diff --git a/README.md b/README.md index 62098f50d..ce931c17f 100644 --- a/README.md +++ b/README.md @@ -98,12 +98,12 @@ Check out the online documentation on https://intuitem.gitbook.io/ciso-assistant 23. TIBER-EU πŸ‡ͺπŸ‡Ί 24. NIST Privacy Framework πŸ‡ΊπŸ‡Έ 25. Tisax 🚘 +26. ANSSI hygiene guide πŸ‡«πŸ‡· Checkout the [library](/backend/library/libraries/) and [tools](/tools/) for the Domain Specific Language used and how you can define your own. ### Coming soon -- ANSSI hygiene guide - CIS - CCM - CCPA diff --git a/backend/library/libraries/anssi-guide-hygiene.yaml b/backend/library/libraries/anssi-guide-hygiene.yaml new file mode 100644 index 000000000..4d5ff44f5 --- /dev/null +++ b/backend/library/libraries/anssi-guide-hygiene.yaml @@ -0,0 +1,1226 @@ +urn: urn:intuitem:risk:library:anssi-guide-hygiene +locale: fr +ref_id: ANSSI-GUIDE-HYGIENE +name: "ANSSI - Guide d'hygi\xE8ne informatique" +description: "Renforcer la s\xE9curit\xE9 de son syst\xE8me d\u2019information en\ + \ 42 mesures\n https://cyber.gouv.fr/sites/default/files/2017/01/guide_hygiene_informatique_anssi.pdf" +copyright: Licence Ouverte/Open Licence (Etalab - V1) +version: 1 +provider: ANSSI +packager: intuitem +objects: + framework: + urn: urn:intuitem:risk:framework:anssi-guide-hygiene + ref_id: ANSSI-GUIDE-HYGIENE + name: "ANSSI - Guide d'hygi\xE8ne informatique" + description: "Renforcer la s\xE9curit\xE9 de son syst\xE8me d\u2019information\ + \ en 42 mesures" + requirement_nodes: + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i + assessable: false + depth: 1 + ref_id: I + name: Sensibiliser et former + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:1 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i + ref_id: '1' + name: "Former les \xE9quipes op\xE9rationnelles \xE0 la s\xE9curit\xE9 des syst\xE8\ + mes d\u2019information" + description: "Les \xE9quipes op\xE9rationnelles (administrateurs r\xE9seau,\ + \ s\xE9curit\xE9 et syst\xE8me, chefs de projet, d\xE9veloppeurs, RSSI) ont\ + \ des acc\xE8s privil\xE9gi\xE9s au syst\xE8me d\u2019information. Elles peuvent,\ + \ par inadvertance ou par m\xE9connaissance des cons\xE9quences de certaines\ + \ pratiques, r\xE9aliser des op\xE9rations g\xE9n\xE9ratrices de vuln\xE9\ + rabilit\xE9s.\nCitons par exemple l\u2019affectation de comptes disposant\ + \ de trop nombreux privil\xE8ges par rapport \xE0 la t\xE2che \xE0 r\xE9aliser,\ + \ l\u2019utilisation de comptes personnels pour ex\xE9cuter des services ou\ + \ t\xE2ches p\xE9riodiques, ou encore le choix de mots de passe peu robustes\ + \ donnant acc\xE8s \xE0 des comptes privil\xE9gi\xE9s.\nLes \xE9quipes op\xE9\ + rationnelles, pour \xEAtre \xE0 l\u2019\xE9tat de l\u2019art de la s\xE9curit\xE9\ + \ des syst\xE8mes d\u2019information, doivent donc suivre - \xE0 leur prise\ + \ de poste puis \xE0 intervalles r\xE9guliers - des formations sur :\n> la\ + \ l\xE9gislation en vigueur ;\n> les principaux risques et menaces ;\n> le\ + \ maintien en condition de s\xE9curit\xE9 ;\n> l\u2019authentification et\ + \ le contr\xF4le d\u2019acc\xE8s ;\n> le param\xE9trage fin et le durcissement\ + \ des syst\xE8mes ; > le cloisonnement r\xE9seau ; > et la journalisation.\ + \ \nCette liste doit \xEAtre pr\xE9cis\xE9e selon le m\xE9tier des collaborateurs\ + \ en consid\xE9rant des aspects tels que l\u2019int\xE9gration de la s\xE9\ + curit\xE9 pour les chefs de projet, le d\xE9veloppement s\xE9curis\xE9 pour\ + \ les d\xE9veloppeurs, les r\xE9f\xE9rentiels de s\xE9curit\xE9 pour les RSSI,\ + \ etc. \nIl est par ailleurs n\xE9cessaire de faire mention de clauses sp\xE9\ + cifiques dans les contrats de prestation pour garantir une formation r\xE9\ + guli\xE8re \xE0 la s\xE9curit\xE9 des syst\xE8mes d\u2019information du personnel\ + \ externe et notamment les infog\xE9rants." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:2 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i + ref_id: '2' + name: "Sensibiliser les utilisateurs aux bonnes pratiques \xE9l\xE9mentaires\ + \ de s\xE9curit\xE9 informatique" + description: "Chaque utilisateur est un maillon \xE0 part enti\xE8re de la cha\xEE\ + ne des syst\xE8mes d\u2019information. \xC0 ce titre et d\xE8s son arriv\xE9\ + e dans l\u2019entit\xE9, il doit \xEAtre inform\xE9 des enjeux de s\xE9curit\xE9\ + , des r\xE8gles \xE0 respecter et des bons comportements \xE0 adopter en mati\xE8\ + re de s\xE9curit\xE9 des syst\xE8mes d\u2019information \xE0 travers des actions\ + \ de sensibilisation et de formation.\nCes derni\xE8res doivent \xEAtre r\xE9\ + guli\xE8res, adapt\xE9es aux utilisateurs cibl\xE9s, peuvent prendre diff\xE9\ + rentes formes (mails, affichage, r\xE9unions, espace intranet d\xE9di\xE9\ + , etc.) et aborder au minimum les sujets suivants :\n> les objectifs et enjeux\ + \ que rencontre l\u2019entit\xE9 en mati\xE8re de s\xE9curit\xE9 des syst\xE8\ + mes d\u2019information ;\n> les informations consid\xE9r\xE9es comme sensibles\ + \ ;\n> les r\xE9glementations et obligations l\xE9gales ;\n> les r\xE8gles\ + \ et consignes de s\xE9curit\xE9 r\xE9gissant l\u2019activit\xE9 quotidienne\ + \ : respect de la politique de s\xE9curit\xE9, non-connexion d\u2019\xE9quipements\ + \ personnels au r\xE9seau de l\u2019entit\xE9, non-divulgation de mots de\ + \ passe \xE0 un tiers, non-r\xE9utilisation de mots de passe professionnels\ + \ dans la sph\xE8re priv\xE9e et inversement, signalement d\u2019\xE9v\xE9\ + nements suspects, etc. ;\n> les moyens disponibles et participant \xE0 la\ + \ s\xE9curit\xE9 du syst\xE8me : verrouillage syst\xE9matique de la session\ + \ lorsque l\u2019utilisateur quitte son poste, outil de protection des mots\ + \ de passe, etc. \nRenforc\xE9 - Pour renforcer ces mesures, l\u2019\xE9laboration\ + \ et la signature d\u2019une charte des moyens informatiques pr\xE9cisant\ + \ les r\xE8gles et consignes que doivent respecter les utilisateurs peut \xEA\ + tre envisag\xE9e." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:3 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:i + ref_id: '3' + name: "Ma\xEEtriser les risques de l\u2019infog\xE9rance" + description: "Lorsqu\u2019une entit\xE9 souhaite externaliser son syst\xE8me\ + \ d\u2019information ou ses donn\xE9es, elle doit en amont \xE9valuer les\ + \ risques sp\xE9cifiques \xE0 l\u2019infog\xE9rance (ma\xEEtrise du syst\xE8\ + me d\u2019information, actions \xE0 distance, h\xE9bergement mutualis\xE9\ + , etc.) afin de prendre en compte, d\xE8s la r\xE9daction des exigences applicables\ + \ au futur prestataire, les besoins et mesures de s\xE9curit\xE9 adapt\xE9\ + s. \nLes risques SSI inh\xE9rents \xE0 ce type de d\xE9marche peuvent \xEA\ + tre li\xE9s au contexte de l\u2019op\xE9ration d\u2019externalisation mais\ + \ aussi \xE0 des sp\xE9cifications contractuelles d\xE9ficientes ou incompl\xE8\ + tes.\nEn faveur du bon d\xE9roulement des op\xE9rations, il s\u2019agit donc\ + \ :\n> d\u2019\xE9tudier attentivement les conditions des offres, la possibilit\xE9\ + \ de les adapter \xE0 des besoins sp\xE9cifiques et les limites de responsabilit\xE9\ + \ du prestataire ;\n> d\u2019imposer une liste d\u2019exigences pr\xE9cises\ + \ au prestataire : r\xE9versibilit\xE9 du contrat, r\xE9alisation d\u2019\ + audits, sauvegarde et restitution des donn\xE9es dans un format ouvert normalis\xE9\ + , maintien \xE0 niveau de la s\xE9curit\xE9 dans le temps, etc.\nPour formaliser\ + \ ces engagements, le prestataire fournira au commanditaire un plan d\u2019\ + assurance s\xE9curit\xE9 (PAS) pr\xE9vu par l\u2019appel d\u2019offre. Il\ + \ s\u2019agit d\u2019un document contractuel d\xE9crivant l\u2019ensemble\ + \ des dispositions sp\xE9cifiques que les candidats s\u2019engagent \xE0 mettre\ + \ en \u0153uvre pour garantir le respect des exigences de s\xE9curit\xE9 sp\xE9\ + cifi\xE9es par l\u2019entit\xE9.\nLe recours \xE0 des solutions ou outils\ + \ non ma\xEEtris\xE9s (par exemple h\xE9berg\xE9s dans le nuage) n\u2019est\ + \ pas ici consid\xE9r\xE9 comme \xE9tant du ressort de l\u2019infog\xE9rance\ + \ et par ailleurs d\xE9conseill\xE9 en cas de traitement d\u2019informations\ + \ sensibles." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii + assessable: false + depth: 1 + ref_id: II + name: "Conna\xEEtre le syst\xE8me d'information" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:4 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii + ref_id: '4' + name: " Identifier les informations et serveurs les plus sensibles et maintenir\ + \ un sch\xE9ma du r\xE9seau" + description: "Chaque entit\xE9 poss\xE8de des donn\xE9es sensibles. Ces derni\xE8\ + res peuvent porter sur son activit\xE9 propre (propri\xE9t\xE9 intellectuelle,\ + \ savoir-faire, etc.) ou sur ses clients, administr\xE9s ou usagers (donn\xE9\ + es personnelles, contrats, etc.). Afin de pouvoir les prot\xE9ger efficacement,\ + \ il est indispensable de les identifier.\n\xC0 partir de cette liste de donn\xE9\ + es sensibles, il sera possible de d\xE9terminer sur quels composants du syst\xE8\ + me d\u2019information elles se localisent (bases de donn\xE9es, partages de\ + \ fichiers, postes de travail, etc.). Ces composants correspondent aux serveurs\ + \ et postes critiques pour l\u2019entit\xE9. \xC0 ce titre, ils devront faire\ + \ l\u2019objet de mesures de s\xE9curit\xE9 sp\xE9cifiques pouvant porter\ + \ sur la sauvegarde, la journalisation, les acc\xE8s, etc.\nIl s\u2019agit\ + \ donc de cr\xE9er et de maintenir \xE0 jour un sch\xE9ma simplifi\xE9 du\ + \ r\xE9seau (ou cartographie) repr\xE9sentant les diff\xE9rentes zones IP\ + \ et le plan d\u2019adressage associ\xE9, les \xE9quipements de routage et\ + \ de s\xE9curit\xE9 (pare-feu, relais applicatifs, etc.) et les interconnexions\ + \ avec l\u2019ext\xE9rieur (Internet, r\xE9seaux priv\xE9s, etc.) et les partenaires.\ + \ Ce sch\xE9ma doit \xE9galement permettre de localiser les serveurs d\xE9\ + tenteurs d\u2019informations sensibles de l\u2019entit\xE9." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:5 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii + ref_id: '5' + name: "Disposer d\u2019un inventaire exhaustif des comptes privil\xE9gi\xE9\ + s et le maintenir \xE0 jour" + description: "Les comptes b\xE9n\xE9ficiant de droits sp\xE9cifiques sont des\ + \ cibles privil\xE9gi\xE9es par les attaquants qui souhaitent obtenir un acc\xE8\ + s le plus large possible au syst\xE8me d\u2019information. Ils doivent donc\ + \ faire l\u2019objet d\u2019une attention toute particuli\xE8re. Il s\u2019\ + agit pour cela d\u2019effectuer un inventaire de ces comptes, de le mettre\ + \ \xE0 jour r\xE9guli\xE8rement et d\u2019y renseigner les informations suivantes\ + \ :\n> les utilisateurs ayant un compte administrateur ou des droits sup\xE9\ + rieurs \xE0 ceux d\u2019un utilisateur standard sur le syst\xE8me d\u2019\ + information ;\n> les utilisateurs disposant de suffisamment de droits pour\ + \ acc\xE9der aux r\xE9pertoires de travail des responsables ou de l\u2019\ + ensemble des utilisateurs ;\n> les utilisateurs utilisant un poste non administr\xE9\ + \ par le service informatique et qui ne fait pas l\u2019objet de mesures de\ + \ s\xE9curit\xE9 \xE9dict\xE9es par la politique de s\xE9curit\xE9 g\xE9n\xE9\ + rale de l\u2019entit\xE9. \nIl est fortement recommand\xE9 de proc\xE9der\ + \ \xE0 une revue p\xE9riodique de ces comptes afin de s\u2019assurer que les\ + \ acc\xE8s aux \xE9l\xE9ments sensibles (notamment les r\xE9pertoires de travail\ + \ et la messagerie \xE9lectronique des responsables) soient maitris\xE9s.\ + \ Ces revues permettront \xE9galement de supprimer les acc\xE8s devenus obsol\xE8\ + tes suite au d\xE9part d\u2019un utilisateur par exemple. \nEnfin, il est\ + \ souhaitable de d\xE9finir et d\u2019utiliser une nomenclature simple et\ + \ claire pour identifier les comptes de services et les comptes d\u2019administration.\ + \ \nCela facilitera notamment leur revue et la d\xE9tection d\u2019intrusion." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:6 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii + ref_id: '6' + name: " Organiser les proc\xE9dures d\u2019arriv\xE9e, de d\xE9part et de changement\ + \ de fonction des utilisateurs" + description: "Les effectifs d\u2019une entit\xE9, qu\u2019elle soit publique\ + \ ou priv\xE9e, \xE9voluent sans cesse : arriv\xE9es, d\xE9parts, mobilit\xE9\ + \ interne. Il est par cons\xE9quent n\xE9cessaire que les droits et les acc\xE8\ + s au syst\xE8me d\u2019information soient mis \xE0 jour en fonction de ces\ + \ \xE9volutions. Il est notamment essentiel que l\u2019ensemble des droits\ + \ affect\xE9s \xE0 une personne soient r\xE9voqu\xE9s lors de son d\xE9part\ + \ ou en cas de changement de fonction. Les proc\xE9dures d\u2019arriv\xE9\ + e et de d\xE9part doivent donc \xEAtre d\xE9finies, en lien avec la fonction\ + \ ressources humaines. Elles doivent au minimum prendre en compte :\n> la\ + \ cr\xE9ation et la suppression des comptes informatiques et bo\xEEtes aux\ + \ lettres associ\xE9es ;\n> les droits et acc\xE8s \xE0 attribuer et retirer\ + \ \xE0 une personne dont la fonction change ;\n> la gestion des acc\xE8s physiques\ + \ aux locaux (attribution, restitution des badges et des cl\xE9s, etc.) ;\n\ + > l\u2019affectation des \xE9quipements mobiles (ordinateur portable, cl\xE9\ + \ USB, disque dur, ordiphone, etc.) ;\n> la gestion des documents et informations\ + \ sensibles (transfert de mots de passe, changement des mots de passe ou des\ + \ codes sur les syst\xE8mes existants).\nRenforc\xE9 - Les proc\xE9dures doivent\ + \ \xEAtre formalis\xE9es et mises \xE0 jour en fonction du contexte." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:7 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ii + ref_id: '7' + name: "Autoriser la connexion au r\xE9seau de l\u2019entit\xE9 aux seuls \xE9\ + quipements ma\xEEtris\xE9s" + description: "Pour garantir la s\xE9curit\xE9 de son syst\xE8me d\u2019information,\ + \ l\u2019entit\xE9 doit ma\xEEtriser les \xE9quipements qui s\u2019y connectent,\ + \ chacun constituant un point d\u2019entr\xE9e potentiellement vuln\xE9rable.\ + \ Les \xE9quipements personnels (ordinateurs portables, tablettes, ordiphones,\ + \ etc.) sont, par d\xE9finition, difficilement ma\xEEtrisables dans la mesure\ + \ o\xF9 ce sont les utilisateurs qui d\xE9cident de leur niveau de s\xE9curit\xE9\ + . De la m\xEAme mani\xE8re, la s\xE9curit\xE9 des \xE9quipements dont sont\ + \ dot\xE9s les visiteurs \xE9chappe \xE0 tout contr\xF4le de l\u2019entit\xE9\ + .\nSeule la connexion de terminaux ma\xEEtris\xE9s par l\u2019entit\xE9 doit\ + \ \xEAtre autoris\xE9e sur ses diff\xE9rents r\xE9seaux d\u2019acc\xE8s, qu\u2019\ + ils soient filaire ou sans fil. Cette recommandation, avant tout d\u2019ordre\ + \ organisationnel, est souvent per\xE7ue comme inacceptable ou r\xE9trograde.\ + \ Cependant, y d\xE9roger fragilise le r\xE9seau de l\u2019entit\xE9 et sert\ + \ ainsi les int\xE9r\xEAts d\u2019un potentiel attaquant.\nLa sensibilisation\ + \ des utilisateurs doit donc s\u2019accompagner de solutions pragmatiques\ + \ r\xE9pondant \xE0 leurs besoins. Citons par exemple la mise \xE0 disposition\ + \ d\u2019un r\xE9seau Wi-Fi avec SSID d\xE9di\xE9 pour les terminaux personnels\ + \ ou visiteurs.\nRenforc\xE9 - Ces am\xE9nagements peuvent \xEAtre compl\xE9\ + t\xE9s par des mesures techniques telles que l\u2019authentification des postes\ + \ sur le r\xE9seau (par exemple \xE0 l\u2019aide du standard 802.1X ou d\u2019\ + un \xE9quivalent)." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii + assessable: false + depth: 1 + ref_id: III + name: "Authentifier et contr\xF4ler les acc\xE8s" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:8 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii + ref_id: '8' + name: "Identifier nomm\xE9ment chaque personne acc\xE9dant au syst\xE8me et\ + \ distinguer les r\xF4les utilisateur/administrateur" + description: "Afin de faciliter l\u2019attribution d\u2019une action sur le\ + \ syst\xE8me d\u2019information en cas d\u2019incident ou d\u2019identifier\ + \ d\u2019\xE9ventuels comptes compromis, les comptes d\u2019acc\xE8s doivent\ + \ \xEAtre nominatifs.\nL\u2019utilisation de comptes g\xE9n\xE9riques (ex\ + \ : admin, user) doit \xEAtre marginale et ceuxci doivent pouvoir \xEAtre\ + \ rattach\xE9s \xE0 un nombre limit\xE9 de personnes physiques.\nBien entendu,\ + \ cette r\xE8gle n\u2019interdit pas le maintien de comptes de service, rattach\xE9\ + s \xE0 un processus informatique (ex : apache, mysqld).\nDans tous les cas,\ + \ les comptes g\xE9n\xE9riques et de service doivent \xEAtre g\xE9r\xE9s selon\ + \ une politique au moins aussi stricte que celle des comptes nominatifs. Par\ + \ ailleurs, un compte d\u2019administration nominatif, distinct du compte\ + \ utilisateur, doit \xEAtre attribu\xE9 \xE0 chaque administrateur. Les identifiants\ + \ et secrets d\u2019authentification doivent \xEAtre diff\xE9rents (ex : pmartin\ + \ comme identifiant utilisateur, adm-pmartin comme identifiant administrateur).\ + \ Ce compte d\u2019administration, disposant de plus de privil\xE8ges, doit\ + \ \xEAtre d\xE9di\xE9 exclusivement aux actions d\u2019administration. De\ + \ plus, il doit \xEAtre utilis\xE9 sur des environnements d\xE9di\xE9s \xE0\ + \ l\u2019administration afin de ne pas laisser de traces de connexion ni de\ + \ condensat de mot de passe sur un environnement plus expos\xE9.\nRenforc\xE9\ + \ - D\xE8s que possible la journalisation li\xE9e aux comptes (ex : relev\xE9\ + \ des connexions r\xE9ussies/\xE9chou\xE9es) doit \xEAtre activ\xE9e." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:9 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii + ref_id: '9' + name: "Attribuer les bons droits sur les ressources sensibles du syst\xE8me\ + \ d\u2019information" + description: "Certaines des ressources du syst\xE8me peuvent constituer une\ + \ source d\u2019information pr\xE9cieuse aux yeux d\u2019un attaquant (r\xE9\ + pertoires contenant des donn\xE9es sensibles, bases de donn\xE9es, bo\xEE\ + tes aux lettres \xE9lectroniques, etc.). Il est donc primordial d\u2019\xE9\ + tablir une liste pr\xE9cise de ces ressources et pour chacune d\u2019entre\ + \ elles :\n> de d\xE9finir quelle population peut y avoir acc\xE8s ;\n> de\ + \ contr\xF4ler strictement son acc\xE8s, en s\u2019assurant que les utilisateurs\ + \ sont authentifi\xE9s et font partie de la population cibl\xE9e ;\n> d\u2019\ + \xE9viter sa dispersion et sa duplication \xE0 des endroits non ma\xEEtris\xE9\ + s ou soumis \xE0 un contr\xF4le d\u2019acc\xE8s moins strict.\nPar exemple,\ + \ les r\xE9pertoires des administrateurs regroupant de nombreuses informations\ + \ sensibles doivent faire l\u2019objet d\u2019un contr\xF4le d\u2019acc\xE8\ + s pr\xE9cis. Il en va de m\xEAme pour les informations sensibles pr\xE9sentes\ + \ sur des partages r\xE9seau : exports de fichiers de configuration, documentation\ + \ technique du syst\xE8me d\u2019information, bases de donn\xE9es m\xE9tier,\ + \ etc. Une revue r\xE9guli\xE8re des droits d\u2019acc\xE8s doit par ailleurs\ + \ \xEAtre r\xE9alis\xE9e afin d\u2019identifier les acc\xE8s non autoris\xE9\ + s." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:10 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii + ref_id: '10' + name: "\_ D\xE9finir et v\xE9rifier des r\xE8gles de choix et de dimensionnement\ + \ des mots de passe" + description: "L\u2019ANSSI \xE9nonce un ensemble de r\xE8gles et de bonnes pratiques\ + \ en mati\xE8re de choix et de dimensionnement des mots de passe. Parmi les\ + \ plus critiques de ces r\xE8gles figure la sensibilisation des utilisateurs\ + \ aux risques li\xE9s au choix d\u2019un mot de passe qui serait trop facile\ + \ \xE0 deviner, ou encore la r\xE9utilisation de mots de passe d\u2019une\ + \ application \xE0 l\u2019autre et plus particuli\xE8rement entre messageries\ + \ personnelles et professionnelles.\nPour encadrer et v\xE9rifier l\u2019\ + application de ces r\xE8gles de choix et de dimensionnement, l\u2019entit\xE9\ + \ pourra recourir \xE0 diff\xE9rentes mesures parmi lesquelles :\n> le blocage\ + \ des comptes \xE0 l\u2019issue de plusieurs \xE9checs de connexion ;\n> la\ + \ d\xE9sactivation des options de connexion anonyme ;\n> l\u2019utilisation\ + \ d\u2019un outil d\u2019audit de la robustesse des mots de passe.