Objectif 18 · Pilier Protection · Entités essentielles

Sécurisation de la configuration des ressources des systèmes d'information

Réduire la surface d'attaque : n'installer que les logiciels nécessaires et configurer les ressources de façon sécurisée selon les recommandations de l'ANSSI, des éditeurs et des fabricants.

Mesures pour une EINon applicable

Mesures pour une EE4

Directive NIS 2Art. 21.2.e

Pourquoi c'est important

Chaque service inutile ou configuration par défaut est une porte d'entrée de plus.

Ce que couvre la directive

Art. 21.2.e · Sécurité de l'acquisition, du développement et de la maintenance des SI

Les 4 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

18.1-EEDSIPriorité élevéeEE uniquement

N'installez-vous et ne conservez-vous que les logiciels nécessaires (modèles de configuration minimaux) ?

Action si absent: Créer des modèles de configuration minimaux et supprimer les logiciels inutiles.
Preuve attendue: Modèles de configuration, inventaire logiciel

18.2-EEDSIPriorité moyenneEE uniquement

Si un logiciel inutile ne peut pas être retiré, réduisez-vous le risque associé ?

Action si absent: Désactiver ou isoler les composants impossibles à retirer.
Preuve attendue: Registre des exceptions

18.3-EEDSIPriorité élevéeEE uniquement

Vos équipements sont-ils configurés de façon sécurisée (guides des éditeurs, de l'ANSSI) ?

Action si absent: Appliquer des guides de durcissement.
Preuve attendue: Référentiels de durcissement appliqués

18.4-EEDSIPriorité moyenneEE uniquement

Faites-vous une revue de configuration annuelle, idéalement outillée (scan de ports et de vulnérabilités, revue des pare-feux) ?

Action si absent: Mettre en place des scans réguliers et une revue annuelle.
Preuve attendue: Rapports de scan