L'instruction 901 s'applique aux entités publiques ou privées soumises à la réglementation relative à la protection du potentiel scientifique et technique de la nation qui mettent en œuvre des systèmes d'information sensibles.

S'appliquent donc les règles du titre II et de l'annexe 1. L'annexe 1 est en fait une reprise des items de la circulaire de 2014 du Premier Ministre fixant la PSSIE.

On n'examine ici que la conformité à la PSSIE dans le périmètre du SMSI.

Ceci est assuré par la classification des informations (a5.12) et le marquage des supports (a5.13)

La politique de sécurité est partie intégrante du présent SMSI.

L'organisation et gouvernance y est décrite et approuvée à l'occasion des revues du COPIL SMSI.

La PSSI est bien élaborée à partir d'une analyse des risques, dont les conclusions sont consignées dans la déclaration d'applicabilité.

- Décision d'homologation à faire prononcer par une autorité d'homologation désignée par l'AQSSI de l'UB sur la foi de cette page.

La cartographie des SI constituant le périmètre du SMSI est réalisée via l'inventaire des actifs (a5.09). Les mesures de sécurité concernent aussi bien les atteintes physiques, logiques qu'organisationnelles.

La capacité de détection est assurée par les activités de surveillance (a8.16). La réaction se fait conformément à la procédure de gestion des incidents.

Les risques résiduels sont évalués selon la procédure d'analyse des risques, récapitulés dans le tableau des risques et approuvés par leurs propriétaires.

Des audits techniques annuels sont planifiés selon la procédure d'audits.

La relation est organisée conformément à la chaîne fonctionnelle SSI telle que décrite dans la procédure Organisation et gouvernance.

L'organisation dédiée à la SSI au sein du CCUB est le COPIL SMSI tel que décrit par la procédure Organisation et gouvernance.

Les acteurs SSI sont identifiés dans la procédure Organisation et gouvernance. Certains d'entre eux sont par ailleurs Correspondants SSI au sein de la chaîne fonctionnelle SSI, assurant la cohérence entre les niveaux opérationnel et fonctionnel.

La directrice de la DNUM est RSSI pour l'ensemble de son périmètre. Elle s'appuie opérationnellement sur le responsable du centre de calcul et le responsable d'exécution du SMSI. Tous trois sont membres du COPIL SMSI.

Les responsabilités sont exprimées dans la procédure organisation et gouvernance pour le fonctionnement global du SMSI et dans chaque procédure pour sa mise en œuvre.

Les tiers concernés sont:

• Les usagers du centre de calcul
• Les intervenants, sous-traitants ou autres services de la DNUM ou de l'Université de Bourgogne

Les relations contractuelles sont cadrées grâce à:

• Les conventions de service, établies selon le modèle conforme aux exigences du référentiel HDS à établir et référencer.
• La prise en compte de la sécurité de l'information dans les accords avec les fournisseurs (a5.20)

Le COPIL SMSI est la structure chargée de la mise en place, de l'évolution, du suivi et du contrôle de la PSSI.

La mise en œuvre et l'efficacité des mesures de sécurité sont rapportées annuellement lors de la revue de direction.

La documentation pour l'application des mesures de la PSSI se trouve sur le présent site.

La charte d'application de la SSI est partie intégrante de la charte des utilisateurs et administrateurs du Centre de Calcul

La sensibilisation est organisée selon les modalités décrites dans la mesure a6.03.

Les obligations particulières des administrateurs et les sanctions encourues sont rappelées dans la charte des utilisateurs et administrateurs du Centre de Calcul

Les utilisateurs sont également informés de leurs obligations via la charte des utilisateurs et administrateurs du Centre de Calcul

La gestion des arrivées, des mutations et des départs est cadrée par la procédure de sécurité dans la gestion du personnel.

La procédure de sécurité dans la gestion du personnel s'applique également aux personnels non permanenets.

