Quand un client nous a contactés pour accompagner l'homologation de son système d'information Diffusion Restreinte (SI DR), il était serein. Une salle dédiée était prête, les postes venaient d'être livrés et le réseau était physiquement isolé. « On devrait boucler ça en quelques semaines », nous a-t-il dit lors de la réunion de lancement. Il a fallu quatre mois.
Ce n'était ni un échec ni un retard. L'homologation d'un SI DR est une démarche exigeante, et les difficultés se cachent rarement là où on les attend. Voici ce que nous avons appris, et ce que nous recommandons à toute organisation qui se lance.
Ce que dit le cadre réglementaire
L'instruction interministérielle n° 901 (II 901) encadre la protection des systèmes d'information qui traitent des informations portant la mention Diffusion Restreinte. Elle concerne les administrations, mais aussi les entreprises qui manipulent ces informations dans le cadre de contrats, notamment dans la base industrielle et technologique de défense (BITD) et chez leurs sous-traitants.
Le principe central est simple : un SI DR doit être homologué avant sa mise en service. L'homologation est une décision formelle. Une autorité d'homologation, désignée au sein de l'organisation, atteste qu'elle connaît les risques résiduels pesant sur le système et qu'elle les accepte. Cette décision s'appuie sur un dossier d'homologation qui comprend notamment une analyse de risques, une politique de sécurité, les mesures mises en œuvre et les résultats d'un audit.
Sur le papier, le processus est clair. Dans la réalité, chaque étape révèle des écarts entre le système imaginé et le système réel.
Étape 1 : le cadrage, ou l'art de définir le périmètre
La première réunion a porté sur une question en apparence triviale : qu'est-ce qui fait partie du SI DR ?
Le client pensait à trois postes de travail, un serveur de fichiers et un commutateur. En creusant, nous avons trouvé autre chose :
- une imprimante multifonction ;
- un onduleur administrable par le réseau ;
- un poste d'administration utilisé « de temps en temps » ;
- un disque dur externe réservé aux sauvegardes, rangé dans un tiroir.
Aucun de ces éléments ne figurait dans l'inventaire initial.
Nous avons donc commencé par un inventaire physique, pièce par pièce, câble par câble. Cela a pris une demi-journée. C'est sans doute la demi-journée la plus rentable de tout le projet.
Étape 2 : l'analyse de risques, et pas seulement un exercice de style
Pour l'analyse de risques, nous avons utilisé la méthode EBIOS Risk Manager, adaptée à la taille du système. L'objectif n'était pas de produire un document de 200 pages, mais d'identifier les scénarios crédibles et les mesures proportionnées.
Les ateliers ont fait émerger un point que personne n'avait formalisé : la menace principale n'était pas un attaquant sophistiqué venu de l'extérieur. Le SI étant isolé, les scénarios les plus probables concernaient l'erreur humaine et l'accès physique. Il pouvait s'agir d'une information DR copiée sur une clé USB personnelle, d'un document imprimé oublié dans le bac, ou d'un visiteur laissé seul dans la salle.
Ce constat a réorienté une partie du budget sécurité. Le client envisageait un outil de détection d'intrusion réseau coûteux. Nous avons plutôt recommandé de renforcer le contrôle d'accès physique et la sensibilisation des utilisateurs, beaucoup plus efficaces au regard des risques réels.
Étape 3 : l'audit, et ses surprises
L'audit de sécurité est un moment clé du dossier d'homologation. En tant que prestataire qualifié PASSI, nous avons mené un audit de configuration des postes et serveurs, un audit d'architecture et une revue organisationnelle et physique.
L'imprimante qui parlait trop
Dès le premier jour, l'imprimante multifonction nous a réservé une surprise. Elle était raccordée au réseau DR, ce qui était prévu. Mais elle avait aussi le Wi-Fi Direct activé par défaut, configuration d'usine jamais modifiée. Concrètement, n'importe quel smartphone situé dans un rayon de quelques dizaines de mètres pouvait voir apparaître un point d'accès sans fil portant le nom du modèle d'imprimante.
Le réseau « physiquement isolé » disposait donc d'une interface sans fil ouverte vers l'extérieur. Personne ne l'avait remarquée, tout simplement parce que personne ne l'avait cherchée.
Le badge partagé
La revue physique a révélé un autre écart, plus humain. Le badge d'accès à la salle DR était nominatif, mais il circulait entre trois collaborateurs « pour dépanner » quand le titulaire était absent. Le registre des accès indiquait donc qu'une seule personne était entrée dans la salle, alors que trois personnes différentes y avaient travaillé.