\nEn amont\ + \ de telles proc\xE9dures, un effort de communication visant \xE0 expliquer\ + \ le sens de ces r\xE8gles et \xE9veiller les consciences sur leur importance\ + \ est fondamental." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:11 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii + ref_id: '11' + name: "Prot\xE9ger les mots de passe stock\xE9s sur les syst\xE8mes" + description: "La complexit\xE9, la diversit\xE9 ou encore l\u2019utilisation\ + \ peu fr\xE9quente de certains mots de passe, peuvent encourager leur stockage\ + \ sur un support physique\n(m\xE9mo, post-it) ou num\xE9rique (fichiers de\ + \ mots de passe, envoi par mail \xE0 soi-m\xEAme, recours aux boutons \xAB\ + \ Se souvenir du mot de passe \xBB) afin de pallier\ntout oubli ou perte.\n\ + Or, les mots de passe sont une cible privil\xE9gi\xE9e par les attaquants\ + \ d\xE9sireux d\u2019acc\xE9der au syst\xE8me, que cela fasse suite \xE0 un\ + \ vol ou \xE0 un \xE9ventuel partage du support de stockage. C\u2019est pourquoi\ + \ ils doivent imp\xE9rativement \xEAtre prot\xE9g\xE9s au moyen de solutions\ + \ s\xE9curis\xE9es au premier rang desquelles figurent l\u2019utilisation\ + \ d\u2019un coffre-fort num\xE9rique et le recours \xE0 des m\xE9canismes\ + \ de chiffrement.\nBien entendu, le choix d\u2019un mot de passe pour ce coffre-fort\ + \ num\xE9rique doit respecter les r\xE8gles \xE9nonc\xE9es pr\xE9c\xE9demment\ + \ et \xEAtre m\xE9moris\xE9 par l\u2019utilisateur, qui n\u2019a plus que\ + \ celui-ci \xE0 retenir." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:12 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii + ref_id: '12' + name: "Changer les \xE9l\xE9ments d\u2019authentification par d\xE9faut sur\ + \ les \xE9quipements et services" + description: "Il est imp\xE9ratif de partir du principe que les configurations\ + \ par d\xE9faut des syst\xE8mes d\u2019information sont syst\xE9matiquement\ + \ connues des attaquants, quand bien m\xEAme celles-ci ne le sont pas du grand\ + \ public. Ces configurations se r\xE9v\xE8lent (trop) souvent triviales (mot\ + \ de passe identique \xE0 l\u2019identifiant, mal dimensionn\xE9 ou commun\ + \ \xE0 l\u2019ensemble des \xE9quipements et services par exemple) et sont,\ + \ la plupart du temps, faciles \xE0 obtenir pour des attaquants capables de\ + \ se faire passer pour un utilisateur l\xE9gitime.\nLes \xE9l\xE9ments d\u2019\ + authentification par d\xE9faut des composants du syst\xE8me doivent donc \xEA\ + tre modifi\xE9s d\xE8s leur installation et, s\u2019agissant de mots de passe,\ + \ \xEAtre conformes aux recommandations pr\xE9c\xE9dentes en mati\xE8re de\ + \ choix, de dimensionnement et de stockage.\nSi le changement d\u2019un identifiant\ + \ par d\xE9faut se r\xE9v\xE8le impossible pour cause, par exemple, de mot\ + \ de passe ou certificat \xAB en dur \xBB dans un \xE9quipement, ce probl\xE8\ + me critique doit \xEAtre signal\xE9 au distributeur du produit afin que cette\ + \ vuln\xE9rabilit\xE9 soit corrig\xE9e au plus vite.\nRenforc\xE9 - Afin de\ + \ limiter les cons\xE9quences d\u2019une compromission, il est par ailleurs\ + \ essentiel, apr\xE8s changement des \xE9l\xE9ments d\u2019authentification\ + \ par d\xE9faut, de proc\xE9der \xE0 leur renouvellement r\xE9gulier." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:13 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iii + ref_id: '13' + name: "Privil\xE9gier lorsque c\u2019est possible une authentification forte" + description: "Il est vivement recommand\xE9 de mettre en \u0153uvre une authentification\ + \ forte n\xE9cessitant l\u2019utilisation de deux facteurs d\u2019authentification\ + \ diff\xE9rents parmi les suivants :\n> quelque chose que je sais (mot de\ + \ passe, trac\xE9 de d\xE9verrouillage, signature) ;\n> quelque chose que\ + \ je poss\xE8de (carte \xE0 puce, jeton USB, carte magn\xE9tique, RFID, un\ + \ t\xE9l\xE9phone pour recevoir un code SMS) ;\n> quelque chose que je suis\ + \ (une empreinte biom\xE9trique).\nRenforc\xE9 - Les cartes \xE0 puces doivent\ + \ \xEAtre privil\xE9gi\xE9es ou, \xE0 d\xE9faut, les m\xE9canismes de mots\ + \ de passe \xE0 usage unique (ou One Time Password) avec jeton physique. Les\ + \ op\xE9rations cryptographiques mises en place dans ces deux facteurs offrent\ + \ g\xE9n\xE9ralement de bonnes garanties de s\xE9curit\xE9.\nLes cartes \xE0\ + \ puce peuvent \xEAtre plus complexes \xE0 mettre en place car n\xE9cessitant\ + \ une infrastructure de gestion des cl\xE9s adapt\xE9e. Elles pr\xE9sentent\ + \ cependant l\u2019avantage d\u2019\xEAtre r\xE9utilisables \xE0 plusieurs\ + \ fins : chiffrement, authentification de messagerie, authentification sur\ + \ le poste de travail, etc." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv + assessable: false + depth: 1 + ref_id: IV + name: "S\xE9curiser les postes" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:14 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv + ref_id: '14' + name: "Mettre en place un niveau de s\xE9curit\xE9 minimal sur l\u2019ensemble\ + \ du parc informatique" + description: "L\u2019utilisateur plus ou moins au fait des bonnes pratiques\ + \ de s\xE9curit\xE9 informatique est, dans de tr\xE8s nombreux cas, la premi\xE8\ + re porte d\u2019entr\xE9e des attaquants vers le syst\xE8me. Il est donc fondamental\ + \ de mettre en place un niveau de s\xE9curit\xE9 minimal sur l\u2019ensemble\ + \ du parc informatique de l\u2019entit\xE9 (postes utilisateurs, serveurs,\ + \ imprimantes, t\xE9l\xE9phones, p\xE9riph\xE9riques USB, etc.) en impl\xE9\ + mentant les mesures suivantes :\n> limiter les applications install\xE9es\ + \ et modules optionnels des navigateurs web aux seuls n\xE9cessaires ;\n>\ + \ doter les postes utilisateurs d\u2019un pare-feu local et d\u2019un anti-virus\ + \ (ceux-ci sont parfois inclus dans le syst\xE8me d\u2019exploitation) ;\n\ + > chiffrer les partitions o\xF9 sont stock\xE9es les donn\xE9es des utilisateurs\ + \ ; \n> d\xE9sactiver les ex\xE9cutions automatiques (autorun).\nEn cas de\ + \ d\xE9rogation n\xE9cessaire aux r\xE8gles de s\xE9curit\xE9 globales applicables\ + \ aux postes, ceux-ci doivent \xEAtre isol\xE9s du syst\xE8me (s\u2019il est\ + \ impossible de mettre \xE0 jour certaines applications pour des raisons de\ + \ compatibilit\xE9 par exemple).\nRenforc\xE9 - Les donn\xE9es vitales au\ + \ bon fonctionnement de l\u2019entit\xE9 que d\xE9tiennent les postes utilisateurs\ + \ et les serveurs doivent faire l\u2019objet de sauvegardes r\xE9guli\xE8\ + res et stock\xE9es sur des \xE9quipements d\xE9connect\xE9s, et leur restauration\ + \ doit \xEAtre v\xE9rifi\xE9e de mani\xE8re p\xE9riodique. En effet, de plus\ + \ en plus de petites structures font l\u2019objet d\u2019attaques rendant\ + \ ces donn\xE9es indisponibles (par exemple pour exiger en contrepartie de\ + \ leur restitution le versement d\u2019une somme cons\xE9quente (ran\xE7ongiciel))." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:15 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv + ref_id: '15' + name: "Se prot\xE9ger des menaces relatives \xE0 l\u2019utilisation de supports\ + \ amovibles" + description: "Les supports amovibles peuvent \xEAtre utilis\xE9s afin de propager\ + \ des virus, voler des informations sensibles et strat\xE9giques ou encore\ + \ compromettre le r\xE9seau de l\u2019entit\xE9. De tels agissements peuvent\ + \ avoir des cons\xE9quences d\xE9sastreuses pour l\u2019activit\xE9 de la\ + \ structure cibl\xE9e.\nS\u2019il n\u2019est pas question d\u2019interdire\ + \ totalement l\u2019usage de supports amovibles au sein de l\u2019entit\xE9\ + , il est n\xE9anmoins n\xE9cessaire de traiter ces risques en identifiant\ + \ des mesures ad\xE9quates et en sensibilisant les utilisateurs aux risques\ + \ que ces supports peuvent v\xE9hiculer.\nIl convient notamment de proscrire\ + \ le branchement de cl\xE9s USB inconnues (ramass\xE9es dans un lieu public\ + \ par exemple) et de limiter au maximum celui de cl\xE9s non ma\xEEtris\xE9\ + es (dont on connait la provenance mais pas l\u2019int\xE9grit\xE9) sur le\ + \ syst\xE8me d\u2019information \xE0 moins, dans ce dernier cas, de faire\ + \ inspecter leur contenu par l\u2019antivirus du poste de travail.\nRenforc\xE9\ + \ - Sur les postes utilisateur, il est recommand\xE9 d\u2019utiliser des solutions\ + \ permettant d\u2019interdire l\u2019ex\xE9cution de programmes sur les p\xE9\ + riph\xE9riques amovibles (par exemple Applocker sous Windows ou des options\ + \ de montage noexec sous Unix). \nLors de la fin de vie des supports amovibles,\ + \ il sera n\xE9cessaire d\u2019impl\xE9menter et de respecter une proc\xE9\ + dure de mise au rebut stricte pouvant aller jusqu\u2019\xE0 leur destruction\ + \ s\xE9curis\xE9e afin de limiter la fuite d\u2019informations sensibles." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:16 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv + ref_id: '16' + name: "Utiliser un outil de gestion centralis\xE9e afin d\u2019homog\xE9n\xE9\ + iser les politiques de s\xE9curit\xE9" + description: "La s\xE9curit\xE9 du syst\xE8me d\u2019information repose sur\ + \ la s\xE9curit\xE9 du maillon le plus faible. Il est donc n\xE9cessaire d\u2019\ + homog\xE9n\xE9iser la gestion des politiques de s\xE9curit\xE9 s\u2019appliquant\ + \ \xE0 l\u2019ensemble du parc informatique de l\u2019entit\xE9.\nL\u2019\ + application de ces politiques (gestion des mots de passe, restrictions de\ + \ connexions sur certains postes sensibles, configuration des navigateurs\ + \ Web, etc.) doit \xEAtre simple et rapide pour les administrateurs, en vue\ + \ notamment de faciliter la mise en \u0153uvre de contre-mesures en cas de\ + \ crise informatique.\nPour cela, l\u2019entit\xE9 pourra se doter d\u2019\ + un outil de gestion centralis\xE9e (par exemple Active Directory en environnement\ + \ Microsoft) auquel il s\u2019agit d\u2019inclure le plus grand nombre d\u2019\ + \xE9quipements informatiques possible. Les postes de travail et les serveurs\ + \ sont concern\xE9s par cette mesure qui n\xE9cessite \xE9ventuellement en\ + \ amont un travail d\u2019harmonisation des choix de mat\xE9riels et de syst\xE8\ + mes d\u2019exploitation.