Appliquer les mesures de NIS2 sur vos postes, serveurs et mobiles, c’est la première moitié du travail. La seconde, celle qu’un contrôle vérifiera, c’est la preuve documentable que ces mesures sont en place, et qu’elles le restent.
Beaucoup de présentations sur NIS2 s’arrêtent au principe : il faut s’y préparer, il faut commencer. Ce webinar prend le chemin inverse. Il part des mesures exactes du Référentiel Cyber France, le ReCyF, qui réunit les règles techniques appliquées en France, et les met en face de ce qu’un outil de gestion des terminaux sait démontrer, rapport par rapport.
Faire ne suffit plus : il faut le prouver
NIS2 oblige les organisations concernées à se protéger contre les cyberattaques, à signaler les incidents graves, et surtout à être capables de démontrer ce qu’elles ont mis en place. Lors d’un contrôle, l’ANSSI ne juge pas les intentions : elle demande des éléments qui attestent l’atteinte des objectifs. « Nous l’avons fait » ne vaut rien sans rapport, sans inventaire, sans journal horodaté pour l’établir.
Le parc de terminaux est au centre de quatre de ces objectifs. C’est aussi là que la preuve est la plus tangible, et la plus difficile à tenir dans le temps : plusieurs centaines ou milliers de postes, de serveurs et de mobiles, sur des systèmes différents, qui bougent chaque semaine.
Le replay du webinar
Jérémy Selin, de LAZAR SOFT, passe en revue les mesures du ReCyF qui concernent vos terminaux, montre ce que Endpoint Central apporte en face de chacune, et détaille les preuves que l’outil produit pour un contrôle. Sans oublier ce qu’il ne couvre pas.
Qui est concerné, et par quoi
NIS2 élargit fortement le périmètre de la première directive NIS : de nombreux secteurs y entrent, et des entreprises de taille moyenne ou des ETI peuvent désormais être concernées. En France, la transposition passe par le projet de loi Résilience, et les règles techniques sont réunies dans le ReCyF, publié par l’ANSSI. Le référentiel distingue deux catégories d’entités.
- Les entités importantes exercent une activité dans un secteur couvert par la directive. Les objectifs 1 à 15 s’appliquent à elles.
- Les entités essentielles fournissent des services critiques, comme la santé ou l’énergie. Elles doivent atteindre les objectifs 1 à 20.
C’est le principe de proportionnalité : les objectifs 16 à 20, qui portent notamment sur les risques, l’audit, la configuration, l’administration dédiée et la supervision, ne visent que les entités essentielles. Autre changement de fond : la responsabilité ne repose plus sur les seules épaules du DSI ou du RSSI. L’organe de direction approuve les mesures, supervise leur mise en oeuvre et peut en être tenu responsable, selon l’article 20 de la directive.
Quatre objectifs du ReCyF, et la preuve qui va avec
Sur les vingt objectifs du référentiel, quatre reposent directement sur le parc de terminaux. Pour chacun, le webinar met en regard ce que le ReCyF demande, ce qu’Endpoint Central apporte, et ce qu’il produit comme preuve.
Objectif 5 : maîtrise des systèmes d’information
À 12:33 dans le replay
Le ReCyF demande une cartographie des systèmes d’information tenue à jour (5.A.1), l’installation sans délai des correctifs de sécurité sur les ressources exposées et les postes de travail (5.B.4, 5.B.5), et le téléchargement des logiciels depuis les sources officielles des éditeurs (5.B.8). En face, Endpoint Central inventorie le matériel et les logiciels en temps réel, déploie automatiquement les correctifs Windows, macOS, Linux et des applications tierces depuis des sources vérifiées, met à jour les signatures des outils de protection et suit les versions et fins de support des logiciels.
Preuve produite. Des rapports d’inventaire exportables, qui constituent la cartographie attendue, et des rapports de conformité des correctifs par machine : déployés, en attente, en échec, horodatés.
Objectif 8 : sécurisation des accès distants
À 14:49 dans le replay
Sa mesure 8.5, attendue des entités essentielles, exige que les disques des postes et équipements mobiles utilisés hors des locaux soient en permanence protégés par un chiffrement conforme à l’état de l’art. Endpoint Central pilote BitLocker sur Windows et FileVault sur macOS, applique une politique de chiffrement uniforme à tout le parc nomade, et centralise le stockage des clés de recouvrement. Un poste qui arrive sur le parc est détecté, analysé, puis chiffré automatiquement s’il ne l’est pas encore.
Preuve produite. Un rapport d’état de chiffrement par machine (chiffré, non chiffré, en cours) et l’inventaire des clés de recouvrement séquestrées : la preuve d’un chiffrement piloté et récupérable.
