        guli\xE8re \xE0 la s\xE9curit\xE9 des syst\xE8mes d\u2019information du personnel\
        \ externe et notamment les infog\xE9rants."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:2
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i
      ref_id: '2'
      name: "Sensibiliser les utilisateurs aux bonnes pratiques \xE9l\xE9mentaires\
        \ de s\xE9curit\xE9 informatique"
      description: "Chaque utilisateur est un maillon \xE0 part enti\xE8re de la cha\xEE\
        ne des syst\xE8mes d\u2019information. \xC0 ce titre et d\xE8s son arriv\xE9\
        e dans  l\u2019entit\xE9, il doit \xEAtre inform\xE9 des enjeux de s\xE9curit\xE9\
        , des r\xE8gles \xE0 respecter et des bons comportements \xE0 adopter en mati\xE8\
        re de s\xE9curit\xE9 des syst\xE8mes d\u2019information \xE0 travers des actions\
        \ de sensibilisation et de formation.\nCes derni\xE8res doivent \xEAtre r\xE9\
        guli\xE8res, adapt\xE9es aux utilisateurs cibl\xE9s, peuvent prendre diff\xE9\
        rentes formes (mails, affichage, r\xE9unions, espace intranet d\xE9di\xE9\
        , etc.) et aborder au minimum les sujets suivants :\n> les objectifs et enjeux\
        \ que rencontre l\u2019entit\xE9 en mati\xE8re de s\xE9curit\xE9 des syst\xE8\
        mes d\u2019information ;\n> les informations consid\xE9r\xE9es comme sensibles\
        \ ;\n> les r\xE9glementations et obligations l\xE9gales ;\n> les r\xE8gles\
        \ et consignes de s\xE9curit\xE9 r\xE9gissant l\u2019activit\xE9 quotidienne\
        \ : respect de la politique de s\xE9curit\xE9, non-connexion d\u2019\xE9quipements\
        \ personnels au r\xE9seau de l\u2019entit\xE9, non-divulgation de mots de\
        \ passe \xE0 un tiers, non-r\xE9utilisation de mots de passe professionnels\
        \ dans la sph\xE8re priv\xE9e et inversement, signalement d\u2019\xE9v\xE9\
        nements suspects, etc. ;\n> les moyens disponibles et participant \xE0 la\
        \ s\xE9curit\xE9 du syst\xE8me : verrouillage syst\xE9matique de la session\
        \ lorsque l\u2019utilisateur quitte son poste, outil de protection des mots\
        \ de passe, etc. \nRenforc\xE9 - Pour renforcer ces mesures, l\u2019\xE9laboration\
        \ et la signature d\u2019une charte des moyens informatiques pr\xE9cisant\
        \ les r\xE8gles et consignes que doivent respecter les utilisateurs peut \xEA\
        tre envisag\xE9e."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:3
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i
      ref_id: '3'
      name: "Ma\xEEtriser les risques de l\u2019infog\xE9rance"
      description: "Lorsqu\u2019une entit\xE9 souhaite externaliser son syst\xE8me\
        \ d\u2019information ou ses donn\xE9es, elle doit en amont \xE9valuer les\
        \ risques sp\xE9cifiques \xE0 l\u2019infog\xE9rance (ma\xEEtrise du syst\xE8\
        me d\u2019information, actions \xE0 distance, h\xE9bergement mutualis\xE9\
        , etc.) afin de prendre en compte, d\xE8s la r\xE9daction des exigences applicables\
        \ au futur prestataire, les besoins et mesures de s\xE9curit\xE9 adapt\xE9\
        s. \nLes risques SSI inh\xE9rents \xE0 ce type de d\xE9marche peuvent \xEA\
        tre li\xE9s au contexte de  l\u2019op\xE9ration d\u2019externalisation mais\
        \ aussi \xE0 des sp\xE9cifications contractuelles d\xE9ficientes ou incompl\xE8\
        tes.\nEn faveur du bon d\xE9roulement des op\xE9rations, il s\u2019agit donc\
        \ :\n> d\u2019\xE9tudier attentivement les conditions des offres, la possibilit\xE9\
        \ de les adapter \xE0 des besoins sp\xE9cifiques et les limites de responsabilit\xE9\
        \ du prestataire ;\n> d\u2019imposer une liste d\u2019exigences pr\xE9cises\
        \ au prestataire : r\xE9versibilit\xE9 du contrat, r\xE9alisation d\u2019\
        audits, sauvegarde et restitution des donn\xE9es dans un format ouvert normalis\xE9\
        , maintien \xE0 niveau de la s\xE9curit\xE9 dans le temps, etc.\nPour formaliser\
        \ ces engagements, le prestataire fournira au commanditaire un plan d\u2019\
        assurance s\xE9curit\xE9 (PAS)  pr\xE9vu par l\u2019appel d\u2019offre. Il\
        \ s\u2019agit d\u2019un document contractuel d\xE9crivant l\u2019ensemble\
        \ des dispositions sp\xE9cifiques que les candidats s\u2019engagent \xE0 mettre\
        \ en \u0153uvre pour garantir le respect des exigences de s\xE9curit\xE9 sp\xE9\
        cifi\xE9es par l\u2019entit\xE9.\nLe recours \xE0 des solutions ou outils\
        \ non ma\xEEtris\xE9s (par exemple h\xE9berg\xE9s dans le nuage) n\u2019est\
        \ pas ici consid\xE9r\xE9 comme \xE9tant du ressort de l\u2019infog\xE9rance\
        \ et par ailleurs d\xE9conseill\xE9 en cas de traitement d\u2019informations\
        \ sensibles."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii
      assessable: false
      depth: 1
      ref_id: II
      name: "Conna\xEEtre le syst\xE8me d'information"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:4
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii
      ref_id: '4'
      name: " Identifier les informations et serveurs les plus sensibles et maintenir\
        \ un sch\xE9ma du r\xE9seau"
      description: "Chaque entit\xE9 poss\xE8de des donn\xE9es sensibles. Ces derni\xE8\
        res peuvent porter sur son activit\xE9 propre (propri\xE9t\xE9 intellectuelle,\
        \ savoir-faire, etc.) ou sur ses clients, administr\xE9s ou usagers (donn\xE9\
        es personnelles, contrats, etc.). Afin de pouvoir les prot\xE9ger efficacement,\
        \ il est indispensable de les identifier.\n\xC0 partir de cette liste de donn\xE9\
        es sensibles, il sera possible de d\xE9terminer sur quels composants du syst\xE8\
        me d\u2019information elles se localisent (bases de donn\xE9es, partages de\
        \ fichiers, postes de travail, etc.). Ces composants correspondent aux serveurs\
        \ et postes critiques pour l\u2019entit\xE9. \xC0 ce titre, ils devront faire\
        \ l\u2019objet de mesures de s\xE9curit\xE9 sp\xE9cifiques pouvant porter\
        \ sur la sauvegarde, la journalisation, les acc\xE8s, etc.\nIl s\u2019agit\
        \ donc de cr\xE9er et de maintenir \xE0 jour un sch\xE9ma simplifi\xE9 du\
        \ r\xE9seau (ou cartographie) repr\xE9sentant les diff\xE9rentes zones IP\
        \ et le plan d\u2019adressage associ\xE9, les \xE9quipements de routage et\
        \ de s\xE9curit\xE9 (pare-feu, relais applicatifs, etc.) et les interconnexions\
        \ avec l\u2019ext\xE9rieur (Internet, r\xE9seaux priv\xE9s, etc.) et les partenaires.\
        \ Ce sch\xE9ma doit \xE9galement permettre de localiser les serveurs d\xE9\
        tenteurs d\u2019informations sensibles de l\u2019entit\xE9."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:5
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii
      ref_id: '5'
      name: "Disposer d\u2019un inventaire exhaustif des comptes privil\xE9gi\xE9\
        s et le maintenir \xE0 jour"
      description: "Les comptes b\xE9n\xE9ficiant de droits sp\xE9cifiques sont des\
        \ cibles privil\xE9gi\xE9es par les attaquants qui souhaitent obtenir un acc\xE8\
        s le plus large possible au syst\xE8me d\u2019information. Ils doivent donc\
        \ faire l\u2019objet d\u2019une attention toute particuli\xE8re. Il s\u2019\
        agit pour cela d\u2019effectuer un inventaire de ces comptes, de le mettre\
        \ \xE0 jour r\xE9guli\xE8rement et d\u2019y renseigner les informations suivantes\
        \ :\n> les utilisateurs ayant un compte administrateur ou des droits sup\xE9\
        rieurs \xE0 ceux d\u2019un utilisateur standard sur le syst\xE8me d\u2019\
        information ;\n> les utilisateurs disposant de suffisamment de droits pour\
        \ acc\xE9der aux r\xE9pertoires de travail des responsables ou de l\u2019\
        ensemble des utilisateurs ;\n> les utilisateurs utilisant un poste non administr\xE9\
        \ par le service informatique et qui ne fait pas l\u2019objet de mesures de\
        \ s\xE9curit\xE9 \xE9dict\xE9es par la politique de s\xE9curit\xE9 g\xE9n\xE9\
        rale de l\u2019entit\xE9. \nIl est fortement recommand\xE9 de proc\xE9der\
        \ \xE0 une revue p\xE9riodique de ces comptes afin de s\u2019assurer que les\
        \ acc\xE8s aux \xE9l\xE9ments sensibles (notamment les r\xE9pertoires de travail\
        \ et la messagerie \xE9lectronique des responsables) soient maitris\xE9s.\
        \ Ces revues permettront \xE9galement de supprimer les acc\xE8s devenus obsol\xE8\
        tes suite au d\xE9part d\u2019un utilisateur par exemple. \nEnfin, il est\
        \ souhaitable de d\xE9finir et d\u2019utiliser une nomenclature simple et\
        \ claire pour identifier les comptes de services et les comptes d\u2019administration.\
        \ \nCela facilitera notamment leur revue et la d\xE9tection d\u2019intrusion."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:6
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii
      ref_id: '6'
      name: " Organiser les proc\xE9dures d\u2019arriv\xE9e, de d\xE9part et de changement\
        \ de fonction des utilisateurs"
      description: "Les effectifs d\u2019une entit\xE9, qu\u2019elle soit publique\
        \ ou priv\xE9e, \xE9voluent sans cesse : arriv\xE9es, d\xE9parts, mobilit\xE9\
        \ interne. Il est par cons\xE9quent n\xE9cessaire que les droits et les acc\xE8\
        s au syst\xE8me d\u2019information soient mis \xE0 jour en fonction de ces\
        \ \xE9volutions. Il est notamment essentiel que l\u2019ensemble des droits\
        \ affect\xE9s \xE0 une personne soient r\xE9voqu\xE9s lors de son d\xE9part\
        \ ou en cas de changement de fonction. Les proc\xE9dures d\u2019arriv\xE9\
        e et de d\xE9part doivent donc \xEAtre d\xE9finies, en lien avec la fonction\
        \ ressources humaines. Elles doivent au minimum prendre en compte :\n> la\
        \ cr\xE9ation et la suppression des comptes informatiques et bo\xEEtes aux\
        \ lettres associ\xE9es ;\n> les droits et acc\xE8s \xE0 attribuer et retirer\
        \ \xE0 une personne dont la fonction change ;\n> la gestion des acc\xE8s physiques\
        \ aux locaux (attribution, restitution des badges et des cl\xE9s, etc.) ;\n\
        > l\u2019affectation des \xE9quipements mobiles (ordinateur portable, cl\xE9\
        \ USB, disque dur, ordiphone, etc.) ;\n> la gestion des documents et informations\
