Répondre à une question d’architecture de sécurité

Base de réponse

Le périmètre offert décide de la valeur de chaque preuve

Lisez la question avec le règlement de consultation, la méthode de notation, le cahier technique, les annexes de sécurité, les exigences de données, les interfaces, les niveaux de service, les réponses aux questions et le projet de marché. Distinguez une exigence minimale, un critère qualitatif, une demande d’information et un engagement contractuel. L’article R2152-7 du Code de la commande publique cite notamment la valeur technique, l’interopérabilité et les caractéristiques opérationnelles parmi les éléments que des critères liés au marché peuvent couvrir. La réponse doit toutefois suivre les critères réellement publiés pour la consultation concernée.

Créez une fiche de référence avec acheteur, soumissionnaire, procédure, lot, édition du service, modèle de cloisonnement des organismes, environnements inclus, lieux proposés, traitements, données, utilisateurs, interfaces, fournisseurs externes, période de service, versions documentaires et date d’arrêt des preuves. Indiquez qui peut approuver la conception, l’exposition d’informations sensibles, l’acceptation d’un risque et la promesse commerciale. Une affirmation sans ce rattachement peut être vraie pour l’entreprise et fausse pour l’offre.

Le cas fictif de l’Agence des Aides Littorales concerne un portail de demande de subvention. Des associations déposent des dossiers et pièces, des agents instruisent, des experts externes rendent un avis et un système financier reçoit les décisions approuvées. Le titulaire héberge et exploite une configuration nommée; l’agence gère les identités de ses agents. Ce scénario n’apporte aucune information sur un organisme ou un système réel.

Vues techniques

Une architecture de sécurité se lit dans plusieurs vues cohérentes

Le guide ANSSI Architecture sécurisée de SI attend notamment contexte métier et réglementaire, sensibilité des données, identités, administration, cloisonnement, chiffrement, filtrage, maintien en condition de sécurité, accès distants, interconnexions, continuité et supervision. NIST définit lui aussi l’architecture de sécurité comme un ensemble de représentations physiques et logiques. Construisez donc un registre de vues au lieu de surcharger un seul dessin.

La vue de contexte situe personnes, services externes et frontière contractuelle. La vue des domaines montre les changements de confiance et les points d’application des politiques. La vue de flux suit les informations, leur direction, leur classe et leur stockage. La vue identité et administration sépare sujets humains, services, appareils, privilèges et chemins de gestion. La vue de déploiement montre zones d’isolation, dépendances communes et limites de confinement sans révéler une topologie exploitable.

Attribuez un identifiant stable aux composants et aux flux importants. Ajoutez à chaque page objet, périmètre, niveau d’abstraction, propriétaire, version, date, légende et état de preuve. Un nom reste identique d’une vue à l’autre ou renvoie à une table de correspondance. Le lecteur doit savoir quand une boîte représente un composant déployé, un groupe logique, un service tiers ou une cible future.

Scénarios de risque

Le scénario explique la raison de chaque barrière

Partez des missions et événements redoutés: divulgation d’une pièce confidentielle, modification d’un avis, paiement déclenché sans décision, indisponibilité à une échéance réglementaire ou opération privilégiée non attribuable. La méthode EBIOS Risk Manager relie valeurs métier, sources de risque, objectifs visés et chemins d’attaque. Pour le dossier d’offre, reprenez les scénarios approuvés et le niveau de détail autorisé. Ne fabriquez pas une analyse complète à partir de mots-clés de l’appel d’offres.

La fiche de scénario comporte source ou condition initiale, point d’entrée, prérequis, bien touché, frontières franchies, décision préventive, signaux de détection, limite de confinement, dépendance de reprise, essai et responsable du risque résiduel. Un risque traité ne signifie pas impossible. Énoncez le résultat recherché et le test disponible. Si la probabilité ou la gravité appartient à l’acheteur, conservez cette autorité au lieu de recalculer une note non mandatée.