Personne n'était de mauvaise foi. L'organisation n'avait simplement pas prévu de badge de remplacement, et les équipes avaient trouvé une solution pratique. Mais pour un SI DR, la traçabilité des accès est fondamentale : en cas d'incident, il faut pouvoir répondre à la question « qui était là ? ».
La solution a combiné plusieurs mesures : des badges nominatifs pour chaque personne habilitée, une procédure d'accès accompagné pour les visiteurs et un rappel des règles lors d'une session de sensibilisation.
Le durcissement Windows, en plusieurs itérations
Côté technique, le durcissement des postes Windows a demandé plusieurs allers-retours. Nous nous sommes appuyés sur les recommandations de l'ANSSI et avons vérifié les points essentiels :
- blocage des ports USB, à l'exception des supports explicitement autorisés ;
- protection du BIOS/UEFI par mot de passe et désactivation du démarrage sur supports externes ;
- chiffrement des disques ;
- comptes utilisateurs sans privilèges d'administration ;
- journalisation des événements de sécurité et centralisation des journaux ;
- désactivation des services et fonctionnalités inutiles.
À chaque passe, nous trouvions quelques écarts : une stratégie de groupe mal appliquée, un compte administrateur local resté actif, une journalisation trop verbeuse sur certains événements et inexistante sur d'autres. Chaque écart était consigné dans un plan d'action avec un responsable, une priorité et une échéance.
La question des mises à jour
Un SI isolé pose une question que beaucoup sous-estiment : comment le maintenir à jour ?
Le client n'avait pas de réponse. Les postes, livrés plusieurs semaines auparavant, n'avaient reçu aucun correctif de sécurité depuis leur installation. Or un système isolé mais vulnérable reste un système vulnérable.
Nous avons défini avec l'équipe une procédure d'import contrôlé. Les correctifs sont téléchargés sur un poste connecté, puis analysés sur une station de décontamination. Ils sont ensuite transférés via un support dédié, utilisé uniquement à cet effet, et chaque opération est tracée. Cette procédure est devenue l'une des pièces maîtresses du maintien en condition de sécurité.
Étape 4 : la commission d'homologation
Après trois mois de travaux, le dossier était prêt. Il contenait l'analyse de risques, la politique de sécurité du système, le rapport d'audit, le plan d'action et la liste des risques résiduels.
Le jour de la commission, le client était nerveux. Plusieurs points du plan d'action n'étaient pas encore clôturés, et il craignait un refus.
L'autorité d'homologation a lu attentivement le dossier, posé des questions précises sur l'imprimante et sur la procédure de mise à jour, puis a pris sa décision. Elle n'a pas demandé un SI parfait. Elle a demandé un SI dont les risques résiduels étaient connus, compris, acceptés et suivis.
L'homologation a été prononcée pour une durée limitée, assortie d'un suivi du plan d'action. C'est exactement la logique de la démarche : une décision éclairée et responsable, pas un certificat de perfection.
Après l'homologation : le plus dur commence
Beaucoup d'organisations considèrent l'homologation comme une ligne d'arrivée. C'est en réalité un point de départ.
Un SI homologué doit être maintenu en condition de sécurité, ce qui passe par plusieurs obligations :
- appliquer les correctifs ;
- suivre les journaux ;
- revoir régulièrement les droits d'accès ;
- mettre à jour l'analyse de risques à chaque évolution significative.
Ajouter un équipement, modifier l'architecture ou changer de prestataire peut remettre en cause l'homologation. Le renouvellement intervient ensuite à l'échéance fixée par l'autorité.
Six mois après la commission, le client nous a rappelés. Il souhaitait ajouter un scanner au système. Grâce au dossier d'homologation bien tenu, l'analyse d'impact a pris une journée au lieu de plusieurs semaines.
Nos conseils pour réussir votre homologation SI DR
- Partez de l'inventaire réel. Faites le tour physique de la salle et listez chaque équipement, câble et support amovible.
- Impliquez l'autorité d'homologation dès le début. Elle doit comprendre les enjeux et les arbitrages tout au long du projet, pas les découvrir le jour de la commission.
- N'oubliez pas les périphériques. Imprimantes, onduleurs et équipements réseau doivent être durcis au même titre que les postes.
- Traitez l'humain autant que la technique. Contrôle d'accès physique, sensibilisation et procédures claires sont souvent les mesures les plus efficaces.
- Anticipez le maintien en condition de sécurité. Sans procédure de mise à jour définie, un SI isolé devient rapidement un SI vulnérable.
- Visez la maîtrise, pas la perfection. Un plan d'action réaliste et suivi vaut mieux qu'une promesse de conformité totale.