Partager :
Démarche d'audit d'architecture
L’objectif d’un audit d’architecture est de rechercher des faiblesses dans la conception, dans le choix des protocoles utilisés ou du non-respect de pratiques recommandées en termes de sécurité. Un audit d’architecture est basé sur une analyse documentaire au suivi d’éventuels entretiens avec les personnes en charge de la conception, de la mise en œuvre, de l’administration, de la supervision et du maintien en condition opérationnelle du système d’information cible.
En outre, des analyses complémentaires peuvent être menées sur des échantillons de configuration réseau (ex : commutateurs, pare-feu) afin de compléter cet audit.
Pendant la réalisation d’un tel audit, les aspects suivants sont notamment contrôlés (liste non-exhaustive) :
- Défense périmétrique
- Défense en profondeur
- Cloisonnement
- Rupture protocolaire
- Gestion des flux
- Politiques de MCO/MCS, de sauvegarde, de journalisation
- Plan de reprise d'activité
La méthodologie est entre autres guidée par les différents guides et recommandations techniques de l’ANSSI (Agence nationale de la sécurité des systèmes d’information). En tout point de l’infrastructure, l’attention des auditeurs Synetis est portée sur la couverture des besoins de la Sécurité des Systèmes d’Information (SSI), à savoir : Disponibilité, Intégrité, Confidentialité et Traçabilité.
La réponse aux besoins DICT est apportée à la lueur de principes généraux de la SSI (par exemple, le principe de moindre privilège, de défense en profondeur) ainsi qu’au travers de l’application de guides et référentiels (notamment le Référentiel Général de Sécurité de l’ANSSI). Les éventuelles contraintes opérationnelles et autres besoins métiers dans l’application de ces guides et les recommandations qui y sont associées sont pris en compte par les auditeurs Synetis.
Ci-après, à titre illustratif, sont donnés quelques résultats issus de nos travaux d’audit d’architecture de SI : cloisonnement insatisfaisant (risque de déplacement latéral), aucune séparation entre les services critiques, peu ou pas de filtrage des flux entrants et/ou sortants, absence de contrôle des accès nomades, aucun durcissement système, aucune procédure de politique de maintenance, pas de centralisation et/ou supervision des journaux, etc.
