Les recommandations ANSSI pour l'administration sécurisée des SI constituent une référence méthodologique pour concevoir et sécuriser les environnements utilisés par les administrateurs informatiques. Le guide ANSSI-PA-022 décrit notamment les principes d'architecture, de cloisonnement, de gestion des comptes privilégiés, de sécurisation des postes d'administration, de journalisation et d'administration à distance.
La version actuellement en vigueur est la version 3.0, publiée le 11 mai 2021. Elle remplace les versions 1.0 et 2.0, aujourd'hui caduques. Le guide précise également que ses recommandations doivent être adaptées au contexte du système d'information concerné et qu'il n'a pas vocation à couvrir tous les cas d'usage.
Pour une PME, l'intérêt du guide n'est donc pas de reproduire l'ensemble de ses recommandations techniques, mais d'en retenir les principes qui permettent de mieux protéger les comptes administrateurs, les postes d'administration et les accès aux ressources sensibles.
Que recommande le guide ANSSI sur l'administration sécurisée des SI ?
L'administration d'un système d'information concentre des privilèges importants : un administrateur peut modifier des configurations, gérer des comptes, installer des logiciels ou intervenir sur des ressources critiques.
Le guide ANSSI-PA-022 propose une architecture de sécurité destinée à limiter les risques associés à ces privilèges. Il s'intéresse notamment au SI d'administration, c'est-à-dire à l'ensemble des ressources utilisées pour administrer le SI : postes d'administration, comptes, outils, infrastructures, réseaux et mécanismes de journalisation.
L'approche repose notamment sur plusieurs principes :
- séparer les usages bureautiques des actions d'administration ;
- utiliser des comptes d'administration dédiés ;
- limiter les privilèges au strict besoin ;
- cloisonner les environnements et les réseaux d'administration ;
- protéger les communications d'administration ;
- journaliser les actions et événements pertinents ;
- maintenir le SI d'administration en condition de sécurité ;
- contrôler les accès à distance et les interventions de tiers.
Ces principes ne constituent pas une obligation réglementaire universelle applicable à toutes les entreprises. Il s'agit de recommandations de sécurité de l'ANSSI, à adapter au contexte, à l'architecture et aux risques propres à chaque organisation.
Quelle version du guide ANSSI faut-il consulter ?
Pour travailler aujourd'hui sur l'administration sécurisée des systèmes d'information, il faut se référer à la version 3.0 du guide ANSSI-PA-022, publiée le 11 mai 2021.
La page officielle MesServicesCyber indique explicitement que cette version se substitue aux versions antérieures. Les versions 1.0 du 20 février 2015 et 2.0 du 24 avril 2018 sont indiquées comme caduques.
Le document officiel est disponible sur MesServicesCyber :
Pourquoi l'administration du SI est-elle un point sensible ?
Les comptes et ressources utilisés pour administrer un système d'information disposent généralement de privilèges plus importants que ceux d'un utilisateur standard.
Une compromission d'un compte administrateur peut donc avoir des conséquences beaucoup plus importantes qu'une compromission limitée à un compte bureautique. L'ANSSI souligne notamment que les identifiants et secrets associés aux comptes d'administration font partie des cibles privilégiées des attaquants, car leur compromission peut faciliter la prise de contrôle du SI.
Le risque ne concerne toutefois pas uniquement le mot de passe d'un administrateur. Il dépend de l'ensemble de la chaîne d'administration :
administrateur → compte privilégié → poste d'administration → réseau → outils → ressource administrée
C'est pourquoi le guide raisonne en termes d'architecture et de cloisonnement plutôt que de se limiter à la protection des identifiants.
Quels domaines de sécurité sont abordés ?
Comptes et privilèges d'administration
La gestion des comptes administrateurs constitue l'un des fondamentaux du guide.
L'ANSSI recommande notamment l'utilisation de comptes d'administration dédiés et distincts des comptes utilisateurs courants. Ces comptes doivent être utilisés pour les actions d'administration et non pour les usages bureautiques habituels.
Le guide recommande également de privilégier des comptes d'administration individuels plutôt que l'utilisation courante de comptes administrateurs génériques ou natifs. Cette séparation améliore notamment la traçabilité des actions et permet de mieux gérer les droits attribués à chaque administrateur.
Pour une entreprise, cela implique notamment de savoir :
- quels comptes disposent de privilèges élevés ;
- qui les utilise ;
- à quelles ressources ils donnent accès ;
- pourquoi ces privilèges sont nécessaires ;
- comment ils sont créés, modifiés, révoqués et contrôlés.
