5. Contrôles organisationnels (37 contrôles 5.1 à 5.37)

Politiques, gouvernance, fournisseurs, gestion des incidents, continuité d'activité, conformité — la plus grande famille (40 % des contrôles).

5.1

Politiques de sécurité de l'information

Objectif : Fournir une orientation et un soutien de la direction pour la sécurité de l'information conformément aux exigences métier et aux lois et réglementations pertinentes

L'organisation doit établir, documenter, approuver, communiquer et maintenir des politiques de sécurité de l'information appropriées.

Guide d'implémentation

  • Définir la politique de sécurité de l'information au niveau de l'organisation
  • Obtenir l'approbation de la direction
  • Publier et communiquer la politique à tous les employés et parties externes pertinentes
  • Réviser la politique à intervalles planifiés ou en cas de changements significatifs

Correspondance NIS2

NIS2 : Gouvernance, Politiques de gestion des risques

5.2

Rôles et responsabilités en matière de sécurité de l'information

Objectif : Assurer que les responsabilités en matière de sécurité de l'information sont définies et attribuées

Tous les rôles et responsabilités en matière de sécurité de l'information doivent être définis et communiqués.

Guide d'implémentation

  • Définir et documenter les rôles de sécurité (RSSI, DPO, etc.)
  • Établir les responsabilités pour chaque rôle
  • Communiquer les rôles à toute l'organisation
  • Garantir que les responsabilités sont comprises et acceptées

Correspondance NIS2

NIS2 : Responsabilité de la direction, Gouvernance

5.3

Séparation des tâches

Objectif : Réduire les opportunités de modification ou d'utilisation abusive non autorisées des actifs

Les tâches et responsabilités conflictuelles doivent être séparées pour réduire les risques de modification ou d'utilisation abusive non autorisées.

Guide d'implémentation

  • Identifier les tâches et responsabilités conflictuelles
  • Séparer les tâches incompatibles (ex: développement et production)
  • Mettre en place des contrôles compensatoires si la séparation n'est pas possible
  • Réviser régulièrement les attributions de tâches

Correspondance NIS2

NIS2 : Contrôles d'accès, Sécurité des systèmes

5.4

Responsabilités de la direction

Objectif : Exiger que la direction soutienne et démontre son engagement envers la sécurité de l'information

La direction doit exiger de tout le personnel qu'il applique la sécurité de l'information conformément à la politique établie.

Guide d'implémentation

  • Communication régulière de la direction sur l'importance de la sécurité
  • Allocation de ressources suffisantes
  • Participation active aux revues de sécurité
  • Sponsoring des initiatives de sécurité

Correspondance NIS2

NIS2 : Implication de la direction, Leadership

5.5

Contact avec les autorités

Objectif : Maintenir des contacts appropriés avec les autorités compétentes

L'organisation doit établir et maintenir des contacts avec les autorités compétentes.

Guide d'implémentation

  • Identifier les autorités pertinentes (ANSSI, CCB, CNIL, etc.)
  • Établir des points de contact
  • Définir les procédures de contact en cas d'incident
  • Maintenir les coordonnées à jour

Correspondance NIS2

NIS2 : Notification d'incidents, Communication avec autorités

5.6

Contact avec des groupes d'intérêt spéciaux

Objectif : Maintenir des contacts appropriés avec des groupes d'intérêt spéciaux et des forums spécialisés en sécurité

L'organisation doit établir et maintenir des contacts avec des groupes d'intérêt spéciaux.

Guide d'implémentation

  • Participer à des forums de sécurité (CERT, ISAC, etc.)
  • Adhérer à des associations professionnelles
  • Partager les bonnes pratiques
  • Recevoir des alertes de sécurité

Correspondance NIS2

NIS2 : Partage d'informations, Threat intelligence

5.7

Threat intelligence

Objectif : Collecter et analyser des informations sur les menaces pour la sécurité de l'information

Les informations relatives aux menaces de sécurité de l'information doivent être collectées et analysées.

Guide d'implémentation

  • S'abonner à des flux de threat intelligence
  • Analyser les tendances de menaces
  • Adapter les mesures de sécurité en conséquence
  • Partager les informations pertinentes

Correspondance NIS2

NIS2 : Gestion des menaces, Détection des incidents

5.8

Sécurité de l'information dans la gestion de projet

Objectif : Intégrer la sécurité de l'information dans la gestion de projet

La sécurité de l'information doit être intégrée dans la gestion de projet.

Guide d'implémentation

  • Inclure la sécurité dans toutes les phases du projet
  • Évaluer les risques de sécurité des projets
  • Allouer des ressources sécurité aux projets
  • Effectuer des revues de sécurité

Correspondance NIS2

NIS2 : Sécurité des systèmes, Développement sécurisé

5.9

Inventaire des actifs

Objectif : Identifier les actifs et définir les responsabilités de protection appropriées

Les actifs associés à l'information et aux installations de traitement de l'information doivent être identifiés.

Guide d'implémentation

  • Établir et maintenir un inventaire des actifs
  • Identifier les propriétaires d'actifs
  • Classifier les actifs selon leur criticité
  • Réviser régulièrement l'inventaire

Correspondance NIS2

NIS2 : Cartographie des actifs, Identification des actifs critiques

5.10

Utilisation acceptable de l'information et des actifs

Objectif : Identifier, documenter et mettre en œuvre des règles d'utilisation acceptable de l'information et des actifs

Des règles d'utilisation acceptable de l'information et des actifs doivent être identifiées, documentées et mises en œuvre.