        \ sensibles (transfert de mots de passe, changement des mots de passe ou des\
        \ codes sur les syst\xE8mes existants).\nRenforc\xE9 - Les proc\xE9dures doivent\
        \ \xEAtre formalis\xE9es et mises \xE0 jour en fonction du contexte."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:7
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii
      ref_id: '7'
      name: "Autoriser la connexion au r\xE9seau de l\u2019entit\xE9 aux seuls \xE9\
        quipements ma\xEEtris\xE9s"
      description: "Pour garantir la s\xE9curit\xE9 de son syst\xE8me d\u2019information,\
        \ l\u2019entit\xE9 doit ma\xEEtriser les \xE9quipements qui s\u2019y connectent,\
        \ chacun constituant un point d\u2019entr\xE9e potentiellement vuln\xE9rable.\
        \ Les \xE9quipements personnels (ordinateurs portables, tablettes, ordiphones,\
        \ etc.) sont, par d\xE9finition, difficilement ma\xEEtrisables dans la mesure\
        \ o\xF9 ce sont les utilisateurs qui d\xE9cident de leur niveau de s\xE9curit\xE9\
        . De la m\xEAme mani\xE8re, la s\xE9curit\xE9 des \xE9quipements dont sont\
        \ dot\xE9s les visiteurs \xE9chappe \xE0 tout contr\xF4le de l\u2019entit\xE9\
        .\nSeule la connexion de terminaux ma\xEEtris\xE9s par l\u2019entit\xE9 doit\
        \ \xEAtre autoris\xE9e sur ses diff\xE9rents r\xE9seaux d\u2019acc\xE8s, qu\u2019\
        ils soient filaire ou sans fil. Cette recommandation, avant tout d\u2019ordre\
        \ organisationnel, est souvent per\xE7ue comme inacceptable ou r\xE9trograde.\
        \ Cependant, y d\xE9roger fragilise le r\xE9seau de l\u2019entit\xE9 et sert\
        \ ainsi les int\xE9r\xEAts d\u2019un potentiel attaquant.\nLa sensibilisation\
        \ des utilisateurs doit donc s\u2019accompagner de solutions pragmatiques\
        \ r\xE9pondant \xE0 leurs besoins. Citons par exemple la mise \xE0 disposition\
        \ d\u2019un r\xE9seau Wi-Fi avec SSID d\xE9di\xE9 pour les terminaux personnels\
        \ ou visiteurs.\nRenforc\xE9 - Ces am\xE9nagements peuvent \xEAtre compl\xE9\
        t\xE9s par des mesures techniques telles que l\u2019authentification des postes\
        \ sur le r\xE9seau (par exemple \xE0 l\u2019aide du standard 802.1X ou d\u2019\
        un \xE9quivalent)."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii
      assessable: false
      depth: 1
      ref_id: III
      name: "Authentifier et contr\xF4ler les acc\xE8s"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:8
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii
      ref_id: '8'
      name: "Identifier nomm\xE9ment chaque personne acc\xE9dant au syst\xE8me et\
        \ distinguer les r\xF4les utilisateur/administrateur"
      description: "Afin de faciliter l\u2019attribution d\u2019une action sur le\
        \ syst\xE8me d\u2019information en cas d\u2019incident ou d\u2019identifier\
        \ d\u2019\xE9ventuels comptes compromis, les comptes d\u2019acc\xE8s doivent\
        \ \xEAtre nominatifs.\nL\u2019utilisation de comptes g\xE9n\xE9riques (ex\
        \ : admin, user) doit \xEAtre marginale et ceuxci doivent pouvoir \xEAtre\
        \ rattach\xE9s \xE0 un nombre limit\xE9 de personnes physiques.\nBien entendu,\
        \ cette r\xE8gle n\u2019interdit pas le maintien de comptes de service, rattach\xE9\
        s \xE0 un processus informatique (ex : apache, mysqld).\nDans tous les cas,\
        \ les comptes g\xE9n\xE9riques et de service doivent \xEAtre g\xE9r\xE9s selon\
        \ une politique au moins aussi stricte que celle des comptes nominatifs. Par\
        \ ailleurs, un compte d\u2019administration nominatif, distinct du compte\
        \ utilisateur, doit \xEAtre attribu\xE9 \xE0 chaque administrateur. Les identifiants\
        \ et secrets d\u2019authentification doivent \xEAtre diff\xE9rents (ex : pmartin\
        \ comme identifiant utilisateur, adm-pmartin comme identifiant administrateur).\
        \ Ce compte d\u2019administration, disposant de plus de privil\xE8ges, doit\
        \ \xEAtre d\xE9di\xE9 exclusivement aux actions d\u2019administration. De\
        \ plus, il doit \xEAtre utilis\xE9 sur des environnements d\xE9di\xE9s \xE0\
        \ l\u2019administration afin de ne pas laisser de traces de connexion ni de\
        \ condensat de mot de passe sur un environnement plus expos\xE9.\nRenforc\xE9\
        \ - D\xE8s que possible la journalisation li\xE9e aux comptes (ex : relev\xE9\
        \ des connexions r\xE9ussies/\xE9chou\xE9es) doit \xEAtre activ\xE9e."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:9
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii
      ref_id: '9'
      name: "Attribuer les bons droits sur les ressources sensibles du syst\xE8me\
        \ d\u2019information"
      description: "Certaines des ressources du syst\xE8me peuvent constituer une\
        \ source d\u2019information pr\xE9cieuse aux yeux d\u2019un attaquant  (r\xE9\
        pertoires contenant des donn\xE9es sensibles, bases de donn\xE9es, bo\xEE\
        tes aux lettres \xE9lectroniques, etc.). Il est donc primordial d\u2019\xE9\
        tablir une liste pr\xE9cise de ces ressources et pour chacune d\u2019entre\
        \ elles :\n> de d\xE9finir quelle population peut y avoir acc\xE8s ;\n> de\
        \ contr\xF4ler strictement son acc\xE8s, en s\u2019assurant que les utilisateurs\
        \ sont authentifi\xE9s et font partie de la population cibl\xE9e ;\n> d\u2019\
        \xE9viter sa dispersion et sa duplication \xE0 des endroits non ma\xEEtris\xE9\
        s ou soumis \xE0 un contr\xF4le d\u2019acc\xE8s moins strict.\nPar exemple,\
        \ les r\xE9pertoires des administrateurs regroupant de nombreuses informations\
        \ sensibles doivent faire l\u2019objet d\u2019un contr\xF4le d\u2019acc\xE8\
        s pr\xE9cis. Il en va de m\xEAme pour les informations sensibles pr\xE9sentes\
        \ sur des partages r\xE9seau : exports de fichiers de configuration, documentation\
        \ technique du syst\xE8me d\u2019information, bases de donn\xE9es m\xE9tier,\
        \ etc. Une revue r\xE9guli\xE8re des droits d\u2019acc\xE8s doit par ailleurs\
        \ \xEAtre r\xE9alis\xE9e afin d\u2019identifier les acc\xE8s non autoris\xE9\
        s."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:10
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii
      ref_id: '10'
      name: "\_ D\xE9finir et v\xE9rifier des r\xE8gles de choix et de dimensionnement\
        \ des mots de passe"
      description: "L\u2019ANSSI \xE9nonce un ensemble de r\xE8gles et de bonnes pratiques\
        \ en mati\xE8re de choix et de dimensionnement des mots de passe. Parmi les\
        \ plus critiques de ces r\xE8gles figure la sensibilisation des utilisateurs\
        \ aux risques li\xE9s au choix d\u2019un mot de passe qui serait trop facile\
        \ \xE0 deviner, ou encore la r\xE9utilisation de mots de passe d\u2019une\
        \ application \xE0 l\u2019autre et plus particuli\xE8rement entre messageries\
        \ personnelles et professionnelles.\nPour encadrer et v\xE9rifier l\u2019\
        application de ces r\xE8gles de choix et de dimensionnement, l\u2019entit\xE9\
        \ pourra recourir \xE0 diff\xE9rentes mesures parmi lesquelles :\n> le blocage\
        \ des comptes \xE0 l\u2019issue de plusieurs \xE9checs de connexion ;\n> la\
        \ d\xE9sactivation des options de connexion anonyme ;\n> l\u2019utilisation\
        \ d\u2019un outil d\u2019audit de la robustesse des mots de passe.\nEn amont\
        \ de telles proc\xE9dures, un effort de communication visant \xE0 expliquer\
        \ le sens de ces r\xE8gles et \xE9veiller les consciences sur leur importance\
        \ est fondamental."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:11
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii
      ref_id: '11'
      name: "Prot\xE9ger les mots de passe stock\xE9s sur les syst\xE8mes"
      description: "La complexit\xE9, la diversit\xE9 ou encore l\u2019utilisation\
        \ peu fr\xE9quente de certains mots de passe, peuvent encourager leur stockage\
        \ sur un support physique\n(m\xE9mo, post-it) ou num\xE9rique (fichiers de\
        \ mots de passe, envoi par mail \xE0 soi-m\xEAme, recours aux boutons \xAB\
        \ Se souvenir du mot de passe \xBB) afin de pallier\ntout oubli ou perte.\n\
        Or, les mots de passe sont une cible privil\xE9gi\xE9e par les attaquants\
        \ d\xE9sireux d\u2019acc\xE9der au syst\xE8me, que cela fasse suite \xE0 un\
        \ vol ou \xE0 un \xE9ventuel partage du support de stockage. C\u2019est pourquoi\
        \ ils doivent imp\xE9rativement \xEAtre prot\xE9g\xE9s au moyen de solutions\
        \ s\xE9curis\xE9es au premier rang desquelles figurent l\u2019utilisation\
        \ d\u2019un coffre-fort num\xE9rique et le recours \xE0 des m\xE9canismes\
        \ de chiffrement.\nBien entendu, le choix d\u2019un mot de passe pour ce coffre-fort\
        \ num\xE9rique doit respecter les r\xE8gles \xE9nonc\xE9es pr\xE9c\xE9demment\
        \ et \xEAtre m\xE9moris\xE9 par l\u2019utilisateur, qui n\u2019a plus que\
        \ celui-ci \xE0 retenir."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:12
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii
      ref_id: '12'
      name: "Changer les \xE9l\xE9ments d\u2019authentification par d\xE9faut sur\
        \ les \xE9quipements et services"
      description: "Il est imp\xE9ratif de partir du principe que les configurations\
        \ par d\xE9faut des syst\xE8mes d\u2019information sont syst\xE9matiquement\
        \ connues des attaquants, quand bien m\xEAme celles-ci ne le sont pas du grand\
        \ public. Ces configurations se r\xE9v\xE8lent (trop) souvent triviales (mot\
        \ de passe identique \xE0 l\u2019identifiant, mal dimensionn\xE9 ou commun\
        \ \xE0 l\u2019ensemble des \xE9quipements et services par exemple) et sont,\
        \ la plupart du temps, faciles \xE0 obtenir pour des attaquants capables de\
        \ se faire passer pour un utilisateur l\xE9gitime.\nLes \xE9l\xE9ments d\u2019\
        authentification par d\xE9faut des composants du syst\xE8me doivent donc \xEA\
        tre modifi\xE9s d\xE8s leur installation et, s\u2019agissant de mots de passe,\
        \ \xEAtre conformes aux recommandations pr\xE9c\xE9dentes en mati\xE8re de\
