Objectif 11 · Pilier Protection · EI et EE

Maîtrise de l'administration des systèmes d'information

Utiliser des comptes d'administration dédiés, réservés aux personnes autorisées. Les EE sécurisent en plus l'administration de leurs annuaires (cœur de confiance).

Mesures pour une EI5

Mesures pour une EE14

Directive NIS 2Art. 21.2.e, Art. 21.2.i

Pourquoi c'est important

La prise de contrôle d'un compte administrateur ou de l'annuaire (Active Directory) donne les clés de tout le SI.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI
Art. 21.2.i · Sécurité RH, contrôle d'accès et gestion des actifs

Les 14 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

Comptes d'administration

11.A.1-EI/EEDSIPriorité critique

Les actions d'administration se font-elles uniquement avec des comptes d'administration dédiés, distincts des comptes de tous les jours ?

Action si absent: Créer des comptes d'administration dédiés et retirer les droits admin des comptes bureautiques.
Preuve attendue: Liste des comptes d'administration

11.A.2-EI/EEDSIPriorité élevée

Les comptes d'administration sont-ils utilisés seulement par des administrateurs autorisés ?

Action si absent: Limiter les comptes d'administration aux personnes autorisées.
Preuve attendue: Liste nominative des administrateurs

11.A.3-EI/EEDSIPriorité élevée

Les comptes d'administration respectent-ils les règles d'identité et d'accès (comptes individuels, secrets robustes, revues) ?

Action si absent: Appliquer les règles de l'objectif 10 aux comptes d'administration.
Preuve attendue: Revue des comptes d'administration

11.A.4-EEDSIPriorité élevéeEE uniquement

Un compte d'administration sert-il seulement à administrer ses ressources, depuis une ressource d'administration ?

Action si absent: Restreindre les connexions des comptes admin aux ressources administrées.
Preuve attendue: Restrictions de connexion

11.A.5-EI/EEDSIPriorité moyenne

Si une action d'administration ne peut pas se faire avec un compte dédié, la contrôlez-vous et réduisez-vous le risque ?

Action si absent: Documenter et contrôler ces exceptions.
Preuve attendue: Registre des exceptions

11.A.6-EEDSIPriorité moyenneEE uniquement

Tenez-vous à jour la liste des comptes d'administration ?

Action si absent: Maintenir l'inventaire des comptes d'administration.
Preuve attendue: Inventaire des comptes d'administration

11.A.7-EEDSIPriorité moyenneEE uniquement

À chaque modification d'un compte d'administration, vérifiez-vous que ses droits restent limités à son périmètre (via des groupes) ?

Action si absent: Gérer les droits d'administration par groupes et contrôler chaque changement.
Preuve attendue: Procédure de gestion des comptes d'administration

Sécurité des annuaires

11.B.1-EI/EEDSIPriorité critique

Les correctifs de sécurité des annuaires (Active Directory, LDAP, Entra ID…) sont-ils appliqués sans retard ?

Action si absent: Prioriser les correctifs des annuaires.
Preuve attendue: État des correctifs des contrôleurs de domaine

11.B.2-EEDSIPriorité élevéeEE uniquement

Avez-vous identifié le « cœur de confiance » de chaque annuaire (Tier 0 : annuaire, hyperviseurs, comptes et postes qui le contrôlent) ?

Action si absent: Cartographier le Tier 0 de chaque annuaire.
Preuve attendue: Cartographie du cœur de confiance

11.B.3-EEDSIPriorité élevéeEE uniquement

Le cœur de confiance est-il administré avec des comptes dédiés uniquement à cela ?

Action si absent: Créer des comptes dédiés au Tier 0.
Preuve attendue: Liste des comptes Tier 0

11.B.4-EEDSIPriorité élevéeEE uniquement

Le cœur de confiance est-il administré depuis des postes dédiés uniquement à cela ?

Action si absent: Mettre en place des postes d'administration dédiés au Tier 0.
Preuve attendue: Inventaire des postes Tier 0

11.B.5-EEDSIPriorité moyenneEE uniquement

Les connexions entrantes vers les postes d'administration du cœur de confiance sont-elles bloquées ?

Action si absent: Filtrer les connexions entrantes sur ces postes (pare-feu local).
Preuve attendue: Configuration du pare-feu local

11.B.6-EEDSIPriorité élevéeEE uniquement

Revoyez-vous la configuration des annuaires chaque année, idéalement avec un outil automatisé ?

Action si absent: Lancer une revue annuelle de l'annuaire avec un outil (par exemple ORADAD de l'ANSSI).
Preuve attendue: Rapport de revue de l'annuaire

11.B.7-EEDSIPriorité moyenneEE uniquement

Appliquez-vous les recommandations de l'ANSSI sur le cœur de confiance (guides, mémos techniques, résultats des revues) ?

Action si absent: Appliquer les guides de l'ANSSI de sécurisation de l'annuaire.
Preuve attendue: Plan de remédiation de l'annuaire