Politique de sécurité des réseaux

La Politique de sécurité des réseaux (Document P21) a été élaborée afin d’établir des contrôles rigoureux sur les réseaux organisationnels internes et externes, en assurant une protection contre l’accès non autorisé, les interruptions de service, l’interception de données et l’usage abusif. Ses objectifs principaux incluent la protection de la confidentialité, de l’intégrité et de la disponibilité des données en transit et au repos, tout en s’alignant étroitement sur des exigences réglementaires et normatives clés telles que l’ISO/IEC 27001:2022, l’article 32 du RGPD, la directive NIS2, DORA et COBIT 2019. Cette politique robuste s’applique à l’échelle mondiale à toutes les infrastructures réseau, y compris les environnements physiques, virtuels, cloud et hybrides. Elle inclut dans son champ d’application les routeurs, commutateurs, pare-feu, réseaux basés sur le cloud, systèmes VPN, ainsi que des services de support tels que DNS et les serveurs proxy. Le personnel interne et les prestataires tiers de services qui interagissent avec ces réseaux sont tenus de respecter les exigences définies. Parmi les caractéristiques notables figurent la segmentation des réseaux obligatoire, des protocoles explicites de configuration des pare-feu, des normes de routage sécurisé, ainsi que la surveillance et la journalisation centralisées continues des activités réseau. La gouvernance est clairement structurée, imposant à des rôles tels que le Responsable de la sécurité des systèmes d’information (RSSI), le responsable de la sécurité réseau, le Centre opérationnel de sécurité (SOC), l’Exploitation informatique et les fournisseurs tiers de respecter des responsabilités définies en matière de conception sécurisée des réseaux, de surveillance opérationnelle, de gestion des changements et de réponse aux incidents. La politique fixe des attentes non seulement pour la gestion courante des réseaux, mais aussi pour la gestion des exceptions, telles que les dépendances à des systèmes hérités, via un processus d’approbation contrôlé et fondé sur une appréciation des risques. Toutes les approbations de dérogation sont enregistrées dans le Système de management de la sécurité de l’information (SMSI) avec un cycle de revue strict de 90 jours, afin de garantir qu’aucune vulnérabilité à long terme ne soit négligée. Afin de minimiser les surfaces d’attaque et de satisfaire les obligations de conformité, la politique stipule que tous les réseaux de périmètre doivent être protégés au moyen de pare-feu de nouvelle génération avec inspection avec état, filtrage applicatif et prévention des intrusions. Les réseaux internes doivent être segmentés entre les zones de production, de développement, utilisateurs et invités, en utilisant des pare-feu et des réseaux locaux virtuels (VLAN) pour appliquer des contrôles d’accès stricts. Les solutions VPN et d’accès à distance doivent utiliser le chiffrement et l’authentification multifacteur, tandis que les réseaux sans fil doivent adopter des protocoles de sécurité de niveau entreprise et une séparation des invités. Les environnements cloud et hybrides ne sont pas exemptés : les règles de groupes de sécurité, les liens VPN audités et les paramètres de pare-feu natifs du cloud doivent être gérés de manière stricte. Pour la surveillance et la détection, la journalisation continue vers un SIEM centralisé, la détection d’anomalies via NDR, ainsi que des périodes de conservation des journaux définies constituent des exigences essentielles. Des revues et audits périodiques de la politique sont obligatoires, déclenchés par de nouvelles menaces, des changements réseau, des mises à jour réglementaires ou des constatations d’audit. La non-conformité, y compris le contournement délibéré des contrôles, entraîne des mesures disciplinaires, des pénalités contractuelles ou la notification de violation conformément aux réglementations. Enfin, la Politique de sécurité des réseaux précise également ses liens avec d’autres politiques organisationnelles critiques, notamment la politique de sécurité de l’information, la Politique de contrôle d’accès, la gestion des changements, la gestion des actifs, la Politique de journalisation et de surveillance et la Politique de réponse aux incidents, pour une approche en défense en profondeur.