Objectif 19 · Pilier Protection · Entités essentielles

Administration des systèmes d'information depuis des ressources dédiées

Administrer les SI depuis des postes maîtrisés et conformes aux recommandations de l'ANSSI, avec des flux d'administration sécurisés et cloisonnés.

Mesures pour une EINon applicable

Mesures pour une EE12

Directive NIS 2Art. 21.2.e

Pourquoi c'est important

Un poste d'administration qui sert aussi à lire ses mails expose les droits les plus puissants du SI.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI

Raccourci reconnu par l'ANSSI : Le recours à une prestation d'administration et de maintenance sécurisée (PAMS) qualifiée par l'ANSSI peut être présenté pour une partie des mesures de cet objectif.

Les 12 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

19.1-EEDSIPriorité élevéeEE uniquement

L'administration se fait-elle via un réseau d'administration dédié ?

Action si absent: Créer un réseau d'administration dédié.
Preuve attendue: Schéma du réseau d'administration

19.2-EEDSIPriorité moyenneEE uniquement

Les équipements du réseau d'administration sont-ils gérés par vous ou par le prestataire que vous avez mandaté ?

Action si absent: Garder la maîtrise du réseau d'administration.
Preuve attendue: Contrat ou inventaire

19.3-EEDSIPriorité moyenneEE uniquement

Ces équipements servent-ils uniquement à l'administration ?

Action si absent: Dédier les équipements d'administration.
Preuve attendue: Inventaire

19.4-EEDSIPriorité élevéeEE uniquement

Le poste physique d'administration sert-il uniquement à l'administration ?

Action si absent: Fournir des postes d'administration dédiés.
Preuve attendue: Inventaire des postes d'administration

19.5-EEDSIPriorité élevéeEE uniquement

Les administrateurs se connectent-ils au réseau d'administration uniquement depuis ce poste dédié ?

Action si absent: Bloquer l'accès d'administration depuis les postes bureautiques.
Preuve attendue: Règles de filtrage

19.6-EEDSIPriorité moyenneEE uniquement

Si un poste dédié est impossible, isolez-vous l'environnement d'administration (système durci et cloisonné) selon l'ANSSI ?

Action si absent: Mettre en place un poste durci avec environnements séparés.
Preuve attendue: Configuration du poste

19.7-EEDSIPriorité moyenneEE uniquement

Les ressources sont-elles administrées via une liaison physique et une interface d'administration dédiées ?

Action si absent: Utiliser les interfaces d'administration physiques dédiées.
Preuve attendue: Schéma de câblage

19.8-EEDSIPriorité moyenneEE uniquement

Le réseau d'administration respecte-t-il le même cloisonnement que vos SI ?

Action si absent: Reproduire le cloisonnement des SI dans le réseau d'administration.
Preuve attendue: Matrice de filtrage d'administration

19.9-EEDSIPriorité moyenneEE uniquement

Si une liaison dédiée est impossible, avez-vous des mesures logiques de réduction du risque ?

Action si absent: Documenter et compenser ces exceptions.
Preuve attendue: Registre des exceptions

19.10-EEDSIPriorité élevéeEE uniquement

Les flux d'administration sont-ils chiffrés et authentifiés (SSH, TLS…) ?

Action si absent: Utiliser uniquement des protocoles d'administration sécurisés.
Preuve attendue: Configuration des protocoles

19.11-EEDSIPriorité élevéeEE uniquement

Les flux d'administration qui passent par des réseaux non dédiés sont-ils dans un tunnel chiffré (VPN) ?

Action si absent: Encapsuler ces flux dans un VPN.
Preuve attendue: Configuration du VPN d'administration

19.12-EEDSIPriorité moyenneEE uniquement

Si le chiffrement est impossible, protégez-vous et tracez-vous autrement ces flux ?

Action si absent: Renforcer le contrôle et la traçabilité des flux non chiffrés.
Preuve attendue: Registre des exceptions