Guide d'implémentation

  • Définir la charte d'utilisation des SI
  • Communiquer les règles à tous les utilisateurs
  • Obtenir l'acceptation formelle
  • Surveiller le respect des règles

Correspondance NIS2

NIS2 : Politiques de sécurité, Sensibilisation

5.11

Restitution des actifs

Objectif : S'assurer que les employés et les parties externes restituent tous les actifs en leur possession à la fin de leur emploi

Tout le personnel et les utilisateurs externes doivent restituer tous les actifs de l'organisation en leur possession.

Guide d'implémentation

  • Procédure de restitution lors du départ
  • Liste de contrôle des actifs à restituer
  • Révocation des accès
  • Récupération des badges, équipements, etc.

Correspondance NIS2

NIS2 : Gestion du cycle de vie des accès

5.12

Classification de l'information

Objectif : S'assurer que l'information reçoit un niveau de protection approprié

L'information doit être classifiée selon les besoins de sécurité de l'organisation.

Guide d'implémentation

  • Définir un schéma de classification (Public, Interne, Confidentiel, Secret)
  • Classifier tous les actifs informationnels
  • Étiqueter l'information classifiée
  • Appliquer les contrôles selon la classification

Correspondance NIS2

NIS2 : Protection des données, Classification des données

5.13

Étiquetage de l'information

Objectif : Développer et mettre en œuvre un ensemble de procédures d'étiquetage de l'information

Un ensemble approprié de procédures d'étiquetage de l'information doit être développé et mis en œuvre.

Guide d'implémentation

  • Définir les règles d'étiquetage
  • Appliquer les étiquettes (métadonnées, en-têtes, etc.)
  • Former les utilisateurs
  • Vérifier le respect de l'étiquetage

Correspondance NIS2

NIS2 : Marquage des données sensibles

5.14

Transfert d'information

Objectif : Maintenir la sécurité de l'information transférée au sein de l'organisation et avec toute entité externe

Des règles, procédures ou accords de transfert d'information doivent être en place.

Guide d'implémentation

  • Politiques de transfert sécurisé
  • Utilisation de canaux chiffrés
  • Accords de transfert avec les tiers
  • Traçabilité des transferts

Correspondance NIS2

NIS2 : Sécurité des communications, Chiffrement

5.15

Contrôle d'accès

Objectif : Gérer les droits d'accès logique et physique aux actifs

Des règles de contrôle d'accès doivent être établies, documentées et révisées.

Guide d'implémentation

  • Politique de contrôle d'accès
  • Principe du moindre privilège
  • Revues régulières des droits
  • Processus de demande et révocation

Correspondance NIS2

NIS2 : Contrôle d'accès, Gestion des identités

5.16

Gestion des identités

Objectif : Gérer le cycle de vie complet des identités

Le cycle de vie complet des identités doit être géré.

Guide d'implémentation

  • Processus de création d'identités
  • Gestion des modifications
  • Désactivation et suppression
  • Révisions périodiques

Correspondance NIS2

NIS2 : Gestion des identités et accès (IAM)

5.17

Informations d'authentification

Objectif : Gérer l'allocation et la gestion des informations d'authentification

L'allocation et la gestion des informations d'authentification doivent être contrôlées.

Guide d'implémentation

  • Politique de mots de passe robuste
  • Authentification multi-facteurs (MFA)
  • Gestion sécurisée des secrets
  • Renouvellement régulier

Correspondance NIS2

NIS2 : Authentification forte, MFA

5.18

Droits d'accès

Objectif : Provisionner, réviser, modifier et retirer les droits d'accès aux actifs

Les droits d'accès aux actifs doivent être provisionnés, révisés, modifiés et retirés.

Guide d'implémentation

  • Workflow de demande d'accès
  • Approbation par les managers
  • Provisioning automatisé
  • Revues trimestrielles des accès

Correspondance NIS2

NIS2 : Gestion du cycle de vie des accès

5.19

Sécurité de l'information dans les relations avec les fournisseurs

Objectif : Maintenir un niveau convenu de sécurité de l'information dans les relations avec les fournisseurs

Des processus et procédures doivent être définis et mis en œuvre pour maintenir la sécurité.

Guide d'implémentation

  • Politique de sécurité fournisseurs
  • Évaluation avant contractualisation
  • Clauses de sécurité dans les contrats
  • Audits réguliers des fournisseurs

Correspondance NIS2

NIS2 : Sécurité de la chaîne d'approvisionnement

5.20

Traiter la sécurité de l'information dans les accords avec les fournisseurs

Objectif : Établir et convenir des exigences de sécurité de l'information avec chaque fournisseur

Les exigences pertinentes de sécurité de l'information doivent être établies et convenues.

Guide d'implémentation

  • Définir les exigences de sécurité
  • Inclure dans les contrats et SLA
  • Droits d'audit
  • Gestion des incidents impliquant des fournisseurs

Correspondance NIS2

NIS2 : Contrats avec fournisseurs TIC, Clauses de sécurité

5.21

Gestion de la sécurité de l'information dans la chaîne d'approvisionnement TIC

Objectif : Gérer les risques de sécurité de l'information associés à la chaîne d'approvisionnement TIC

Des processus et procédures doivent être définis et mis en œuvre pour gérer les risques.

Guide d'implémentation

  • Évaluation des risques de la chaîne TIC
  • Exigences de sécurité pour les sous-traitants
  • Surveillance continue
  • Plans de contingence

Correspondance NIS2

NIS2 : Gestion des risques fournisseurs TIC, Supply chain

5.22

Surveillance, revue et gestion du changement des services fournisseurs

Objectif : Surveiller, réviser, évaluer et gérer le changement dans les services fournisseurs

L'organisation doit surveiller, réviser et gérer régulièrement le changement.