\nAinsi, des politiques de durcissement du syst\xE8\ + me d\u2019exploitation ou d\u2019applications pourront facilement s\u2019\ + appliquer depuis un point central tout en favorisant la r\xE9activit\xE9 attendue\ + \ en cas de besoin de reconfiguration." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:17 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv + ref_id: '17' + name: Activer et configurer le pare-feu local des postes de travail + description: "Apr\xE8s avoir r\xE9ussi \xE0 prendre le contr\xF4le d\u2019un\ + \ poste de travail (\xE0 cause, par exemple, d\u2019une vuln\xE9rabilit\xE9\ + \ pr\xE9sente dans le navigateur Internet), un attaquant cherchera souvent\ + \ \xE0 \xE9tendre son intrusion aux autres postes de travail pour, in fine,\ + \ acc\xE9der aux documents des utilisateurs.\nAfin de rendre plus difficile\ + \ ce d\xE9placement lat\xE9ral de l\u2019attaquant, il est n\xE9cessaire d\u2019\ + activer le pare-feu local des postes de travail au moyen de logiciels int\xE9\ + gr\xE9s (pare-feu local Windows) ou sp\xE9cialis\xE9s.\nLes flux de poste\ + \ \xE0 poste sont en effet tr\xE8s rares dans un r\xE9seau bureautique classique\ + \ : les fichiers sont stock\xE9s dans des serveurs de fichiers, les applications\ + \ accessibles sur des serveurs m\xE9tier, etc.\nRenforc\xE9 - Le filtrage\ + \ le plus simple consiste \xE0 bloquer l\u2019acc\xE8s aux ports d\u2019administration\ + \ par d\xE9faut des postes de travail (ports TCP 135, 445 et 3389 sous Windows,\ + \ port TCP 22 sous Unix), except\xE9 depuis les ressources explicitement identifi\xE9\ + es (postes d\u2019administration et d\u2019assistance utilisateur, \xE9ventuels\ + \ serveurs de gestion requ\xE9rant l\u2019acc\xE8s \xE0 des partages r\xE9\ + seau sur les postes, etc.).\nUne analyse des flux entrants utiles (administration,\ + \ logiciels d\u2019infrastructure, applications particuli\xE8res, etc.) doit\ + \ \xEAtre men\xE9e pour d\xE9finir la liste des autorisations \xE0 configurer.\ + \ Il est pr\xE9f\xE9rable de bloquer l\u2019ensemble des flux par d\xE9faut\ + \ et de n\u2019autoriser que les services n\xE9cessaires depuis les \xE9quipements\ + \ correspondants (\xAB liste blanche \xBB).\nLe pare-feu doit \xE9galement\ + \ \xEAtre configur\xE9 pour journaliser les flux bloqu\xE9s, et ainsi identifier\ + \ les erreurs de configuration d\u2019applications ou les tentatives d\u2019\ + intrusion." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:18 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:iv + ref_id: '18' + name: "Chiffrer les donn\xE9es sensibles transmises par voie Internet" + description: "Internet est un r\xE9seau sur lequel il est quasi impossible d\u2019\ + obtenir des garanties sur le trajet que vont emprunter les donn\xE9es que\ + \ l\u2019on y envoie. Il est donc tout \xE0 fait possible qu\u2019un attaquant\ + \ se trouve sur le trajet de donn\xE9es transitant entre deux correspondants.\n\ + Toutes les donn\xE9es envoy\xE9es par courriel ou transmises au moyen d\u2019\ + outils d\u2019h\xE9bergement en ligne (Cloud) sont par cons\xE9quent vuln\xE9\ + rables. Il s\u2019agit donc de proc\xE9der \xE0 leur chiffrement syst\xE9\ + matique avant de les adresser \xE0 un correspondant ou de les h\xE9berger.\n\ + La transmission du secret (mot de passe, cl\xE9, etc.) permettant alors de\ + \ d\xE9chiffrer les donn\xE9es, si elle est n\xE9cessaire, doit \xEAtre effectu\xE9\ + e via un canal de confiance ou, \xE0 d\xE9faut, un canal distinct du canal\ + \ de transmission des donn\xE9es. Ainsi, si les donn\xE9es chiffr\xE9es sont\ + \ transmises par courriel, une remise en main propre du mot de passe ou, \xE0\ + \ d\xE9faut, par t\xE9l\xE9phone doit \xEAtre privil\xE9gi\xE9e." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + assessable: false + depth: 1 + ref_id: V + name: "S\xE9curiser le r\xE9seau" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:19 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '19' + name: "Segmenter le r\xE9seau et mettre en place un cloisonnement entre ces\ + \ zones" + description: "Lorsque le r\xE9seau est \xAB \xE0 plat \xBB, sans aucun m\xE9\ + canisme de cloisonnement, chaque machine du r\xE9seau peut acc\xE9der \xE0\ + \ n\u2019importe quelle autre machine. La compromission de l\u2019une d\u2019\ + elles met alors en p\xE9ril l\u2019ensemble des machines connect\xE9es. Un\ + \ attaquant peut ainsi compromettre un poste utilisateur et ensuite \xAB rebondir\ + \ \xBB jusqu\u2019\xE0 des serveurs critiques.\nIl est donc important, d\xE8\ + s la conception de l\u2019architecture r\xE9seau, de raisonner par segmentation\ + \ en zones compos\xE9es de syst\xE8mes ayant des besoins de s\xE9curit\xE9\ + \ homog\xE8nes. On pourra par exemple regrouper distinctement des serveurs\ + \ d\u2019infrastructure, des serveurs m\xE9tiers, des postes de travail utilisateurs,\ + \ des postes de travail administrateurs, des postes de t\xE9l\xE9phonie sur\ + \ IP, etc.\nUne zone se caract\xE9rise alors par des VLAN et des sous-r\xE9\ + seaux IP d\xE9di\xE9s voire par des infrastructures d\xE9di\xE9es selon sa\ + \ criticit\xE9. Ainsi, des mesures de cloisonnement telles qu\u2019un filtrage\ + \ IP \xE0 l\u2019aide d\u2019un pare-feu peuvent \xEAtre mises en place entre\ + \ les diff\xE9rentes zones. On veillera en particulier \xE0 cloisonner autant\ + \ que possible les \xE9quipements et flux associ\xE9s aux t\xE2ches d\u2019\ + administration.\nPour les r\xE9seaux dont le cloisonnement a posteriori ne\ + \ serait pas ais\xE9, il est recommand\xE9 d\u2019int\xE9grer cette d\xE9\ + marche dans toute nouvelle extension du r\xE9seau ou \xE0 l\u2019occasion\ + \ d\u2019un renouvellement d\u2019\xE9quipements." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:20 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '20' + name: "S'assurer de la s\xE9curit\xE9 des r\xE9seaux d'acc\xE8s Wi-Fi et de\ + \ la s\xE9paration des usages" + description: "L\u2019usage du Wi-Fi en milieu professionnel est aujourd\u2019\ + hui d\xE9mocratis\xE9 mais pr\xE9sente toujours des risques de s\xE9curit\xE9\ + \ bien sp\xE9cifiques : faibles garanties en mati\xE8re de disponibilit\xE9\ + , pas de ma\xEEtrise de la zone de couverture pouvant mener \xE0 une attaque\ + \ hors du p\xE9rim\xE8tre g\xE9ographique de l\u2019entit\xE9, configuration\ + \ par d\xE9faut des points d\u2019acc\xE8s peu s\xE9curis\xE9e, etc.\nLa segmentation\ + \ de l\u2019architecture r\xE9seau doit permettre de limiter les cons\xE9\ + quences d\u2019une intrusion par voie radio \xE0 un p\xE9rim\xE8tre d\xE9\ + termin\xE9 du syst\xE8me d\u2019information. Les flux en provenance des postes\ + \ connect\xE9s au r\xE9seau d\u2019acc\xE8s Wi-Fi doivent donc \xEAtre filtr\xE9\ + s et restreints aux seuls flux n\xE9cessaires.\nDe plus, il est important\ + \ d\u2019avoir recours prioritairement \xE0 un chiffrement robuste (mode WPA2,\ + \ algorithme AES CCMP) et \xE0 une authentification centralis\xE9e, si possible\ + \ par certificats clients des machines.\nLa protection du r\xE9seau Wi-Fi\ + \ par un mot de passe unique et partag\xE9 est d\xE9conseill\xE9e. \xC0 d\xE9\ + faut, il doit \xEAtre complexe et son renouvellement pr\xE9vu mais il ne doit\ + \ en aucun cas \xEAtre diffus\xE9 \xE0 des tiers non autoris\xE9s.\nLes points\ + \ d\u2019acc\xE8s doivent par ailleurs \xEAtre administr\xE9s de mani\xE8\ + re s\xE9curis\xE9e (ex : interface d\xE9di\xE9e, modification du mot de passe\ + \ administrateur par d\xE9faut).\nEnfin, toute connexion Wi-Fi de terminaux\ + \ personnels ou visiteurs (ordinateurs portables, ordiphones) doit \xEAtre\ + \ s\xE9par\xE9e des connexions Wi-Fi des terminaux de l\u2019entit\xE9 (ex\ + \ : SSID et VLAN distincts, acc\xE8s Internet d\xE9di\xE9)." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:21 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '21' + name: "Utiliser des protocoles r\xE9seaux s\xE9curis\xE9s d\xE8s qu'ils existent" + description: "Si aujourd\u2019hui la s\xE9curit\xE9 n\u2019est plus optionnelle,\ + \ cela n\u2019a pas toujours \xE9t\xE9 le cas. C\u2019est pourquoi de nombreux\ + \ protocoles r\xE9seaux ont d\xFB \xE9voluer pour int\xE9grer cette composante\ + \ et r\xE9pondre aux besoins de confidentialit\xE9 et d\u2019int\xE9grit\xE9\ + \ qu\u2019impose l\u2019\xE9change de donn\xE9es. Les protocoles r\xE9seaux\ + \ s\xE9curis\xE9s doivent \xEAtre utilis\xE9s d\xE8s que possible, que ce\ + \ soit sur des r\xE9seaux publics (Internet par exemple) ou sur le r\xE9seau\ + \ interne de l\u2019entit\xE9.\nBien qu\u2019il soit difficile d\u2019en dresser\ + \ une liste exhaustive, les protocoles les plus courants reposent sur l\u2019\ + utilisation de TLS et sont souvent identifiables par l\u2019ajout de la lettre\ + \ \xAB s \xBB (pour secure en anglais) \xE0 l\u2019acronyme du protocole.\ + \ Citons par exemple hTTPS pour la navigation Web ou IMAPS, SMTPS ou POP3S\ + \ pour la messagerie.\nD\u2019autres protocoles ont \xE9t\xE9 con\xE7us de\ + \ mani\xE8re s\xE9curis\xE9e d\xE8s la conception pour se substituer \xE0\ + \ d\u2019anciens protocoles non s\xE9curis\xE9s. Citons par exemple SSh (Secure\ + \ SHell) venu remplacer les protocoles de communication historiques TELNET\ + \ et RLOGIN." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:22 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '22' + name: "Mettre en place une passerelle d'acc\xE8s s\xE9curis\xE9 \xE0 Internet" + description: "L\u2019acc\xE8s \xE0 Internet, devenu indispensable, pr\xE9sente\ + \ des risques importants : sites Web h\xE9bergeant du code malveillant, t\xE9\ + l\xE9chargement de fichiers \xAB toxiques \xBB et, par cons\xE9quent, possible\ + \ prise de contr\xF4le du terminal, fuite de donn\xE9es sensibles, etc. Pour\ + \ s\xE9curiser cet usage, il est donc indispensable que les terminaux utilisateurs\ + \ n\u2019aient pas d\u2019acc\xE8s r\xE9seau direct \xE0 Internet.