Le guide prévoit également un processus organisationnel et technique de gestion et de révision des comptes d'administration.
Postes et réseaux d'administration
Le poste d'administration est un élément central de l'architecture proposée.
La version 3.0 présente plusieurs architectures possibles, notamment le poste d'administration dédié, le poste multi-niveaux et le poste d'administration permettant un accès distant au SI bureautique.
L'ANSSI présente notamment le poste physiquement dédié aux actions d'administration comme une solution permettant de mieux séparer les usages administratifs des usages bureautiques et de l'accès classique à Internet.
Cette logique répond à un principe simple : un poste utilisé quotidiennement pour naviguer sur Internet, consulter sa messagerie et réaliser des tâches bureautiques ne présente pas le même niveau d'exposition qu'un environnement réservé aux opérations d'administration.
Lorsque des contraintes techniques ou opérationnelles empêchent de mettre en œuvre une séparation physique, le guide envisage d'autres architectures, sous réserve d'un cloisonnement suffisamment maîtrisé.
Authentification et cloisonnement
La sécurisation de l'administration repose également sur la séparation des environnements et la protection des communications.
Le guide traite notamment du SI d'administration, des réseaux d'administration et des différentes zones de confiance. L'objectif est de limiter les possibilités de rebond entre un environnement compromis et les ressources disposant de privilèges élevés.
Pour les accès d'administration à distance, l'ANSSI prévoit notamment des mécanismes de protection des communications et décrit l'utilisation d'un tunnel VPN IPsec dans certaines architectures d'administration nomade.
La mise en œuvre doit toutefois tenir compte de l'architecture réelle de l'entreprise et de son analyse de risques.
Journalisation et supervision
La sécurité de l'administration ne s'arrête pas au contrôle des accès. Il faut également pouvoir identifier les actions réalisées.
Le guide recommande ainsi de journaliser les événements liés aux comptes d'administration, notamment les ouvertures et fermetures de session, les échecs d'authentification, le verrouillage des comptes ainsi que certaines opérations de gestion des comptes et groupes de sécurité.
La journalisation doit également être protégée contre les modifications ou suppressions non autorisées. L'ANSSI recommande notamment une collecte centralisée des journaux d'événements afin de faciliter leur exploitation et leur corrélation.
Pour une PME, l'enjeu consiste surtout à pouvoir répondre à des questions concrètes :
- quel compte administrateur s'est connecté ?
- quand l'action a-t-elle été réalisée ?
- sur quelle ressource ?
- quelle modification a été effectuée ?
- les événements peuvent-ils être conservés et exploités en cas d'incident ?
Maintien en condition de sécurité
Un SI d'administration doit lui-même rester sécurisé dans le temps.
L'ANSSI consacre une partie spécifique du guide au maintien en condition de sécurité (MCS). Celui-ci vise à maintenir, voire améliorer, le niveau de sécurité du SI d'administration tout au long de son cycle de vie.
Cela concerne notamment les mises à jour, le durcissement des configurations, la gestion des vulnérabilités et le suivi des composants utilisés pour administrer le système.
Un environnement d'administration particulièrement privilégié mais insuffisamment maintenu pourrait en effet devenir un point d'entrée critique.
Administration par des tiers et assistance à distance
Le guide traite également de l'administration réalisée par des prestataires externes et de l'assistance à distance.
L'ANSSI distingue notamment l'administration par des tiers, qui permet à un prestataire de réaliser des actions d'administration, et l'assistance à distance, qui permet d'aider un administrateur interne sans nécessairement disposer de la capacité technique à effectuer directement les actions d'administration.
Cette distinction est particulièrement intéressante pour les entreprises qui font appel à un prestataire informatique.
Le guide prévoit notamment des recommandations spécifiques concernant l'infogérance et fait référence au référentiel applicable aux prestataires d'administration et de maintenance sécurisées.
Comment utiliser ces recommandations dans une PME ?
Une PME n'a pas nécessairement besoin de reproduire une architecture conçue pour un environnement très complexe. Le guide ANSSI lui apporte surtout une grille de réflexion pour identifier les points faibles de son propre modèle d'administration.
Une première démarche peut consister à examiner les éléments suivants :
Domaine Questions à se poser
Comptes Les comptes administrateurs sont-ils distincts des comptes bureautiques ?
Privilèges Les droits accordés correspondent-ils réellement aux besoins ?
