Un durcissement exploitable, pas une checklist générique
Le durcissement doit tenir compte de l’exploitation réelle: dépendances applicatives, fenêtres de maintenance, accès prestataires, supervision, sauvegardes, criticité métier et capacité de retour arrière. L’objectif est de réduire l’exposition sans casser la production.
Contrôles techniques prioritaires
- Réduction des services exposés: inventaire, ports ouverts, protocoles obsolètes, accès RDP/SSH/VPN, interfaces d’administration et consoles cloud.
- Durcissement systèmes: politiques Windows/Linux, CIS Benchmark, GPO, pare-feu local, services inutiles, chiffrement disque, EDR/antivirus et gestion des correctifs.
- Gestion des privilèges: comptes administrateurs, MFA, bastion, PAM léger, séparation des rôles, comptes de service, rotation des secrets et suppression des droits dormants.
- Segmentation réseau: VLAN, ACL, filtrage est-ouest, exposition DMZ, règles firewall, accès inter-sites, flux prestataires et administration distante.
- Sauvegardes: immutabilité, séparation des droits, tests de restauration, sauvegarde des configurations, protection contre ransomware et documentation de reprise.
- Journalisation et détection: Windows Event Logs, Syslog, EDR, firewall, VPN, Microsoft 365, Elastic/Splunk, alertes exploitables et conservation adaptée.
Livrables techniques
- Matrice de durcissement par périmètre: postes, serveurs, réseau, cloud, identités, sauvegardes et supervision.
- Plan d’action priorisé avec quick wins, changements sensibles, risques opérationnels et prérequis de rollback.
- Recommandations de configuration directement exploitables par les équipes IT ou infogérants.
- Liste des flux, comptes, services et configurations à corriger ou à documenter.
- Points de contrôle vérifiables pour audit ISO 27001, PCI DSS, exigences clients ou revue interne.
Le durcissement peut-il se faire sans interruption ?
Une partie peut être réalisée progressivement. Les changements sensibles doivent être planifiés avec les équipes pour limiter le risque opérationnel.
Faut-il changer toute l’infrastructure ?
Non. La priorité est souvent de mieux configurer, segmenter, superviser et documenter l’existant avant de remplacer des briques.
Le durcissement couvre-t-il les sauvegardes ?
Oui. Les sauvegardes, les tests de restauration et la séparation des accès sont des points structurants.
Peut-on partir d’un référentiel comme CIS Benchmark ?
Oui. CIS Benchmark peut servir de base, mais les règles doivent être adaptées au contexte réel pour éviter les blocages applicatifs et prioriser les contrôles qui réduisent vraiment le risque.
Le durcissement inclut-il les logs et le SIEM ?
Oui. Un système durci doit aussi être observable: événements pertinents, sources critiques, alertes utiles, conservation adaptée et capacité d’investigation.