C'est l'inventaire des actifs tel que décrit dans la mesure a5.09

C'est l'inventaire des actifs, complété de la cartographie des réseaux - A produire

Elle est établie au chapitre Classification de l'information de la déclaration de politique de sécurité

Les attendus envers les utilisateurs dans la protection des informations sont explicités dans la charte des utilisateurs et administrateurs du Centre de Calcul

- Décision d'homologation à faire prononcer par une autorité d'homologation désignée par l'AQSSI de l'UB sur la foi de cette page.

Elle est cadrée par la procédure Sécurité de l'information dans la gestion de projet

Toutes les règles de maintien en condition de sécurité sont explicitées dans les procédures opérationnelles, et plus spécifiquement dans les procédures de gestion associées à chaque classe d'actifs sensibles.

Le tableau de bord est constitué des indicateurs revus lors de chaque réunion du COPIL SMSI.

- A discuter, est-ce qu'on prend en compte les éventuels labels ANSSI dans le choix des produits ? A détailler dans Sécurité de l'information dans la gestion de projet et référencer cette procédure ici.

L'inscription de clauses de sécurité dans les contrats de sous-traitance est prévue par la mesure a5.20

Les fournisseurs sensibles sont évalués annuellement conformément à la procédure de sécurisation de la relation avec les fournisseurs.

Les défaillances liées aux fournisseurs sont intégrées dans l'analyse des risques globale .

L'hébergement s'effectue uniquement sur le territoire national.

L'hébergement n'est en aucun cas sous-traité à des tiers.

Réalisé conformément à la mesure a7.01.

Il n'existe pas de zone d'accueil du public. Même le réseau au sein des bureaux est isolé des réseaux de production.

Il n'existe pas de zone d'accueil du public.

Conformément à la procédure de sécurité physique et environnementale, la zone technique est de niveau 1 et donc sous contrôle d'accès.

La protection des câblages est cadrée par la mesure a7.12.

Le SI du CCUB n'est pas considéré comme sensible au point de requérir ce niveau de contrôle.

Réalisé conformément à la mesure a7.01.

Le CCUB n'a pas recours à un hébergement physique tiers.

Un contrôle d'accès physique est en place sur les zones de niveau 1 et 2 conformément à la procédure de sécurité physique et environnementale.

La délivrance des moyens d'accès physiques s'effectue selon la procédure de gestion des identités, des accès et des crédits.

Les accès des visiteurs externes sont consignés dans le cahier de visite tel que décrit au a7.06.

Les systèmes électriques sont gérés et opérés par un prestataire professionnel conformément aux règles de l'art.

Le dimensionnement de la climatisation est établi conformément à la procédure de gestion de la capacité ( - Ce n'est pas documenté.

Le fonctionnement et sa surveillance sont décrits dans la procédure opérationnelle pour l'actif sensible production de froid.

Le fonctionnement et la surveillance du système de lutte contre l'incendie sont décrits dans la procédure opérationnelle pour l'actif sensible dispositif d'alarme incendie.

La lutte contre les voies d'eau a été intégrée dans la conception du datacenter (Plan datacenter).

Les risques concernant la sécurité physique sont inclus dans l'analyse des risques.

La charte des utilisateurs et administrateurs du Centre de Calcul précise que les administrateurs s'engagent à connecter aux réseaux du Centre de Calcul ou au VPN uniquement des équipements professionnels gérés.

L'interconnexion avec les réseaux externes à l'UB se fait via l'infrastructure nationale RENATER. Les interconnexions avec les réseaux internes à l'UB sont filtrées par des pare-feux.

- Voir si blocage des flux sortants (matrice réseau)

Tous les flux externes sont chiffrés conformément à a8.24.

Mis en œuvre conformément à a8.22.

Ceci concerne la liaison entre le DC et la salle SM2, effectuée par une fibre directe (Sécurité du câblage).

