L’ANSSI, l’hygiène informatique et le monde réel

L’Agence Nationale de la Sécurité des Systèmes d’Informations a profité des Assises de la Sécurité qui se tenaient à Monaco pour annoncer son dernier guide pratique, à savoir, « l’hygiène informatique en entreprise ».  Force est de constater que si certaines recommandations sont pleines de bon sens, d’autres semblent ne pas être en adéquation avec la réalité professionnelle.

La règle numéro 4 énonce « Limiter le nombre d'accès Internet au strict nécessaire. », ce qui peut laisser le lecteur songeur. Que veut dire exactement « strict nécessaire » ? Comment définir en entreprise le « strict nécessaire » et comment appliquer ce « strict nécessaire » à tous les salariés ? La règle n°4 précise que l’application de cette règle permet de plus facilement centraliser et d’homogénéiser la surveillance des échanges. Ce second pan de phrase pose un problème non seulement technique mais également juridique. Outre le fait que cela implique qu’il y ait toujours quelqu’un pour surveiller ce qui pourrait transiter sur le réseau, il faut que le salarié soit prévenu que les échanges qu’il peut avoir en utilisant le réseau de l’entreprise peuvent faire l’objet d’une surveillance et que cela soit spécifié non seulement dans la charte informatique de l’entreprise mais également ans le règlement intérieur, qui doit faire l’objet d’une validation de la part des représentants du personnel et en l’espèce, la CNIL doit avoir aussi un droit de regard. Autant dire que la règle n°4 paraît disproportionnée au regard de ce qu’elle entend faire, surtout dans le contexte d’une entreprise lambda et non d’une société qui œuvre dans un domaine sensible.

La règle n°5 s’attaque directement à une pratique qui tend à se démocratiser de plus en plus en entreprise : le BYOD (Bring Your Own Device). En l’espèce, l’ANSSI recommande d’interdire la connexion d’équipements personnels au système d’information de l’entreprise ou d’en fournir les moyens professionnels si on souhaite permettre de tels usages. Cela suppose que l’entreprise engage elle-même des frais pour fournir certains terminaux et appareils mobiles, qu’elle les paramètre elle-même, de façon à ce que le matériel soit compatible avec le système de l’entreprise mais aussi avec le matériel personnel du salarié. Bon courage, surtout pour ceux qui sont amenés à faire travailler leurs salariés à différents endroits. Cette règle se complète avec la règle n°16 qui recommande d’interdire la connexion des supports amovibles sauf si cela est strictement nécessaire. Que tous ceux qui ont vu leur machine crasher violemment au travail et ont ainsi perdu l’intégralité de leurs données d’un coup lèvent la main. A titre personnel, je travaille de façon quasi-exclusive sur clef USB, clef disposant elle-même d’une jumelle à la maison. De la même façon, le graphiste a besoin de brancher sa tablette graphique à la machine pour travailler et certains branchent leurs smartphones sur leurs postes de travail, tout simplement pour le recharger. Quant à la désactivation de l’autorun, cela ressemble plus à un cataplasme sur une jambe de bois. Quant à la règle n°18 sur les terminaux mobiles, elle est irréaliste car elle suppose que tous les terminaux mobiles soient identiques donc que l’entreprise fournisse elle-même le matériel, ce qui a un coût conséquent et que terminaux mobiles soient logiquement équipés des mêmes systèmes que les postes fixes.  

La règle n°14 laisse songeur. Le recours à la carte à puce pour procéder à une authentification forte ne paraît pas nécessaire dans tous les cas et lorsque l’on s’intéresse un minimum aux problématiques NFC, on sait que mettre « carte à puce » et « authentification forte » dans la même phrase peut relever de l’oxymore.

La règle n°30 – même si elle est logique et pleine de bon sens – n’est pas réaliste. Lors que le chef d’entreprise demande à son DSI un accès administrateur sur sa machine, le DSI et le RSI peuvent tempêter et argumenter tant qu’ils veulent, au final, la décision revient au seul chef d’entreprise et bon courage pour lui faire changer d’avis.

La règle n°31 s’avère agaçante car elle préconise d’utiliser des moyens robustes d’authentification, qualifiés par l’ANSSI. Cela sous-entendrait-il qu’en dehors des préconisations de l’ANSSI, point de salut ? On peut raisonnablement émettre quelques doutes.

La règle n°39 est également pleine de bon sens mais irréaliste. Quel DSI va réellement prendre le temps d’expliquer à tous les salariés d’une entreprise certaines règles qu’il a mis en œuvre ? Combien de salariés vont vraiment prendre le temps de lire les règles édictées par la DSI ?

Enfin, la règle n°40 concernant les audits de sécurité est peut-être celle qui est la plus pertinente mais celle qui restera lettre morte. En effet, lorsque l’on connaît le coût d’un audit de sécurité complet, on sait pertinemment que très d’entreprises vont avoir les moyens d’y procéder annuellement.

En résumé, si certaines règles édictées sont pleines de bon sens, certaines ne sont pas en adéquation avec la réalité professionnelle et technologique.