Objectif 10 · Pilier Protection · EI et EE

Gestion des identités et des accès des utilisateurs aux systèmes d'information

Identifier et authentifier chaque utilisateur et processus, et gérer les droits selon le besoin : attribution, révocation au changement de poste, désactivation au départ.

Mesures pour une EI16

Mesures pour une EE17

Directive NIS 2Art. 21.2.e, Art. 21.2.i, Art. 21.2.j

Pourquoi c'est important

Les comptes partagés, mots de passe par défaut et droits excessifs facilitent la prise de contrôle du SI.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI
Art. 21.2.i · Sécurité RH, contrôle d'accès et gestion des actifs
Art. 21.2.j · Authentification multifacteur et communications sécurisées

Les 17 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

Identification

10.A.1-EI/EEDSIPriorité critique

Chaque utilisateur et chaque processus automatique a-t-il un compte individuel ?

Action si absent: Supprimer les comptes génériques et créer des comptes nominatifs.
Preuve attendue: Export de l'annuaire

10.A.2-EI/EEDSIPriorité élevée

Un compte individuel est-il utilisé uniquement par la personne ou le processus à qui il est attribué ?

Action si absent: Rappeler l'interdiction du partage de compte dans la charte.
Preuve attendue: Charte, contrôles

10.A.3-EI/EEDSIPriorité moyenne

Quand un compte partagé est inévitable, réduisez-vous le risque et tracez-vous son usage ?

Action si absent: Tracer l'usage des comptes partagés (registre, coffre-fort).
Preuve attendue: Registre d'usage des comptes partagés

10.A.4-EI/EEDSIPriorité moyenne

Les services publics (site vitrine) sont-ils bien distingués des services qui exigent une authentification (intranet, applications) ?

Action si absent: Vérifier que tout service non public exige une authentification.
Preuve attendue: Inventaire des services exposés

10.A.5-EI/EEDSIPriorité élevée

Les comptes inutiles sont-ils désactivés dans le délai fixé par votre politique (par exemple sous 7 jours) ?

Action si absent: Fixer un délai de désactivation des comptes et l'automatiser.
Preuve attendue: Politique de gestion des comptes

10.A.6-EI/EEDSIPriorité élevée

Faites-vous une revue des comptes au moins une fois par an ?

Action si absent: Planifier la revue annuelle des comptes.
Preuve attendue: Compte rendu de revue des comptes

Authentification

10.B.1-EI/EEDSIPriorité critique

Tous les accès sont-ils protégés par au moins un élément secret (mot de passe, carte à puce et code) ?

Action si absent: Supprimer tout accès sans authentification.
Preuve attendue: Configuration des accès

10.B.2-EI/EEDSIPriorité critique

Changez-vous les mots de passe par défaut avant la mise en service de chaque équipement ?

Action si absent: Ajouter le changement des secrets par défaut à la procédure de mise en service.
Preuve attendue: Liste de contrôle de mise en service

10.B.3-EI/EEDSIPriorité élevée

Le secret d'un compte partagé est-il changé à chaque fois qu'un utilisateur quitte ce compte ?

Action si absent: Renouveler les secrets partagés à chaque départ.
Preuve attendue: Historique du coffre-fort

10.B.4-EI/EEDSIPriorité élevée

Les secrets sont-ils connus des seules personnes autorisées (coffre-fort de mots de passe) ?

Action si absent: Déployer un coffre-fort de mots de passe.
Preuve attendue: Outil de coffre-fort

10.B.5-EI/EEDSIPriorité élevée

Vos mots de passe et facteurs d'authentification suivent-ils les recommandations de l'ANSSI (complexité, renouvellement) ?

Action si absent: Aligner la politique de mots de passe sur les recommandations de l'ANSSI.
Preuve attendue: Politique d'authentification

10.B.6-EI/EEDSIPriorité moyenne

Quand un secret ne peut pas être changé, avez-vous un contrôle d'accès adapté et des mesures de réduction du risque ?

Action si absent: Documenter et compenser les secrets fixes.
Preuve attendue: Registre des exceptions

10.B.7-EEDSIPriorité moyenneEE uniquement

Dans ce cas, tracez-vous aussi les accès à ces ressources ?

Action si absent: Activer la journalisation des accès sur ces ressources.
Preuve attendue: Journaux d'accès

Droits d'accès

10.C.1-EI/EEDSIPriorité élevée

Les droits sont-ils attribués uniquement à des utilisateurs et processus authentifiés ?

Action si absent: Supprimer les droits accordés à des accès anonymes.
Preuve attendue: Revue des droits

10.C.2-EI/EEDSIPriorité critique

Chaque utilisateur n'a-t-il accès qu'aux ressources nécessaires à son travail (moindre privilège) ?

Action si absent: Appliquer le moindre privilège avec des groupes par métier.
Preuve attendue: Matrice des habilitations

10.C.3-EI/EEDSIPriorité élevée

Pour chaque ressource, seules les personnes qui en ont besoin y ont-elles accès ?

Action si absent: Revoir les accès par ressource (partages, applications).
Preuve attendue: Rapport de droits par ressource

10.C.4-EI/EEDSIPriorité élevée

Faites-vous une revue des droits d'accès au moins une fois par an ?

Action si absent: Planifier la revue annuelle des habilitations avec les managers.
Preuve attendue: Compte rendu de revue des droits