\nC\u2019\ + est pourquoi il est recommand\xE9 de mettre en \u0153uvre une passerelle s\xE9\ + curis\xE9e d\u2019acc\xE8s \xE0 Internet comprenant au minimum un pare-feu\ + \ au plus pr\xE8s de l\u2019acc\xE8s Internet pour filtrer les connexions\ + \ et un serveur mandataire (proxy) embarquant diff\xE9rents m\xE9canismes\ + \ de s\xE9curit\xE9. Celui-ci assure notamment l\u2019authentification des\ + \ utilisateurs et la journalisation des requ\xEAtes.\nRenforc\xE9 - Des m\xE9\ + canismes compl\xE9mentaires sur le serveur mandataire pourront \xEAtre activ\xE9\ + s selon les besoins de l\u2019entit\xE9 : analyse antivirus du contenu, filtrage\ + \ par cat\xE9gories d\u2019URLs, etc. Le maintien en condition de s\xE9curit\xE9\ + \ des \xE9quipements de la passerelle est essentiel, il fera donc l\u2019\ + objet de proc\xE9dures \xE0 respecter. Suivant le nombre de collaborateurs\ + \ et le besoin de disponibilit\xE9, ces \xE9quipements pourront \xEAtre redond\xE9\ + s. \nPar ailleurs, pour les terminaux utilisateurs, les r\xE9solutions DNS\ + \ en direct de noms de domaines publics seront par d\xE9faut d\xE9sactiv\xE9\ + es, celles-ci \xE9tant d\xE9l\xE9gu\xE9es au serveur mandataire.\nEnfin, il\ + \ est fortement recommand\xE9 que les postes nomades \xE9tablissent au pr\xE9\ + alable une connexion s\xE9curis\xE9e au syst\xE8me d\u2019information de l\u2019\ + entit\xE9 pour naviguer de mani\xE8re s\xE9curis\xE9e sur le Web \xE0 travers\ + \ la passerelle." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:23 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '23' + name: "Cloisonner les services visibles depuis Internet du reste du syst\xE8\ + me d'information" + description: "Une entit\xE9 peut choisir d\u2019h\xE9berger en interne des services\ + \ visibles sur Internet (site web, serveur de messagerie, etc.). Au regard\ + \ de l\u2019\xE9volution et du perfectionnement des cyberattaques sur Internet,\ + \ il est essentiel de garantir un haut niveau de protection de ce service\ + \ avec des administrateurs comp\xE9tents, form\xE9s de mani\xE8re continue\ + \ (\xE0 l\u2019\xE9tat de l\u2019art des technologies en la mati\xE8re) et\ + \ disponibles. Dans le cas contraire, le recours \xE0 un h\xE9bergement externalis\xE9\ + \ aupr\xE8s de professionnels est \xE0 privil\xE9gier.\nDe plus, les infrastructures\ + \ d\u2019h\xE9bergement Internet doivent \xEAtre physiquement cloisonn\xE9\ + es de toutes les infrastructures du syst\xE8me d\u2019information qui n\u2019\ + ont pas vocation \xE0 \xEAtre visibles depuis Internet.\nEnfin, il convient\ + \ de mettre en place une infrastructure d\u2019interconnexion de ces services\ + \ avec Internet permettant de filtrer les flux li\xE9s \xE0 ces services de\ + \ mani\xE8re distincte des autres flux de l\u2019entit\xE9. Il s\u2019agit\ + \ \xE9galement d\u2019imposer le passage des flux entrants par un serveur\ + \ mandataire inverse (reverse proxy) embarquant diff\xE9rents m\xE9canismes\ + \ de s\xE9curit\xE9." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:24 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '24' + name: "Prot\xE9ger sa messagerie professionnelle" + description: "La messagerie est le principal vecteur d\u2019infection du poste\ + \ de travail, qu\u2019il s\u2019agisse de l\u2019ouverture de pi\xE8ces jointes\ + \ contenant un code malveillant ou du clic malencontreux sur un lien redirigeant\ + \ vers un site lui-m\xEAme malveillant.\nLes utilisateurs doivent \xEAtre\ + \ particuli\xE8rement sensibilis\xE9s \xE0 ce sujet : l\u2019exp\xE9diteur\ + \ est-il connu ? Une information de sa part est-elle attendue ? Le lien propos\xE9\ + \ est-il coh\xE9rent avec le sujet \xE9voqu\xE9 ? En cas de doute, une v\xE9\ + rification de l\u2019authenticit\xE9 du message par un autre canal (t\xE9\ + l\xE9phone, SMS, etc.) est n\xE9cessaire. \nPour se pr\xE9munir d\u2019escroqueries\ + \ (ex : demande de virement frauduleux \xE9manant vraisemblablement d\u2019\ + un dirigeant), des mesures organisationnelles doivent \xEAtre appliqu\xE9\ + es strictement.\nPar ailleurs, la redirection de messages professionnels vers\ + \ une messagerie personnelle est \xE0 proscrire car cela constitue une fuite\ + \ irr\xE9m\xE9diable d\u2019informations de l\u2019entit\xE9. Si n\xE9cessaire\ + \ des moyens ma\xEEtris\xE9s et s\xE9curis\xE9s pour l\u2019acc\xE8s distant\ + \ \xE0 la messagerie professionnelle doivent \xEAtre propos\xE9s. \nQue l\u2019\ + entit\xE9 h\xE9berge ou fasse h\xE9berger son syst\xE8me de messagerie, elle\ + \ doit s\u2019assurer :\n> de disposer d\u2019un syst\xE8me d\u2019analyse\ + \ antivirus en amont des bo\xEEtes aux lettres des utilisateurs pour pr\xE9\ + venir la r\xE9ception de fichiers infect\xE9s ;\n> de l\u2019activation du\ + \ chiffrement TLS des \xE9changes entre serveurs de messagerie (de l\u2019\ + entit\xE9 ou publics) ainsi qu\u2019entre les postes utilisateur et les serveurs\ + \ h\xE9bergeant les bo\xEEtes aux lettres.\nRenforc\xE9 - Il est souhaitable\ + \ de ne pas exposer directement les serveurs de bo\xEEte aux lettres sur Internet.\ + \ Dans ce cas, un serveur relai d\xE9di\xE9 \xE0 l\u2019envoi et \xE0 la r\xE9\ + ception des messages doit \xEAtre mis en place en coupure d\u2019Internet.\n\ + Alors que le spam - malveillant ou non - constitue la majorit\xE9 des courriels\ + \ \xE9chang\xE9s sur Internet, le d\xE9ploiement d\u2019un service anti-spam\ + \ doit permettre d\u2019\xE9liminer cette source de risques.\nEnfin, l\u2019\ + administrateur de messagerie s\u2019assurera de la mise en place des m\xE9\ + canismes de v\xE9rification d\u2019authenticit\xE9 et de la bonne configuration\ + \ des enregistrements DNS publics li\xE9s \xE0 son infrastructure de messagerie\ + \ (MX, SPF, DKIM, DMARC)." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:25 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '25' + name: "S\xE9curiser les interconnexions r\xE9seau d\xE9di\xE9es avec les partenaires" + description: "Pour des besoins op\xE9rationnels, une entit\xE9 peut \xEAtre\ + \ amen\xE9e \xE0 \xE9tablir une interconnexion r\xE9seau d\xE9di\xE9e avec\ + \ un fournisseur ou un client (ex : infog\xE9rance, \xE9change de donn\xE9\ + es informatis\xE9es, flux mon\xE9tiques, etc.).\nCette interconnexion peut\ + \ se faire au travers d\u2019un lien sur le r\xE9seau priv\xE9 de l\u2019\ + entit\xE9 ou directement sur Internet. Dans le second cas, il convient d\u2019\ + \xE9tablir un tunnel site \xE0 site, de pr\xE9f\xE9rence IPsec, en respectant\ + \ les pr\xE9conisations de l\u2019ANSSI.\nLe partenaire \xE9tant consid\xE9\ + r\xE9 par d\xE9faut comme non s\xFBr, il est indispensable d\u2019effectuer\ + \ un filtrage IP \xE0 l\u2019aide d\u2019un pare-feu au plus pr\xE8s de l\u2019\ + entr\xE9e des flux sur le r\xE9seau de l\u2019entit\xE9. La matrice des flux\ + \ (entrants et sortants) devra \xEAtre r\xE9duite au juste besoin op\xE9rationnel,\ + \ maintenue dans le temps et la configuration des \xE9quipements devra y \xEA\ + tre conforme.\nRenforc\xE9 - Pour des entit\xE9s ayant des besoins de s\xE9\ + curit\xE9 plus exigeants, il conviendra de s\u2019assurer que l\u2019\xE9\ + quipement de filtrage IP pour les connexions partenaires est d\xE9di\xE9 \xE0\ + \ cet usage. L\u2019ajout d\u2019un \xE9quipement de d\xE9tection d\u2019\ + intrusions peut \xE9galement constituer une bonne pratique. \nPar ailleurs\ + \ la connaissance d\u2019un point de contact \xE0 jour chez le partenaire\ + \ est n\xE9cessaire pour pouvoir r\xE9agir en cas d\u2019incident de s\xE9\ + curit\xE9." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:26 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:v + ref_id: '26' + name: "Contr\xF4ler et prot\xE9ger l'acc\xE8s aux salles serveurs et aux locaux\ + \ techniques" + description: "Les m\xE9canismes de s\xE9curit\xE9 physique doivent faire partie\ + \ int\xE9grante de la s\xE9curit\xE9 des syst\xE8mes d\u2019information et\ + \ \xEAtre \xE0 l\u2019\xE9tat de l\u2019art afin de s\u2019assurer qu\u2019\ + ils ne puissent pas \xEAtre contourn\xE9s ais\xE9ment par un attaquant. Il\ + \ convient donc d\u2019identifier les mesures de s\xE9curit\xE9 physique ad\xE9\ + quates et de sensibiliser continuellement les utilisateurs aux risques engendr\xE9\ + s par le contournement des r\xE8gles.\nLes acc\xE8s aux salles serveurs et\ + \ aux locaux techniques doivent \xEAtre contr\xF4l\xE9s \xE0 l\u2019aide de\ + \ serrures ou de m\xE9canismes de contr\xF4le d\u2019acc\xE8s par badge. Les\ + \ acc\xE8s non accompagn\xE9s des prestataires ext\xE9rieurs aux salles serveurs\ + \ et aux locaux techniques sont \xE0 proscrire, sauf s\u2019il est possible\ + \ de tracer strictement les acc\xE8s et de limiter ces derniers en fonction\ + \ des plages horaires. Une revue des droits d\u2019acc\xE8s doit \xEAtre r\xE9\ + alis\xE9e r\xE9guli\xE8rement afin d\u2019identifier les acc\xE8s non autoris\xE9\ + s.\nLors du d\xE9part d\u2019un collaborateur ou d\u2019un changement de prestataire,\ + \ il est n\xE9cessaire de proc\xE9der au retrait des droits d\u2019acc\xE8\ + s ou au changement des codes d\u2019acc\xE8s.\nEnfin, les prises r\xE9seau\ + \ se trouvant dans des zones ouvertes au public (salle de r\xE9union, hall\ + \ d\u2019accueil, couloirs, placards, etc.) doivent \xEAtre restreintes ou\ + \ d\xE9sactiv\xE9es afin d\u2019emp\xEAcher un attaquant de gagner facilement\ + \ l\u2019acc\xE8s au r\xE9seau de l\u2019entreprise." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi + assessable: false + depth: 1 + ref_id: VI + name: "S\xE9curiser l'administration" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:27 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi + ref_id: '27' + name: "Interdire l\u2019acc\xE8s \xE0 Internet depuis les postes ou serveurs\ + \ utilis\xE9s pour l\u2019administration du syst\xE8me d\u2019information" + description: "Un poste de travail ou un serveur utilis\xE9 pour les actions\ + \ d\u2019administration ne doit en aucun cas avoir acc\xE8s \xE0 Internet,\ + \ en raison des risques que la navigation Web (\xE0 travers des sites contenant\ + \ du code malveillant) et la messagerie (au travers de pi\xE8ces jointes potentiellement\ + \ v\xE9rol\xE9es) font peser sur son int\xE9grit\xE9.