Politiques de sécurité système

Définition

Une politique de sécurité système définit les règles que les machines et leurs utilisateurs doivent respecter : inventaire, sauvegardes, durées de vie des logiciels, exigences réglementaires. Elle transforme la sécurité en procédures vérifiables.

L'inventaire matériel et logiciel

On ne protège que ce qu'on sait posséder. L'inventaire recense les postes, leurs composants, les logiciels installés et leurs versions.

Un poste absent de l'inventaire n'a ni correctifs, ni antivirus, ni suivi. C'est la porte d'entrée préférée des attaquants.

L'inventaire alimente les autres politiques : savoir qu'une version de logiciel est obsolète permet de planifier sa mise à jour.

Les sauvegardes

La règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors site.

Une sauvegarde qui n'a jamais été testée n'est pas une sauvegarde. La restauration fait partie de la procédure : restaurer un fichier, puis un poste complet, chaque trimestre.

Les sauvegardes protègent aussi contre les ransomwares : un poste chiffré se restaure sans payer.

Les exigences réglementaires

PCI DSS encadre les entreprises qui traitent des paiements par carte : segmentation réseau, journalisation, contrôles d'accès.

HIPAA protège les données de santé aux États-Unis. Le RGPD protège les données personnelles des citoyens européens : minimisation, consentement, notification de violation sous 72 heures.

Une politique conforme à PCI DSS ou au RGPD n'est pas une option : c'est une condition pour exercer l'activité.

La politique de mots de passe et d'accès

Longueur minimale, gestion des accès par rôle, comptes administrateur nominatifs. Le moindre privilège s'applique aux humains comme aux logiciels.

Exemple concret

Une clinique doit respecter HIPAA. L'inventaire révèle dix postes sans chiffrement. La politique impose BitLocker sur tous les postes, des sauvegardes chiffrées testées chaque mois et une revue des accès trimestrielle. L'auditeur vérifie les journaux, pas les intentions.