Guide d'implémentation

  • KPI et SLA de sécurité
  • Revues périodiques de performance
  • Gestion des changements chez les fournisseurs
  • Audits de conformité

Correspondance NIS2

NIS2 : Surveillance des fournisseurs TIC

5.23

Sécurité de l'information pour l'utilisation de services cloud

Objectif : Gérer la sécurité de l'information lors de l'utilisation de services cloud

Les processus d'acquisition, d'utilisation, de gestion et de sortie de services cloud doivent respecter les exigences.

Guide d'implémentation

  • Évaluation de sécurité des fournisseurs cloud
  • Modèle de responsabilité partagée
  • Chiffrement des données cloud
  • Plan de sortie (exit strategy)

Correspondance NIS2

NIS2 : Sécurité cloud, Services externalisés

5.24

Planification et préparation de la gestion des incidents de sécurité de l'information

Objectif : Planifier et préparer la gestion des incidents de sécurité

L'organisation doit planifier et préparer la gestion des incidents.

Guide d'implémentation

  • Politique de gestion des incidents
  • Équipe de réponse aux incidents (CSIRT)
  • Procédures de réponse
  • Outils de détection et analyse

Correspondance NIS2

NIS2 : Gestion des incidents, Préparation à la réponse

5.25

Évaluation et décision sur les événements de sécurité de l'information

Objectif : Évaluer les événements de sécurité et décider s'ils doivent être classés comme incidents

L'organisation doit évaluer les événements de sécurité.

Guide d'implémentation

  • Critères de classification des incidents
  • Processus d'escalade
  • Catégorisation et priorisation
  • Documentation des décisions

Correspondance NIS2

NIS2 : Classification des incidents, Priorisation

5.26

Réponse aux incidents de sécurité de l'information

Objectif : Répondre aux incidents de sécurité conformément aux procédures documentées

Les incidents de sécurité doivent être traités conformément aux procédures.

Guide d'implémentation

  • Activation de la réponse
  • Containment et éradication
  • Investigation forensique
  • Communication et notification

Correspondance NIS2

NIS2 : Réponse aux incidents, Notification (24h/72h NIS2)

5.27

Tirer les leçons des incidents de sécurité de l'information

Objectif : Utiliser les connaissances acquises des incidents pour renforcer les contrôles

Les connaissances acquises doivent être utilisées pour réduire la probabilité ou l'impact d'incidents futurs.

Guide d'implémentation

  • Analyse post-incident (post-mortem)
  • Identification des causes racines
  • Actions correctives et préventives
  • Mise à jour des procédures

Correspondance NIS2

NIS2 : Amélioration continue, Leçons apprises

5.28

Collecte de preuves

Objectif : Établir et appliquer des procédures de collecte de preuves

L'organisation doit établir et appliquer des procédures pour l'identification, la collecte, l'acquisition et la préservation de preuves.

Guide d'implémentation

  • Procédures forensiques
  • Chaîne de custody
  • Outils d'investigation
  • Conservation des preuves

Correspondance NIS2

NIS2 : Investigation, Forensique

5.29

Sécurité de l'information pendant les perturbations

Objectif : Planifier comment maintenir la sécurité de l'information à un niveau approprié pendant les perturbations

L'organisation doit planifier comment maintenir la sécurité pendant les perturbations.

Guide d'implémentation

  • Intégration sécurité dans le BCP
  • Procédures de sécurité en mode dégradé
  • Priorisation des contrôles critiques
  • Tests de continuité incluant la sécurité

Correspondance NIS2

NIS2 : Continuité de la sécurité, BCP/DRP

5.30

Préparation des TIC pour la continuité d'activité

Objectif : Préparer les TIC pour la continuité d'activité

La préparation des TIC doit être planifiée, mise en œuvre, maintenue et testée.

Guide d'implémentation

  • Redondance des systèmes critiques
  • Sauvegardes et restauration
  • Sites de secours
  • Tests de failover

Correspondance NIS2

NIS2 : Préparation TIC, Continuité d'activité, DRP

5.31

Exigences légales, statutaires, réglementaires et contractuelles

Objectif : Identifier et respecter les obligations légales, statutaires, réglementaires et contractuelles

Les exigences légales doivent être identifiées, documentées et maintenues à jour.

Guide d'implémentation

  • Veille réglementaire (RGPD, NIS2, DORA, etc.)
  • Registre des exigences applicables
  • Évaluation de conformité
  • Mise en conformité

Correspondance NIS2

NIS2 : Conformité NIS2, RGPD, DORA

5.32

Droits de propriété intellectuelle

Objectif : Mettre en œuvre des procédures appropriées pour protéger les droits de propriété intellectuelle

Des procédures appropriées doivent être mises en œuvre pour protéger les droits de propriété intellectuelle.

Guide d'implémentation

  • Politique d'utilisation des logiciels
  • Gestion des licences
  • Protection du code source propriétaire
  • Respect des droits d'auteur

Correspondance NIS2

NIS2 : Protection de la propriété intellectuelle

5.33

Protection des enregistrements

Objectif : Protéger les enregistrements contre la perte, la destruction, la falsification et l'accès non autorisé

Les enregistrements doivent être protégés conformément aux exigences légales, réglementaires, contractuelles et métier.

Guide d'implémentation

  • Classification des enregistrements
  • Rétention et archivage
  • Protection contre l'altération
  • Destruction sécurisée

Correspondance NIS2

NIS2 : Gestion des logs, Conservation des preuves

5.34

Confidentialité et protection des informations personnelles identifiables

Objectif : Assurer la confidentialité et la protection des PII conformément aux exigences légales

L'organisation doit identifier et respecter les exigences relatives à la préservation de la confidentialité et à la protection des PII.

