Vous êtes dans : Accueil > Tribunes libres >

GHT : stratégie de convergence SSI, partie III

Cédric Cartau, MARDI 27 MARS 2018

Dans un précédent article(1), nous traitions des stratégies de convergence SSI au sein d’un GHT s’appuyant sur le triptyque audit/appréciation des risques/suivi des actions et, en premier lieu, de l’audit en décrivant un outil très simple (PingCastle) qui permet d’évaluer le niveau de protection de l’AD. Dans un second volet(2), nous avons développé plus particulièrement les audits de la protection périmétrique.  

Il est essentiel, dans une stratégie globale à l’échelle d’un GHT, de définir des indicateurs SSI : ils permettent, d’une part, d’objectiver le niveau général d’avancement et, d’autre part, d’afficher le niveau de chaque établissement comparé à celui des autres. Sur ce dernier point, il n’existe pas de meilleur allié du RSSI que l’aiguillon de la comparaison (souvenez-vous de vos années de primaire, quand l’institutrice vous filait une tôle et vous montrait en exemple le bon élève avec la raie au milieu, le pantalon de velours côtelé et la chemise à carreaux…). 

La définition d’indicateurs se heurte en général à deux écueils : en déterminer suffisamment pour qu’ils soient représentatifs et couvrent un périmètre optimal, mais pas trop, sinon il sera impossible de les collecter. Dans l’idéal, il faudrait se limiter à une quinzaine tout au plus, et nous proposons pour base de réflexion la liste suivante :

– RSSI et DPO officiellement nommés, les trois applications les plus critiques en conformité avec le RGPD ;

– appréciation des risques à jour ;

– processus d’audit défini et respecté ;

– socle documentaire (PSSI, chartes) à jour ;

– taux d’équipement disposant d’un antivirus à jour, avec une cible de 95 % ;

– taux de couverture des procédures dégradées, qui doivent au moins comprendre les logiciels critiques ;

– taux d’OS PC et serveurs à jour ;

– niveau de protection des composants du dispositif périmétrique (pare-feu) : en l’occurrence, non-présence de failles critiques ;

– taux d’utilisateurs avec des comptes AD sans privilèges ;

– taux d’agents de la DSI disposant d’un compte admin distinct de leur compte utilisateur ;

– taux d’agents de la DSI ayant validé le Mooc de l’Anssi (SecNumEdu) ;

– annuaires AD et RH interconnectés.

Soit 12 indicateurs en tout, dont certains empruntent à la partie organisationnelle, d’autres à la partie technique ; certains sont issus des 42 mesures d’hygiène de l’Anssi, d’autres de la vie courante. Tous sont critiquables, tous sont aussi faciles à collecter qu’à mesurer et, surtout, tous font référence à des items qu’il est aisé de faire progresser.

Pantalon de velours ne va pas trop la ramener…

(1) http://www.dsih.fr/article/2873/ght-strategie-de-convergence-ssi-partie-i.html 

(2) http://www.dsih.fr/article/2883/ght-strategie-de-convergence-ssi-partie-ii.html 

#ssi#ad#dsih#rssi#dsi