Objectif 9 · Pilier Protection · EI et EE

Protection des systèmes d'information contre les codes malveillants

Protéger vos ressources contre les codes malveillants et contrôler les équipements qui se connectent. Les EE n'autorisent que des équipements qu'elles gèrent (pas de BYOD).

Mesures pour une EI5

Mesures pour une EE7

Directive NIS 2Art. 21.2.e

Pourquoi c'est important

Pièces jointes, clés USB et équipements non maîtrisés restent des vecteurs courants d'infection.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI

Les 7 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

9.1-EI/EEDSIPriorité élevée

Avez-vous défini les équipements autorisés à se connecter à vos SI (le BYOD peut être autorisé pour une EI) ?

Action si absent: Définir la liste des équipements autorisés.
Preuve attendue: Politique d'accès des terminaux

9.2-EEDSIPriorité élevéeEE uniquement

Seuls les équipements gérés par vous ou votre prestataire se connectent-ils à vos SI (BYOD interdit) ?

Action si absent: Interdire le BYOD et réserver l'accès aux équipements gérés.
Preuve attendue: PSSI, outil de gestion des terminaux

9.3-EI/EEDSIPriorité élevée

Empêchez-vous, techniquement ou par l'organisation, la connexion des équipements non autorisés ?

Action si absent: Mettre en place un contrôle d'accès au réseau (NAC, 802.1X) ou équivalent.
Preuve attendue: Configuration NAC

9.4-EEDSIPriorité moyenneEE uniquement

Ce contrôle bloque-t-il tout équipement qui n'est pas géré par l'entité ?

Action si absent: Restreindre le contrôle d'accès réseau aux seuls équipements gérés.
Preuve attendue: Configuration NAC

9.5-EI/EEDSIPriorité moyenne

Seuls les supports amovibles nécessaires (clés USB, disques) peuvent-ils se connecter à vos SI ?

Action si absent: Restreindre l'usage des supports amovibles.
Preuve attendue: Politique USB, stratégies de groupe

9.6-EI/EEDSIPriorité critique

Les postes, serveurs et mobiles qui reçoivent des données externes ont-ils un antivirus ou un EDR ?

Action si absent: Déployer un EDR ou un antivirus sur tout le parc.
Preuve attendue: Console EDR (couverture du parc)

9.7-EI/EEDSIPriorité élevée

Les données externes sont-elles analysées à la réception (passerelle de messagerie, station blanche pour les clés USB) ?

Action si absent: Mettre en place le filtrage de la messagerie et une station de décontamination USB.
Preuve attendue: Configuration passerelle mail, station blanche