guide protection des systemes essentiels

...
ANSSI-PA-085
18/12/2020
.
RECOMMANDATIONS POUR LA
PROTECTION DES SYSTÈMES
D'INFORMATION ESSENTIELS
.
GUIDE ANSSI
..
PUBLIC VISÉ :
Développeur Administrateur RSSI DSI Utilisateur
..
..

..

..
Informations
.
.......
Attention
.
Ce document rédigé par l’ANSSI présente les « Recommandations pour la protection des
systèmes d’information essentiels ». Il est téléchargeable sur le site www.ssi.gouv.fr.
Il constitue une production originale de l’ANSSI placée sous le régime de la « Licence Ouverte
v2.0 » publiée par la mission Etalab [40].
Conformément à la Licence Ouverte v2.0, le guide peut être réutilisé librement, sous réserve
de mentionner sa paternité (source et date de la dernière mise à jour). La réutilisation
s’entend du droit de communiquer, diffuser, redistribuer, publier, transmettre, reproduire,
copier, adapter, modifier, extraire, transformer et exploiter, y compris à des fins commer-
ciales.
Sauf disposition réglementaire contraire, ces recommandations n’ont pas de caractère nor-
matif ; elles sont livrées en l’état et adaptées aux menaces au jour de leur publication. Au
regard de la diversité des systèmes d’information, l’ANSSI ne peut garantir que ces infor-
mations puissent être reprises sans adaptation sur les systèmes d’information cibles. Dans
tous les cas, la pertinence de l’implémentation des éléments proposés par l’ANSSI doit être
soumise, au préalable, à la validation de l’administrateur du système et/ou des personnes en
charge de la sécurité des systèmes d’information.
.
Évolutions du document :
.
VERSION
.
DATE
.
NATURE DES MODIFICATIONS
..
1.0
.
18/12/2020
.
Version initiale
. ..
RECOMMANDATIONS POUR LA PROTECTION DES SYSTÈMES D'INFORMATION ESSENTIELS –1
..

Table des matières
1 Préambule 5
1.1 Objectif du guide . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
1.2 Contenu du document . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
1.3 Convention de lecture . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.3.1 Niveaux de sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.3.2 Objectifs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
1.3.3 Scénarios d’attaque . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
1.3.4 Exemples . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
1.3.5 Définitions . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
2 Dispositif NIS 9
2.1 Cadre réglementaire . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
2.2 Couverture des règles de l’arrêté . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.3 Contexte d’application des recommandations . . . . . . . . . . . . . . . . . . . . . . . 12
2.3.1 Interprétation des recommandations . . . . . . . . . . . . . . . . . . . . . . . . 12
2.3.2 Processus d’homologation . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 13
2.3.3 Opérateurs et prestataires . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 14
2.3.4 Utilisation de produits et services de confiance . . . . . . . . . . . . . . . . . . 14
3 Sécurité de l’architecture (règles 7 à 10) 16
3.1 Configuration (règle 7) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.1.1 Réduction de la surface d’attaque . . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.1.1.1 Modification de la configuration par défaut . . . . . . . . . . . . . . . 17
3.1.1.2 Restriction des fonctionnalités accessibles . . . . . . . . . . . . . . . . 19
3.1.2 Maîtrise des éléments du SIE . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
3.1.2.1 Inventaire des éléments connectés au SIE . . . . . . . . . . . . . . . . 20
3.1.2.2 Utilisation d’éléments maîtrisés dans le SI . . . . . . . . . . . . . . . . 21
3.1.3 Gestion des supports amovibles . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
3.1.3.1 Dédier des supports amovibles au SIE . . . . . . . . . . . . . . . . . . 22
3.1.3.2 Innocuité des supports amovibles à usage mixte . . . . . . . . . . . . 23
3.1.3.3 Traçabilité de l’utilisation des supports amovibles sur le SIE . . . . . . 26
3.2 Cloisonnement (règle 8) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 27
3.2.1 Segmentation du SI en zones . . . . . . . . . . . . . . . . . . . . . . . . . . . . 28
3.2.2 Cloisonnement physique ou logique . . . . . . . . . . . . . . . . . . . . . . . . 30
3.2.2.1 Le cloisonnement physique . . . . . . . . . . . . . . . . . . . . . . . . 30
3.2.2.2 Le cloisonnement logique par le chiffre . . . . . . . . . . . . . . . . . 31
3.2.2.3 Le cloisonnement logique simple . . . . . . . . . . . . . . . . . . . . . 32
3.2.3 Mise en œuvre technique du cloisonnement . . . . . . . . . . . . . . . . . . . 33
3.2.4 Cas des SIE dont l’hébergement est externalisé . . . . . . . . . . . . . . . . . . 33
3.2.5 Cas des SIE des infrastructures numériques . . . . . . . . . . . . . . . . . . . . 34
3.2.6 Cas des SIE ouverts au public . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
3.3 Accès à distance (règle 9) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
3.3.1 Accès publics à un SIE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 38
3.3.2 Accès nomades à un SIE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
2–RECOMMANDATIONS POUR LA PROTECTION DES SYSTÈMES D'INFORMATION ESSENTIELS
..

