Points clés
- Les systèmes critiques requièrent des niveaux de contrôle, de surveillance et de validation disproportionnellement plus élevés que les systèmes standard.
- Le principe des quatre yeux (four-eyes) doit être systématique pour toute modification d'un système critique en production.
- Les accès aux systèmes critiques doivent être juste-à-temps, traçables et révoqués automatiquement après usage.
- Les tests de restauration des systèmes critiques doivent être réalisés plus fréquemment et dans des conditions plus rigoureuses.
La criticité comme facteur d'exigence renforcée
Les systèmes critiques — ceux dont la compromission ou l'indisponibilité aurait des conséquences graves sur les opérations, la sécurité des personnes, la conformité réglementaire ou la réputation — requièrent un niveau d'exigence disproportionnellement supérieur aux systèmes standard. Cette proportionnalité est un principe de gestion des risques : les investissements en contrôle doivent être alignés sur les enjeux. Dans la pratique, la criticité est souvent déclarée formellement dans des registres mais ne se traduit pas effectivement dans les pratiques d'exploitation quotidiennes — les mêmes procédures, les mêmes délais de patching et les mêmes niveaux de surveillance pour les systèmes critiques et les systèmes secondaires.
Le principe des quatre yeux sur les systèmes critiques
Toute modification d'un système critique en production — changement de configuration, déploiement de code, modification de règle de sécurité — doit être revue et validée par un second ingénieur avant exécution. Ce principe des quatre yeux (four-eyes principle ou peer review) est une pratique standard dans les environnements à haute disponibilité et haute sécurité — nucléaire, aviation, services financiers — et devrait être la norme pour les systèmes critiques de toute organisation. Il n'élimine pas toutes les erreurs, mais détecte une proportion significative des erreurs individuelles avant qu'elles ne soient mises en production.
Les accès juste-à-temps sur les systèmes critiques
Les comptes d'administration permanents sur les systèmes critiques sont des cibles de valeur maximale pour les attaquants. Le modèle d'accès juste-à-temps (Just-In-Time access) élimine les comptes admin permanents en faveur d'accès temporaires accordés pour la durée d'une opération spécifique et révoqués automatiquement à son issue. Ce modèle réduit drastiquement la fenêtre d'exposition : même si un credential est compromis, il ne sera valide que pendant une durée limitée et pour un périmètre restreint. Son implémentation sur les systèmes critiques devrait être une priorité pour toute organisation disposant de ressources PAM.
La surveillance renforcée des systèmes critiques
Les systèmes critiques doivent bénéficier d'une surveillance plus granulaire que les systèmes standards. Cela signifie des seuils d'alerte plus bas sur les comportements anormaux, une fréquence de collecte des logs plus élevée, une analyse plus rapide des alertes générées et des processus d'escalade dédiés. Cette surveillance différenciée n'est possible que si les systèmes critiques sont formellement identifiés dans les outils de surveillance et si des règles de détection spécifiques leur sont appliquées. La surveillance homogène — les mêmes règles pour tous les systèmes — est insuffisante pour les environnements où certains systèmes ont une criticité nettement supérieure à d'autres.
Les tests de restauration des systèmes critiques
La capacité à restaurer un système critique depuis ses sauvegardes dans un délai acceptable est un prérequis de la résilience opérationnelle. Pour les systèmes critiques, cette capacité doit être validée régulièrement — au moins une fois par trimestre pour les systèmes les plus critiques — dans des conditions proches de la réalité d'un incident majeur. Ces tests doivent mesurer le délai de restauration réel, identifier les dépendances qui allongent ce délai et produire des plans d'amélioration documentés. Un test de restauration qui révèle une incapacité à restaurer dans les délais requis est un résultat précieux — découvrir cette incapacité lors d'un incident réel ne l'est pas.