Durcir et sécuriser votre informatique

Une fois que votre informatique fonctionne, l’étape suivante est de la rendre résistante aux attaques. Durcir un système, c’est réduire au maximum sa surface d’exposition : moins de portes ouvertes, des accès maîtrisés, des défenses à jour. C’est le travail de fond qui évite la grande majorité des incidents, et c’est aussi le premier que regarde un contrôle.

Le risque zéro n’existe pas, la bonne hygiène si

Aucun système n’est invulnérable. Mais une hygiène rigoureuse écarte l’écrasante majorité des menaces, parce que l’écrasante majorité des attaques ne sont pas sophistiquées : elles exploitent un mot de passe réutilisé, un correctif non appliqué, un compte d’un salarié parti depuis six mois. Le délai entre la publication d’une faille et son exploitation se compte désormais en jours. Le durcissement n’est donc pas un projet ponctuel, c’est un entretien.

Nos quatre fondamentaux

L’authentification renforcée. La double authentification sur les accès sensibles, administration et portails clients en tête, ferme la porte aux mots de passe volés ou devinés. C’est la mesure au meilleur rapport entre effort et protection. Nous privilégions les facteurs résistants à l’hameçonnage plutôt que le code par SMS, qui se contourne.

Le chiffrement. Au repos et en transit. Si un appareil est volé ou un échange intercepté, vos données restent illisibles sans la clé. Un portable oublié dans un taxi ne doit jamais devenir une violation de données à notifier.

La segmentation et le durcissement des systèmes critiques. Cloisonner votre réseau, c’est faire en sorte qu’une intrusion en un point ne donne pas accès à tout. Durcir, c’est désactiver l’inutile et restreindre les accès au strict nécessaire, en commençant par les comptes à privilèges, qui sont la cible réelle.

Les mises à jour automatisées. La plupart des attaques exploitent des failles déjà corrigées par l’éditeur. En maintenant l’ensemble du parc à jour automatiquement, vous fermez ces portes avant qu’elles ne servent, et vous pouvez le démontrer correctif par correctif.

Le durcissement de votre environnement Microsoft 365

C’est aujourd’hui le périmètre le plus exposé, parce qu’il est accessible depuis n’importe où et qu’il concentre la messagerie, les fichiers et les identités. Les réglages qui comptent y sont peu nombreux mais rarement tous en place :

• désactivation des protocoles d’authentification hérités, qui contournent la double authentification ;
• accès conditionnel selon l’appareil, la localisation et le niveau de risque de la connexion ;
• réduction du nombre de comptes d’administration, et séparation du compte d’administration du compte nominatif quotidien ;
• encadrement des consentements accordés aux applications tierces, angle d’attaque en forte progression ;
• blocage des règles de transfert automatique vers l’extérieur, geste classique après une compromission de boîte ;
• maîtrise du partage externe de fichiers, et durée de conservation des journaux d’audit portée au maximum.

Pourquoi un durcissement se défait tout seul

C’est le point que l’on découvre en exploitant, et rarement en vendant. Un environnement durci dérive. Une exception accordée un vendredi soir pour débloquer quelqu’un et jamais retirée, un nouvel administrateur ajouté pour un projet, une application tierce autorisée par un utilisateur, une politique désactivée le temps d’un test. Six mois plus tard, l’écart entre la configuration décrite et la configuration réelle est considérable, et personne ne l’a vu passer.

Nous traitons cette dérive comme un processus et non comme un accident : les écarts de politique sont relevés périodiquement, comparés à la configuration de référence, et chaque écart devient un ticket tracé, avec sa correction ou sa justification écrite. C’est peu spectaculaire, et c’est ce qui fait la différence entre un durcissement réel et un durcissement à la date de l’installation.

Ce que nous ne durcissons pas sans vous

Durcir casse des choses. Couper l’authentification héritée peut interrompre une application métier ancienne. Restreindre le partage externe peut gêner un échange avec un dépositaire. Imposer l’accès conditionnel peut bloquer un associé en déplacement.

Nous ne prenons donc pas ces décisions seuls. Chaque mesure susceptible d’avoir un effet sur votre activité vous est présentée avec son bénéfice, son risque et son coût d’usage, et l’arbitrage vous revient. Un risque accepté explicitement, tracé et daté, vaut mieux qu’une mesure imposée puis contournée dans l’urgence. C’est aussi ce qu’attend un régulateur : il ne demande pas que tout soit fermé, il demande que les choix soient conscients et documentés. La méthode qui structure ces arbitrages est l’analyse de risques, et ils s’actent dans votre politique de sécurité.

Sécuriser, c’est aussi tracer

Chaque mesure déployée est documentée, datée et rattachée à une configuration de référence. En cas de contrôle, vous ne déclarez pas que la sécurisation est en place, vous le montrez : état du parc, couverture des correctifs, comptes à privilèges et leur revue, écarts constatés et corrigés. C’est le lien direct avec vos obligations réglementaires, détaillé sur notre page conformité technique DORA.

Questions fréquentes

Par où commencer pour durcir son informatique ?

Par l’inventaire, parce qu’on ne durcit pas ce qu’on ne connaît pas. Viennent ensuite, dans cet ordre de rentabilité : la double authentification sur les accès d’administration, la réduction du nombre de comptes à privilèges, la désactivation des protocoles d’authentification hérités, puis la mise à jour automatisée du parc. Ces quatre mesures écartent la grande majorité des scénarios courants.

À quelle fréquence faut-il revoir un durcissement ?

En continu pour les écarts de configuration, qui se détectent périodiquement et se corrigent au fil de l’eau, et au moins une fois par an pour la revue d’ensemble. À quoi s’ajoute un réexamen après tout changement d’architecture. Un durcissement daté de deux ans décrit une infrastructure qui n’existe plus.

Le durcissement va-t-il gêner nos utilisateurs ?

Certaines mesures ont un effet visible, et nous ne les déployons pas sans vous en avoir exposé le coût d’usage. L’essentiel du travail est en revanche invisible pour les utilisateurs : correctifs, réglages du tenant, réduction des privilèges, cloisonnement. La friction se concentre sur les accès d’administration, c’est-à-dire sur très peu de personnes.

Faites-vous l’audit qui vérifie ce durcissement ?

Non, et c’est délibéré. Nous mettons en place et nous maintenons le socle technique ; l’évaluation indépendante et les tests d’intrusion reviennent à un tiers, parce qu’on ne peut pas être à la fois celui qui sécurise et celui qui juge si c’est bien sécurisé. Nous préparons l’environnement avant l’audit, nous fournissons les preuves pendant, et nous corrigeons les constats après. Notre position figure sur la page Transparence.

Renforcez votre niveau de protection

Un diagnostic de 30 minutes pour identifier vos points d’exposition prioritaires. Sans engagement.

Prendre RDV (30 min) →

Voir aussi : surveillance et détection · infogérance et cybersécurité finance régulée · sensibilisation de vos équipes.