Poste de maintenance
Postes et parc
Connaître chaque appareil qui touche aux données, lui donner un niveau de protection commun, chiffrer ce qui peut se perdre, et écrire qui fait quoi avec le prestataire.
Le poste « postes et parc » commence par une liste : on ne protège que les appareils qu'on connaît. La première des treize questions de l'ANSSI aux TPE et PME est justement « Connaissez-vous bien votre parc informatique et vos actifs métier ? ». Viennent ensuite un niveau de protection commun à tous les postes, le chiffrement des ordinateurs qui sortent du bureau, et une répartition écrite des tâches entre l'entreprise et son prestataire.
L'inventaire, socle de tout le reste
Le guide de l'ANSSI pour les TPE et PME demande un bilan des équipements, des logiciels et des accès, et précise qu'« il doit être mis à jour régulièrement, et au moins une fois par an ». Cybermalveillance.gouv.fr fait de l'identification de l'ensemble des appareils et logiciels le préalable des mises à jour : un poste absent de l'inventaire est un poste que personne ne met à jour.
Un niveau de sécurité commun, et le chiffrement des portables
La mesure 14 du guide d'hygiène informatique de l'ANSSI demande un niveau de sécurité minimal sur l'ensemble du parc, la mesure 17 l'activation du pare-feu local des postes, et la mesure 31 le chiffrement des données sensibles, en particulier sur le matériel qui peut se perdre. Sur Windows, ce chiffrement passe par BitLocker ; un portable chiffré volé dans une voiture est une perte de matériel, pas forcément une fuite de données.
L'antivirus fait partie de ce socle : la page de Cybermalveillance.gouv.fr sur les antivirus en explique le rôle et les limites. Les téléphones et tablettes qui reçoivent la messagerie de l'entreprise entrent dans le parc ; les bonnes pratiques pour les appareils mobiles s'appliquent à eux.
Écrire qui fait quoi avec le prestataire d'infogérance
La mesure 3 du guide d'hygiène de l'ANSSI s'intitule « Maîtriser les risques de l’infogérance », et l'agence y consacre un guide entier, Externalisation et sécurité des systèmes d'information. Confier son informatique ne transfère pas la responsabilité de ses données : Microsoft le rappelle pour le cloud dans sa page sur la responsabilité partagée, et la même logique vaut pour un contrat d'infogérance. Le guide d'hygiène recommande aussi des audits réguliers, au moins une fois par an, pour vérifier que les mesures tiennent dans le temps.
Postes et parc : ce que fait le prestataire, ce que garde l'entreprise
| Geste | Ce que fait le prestataire d'infogérance | Ce que garde l'entreprise |
|---|---|---|
| Inventaire | Le tient avec un outil et le met à jour | Le valide et signale tout achat ou appareil personnel utilisé |
| Protection des postes | Déploie antivirus et pare-feu, suit les alertes depuis une console | Ne désactive rien et signale un message d'alerte |
| Chiffrement des portables | Active BitLocker et range les clés de récupération | Sait où retrouver une clé si le prestataire est injoignable |
| Répartition des tâches | Décrit son périmètre et ses délais dans le contrat | Garde la liste de ce qui reste à sa charge |
Les gestes du poste postes et parc
Les procédures du poste : tenir l'inventaire du parc informatique, vérifier la protection antivirus et le pare-feu de chaque poste, chiffrer les ordinateurs portables et partager la maintenance entre l'entreprise et son prestataire.
Les procédures de ce poste
Tous les rythmes de maintenance, sourcés : le calendrier.