3.3.3 Accès internes à un SIE . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
3.4 Filtrage réseau (règle 10) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
3.4.1 Points de filtrage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
3.4.2 Besoins de filtrage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
3.4.3 Règles de filtrage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
3.4.4 Mise en œuvre du filtrage . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
3.4.4.1 Choix et mutualisation des dispositifs de filtrage . . . . . . . . . . . . 47
3.4.4.2 Listes d’autorisation et d’interdiction . . . . . . . . . . . . . . . . . . . 49
4 Sécurité de l’administration (règles 11 et 12) 50
4.1 Actions d’administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
4.2 Comptes d’administration (règle 11) . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
4.2.1 Usage des comptes d’administration . . . . . . . . . . . . . . . . . . . . . . . . 51
4.2.2 Protection des comptes d’administration . . . . . . . . . . . . . . . . . . . . . . 54
4.3 Systèmes d’information d’administration (règle 12) . . . . . . . . . . . . . . . . . . . 56
4.3.1 Maîtrise des ressources d’administration . . . . . . . . . . . . . . . . . . . . . . 57
4.3.2 Un système d’information dédié aux actions d’administration . . . . . . . . . . 57
4.3.3 Poste d’administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 58
4.3.4 Réseau d’administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
4.3.5 Protocoles d’administration . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
4.3.6 Administration de plusieurs SI . . . . . . . . . . . . . . . . . . . . . . . . . . . 65
5 Gestion des identités et des accès (règles 13 à 15) 67
5.1 Identification (règle 13) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67
5.1.1 Utilisation de comptes individuels . . . . . . . . . . . . . . . . . . . . . . . . . 67
5.1.2 Comptes inutilisés . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69
5.1.3 Revues de comptes . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
5.2 Authentification (règle 14) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 70
5.2.1 Secret d’authentification . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 71
5.2.1.1 Sécurité du mécanisme d’authentification . . . . . . . . . . . . . . . . 71
5.2.1.2 Partage de secrets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 72
5.2.2 Renforcement de l’authentification . . . . . . . . . . . . . . . . . . . . . . . . . 73
5.2.2.1 Cas des comptes privilégiés . . . . . . . . . . . . . . . . . . . . . . . . 73
5.2.3 Renouvellement des secrets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 74
5.2.3.1 Renouvellement régulier des secrets . . . . . . . . . . . . . . . . . . . 74
5.2.3.2 Renouvellement ponctuel des secrets . . . . . . . . . . . . . . . . . . 75
5.3 Droits d’accès (règle 15) . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 75
5.3.1 Attribution des droits d’accès . . . . . . . . . . . . . . . . . . . . . . . . . . . . 76
5.3.2 Revue des droits d’accès . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 77
6 Maintien en conditions de sécurité (règle 16) 79
6.1 Procédure de maintien en conditions de sécurité . . . . . . . . . . . . . . . . . . . . . 79
6.2 Application des mises à jour de sécurité . . . . . . . . . . . . . . . . . . . . . . . . . . 80
6.2.1 Téléchargement de mises à jour fiables . . . . . . . . . . . . . . . . . . . . . . . 81
6.2.2 Application des mises à jour . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 81
6.2.3 Gestion des systèmes obsolètes . . . . . . . . . . . . . . . . . . . . . . . . . . . 82
Annexe A Correspondance des règles NIS et LPM 83
RECOMMANDATIONS POUR LA PROTECTION DES SYSTÈMES D'INFORMATION ESSENTIELS –3
..