Guide d'implémentation

  • Conformité RGPD
  • Privacy by design
  • Registre des traitements
  • Droits des personnes concernées

Correspondance NIS2

NIS2 : Protection des données personnelles, RGPD

5.35

Revue indépendante de la sécurité de l'information

Objectif : Effectuer une revue indépendante de l'approche de l'organisation pour gérer la sécurité

L'approche de l'organisation pour gérer la sécurité de l'information doit être revue de manière indépendante.

Guide d'implémentation

  • Audits internes programmés
  • Audits externes (certification)
  • Revue par la direction
  • Actions d'amélioration

Correspondance NIS2

NIS2 : Audits de sécurité, Conformité

5.36

Conformité aux politiques, règles et normes de sécurité de l'information

Objectif : Vérifier régulièrement la conformité aux politiques, règles et normes de sécurité

La conformité doit être régulièrement vérifiée.

Guide d'implémentation

  • Contrôles de conformité automatisés
  • Revues manuelles périodiques
  • Rapports de conformité
  • Actions correctives

Correspondance NIS2

NIS2 : Vérification de conformité, Contrôles

5.37

Procédures opérationnelles documentées

Objectif : Documenter et maintenir à jour les procédures opérationnelles des installations de traitement

Les procédures opérationnelles pour les installations de traitement de l'information doivent être documentées.

Guide d'implémentation

  • Documentation des procédures
  • Mise à jour régulière
  • Accessibilité aux personnes autorisées
  • Formation aux procédures

Correspondance NIS2

NIS2 : Documentation, Procédures opérationnelles

6. Contrôles sur les personnes (8 contrôles 6.1 à 6.8)

Sélection, contrats, formation cyber, télétravail, départ, signalement d'événements de sécurité.

6.1

Sélection

Objectif : S'assurer que les candidats comprennent leurs responsabilités et sont appropriés pour les rôles

Des vérifications de vérification doivent être effectuées sur tous les candidats à l'emploi.

Guide d'implémentation

  • Vérification des antécédents
  • Vérification des références
  • Contrôle des diplômes et certifications
  • Vérification casier judiciaire si nécessaire

Correspondance NIS2

NIS2 : Sélection du personnel, Vérifications d'embauche

6.2

Termes et conditions d'emploi

Objectif : S'assurer que les employés et contractants comprennent et remplissent leurs responsabilités de sécurité

Les accords contractuels avec les employés et contractants doivent inclure leurs responsabilités et celles de l'organisation.

Guide d'implémentation

  • Clauses de sécurité dans les contrats
  • Accords de confidentialité (NDA)
  • Responsabilités de sécurité définies
  • Conséquences en cas de non-respect

Correspondance NIS2

NIS2 : Contrats de travail, Obligations de sécurité

6.3

Sensibilisation, éducation et formation à la sécurité de l'information

Objectif : S'assurer que les employés et contractants reçoivent une sensibilisation, une éducation et une formation appropriées

Le personnel de l'organisation et les parties externes pertinentes doivent recevoir une sensibilisation, une éducation et une formation appropriées.

Guide d'implémentation

  • Programme de sensibilisation annuel obligatoire
  • Formation à l'embauche
  • Formations spécialisées pour rôles critiques
  • Tests et simulations (phishing, etc.)

Correspondance NIS2

NIS2 : Sensibilisation et formation cyber, Formation obligatoire NIS2

6.4

Processus disciplinaire

Objectif : Avoir un processus disciplinaire formel pour les employés qui commettent une violation de sécurité

Un processus disciplinaire formel, communiqué, doit être en place pour traiter les violations de sécurité.

Guide d'implémentation

  • Politique disciplinaire documentée
  • Sanctions graduées
  • Procédure d'investigation
  • Communication des sanctions possibles

Correspondance NIS2

NIS2 : Gestion des violations, Sanctions

6.5

Responsabilités après la cessation ou le changement d'emploi

Objectif : Gérer les responsabilités de sécurité de l'information après la cessation ou le changement d'emploi

Les responsabilités et les tâches de sécurité de l'information valables après la cessation ou le changement d'emploi doivent être définies et appliquées.

Guide d'implémentation

  • Processus de départ structuré
  • Révocation immédiate des accès
  • Restitution des actifs
  • Rappel des obligations de confidentialité post-emploi

Correspondance NIS2

NIS2 : Processus de départ, Révocation des accès

6.6

Accords de confidentialité ou de non-divulgation

Objectif : Protéger l'information organisationnelle par des accords de confidentialité

Des accords de confidentialité ou de non-divulgation reflétant les besoins de protection de l'information doivent être identifiés, documentés et régulièrement revus.

Guide d'implémentation

  • NDA standards pour employés
  • NDA pour partenaires et fournisseurs
  • Révision régulière des accords
  • Mise à jour selon évolution législative

Correspondance NIS2

NIS2 : Confidentialité, Accords de non-divulgation

6.7

Travail à distance

Objectif : Mettre en œuvre des mesures de sécurité pour le travail à distance

Des mesures de sécurité doivent être mises en œuvre lorsque le personnel travaille à distance.

Guide d'implémentation

  • Politique de télétravail
  • VPN obligatoire
  • Équipements sécurisés
  • Règles d'utilisation à domicile

Correspondance NIS2

NIS2 : Télétravail sécurisé, Accès distant

6.8

Rapports d'événements de sécurité de l'information

Objectif : Établir un mécanisme pour que le personnel rapporte les événements de sécurité observés ou suspectés

L'organisation doit fournir un mécanisme pour que le personnel rapporte les événements de sécurité.

Guide d'implémentation

  • Canaux de signalement (email, hotline, plateforme)
  • Encouragement au signalement
  • Protection des lanceurs d'alerte
  • Feedback sur les signalements

Correspondance NIS2

NIS2 : Signalement d'incidents, Reporting

7. Contrôles physiques (14 contrôles 7.1 à 7.14)

Périmètres, accès, surveillance, environnement, équipements, supports, câblage, mise au rebut.