        \ choix, de dimensionnement et de stockage.\nSi le changement d\u2019un identifiant\
        \ par d\xE9faut se r\xE9v\xE8le impossible pour cause, par exemple, de mot\
        \ de passe ou certificat  \xAB en dur \xBB dans un \xE9quipement, ce probl\xE8\
        me critique doit \xEAtre signal\xE9 au distributeur du produit afin que cette\
        \ vuln\xE9rabilit\xE9 soit corrig\xE9e au plus vite.\nRenforc\xE9 - Afin de\
        \ limiter les cons\xE9quences d\u2019une compromission, il est par ailleurs\
        \ essentiel, apr\xE8s changement des \xE9l\xE9ments d\u2019authentification\
        \ par d\xE9faut, de proc\xE9der \xE0 leur renouvellement r\xE9gulier."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:13
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii
      ref_id: '13'
      name: "Privil\xE9gier lorsque c\u2019est possible une authentification forte"
      description: "Il est vivement recommand\xE9 de mettre en \u0153uvre une authentification\
        \ forte n\xE9cessitant l\u2019utilisation de deux facteurs d\u2019authentification\
        \ diff\xE9rents parmi les suivants :\n> quelque chose que je sais (mot de\
        \ passe, trac\xE9 de d\xE9verrouillage, signature) ;\n> quelque chose que\
        \ je poss\xE8de (carte \xE0 puce, jeton USB, carte magn\xE9tique, RFID, un\
        \ t\xE9l\xE9phone pour recevoir un code SMS) ;\n> quelque chose que je suis\
        \ (une empreinte biom\xE9trique).\nRenforc\xE9 -  Les cartes \xE0 puces doivent\
        \ \xEAtre privil\xE9gi\xE9es ou, \xE0 d\xE9faut, les m\xE9canismes de mots\
        \ de passe \xE0 usage unique (ou One Time Password) avec jeton physique. Les\
        \ op\xE9rations cryptographiques mises en place dans ces deux facteurs offrent\
        \ g\xE9n\xE9ralement de bonnes garanties de s\xE9curit\xE9.\nLes cartes \xE0\
        \ puce peuvent \xEAtre plus complexes \xE0 mettre en place car n\xE9cessitant\
        \ une infrastructure de gestion des cl\xE9s adapt\xE9e. Elles pr\xE9sentent\
        \ cependant l\u2019avantage d\u2019\xEAtre r\xE9utilisables \xE0 plusieurs\
        \ fins : chiffrement, authentification de messagerie, authentification sur\
        \ le poste de travail, etc."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv
      assessable: false
      depth: 1
      ref_id: IV
      name: "S\xE9curiser les postes"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:14
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv
      ref_id: '14'
      name: "Mettre en place un niveau de s\xE9curit\xE9 minimal sur l\u2019ensemble\
        \ du parc informatique"
      description: "L\u2019utilisateur plus ou moins au fait des bonnes pratiques\
        \ de s\xE9curit\xE9 informatique est, dans de tr\xE8s nombreux cas, la premi\xE8\
        re porte d\u2019entr\xE9e des attaquants vers le syst\xE8me. Il est donc fondamental\
        \ de mettre en place un niveau de s\xE9curit\xE9 minimal sur l\u2019ensemble\
        \ du parc informatique de l\u2019entit\xE9 (postes utilisateurs, serveurs,\
        \ imprimantes, t\xE9l\xE9phones, p\xE9riph\xE9riques USB, etc.) en impl\xE9\
        mentant les mesures suivantes :\n> limiter les applications install\xE9es\
        \ et modules optionnels des navigateurs web aux seuls n\xE9cessaires ;\n>\
        \ doter les postes utilisateurs d\u2019un pare-feu local et d\u2019un anti-virus\
        \ (ceux-ci sont parfois inclus dans le syst\xE8me d\u2019exploitation) ;\n\
        > chiffrer les partitions o\xF9 sont stock\xE9es les donn\xE9es des utilisateurs\
        \ ; \n> d\xE9sactiver les ex\xE9cutions automatiques (autorun).\nEn cas de\
        \ d\xE9rogation n\xE9cessaire aux r\xE8gles de s\xE9curit\xE9 globales applicables\
        \ aux postes, ceux-ci doivent \xEAtre isol\xE9s du syst\xE8me (s\u2019il est\
        \ impossible de mettre \xE0 jour certaines applications pour des raisons de\
        \ compatibilit\xE9 par exemple).\nRenforc\xE9 - Les donn\xE9es vitales au\
        \ bon fonctionnement de l\u2019entit\xE9 que d\xE9tiennent les postes utilisateurs\
        \ et les serveurs doivent faire l\u2019objet de sauvegardes r\xE9guli\xE8\
        res et stock\xE9es sur des \xE9quipements d\xE9connect\xE9s, et leur restauration\
        \ doit \xEAtre v\xE9rifi\xE9e de mani\xE8re p\xE9riodique. En effet, de plus\
        \ en plus de petites structures font l\u2019objet d\u2019attaques rendant\
        \ ces donn\xE9es indisponibles (par exemple pour exiger en contrepartie de\
        \ leur restitution le versement d\u2019une somme cons\xE9quente (ran\xE7ongiciel))."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:15
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv
      ref_id: '15'
      name: "Se prot\xE9ger des menaces relatives \xE0 l\u2019utilisation de supports\
        \ amovibles"
      description: "Les supports amovibles peuvent \xEAtre utilis\xE9s afin de propager\
        \ des virus, voler des informations sensibles et strat\xE9giques ou encore\
        \ compromettre le r\xE9seau de l\u2019entit\xE9. De tels agissements peuvent\
        \ avoir des cons\xE9quences d\xE9sastreuses pour l\u2019activit\xE9 de la\
        \ structure cibl\xE9e.\nS\u2019il n\u2019est pas question d\u2019interdire\
        \ totalement l\u2019usage de supports amovibles au sein de l\u2019entit\xE9\
        , il est n\xE9anmoins n\xE9cessaire de traiter ces risques en identifiant\
        \ des mesures ad\xE9quates et en sensibilisant les utilisateurs aux risques\
        \ que ces supports peuvent v\xE9hiculer.\nIl convient notamment de proscrire\
        \ le branchement de cl\xE9s USB inconnues (ramass\xE9es dans un lieu public\
        \ par exemple) et de limiter au maximum celui de cl\xE9s non ma\xEEtris\xE9\
        es (dont on connait la provenance mais pas l\u2019int\xE9grit\xE9) sur le\
        \ syst\xE8me d\u2019information \xE0 moins, dans ce dernier cas, de faire\
        \ inspecter leur contenu par l\u2019antivirus du poste de travail.\nRenforc\xE9\
        \ - Sur les postes utilisateur, il est recommand\xE9 d\u2019utiliser des solutions\
        \ permettant d\u2019interdire l\u2019ex\xE9cution de programmes sur les p\xE9\
        riph\xE9riques amovibles (par exemple Applocker sous Windows ou des options\
        \ de montage noexec sous Unix). \nLors de la fin de vie des supports amovibles,\
        \ il sera n\xE9cessaire d\u2019impl\xE9menter et de respecter une proc\xE9\
        dure de mise au rebut stricte pouvant aller jusqu\u2019\xE0 leur destruction\
        \ s\xE9curis\xE9e afin de limiter la fuite d\u2019informations sensibles."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:16
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv
      ref_id: '16'
      name: "Utiliser un outil de gestion centralis\xE9e afin d\u2019homog\xE9n\xE9\
        iser les politiques de s\xE9curit\xE9"
      description: "La s\xE9curit\xE9 du syst\xE8me d\u2019information repose sur\
        \ la s\xE9curit\xE9 du maillon le plus faible. Il est donc n\xE9cessaire d\u2019\
        homog\xE9n\xE9iser la gestion des politiques de s\xE9curit\xE9 s\u2019appliquant\
        \ \xE0 l\u2019ensemble du parc informatique de l\u2019entit\xE9.\nL\u2019\
        application de ces politiques (gestion des mots de passe, restrictions de\
        \ connexions sur certains postes sensibles, configuration des navigateurs\
        \ Web, etc.) doit \xEAtre simple et rapide pour les administrateurs, en vue\
        \ notamment de faciliter la mise en \u0153uvre de contre-mesures en cas de\
        \ crise informatique.\nPour cela, l\u2019entit\xE9 pourra se doter d\u2019\
        un outil de gestion centralis\xE9e (par exemple Active Directory en environnement\
        \ Microsoft) auquel il s\u2019agit d\u2019inclure le plus grand nombre d\u2019\
        \xE9quipements informatiques possible. Les postes de travail et les serveurs\
        \ sont concern\xE9s par cette mesure qui n\xE9cessite \xE9ventuellement en\
        \ amont un travail d\u2019harmonisation des choix de mat\xE9riels et de syst\xE8\
        mes d\u2019exploitation.\nAinsi, des politiques de durcissement du syst\xE8\
        me d\u2019exploitation ou d\u2019applications pourront facilement s\u2019\
        appliquer depuis un point central tout en favorisant la r\xE9activit\xE9 attendue\
        \ en cas de besoin de reconfiguration."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:17
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv
      ref_id: '17'
      name: Activer et configurer le pare-feu local des postes de travail
      description: "Apr\xE8s avoir r\xE9ussi \xE0 prendre le contr\xF4le d\u2019un\
        \ poste de travail (\xE0 cause, par exemple, d\u2019une vuln\xE9rabilit\xE9\
        \ pr\xE9sente dans le navigateur Internet), un attaquant cherchera souvent\
        \ \xE0 \xE9tendre son intrusion aux autres postes de travail pour, in fine,\
        \ acc\xE9der aux documents des utilisateurs.\nAfin de rendre plus difficile\
        \ ce d\xE9placement lat\xE9ral de l\u2019attaquant, il est n\xE9cessaire d\u2019\
        activer le pare-feu local des postes de travail au moyen de logiciels int\xE9\
        gr\xE9s (pare-feu local Windows) ou sp\xE9cialis\xE9s.\nLes flux de poste\
        \ \xE0 poste sont en effet tr\xE8s rares dans un r\xE9seau bureautique classique\
        \ : les fichiers sont stock\xE9s dans des serveurs de fichiers, les applications\
        \ accessibles sur des serveurs m\xE9tier, etc.\nRenforc\xE9 -  Le filtrage\
        \ le plus simple consiste \xE0 bloquer l\u2019acc\xE8s aux ports d\u2019administration\
        \ par d\xE9faut des postes de travail (ports TCP 135, 445 et 3389 sous Windows,\
        \ port TCP 22 sous Unix), except\xE9 depuis les ressources explicitement identifi\xE9\
        es (postes d\u2019administration et d\u2019assistance utilisateur, \xE9ventuels\
        \ serveurs de gestion requ\xE9rant l\u2019acc\xE8s \xE0 des partages r\xE9\
        seau sur les postes, etc.).\nUne analyse des flux entrants utiles (administration,\
        \ logiciels d\u2019infrastructure, applications particuli\xE8res, etc.) doit\
        \ \xEAtre men\xE9e pour d\xE9finir la liste des autorisations \xE0 configurer.\
        \ Il est pr\xE9f\xE9rable de bloquer l\u2019ensemble des flux par d\xE9faut\
        \ et de n\u2019autoriser que les services n\xE9cessaires depuis les \xE9quipements\