Objectif 9 : protection contre les codes malveillants
À 17:06 dans le replay
L’entité définit les terminaux autorisés à se connecter à ses systèmes d’information (9.1), n’y admet que ceux qu’elle gère, ce qui écarte les équipements personnels non enrôlés (9.2), et empêche la connexion des autres (9.3, 9.4). Endpoint Central gère l’inscription et la désinscription des terminaux, détecte les machines non gérées ou non conformes, et peut déployer sur le parc le certificat exigé pour accéder au wifi de l’entreprise. Le module Device Control encadre en complément les clés USB et supports amovibles, jusqu’à la lecture seule.
Preuve produite. La liste des terminaux autorisés et enrôlés, le journal des inscriptions et désinscriptions, et le rapport des terminaux non gérés détectés.
Objectif 18 : sécurisation de la configuration
À 20:41 dans le replay
Réservé aux entités essentielles, il demande de n’installer que les logiciels nécessaires (18.1), de configurer les ressources selon les recommandations de l’éditeur, du fabricant ou de l’ANSSI (18.3), et de mener chaque année une revue de configuration, de préférence outillée (18.4). Endpoint Central applique des référentiels de configuration sécurisée CIS ou STIG, détecte les dérives et les corrige, et désinstalle les logiciels qui n’ont rien à faire sur un poste professionnel.
Le point souvent négligé. Un poste livré avec une vingtaine de logiciels dont l’utilisateur n’en utilise que quelques-uns, ce sont autant de logiciels à maintenir à jour et autant de portes ouvertes. Standardiser, c’est réduire la surface d’attaque.
Le tableau de preuves à présenter
Le webinar résume la démarche en trois colonnes : l’objectif, la capacité qui y répond, la preuve qu’on peut mettre sur la table.
| Objectif | Mesures ReCyF | Capacité Endpoint Central | Preuve produite |
|---|---|---|---|
| OS 5 | Maîtrise des SI 5.A.1, 5.B.2, 5.B.4, 5.B.5, 5.B.7, 5.B.8 | Inventaire temps réel, correctifs multi-systèmes, sources officielles | Rapports d’inventaire et de conformité des correctifs |
| OS 8 | Accès distants, chiffrement des nomades 8.5 | BitLocker et FileVault pilotés, séquestre des clés | Rapport d’état de chiffrement et inventaire des clés |
| OS 9 | Codes malveillants 9.1, 9.2, 9.3, 9.4 | Terminaux autorisés et enrôlés, parc géré, Device Control | Liste des terminaux et journal d’enrôlement |
| OS 18 | Configuration 18.1, 18.3, 18.4 | Référentiels CIS et STIG, détection de dérive, revue automatisée | Rapports de conformité et revue de configuration horodatée |
À ces rapports s’ajoutent des tableaux de bord qui donnent l’état de conformité du parc à un instant donné, dérives comprises. Car un contrôle voudra aussi savoir ce qui n’est pas encore en place.
Une preuve qui se maintient, pas une photo
Le vrai sujet est la durée. Dans Endpoint Central, le parc peut être confronté à un référentiel de conformité, qu’il s’agisse de NIS2, de l’ISO 27001, des recommandations CIS ou d’un référentiel interne propre à l’entreprise. Le rapport des machines qui ne respectent pas les points attendus s’exporte et se planifie, par exemple chaque semaine par e-mail.
L’exemple donné dans le replay parle de lui-même : un poste conforme sur 150 la première semaine, puis 10, 20, 50, 100. Cette progression documentée vaut davantage qu’une affirmation. L’ANSSI peut comprendre qu’une mise en conformité prenne du temps, à condition de voir, preuves à l’appui, qu’elle avance.
Ce que l’outil ne fait pas à votre place
- La procédure écrite reste indispensable : la preuve technique s’adosse à une PSSI, une politique de chiffrement, une procédure de maintien en condition opérationnelle et de sécurité.
- Le blocage réseau strict exigé par les mesures 9.3 et 9.4 demande une solution de contrôle d’accès au réseau (NAC) : Endpoint Central apporte le contrôle, pas le blocage natif.
- La revue annuelle : l’outil automatise la collecte, la validation et la décision restent humaines, et doivent être tracées.
- Quatre objectifs sur vingt : gouvernance, cloisonnement, sauvegarde, supervision et gestion de crise relèvent d’autres briques.
Endpoint Central et des procédures écrites : c’est la combinaison qui rend un objectif à la fois atteint et démontrable.
En résumé
Quatre objectifs du ReCyF se jouent sur votre parc : la maîtrise des systèmes d’information, les accès distants et le chiffrement des nomades, la protection contre les codes malveillants, la configuration. Chacun appelle une preuve exportable et horodatée, que la console de gestion des terminaux produit et planifie. Et la preuve se construit dans la durée, rapport après rapport.
Pour aller plus loin, LAZAR SOFT propose un atelier de cadrage NIS2 sur votre parc de terminaux : les rapports qu’il est possible d’éditer et de planifier, point de contrôle par point de contrôle.
LAZAR SOFT
Pouvez-vous prouver aujourd’hui l’état de chiffrement de chaque poste nomade ?
Nos équipes avant-vente répondent aux questions de mise en oeuvre sur l’ensemble du catalogue ManageEngine.