7.1

Périmètres de sécurité physique

Objectif : Définir et utiliser des périmètres de sécurité pour protéger les zones contenant de l'information sensible

Des périmètres de sécurité doivent être définis et utilisés pour protéger les zones.

Guide d'implémentation

  • Définition des zones sensibles
  • Barrières physiques (murs, portes sécurisées)
  • Contrôle d'accès physique
  • Signalisation des zones sécurisées

Correspondance NIS2

NIS2 : Sécurité physique des installations

7.2

Entrées physiques

Objectif : Sécuriser les zones et les installations par des contrôles d'entrée appropriés

Les zones sécurisées doivent être protégées par des contrôles d'entrée appropriés.

Guide d'implémentation

  • Badges d'accès électroniques
  • Sas de sécurité
  • Gardiennage
  • Registre des visiteurs

Correspondance NIS2

NIS2 : Contrôle d'accès physique

7.3

Sécurisation des bureaux, des salles et des installations

Objectif : Concevoir et appliquer la sécurité physique pour les bureaux, salles et installations

La sécurité physique pour les bureaux, salles et installations doit être conçue et appliquée.

Guide d'implémentation

  • Bureaux verrouillables
  • Salles serveurs sécurisées
  • Clean desk policy
  • Protection contre les regards indiscrets

Correspondance NIS2

NIS2 : Sécurité des locaux

7.4

Surveillance de la sécurité physique

Objectif : Surveiller en permanence les locaux contre les accès physiques non autorisés

Les locaux doivent être continuellement surveillés.

Guide d'implémentation

  • Vidéosurveillance (CCTV)
  • Systèmes d'alarme
  • Détection d'intrusion
  • Rondiers

Correspondance NIS2

NIS2 : Surveillance physique

7.5

Protection contre les menaces physiques et environnementales

Objectif : Protéger contre les menaces physiques et environnementales

Une protection contre les menaces physiques et environnementales doit être conçue et appliquée.

Guide d'implémentation

  • Protection incendie
  • Protection inondation
  • Contrôle climatique
  • Protection foudre et surtensions

Correspondance NIS2

NIS2 : Protection environnementale, Résilience physique

7.6

Travail dans les zones sécurisées

Objectif : Concevoir et appliquer des mesures de sécurité pour le travail dans les zones sécurisées

Des mesures de sécurité pour le travail dans les zones sécurisées doivent être conçues et appliquées.

Guide d'implémentation

  • Règles d'accès strictes
  • Supervision dans les zones critiques
  • Interdiction de matériel non autorisé
  • Logs d'accès

Correspondance NIS2

NIS2 : Zones sensibles, Contrôle strict

7.7

Bureau propre et écran vide

Objectif : Définir et appliquer des règles de bureau propre et d'écran vide

Des règles de bureau propre pour les documents et supports de stockage amovibles, et d'écran vide pour les installations de traitement doivent être définies.

Guide d'implémentation

  • Clean desk policy
  • Verrouillage automatique des écrans
  • Rangement sécurisé des documents
  • Destruction sécurisée

Correspondance NIS2

NIS2 : Prévention de la fuite d'informations

7.8

Emplacement et protection des équipements

Objectif : Positionner les équipements de manière à réduire les risques

Les équipements doivent être positionnés de manière sécurisée et protégés.

Guide d'implémentation

  • Emplacement sécurisé des serveurs
  • Protection contre les dommages
  • Redondance géographique
  • Protection contre le vol

Correspondance NIS2

NIS2 : Protection des équipements critiques

7.9

Sécurité des actifs hors des locaux

Objectif : Protéger les actifs hors site

Les actifs hors site doivent être protégés.

Guide d'implémentation

  • Autorisation pour sortie d'équipement
  • Chiffrement des données mobiles
  • Politique BYOD
  • Traçabilité des actifs

Correspondance NIS2

NIS2 : Sécurité des équipements mobiles

7.10

Supports de stockage

Objectif : Gérer les supports de stockage conformément au schéma de classification

Les supports de stockage doivent être gérés conformément au schéma de classification de l'organisation.

Guide d'implémentation

  • Inventaire des supports
  • Chiffrement des supports sensibles
  • Stockage sécurisé
  • Traçabilité

Correspondance NIS2

NIS2 : Gestion des supports de stockage

7.11

Services de support

Objectif : S'assurer que les équipements sont protégés contre les pannes d'alimentation

Les équipements doivent être protégés contre les pannes d'alimentation et autres perturbations.

Guide d'implémentation

  • UPS (onduleurs)
  • Groupes électrogènes
  • Refroidissement redondant
  • Maintenance préventive

Correspondance NIS2

NIS2 : Continuité de l'alimentation, Résilience

7.12

Sécurité du câblage

Objectif : Protéger les câbles transportant des données ou supportant des services d'information

Les câbles transportant des données ou supportant des services d'information doivent être protégés.

Guide d'implémentation

  • Câblage protégé (goulottes, faux-plafonds)
  • Séparation réseaux sensibles
  • Protection contre l'interception
  • Documentation du câblage

Correspondance NIS2

NIS2 : Protection infrastructure réseau

7.13

Maintenance des équipements

Objectif : Maintenir les équipements correctement pour assurer leur disponibilité et intégrité

Les équipements doivent être correctement maintenus.

Guide d'implémentation

  • Programme de maintenance préventive
  • Contrats de maintenance
  • Supervision de la maintenance par tiers
  • Logs de maintenance

Correspondance NIS2

NIS2 : Maintenance des systèmes critiques

7.14

Mise au rebut ou réutilisation sécurisée des équipements

Objectif : S'assurer que l'information est effacée avant la mise au rebut ou la réutilisation

Les éléments d'équipement contenant des supports de stockage doivent être vérifiés pour s'assurer que toute donnée sensible a été supprimée.

