Pour un opérateur d'importance vitale (OIV), l'audit de ses systèmes d'information d'importance vitale n'est pas une option : c'est une étape imposée par la loi de programmation militaire, qu'il s'agisse d'homologuer un SIIV ou de répondre à un contrôle diligenté par l'État. Bien préparé, il devient un outil de pilotage. Mal préparé, il se résume à une course aux documents dans les jours qui précèdent la réunion d'ouverture.
Cet article rappelle ce qu'exige le dispositif, propose une méthode pour organiser la préparation de l'audit, et liste les interlocuteurs à mobiliser, côté opérateur, côté administration et côté prestataires.
La LPM en quelques mots
L'article 22 de la loi de programmation militaire du 18 décembre 2013 a introduit dans le code de la défense (articles L. 1332-6-1 et suivants) des obligations de cybersécurité pour les opérateurs d'importance vitale. Les OIV sont désignés par l'État, au sein des secteurs d'activités d'importance vitale (énergie, transports, santé, finances, communications électroniques, alimentation, eau, etc.), parce que l'indisponibilité de leurs activités affecterait gravement la vie de la nation.
Le dispositif s'applique aux systèmes d'information d'importance vitale (SIIV) : les systèmes dont l'atteinte compromettrait le fonctionnement des activités d'importance vitale. C'est l'opérateur qui identifie ses SIIV et en déclare la liste à l'ANSSI. Le décret n° 2015-351 du 27 mars 2015 fixe le cadre général, et des arrêtés sectoriels précisent, pour chaque secteur, les règles de sécurité, les délais d'application et les types d'incidents à déclarer.
Concrètement, un OIV doit notamment :
- identifier ses SIIV et en communiquer la liste à l'ANSSI ;
- appliquer les règles de sécurité fixées par l'arrêté de son secteur ;
- déclarer sans délai à l'ANSSI les incidents de sécurité affectant ses SIIV ;
- faire auditer ses SIIV, notamment dans le cadre de leur homologation, et se soumettre aux contrôles ordonnés par l'État.
Les exigences : vingt règles en quatre familles
Les arrêtés sectoriels reprennent un socle de vingt règles de sécurité, que l'ANSSI regroupe en quatre familles. C'est la grille de lecture de l'audit : chaque constat y sera rattaché.
| Famille | Règles | Ce que l'auditeur cherche à vérifier |
|---|---|---|
| Gouvernance | Politique de sécurité (PSSI), homologation, cartographie, indicateurs | Le SIIV est connu, documenté, homologué et piloté |
| Protection | Maintien en condition de sécurité, identification, authentification, droits d'accès, comptes d'administration, SI d'administration, cloisonnement, filtrage, accès à distance, installation de services et d'équipements | Les mesures techniques sont en place et réellement appliquées |
| Défense | Journalisation, corrélation et analyse de journaux, détection, traitement des incidents, traitement des alertes | Une attaque serait vue, analysée et traitée |
| Résilience | Gestion de crise | L'opérateur sait réagir à un incident majeur |
Quelques règles concentrent souvent l'essentiel de l'effort de mise en conformité :
- La cartographie. Elle doit décrire les briques logicielles et matérielles, les interconnexions, les flux et les accès d'administration du SIIV. Sans cartographie à jour, ni le périmètre de l'audit ni ses conclusions ne sont fiables.
- L'administration. Comptes d'administration dédiés, postes et SI d'administration distincts du SI bureautique, authentification renforcée : c'est le chemin privilégié d'un attaquant, et donc un axe central de l'audit.
- Le cloisonnement et le filtrage. Le SIIV doit être isolé des autres systèmes, et seuls les flux strictement nécessaires doivent être autorisés et documentés.
- Le maintien en condition de sécurité. Veille, application des correctifs, traitement des systèmes obsolètes ou impossibles à mettre à jour, avec des mesures compensatoires formalisées.
- La détection. Les arrêtés prévoient le recours à des systèmes de détection, exploités par l'opérateur ou par un prestataire qualifié (PDIS), et la conservation des journaux.
Homologation ou contrôle : deux contextes d'audit
L'audit LPM intervient dans deux contextes, qu'il faut distinguer dès le départ car ils ne se préparent pas tout à fait de la même façon.
