Security & Compliance Report

Network Topology

1. Introduction

Ce rapport résume les principaux résultats de l’analyse des configurations réseau et système, en tenant compte des exigences pertinentes de NIS2 et de TISAX. La configuration du NTP, des politiques de mots de passe, des systèmes de journalisation (syslog) et des listes de contrôle d’accès (ACL) constitue des éléments essentiels d’un ISMS robuste et sont déterminants pour la conformité.

Le réseau joue un rôle central : en tant que « colonne vertébrale des données » de toute organisation, il détermine largement la manière dont les informations peuvent être transmises, stockées et gérées en toute sécurité. Une architecture réseau stable et bien sécurisée constitue la base de mesures de sécurité efficaces et réduit les risques d’attaques ou de mauvaises configurations.

2. Résumé des résultats

• Nombre total de résultats : 208
• Répartition par criticité :

Medium: 73

Warning: 51

Info: 52

High: 32

3. Détails par catégorie

NTP Timeserver Issues (71) (Cliquer pour développer/réduire)

Password Policy Issues (48) (Cliquer pour développer/réduire)

Remote Access (Telnet/SSH) Findings (0) (Cliquer pour développer/réduire)

IPSec / IKE Findings (30) (Cliquer pour développer/réduire)

ASA Failover Issues (5) (Cliquer pour développer/réduire)

VRF Usage Issues (0) (Cliquer pour développer/réduire)

Syslog & SNMP Issues (32) (Cliquer pour développer/réduire)

Unused Services Issues (22) (Cliquer pour développer/réduire)

Single Point of Failure Analysis (Cliquer pour développer/réduire)

Unused ACLs (40) (Cliquer pour développer/réduire)

ACL Trace / Flow Analysis (0) (Cliquer pour développer/réduire)

4. Cartographie de conformité (TISAX / NIS2)

Synchronisation NTP (Exigence TISAX p. ex. AL2.5 « Horodatage », NIS2 Art. 20/21) : Une synchronisation horaire précise et fiable est essentielle pour la journalisation correcte des événements et l’intégrité des systèmes. Elle permet d’attribuer avec exactitude les incidents de sécurité et de corréler différentes sources de logs.

Configuration Syslog (TISAX p. ex. AL2.5 « Logging & Monitoring », NIS2 Art. 20/21) : La collecte et l’analyse centralisées des journaux soutiennent à la fois TISAX/ISMS et NIS2 (détection et signalement des incidents). Une collecte Syslog centralisée est également essentielle pour l’archivage sécurisé et la traçabilité des événements.

Politiques de mots de passe (TISAX AL2.1.x « Password Policies », NIS2 Art. 21 « Access Control ») : Des politiques de mots de passe complexes et appliquées de manière stricte sont des exigences clés de TISAX et de NIS2 en matière de gestion des utilisateurs et identités. Cela inclut longueur minimale, caractères spéciaux, changements réguliers, mécanismes de verrouillage et authentification multi-facteurs (MFA), selon l’évaluation des risques.

Listes de contrôle d’accès (ACL) (TISAX AL3 « Network Security Requirements », NIS2 Art. 21 « Segmentation ») : Les ACL assurent la segmentation et le contrôle des flux dans le réseau. Une utilisation insuffisante ou incorrecte peut créer des failles importantes. TISAX exige une segmentation claire et des règles d’accès ; NIS2 impose également des mesures techniques et organisationnelles adéquates pour protéger les infrastructures.

Telnet vs. SSH (TISAX AL2.5 « Chiffrement en transit », NIS2 Art. 20 « Hygiène cyber ») : Les protocoles anciens et non chiffrés comme Telnet représentent un risque majeur. TISAX et NIS2 exigent des accès de gestion sécurisés — donc SSH au lieu de Telnet. Cela garantit un niveau de chiffrement de base et une protection contre les attaques de type Man-in-the-Middle.

IPSec / VPN (TISAX AL2.5 ou AL3.3 « Cryptographie », NIS2 Art. 20/21) : Des connexions VPN sécurisées via IPSec (p. ex. IKEv2 avec AES-256 et DH Group14+) sont essentielles pour protéger la communication intersites ou les accès distants. TISAX exige un chiffrement approprié des données en transit ; NIS2 requiert des mesures efficaces contre l’interception et la manipulation.

Services non utilisés (TISAX AL2.x « Durcissement », NIS2 Art. 20 « Hygiène cyber ») : Les services ou ports inutiles doivent être systématiquement désactivés. Cela réduit la surface d’attaque et complique l’exploitation de failles potentielles. TISAX et NIS2 imposent des vérifications et mises à jour régulières des configurations.

Utilisation des VRF (TISAX AL3 « Séparation réseau », NIS2 Art. 21) : Le Virtual Routing & Forwarding (VRF) permet une séparation logique des tables et instances de routage. Indispensable lorsque différents niveaux de protection coexistent. Une configuration incorrecte peut introduire des failles ; VRF doit être implémenté selon TISAX (AL3) et NIS2.

Sécurité SNMP (TISAX AL2.5 « Gestion sécurisée », NIS2 Art. 20) : Les versions anciennes de SNMP (v1, v2c) sont vulnérables (p. ex. chaînes en clair). TISAX et NIS2 exigent des protocoles modernes comme SNMPv3 (chiffrement, authentification) pour éviter tout accès non autorisé ou manipulation.