Guide d'implémentation

  • Procédure de destruction sécurisée
  • Effacement cryptographique
  • Destruction physique si nécessaire
  • Certificats de destruction

Correspondance NIS2

NIS2 : Destruction sécurisée des données

8. Contrôles technologiques (34 contrôles 8.1 à 8.34)

Endpoints, identités, MFA, cryptographie, journalisation, réseaux, développement sécurisé, tests.

8.1

Dispositifs de point de terminaison utilisateur

Objectif : Protéger l'information stockée, traitée ou accessible via des dispositifs de point de terminaison

L'information stockée, traitée ou accessible via des dispositifs de point de terminaison utilisateur doit être protégée.

Guide d'implémentation

  • Antivirus/EDR sur tous les postes
  • Chiffrement des disques (BitLocker, FileVault)
  • Pare-feu personnel activé
  • Gestion centralisée (MDM/UEM)

Correspondance NIS2

NIS2 : Protection des postes de travail, Endpoints

8.2

Droits d'accès privilégié

Objectif : Restreindre et contrôler l'allocation et l'utilisation des droits d'accès privilégié

L'allocation et l'utilisation des droits d'accès privilégié doivent être restreintes et contrôlées.

Guide d'implémentation

  • Gestion des comptes à privilèges (PAM)
  • MFA obligatoire pour comptes admin
  • Sessions privilégiées enregistrées
  • Principe du moindre privilège

Correspondance NIS2

NIS2 : Gestion des privilèges, Comptes administrateurs

8.3

Restriction d'accès à l'information

Objectif : Restreindre l'accès à l'information et aux actifs conformément à la politique d'accès

L'accès à l'information et aux autres actifs associés doit être restreint conformément à la politique de contrôle d'accès établie.

Guide d'implémentation

  • Contrôles d'accès basés sur les rôles (RBAC)
  • Need-to-know basis
  • Ségrégation des données
  • Revues trimestrielles des accès

Correspondance NIS2

NIS2 : Restriction d'accès, Need-to-know

8.4

Accès au code source

Objectif : Gérer de manière sécurisée l'accès au code source

L'accès en lecture et écriture au code source, aux outils de développement et aux bibliothèques de logiciels doit être géré de manière appropriée.

Guide d'implémentation

  • Contrôle d'accès au repository (Git, SVN)
  • Code reviews obligatoires
  • Gestion des versions
  • Protection du code propriétaire

Correspondance NIS2

NIS2 : Sécurité du développement, Protection code source

8.5

Authentification sécurisée

Objectif : Mettre en œuvre des technologies d'authentification sécurisée

Des technologies et procédures d'authentification sécurisée doivent être mises en œuvre.

Guide d'implémentation

  • Authentification multi-facteurs (MFA/2FA)
  • Biométrie si approprié
  • Authentification forte pour accès critiques
  • SSO (Single Sign-On) sécurisé

Correspondance NIS2

NIS2 : Authentification forte, MFA obligatoire NIS2

8.6

Gestion de la capacité

Objectif : Surveiller et prévoir l'utilisation des ressources pour assurer la performance requise

L'utilisation des ressources doit être surveillée et ajustée, et des projections faites des exigences futures de capacité.

Guide d'implémentation

  • Monitoring de la capacité
  • Planification de la croissance
  • Optimisation des ressources
  • Alertes de seuils

Correspondance NIS2

NIS2 : Gestion de la capacité, Performance

8.7

Protection contre les malwares

Objectif : Protéger l'information et les systèmes contre les malwares

Une protection contre les malwares doit être mise en œuvre et soutenue par une sensibilisation appropriée des utilisateurs.

Guide d'implémentation

  • Antivirus/EDR/XDR
  • Sandbox pour fichiers suspects
  • Filtrage web et email
  • Mises à jour automatiques des signatures

Correspondance NIS2

NIS2 : Protection anti-malware, EDR

8.8

Gestion des vulnérabilités techniques

Objectif : Identifier et traiter les vulnérabilités techniques en temps opportun

L'information sur les vulnérabilités techniques des systèmes d'information utilisés doit être obtenue, l'exposition de l'organisation à ces vulnérabilités évaluée et des mesures appropriées prises.

Guide d'implémentation

  • Scans de vulnérabilités réguliers
  • Veille sur les CVE
  • Priorisation selon criticité (CVSS)
  • Processus de remédiation

Correspondance NIS2

NIS2 : Gestion des vulnérabilités, Scans

8.9

Gestion de la configuration

Objectif : Établir et maintenir des configurations de sécurité

Des configurations, y compris des configurations de sécurité, doivent être établies, documentées, mises en œuvre, surveillées et révisées.

Guide d'implémentation

  • Baseline de configuration sécurisée
  • Gestion de configuration automatisée (Ansible, Puppet)
  • Audits de configuration
  • Change management

Correspondance NIS2

NIS2 : Gestion de la configuration, Hardening

8.10

Suppression d'information

Objectif : Supprimer l'information stockée dans les systèmes lorsqu'elle n'est plus requise

L'information stockée dans les systèmes d'information, dispositifs ou autres supports de stockage doit être supprimée lorsqu'elle n'est plus requise.

Guide d'implémentation

  • Politiques de rétention
  • Suppression automatisée
  • Effacement sécurisé
  • Archivage légal si requis

Correspondance NIS2

NIS2 : Suppression sécurisée des données

8.11

Masquage des données

Objectif : Utiliser le masquage des données conformément à la politique de contrôle d'accès

Le masquage des données doit être utilisé conformément à la politique de contrôle d'accès de l'organisation et aux exigences métier.

