Objectif 5 · Pilier Gouvernance · EI et EE

Maîtrise des systèmes d'information

Disposer d'une cartographie assez détaillée pour maintenir vos SI et réagir vite, et appliquer les correctifs de sécurité selon un processus de maintien en condition de sécurité.

Mesures pour une EI8

Mesures pour une EE10

Directive NIS 2Art. 21.2.e, Art. 21.2.i

Pourquoi c'est important

Les vulnérabilités connues et non corrigées sont la première cause d'intrusion exploitée par les rançongiciels.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI
Art. 21.2.i · Sécurité RH, contrôle d'accès et gestion des actifs

Les 10 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

Cartographie des SI

5.A.1-EI/EEDSIPriorité critique

Avez-vous une cartographie de vos SI assez détaillée pour retrouver vite les équipements vulnérables après une alerte, ou touchés par un incident ?

Action si absent: Construire la cartographie (matériel, logiciels, réseau) en suivant le guide de l'ANSSI.
Preuve attendue: Cartographie des SI, inventaire

Maintien en condition de sécurité

5.B.1-EEDSIPriorité élevéeEE uniquement

Avez-vous une procédure écrite de maintien en condition opérationnelle et de sécurité (MCO / MCS) ?

Action si absent: Rédiger la procédure MCO / MCS.
Preuve attendue: Procédure MCO / MCS

5.B.2-EI/EEDSIPriorité élevée

Vos antivirus ou EDR ont-ils leurs bases de signatures toujours à jour ?

Action si absent: Activer et surveiller les mises à jour automatiques des outils de protection.
Preuve attendue: Console antivirus / EDR

5.B.3-EI/EERSSIPriorité élevée

Faites-vous une veille sur les vulnérabilités et correctifs (éditeurs, CERT-FR, CSIRT) qui touchent vos équipements ?

Action si absent: S'abonner aux avis du CERT-FR et des éditeurs, et suivre les alertes.
Preuve attendue: Abonnements, registre de veille

5.B.4-EI/EEDSIPriorité critique

Les correctifs de sécurité sont-ils lancés sans délai, puis appliqués sans retard sur les systèmes exposés à Internet et sur les postes utilisateurs ?

Action si absent: Fixer des délais cibles de correction pour les systèmes exposés et les postes, et les mesurer.
Preuve attendue: Politique de correctifs, rapports de déploiement

5.B.5-EEDSIPriorité élevéeEE uniquement

Les correctifs sont-ils planifiés et installés sur toutes vos ressources, y compris celles non exposées ?

Action si absent: Étendre la gestion des correctifs à toutes les ressources internes.
Preuve attendue: Rapports de conformité des correctifs

5.B.6-EI/EEDSIPriorité élevée

Quand un correctif ne peut pas être installé, appliquez-vous des mesures pour réduire le risque (isolement, accès renforcé) ?

Action si absent: Documenter les exceptions et appliquer des mesures d'atténuation.
Preuve attendue: Registre des exceptions

5.B.7-EI/EEDSIPriorité critique

Vos logiciels, y compris embarqués, sont-ils dans des versions encore supportées par l'éditeur ?

Action si absent: Identifier les logiciels en fin de support et planifier leur remplacement.
Preuve attendue: Inventaire des versions et fins de support

5.B.8-EI/EEDSIPriorité moyenne

Les logiciels et mises à jour sont-ils téléchargés uniquement depuis les sources officielles des éditeurs ?

Action si absent: Interdire les sources non officielles et centraliser les téléchargements.
Preuve attendue: Règle dans la PSSI, dépôt logiciel interne

5.B.9-EI/EEDSIPriorité élevée

Quand une version obsolète doit rester en place, avez-vous des mesures pour réduire le risque ?

Action si absent: Isoler et surveiller les systèmes obsolètes maintenus.
Preuve attendue: Registre des systèmes obsolètes