Sécurité : Encadrer la maintenance et la fin de vie des matériels et logiciels
Garantir la sécurité des données à tout moment du cycle de vie des matériels et des logiciels.
Les opérations de support doivent être encadrées pour maitriser l’accès aux données par les prestataires. Les données doivent être préalablement effacées des matériels destinés à être mis au rebut.
Les précautions élémentaires
- Enregistrer les interventions de maintenance dans une main courante.
- Ouvrir les accès nécessaires à la télémaintenance à la demande du prestataire et pour une durée adaptée à l’intervention et définie à l’avance. Ces accès doivent être refermés à l’issue de cette durée.
- Insérer une clause de sécurité dans les contrats de maintenance effectuée par des prestataires pour encadrer leurs accès aux systèmes d’information (voir l’exemple de clause ci-contre).
- Encadrer par un responsable de l’organisme les interventions par des tiers.
- Ne pas laisser seul un intervenant extérieur, notamment dans les salles sensibles (ex. : salle serveur).
- Supprimer de façon sécurisée les données des matériels avant leur mise au rebut, leur envoi en réparation chez un tiers ou en fin du contrat de location.
Ce qu’il ne faut pas faire
- Installer des applications pour la télémaintenance ayant des vulnérabilités connues (ex : applications qui ne chiffrent pas les communications).
- Réutiliser, revendre ou jeter des supports ayant contenu des données personnelles sans que les données n’aient été supprimées de façon sécurisée.
- Laisser un accès complet ou permanent aux systèmes pour la télémaintenance.
Pour aller plus loin
- Rédiger et mettre en oeuvre une procédure de suppression sécurisée des données.
- Utiliser des logiciels dédiés à la suppression de données sans destruction physique qui ont été audités ou certifiés. L’ANSSI accorde des certifications de premier niveau à des logiciels de ce type.
- Mettre en place des outils de surveillance en temps réel (ex : sessions « 4 yeux ») ou a posteriori (ex. : enregistrement) des interventions de télémaintenance par des tiers.
- L’ANSSI dédie un chapitre de son guide concernant l’administration sécurisée à la maintenance par des tiers.
Exemple de clause pouvant être utilisées en cas de maintenance par un tiers :
Chaque opération de maintenance devra faire l’objet d’un descriptif précisant les dates, la nature des opérations et les noms des intervenants, transmis à X.
En cas de télémaintenance permettant l’accès à distance aux fichiers de X, Y ne pourra intervenir qu’après autorisation d’accès délivrée par X. L’accès devra être fermé au terme de chaque intervention de Y.
[Formulation alternative selon la nature de la maintenance :
En cas de télémaintenance permettant l’accès à distance aux fichiers de X, Y ne pourra intervenir qu’après information délivrée à X, permettant à ce dernier d’identifier et de surveiller les accès à son système d’information.]
Des registres seront établis sous les responsabilités respectives de X et Y, mentionnant les date et nature détaillée des interventions de télémaintenance ainsi que les noms de leurs auteurs.
NB : Cette clause de maintenance doit nécessairement être couplée à celle traitant de la confidentialité pour la sous-traitance.