Guide d'implémentation

  • Masquage des données de production en test
  • Anonymisation/pseudonymisation
  • Tokenization pour données sensibles
  • Masquage dynamique en base de données

Correspondance NIS2

NIS2 : Protection des données sensibles, Masquage

8.12

Prévention de la fuite de données

Objectif : Détecter et prévenir la divulgation, modification ou suppression non autorisée d'information

Des mesures de prévention de la fuite de données doivent être appliquées aux systèmes, réseaux et autres dispositifs.

Guide d'implémentation

  • Solutions DLP (Data Loss Prevention)
  • Monitoring des transferts de données
  • Blocage des canaux non autorisés
  • Classification automatique des données

Correspondance NIS2

NIS2 : Prévention des fuites de données, DLP

8.13

Sauvegarde de l'information

Objectif : Maintenir des copies de sauvegarde de l'information et les tester

Des copies de sauvegarde de l'information, des logiciels et des systèmes doivent être maintenues et testées régulièrement.

Guide d'implémentation

  • Stratégie de sauvegarde 3-2-1
  • Sauvegardes chiffrées
  • Tests de restauration réguliers
  • Sauvegardes hors site/cloud

Correspondance NIS2

NIS2 : Sauvegardes, Restauration, Continuité

8.14

Redondance des installations de traitement de l'information

Objectif : Mettre en œuvre des installations de traitement de l'information avec une redondance suffisante

Les installations de traitement de l'information doivent être mises en œuvre avec une redondance suffisante pour répondre aux exigences de disponibilité.

Guide d'implémentation

  • Haute disponibilité (clustering)
  • Réplication des données
  • Load balancing
  • Failover automatique

Correspondance NIS2

NIS2 : Redondance, Haute disponibilité, Résilience

8.15

Journalisation (Logging)

Objectif : Créer, conserver et réviser des journaux d'événements

Des journaux enregistrant les activités, exceptions, fautes et autres événements pertinents doivent être produits, stockés, protégés et analysés.

Guide d'implémentation

  • Centralisation des logs (SIEM)
  • Logs des événements de sécurité
  • Protection contre l'altération
  • Rétention selon exigences légales

Correspondance NIS2

NIS2 : Logging, SIEM, Traçabilité

8.16

Activités de surveillance

Objectif : Surveiller les réseaux, systèmes et applications pour détecter les comportements anormaux

Les réseaux, systèmes et applications doivent être surveillés pour détecter les comportements anormaux.

Guide d'implémentation

  • Monitoring 24/7 (SOC)
  • Détection d'anomalies (UEBA)
  • Alertes automatiques
  • Threat hunting proactif

Correspondance NIS2

NIS2 : Surveillance continue, Détection des menaces

8.17

Synchronisation des horloges

Objectif : Synchroniser les horloges des systèmes avec des sources de temps approuvées

Les horloges des systèmes de traitement de l'information pertinents pour l'organisation doivent être synchronisées.

Guide d'implémentation

  • Serveurs NTP (Network Time Protocol)
  • Synchronisation avec source de temps officielle
  • Monitoring de la synchronisation
  • Importance pour forensique et corrélation de logs

Correspondance NIS2

NIS2 : Synchronisation temporelle, Traçabilité

8.18

Utilisation de programmes utilitaires privilégiés

Objectif : Restreindre l'utilisation de programmes utilitaires qui peuvent outrepasser les contrôles système et applicatifs

L'utilisation de programmes utilitaires qui pourraient être capables d'outrepasser les contrôles système et applicatifs doit être restreinte et étroitement contrôlée.

Guide d'implémentation

  • Restriction des outils système
  • Logging de l'utilisation des utilitaires
  • Autorisation préalable requise
  • Isolation des outils dangereux

Correspondance NIS2

NIS2 : Contrôle des outils système

8.19

Installation de logiciels sur les systèmes opérationnels

Objectif : Mettre en œuvre des procédures et des mesures pour gérer l'installation de logiciels

Des procédures et des mesures doivent être mises en œuvre pour gérer de manière sécurisée l'installation de logiciels.

Guide d'implémentation

  • Whitelisting d'applications
  • Processus d'approbation
  • Restriction des privilèges d'installation
  • Tests avant déploiement

Correspondance NIS2

NIS2 : Contrôle des installations logicielles

8.20

Sécurité des réseaux

Objectif : Gérer et contrôler les réseaux pour protéger l'information

Les réseaux et les dispositifs réseau doivent être gérés et contrôlés pour protéger l'information dans les systèmes et les applications.

Guide d'implémentation

  • Segmentation réseau (VLANs, micro-segmentation)
  • Pare-feu et IDS/IPS
  • DMZ pour services exposés
  • Zero Trust Network Architecture

Correspondance NIS2

NIS2 : Sécurité réseau, Segmentation

8.21

Sécurité des services réseau

Objectif : Identifier et mettre en œuvre des mécanismes de sécurité pour les services réseau

Les mécanismes de sécurité, niveaux de service et exigences de service des services réseau doivent être identifiés, mis en œuvre et surveillés.

Guide d'implémentation

  • SLA de sécurité avec fournisseurs réseau
  • VPN pour accès distants
  • Chiffrement des communications
  • Monitoring des services réseau

Correspondance NIS2

NIS2 : Services réseau sécurisés

8.22

Ségrégation des réseaux

Objectif : Séparer les groupes de services d'information, utilisateurs et systèmes d'information

Les groupes de services d'information, d'utilisateurs et de systèmes d'information doivent être ségrégés sur les réseaux.