Pour une pièce jointe malveillante, le portail public impose formats et limites approuvés, place le fichier hors du parcours des agents jusqu’aux contrôles, consigne la décision et gère le rejet. La réponse n’a pas besoin de publier les signatures, seuils ou moteurs employés. Elle doit montrer le passage de frontière, l’état d’attente, l’autorité de mise à disposition, le comportement en défaut et la référence du test.

• Reliez chaque barrière à un événement redouté ou à une obligation définie.
• Séparez réduction, transfert, évitement et acceptation du risque.
• Conservez les hypothèses et risques résiduels avec leur décideur.
• Incluez la défaillance malveillante, pas seulement la panne aléatoire.
• Réexaminez le scénario après toute modification matérielle du service.

Identités et flux

Une connexion autorisée ne donne pas tous les droits

Pour chaque accès, nommez le sujet, la ressource, la source d’identité, les signaux utiles, la règle, le point d’application et l’action permise. Les recommandations zero trust de NIST et du NCSC refusent la confiance implicite fondée uniquement sur le réseau ou la propriété d’un appareil. Une assertion de l’agence peut établir l’identité d’un agent. L’application doit encore décider quels dossiers et quelles actions son rôle autorise.

Distinguez données métier, administration, contrôle et supervision. Un dossier de subvention suit un flux métier. Une modification de règle ou de rôle emprunte le chemin d’administration. La distribution d’une politique ou d’un secret est un flux de contrôle. Les événements de sécurité suivent une voie de supervision. Représenter ces quatre pouvoirs avec une seule flèche “échanges sécurisés” masque les sorties possibles et l’auteur de chaque décision.

L’administration mérite sa propre architecture: identité nominative ou technique, délivrance et retrait, authentification forte, approbation de la tâche, moindre privilège, séparation du poste courant, traçabilité, accès d’urgence et révocation. Les opérations du titulaire, de l’hébergeur et d’un éditeur externe sont des chemins distincts. L’ANSSI recommande de cloisonner les opérations à privilèges élevés, notamment vis-à-vis des environnements de production.

Défense en profondeur

Une barrière utile limite un chemin précis

Pour chaque fonction de sécurité, indiquez objet protégé, emplacement, entrées de décision, exploitant, dépendances et comportement en panne. Le filtrage d’entrée, l’autorisation applicative et les droits de stockage peuvent intervenir à trois moments différents. Leur nombre ne prouve pas leur indépendance. Une identité de service commune, une politique mal distribuée ou une chaîne de livraison compromise peut les atteindre ensemble.

Décrivez le rayon d’action après compromission. Si le service de prévisualisation d’un document est pris, il ne doit ni attribuer un dossier, ni valider un avis, ni modifier une règle, ni exporter le stock des pièces. La vue montre les identités et limites qui soutiennent cette conclusion. Une évaluation ou un test vérifie les chemins importants. Un terme tel que “cloisonné” sans objet, frontière et preuve reste trop vague.

La supervision est une fonction d’architecture. Identifiez les sources qui signalent tentatives interdites, changements de privilège, exports, décisions de contrôle, anomalies d’intégrité et défaut de télémétrie. Précisez corrélation, conservation, équipe destinataire et réaction. Les recommandations ANSSI sur l’architecture de journalisation rappellent l’usage des journaux pour détecter puis reconstituer un incident. Le dossier métier ne doit pas être recopié dans les traces générales.

Une architecture disponible face à une panne peut rester fragile face à un attaquant. Des instances identiques partagent parfois la même vulnérabilité, l’identité d’administration, le fournisseur ou l’artefact de déploiement. Signalez ces causes communes et le scénario testé. Les objectifs de reprise et engagements de continuité restent dans leurs pièces approuvées, avec une référence depuis cette réponse.

Assurance

Le titre d’un audit ne remplace pas son objet

Indexez chaque preuve avec identifiant, objet, service, environnement, version, date ou période, méthode, résultat, restriction, propriétaire et public autorisé. Une décision approuvée démontre qu’une conception a été examinée. Une configuration montre la mise en place d’un mécanisme. Une trace d’exploitation indique un fonctionnement pendant une période. Un essai démontre un comportement dans ses conditions. Une évaluation indépendante reste bornée par son référentiel, son échantillon et son rapport.