\nPour les autres usages\ + \ des administrateurs n\xE9cessitant Internet (consultation de documentation\ + \ en ligne, de leur messagerie, etc.), il est recommand\xE9 de mettre \xE0\ + \ leur disposition un poste de travail distinct. \xC0 d\xE9faut, l\u2019acc\xE8\ + s \xE0 une infrastructure virtualis\xE9e distante pour la bureautique depuis\ + \ un poste d\u2019administration est envisageable. La r\xE9ciproque consistant\ + \ \xE0 fournir un acc\xE8s distant \xE0 une infrastructure d\u2019administration\ + \ depuis un poste bureautique est d\xE9conseill\xE9e car elle peut mener \xE0\ + \ une \xE9l\xE9vation de privil\xE8ges en cas de r\xE9cup\xE9ration des authentifiants\ + \ d\u2019administration.\nRenforc\xE9 - Concernant les mises \xE0 jour logicielles\ + \ des \xE9quipements administr\xE9s, elles doivent \xEAtre r\xE9cup\xE9r\xE9\ + es depuis une source s\xFBre (le site de l\u2019\xE9diteur par exemple), contr\xF4\ + l\xE9es puis transf\xE9r\xE9es sur le poste ou le serveur utilis\xE9 pour\ + \ l\u2019administration et non connect\xE9 \xE0 Internet. Ce transfert peut\ + \ \xEAtre r\xE9alis\xE9 sur un support amovible d\xE9di\xE9. \nPour des entit\xE9\ + s voulant automatiser certaines t\xE2ches, la mise en place d\u2019une zone\ + \ d\u2019\xE9changes est conseill\xE9e. " + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:28 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi + ref_id: '28' + name: "Utiliser un r\xE9seau d\xE9di\xE9 et cloisonn\xE9 pour l\u2019administration\ + \ du syst\xE8me d\u2019information" + description: "Un r\xE9seau d\u2019administration interconnecte, entre autres,\ + \ les postes ou serveurs d\u2019administration et les interfaces d\u2019administration\ + \ des \xE9quipements. Dans la logique de segmentation du r\xE9seau global\ + \ de l\u2019entit\xE9, il est indispensable de cloisonner sp\xE9cifiquement\ + \ le r\xE9seau d\u2019administration, notamment vis-\xE0-vis du r\xE9seau\ + \ bureautique des utilisateurs, pour se pr\xE9munir de toute compromission\ + \ par rebond depuis un poste utilisateur vers une ressource d\u2019administration.\ + \ \nSelon les besoins de s\xE9curit\xE9 de l\u2019entit\xE9, il est recommand\xE9\ + \ :\n> de privil\xE9gier en premier lieu un cloisonnement physique des r\xE9\ + seaux d\xE8s que cela est possible, cette solution pouvant repr\xE9senter\ + \ des co\xFBts et un temps de d\xE9ploiement importants\nRenforc\xE9 -\n>\ + \ \xE0 d\xE9faut, de mettre en \u0153uvre un cloisonnement logique cryptographique\ + \ reposant sur la mise en place de tunnels IPsec. Ceci permet d\u2019assurer\ + \ l\u2019int\xE9grit\xE9 et la confidentialit\xE9 des informations v\xE9hicul\xE9\ + es sur le r\xE9seau d\u2019administration vis-\xE0-vis du r\xE9seau bureautique\ + \ des utilisateurs ;\n> au minimum, de mettre en \u0153uvre un cloisonnement\ + \ logique par VLAN. " + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:29 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vi + ref_id: '29' + name: "\_Limiter au strict besoin op\xE9rationnel les droits d\u2019administration\ + \ sur les postes de travail" + description: "De nombreux utilisateurs, y compris au sommet des hi\xE9rarchies,\ + \ sont tent\xE9s de demander \xE0 leur service informatique de pouvoir disposer,\ + \ par analogie avec leur usage personnel, de privil\xE8ges plus importants\ + \ sur leurs postes de travail : installation de logiciels, configuration du\ + \ syst\xE8me, etc. Par d\xE9faut, il est recommand\xE9 qu\u2019un utilisateur\ + \ du SI, quelle que soit sa position hi\xE9rarchique et ses attributions,\ + \ ne dispose pas de privil\xE8ges d\u2019administration sur son poste de travail.\ + \ Cette mesure, apparemment contraignante, vise \xE0 limiter les cons\xE9\ + quences de l\u2019ex\xE9cution malencontreuse d\u2019un code malveillant.\ + \ La mise \xE0 disposition d\u2019un magasin \xE9toff\xE9 d\u2019applications\ + \ valid\xE9es par l\u2019entit\xE9 du point de vue de la s\xE9curit\xE9 permettra\ + \ de r\xE9pondre \xE0 la majorit\xE9 des besoins. \nPar cons\xE9quent, seuls\ + \ les administrateurs charg\xE9s de l\u2019administration des postes doivent\ + \ disposer de ces droits lors de leurs interventions. \nSi une d\xE9l\xE9\ + gation de privil\xE8ges sur un poste de travail est r\xE9ellement n\xE9cessaire\ + \ pour r\xE9pondre \xE0 un besoin ponctuel de l\u2019utilisateur, celle-ci\ + \ doit \xEAtre trac\xE9e, limit\xE9e dans le temps et retir\xE9e \xE0 \xE9\ + ch\xE9ance." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii + assessable: false + depth: 1 + ref_id: VII + name: "G\xE9rer le nomadisme" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:30 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii + ref_id: '30' + name: " Prendre des mesures de s\xE9curisation physique des terminaux nomades" + description: "Les terminaux nomades (ordinateurs portables, tablettes, ordiphones)\ + \ sont, par nature, expos\xE9s \xE0 la perte et au vol. Ils peuvent contenir\ + \ localement des informations sensibles pour l\u2019entit\xE9 et constituer\ + \ un point d\u2019entr\xE9e vers de plus amples ressources du syst\xE8me d\u2019\ + information. Au-del\xE0 de l\u2019application au minimum des politiques de\ + \ s\xE9curit\xE9 de l\u2019entit\xE9, des mesures sp\xE9cifiques de s\xE9\ + curisation de ces \xE9quipements sont donc \xE0 pr\xE9voir. \nEn tout premier\ + \ lieu, les utilisateurs doivent \xEAtre sensibilis\xE9s pour augmenter leur\ + \ niveau de vigilance lors de leurs d\xE9placements et conserver leurs \xE9\ + quipements \xE0 port\xE9e de vue. N\u2019importe quelle entit\xE9, m\xEAme\ + \ de petite taille, peut \xEAtre victime d\u2019une attaque informatique.\ + \ D\xE8s lors, en mobilit\xE9, tout \xE9quipement devient une cible potentielle\ + \ voire privil\xE9gi\xE9e.\nIl est recommand\xE9 que les terminaux nomades\ + \ soient aussi banalis\xE9s que possible en \xE9vitant toute mention explicite\ + \ de l\u2019entit\xE9 d\u2019appartenance (par l\u2019apposition d\u2019un\ + \ autocollant aux couleurs de l\u2019entit\xE9 par exemple).\nPour \xE9viter\ + \ toute indiscr\xE9tion lors de d\xE9placements, notamment dans les transports\ + \ ou les lieux d\u2019attente, un filtre de confidentialit\xE9 doit \xEAtre\ + \ positionn\xE9 sur chaque \xE9cran.\nRenforc\xE9 - Enfin, afin de rendre\ + \ inutilisable le poste seul, l\u2019utilisation d\u2019un support externe\ + \ compl\xE9mentaire (carte \xE0 puce ou jeton USB par exemple) pour conserver\ + \ des secrets de d\xE9chiffrement ou d\u2019authentification peut \xEAtre\ + \ envisag\xE9e. Dans ce cas il doit \xEAtre conserv\xE9 \xE0 part. " + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:31 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii + ref_id: '31' + name: "Chiffrer les donn\xE9es sensibles, en particulier sur le mat\xE9riel\ + \ potentiellement perdable" + description: "Les d\xE9placements fr\xE9quents en contexte professionnel et\ + \ la miniaturisation du mat\xE9riel informatique conduisent souvent \xE0 la\ + \ perte ou au vol de celui-ci dans l\u2019espace public. Cela peut porter\ + \ atteinte aux donn\xE9es sensibles de l\u2019entit\xE9 qui y sont stock\xE9\ + es.\nIl faut donc ne stocker que des donn\xE9es pr\xE9alablement chiffr\xE9\ + es sur l\u2019ensemble des mat\xE9riels nomades (ordinateurs portables, ordiphones,\ + \ cl\xE9s USB, disques durs externes, etc.) afin de pr\xE9server leur confidentialit\xE9\ + . Seul un secret (mot de passe, carte \xE0 puce, code PIN, etc.) pourra permettre\ + \ \xE0 celui qui le poss\xE8de d\u2019acc\xE9der \xE0 ces donn\xE9es.\nUne\ + \ solution de chiffrement de partition, d\u2019archives ou de fichier peut\ + \ \xEAtre envisag\xE9e selon les besoins. L\xE0 encore, il est essentiel de\ + \ s\u2019assurer de l\u2019unicit\xE9 et de la robustesse du secret de d\xE9\ + chiffrement utilis\xE9.\nDans la mesure du possible, il est conseill\xE9 de\ + \ commencer par un chiffrement complet du disque avant d\u2019envisager le\ + \ chiffrement d\u2019archives ou de fichiers. En effet, ces derniers r\xE9\ + pondent \xE0 des besoins diff\xE9rents et peuvent potentiellement laisser\ + \ sur le support de stockage des informations non chiffr\xE9es (fichiers de\ + \ restauration de suite bureautique, par exemple)." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:32 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii + ref_id: '32' + name: "S\xE9curiser la connexion r\xE9seau des postes utilis\xE9s en situation\ + \ de nomadisme" + description: "En situation de nomadisme, il n\u2019est pas rare qu\u2019un utilisateur\ + \ ait besoin de se connecter au syst\xE8me d\u2019information de l\u2019entit\xE9\ + . Il convient par cons\xE9quent de s\u2019assurer du caract\xE8re s\xE9curis\xE9\ + \ de cette connexion r\xE9seau \xE0 travers Internet. M\xEAme si la possibilit\xE9\ + \ d\u2019\xE9tablir des tunnels VPN SSL/TLS est aujourd\u2019hui courante,\ + \ il est fortement recommand\xE9 d\u2019\xE9tablir un tunnel VPN IPsec entre\ + \ le poste nomade et une passerelle VPN IPsec mise \xE0 disposition par l\u2019\ + entit\xE9.\nPour garantir un niveau de s\xE9curit\xE9 optimal, ce tunnel VPN\ + \ IPsec doit \xEAtre automatiquement \xE9tabli et ne pas \xEAtre d\xE9brayable\ + \ par l\u2019utilisateur, c\u2019est-\xE0-dire qu\u2019aucun flux ne doit\ + \ pouvoir \xEAtre transmis en dehors de ce tunnel.\nPour les besoins sp\xE9\ + cifiques d\u2019authentification aux portails captifs, l\u2019entit\xE9 peut\ + \ choisir de d\xE9roger \xE0 la connexion automatique en autorisant une connexion\ + \ \xE0 la demande ou maintenir cette recommandation en encourageant l\u2019\ + utilisateur \xE0 utiliser un partage de connexion sur un t\xE9l\xE9phone mobile\ + \ de confiance.\nRenforc\xE9 - Afin d\u2019\xE9viter toute r\xE9utilisation\ + \ d\u2019authentifiants depuis un poste vol\xE9 ou perdu (identifiant et mot\ + \ de passe enregistr\xE9s par exemple), il est pr\xE9f\xE9rable d\u2019avoir\ + \ recours \xE0 une authentification forte, par exemple avec un mot de passe\ + \ et un certificat stock\xE9 sur un support externe (carte \xE0 puce ou jeton\ + \ USB) ou un m\xE9canisme de mot de passe \xE0 usage unique (One Time Password). " + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:33 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:vii + ref_id: '33' + name: " Adopter des politiques de s\xE9curit\xE9 d\xE9di\xE9es aux terminaux\ + \ mobiles" + description: "Les ordiphones et tablettes font partie de notre quotidien personnel\ + \ et/ou professionnel. La premi\xE8re des recommandations consiste justement\ + \ \xE0 ne pas mutualiser les usages personnel et professionnel sur un seul\ + \ et m\xEAme terminal, par exemple en ne synchronisant pas simultan\xE9ment\ + \ comptes professionnel et personnel de messagerie, de r\xE9seaux sociaux,\ + \ d\u2019agendas, etc.