        \ correspondants (\xAB liste blanche \xBB).\nLe pare-feu doit \xE9galement\
        \ \xEAtre configur\xE9 pour journaliser les flux bloqu\xE9s, et ainsi identifier\
        \ les erreurs de configuration d\u2019applications ou les tentatives d\u2019\
        intrusion."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:18
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv
      ref_id: '18'
      name: "Chiffrer les donn\xE9es sensibles transmises par voie Internet"
      description: "Internet est un r\xE9seau sur lequel il est quasi impossible d\u2019\
        obtenir des garanties sur le trajet que vont emprunter les donn\xE9es que\
        \ l\u2019on y envoie. Il est donc tout \xE0 fait possible qu\u2019un attaquant\
        \ se trouve sur le trajet de donn\xE9es transitant entre deux correspondants.\n\
        Toutes les donn\xE9es envoy\xE9es par courriel ou transmises au moyen d\u2019\
        outils d\u2019h\xE9bergement en ligne (Cloud) sont par cons\xE9quent vuln\xE9\
        rables. Il s\u2019agit donc de proc\xE9der \xE0 leur chiffrement syst\xE9\
        matique avant de les adresser \xE0 un correspondant ou de les h\xE9berger.\n\
        La transmission du secret (mot de passe, cl\xE9, etc.) permettant alors de\
        \ d\xE9chiffrer les donn\xE9es, si elle est n\xE9cessaire, doit \xEAtre effectu\xE9\
        e via un canal de confiance ou, \xE0 d\xE9faut, un canal distinct du canal\
        \ de transmission des donn\xE9es. Ainsi, si les donn\xE9es chiffr\xE9es sont\
        \ transmises par courriel, une remise en main propre du mot de passe ou, \xE0\
        \ d\xE9faut, par t\xE9l\xE9phone doit \xEAtre privil\xE9gi\xE9e."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      assessable: false
      depth: 1
      ref_id: V
      name: "S\xE9curiser le r\xE9seau"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:19
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '19'
      name: "Segmenter le r\xE9seau et mettre en place un cloisonnement entre ces\
        \ zones"
      description: "Lorsque le r\xE9seau est  \xAB \xE0 plat \xBB, sans aucun m\xE9\
        canisme de cloisonnement, chaque machine du r\xE9seau peut acc\xE9der \xE0\
        \ n\u2019importe quelle autre machine. La compromission de l\u2019une d\u2019\
        elles met alors en p\xE9ril l\u2019ensemble des machines connect\xE9es. Un\
        \ attaquant peut ainsi compromettre un poste utilisateur et ensuite \xAB rebondir\
        \ \xBB jusqu\u2019\xE0 des serveurs critiques.\nIl est donc important, d\xE8\
        s la conception de l\u2019architecture r\xE9seau, de raisonner par segmentation\
        \ en zones compos\xE9es de syst\xE8mes ayant des besoins de s\xE9curit\xE9\
        \ homog\xE8nes. On pourra par exemple regrouper distinctement des serveurs\
        \ d\u2019infrastructure, des serveurs m\xE9tiers, des postes de travail utilisateurs,\
        \ des postes de travail administrateurs, des postes de t\xE9l\xE9phonie sur\
        \ IP, etc.\nUne zone se caract\xE9rise alors par des VLAN et des sous-r\xE9\
        seaux IP d\xE9di\xE9s voire par des infrastructures d\xE9di\xE9es selon sa\
        \ criticit\xE9. Ainsi, des mesures de cloisonnement telles qu\u2019un filtrage\
        \ IP \xE0 l\u2019aide d\u2019un pare-feu peuvent \xEAtre mises en place entre\
        \ les diff\xE9rentes zones. On veillera en particulier \xE0 cloisonner autant\
        \ que possible les \xE9quipements et flux associ\xE9s aux t\xE2ches d\u2019\
        administration.\nPour les r\xE9seaux dont le cloisonnement a posteriori ne\
        \ serait pas ais\xE9, il est recommand\xE9 d\u2019int\xE9grer cette d\xE9\
        marche dans toute nouvelle extension du r\xE9seau ou \xE0 l\u2019occasion\
        \ d\u2019un renouvellement d\u2019\xE9quipements."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:20
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '20'
      name: "S'assurer de la s\xE9curit\xE9 des r\xE9seaux d'acc\xE8s Wi-Fi et de\
        \ la s\xE9paration des usages"
      description: "L\u2019usage du Wi-Fi en milieu professionnel est aujourd\u2019\
        hui d\xE9mocratis\xE9 mais pr\xE9sente toujours des risques de s\xE9curit\xE9\
        \ bien sp\xE9cifiques : faibles garanties en mati\xE8re de disponibilit\xE9\
        , pas de ma\xEEtrise de la zone de couverture pouvant mener \xE0 une attaque\
        \ hors du p\xE9rim\xE8tre g\xE9ographique de l\u2019entit\xE9, configuration\
        \ par d\xE9faut des points d\u2019acc\xE8s peu s\xE9curis\xE9e, etc.\nLa segmentation\
        \ de l\u2019architecture r\xE9seau doit permettre de limiter les cons\xE9\
        quences d\u2019une intrusion par voie radio \xE0 un p\xE9rim\xE8tre d\xE9\
        termin\xE9 du syst\xE8me d\u2019information. Les flux en provenance des postes\
        \ connect\xE9s au r\xE9seau d\u2019acc\xE8s Wi-Fi doivent donc \xEAtre filtr\xE9\
        s et restreints aux seuls flux n\xE9cessaires.\nDe plus, il est important\
        \ d\u2019avoir recours prioritairement \xE0 un chiffrement robuste (mode WPA2,\
        \ algorithme AES CCMP) et \xE0 une authentification centralis\xE9e, si possible\
        \ par certificats clients des machines.\nLa protection du r\xE9seau Wi-Fi\
        \ par un mot de passe unique et partag\xE9 est d\xE9conseill\xE9e. \xC0 d\xE9\
        faut, il doit \xEAtre complexe et son renouvellement pr\xE9vu mais il ne doit\
        \ en aucun cas \xEAtre diffus\xE9 \xE0 des tiers non autoris\xE9s.\nLes points\
        \ d\u2019acc\xE8s doivent par ailleurs \xEAtre administr\xE9s de mani\xE8\
        re s\xE9curis\xE9e (ex : interface d\xE9di\xE9e, modification du mot de passe\
        \ administrateur par d\xE9faut).\nEnfin, toute connexion Wi-Fi de terminaux\
        \ personnels ou visiteurs (ordinateurs portables, ordiphones) doit \xEAtre\
        \ s\xE9par\xE9e des connexions Wi-Fi des terminaux de l\u2019entit\xE9 (ex\
        \ : SSID et VLAN distincts, acc\xE8s Internet d\xE9di\xE9)."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:21
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '21'
      name: "Utiliser des protocoles r\xE9seaux s\xE9curis\xE9s d\xE8s qu'ils existent"
      description: "Si aujourd\u2019hui la s\xE9curit\xE9 n\u2019est plus optionnelle,\
        \ cela n\u2019a pas toujours \xE9t\xE9 le cas. C\u2019est pourquoi de nombreux\
        \ protocoles r\xE9seaux ont d\xFB \xE9voluer pour int\xE9grer cette composante\
        \ et r\xE9pondre aux besoins de confidentialit\xE9 et d\u2019int\xE9grit\xE9\
        \ qu\u2019impose l\u2019\xE9change de donn\xE9es. Les protocoles r\xE9seaux\
        \ s\xE9curis\xE9s doivent \xEAtre utilis\xE9s d\xE8s que possible, que ce\
        \ soit sur des r\xE9seaux publics (Internet par exemple) ou sur le r\xE9seau\
        \ interne de l\u2019entit\xE9.\nBien qu\u2019il soit difficile d\u2019en dresser\
        \ une liste exhaustive, les protocoles les plus courants reposent sur l\u2019\
        utilisation de TLS et sont souvent identifiables par l\u2019ajout de la lettre\
        \ \xAB s \xBB (pour secure en anglais) \xE0 l\u2019acronyme du protocole.\
        \ Citons par exemple hTTPS pour la navigation Web ou IMAPS, SMTPS ou POP3S\
        \ pour la messagerie.\nD\u2019autres protocoles ont \xE9t\xE9 con\xE7us de\
        \ mani\xE8re s\xE9curis\xE9e d\xE8s la conception pour se substituer \xE0\
        \ d\u2019anciens protocoles non s\xE9curis\xE9s. Citons par exemple SSh (Secure\
        \ SHell) venu remplacer les protocoles de communication historiques TELNET\
        \ et RLOGIN."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:22
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '22'
      name: "Mettre en place une passerelle d'acc\xE8s s\xE9curis\xE9 \xE0 Internet"
      description: "L\u2019acc\xE8s \xE0 Internet, devenu indispensable, pr\xE9sente\
        \ des risques importants : sites Web h\xE9bergeant du code malveillant, t\xE9\
        l\xE9chargement de fichiers \xAB toxiques \xBB et, par cons\xE9quent, possible\
        \ prise de contr\xF4le du terminal, fuite de donn\xE9es sensibles, etc. Pour\
        \ s\xE9curiser cet usage, il est donc indispensable que les terminaux utilisateurs\
        \ n\u2019aient pas d\u2019acc\xE8s r\xE9seau direct \xE0 Internet.\nC\u2019\
        est pourquoi il est recommand\xE9 de mettre en \u0153uvre une passerelle s\xE9\
        curis\xE9e d\u2019acc\xE8s \xE0 Internet comprenant au minimum un pare-feu\
        \ au plus pr\xE8s de l\u2019acc\xE8s Internet pour filtrer les connexions\
        \ et un serveur mandataire (proxy) embarquant diff\xE9rents m\xE9canismes\
        \ de s\xE9curit\xE9. Celui-ci assure notamment l\u2019authentification des\
        \ utilisateurs et la journalisation des requ\xEAtes.\nRenforc\xE9 - Des m\xE9\
        canismes compl\xE9mentaires sur le serveur mandataire pourront \xEAtre activ\xE9\
        s selon les besoins de l\u2019entit\xE9 : analyse antivirus du contenu, filtrage\
        \ par cat\xE9gories d\u2019URLs, etc. Le maintien en condition de s\xE9curit\xE9\
        \ des \xE9quipements de la passerelle est essentiel, il fera donc l\u2019\
        objet de proc\xE9dures \xE0 respecter. Suivant le nombre de collaborateurs\
        \ et le besoin de disponibilit\xE9,  ces \xE9quipements pourront \xEAtre redond\xE9\
        s. \nPar ailleurs, pour les terminaux utilisateurs, les r\xE9solutions DNS\
        \ en direct de noms de domaines publics seront par d\xE9faut d\xE9sactiv\xE9\
        es, celles-ci \xE9tant d\xE9l\xE9gu\xE9es au serveur mandataire.\nEnfin, il\
        \ est fortement recommand\xE9 que les postes nomades \xE9tablissent au pr\xE9\
        alable une connexion s\xE9curis\xE9e au syst\xE8me d\u2019information de l\u2019\
        entit\xE9 pour naviguer de mani\xE8re s\xE9curis\xE9e sur le Web \xE0 travers\
        \ la passerelle."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:23
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '23'
      name: "Cloisonner les services visibles depuis Internet du reste du syst\xE8\
        me d'information"
      description: "Une entit\xE9 peut choisir d\u2019h\xE9berger en interne des services\
        \ visibles sur Internet (site web, serveur de messagerie, etc.). Au regard\
        \ de l\u2019\xE9volution et du perfectionnement des cyberattaques sur Internet,\