L'audit préalable à l'homologation
La règle d'homologation impose à l'opérateur d'homologer chacun de ses SIIV, puis de renouveler cette homologation selon la périodicité prévue par l'arrêté. Le dossier d'homologation comprend un audit de sécurité, réalisé par un prestataire qualifié PASSI (qualification dite « PASSI LPM ») ou par un service de l'État. C'est l'opérateur qui choisit et mandate le prestataire, et l'autorité d'homologation qui décide, au vu du rapport, d'accepter ou non les risques résiduels.
Le contrôle diligenté par l'État
Indépendamment de l'homologation, le Premier ministre peut imposer à un OIV un contrôle du niveau de sécurité et du respect des règles sur ses SIIV. Ce contrôle est effectué par l'ANSSI ou par des prestataires qualifiés, et son coût est à la charge de l'opérateur. Ici, l'initiative, le périmètre et le calendrier viennent de l'administration : la marge de manœuvre de l'opérateur porte surtout sur sa capacité à fournir rapidement les éléments demandés.
Organiser la préparation de l'audit
La préparation d'un audit LPM est un projet à part entière, avec un pilote, un calendrier et des livrables. Voici une organisation en six étapes.
1. Désigner un pilote et fixer l'objectif
Un pilote unique, généralement le RSSI ou un membre de son équipe, coordonne la préparation et devient l'interlocuteur du prestataire d'audit. L'objectif doit être formalisé : homologation initiale, renouvellement, réponse à un contrôle, ou audit de vérification avant l'une de ces échéances. Il conditionne le périmètre, la profondeur des tests et la date de remise du rapport.
2. Arrêter le périmètre
Le périmètre part de la liste des SIIV déclarés à l'ANSSI, puis se précise avec la cartographie : sites, composants, interconnexions, SI d'administration, accès des tiers (mainteneurs, infogérants, éditeurs). Les éléments hors du contrôle direct de l'opérateur, comme un hébergement externalisé ou un service opéré par un sous-traitant, doivent être identifiés tôt : leur audit suppose l'accord et la disponibilité du tiers, ce qui se négocie rarement en quelques jours.
3. Faire une auto-évaluation au regard des vingt règles
Avant l'arrivée des auditeurs, passez en revue chaque règle de l'arrêté sectoriel : mesure en place, mesure partielle, écart connu. Cette auto-évaluation n'a pas vocation à remplacer l'audit, mais elle évite de découvrir pendant la mission des écarts que l'équipe connaissait déjà, et elle permet de lancer les corrections simples en amont. Les écarts assumés (système obsolète conservé pour raisons métier, par exemple) doivent être documentés avec leurs mesures compensatoires.
4. Choisir le prestataire et cadrer la mission
Vérifiez la qualification du prestataire sur le catalogue de l'ANSSI, et sa portée : la qualification PASSI couvre cinq activités (audit d'architecture, audit de configuration, audit de code source, tests d'intrusion, audit organisationnel et physique), et un prestataire n'est pas nécessairement qualifié sur toutes. Le référentiel PASSI impose une convention d'audit signée avant le démarrage, qui fixe le périmètre, les activités, les modalités, les responsabilités et les règles de confidentialité. Elle est complétée par un plan d'audit détaillant le calendrier et les interventions.
Pour un SIIV, prévoyez aussi les contraintes propres au contexte : habilitation des auditeurs si des informations classifiées sont en jeu, conditions d'accès aux sites, traitement et stockage des données d'audit, conservation des preuves.
5. Réunir la documentation
Les auditeurs auront besoin des documents de référence dès la réunion d'ouverture, voire avant pour l'audit organisationnel. Constituez un espace documentaire unique, à accès contrôlé, qui rassemble au minimum :
- la PSSI et ses déclinaisons applicables au SIIV ;
- la cartographie et les schémas d'architecture et de flux ;
- le dossier d'homologation précédent et le suivi de son plan d'action, le cas échéant ;
- les procédures d'administration, de gestion des comptes et des droits ;
- les procédures de maintien en condition de sécurité et l'état des correctifs ;
- la politique de journalisation, l'organisation de la détection et du traitement des incidents ;
- le dispositif de gestion de crise et les comptes rendus d'exercices ;
- les contrats et conventions avec les tiers qui interviennent sur le SIIV ;
- les indicateurs transmis à l'ANSSI.
