La plupart des constats ne sont pas exotiques. Ce sont les mêmes douze choses, dans des sociétés différentes, et la plupart coûtent moins cher à corriger avant l’évaluation qu’à discuter pendant. Les voici, avec ce qui ferme chacun.
1. Les documents de périmètre se contredisent
Deux documents, deux systèmes d’exploitation pour les mêmes serveurs ; une liste de logiciels critiques qui omet l’application principale. Ce qui le ferme : un inventaire daté, un responsable, chaque système à l’un de trois endroits, et une règle selon laquelle tout ce qui n’est pas sur la liste est dans le périmètre.
2. Le contrôle a été défini la semaine dernière
Six versions d’un standard dans les quatre derniers jours de l’évaluation. Une politique peut montrer qu’un contrôle est défini. Elle ne peut pas montrer qu’il a fonctionné pendant la période. Ce qui le ferme : corrigez d’abord la configuration, laissez-la tourner, puis écrivez le document, et soumettez une seule version en vigueur.
Une politique peut montrer qu’un contrôle est défini. Elle ne peut pas montrer qu’il a fonctionné pendant la période.
3. Une seule trace pour un processus récurrent
Une seule revue trimestrielle, ou une capture de la page de garde d’un document, comme preuve d’un processus censé tourner toute l’année. Ce qui le ferme : plusieurs traces datées, avec un nom sur chacune, idéalement non identiques.
4. Des données conservées plus longtemps que la politique ne le dit
La politique dit treize mois après le dernier paiement. La base dit treize mois après l’expiration de la carte. Des fichiers de règlement gardés un an là où dix jours suffiraient. Ce qui le ferme : lancez la requête vous-même, alignez le système sur la politique ou la politique sur une vraie justification, et purgez.
5. Un service que personne n’a approuvé est en écoute
Un processus sur toutes les interfaces d’un nœud, listé dans l’inventaire de la société elle-même comme « à désactiver », avec le constat fermé par une règle de pare-feu. Ce qui le ferme : le service désactivé dans l’image, démontré sur un nœud en fonctionnement. Bloquer le trafic est une autre exigence.
6. Une segmentation défaite par un réglage cloud par défaut
Un appairage plus une règle d’autorisation par défaut, et deux réseaux non fiables atteignent l’environnement des données de cartes sur tous les ports, y compris celui de la société de test. Ce qui le ferme : remplacez le réglage par défaut, puis testez depuis chaque réseau hors périmètre.
7. Un seul compte administrateur partagé
Chez un hébergeur en colocation, un compte administrateur pour tout le monde, et des images vidéo que personne ne pouvait attribuer. Ce qui le ferme : un compte par personne, et un journal qui dit qui.
8. L’authentification multifacteur sur la plupart des chemins
Elle est imposée sur le VPN mais pas sur la console, ou sur la console mais pas sur l’API d’administration. Ce qui le ferme : une liste de chaque chemin vers l’environnement, avec le contrôle d’authentification nommé pour chacun, et des journaux de connexion montrant l’invite pour chacun.
9. Une page de paiement avec une politique de sécurité de contenu faible
Une politique qui autorise les scripts en ligne a renoncé à l’essentiel de sa protection. Sur une page de paiement externalisée, le seul travail du commerçant est l’intégrité de la page qui remet le client au prestataire. Ce qui le ferme : une politique qui nomme ses sources, et un mécanisme qui remarque quand la page change.
10. L’attestation du prestataire ne couvre pas ce que vous achetez
Une attestation qui liste tous les sites d’un centre d’appels sauf le vôtre. Un acquéreur dont l’attestation exclut les terminaux qu’il vous loue. Ce qui le ferme : lisez la section « périmètre », rapprochez-la du contrat, et convenez d’une matrice de responsabilités par écrit.
11. Des secrets envoyés par messagerie
Des certificats VPN et leurs clés privées envoyés aux utilisateurs dans un canal de discussion, où ils restent pour toujours. Ce qui le ferme : un canal sécurisé pour les secrets, et une vérification que l’historique a été nettoyé.
12. Des mots de passe par défaut dans le manuel du fournisseur
Un manuel d’installation qui imprime le mot de passe administrateur des terminaux et celui du téléchargement. Ce qui le ferme : changez-les le premier jour, et demandez au fournisseur, une exigence à la fois, ce que son attestation couvre réellement.
Ce que l’on fait de travers
On traite chaque constat comme une surprise technique. Presque tous ceux-ci relèvent de la responsabilité, de la récurrence ou d’un document que personne n’a comparé à la réalité.
On corrige et on documente la même semaine, puis on s’étonne que l’évaluateur demande un historique.