        \ il est essentiel de garantir un haut niveau de protection de ce service\
        \ avec des administrateurs comp\xE9tents, form\xE9s de mani\xE8re continue\
        \ (\xE0 l\u2019\xE9tat de l\u2019art des technologies en la mati\xE8re) et\
        \ disponibles. Dans le cas contraire, le recours \xE0 un h\xE9bergement externalis\xE9\
        \ aupr\xE8s de professionnels est \xE0 privil\xE9gier.\nDe plus, les infrastructures\
        \ d\u2019h\xE9bergement Internet doivent \xEAtre physiquement cloisonn\xE9\
        es de toutes les infrastructures du syst\xE8me d\u2019information qui n\u2019\
        ont pas vocation \xE0 \xEAtre visibles depuis Internet.\nEnfin, il convient\
        \ de mettre en place une infrastructure d\u2019interconnexion de ces services\
        \ avec Internet permettant de filtrer les flux li\xE9s \xE0 ces services de\
        \ mani\xE8re distincte des autres flux de l\u2019entit\xE9. Il s\u2019agit\
        \ \xE9galement d\u2019imposer le passage des flux entrants par un serveur\
        \ mandataire inverse (reverse proxy) embarquant diff\xE9rents m\xE9canismes\
        \ de s\xE9curit\xE9."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:24
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '24'
      name: "Prot\xE9ger sa messagerie professionnelle"
      description: "La messagerie est le principal vecteur d\u2019infection du poste\
        \ de travail, qu\u2019il s\u2019agisse de l\u2019ouverture de pi\xE8ces jointes\
        \ contenant un code malveillant ou du clic malencontreux sur un lien redirigeant\
        \ vers un site lui-m\xEAme malveillant.\nLes utilisateurs doivent \xEAtre\
        \ particuli\xE8rement sensibilis\xE9s \xE0 ce sujet : l\u2019exp\xE9diteur\
        \ est-il connu ? Une information de sa part est-elle attendue ? Le lien propos\xE9\
        \ est-il coh\xE9rent avec le sujet \xE9voqu\xE9 ? En cas de doute, une v\xE9\
        rification de l\u2019authenticit\xE9 du message par un autre canal (t\xE9\
        l\xE9phone, SMS, etc.) est n\xE9cessaire. \nPour se pr\xE9munir d\u2019escroqueries\
        \ (ex : demande de virement frauduleux \xE9manant vraisemblablement d\u2019\
        un dirigeant), des mesures organisationnelles doivent \xEAtre appliqu\xE9\
        es strictement.\nPar ailleurs, la redirection de messages professionnels vers\
        \ une messagerie personnelle est \xE0 proscrire car cela constitue une fuite\
        \ irr\xE9m\xE9diable d\u2019informations de l\u2019entit\xE9. Si n\xE9cessaire\
        \ des moyens ma\xEEtris\xE9s et s\xE9curis\xE9s pour l\u2019acc\xE8s distant\
        \ \xE0 la messagerie professionnelle doivent \xEAtre propos\xE9s. \nQue l\u2019\
        entit\xE9 h\xE9berge ou fasse h\xE9berger son syst\xE8me de messagerie, elle\
        \ doit s\u2019assurer :\n> de disposer d\u2019un syst\xE8me d\u2019analyse\
        \ antivirus en amont des bo\xEEtes aux lettres des utilisateurs pour pr\xE9\
        venir la r\xE9ception de fichiers infect\xE9s ;\n> de l\u2019activation du\
        \ chiffrement TLS des \xE9changes entre serveurs de messagerie (de l\u2019\
        entit\xE9 ou publics) ainsi qu\u2019entre les postes utilisateur et les serveurs\
        \ h\xE9bergeant les bo\xEEtes aux lettres.\nRenforc\xE9 -  Il est souhaitable\
        \ de ne pas exposer directement les serveurs de bo\xEEte aux lettres sur Internet.\
        \ Dans ce cas, un serveur relai d\xE9di\xE9 \xE0 l\u2019envoi et \xE0 la r\xE9\
        ception des messages doit \xEAtre mis en place en coupure d\u2019Internet.\n\
        Alors que le spam - malveillant ou non - constitue la majorit\xE9 des courriels\
        \ \xE9chang\xE9s sur Internet, le d\xE9ploiement d\u2019un service anti-spam\
        \ doit permettre d\u2019\xE9liminer cette source de risques.\nEnfin, l\u2019\
        administrateur de messagerie s\u2019assurera de la mise en place des m\xE9\
        canismes de v\xE9rification d\u2019authenticit\xE9 et de la bonne configuration\
        \ des enregistrements DNS publics li\xE9s \xE0 son infrastructure de messagerie\
        \ (MX, SPF, DKIM, DMARC)."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:25
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '25'
      name: "S\xE9curiser les interconnexions r\xE9seau d\xE9di\xE9es avec les partenaires"
      description: "Pour des besoins op\xE9rationnels, une entit\xE9 peut \xEAtre\
        \ amen\xE9e \xE0 \xE9tablir une interconnexion r\xE9seau d\xE9di\xE9e avec\
        \ un fournisseur ou un client (ex : infog\xE9rance, \xE9change de donn\xE9\
        es informatis\xE9es, flux mon\xE9tiques, etc.).\nCette interconnexion peut\
        \ se faire au travers d\u2019un lien sur le r\xE9seau priv\xE9 de l\u2019\
        entit\xE9 ou directement sur Internet. Dans le second cas, il convient d\u2019\
        \xE9tablir un tunnel site \xE0 site, de pr\xE9f\xE9rence IPsec, en respectant\
        \ les pr\xE9conisations de l\u2019ANSSI.\nLe partenaire \xE9tant consid\xE9\
        r\xE9 par d\xE9faut comme non s\xFBr, il est indispensable d\u2019effectuer\
        \ un filtrage IP \xE0 l\u2019aide d\u2019un pare-feu au plus pr\xE8s de l\u2019\
        entr\xE9e des flux sur le r\xE9seau de l\u2019entit\xE9. La matrice des flux\
        \ (entrants et sortants) devra \xEAtre r\xE9duite au juste besoin op\xE9rationnel,\
        \ maintenue dans le temps et la configuration des \xE9quipements devra y \xEA\
        tre conforme.\nRenforc\xE9 - Pour des entit\xE9s ayant des besoins de s\xE9\
        curit\xE9 plus exigeants, il conviendra de s\u2019assurer que l\u2019\xE9\
        quipement de filtrage IP pour les connexions partenaires est d\xE9di\xE9 \xE0\
        \ cet usage. L\u2019ajout d\u2019un \xE9quipement de d\xE9tection d\u2019\
        intrusions peut \xE9galement constituer une bonne pratique. \nPar ailleurs\
        \ la connaissance d\u2019un point de contact \xE0 jour chez le partenaire\
        \ est n\xE9cessaire pour pouvoir r\xE9agir en cas d\u2019incident de s\xE9\
        curit\xE9."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:26
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v
      ref_id: '26'
      name: "Contr\xF4ler et prot\xE9ger l'acc\xE8s aux salles serveurs et aux locaux\
        \ techniques"
      description: "Les m\xE9canismes de s\xE9curit\xE9 physique doivent faire partie\
        \ int\xE9grante de la s\xE9curit\xE9 des syst\xE8mes d\u2019information et\
        \ \xEAtre \xE0 l\u2019\xE9tat de l\u2019art afin de s\u2019assurer qu\u2019\
        ils ne puissent pas \xEAtre contourn\xE9s ais\xE9ment par un attaquant. Il\
        \ convient donc d\u2019identifier les mesures de s\xE9curit\xE9 physique ad\xE9\
        quates et de sensibiliser continuellement les utilisateurs aux risques engendr\xE9\
        s par le contournement des r\xE8gles.\nLes acc\xE8s aux salles serveurs et\
        \ aux locaux techniques doivent \xEAtre contr\xF4l\xE9s \xE0 l\u2019aide de\
        \ serrures ou de m\xE9canismes de contr\xF4le d\u2019acc\xE8s par badge. Les\
        \ acc\xE8s non accompagn\xE9s des prestataires ext\xE9rieurs aux salles serveurs\
        \ et aux locaux techniques sont \xE0 proscrire, sauf s\u2019il est possible\
        \ de tracer strictement les acc\xE8s et de limiter ces derniers en fonction\
        \ des plages horaires. Une revue des droits d\u2019acc\xE8s doit \xEAtre r\xE9\
        alis\xE9e r\xE9guli\xE8rement afin d\u2019identifier les acc\xE8s non autoris\xE9\
        s.\nLors du d\xE9part d\u2019un collaborateur ou d\u2019un changement de prestataire,\
        \ il est n\xE9cessaire de proc\xE9der au retrait des droits d\u2019acc\xE8\
        s ou au changement des codes d\u2019acc\xE8s.\nEnfin, les prises r\xE9seau\
        \ se trouvant dans des zones ouvertes au public (salle de r\xE9union, hall\
        \ d\u2019accueil, couloirs, placards, etc.) doivent \xEAtre restreintes ou\
        \ d\xE9sactiv\xE9es afin d\u2019emp\xEAcher un attaquant de gagner facilement\
        \ l\u2019acc\xE8s au r\xE9seau de l\u2019entreprise."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi
      assessable: false
      depth: 1
      ref_id: VI
      name: "S\xE9curiser l'administration"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:27
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi
      ref_id: '27'
      name: "Interdire l\u2019acc\xE8s \xE0 Internet depuis les postes ou serveurs\
        \ utilis\xE9s pour l\u2019administration du syst\xE8me d\u2019information"
      description: "Un poste de travail ou un serveur utilis\xE9 pour les actions\
        \ d\u2019administration ne doit en aucun cas avoir acc\xE8s \xE0 Internet,\
        \ en raison des risques que la navigation Web (\xE0 travers des sites contenant\
        \ du code malveillant) et la messagerie (au travers de pi\xE8ces jointes potentiellement\
        \ v\xE9rol\xE9es) font peser sur son int\xE9grit\xE9.\nPour les autres usages\
        \ des administrateurs n\xE9cessitant Internet (consultation de documentation\
        \ en ligne, de leur messagerie, etc.), il est recommand\xE9 de mettre \xE0\
        \ leur disposition un poste de travail distinct. \xC0 d\xE9faut, l\u2019acc\xE8\
        s \xE0 une infrastructure virtualis\xE9e distante pour la bureautique depuis\
        \ un poste d\u2019administration est envisageable. La r\xE9ciproque consistant\
        \ \xE0 fournir un acc\xE8s distant \xE0 une infrastructure d\u2019administration\
        \ depuis un poste bureautique est d\xE9conseill\xE9e car elle peut mener \xE0\
        \ une \xE9l\xE9vation de privil\xE8ges en cas de r\xE9cup\xE9ration des authentifiants\
        \ d\u2019administration.\nRenforc\xE9 - Concernant les mises \xE0 jour logicielles\
        \ des \xE9quipements administr\xE9s, elles doivent \xEAtre r\xE9cup\xE9r\xE9\
        es depuis une source s\xFBre (le site de l\u2019\xE9diteur par exemple), contr\xF4\
        l\xE9es puis transf\xE9r\xE9es sur le poste ou le serveur utilis\xE9 pour\
        \ l\u2019administration et non connect\xE9 \xE0 Internet. Ce transfert peut\
        \ \xEAtre r\xE9alis\xE9 sur un support amovible d\xE9di\xE9. \nPour des entit\xE9\
        s voulant automatiser certaines t\xE2ches, la mise en place d\u2019une zone\
        \ d\u2019\xE9changes est conseill\xE9e. "
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:28
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi
      ref_id: '28'
      name: "Utiliser un r\xE9seau d\xE9di\xE9 et cloisonn\xE9 pour l\u2019administration\
        \ du syst\xE8me d\u2019information"
      description: "Un r\xE9seau d\u2019administration interconnecte, entre autres,\
        \ les postes ou serveurs d\u2019administration et les interfaces d\u2019administration\
        \ des \xE9quipements. Dans la logique de segmentation du r\xE9seau global\
        \ de l\u2019entit\xE9, il est indispensable de cloisonner sp\xE9cifiquement\
        \ le r\xE9seau d\u2019administration, notamment vis-\xE0-vis du r\xE9seau\
        \ bureautique des utilisateurs, pour se pr\xE9munir de toute compromission\
        \ par rebond depuis un poste utilisateur vers une ressource d\u2019administration.\
        \ \nSelon les besoins de s\xE9curit\xE9 de l\u2019entit\xE9, il est recommand\xE9\
        \ :\n> de privil\xE9gier en premier lieu un cloisonnement physique des r\xE9\
        seaux d\xE8s que cela est possible, cette solution pouvant repr\xE9senter\
        \ des co\xFBts et un temps de d\xE9ploiement importants\nRenforc\xE9 -\n>\
        \ \xE0 d\xE9faut, de mettre en \u0153uvre un cloisonnement logique cryptographique\
        \ reposant sur la mise en place de tunnels IPsec. Ceci permet d\u2019assurer\
        \ l\u2019int\xE9grit\xE9 et la confidentialit\xE9 des informations v\xE9hicul\xE9\
        es sur le r\xE9seau d\u2019administration vis-\xE0-vis du r\xE9seau bureautique\
        \ des utilisateurs ;\n> au minimum, de mettre en \u0153uvre un cloisonnement\
        \ logique par VLAN. "
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:29
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi
      ref_id: '29'
      name: "\_Limiter au strict besoin op\xE9rationnel les droits d\u2019administration\
        \ sur les postes de travail"
      description: "De nombreux utilisateurs, y compris au sommet des hi\xE9rarchies,\
        \ sont tent\xE9s de demander \xE0 leur service informatique de pouvoir disposer,\
        \ par analogie avec leur usage personnel, de privil\xE8ges plus importants\
        \ sur leurs postes de travail : installation de logiciels, configuration du\
        \ syst\xE8me, etc. Par d\xE9faut, il est recommand\xE9 qu\u2019un utilisateur\
        \ du SI, quelle que soit sa position hi\xE9rarchique et ses attributions,\
        \ ne dispose pas de privil\xE8ges d\u2019administration sur son poste de travail.\
        \ Cette mesure, apparemment contraignante, vise \xE0 limiter les cons\xE9\
        quences de l\u2019ex\xE9cution malencontreuse d\u2019un code malveillant.\
        \ La mise \xE0 disposition d\u2019un magasin \xE9toff\xE9 d\u2019applications\
        \ valid\xE9es par l\u2019entit\xE9 du point de vue de la s\xE9curit\xE9 permettra\
        \ de r\xE9pondre \xE0 la majorit\xE9 des besoins. \nPar cons\xE9quent, seuls\
        \ les administrateurs charg\xE9s de l\u2019administration des postes doivent\
        \ disposer de ces droits lors de leurs interventions. \nSi une d\xE9l\xE9\
        gation de privil\xE8ges sur un poste de travail est r\xE9ellement n\xE9cessaire\
        \ pour r\xE9pondre \xE0 un besoin ponctuel de l\u2019utilisateur, celle-ci\
        \ doit \xEAtre trac\xE9e, limit\xE9e dans le temps et retir\xE9e \xE0 \xE9\
        ch\xE9ance."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii
      assessable: false
      depth: 1
      ref_id: VII
      name: "G\xE9rer le nomadisme"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:30
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii
      ref_id: '30'
      name: " Prendre des mesures de s\xE9curisation physique des terminaux nomades"
      description: "Les terminaux nomades (ordinateurs portables, tablettes, ordiphones)\
        \ sont, par nature, expos\xE9s \xE0 la perte et au vol. Ils peuvent contenir\
        \ localement des informations sensibles pour l\u2019entit\xE9 et constituer\
        \ un point d\u2019entr\xE9e vers de plus amples ressources du syst\xE8me d\u2019\
        information. Au-del\xE0 de l\u2019application au minimum des politiques de\
        \ s\xE9curit\xE9 de l\u2019entit\xE9,  des mesures sp\xE9cifiques de s\xE9\
        curisation de ces \xE9quipements sont donc \xE0 pr\xE9voir. \nEn tout premier\
        \ lieu, les utilisateurs doivent \xEAtre sensibilis\xE9s pour augmenter leur\
        \ niveau de vigilance lors de leurs d\xE9placements et conserver leurs \xE9\
        quipements \xE0 port\xE9e de vue. N\u2019importe quelle entit\xE9, m\xEAme\
        \ de petite taille, peut \xEAtre victime d\u2019une attaque informatique.\
        \ D\xE8s lors, en mobilit\xE9, tout \xE9quipement devient une cible potentielle\
        \ voire privil\xE9gi\xE9e.\nIl est recommand\xE9 que les terminaux nomades\
        \ soient aussi banalis\xE9s que possible en \xE9vitant toute mention explicite\
        \ de l\u2019entit\xE9 d\u2019appartenance (par l\u2019apposition d\u2019un\
        \ autocollant aux couleurs de l\u2019entit\xE9 par exemple).\nPour \xE9viter\
        \ toute indiscr\xE9tion lors de d\xE9placements, notamment dans les transports\
        \ ou les lieux d\u2019attente, un filtre de confidentialit\xE9 doit \xEAtre\
        \ positionn\xE9 sur chaque \xE9cran.\nRenforc\xE9 - Enfin, afin de rendre\
        \ inutilisable le poste seul, l\u2019utilisation d\u2019un support externe\
        \ compl\xE9mentaire (carte \xE0 puce ou jeton USB par exemple) pour conserver\
        \ des secrets de d\xE9chiffrement ou d\u2019authentification peut \xEAtre\
        \ envisag\xE9e. Dans ce cas il doit \xEAtre conserv\xE9 \xE0 part. "
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:31
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii
      ref_id: '31'
      name: "Chiffrer les donn\xE9es sensibles, en particulier sur le mat\xE9riel\
        \ potentiellement perdable"
      description: "Les d\xE9placements fr\xE9quents en contexte professionnel et\
        \ la miniaturisation du mat\xE9riel informatique conduisent souvent \xE0 la\
        \ perte ou au vol de celui-ci dans l\u2019espace public. Cela peut porter\
        \ atteinte aux donn\xE9es sensibles de l\u2019entit\xE9 qui y sont stock\xE9\
        es.\nIl faut donc ne stocker que des donn\xE9es pr\xE9alablement chiffr\xE9\
        es sur l\u2019ensemble des mat\xE9riels nomades (ordinateurs portables, ordiphones,\
        \ cl\xE9s USB, disques durs externes, etc.) afin de pr\xE9server leur confidentialit\xE9\
        . Seul un secret (mot de passe, carte \xE0 puce, code PIN, etc.) pourra permettre\
        \ \xE0 celui qui le poss\xE8de d\u2019acc\xE9der \xE0 ces donn\xE9es.\nUne\
        \ solution de chiffrement de partition, d\u2019archives ou de fichier peut\
        \ \xEAtre envisag\xE9e selon les besoins. L\xE0 encore, il est essentiel de\
        \ s\u2019assurer de l\u2019unicit\xE9 et de la robustesse du secret de d\xE9\
        chiffrement utilis\xE9.\nDans la mesure du possible, il est conseill\xE9 de\
        \ commencer par un chiffrement complet du disque avant d\u2019envisager le\
        \ chiffrement d\u2019archives ou de fichiers. En effet, ces derniers r\xE9\
        pondent \xE0 des besoins diff\xE9rents et peuvent potentiellement laisser\
        \ sur le support de stockage des informations non chiffr\xE9es (fichiers de\
        \ restauration de suite bureautique, par exemple)."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:32
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii
      ref_id: '32'
      name: "S\xE9curiser la connexion r\xE9seau des postes utilis\xE9s en situation\
        \ de nomadisme"
      description: "En situation de nomadisme, il n\u2019est pas rare qu\u2019un utilisateur\
        \ ait besoin de se connecter au syst\xE8me d\u2019information de l\u2019entit\xE9\
        . Il convient par cons\xE9quent de s\u2019assurer du caract\xE8re s\xE9curis\xE9\
        \ de cette connexion r\xE9seau \xE0 travers Internet. M\xEAme si la possibilit\xE9\
        \ d\u2019\xE9tablir des tunnels VPN SSL/TLS est aujourd\u2019hui courante,\
        \ il est fortement recommand\xE9 d\u2019\xE9tablir un tunnel VPN IPsec entre\
        \ le poste nomade et une passerelle VPN IPsec mise \xE0 disposition par l\u2019\
        entit\xE9.\nPour garantir un niveau de s\xE9curit\xE9 optimal, ce tunnel VPN\
        \ IPsec doit \xEAtre automatiquement \xE9tabli et ne pas \xEAtre d\xE9brayable\
        \ par l\u2019utilisateur, c\u2019est-\xE0-dire qu\u2019aucun flux ne doit\
        \ pouvoir \xEAtre transmis en dehors de ce tunnel.\nPour les besoins sp\xE9\
        cifiques d\u2019authentification aux portails captifs, l\u2019entit\xE9 peut\
        \ choisir de d\xE9roger \xE0 la connexion automatique en autorisant une connexion\
        \ \xE0 la demande ou maintenir cette recommandation en encourageant l\u2019\
        utilisateur \xE0 utiliser un partage de connexion sur un t\xE9l\xE9phone mobile\
        \ de confiance.\nRenforc\xE9 - Afin d\u2019\xE9viter toute r\xE9utilisation\
        \ d\u2019authentifiants depuis un poste vol\xE9 ou perdu (identifiant et mot\
        \ de passe enregistr\xE9s par exemple), il est pr\xE9f\xE9rable d\u2019avoir\
        \ recours \xE0 une authentification forte, par exemple avec un mot de passe\
        \ et un certificat stock\xE9 sur un support externe (carte \xE0 puce ou jeton\
        \ USB) ou un m\xE9canisme de mot de passe \xE0 usage unique (One Time Password). "
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:33
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii
      ref_id: '33'
      name: " Adopter des politiques de s\xE9curit\xE9 d\xE9di\xE9es aux terminaux\
        \ mobiles"
      description: "Les ordiphones et tablettes font partie de notre quotidien personnel\
        \ et/ou professionnel. La premi\xE8re des recommandations consiste justement\
        \ \xE0 ne pas mutualiser les usages personnel et professionnel sur un seul\
        \ et m\xEAme terminal, par exemple en ne synchronisant pas simultan\xE9ment\
        \ comptes professionnel et personnel de messagerie, de r\xE9seaux sociaux,\
        \ d\u2019agendas, etc.\nLes terminaux, fournis par l\u2019entit\xE9 et utilis\xE9\
        s en contexte professionnel doivent faire l\u2019objet d\u2019une s\xE9curisation\
        \ \xE0 part enti\xE8re, d\xE8s lors qu\u2019ils se connectent au syst\xE8\
