Objectif 7 · Pilier Protection · EI et EE

Sécurisation de l'architecture des systèmes d'information

Identifier ce qui doit être exposé, cloisonner les SI et filtrer les communications entrantes et sortantes. Les EE cloisonnent en plus leurs SI en zones de sécurité.

Mesures pour une EI6

Mesures pour une EE13

Directive NIS 2Art. 21.2.e, Art. 21.2.h

Pourquoi c'est important

Un réseau à plat permet à un attaquant de passer d'un poste compromis à tout le SI en quelques heures.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI
Art. 21.2.h · Cryptographie et chiffrement

Les 13 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

Cloisonnement

7.A.1-EI/EEDSIPriorité critique

Vos SI sont-ils cloisonnés (physiquement ou logiquement : VLAN, machines virtuelles…) des autres SI, y compris des SI tiers ?

Action si absent: Segmenter le réseau et isoler les SI du périmètre.
Preuve attendue: Schéma réseau, plan des VLAN

7.A.2-EEDSIPriorité élevéeEE uniquement

Chaque SI est-il cloisonné des autres SI ?

Action si absent: Cloisonner chaque SI individuellement.
Preuve attendue: Schéma d'architecture par SI

7.A.3-EEDSIPriorité moyenneEE uniquement

Avez-vous étudié, pour chaque SI, s'il faut le découper en sous-systèmes de sensibilité et d'exposition homogènes ?

Action si absent: Identifier les sous-systèmes ou justifier leur absence.
Preuve attendue: Note d'architecture

7.A.4-EEDSIPriorité moyenneEE uniquement

Ces sous-systèmes sont-ils cloisonnés entre eux ?

Action si absent: Cloisonner les sous-systèmes entre eux.
Preuve attendue: Schéma des zones

7.A.5-EEDSIPriorité élevéeEE uniquement

Les accès vers Internet passent-ils par une passerelle sortante qui authentifie, filtre et trace (serveur mandataire) ?

Action si absent: Déployer un proxy sortant authentifiant avec journalisation.
Preuve attendue: Configuration du proxy

7.A.6-EEDSIPriorité élevéeEE uniquement

Les services exposés passent-ils par une passerelle entrante qui filtre et trace (reverse proxy, relais) ?

Action si absent: Placer les services exposés derrière un reverse proxy ou un relais.
Preuve attendue: Schéma de la DMZ

7.A.7-EI/EEDSIPriorité élevée

Seules les interconnexions nécessaires (métier ou maintenance) sont-elles ouvertes avec les SI tiers et les SI hors périmètre ?

Action si absent: Recenser et fermer les interconnexions non nécessaires.
Preuve attendue: Liste des interconnexions validées

7.A.8-EEDSIPriorité moyenneEE uniquement

Cette règle des seules interconnexions nécessaires s'applique-t-elle aussi à chaque SI et entre sous-systèmes ?

Action si absent: Étendre la revue des interconnexions à chaque SI et sous-système.
Preuve attendue: Matrice des interconnexions

Filtrage des communications

7.B.1-EI/EEDSIPriorité élevée

Avez-vous documenté les flux nécessaires entre vos SI et l'extérieur (matrice des flux) ?

Action si absent: Écrire la matrice des flux autorisés.
Preuve attendue: Matrice des flux

7.B.2-EEDSIPriorité moyenneEE uniquement

Les flux nécessaires entre sous-systèmes sont-ils aussi documentés ?

Action si absent: Compléter la matrice avec les flux internes.
Preuve attendue: Matrice des flux internes

7.B.3-EI/EEDSIPriorité critique

Vos règles de filtrage n'autorisent-elles que les flux documentés, tout le reste étant bloqué par défaut ?

Action si absent: Passer les pare-feux en politique « tout bloquer sauf ce qui est autorisé ».
Preuve attendue: Export des règles de filtrage

7.B.4-EI/EEDSIPriorité critique

Un pare-feu dédié filtre-t-il les échanges entre vos SI et les SI tiers (dont Internet) ?

Action si absent: Installer un pare-feu dédié en coupure avec l'extérieur.
Preuve attendue: Schéma réseau, configuration du pare-feu

7.B.5-EI/EEDSIPriorité moyenne

Revoyez-vous les règles des pare-feux au moins une fois par an ?

Action si absent: Planifier une revue annuelle des règles de filtrage.
Preuve attendue: Compte rendu de revue des règles