Guide d'implémentation

  • Séparation production/développement/test
  • Isolation des réseaux WiFi visiteurs
  • Ségrégation OT/IT
  • Zones de confiance différenciées

Correspondance NIS2

NIS2 : Ségrégation des réseaux, Isolation

8.23

Filtrage web

Objectif : Gérer l'accès aux sites web externes pour réduire l'exposition aux contenus malveillants

L'accès aux sites web externes doit être géré pour réduire l'exposition aux contenus malveillants.

Guide d'implémentation

  • Proxy web avec filtrage
  • Blacklisting/Whitelisting d'URLs
  • Analyse des téléchargements
  • Blocage des catégories à risque

Correspondance NIS2

NIS2 : Filtrage web, Protection contre malware

8.24

Utilisation de la cryptographie

Objectif : Définir et mettre en œuvre des règles d'utilisation des contrôles cryptographiques

Des règles d'utilisation des contrôles cryptographiques pour la protection de l'information doivent être définies et mises en œuvre.

Guide d'implémentation

  • Politique cryptographique
  • Algorithmes approuvés (AES, RSA, etc.)
  • Longueur minimale de clés
  • Interdiction d'algorithmes faibles

Correspondance NIS2

NIS2 : Politique cryptographique, Chiffrement

8.25

Cycle de vie de développement sécurisé

Objectif : Établir et appliquer des règles pour le développement sécurisé de logiciels et de systèmes

Des règles pour le développement sécurisé de logiciels et de systèmes doivent être établies et appliquées.

Guide d'implémentation

  • Secure SDLC (ex: Microsoft SDL)
  • Security by design
  • Threat modeling
  • Code reviews sécurité

Correspondance NIS2

NIS2 : Développement sécurisé, Secure SDLC

8.26

Exigences de sécurité des applications

Objectif : Identifier et spécifier les exigences de sécurité pour le développement ou l'acquisition d'applications

Les exigences de sécurité de l'information doivent être identifiées, spécifiées et approuvées.

Guide d'implémentation

  • Security requirements dans cahier des charges
  • Critères de sécurité pour sélection de solutions
  • Tests de sécurité avant mise en production
  • Validation de conformité

Correspondance NIS2

NIS2 : Exigences de sécurité applicatives

8.27

Architecture de système sécurisé et principes d'ingénierie

Objectif : Établir et appliquer des principes pour l'ingénierie de systèmes sécurisés

Des principes pour l'ingénierie de systèmes sécurisés doivent être établis, documentés, maintenus et appliqués.

Guide d'implémentation

  • Architecture de référence sécurisée
  • Design patterns de sécurité
  • Defense in depth
  • Fail secure principles

Correspondance NIS2

NIS2 : Architecture sécurisée, Security by design

8.28

Codage sécurisé

Objectif : Appliquer des principes de codage sécurisé au développement logiciel

Des principes de codage sécurisé doivent être appliqués au développement logiciel.

Guide d'implémentation

  • Standards de codage sécurisé (OWASP)
  • Validation des entrées
  • Gestion sécurisée des erreurs
  • Prévention des vulnérabilités courantes (injection, XSS, etc.)

Correspondance NIS2

NIS2 : Codage sécurisé, Prévention vulnérabilités

8.29

Tests de sécurité en développement et acceptation

Objectif : Définir et mettre en œuvre des processus de tests de sécurité

Des processus de tests de sécurité doivent être définis et mis en œuvre dans le cycle de vie du développement.

Guide d'implémentation

  • SAST (Static Application Security Testing)
  • DAST (Dynamic Application Security Testing)
  • Pentests applicatifs
  • Security acceptance testing

Correspondance NIS2

NIS2 : Tests de sécurité, Pentesting

8.30

Développement externalisé

Objectif : Superviser les activités de développement de systèmes externalisées

L'organisation doit diriger, surveiller et réviser les activités liées au développement de systèmes externalisé.

Guide d'implémentation

  • Exigences de sécurité dans contrats
  • Audits du code fourni
  • Escrow de code source
  • Tests de sécurité indépendants

Correspondance NIS2

NIS2 : Développement externalisé, Fournisseurs développement

8.31

Séparation des environnements de développement, de test et de production

Objectif : Séparer les environnements de développement, de test et de production

Les environnements de développement, de test et de production doivent être séparés et sécurisés.

Guide d'implémentation

  • Réseaux séparés
  • Données de test anonymisées
  • Pas d'accès production depuis développement
  • Contrôles stricts sur production

Correspondance NIS2

NIS2 : Séparation des environnements

8.32

Gestion des changements

Objectif : Gérer les changements aux installations et systèmes de traitement de l'information

Les changements aux installations et systèmes de traitement de l'information doivent être soumis à des procédures de gestion des changements.

Guide d'implémentation

  • Processus de change management formel
  • Change Advisory Board (CAB)
  • Tests avant implémentation
  • Rollback plan

Correspondance NIS2

NIS2 : Gestion des changements, Change management

8.33

Information de test

Objectif : Protéger les données de test

Les données de test doivent être sélectionnées avec soin, protégées et contrôlées.

Guide d'implémentation

  • Utilisation de données anonymisées/masquées
  • Pas de données de production en test
  • Protection des environnements de test
  • Suppression après tests

Correspondance NIS2

NIS2 : Protection des données de test

8.34

Protection des systèmes d'information pendant les tests d'audit

Objectif : Planifier et convenir des tests d'audit pour minimiser les interruptions

Les tests d'audit et autres activités d'assurance impliquant l'évaluation des systèmes opérationnels doivent être planifiés et convenus.

Guide d'implémentation

  • Planification des audits
  • Environnements de test dédiés pour audits
  • Limitation de l'impact sur la production
  • Supervision des activités d'audit

Correspondance NIS2

NIS2 : Tests d'audit, Protection production