        me d\u2019information de l\u2019entit\xE9 ou qu\u2019ils contiennent des informations\
        \ professionnelles potentiellement sensibles (mails, fichiers partag\xE9s,\
        \ contacts, etc.). D\xE8s lors, l\u2019utilisation d\u2019une solution de\
        \ gestion centralis\xE9e des \xE9quipements mobiles est \xE0 privil\xE9gier.\
        \ Il sera notamment souhaitable de configurer de mani\xE8re homog\xE8ne les\
        \ politiques de s\xE9curit\xE9 inh\xE9rentes : moyen de d\xE9verrouillage\
        \ du terminal, limitation de l\u2019usage du magasin d\u2019applications \xE0\
        \ des applications valid\xE9es du point de vue de la s\xE9curit\xE9, etc.\
        \ \nDans le cas contraire, une configuration pr\xE9alable avant remise de\
        \ l\u2019\xE9quipement et une s\xE9ance de sensibilisation des utilisateurs\
        \ est souhaitable.\nRenforc\xE9 - Entre autres usages potentiellement risqu\xE9\
        s, celui d\u2019un assistant vocal int\xE9gr\xE9 augmente sensiblement la\
        \ surface d\u2019attaque du terminal et des cas d\u2019attaque ont \xE9t\xE9\
        \ d\xE9montr\xE9s. Pour ces raisons, il est donc d\xE9conseill\xE9."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:viii
      assessable: false
      depth: 1
      ref_id: VIII
      name: "Maintenir le syst\xE8me d'information \xE0 jour"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:34
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:viii
      ref_id: '34'
      name: " D\xE9finir une politique de mise \xE0 jour des composants du syst\xE8\
        me d\u2019information"
      description: "De nouvelles failles sont r\xE9guli\xE8rement d\xE9couvertes au\
        \ c\u0153ur des syst\xE8mes et logiciels. Ces derni\xE8res sont autant de\
        \ portes d\u2019acc\xE8s qu\u2019un attaquant peut exploiter pour r\xE9ussir\
        \ son intrusion dans le syst\xE8me d\u2019information. Il est donc primordial\
        \ de s\u2019informer de l\u2019apparition de nouvelles vuln\xE9rabilit\xE9\
        s (CERTFR) et d\u2019appliquer les correctifs de s\xE9curit\xE9 sur l\u2019\
        ensemble des composants du syst\xE8me dans le mois qui suit leur publication\
        \ par l\u2019\xE9diteur. Une politique de mise \xE0 jour doit ainsi \xEAtre\
        \ d\xE9finie et d\xE9clin\xE9e en proc\xE9dures op\xE9rationnelles. \nCelles-ci\
        \ doivent notamment pr\xE9ciser :\n> la mani\xE8re dont l\u2019inventaire\
        \ des composants du syst\xE8me d\u2019information \nest r\xE9alis\xE9 ;\n\
        > les sources d\u2019information relatives \xE0 la publication des mises \xE0\
        \ jour ;\n> les outils pour d\xE9ployer les correctifs sur le parc (par exemple\
        \ WSUS pour les mises \xE0 jour des composants Microsoft, des outils gratuits\
        \ ou payants pour les composants tiers et autres syst\xE8mes d\u2019exploitation)\
        \ ;\n> l\u2019\xE9ventuelle qualification des correctifs et leur d\xE9ploiement\
        \ progressif sur le parc.\nLes composants obsol\xE8tes qui ne sont plus support\xE9\
        s par leurs fabricants doivent \xEAtre isol\xE9s du reste du syst\xE8me. Cette\
        \ recommandation s\u2019applique aussi bien au niveau r\xE9seau par un filtrage\
        \ strict des flux, qu\u2019au niveau des secrets d\u2019authentification qui\
        \ doivent \xEAtre d\xE9di\xE9s \xE0 ces syst\xE8mes. "
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:35
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:viii
      ref_id: '35'
      name: "Anticiper la fin de la maintenance des logiciels et syst\xE8mes et limiter\
        \ les adh\xE9rences logicielles"
      description: "L\u2019utilisation d\u2019un syst\xE8me ou d\u2019un logiciel\
        \ obsol\xE8te augmente significativement les possibilit\xE9s d\u2019attaque\
        \ informatique. Les syst\xE8mes deviennent vuln\xE9rables d\xE8s lors que\
        \ les correctifs ne sont plus propos\xE9s. En effet, des outils malveillants\
        \ exploitant ces vuln\xE9rabilit\xE9s peuvent se diffuser rapidement sur Internet\
        \ alors m\xEAme que l\u2019\xE9diteur ne propose pas de correctif de s\xE9\
        curit\xE9. \nPour anticiper ces obsolescences, un certain nombre de pr\xE9\
        cautions existent :\n> \xE9tablir et tenir \xE0 jour un inventaire des syst\xE8\
        mes et applications du syst\xE8me d\u2019information ;\n> choisir des solutions\
        \ dont le support est assur\xE9 pour une dur\xE9e correspondant \xE0 leur\
        \ utilisation ;\n\t> \tassurer un suivi des mises \xE0 jour et des dates de\
        \ fin de support des logiciels ;\n> maintenir un parc logiciel homog\xE8ne\
        \ (la coexistence de versions diff\xE9rentes d\u2019un m\xEAme produit multiplie\
        \ les risques et complique le suivi) ;\n> limiter les adh\xE9rences logicielles,\
        \ c\u2019est-\xE0-dire les d\xE9pendances de fonctionnement d\u2019un logiciel\
        \ par rapport \xE0 un autre, en particulier lorsque le support de ce dernier\
        \ arrive \xE0 son terme ;\n> inclure dans les contrats avec les prestataires\
        \ et fournisseurs des clauses garantissant le suivi des correctifs de s\xE9\
        curit\xE9 et la gestion des obsolescences ;\n> identifier les d\xE9lais et\
        \ ressources n\xE9cessaires (mat\xE9rielles, humaines, budg\xE9taires) \xE0\
        \ la migration de chaque logiciel en fin de vie (tests de non-r\xE9gression,\
        \ proc\xE9dure de sauvegarde, proc\xE9dure de migration des donn\xE9es, etc.)."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix
      assessable: false
      depth: 1
      ref_id: IX
      name: "Superviser, auditer, r\xE9agir"
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:36
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix
      ref_id: '36'
      name: Activer et configurer les journaux des composants les plus importants
      description: "Disposer de journaux pertinents est n\xE9cessaire afin de pouvoir\
        \ d\xE9tecter d\u2019\xE9ventuels dysfonctionnements et tentatives d\u2019\
        acc\xE8s illicites aux composants du syst\xE8me d\u2019information.\nLa premi\xE8\
        re \xE9tape consiste \xE0 d\xE9terminer quels sont les composants critiques\
        \ du syst\xE8me d\u2019information. Il peut notamment s\u2019agir des \xE9\
        quipements r\xE9seau et de s\xE9curit\xE9, des serveurs critiques, des postes\
        \ de travail d\u2019utilisateurs sensibles, etc.\nPour chacun, il convient\
        \ d\u2019analyser la configuration des \xE9l\xE9ments journalis\xE9s (format,\
        \ fr\xE9quence de rotation des fichiers, taille maximale des fichiers journaux,\
        \ cat\xE9gories d\u2019\xE9v\xE8nements enregistr\xE9s, etc.) et de l\u2019\
        adapter en cons\xE9quence. Les \xE9v\xE8nements critiques pour la s\xE9curit\xE9\
        \ doivent \xEAtre journalis\xE9s et gard\xE9s pendant au moins un an (ou plus\
        \ en fonction des obligations l\xE9gales du secteur d\u2019activit\xE9s).\
        \ \nUne \xE9tude contextuelle du syst\xE8me d\u2019information doit \xEAtre\
        \ effectu\xE9e et les \xE9l\xE9ments suivants doivent \xEAtre journalis\xE9\
        s :\n> pare-feu : paquets bloqu\xE9s ;\n> syst\xE8mes et applications : authentifications\
        \ et autorisations (\xE9checs et succ\xE8s), arr\xEAts inopin\xE9s ;\n> services\
        \ : erreurs de protocoles (par exemples les erreurs 403, 404 et 500 pour les\
        \ services hTTP), tra\xE7abilit\xE9 des flux applicatifs aux interconnexions\
        \ (URL sur un relai hTTP, en-t\xEAtes des messages sur un relai SMTP, etc.)\
        \ ;\nAfin de pouvoir corr\xE9ler les \xE9v\xE8nements entre les diff\xE9rents\
        \ composants, leur source de synchronisation de temps (gr\xE2ce au protocole\
        \ NTP) doit \xEAtre identique.\nRenforc\xE9 - Si toutes les actions pr\xE9\
        c\xE9dentes ont \xE9t\xE9 mises en \u0153uvre, une centralisation des journaux\
        \ sur un dispositif d\xE9di\xE9 pourra \xEAtre envisag\xE9e. Cela permet de\
        \ faciliter la recherche automatis\xE9e d\u2019\xE9v\xE9nements suspects,\
        \ d\u2019archiver les journaux sur une longue dur\xE9e et d\u2019emp\xEAcher\
        \ un attaquant d\u2019effacer d\u2019\xE9ventuelles traces de son passage\
        \ sur les \xE9quipements qu\u2019il a compromis. "
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:37
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix
      ref_id: '37'
      name: "D\xE9finir et appliquer une politique de sauvegarde des composants critiques"
      description: "Suite \xE0 un incident d\u2019exploitation ou en contexte de gestion\
        \ d\u2019une intrusion, la  disponibilit\xE9 de sauvegardes conserv\xE9es\
        \ en lieu s\xFBr est indispensable \xE0 la poursuite de l\u2019activit\xE9\
        . Il est donc fortement recommand\xE9 de formaliser une politique de sauvegarde\
        \ r\xE9guli\xE8rement mise \xE0 jour. Cette derni\xE8re a pour objectif de\
        \ d\xE9finir des exigences en mati\xE8re de sauvegarde de l\u2019information,\
        \ des logiciels et des syst\xE8mes. \nCette politique doit au moins int\xE9\
        grer les \xE9l\xE9ments suivants :\n> la liste des donn\xE9es jug\xE9es vitales\
        \ pour l\u2019organisme et les serveurs concern\xE9s ;\n> les diff\xE9rents\
        \ types de sauvegarde (par exemple le mode hors ligne) ;\n> la fr\xE9quence\
        \ des sauvegardes ;\n> la proc\xE9dure d\u2019administration et d\u2019ex\xE9\
        cution des sauvegardes ;\n> les informations de stockage et les restrictions\
        \ d\u2019acc\xE8s aux sauvegardes ;\n>  les proc\xE9dures de test de restauration\
        \ ;\n>  la destruction des supports ayant contenu les sauvegardes.\nLes tests\
        \ de restauration peuvent \xEAtre r\xE9alis\xE9s de plusieurs mani\xE8res\
        \ :\n> syst\xE9matique, par un ordonnanceur de t\xE2ches pour les applications\
        \ importantes ;\n>  ponctuelle, en cas d\u2019erreur sur les fichiers ;\n\
        > g\xE9n\xE9rale, pour une sauvegarde et restauration enti\xE8res du syst\xE8\
        me d\u2019information.\nRenforc\xE9  - Un fois cette politique de sauvegarde\
        \ \xE9tablie, il est souhaitable de planifier au moins une fois par an un\
        \ exercice de restauration des donn\xE9es et de conserver une trace technique\
