Objectif 8 · Pilier Protection · EI et EE

Sécurisation des accès distants aux systèmes d'information

Authentifier les personnes et processus qui accèdent à vos SI depuis l'extérieur et chiffrer le canal. Les EE imposent l'authentification multifacteur et le chiffrement des postes nomades.

Mesures pour une EI2

Mesures pour une EE5

Directive NIS 2Art. 21.2.e, Art. 21.2.h, Art. 21.2.j

Pourquoi c'est important

Les VPN et accès distants mal protégés sont l'un des premiers vecteurs d'intrusion des rançongiciels.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI
Art. 21.2.h · Cryptographie et chiffrement
Art. 21.2.j · Authentification multifacteur et communications sécurisées

Les 5 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

8.1-EI/EEDSIPriorité critique

Les accès à distance à vos SI sont-ils chiffrés selon les recommandations de l'ANSSI (VPN IPsec ou TLS, SSH, TLS) ?

Action si absent: Imposer un VPN ou des protocoles chiffrés pour tout accès distant.
Preuve attendue: Configuration VPN

8.2-EI/EEDSIPriorité critique

Ces accès distants des salariés et prestataires sont-ils protégés par une authentification conforme (comptes individuels, secret robuste) ?

Action si absent: Appliquer la politique d'authentification à tous les accès distants.
Preuve attendue: Configuration de l'authentification VPN

8.3-EEDSIPriorité critiqueEE uniquement

L'accès distant utilise-t-il une authentification multifacteur (MFA) avec au moins un facteur de connaissance ?

Action si absent: Déployer le MFA sur tous les accès distants.
Preuve attendue: Configuration MFA, taux d'enrôlement

8.4-EEDSIPriorité élevéeEE uniquement

Si le MFA est impossible sur certains accès, avez-vous des mesures de compensation ?

Action si absent: Documenter les exceptions au MFA et les compenser.
Preuve attendue: Registre des exceptions

8.5-EEDSIPriorité élevéeEE uniquement

Les disques des postes nomades utilisés hors de vos locaux sont-ils chiffrés, avec authentification au démarrage ?

Action si absent: Chiffrer les disques des postes nomades avec code au démarrage.
Preuve attendue: Rapport de chiffrement du parc