Objectif 20 · Pilier Défense · Entités essentielles

Supervision de la sécurité des systèmes d'information

Superviser la sécurité : traiter les journaux et événements au plus tard sous 24 heures, améliorer la détection en continu et conserver les journaux au moins trois mois.

Mesures pour une EINon applicable

Mesures pour une EE6

Directive NIS 2Art. 21.2.b

Pourquoi c'est important

Sans supervision, une intrusion reste en moyenne invisible pendant des semaines.

Ce que couvre la directive

Art. 21.2.b · Gestion des incidents

Raccourci reconnu par l'ANSSI : Le recours à un prestataire de détection des incidents de sécurité (PDIS) qualifié par l'ANSSI peut être présenté pour une partie des mesures de cet objectif.

Les 6 mesures, en questions

Chaque question reformule un moyen acceptable de conformité. Le code renvoie au texte de l'ANSSI.

20.1-EERSSIPriorité critiqueEE uniquement

Votre supervision traite-t-elle les journaux et événements de sécurité au plus tard sous 24 heures ouvrées ?

Action si absent: Mettre en place un SOC (interne ou qualifié PDIS) avec traitement sous 24 h ouvrées.
Preuve attendue: Contrat SOC, indicateurs de traitement

20.2-EERSSIPriorité moyenneEE uniquement

Améliorez-vous la supervision en continu (nouvelles sources, corrélation, scénarios issus de l'analyse de risques) ?

Action si absent: Définir une feuille de route d'amélioration de la détection.
Preuve attendue: Feuille de route de la supervision

20.3-EERSSIPriorité moyenneEE uniquement

Maîtrisez-vous, vous ou votre prestataire, l'architecture et la configuration de l'outil de supervision ?

Action si absent: Documenter l'architecture de la supervision.
Preuve attendue: Dossier d'architecture

20.4-EERSSIPriorité élevéeEE uniquement

Collectez-vous les journaux utiles à la détection (réseau, système, applicatif, utilisateurs) ?

Action si absent: Centraliser les journaux des sources prioritaires.
Preuve attendue: Liste des sources collectées

20.5-EERSSIPriorité élevéeEE uniquement

Conservez-vous les journaux et événements de sécurité au moins trois mois ?

Action si absent: Configurer une conservation d'au moins trois mois.
Preuve attendue: Configuration de la conservation

20.6-EERSSIPriorité moyenneEE uniquement

Ces journaux sont-ils protégés contre un incident qui les rendrait inutilisables (copie hors ligne) ?

Action si absent: Protéger les journaux (copie hors ligne ou immuable).
Preuve attendue: Configuration du stockage