Cartographie et analyse des infrastructures critique¶

1. Objectif du cours¶

Présenter une méthodologie pratique pour identifier, cartographier et évaluer les infrastructures critiques (spécifiquement en santé) afin de prioriser les mesures de sécurité et garantir la continuité des soins et la conformité réglementaire (HDS/RGPD/NIS2).

2. Notions et définitions essentielles¶

Actif informatique : matériel, logiciel, donnée, service ou processus ayant de la valeur pour l’organisation.
Actifs primaires : services métier vitaux (ex. dossiers patients, urgences).
Actifs de support : composants techniques permettant les actifs primaires (ex. serveurs, réseau).
Criticité : score composite mesurant l’impact métier, la sensibilité des données et les dépendances techniques.
SPOF (Single Point of Failure) : composant unique dont la panne paralyserait des services critiques.
Événement redouté / scénario : situation métier à éviter (ex. indisponibilité DPI).
EBIOS RM : méthode ANSSI recommandée pour l’analyse de risques.

3. Fonctionnement et principes¶

Approche holistique : couvrir dimensions technique, organisationnelle et réglementaire.
Inventaire fondamental : combiner découverte automatisée, analyse métier et validation terrain pour éviter les "actifs fantômes".
Priorisation par criticité : utiliser une matrice Impact × Probabilité et un score composite (ex. pondération Impact 0,5 / Sensibilité 0,3 / Dépendances 0,2).
Analyse des flux : cartographier flux internes/externe (nature, fréquence, volume, sensibilité) pour définir mesures (chiffrement, pseudonymisation, traçabilité).
Analyse des dépendances : modéliser en couches (applicative, système, infrastructure, physique) pour détecter SPOF et calculer indicateurs de centralité.
Évaluation continue : matrice de risques 5×5, révisions régulières et intégration aux processus (CMDB, KRI).

4. Commandes et manipulations¶

Regroupe les opérations/pratiques décrites dans le cours (outils cités et rôle) : - Inventaire des actifs (découverte + validation) : scan réseau automatisé (Nmap, Lansweeper) — privilégier scans passifs sur réseaux médicaux ; validation terrain via entretiens et revue contrats ; centralisation dans une CMDB (ServiceNow, Cherwell).
- Détection des actifs fantômes : croiser logs réseau, contrats/factures, enquêtes terrain.
- Analyse des flux : capture protocolaire (Wireshark), sondes NetFlow/SolarWinds pour flux, EDR pour trafic applicatif ; caractériser sensibilité/volume/fréquence.
- Cartographie des dépendances : découverte automatique (ServiceNow Discovery, Tanium), modélisation graphes (Neo4j, Gephi, GraphML), calculs de centralité (algorithmes BFS/DFS).
- Analyse des chemins d’attaque : reconnaissance passive, modélisation de scénarios (BloodHound, Atomic Red Team, Caldera), simulation/tests (red team).
- Mise en place de KRI et tableaux de bord : collecte automatisée, seuils d’alerte, intégration Power BI/Grafana.

5. Sécurité et bonnes pratiques¶

Privilégier les scans passifs et tester les profils de scan sur équipements de test avant campagne.
Programmer les scans en périodes de faible activité clinique.
Ne pas se limiter aux équipements visibles : inclure IoT médicaux, sauvegardes, environnements de test.
Chiffrer les flux sensibles (HDS : AES‑256 en transit ; TLS1.3, IPsec selon usage).
Documenter et maintenir la CMDB : responsable dédié, mises à jour trimestrielles (mensuelles pour équipements mobiles/critiques), cible >95% d’actifs à jour.
Segmentation réseau selon IEC 80001 (zones critique/sensible/standard, VLAN dédiés pour équipements médicaux).
Formaliser procédures de contournement pour SPOF et tester bascules hors heures critiques.
Limiter le nombre de KRI (5–10) ; révision périodique et intégration aux comités de pilotage.

6. Points essentiels à retenir pour le TSSR¶

Commencer l’inventaire par les services métier critiques (urgences, réanimation, bloc).
Utiliser une démarche PDCA en 6 étapes pour l’inventaire (préparation → recensement primaire → découverte automatisée → validation terrain → documentation CMDB → maintien).
Criticité = combinaison Impact métier, Sensibilité des données, Dépendances techniques (échelle 1–5, score composite).
Identifier et classer SPOF, puis prioriser mitigation (immediat/CT/long terme).
Cartographier flux internes et externes ; chiffrer les échanges soumis à HDS/RGPD.
Adopter EBIOS RM pour formaliser risques et scénarios métier.
Modéliser dépendances en couches et calculer métriques (degré, centralité) pour prioriser renforcements.
Analyser chemins d’attaque (reconnaissance → intrusion → élévation → mouvement latéral → exfiltration) et valider par simulations.
Produire livrables adaptés aux audiences (résumé exécutif, package technique, package métier).
Mettre en place KRI actionnables et automatisés pour piloter la cartographie dans le temps.

7. Tableau récapitulatif¶

Comparaison	Caractéristique A	Caractéristique B
Actifs primaires vs support	Valeur métier directe (ex. DPI)	Assurent fonctionnement (ex. SAN, AD)
Flux interne vs externe	Souvent critiques et fréquents	Soumis à chiffrement et contrats (HDS/RGPD)
SPOF critique vs mineur	Impact soins/patients élevé	Impact services secondaires
Mesures immédiates vs long terme	Redondance / bascule (0‑3 mois)	Réarchitecture / migration (12+ mois)

8. Vérifications pratiques¶

Vérifier la fraîcheur CMDB : cible >95% d’actifs à jour.
Tester profils de scan sur équipement de test avant campagne et valider qu’aucun équipement médical n’est perturbé.
Valider inventaire par interviews documentées (captures d’écran, preuves).
Contrôler chiffrement des flux externes (TLS1.3/IPsec/AES‑256) et lister connexions non chiffrées.
Mesurer indicateurs/KPI : réduction du score de risque moyen (>30%/12 mois), temps de traitement risques critiques (<30 jours), taux SPOF éliminés (>80%/12 mois), détection SPOF <7 jours après modification.
Tester bascule AD/DPI en créneaux hors activité et vérifier réplication/cohérence des annuaires.

9. Flashcards Anki¶

Qu’est‑ce qu’un SPOF ? :: Composant unique dont la défaillance paralyserait un ou plusieurs services critiques. Quelles sont les 3 dimensions de la criticité ? :: Impact métier, sensibilité des données, dépendances techniques. Quel outil le cours cite pour la découverte réseau automatisée ? :: Nmap (ou Lansweeper). Quel standard est recommandé pour la segmentation des réseaux médicaux ? :: IEC 80001. Quelle méthode ANSSI est recommandée pour l’analyse des risques ? :: EBIOS Risk Manager. Quel chiffrement est exigé par HDS pour les données en transit ? :: AES‑256. Quel indicateur cible pour la fraîcheur des données CMDB ? :: >95% d’actifs à jour. Quel outil est cité pour analyser les chemins d’attaque dans Active Directory ? :: BloodHound (SharpHound). Quelle étape suit l’intrusion dans un chemin d’attaque selon le cours ? :: Élévation de privilèges. Combien de KRI recommande‑t‑on de conserver ? :: 5‑10 indicateurs maximum.