La sécurité des OIV de 4 autres secteurs renforcée dès janvier 2017

Dès le 1er janvier 2017, le temps sera venu pour les secteurs de l’Audiovisuel et de l’information, des Communications électroniques et Internet, des Finances, et de l’Industrie de répondre aux 20 règles de sécurité développées par l’ANSSI dans les arrêtés du 28 novembre 2016.

securite-des-oiv.jpeg

 

20 règles communes pour assurer la sécurité des OIV

Depuis 3 ans, les opérateurs d’importance vitale (OIV) font l’objet de réglementations de sécurité strictes de plus en plus nombreuses. L’article 22 de la Loi de Programmation Militaire de décembre 2013 a permis à l’Agence Nationale de Sécurité des Systèmes d’Information (ANSSI) de progressivement renforcer la sécurité des OIV et des systèmes d’information critiques qu’ils exploitent secteur par secteur. Bien que chaque arrêté soit spécifique à un secteur d’activité précis, les 20 règles de sécurité qu’ils contiennent sont communes à tous :

  1. L’implémentation d’une politique de sécurité des systèmes d’information (PSSI).
  2. L’homologation périodique des systèmes d’information d’importance vitale (SIIV).
  3. La mise en place d’une cartographie détaillée des caractéristiques physiques et fonctionnelles des SIIV et de leurs comptes à privilèges.
  4. La bonne tenue des conditions de sécurité des SIIV prenant en compte toute nouvelle vulnérabilité et implémentant des mesures correctrices pour protéger les systèmes.
  5. La bonne tenue de journaux horodatés et centralisés capables d’enregistrer tous les événements relatifs à l’authentification des utilisateurs, à la gestion des comptes et des droits d’accès, ainsi qu’aux modifications des règles de sécurité.
  6. La mise en place d’un système de corrélation et d’analyse des événements enregistrés dans les journaux.
  7. La mise en place d’un système de détection des événements de nature dangereuse.
  8. L’implémentation d’une politique de traitements des incidents via un cloisonnement des systèmes et l’analyse des incidents.
  9. La mise en place d’une veille des alertes de cyber-menaces et vulnérabilités diffusées par l’ANSSI pour assurer la protection des systèmes face aux nouvelles menaces.
  10. L’implémentation d’une procédure de gestion de crises en cas d’attaques.
  11. La création de comptes à privilèges individuels ou, en cas d’impossibilité, la mise en place de mesures nécessaires pour réduire les risques liés à l’utilisation de comptes partagés et assurer la traçabilité des sessions.
  12. La protection des accès aux ressources grâce à un mécanisme d’authentification des comptes à privilèges basé sur un élément secret.
  13. La gestion d’attribution des droits d’accès aux ressources révisée périodiquement.
  14. La mise en place de comptes d’administration pour les administrateurs des systèmes et la définition de règles de gestion, d’attribution et de mise à jour des comptes par l’opérateur.
  15. La gestion et la configuration par l’opérateur des SIIV d’administration et de leurs ressources.
  16. Le cloisonnement physique ou logique des SIIV et sous-systèmes.
  17. La mise en œuvre de listes de filtrage et de filtres sur les flux de données et interconnexions.
  18. L’application de mécanismes de chiffrement et d’authentification renforcés comprenant un élément secret et un élément propre à l’utilisateur.
  19. Le respect des règles selon lesquelles seuls les services ou équipements indispensables à la sécurité du SIIV sont installés et la connexion à ces équipements ne se fait que sur les SIIV.
  20. L’évaluation de sécurité des SIIV via des indicateurs de maintien de sécurité, de pourcentage de non installation ou de mise à jour, de droits d’accès et d’administration des ressources.

 

Les principes de sécurité des OIV restent les mêmes, mais les enjeux diffèrent selon les secteurs

Bien que les arrêtés soient basés sur ces 20 règles communes à tous les secteurs d’activité des OIV visés, les problématiques de cybersécurité impactant ces derniers diffèrent. Toutefois, l’étendue de ces règles est telle qu’elles sont bénéfiques à chaque secteur et leur permettent d’accroître leur réputation.

Par exemple, les sociétés du secteur Audiovisuel faisant majoritairement appel à des prestataires externes pour gérer leur informatique, les règles portant sur la tenue de journaux (n°5), la mise en place d’un système de détection de comportements malveillants (n°7) ou encore la sécurisation des comptes à privilèges (n°11 à 15) sont particulièrement importantes pour protéger leurs informations critiques des cyber-attaques.

En outre, dans le cas d’un système de contrôle industriel, l’application de ces mêmes règles ainsi que la mise en place d’un cloisonnement exemplaire des systèmes (règle n°16) sont également primordiales, l’enjeu de cybersécurité principal lié au secteur de l’Industrie étant celui du remote access.

En plus des règles de sécurisation et gestion des accès, les secteurs de la Finance et des Télécommunications peuvent quant à eux obtenir une réelle valeur ajoutée auprès de leurs clients dès lors que les données qu’ils manipulent sont chiffrées (règle n°18) et leurs flux filtrés (règle n°17).

Le défi est donc de sélectionner et implémenter une solution de cybersécurité adaptée à des besoins sectoriels spécifiques.

 

Comment répondre aux réglementations tout en s’adaptant aux enjeux spécifiques de chaque secteur pour assurer la sécurité des OIV et optimiser leurs performances ?

Afin d’aider les OIV à identifier les meilleures solutions de cybersécurité adaptées à leurs enjeux, l’ANSSI fait vivre depuis 10 ans une chaîne de confiance qui distingue les solutions les plus sécurisées du marché via un processus de certification de sécurité de premier niveau (CSPN).

La solution bastion de gestion des accès privilégiés proposée par WALLIX – WALLIX ADMINBASTION Suite, est l’une d’entre elles. Elle est également la seule solution répondant à la problématique de contrôle des accès privilégiés s’intégrant nativement sur les protocoles d’administration RDP et SSH à être certifiée CSPN. Le Bastion WALLIX maximise la protection et la sécurité des OIV et répond aux 20 règles de l’Article 22 de la LPM grâce à :

  • Une gestion et une gouvernance des session privilégiées permettant la visualisation en temps en réel et l’enregistrement des activités effectuées sur le SI et l’imputabilité des connexions.
  • Un coffre-fort à mots de passe cryptés certifié.
  • Un mécanisme de rotation automatique et sécurisé des mots de passe.
  • Une console d’administration web offrant une vue centralisée et adaptée aux super-administrateurs pour un meilleur suivi des opérations en temps réel et un contrôle des accès à distance renforcé.

 

Pour plus d’informations, contactez-nous ou rendez-vous sur wallix.com !