        \ des r\xE9sultats."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:38
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix
      ref_id: '38'
      name: "Proc\xE9der \xE0 des contr\xF4les et audits de s\xE9curit\xE9 r\xE9guliers\
        \ puis appliquer les actions correctives associ\xE9es"
      description: "Renforc\xE9 - La r\xE9alisation d\u2019audits r\xE9guliers (au\
        \ moins une fois par an) du syst\xE8me d\u2019information est essentielle\
        \ car elle permet d\u2019\xE9valuer concr\xE8tement l\u2019efficacit\xE9 des\
        \ mesures mises en \u0153uvre et leur maintien dans le temps. Ces contr\xF4\
        les et audits permettent \xE9galement de mesurer les \xE9carts pouvant persister\
        \ entre la r\xE8gle et la pratique. \nIls peuvent \xEAtre r\xE9alis\xE9s par\
        \ d\u2019\xE9ventuelles \xE9quipes d\u2019audit internes ou par des soci\xE9\
        t\xE9s externes sp\xE9cialis\xE9es. Selon le p\xE9rim\xE8tre \xE0 contr\xF4\
        ler, des audits techniques et/ou organisationnels seront effectu\xE9s par\
        \ les professionnels mobilis\xE9s. Ces audits sont d\u2019autant plus n\xE9\
        cessaires que l\u2019entit\xE9 doit \xEAtre conforme \xE0 des r\xE9glementations\
        \ et obligations l\xE9gales directement li\xE9es \xE0 ses activit\xE9s.\n\xC0\
        \ l\u2019issue de ces audits, des actions correctives doivent \xEAtre identifi\xE9\
        es, leur application planifi\xE9e et des points de suivi organis\xE9s \xE0\
        \ intervalles r\xE9guliers. Pour une plus grande efficacit\xE9, des indicateurs\
        \ sur l\u2019\xE9tat d\u2019avancement du plan d\u2019action pourront \xEA\
        tre int\xE9gr\xE9s dans un tableau de bord \xE0 l\u2019adresse de la direction.\
        \ \nSi les audits de s\xE9curit\xE9 participent \xE0 la s\xE9curit\xE9 du\
        \ syst\xE8me d\u2019information en permettant de mettre en \xE9vidence d\u2019\
        \xE9ventuelles vuln\xE9rabilit\xE9s, ils ne constituent jamais une preuve\
        \ de leur absence et ne dispensent donc pas d\u2019autres mesures de contr\xF4\
        le. "
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:39
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix
      ref_id: '39'
      name: "D\xE9signer un r\xE9f\xE9rent en s\xE9curit\xE9 des syst\xE8mes  d\u2019\
        information et le faire conna\xEEtre  aupr\xE8s du personnel"
      description: "Toute entit\xE9 doit disposer d\u2019un r\xE9f\xE9rent en s\xE9\
        curit\xE9 des syst\xE8mes d\u2019information qui sera soutenu par la direction\
        \ ou par une instance d\xE9cisionnelle sp\xE9cialis\xE9e selon le niveau de\
        \ maturit\xE9 de  la structure. \nCe r\xE9f\xE9rent devra \xEAtre connu de\
        \ tous les utilisateurs et sera le premier contact pour toutes les questions\
        \ relatives \xE0 la s\xE9curit\xE9 des syst\xE8mes d\u2019information :\n\
        >  d\xE9finition des r\xE8gles \xE0 appliquer selon le contexte ;\n>  v\xE9\
        rification de l\u2019application des r\xE8gles ;\n> sensibilisation des utilisateurs\
        \ et d\xE9finition d\u2019un plan de formation des acteurs informatiques ;\n\
        > centralisation et traitement des incidents de s\xE9curit\xE9 constat\xE9\
        s ou remont\xE9s par les utilisateurs.\nCe r\xE9f\xE9rent devra \xEAtre form\xE9\
        \ \xE0 la s\xE9curit\xE9 des syst\xE8mes d\u2019information et \xE0 la gestion\
        \ de crise.\nDans les entit\xE9s les plus importantes, ce correspondant peut\
        \ \xEAtre d\xE9sign\xE9 pour devenir le relais du RSSI. Il pourra par exemple\
        \ signaler les dol\xE9ances des utilisateurs et identifier les th\xE9matiques\
        \ \xE0 aborder dans le cadre des sensibilisations, permettant ainsi d\u2019\
        \xE9lever le niveau de s\xE9curit\xE9 du syst\xE8me d\u2019information au\
        \ sein de l\u2019organisme."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:40
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix
      ref_id: '40'
      name: "D\xE9finir une proc\xE9dure de gestion des incidents de s\xE9curit\xE9"
      description: "Le constat d\u2019un comportement inhabituel de la part d\u2019\
        un poste de travail ou d\u2019un serveur (connexion impossible, activit\xE9\
        \ importante, activit\xE9s inhabituelles, services ouverts non autoris\xE9\
        s, fichiers cr\xE9\xE9s, modifi\xE9s ou supprim\xE9s sans autorisation, multiples\
        \ alertes de l\u2019antivirus, etc.) peut alerter sur une \xE9ventuelle intrusion.\n\
        Une mauvaise r\xE9action en cas d\u2019incident de s\xE9curit\xE9 peut faire\
        \ empirer la situation et emp\xEAcher de traiter correctement le probl\xE8\
        me. Le bon r\xE9flexe est de d\xE9connecter la machine du r\xE9seau, pour\
        \ stopper l\u2019attaque. En revanche, il faut la maintenir sous tension et\
        \ ne pas la red\xE9marrer, pour ne pas perdre d\u2019informations utiles pour\
        \ l\u2019analyse de l\u2019attaque. Il faut ensuite pr\xE9venir la hi\xE9\
        rarchie, ainsi que le r\xE9f\xE9rent en s\xE9curit\xE9 des syst\xE8mes d\u2019\
        information.\nCelui-ci peut prendre contact avec un prestataire de r\xE9ponse\
        \ aux incidents de s\xE9curit\xE9 (PRIS) afin de faire r\xE9aliser les op\xE9\
        rations techniques n\xE9cessaires (copie physique du disque, analyse de la\
        \ m\xE9moire, des journaux et d\u2019\xE9ventuels codes malveillants, etc.)\
        \ et de d\xE9terminer si d\u2019autres \xE9l\xE9ments du syst\xE8me d\u2019\
        information ont \xE9t\xE9 compromis. Il s\u2019agira \xE9galement d\u2019\xE9\
        laborer la r\xE9ponse \xE0 apporter afin de supprimer d\u2019\xE9ventuels\
        \ codes malveillants et acc\xE8s dont disposerait l\u2019attaquant et de proc\xE9\
        der au changement des mots de passe compromis. Tout incident doit \xEAtre\
        \ consign\xE9 dans un registre centralis\xE9. Une plainte pourra \xE9galement\
        \ \xEAtre d\xE9pos\xE9e aupr\xE8s du service judiciaire comp\xE9tent."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:x
      assessable: false
      depth: 1
      ref_id: X
      name: Pour aller plus loin
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:41
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:x
      ref_id: '41'
      name: Mener une analyse de risques formelle
      description: "Renforc\xE9 - Chaque entit\xE9 \xE9volue dans un environnement\
        \ informationnel complexe qui lui est propre. Aussi, toute prise de position\
        \ ou plan d\u2019action impliquant la s\xE9curit\xE9 du syst\xE8me d\u2019\
        information doit \xEAtre consid\xE9r\xE9 \xE0 la lumi\xE8re des risques pressentis\
        \ par la direction. En effet, qu\u2019il s\u2019agisse de mesures organisationnelles\
        \ ou techniques, leur mise en \u0153uvre repr\xE9sente un co\xFBt pour l\u2019\
        entit\xE9 qui n\xE9cessite de s\u2019assurer qu\u2019elles permettent de r\xE9\
        duire au bon niveau un risque identifi\xE9.\nDans les cas les plus sensibles,\
        \ l\u2019analyse de risque peut remettre en cause certains choix pass\xE9\
        s. Ce peut notamment \xEAtre le cas si la probabilit\xE9 d\u2019apparition\
        \ d\u2019un \xE9v\xE9nement et ses cons\xE9quences potentielles s\u2019av\xE8\
        rent critiques pour l\u2019entit\xE9 et qu\u2019il n\u2019existe aucune action\
        \ pr\xE9ventive pour le ma\xEEtriser.\nLa d\xE9marche recommand\xE9e consiste,\
        \ dans les grandes lignes, \xE0 d\xE9finir le contexte, appr\xE9cier les risques\
        \ et les traiter. L\u2019\xE9valuation de ces risques s\u2019op\xE8re g\xE9\
        n\xE9ralement selon deux axes : leur probabilit\xE9 d\u2019apparition et leur\
        \ gravit\xE9. S\u2019ensuit l\u2019\xE9laboration d\u2019un plan de traitement\
        \ du risque  \xE0 faire valider par une autorit\xE9 d\xE9sign\xE9e \xE0 plus\
        \ haut niveau.\nTrois types d\u2019approches peuvent \xEAtre envisag\xE9s\
        \ pour ma\xEEtriser les risques associ\xE9s \xE0 son syst\xE8me d\u2019information\
        \ :\n>  le recours aux bonnes pratiques de s\xE9curit\xE9 informatique ;\n\
        > une analyse de risques syst\xE9matique fond\xE9e sur les retours d\u2019\
        exp\xE9rience des utilisateurs ;\n>  une gestion structur\xE9e des risques\
        \ formalis\xE9e par une m\xE9thodologie d\xE9di\xE9e."
    - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:42
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:x
      ref_id: '42'
      name: "Privil\xE9gier l\u2019usage de produits et de services qualifi\xE9s par\
        \ l'ANSSI"
      description: "Renforc\xE9 - La qualification prononc\xE9e par l\u2019ANSSI offre\
        \ des garanties de s\xE9curit\xE9 et de confiance aux acheteurs de solutions\
        \ list\xE9es dans les catalogues de produits et de prestataires de service\
        \ qualifi\xE9s que publie l\u2019agence.\nAu-del\xE0 des entit\xE9s soumises\
        \ \xE0 r\xE9glementation, l\u2019ANSSI encourage plus g\xE9n\xE9ralement l\u2019\
        ensemble des entreprises et administrations fran\xE7aises \xE0 utiliser des\
        \ produits qu\u2019elle qualifie, seul gage d\u2019une \xE9tude s\xE9rieuse\
        \ et approfondie du fonctionnement technique de la solution et de son \xE9\
        cosyst\xE8me.\nS\u2019agissant des prestataires de service qualifi\xE9s, ce\
        \ label permet de r\xE9pondre aux enjeux et projets de cybers\xE9curit\xE9\
        \ pour l\u2019ensemble du tissu \xE9conomique fran\xE7ais que l\u2019ANSSI\
        \ ne saurait adresser seule. \xC9valu\xE9s sur des crit\xE8res techniques\
        \ et organisationnels, les prestataires qualifi\xE9s couvrent l\u2019essentiel\
        \ des m\xE9tiers de la s\xE9curit\xE9 des syst\xE8mes d\u2019information.\
        \ Ainsi, en fonction de ses besoins et du maillage national, une entit\xE9\
        \ pourra faire appel \xE0 un Prestataire d\u2019audit de la s\xE9curit\xE9\
        \ des syst\xE8mes d\u2019information (PASSI), un Prestataire de r\xE9ponse\
        \ aux incidents de s\xE9curit\xE9 (PRIS), un Prestataire de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 (PDIS) ou \xE0 un prestataire de service d\u2019\
        informatique en nuage (SecNumCloud)."