\nLes terminaux, fournis par l\u2019entit\xE9 et utilis\xE9\ + s en contexte professionnel doivent faire l\u2019objet d\u2019une s\xE9curisation\ + \ \xE0 part enti\xE8re, d\xE8s lors qu\u2019ils se connectent au syst\xE8\ + me d\u2019information de l\u2019entit\xE9 ou qu\u2019ils contiennent des informations\ + \ professionnelles potentiellement sensibles (mails, fichiers partag\xE9s,\ + \ contacts, etc.). D\xE8s lors, l\u2019utilisation d\u2019une solution de\ + \ gestion centralis\xE9e des \xE9quipements mobiles est \xE0 privil\xE9gier.\ + \ Il sera notamment souhaitable de configurer de mani\xE8re homog\xE8ne les\ + \ politiques de s\xE9curit\xE9 inh\xE9rentes : moyen de d\xE9verrouillage\ + \ du terminal, limitation de l\u2019usage du magasin d\u2019applications \xE0\ + \ des applications valid\xE9es du point de vue de la s\xE9curit\xE9, etc.\ + \ \nDans le cas contraire, une configuration pr\xE9alable avant remise de\ + \ l\u2019\xE9quipement et une s\xE9ance de sensibilisation des utilisateurs\ + \ est souhaitable.\nRenforc\xE9 - Entre autres usages potentiellement risqu\xE9\ + s, celui d\u2019un assistant vocal int\xE9gr\xE9 augmente sensiblement la\ + \ surface d\u2019attaque du terminal et des cas d\u2019attaque ont \xE9t\xE9\ + \ d\xE9montr\xE9s. Pour ces raisons, il est donc d\xE9conseill\xE9." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:viii + assessable: false + depth: 1 + ref_id: VIII + name: "Maintenir le syst\xE8me d'information \xE0 jour" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:34 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:viii + ref_id: '34' + name: " D\xE9finir une politique de mise \xE0 jour des composants du syst\xE8\ + me d\u2019information" + description: "De nouvelles failles sont r\xE9guli\xE8rement d\xE9couvertes au\ + \ c\u0153ur des syst\xE8mes et logiciels. Ces derni\xE8res sont autant de\ + \ portes d\u2019acc\xE8s qu\u2019un attaquant peut exploiter pour r\xE9ussir\ + \ son intrusion dans le syst\xE8me d\u2019information. Il est donc primordial\ + \ de s\u2019informer de l\u2019apparition de nouvelles vuln\xE9rabilit\xE9\ + s (CERTFR) et d\u2019appliquer les correctifs de s\xE9curit\xE9 sur l\u2019\ + ensemble des composants du syst\xE8me dans le mois qui suit leur publication\ + \ par l\u2019\xE9diteur. Une politique de mise \xE0 jour doit ainsi \xEAtre\ + \ d\xE9finie et d\xE9clin\xE9e en proc\xE9dures op\xE9rationnelles. \nCelles-ci\ + \ doivent notamment pr\xE9ciser :\n> la mani\xE8re dont l\u2019inventaire\ + \ des composants du syst\xE8me d\u2019information \nest r\xE9alis\xE9 ;\n\ + > les sources d\u2019information relatives \xE0 la publication des mises \xE0\ + \ jour ;\n> les outils pour d\xE9ployer les correctifs sur le parc (par exemple\ + \ WSUS pour les mises \xE0 jour des composants Microsoft, des outils gratuits\ + \ ou payants pour les composants tiers et autres syst\xE8mes d\u2019exploitation)\ + \ ;\n> l\u2019\xE9ventuelle qualification des correctifs et leur d\xE9ploiement\ + \ progressif sur le parc.\nLes composants obsol\xE8tes qui ne sont plus support\xE9\ + s par leurs fabricants doivent \xEAtre isol\xE9s du reste du syst\xE8me. Cette\ + \ recommandation s\u2019applique aussi bien au niveau r\xE9seau par un filtrage\ + \ strict des flux, qu\u2019au niveau des secrets d\u2019authentification qui\ + \ doivent \xEAtre d\xE9di\xE9s \xE0 ces syst\xE8mes. " + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:35 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:viii + ref_id: '35' + name: "Anticiper la fin de la maintenance des logiciels et syst\xE8mes et limiter\ + \ les adh\xE9rences logicielles" + description: "L\u2019utilisation d\u2019un syst\xE8me ou d\u2019un logiciel\ + \ obsol\xE8te augmente significativement les possibilit\xE9s d\u2019attaque\ + \ informatique. Les syst\xE8mes deviennent vuln\xE9rables d\xE8s lors que\ + \ les correctifs ne sont plus propos\xE9s. En effet, des outils malveillants\ + \ exploitant ces vuln\xE9rabilit\xE9s peuvent se diffuser rapidement sur Internet\ + \ alors m\xEAme que l\u2019\xE9diteur ne propose pas de correctif de s\xE9\ + curit\xE9. \nPour anticiper ces obsolescences, un certain nombre de pr\xE9\ + cautions existent :\n> \xE9tablir et tenir \xE0 jour un inventaire des syst\xE8\ + mes et applications du syst\xE8me d\u2019information ;\n> choisir des solutions\ + \ dont le support est assur\xE9 pour une dur\xE9e correspondant \xE0 leur\ + \ utilisation ;\n\t> \tassurer un suivi des mises \xE0 jour et des dates de\ + \ fin de support des logiciels ;\n> maintenir un parc logiciel homog\xE8ne\ + \ (la coexistence de versions diff\xE9rentes d\u2019un m\xEAme produit multiplie\ + \ les risques et complique le suivi) ;\n> limiter les adh\xE9rences logicielles,\ + \ c\u2019est-\xE0-dire les d\xE9pendances de fonctionnement d\u2019un logiciel\ + \ par rapport \xE0 un autre, en particulier lorsque le support de ce dernier\ + \ arrive \xE0 son terme ;\n> inclure dans les contrats avec les prestataires\ + \ et fournisseurs des clauses garantissant le suivi des correctifs de s\xE9\ + curit\xE9 et la gestion des obsolescences ;\n> identifier les d\xE9lais et\ + \ ressources n\xE9cessaires (mat\xE9rielles, humaines, budg\xE9taires) \xE0\ + \ la migration de chaque logiciel en fin de vie (tests de non-r\xE9gression,\ + \ proc\xE9dure de sauvegarde, proc\xE9dure de migration des donn\xE9es, etc.)." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix + assessable: false + depth: 1 + ref_id: IX + name: "Superviser, auditer, r\xE9agir" + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:36 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix + ref_id: '36' + name: Activer et configurer les journaux des composants les plus importants + description: "Disposer de journaux pertinents est n\xE9cessaire afin de pouvoir\ + \ d\xE9tecter d\u2019\xE9ventuels dysfonctionnements et tentatives d\u2019\ + acc\xE8s illicites aux composants du syst\xE8me d\u2019information.\nLa premi\xE8\ + re \xE9tape consiste \xE0 d\xE9terminer quels sont les composants critiques\ + \ du syst\xE8me d\u2019information. Il peut notamment s\u2019agir des \xE9\ + quipements r\xE9seau et de s\xE9curit\xE9, des serveurs critiques, des postes\ + \ de travail d\u2019utilisateurs sensibles, etc.\nPour chacun, il convient\ + \ d\u2019analyser la configuration des \xE9l\xE9ments journalis\xE9s (format,\ + \ fr\xE9quence de rotation des fichiers, taille maximale des fichiers journaux,\ + \ cat\xE9gories d\u2019\xE9v\xE8nements enregistr\xE9s, etc.) et de l\u2019\ + adapter en cons\xE9quence. Les \xE9v\xE8nements critiques pour la s\xE9curit\xE9\ + \ doivent \xEAtre journalis\xE9s et gard\xE9s pendant au moins un an (ou plus\ + \ en fonction des obligations l\xE9gales du secteur d\u2019activit\xE9s).\ + \ \nUne \xE9tude contextuelle du syst\xE8me d\u2019information doit \xEAtre\ + \ effectu\xE9e et les \xE9l\xE9ments suivants doivent \xEAtre journalis\xE9\ + s :\n> pare-feu : paquets bloqu\xE9s ;\n> syst\xE8mes et applications : authentifications\ + \ et autorisations (\xE9checs et succ\xE8s), arr\xEAts inopin\xE9s ;\n> services\ + \ : erreurs de protocoles (par exemples les erreurs 403, 404 et 500 pour les\ + \ services hTTP), tra\xE7abilit\xE9 des flux applicatifs aux interconnexions\ + \ (URL sur un relai hTTP, en-t\xEAtes des messages sur un relai SMTP, etc.)\ + \ ;\nAfin de pouvoir corr\xE9ler les \xE9v\xE8nements entre les diff\xE9rents\ + \ composants, leur source de synchronisation de temps (gr\xE2ce au protocole\ + \ NTP) doit \xEAtre identique.\nRenforc\xE9 - Si toutes les actions pr\xE9\ + c\xE9dentes ont \xE9t\xE9 mises en \u0153uvre, une centralisation des journaux\ + \ sur un dispositif d\xE9di\xE9 pourra \xEAtre envisag\xE9e. Cela permet de\ + \ faciliter la recherche automatis\xE9e d\u2019\xE9v\xE9nements suspects,\ + \ d\u2019archiver les journaux sur une longue dur\xE9e et d\u2019emp\xEAcher\ + \ un attaquant d\u2019effacer d\u2019\xE9ventuelles traces de son passage\ + \ sur les \xE9quipements qu\u2019il a compromis. " + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:37 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix + ref_id: '37' + name: "D\xE9finir et appliquer une politique de sauvegarde des composants critiques" + description: "Suite \xE0 un incident d\u2019exploitation ou en contexte de gestion\ + \ d\u2019une intrusion, la disponibilit\xE9 de sauvegardes conserv\xE9es\ + \ en lieu s\xFBr est indispensable \xE0 la poursuite de l\u2019activit\xE9\ + . Il est donc fortement recommand\xE9 de formaliser une politique de sauvegarde\ + \ r\xE9guli\xE8rement mise \xE0 jour. Cette derni\xE8re a pour objectif de\ + \ d\xE9finir des exigences en mati\xE8re de sauvegarde de l\u2019information,\ + \ des logiciels et des syst\xE8mes. \nCette politique doit au moins int\xE9\ + grer les \xE9l\xE9ments suivants :\n> la liste des donn\xE9es jug\xE9es vitales\ + \ pour l\u2019organisme et les serveurs concern\xE9s ;\n> les diff\xE9rents\ + \ types de sauvegarde (par exemple le mode hors ligne) ;\n> la fr\xE9quence\ + \ des sauvegardes ;\n> la proc\xE9dure d\u2019administration et d\u2019ex\xE9\ + cution des sauvegardes ;\n> les informations de stockage et les restrictions\ + \ d\u2019acc\xE8s aux sauvegardes ;\n> les proc\xE9dures de test de restauration\ + \ ;\n> la destruction des supports ayant contenu les sauvegardes.\nLes tests\ + \ de restauration peuvent \xEAtre r\xE9alis\xE9s de plusieurs mani\xE8res\ + \ :\n> syst\xE9matique, par un ordonnanceur de t\xE2ches pour les applications\ + \ importantes ;\n> ponctuelle, en cas d\u2019erreur sur les fichiers ;\n\ + > g\xE9n\xE9rale, pour une sauvegarde et restauration enti\xE8res du syst\xE8\ + me d\u2019information.