Postes Les actions sensibles sont-elles réalisées depuis un environnement suffisamment protégé ?
Réseau Les flux d'administration sont-ils suffisamment cloisonnés ?
Accès distant Les connexions d'administration à distance sont-elles maîtrisées ?
Journalisation Les actions importantes peuvent-elles être retracées ?
Mises à jour Les systèmes et outils d'administration sont-ils maintenus à jour ?
Prestataires Les accès externes sont-ils encadrés et révisés ?
L'objectif n'est pas de transformer cette liste en certification ou en contrôle réglementaire. Elle peut plutôt servir de point de départ pour une analyse de risque et un plan d'amélioration.
Pour une entreprise qui ne dispose pas de ressources internes dédiées, cette démarche peut également être intégrée à une réflexion plus large sur la sécurité du système d'information ou sur l'externalisation de certaines fonctions d'administration.
Pour approfondir cette approche globale, consultez notre page dédiée à la cybersécurité des entreprises. Si l'administration du SI est confiée à un prestataire, la question de l'infogérance informatique peut également être étudiée en parallèle : infogérance informatique.
FAQ sur les recommandations ANSSI pour l'administration des SI
Quelle est la version actuelle du guide ANSSI sur l'administration sécurisée des SI ?
La version actuellement indiquée comme en vigueur par MesServicesCyber est la version 3.0 du guide ANSSI-PA-022, publiée le 11 mai 2021. Elle remplace les versions 1.0 et 2.0, qui sont indiquées comme caduques.
Le guide ANSSI sur l'administration des SI est-il obligatoire pour toutes les entreprises ?
Non. Le guide ANSSI-PA-022 constitue un ensemble de recommandations techniques et organisationnelles. Il n'est pas, à lui seul, une obligation réglementaire universelle applicable à toutes les entreprises. L'ANSSI précise que les recommandations doivent être replacées dans le contexte du système d'information concerné et adaptées aux besoins de l'organisation.
Pourquoi utiliser un compte d'administration distinct d'un compte utilisateur ?
La séparation permet de limiter l'utilisation des privilèges élevés aux seules opérations qui le nécessitent. L'ANSSI recommande que les comptes d'administration soient dédiés aux actions d'administration et distincts des comptes utilisés pour les usages courants.
Faut-il utiliser un poste dédié pour administrer un système d'information ?
Le guide ANSSI présente le poste d'administration dédié comme une architecture de référence permettant de séparer les actions d'administration des usages bureautiques. D'autres architectures sont également étudiées, notamment les postes multi-niveaux, avec des conditions de cloisonnement et de sécurité à prendre en compte.
Pourquoi journaliser les actions des administrateurs ?
La journalisation permet notamment de conserver une trace des événements liés aux comptes d'administration et de faciliter la détection et l'analyse d'une éventuelle compromission. Le guide recommande notamment de journaliser les authentifications et certains événements liés à la gestion des comptes et groupes de sécurité.
Les recommandations ANSSI concernent-elles aussi l'infogérance ?
Oui. Le guide traite explicitement de l'administration réalisée par des tiers et de l'assistance à distance. Il fournit des recommandations destinées à mieux encadrer ces situations, notamment lorsque des prestataires interviennent sur le système d'information d'une organisation.
Le guide ANSSI suffit-il à sécuriser une PME ?
Non. Le guide porte spécifiquement sur l'administration sécurisée des systèmes d'information. Il constitue une référence méthodologique sur ce périmètre, mais la sécurité globale d'une entreprise nécessite également de prendre en compte d'autres sujets : postes de travail, sauvegardes, messagerie, réseau, sensibilisation, gestion des vulnérabilités, continuité d'activité et réponse aux incidents.
Conclusion
Le guide ANSSI sur l'administration sécurisée des systèmes d'information reste une référence utile pour structurer la protection des environnements et des comptes disposant de privilèges élevés.
Pour une PME, les principaux enseignements sont moins dans l'application mécanique de chaque recommandation que dans quelques principes structurants : séparer les comptes d'administration, protéger les postes et réseaux d'administration, limiter les privilèges, cloisonner les environnements, tracer les actions et maintenir les systèmes d'administration en condition de sécurité.
La référence à utiliser est aujourd'hui la version 3.0 du guide ANSSI-PA-022, publiée le 11 mai 2021. Les recommandations doivent ensuite être adaptées à l'architecture, aux usages et aux risques propres à chaque système d'information.
