Les politiques bien écrites sont la chose la plus facile à accepter dans une évaluation, et la plus dangereuse. Trois cas où le document était bon et la réalité ne l’était pas, et l’habitude qui a attrapé chacun.
La politique disait treize mois. La base aussi, à partir d’une autre date.
La politique de conservation d’une entreprise à abonnement disait que les numéros de cartes étaient conservés treize mois après le dernier paiement. La base de données les conservait treize mois après la date d’expiration de la carte, ce qui peut être des années plus tard, et personne n’avait de raison solide à cela. Les fichiers de règlement chiffrés échangés avec la banque étaient eux aussi conservés treize mois, là où une dizaine de jours auraient suffi.
La politique était correcte. On n’avait jamais demandé à la base si elle était d’accord. Nous lançons la requête nous-mêmes, sur le système en production, avec l’administrateur à côté. Non par méfiance envers la politique, mais parce qu’un contrôle de conservation, c’est la requête, et la politique est une description de ce que la requête est censée faire.
L’accueil tenu vingt-quatre heures sur vingt-quatre
La documentation d’un hébergeur en colocation décrivait un accueil tenu en permanence, une identification des visiteurs, un enregistrement vidéo continu et des comptes administrateur individuels. Le jour de la visite, il n’y avait personne à l’accueil. On ne nous a pas demandé de pièce d’identité. Le système vidéo avait de longues plages sans images. Il y avait un seul compte administrateur partagé.
Notre note à l’époque : la politique était bien écrite, et la visite a montré un écart entre les politiques documentées et la pratique réelle. L’hébergeur n’avait pas menti. Il avait écrit ce qu’il avait l’intention de faire, et personne n’était allé voir.
Un second exploitant de centres de données avait un processus « en libre service » hors heures ouvrées qui permettait aux clients de faire entrer des visiteurs sans personne sur site, ce qui contournait discrètement le processus de gestion des visiteurs décrit dans les documents. Son personnel local avait aussi tous les droits sur les systèmes vidéo, si bien que n’importe qui pouvait effacer la trace d’une visite. Les deux constats sont venus du fait d’être debout dans le bâtiment. Aucun ne serait venu des documents.
Construit, mais pas en fonctionnement
Une plateforme de paiement voulait un Report on Compliance avant sa mise en production. Il n’y avait aucune transaction par carte à observer. La gestion des changements n’avait pas commencé parce que la plateforme était « en construction ». Les schémas réseau changeaient pendant l’évaluation. La segmentation était déclarée en place et n’avait pas été testée.
Le premier rapport listait de nombreuses exigences comme non en place, avec en tête un périmètre qui ne pouvait pas être validé. Une évaluation PCI DSS décrit un environnement en fonctionnement. Les processus doivent être montrés comme connus et utilisés, pas décrits dans un document sur la façon dont ils fonctionneront. La plateforme est passée en production, les processus ont tourné, le test a été fait, et le rapport conforme a suivi deux mois plus tard. L’environnement suivant de la même société, évalué une fois en fonctionnement, est passé avec une poignée de constats.
Ce que l’on fait de travers
On prépare les documents et on saute la salle. L’accueil, le sas, la baie, l’écran de l’administrateur. L’évaluateur y va parce que c’est là que le contrôle est, ou n’est pas.
On prend une conception pour une exploitation. Une plateforme en construction a des conceptions. Une plateforme en production a des preuves. Le standard demande les secondes.
On laisse la politique posséder le contrôle. Une politique de conservation, une procédure visiteurs et un processus de changement décrivent chacun quelque chose qu’un système ou une personne fait. La requête, le registre et la file de tickets sont le contrôle. S’ils ne sont pas d’accord avec la politique, c’est la politique qui a tort.
Une plateforme en construction a des conceptions. Une plateforme en production a des preuves.