\nRenforc\xE9 - Un fois cette politique de sauvegarde\ + \ \xE9tablie, il est souhaitable de planifier au moins une fois par an un\ + \ exercice de restauration des donn\xE9es et de conserver une trace technique\ + \ des r\xE9sultats." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:38 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix + ref_id: '38' + name: "Proc\xE9der \xE0 des contr\xF4les et audits de s\xE9curit\xE9 r\xE9guliers\ + \ puis appliquer les actions correctives associ\xE9es" + description: "Renforc\xE9 - La r\xE9alisation d\u2019audits r\xE9guliers (au\ + \ moins une fois par an) du syst\xE8me d\u2019information est essentielle\ + \ car elle permet d\u2019\xE9valuer concr\xE8tement l\u2019efficacit\xE9 des\ + \ mesures mises en \u0153uvre et leur maintien dans le temps. Ces contr\xF4\ + les et audits permettent \xE9galement de mesurer les \xE9carts pouvant persister\ + \ entre la r\xE8gle et la pratique. \nIls peuvent \xEAtre r\xE9alis\xE9s par\ + \ d\u2019\xE9ventuelles \xE9quipes d\u2019audit internes ou par des soci\xE9\ + t\xE9s externes sp\xE9cialis\xE9es. Selon le p\xE9rim\xE8tre \xE0 contr\xF4\ + ler, des audits techniques et/ou organisationnels seront effectu\xE9s par\ + \ les professionnels mobilis\xE9s. Ces audits sont d\u2019autant plus n\xE9\ + cessaires que l\u2019entit\xE9 doit \xEAtre conforme \xE0 des r\xE9glementations\ + \ et obligations l\xE9gales directement li\xE9es \xE0 ses activit\xE9s.\n\xC0\ + \ l\u2019issue de ces audits, des actions correctives doivent \xEAtre identifi\xE9\ + es, leur application planifi\xE9e et des points de suivi organis\xE9s \xE0\ + \ intervalles r\xE9guliers. Pour une plus grande efficacit\xE9, des indicateurs\ + \ sur l\u2019\xE9tat d\u2019avancement du plan d\u2019action pourront \xEA\ + tre int\xE9gr\xE9s dans un tableau de bord \xE0 l\u2019adresse de la direction.\ + \ \nSi les audits de s\xE9curit\xE9 participent \xE0 la s\xE9curit\xE9 du\ + \ syst\xE8me d\u2019information en permettant de mettre en \xE9vidence d\u2019\ + \xE9ventuelles vuln\xE9rabilit\xE9s, ils ne constituent jamais une preuve\ + \ de leur absence et ne dispensent donc pas d\u2019autres mesures de contr\xF4\ + le. " + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:39 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix + ref_id: '39' + name: "D\xE9signer un r\xE9f\xE9rent en s\xE9curit\xE9 des syst\xE8mes d\u2019\ + information et le faire conna\xEEtre aupr\xE8s du personnel" + description: "Toute entit\xE9 doit disposer d\u2019un r\xE9f\xE9rent en s\xE9\ + curit\xE9 des syst\xE8mes d\u2019information qui sera soutenu par la direction\ + \ ou par une instance d\xE9cisionnelle sp\xE9cialis\xE9e selon le niveau de\ + \ maturit\xE9 de la structure. \nCe r\xE9f\xE9rent devra \xEAtre connu de\ + \ tous les utilisateurs et sera le premier contact pour toutes les questions\ + \ relatives \xE0 la s\xE9curit\xE9 des syst\xE8mes d\u2019information :\n\ + > d\xE9finition des r\xE8gles \xE0 appliquer selon le contexte ;\n> v\xE9\ + rification de l\u2019application des r\xE8gles ;\n> sensibilisation des utilisateurs\ + \ et d\xE9finition d\u2019un plan de formation des acteurs informatiques ;\n\ + > centralisation et traitement des incidents de s\xE9curit\xE9 constat\xE9\ + s ou remont\xE9s par les utilisateurs.\nCe r\xE9f\xE9rent devra \xEAtre form\xE9\ + \ \xE0 la s\xE9curit\xE9 des syst\xE8mes d\u2019information et \xE0 la gestion\ + \ de crise.\nDans les entit\xE9s les plus importantes, ce correspondant peut\ + \ \xEAtre d\xE9sign\xE9 pour devenir le relais du RSSI. Il pourra par exemple\ + \ signaler les dol\xE9ances des utilisateurs et identifier les th\xE9matiques\ + \ \xE0 aborder dans le cadre des sensibilisations, permettant ainsi d\u2019\ + \xE9lever le niveau de s\xE9curit\xE9 du syst\xE8me d\u2019information au\ + \ sein de l\u2019organisme." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:40 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:ix + ref_id: '40' + name: "D\xE9finir une proc\xE9dure de gestion des incidents de s\xE9curit\xE9" + description: "Le constat d\u2019un comportement inhabituel de la part d\u2019\ + un poste de travail ou d\u2019un serveur (connexion impossible, activit\xE9\ + \ importante, activit\xE9s inhabituelles, services ouverts non autoris\xE9\ + s, fichiers cr\xE9\xE9s, modifi\xE9s ou supprim\xE9s sans autorisation, multiples\ + \ alertes de l\u2019antivirus, etc.) peut alerter sur une \xE9ventuelle intrusion.\n\ + Une mauvaise r\xE9action en cas d\u2019incident de s\xE9curit\xE9 peut faire\ + \ empirer la situation et emp\xEAcher de traiter correctement le probl\xE8\ + me. Le bon r\xE9flexe est de d\xE9connecter la machine du r\xE9seau, pour\ + \ stopper l\u2019attaque. En revanche, il faut la maintenir sous tension et\ + \ ne pas la red\xE9marrer, pour ne pas perdre d\u2019informations utiles pour\ + \ l\u2019analyse de l\u2019attaque. Il faut ensuite pr\xE9venir la hi\xE9\ + rarchie, ainsi que le r\xE9f\xE9rent en s\xE9curit\xE9 des syst\xE8mes d\u2019\ + information.\nCelui-ci peut prendre contact avec un prestataire de r\xE9ponse\ + \ aux incidents de s\xE9curit\xE9 (PRIS) afin de faire r\xE9aliser les op\xE9\ + rations techniques n\xE9cessaires (copie physique du disque, analyse de la\ + \ m\xE9moire, des journaux et d\u2019\xE9ventuels codes malveillants, etc.)\ + \ et de d\xE9terminer si d\u2019autres \xE9l\xE9ments du syst\xE8me d\u2019\ + information ont \xE9t\xE9 compromis. Il s\u2019agira \xE9galement d\u2019\xE9\ + laborer la r\xE9ponse \xE0 apporter afin de supprimer d\u2019\xE9ventuels\ + \ codes malveillants et acc\xE8s dont disposerait l\u2019attaquant et de proc\xE9\ + der au changement des mots de passe compromis. Tout incident doit \xEAtre\ + \ consign\xE9 dans un registre centralis\xE9. Une plainte pourra \xE9galement\ + \ \xEAtre d\xE9pos\xE9e aupr\xE8s du service judiciaire comp\xE9tent." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:x + assessable: false + depth: 1 + ref_id: X + name: Pour aller plus loin + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:41 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:x + ref_id: '41' + name: Mener une analyse de risques formelle + description: "Renforc\xE9 - Chaque entit\xE9 \xE9volue dans un environnement\ + \ informationnel complexe qui lui est propre. Aussi, toute prise de position\ + \ ou plan d\u2019action impliquant la s\xE9curit\xE9 du syst\xE8me d\u2019\ + information doit \xEAtre consid\xE9r\xE9 \xE0 la lumi\xE8re des risques pressentis\ + \ par la direction. En effet, qu\u2019il s\u2019agisse de mesures organisationnelles\ + \ ou techniques, leur mise en \u0153uvre repr\xE9sente un co\xFBt pour l\u2019\ + entit\xE9 qui n\xE9cessite de s\u2019assurer qu\u2019elles permettent de r\xE9\ + duire au bon niveau un risque identifi\xE9.\nDans les cas les plus sensibles,\ + \ l\u2019analyse de risque peut remettre en cause certains choix pass\xE9\ + s. Ce peut notamment \xEAtre le cas si la probabilit\xE9 d\u2019apparition\ + \ d\u2019un \xE9v\xE9nement et ses cons\xE9quences potentielles s\u2019av\xE8\ + rent critiques pour l\u2019entit\xE9 et qu\u2019il n\u2019existe aucune action\ + \ pr\xE9ventive pour le ma\xEEtriser.\nLa d\xE9marche recommand\xE9e consiste,\ + \ dans les grandes lignes, \xE0 d\xE9finir le contexte, appr\xE9cier les risques\ + \ et les traiter. L\u2019\xE9valuation de ces risques s\u2019op\xE8re g\xE9\ + n\xE9ralement selon deux axes : leur probabilit\xE9 d\u2019apparition et leur\ + \ gravit\xE9. S\u2019ensuit l\u2019\xE9laboration d\u2019un plan de traitement\ + \ du risque \xE0 faire valider par une autorit\xE9 d\xE9sign\xE9e \xE0 plus\ + \ haut niveau.\nTrois types d\u2019approches peuvent \xEAtre envisag\xE9s\ + \ pour ma\xEEtriser les risques associ\xE9s \xE0 son syst\xE8me d\u2019information\ + \ :\n> le recours aux bonnes pratiques de s\xE9curit\xE9 informatique ;\n\ + > une analyse de risques syst\xE9matique fond\xE9e sur les retours d\u2019\ + exp\xE9rience des utilisateurs ;\n> une gestion structur\xE9e des risques\ + \ formalis\xE9e par une m\xE9thodologie d\xE9di\xE9e." + - urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:42 + assessable: true + depth: 2 + parent_urn: urn:intuitem:risk:req_node:anssi-guide-hygiene:x + ref_id: '42' + name: "Privil\xE9gier l\u2019usage de produits et de services qualifi\xE9s par\ + \ l'ANSSI" + description: "Renforc\xE9 - La qualification prononc\xE9e par l\u2019ANSSI offre\ + \ des garanties de s\xE9curit\xE9 et de confiance aux acheteurs de solutions\ + \ list\xE9es dans les catalogues de produits et de prestataires de service\ + \ qualifi\xE9s que publie l\u2019agence.\nAu-del\xE0 des entit\xE9s soumises\ + \ \xE0 r\xE9glementation, l\u2019ANSSI encourage plus g\xE9n\xE9ralement l\u2019\ + ensemble des entreprises et administrations fran\xE7aises \xE0 utiliser des\ + \ produits qu\u2019elle qualifie, seul gage d\u2019une \xE9tude s\xE9rieuse\ + \ et approfondie du fonctionnement technique de la solution et de son \xE9\ + cosyst\xE8me.\nS\u2019agissant des prestataires de service qualifi\xE9s, ce\ + \ label permet de r\xE9pondre aux enjeux et projets de cybers\xE9curit\xE9\ + \ pour l\u2019ensemble du tissu \xE9conomique fran\xE7ais que l\u2019ANSSI\ + \ ne saurait adresser seule. \xC9valu\xE9s sur des crit\xE8res techniques\ + \ et organisationnels, les prestataires qualifi\xE9s couvrent l\u2019essentiel\ + \ des m\xE9tiers de la s\xE9curit\xE9 des syst\xE8mes d\u2019information.\ + \ Ainsi, en fonction de ses besoins et du maillage national, une entit\xE9\ + \ pourra faire appel \xE0 un Prestataire d\u2019audit de la s\xE9curit\xE9\ + \ des syst\xE8mes d\u2019information (PASSI), un Prestataire de r\xE9ponse\ + \ aux incidents de s\xE9curit\xE9 (PRIS), un Prestataire de d\xE9tection des\ + \ incidents de s\xE9curit\xE9 (PDIS) ou \xE0 un prestataire de service d\u2019\ + informatique en nuage (SecNumCloud)." diff --git a/tools/anssi/anssi-guide-hygiene.xlsx b/tools/anssi/anssi-guide-hygiene.xlsx new file mode 100644 index 000000000..c904159c0 Binary files /dev/null and b/tools/anssi/anssi-guide-hygiene.xlsx differ