Point de défaillance unique (SPOF) & Redondance (TISAX AL2.10 ou AL3.2 « Gestion des urgences », NIS2 Art. 21) : Dans un environnement hautement disponible, les SPOF doivent être identifiés et éliminés si possible. TISAX exige des plans d’urgence et des concepts de redondance pour garantir la continuité. NIS2 met également l’accent sur la continuité des activités et la résilience.

6. Cartographie de conformité étendue (ISO/IEC 27001:2022) (Cliquer pour développer/réduire)

ISO 27001 / ISO 27002

ISO 27001 est devenu le « standard de facto » en matière de sécurité de l’information. Sur la base des contrôles d’ISO 27002, des mesures techniques comme la journalisation, la cryptographie ou la segmentation réseau peuvent être évaluées. Les recommandations de configuration de ce rapport (p. ex. sécurité des mots de passe, ACLs) sont essentielles pour mettre en œuvre ces contrôles avec succès.

Contrôles CIS / Référentiels CIS

Les CIS Controls présentent une liste priorisée de mesures de cybersécurité (inventaire, contrôle d’accès, surveillance, etc.). Les CIS Benchmarks contiennent en plus des recommandations détaillées de durcissement pour Cisco IOS, ASA, Linux ou Windows. Les résultats et recommandations de ce rapport (NTP, syslog, politiques de mots de passe) sont directement applicables aux guides CIS.

NIST SP 800-53 / NIST CSF

Les directives du NIST (National Institute of Standards and Technology) sont largement utilisées aux États-Unis et à l’international. Le NIST Cybersecurity Framework (CSF) (avec ses cinq fonctions « Identify », « Protect », « Detect », « Respond », « Recover ») couvre les exigences techniques et organisationnelles. Les faiblesses de ce rapport (p. ex. accès distants non sécurisés, absence de logs) se situent clairement dans les catégories « Protect » et « Detect ».

BSI IT-Grundschutz (spécifique à l’Allemagne)

En Allemagne, le BSI IT-Grundschutz fournit un cadre obligatoire pour les mesures de sécurité. Les composants réseau apparaissent dans des modules comme NET.1.1 (Routeurs & Switches) et SYS.1.1 (Serveurs généraux). Des configurations sécurisées (p. ex. accès de gestion chiffrés, service password-encryption) contribuent fortement à atteindre les objectifs IT-Grundschutz.

PCI DSS (données de cartes de paiement)

Dans l’e-commerce, la norme PCI DSS est primordiale. Elle impose des règles strictes pour la journalisation, la segmentation réseau, la gestion des correctifs et le chiffrement afin de protéger les données de cartes bancaires. Les faiblesses identifiées dans ce rapport (p. ex. ports Telnet ouverts, mots de passe en clair) doivent être corrigées rapidement.

HIPAA (Secteur santé, États-Unis)

Pour les entreprises de santé (cliniques, IT médicales), HIPAA est particulièrement pertinent. Audit trails, contrôle d’accès et standards de chiffrement solides sont essentiels. Des connexions distantes non sécurisées ou une configuration syslog insuffisante peuvent rapidement mener à des violations lors d’un audit HIPAA.

Autres standards sectoriels & Infrastructures critiques

D’autres exigences existent, parmi lesquelles :

• Banques & finance : BaFin (DE), EBA Guidelines, BCBS 239.
• Automobile : TISAX et VDA-ISA (déjà cités).
• Infrastructures critiques (KRITIS) en DE/UE : NIS2, Kritis-Verordnung et implémentations nationales.

Les infrastructures critiques sont celles dont la défaillance ou l’altération peut entraîner des pénuries durables ou des perturbations graves de la sécurité publique. Ici, les exigences en matière de disponibilité et de stabilité des systèmes IT sont particulièrement élevées, incluant une architecture réseau sécurisée et un ISMS opérationnel.

5. Recommandations & Conclusion

Pour corriger les faiblesses identifiées et renforcer la sécurité IT, vous devriez notamment :

• Configurer correctement les serveurs NTP et vérifier régulièrement leur disponibilité et précision.
• Appliquer des politiques strictes de mots de passe (complexité, longueur, etc.).
• Mettre en place une supervision syslog complète pour détecter rapidement les incidents.
• Supprimer ou mettre à jour les ACLs inutilisées pour garder des règles claires et sécurisées.
• Mettre à jour les réglages IPSec vers SHA-256 (ou supérieur) et DH Group14 (ou supérieur).
• Remplacer systématiquement Telnet par SSH.
• Finaliser les configurations ASA failover (incl. failover lan unit et failover interface).
• Implémenter des VRF pour segmenter le réseau au lieu d’utiliser le « default VRF ».

Ces mesures vous aideront à mieux répondre aux exigences TISAX et NIS2, tout en tenant compte d’autres cadres comme ISO 27001/27002, CIS Benchmarks, NIST CSF, BSI IT-Grundschutz ou KRITIS. Un réseau sécurisé et correctement configuré réduit considérablement la surface d’attaque et constitue un élément clé d’une stratégie de cybersécurité efficace.