La sécurité informatique est cruciale dans toutes les organisations. Les utilisations de terminaux nomades et le besoin d’interaction des collaborateurs entre eux ou avec des tiers rendent ces questions encore plus critiques. Pour assurer la sécurité de cette administration, il faut bien entendu mettre en place un ensemble de processus et de mesures (en partie techniques, mais pas seulement) visant à assurer le maintien de la sécurité du système d’information.

Dans cet article, nous allons tâcher d’évaluer les bonnes pratiques permettant de sécuriser son administration informatique.

Ainsi, pour limiter les incidents, il est nécessaire de :

• protéger les infrastructures de toute éventuelle intrusion ou de toute éventuelle altération des données
• protéger les moyens et les ressources utilisées dans le cadre de l’administration du système d’information

Pour appuyer notre analyse, nous allons nous baser notamment sur un document intitulé Recommandations relatives à l’administration sécurisée des systèmes d’information, une note technique publiée par l’agence nationale de la sécurité des systèmes d’information (ANSSI) le 20 février 2015 et disponible sur le site http://www.ssi.gouv.fr.

Bien choisir son administrateur

Pour sécuriser la sécurité de son administration, il convient déjà d’avoir un administrateur fiable, loyal, transparent, et respectueux de la confidentialité.

Loyauté

Sa fonction rend l’entreprise très dépendante de son engagement, la jurisprudence à tendance à se montrer sévère quand l’administrateur ne remplit pas ses obligations. Des sanctions pénales peuvent être prononcées à son encontre.

Transparence

Les moyens fonctionnels et techniques nécessaires à la sécurisation de l’organisation doivent être connus de tous les salariés. Les droits et obligations des salariés en matière d’utilisation des moyens informatiques doivent être rassemblés dans une charte informatique annexée au règlement intérieur.

Cette charte est un véritable outil de sensibilisation des salariés qui leur est opposable dès lors qu’elle est annexée au règlement intérieur.
Son non-respect peut être analysé comme une violation du contrat de travail qui peut mener à un licenciement.

Confidentialité

L’administrateur est tenu au secret professionnel. Il n’a pas le droit de divulguer des informations couvertes par le droit à la vie privée ou le secret des correspondances, sauf s’il a découvert des contenus illicites.

Lorsque l’administrateur est un prestataire, il convient également de tenir compte des mêmes recommandations et de cadrer le respect de cette confidentialité au travers des différents éléments de contractualisation qui vont définir la relation entre les deux parties.

Établir des zones de confiance

Paramètre essentiel de la sécurisation d’une administration, l’établissement des zones de confiance ! L’objectif : maîtriser les accès et assurer leur cloisonnement, en regroupant les systèmes et applications dans des zones de confiances. Ces zones permettent alors d’isoler ou de cloisonner un système, des ressources ou un service par des mesures de protection adaptées en fonction des besoins opérationnels.

Comment procéder?

• D’abord en menant une analyse des domaines fonctionnels et techniques à traiter
• Puis en définissant les besoins de sécurité en termes de confidentialité, d’intégrité, d’authentification et de traçabilité.
• On peut agir par des mécanismes de filtrage, de cloisonnement logique de réseau, de chiffrement, ou d’authentification.

C’est en mettant en œuvre simultanément plusieurs de ces mécanismes qu’il est possible d’obtenir un niveau de confiance satisfaisant.

Les autres menaces

Lorsqu’il s’agit de protéger son administration informatique, les éventuelles menaces peuvent se révéler nombreuses et variées. Le poste d’administration, les comptes d’administration, ou encore les passerelles d’administration seront tout autant d’éléments qu’il sera nécessaire de fiabiliser.

Le poste d’administration

Dans sa note technique, l’ANSSI donne des exemples d’attaque visant en particulier le poste d’administration. Ainsi, on peut mentionner les attaques consistant à exécuter un code malveillant sur un poste depuis lequel un administrateur s’est connecté avec ses privilèges.

Ce code malveillant peut être introduit par le biais de multiples moyens (Internet, pièce jointe, media) et il bénéficie des privilèges élevés de la session de l’administrateur pour voler des empreintes de mots de passe. Cette technique permet d’accéder aux ressources du système d’information sans connaître le mode de passe, pour installer un logiciel espion, diffuser des virus, ou encore, avoir accès aux serveurs,…

Pour résoudre ce type de problème, il convient donc d’apporter un soin tout particulier à la sécurisation du poste d’administration.

Comment sécuriser le poste d’administration ?

Pour sécuriser le poste d’administration, une première solution consiste à séparer physiquement les environnements de travail, en particulier l’administration d’une part, et la bureautique d’autre part. Cela oblige à disposer d’au moins deux stations de travail mais il s’agit de la solution la plus fiable.

Une deuxième solution est d’utiliser les technologies de virtualisation afin d’obtenir un système « multi-niveaux ». Le principe consiste à disposer de plusieurs environnements logiciels sur un même poste physique. Des mécanismes de durcissement du noyau et de cloisonnement permettent d’isoler ces environnements pour réduire les risques de compromission du niveau de sensibilité haute ou de fuite d’information depuis un niveau de sensibilité haute vers le niveau de sensibilité basse.

Sécuriser les comptes d’administration

Avez-vous déjà été sollicités par votre système afin de modifier ou de complexifier votre mot de passe ? Les identifiants font partie des premières cibles des attaques informatiques. Le vol de ces informations compromet forcément le système d’information, mais surtout, ce type de compromission est particulièrement difficile à détecter.

S’il est difficile de faire respecter les bonnes pratiques en matière de complexité ou de renouvellement de mot de passe, il existe d’autres solutions pour sécuriser les comptes d’administration, tel que de ne pas se limiter au contrôle d’accès par mot de passe.

Des mécanismes d’authentification peuvent ainsi compléter les identifiants traditionnels, on pense notamment aux codes PIN, empreintes digitales, IRIS, cartes à puces, signature manuscrite ou encore à la combinaison de plusieurs mots de passe. Le référentiel général de sécurité de l’ANSSI décrit en détail les mécanismes cryptographiques et d’authentification.

Sécuriser les passerelles d’administration

Les ressources d’administration doivent, elles aussi, absolument être protégées. L’ANSSI suggère là aussi de séparer physiquement ou logiquement, à l’aide de mécanismes cryptographiques essentiellement, ces ressources et de maîtriser leurs accès.

Cette tâche est rendue délicate par l’augmentation du nombre de systèmes et la complexité croissante des solutions techniques d’administration.
Souvent, s’ajoutent à cette complexité des contraintes budgétaires, la compression des ressources humaines et la nécessité de maintenir un service qui fonctionne en continu.

Conclusion

Il ne s’agit pas que de mettre en place un système sécurisé. Il est aussi crucial de maintenir tous ces composants en bonnes conditions de sécurité. Pour bien faire, il faut mettre en œuvre un ensemble des mesures techniques et non techniques permettant de

• maintenir le niveau de sécurité initial du système
• anticiper ou au moins pallier l’émergence des nouveaux risques.

Ceci oblige à revoir et réactualiser régulièrement, au moins tous les ans, l’analyse de risques propre au système d’information et de rester toujours conscient des risques.

Vous souhaitez savoir où vous en êtes du point de vue de vos capacités à sécuriser votre système d’information ? Nos équipes vous accompagnent dans la réalisation de votre audit informatique. Demandez gratuitement un devis !