6. Préparer la logistique technique
Les audits techniques échouent plus souvent sur la logistique que sur la technique. Il faut anticiper :
- les comptes nécessaires (lecture seule pour l'audit de configuration, comptes de test pour les tests d'intrusion) ;
- les extractions de configuration (pare-feu, commutateurs, annuaire, systèmes) ;
- les accès physiques et le poste d'audit, y compris sur un SI d'administration isolé ;
- les fenêtres de tests compatibles avec l'exploitation, en particulier sur les systèmes industriels ;
- les autorisations écrites, l'information des équipes d'exploitation, du SOC et des tiers concernés ;
- un contact d'escalade joignable pendant toute la durée des tests.
Les interlocuteurs à mobiliser
Un audit LPM mobilise bien au-delà de l'équipe sécurité. Identifier les interlocuteurs et les prévenir tôt est la meilleure façon de tenir le calendrier.
Côté opérateur
| Interlocuteur | Rôle dans l'audit |
|---|---|
| Délégué pour la défense et la sécurité (DDS) | Correspondant de l'opérateur auprès de l'État pour les questions d'importance vitale ; informé du calendrier et des conclusions |
| Autorité d'homologation | Décide de l'homologation au vu du rapport ; doit connaître l'objectif et le périmètre dès le départ |
| RSSI | Pilote la préparation, fournit la PSSI, les indicateurs et l'auto-évaluation, suit le plan d'action |
| Responsables métier des SIIV | Expliquent les usages et les contraintes de disponibilité, arbitrent les fenêtres de tests et les risques résiduels |
| DSI, exploitation, administrateurs | Fournissent les configurations, les comptes et les accès, répondent aux entretiens techniques |
| Responsables des systèmes industriels | Indispensables lorsque le SIIV comporte des automates ou des systèmes de supervision |
| Sûreté et sécurité physique | Contrôle d'accès aux sites et aux locaux techniques, pour l'audit organisationnel et physique |
| Achats et juridique | Convention d'audit, accords des sous-traitants, clauses de sécurité des contrats |
Côté administration
- L'ANSSI, autorité nationale en matière de sécurité des systèmes d'information : elle reçoit la liste des SIIV, les déclarations d'incidents et les indicateurs, conduit ou fait conduire les contrôles, et accompagne les opérateurs par l'intermédiaire de ses coordonnateurs sectoriels.
- Le ministère coordonnateur du secteur et son haut fonctionnaire de défense et de sécurité (HFDS), interlocuteur habituel de l'OIV pour le volet importance vitale.
Côté prestataires et tiers
- Le prestataire d'audit qualifié PASSI : son responsable d'audit est votre interlocuteur unique pour la convention, le plan d'audit, les réunions d'ouverture et de clôture et le rapport.
- Les prestataires qui opèrent une partie du SIIV : infogérant, hébergeur, mainteneur, prestataire de détection (PDIS). Leur accord et leur participation conditionnent l'audit des composants qu'ils exploitent.
- Le prestataire de réponse aux incidents (PRIS), s'il est sous contrat : il est utile de le prévenir de la période de tests.
Pendant et après l'audit
La mission s'ouvre par une réunion d'ouverture qui rappelle le périmètre, les règles d'engagement et les contacts. Pendant les tests, le responsable d'audit signale sans attendre le rapport toute vulnérabilité critique, afin que l'opérateur puisse la traiter immédiatement. La réunion de clôture présente les premiers constats, et le rapport final détaille chaque vulnérabilité, son niveau de risque et les recommandations associées.
Le travail ne s'arrête pas au rapport. Il faut ensuite :
- construire un plan d'action, avec un responsable, une priorité et une échéance pour chaque recommandation ;
- formaliser les risques résiduels soumis à l'autorité d'homologation ;
- vérifier les corrections les plus critiques, idéalement par un contre-audit ;
- réévaluer l'homologation à chaque évolution significative du SIIV.
Check-list de préparation
- Arrêté sectoriel applicable identifié et relu
- Objectif de l'audit formalisé (homologation, renouvellement, contrôle)
- Pilote désigné, autorité d'homologation et DDS informés
- Liste des SIIV et cartographie à jour
- Composants opérés par des tiers identifiés, accords obtenus
- Auto-évaluation au regard des vingt règles réalisée
- Qualification PASSI du prestataire vérifiée sur le catalogue de l'ANSSI, pour les activités prévues
- Convention et plan d'audit signés
- Documentation réunie dans un espace à accès contrôlé
- Comptes, extractions, accès physiques et fenêtres de tests prêts
- Exploitation, SOC et tiers prévenus, contact d'escalade désigné
- Suivi du plan d'action et contre-audit planifiés