Pour affirmer que les opérations privilégiées sont séparées du travail quotidien, Littorales référence la vue d’administration, la décision de conception, le contrôle des chemins déployés, la population des comptes et un exercice d’alerte. Un test d’intrusion plus ancien peut documenter un risque de l’époque. Il ne couvre pas silencieusement une nouvelle fédération d’identité ou un changement de plan d’administration.

Les cadres structurent la recherche de preuves. NIST SP 800-53 distingue fonctionnalité et assurance; SP 800-53A décrit des procédures adaptables; OWASP ASVS versionne des exigences vérifiables de sécurité applicative. Une qualification SecNumCloud peut fournir des informations dans son périmètre déclaré sans établir tous les contrôles applicatifs du soumissionnaire. Citez le référentiel, puis la preuve réelle obtenue. Une matrice séparée traite la correspondance détaillée entre exigences de l’acheteur et contrôles.

Diffusion

Occulter un détail sans casser la démonstration

La réponse principale expose les limites métier, domaines, objectifs de contrôle, responsabilités et références. Une annexe protégée peut ajouter des vues logiques expurgées. Un espace de diligence autorisé accueille des configurations ou rapports plus précis pour des lecteurs nommés. Les règles défensives, constats exploitables et chemins privilégiés détaillés restent au niveau réservé aux évaluateurs habilités. Le dossier de consultation et le droit applicable déterminent si ces niveaux sont acceptables et à quel moment.

Retirez adresses, secrets, clés, versions inutilement risquées, routes d’administration exactes, seuils de détection actifs, vulnérabilités exploitables, identifiants clients et données de dossier. Conservez la fonction du composant, le sens du flux, la décision de confiance, la classe de données, le responsable, l’articulation des barrières, la référence de preuve et sa limite. Un jeton d’occultation stable permet de reconnaître le même élément dans plusieurs vues.

Tenez un registre avec artefact source, information retirée, motif, risque, approbateur, destinataire, jeton et voie de consultation. Une grande boîte noire “sécurité” protège peut-être le détail, mais elle ne démontre rien. Si le retrait empêche de satisfaire une exigence obligatoire, utilisez le canal de question prévu ou proposez un moyen de preuve équivalent accepté. N’envoyez pas l’original sensible par une messagerie non prévue.

• Marquez chaque page avec service, version, date et classe de diffusion.
• Vérifiez métadonnées, calques cachés et commentaires avant export.
• Gardez les mêmes identifiants de composant et de flux à chaque niveau.
• Faites approuver séparément exactitude de la preuve et droit de diffusion.
• N’annoncez une consultation restreinte que si la procédure la permet.

Libération

La baseline relie la réponse courte au dossier vérifiable

Le dossier final contient question de marché, référence du service offert, contexte de protection, registre des vues, table scénario-décision, partage des responsabilités, index de preuves, risques résiduels, hypothèses, inconnues, registre d’occultation, contrôles croisés, approbations et historique. Donnez-lui une version et une date d’arrêt des preuves. Chaque phrase importante du mémoire doit conduire à un identifiant sans obliger le lecteur à fouiller une bibliothèque documentaire sans lien.

Réconciliez la réponse avec le questionnaire sécurité, les flux de données, la protection des données, l’intégration, le plan de mise en œuvre, la reprise, les niveaux de service et le contrat. Une divergence demeure visible jusqu’à sa résolution par le propriétaire autorisé. Ne la masquez pas en supprimant de chaque texte la portée plus précise ou la limite la mieux étayée.

Rouvrez les éléments touchés par un changement d’édition, de cloisonnement, de localisation, d’interface, d’identité, d’hébergeur, d’administration, de fonction de sécurité, de menace ou de résultat d’évaluation. Publiez une nouvelle version et marquez l’ancienne comme remplacée. La réponse peut alors rester lisible tout en conservant une preuve de son raisonnement et de son état.