La salle machine du DC est partagée avec des équipements réseaux généraux, mais le CCUB y dispose d'un ilot dédié pour le calcul et le stockage.

Aucune dérogation n'est accordée pour des accès spécifiques à Internet.

Le réseau Wifi est considéré comme un réseau externe ne bénéficiant d'aucun privilège.

La sécurité des mécanismes de commutation et de routage est sous la responsabilité du service réseau de la Direction du Numérique, lui même soumis à la PSSIE.

- Diagramme d'architecture réseau.

L'analyse des risques portant sur les critères DICA est prise en compte dans la construction de l'architecture.

Le réseau de stockage et de sauvegarde est dédié.

L'accès à internet utilisé par le Centre de Calcul est assuré par RENATER qui à la maitrise des interconnexions avec le reste du monde.

Les mesures de sécurité sont adoptées suite à une analyse de risques portant notamment sur la confidentialité et l'intégrité.

Les interventions sur les systèmes de production sont tracés par des tickets de demande de service et de changement, comme explicité dans la procédure de gestion des changements.

Les configurations sont gérées, automatisées et archivées comme prévu par la mesure a8.09

Les configurations sont gérées, automatisées et archivées comme prévu par la mesure a8.09

L'identification et authentification s'effectuent selon la procédure de gestion des identités, des accès et des crédits.

L'attribution et la revue des droits d'accès sont explicités dans la procédure de gestion des identités, des accès et des crédits.

Les profils d'accès sont attribués sur la base des rôles identifiés dans la procédure de gestion des identités, des accès et des crédits.

Le processus d'autorisation est décrit dans la procédure de gestion des identités, des accès et des crédits.

Les autorisations d'accès des usagers sont temporaires et doivent être renouvelées après un an.

La nécessité de protéger les informations d'authentification est rappelée dans la charte des utilisateurs et administrateurs du Centre de Calcul

La nécessité de protéger les informations d'authentification est rappelée dans la charte des utilisateurs et administrateurs du Centre de Calcul. Les protocoles utilisés lors de l'authentification sont chiffrés.

L'attribution du mot de passe initial est décrit dans la procédure de gestion des identités, des accès et des crédits.

Les règles de composition et de complexité des mot de passe sont décrites dans la procédure de gestion des identités, des accès et des crédits.

Les certificats serveurs sont émis par une autorité de certification titulaire d'un marché national piloté par RENATER.

Le changement de mot de passe impose le respect des réègle de composition et de complexité définies (gestion des identités, des accès et des crédits).

Le séquestre des authentifiants des comptes à privilèges n'est pas utile dans notre contexte car ils sont connus par l'ensemble des administrateurs du Centre de Calcul.

Les authentifiants des comptes matériels et administrateur sont renouvelés conformément à la procédure Gestion des identités, des accès et des crédits et à la procédure de sécurité dans la gestion du personnel

Les départs sont encadrés par la procédure de sécurité dans la gestion du personnel

Les usagers du CCUB n'ont pas de droits d'administrateurs, nu accès à des utilitaires leur permettant d'augmenter leurs privilèges. Ceci est cadré par la gestion des identités, des accès et des crédits et le guide de bonnes pratiques à l'intention des administrateurs.

Les outils d'administration ne sont accessibles qu'au travers d'un VPN attribué nominativement aux administrateurs.

L'habilitation des administrateurs est encadrée par la Procédure de sécurité dans la gestion du personnel

La traçabilité des actions d'administration est assurée par la journalisation selon a8.15

Les outils d'administration ne sont accessibles qu'au travers d'un VPN attribué nominativement aux administrateurs. Toutefois les postes administrateurs ne sont pas isolés.

Les déploiements sont automatisés au moyen de XCAT (pour les serveurs de calcul) et d'Ansible.

Le CCUB n'utilise pas de tels outils.

- De mémoire, le CCUB a un serveur de domaine dédié ? A détailler pour tous ces points.

- Ce sont les comptes automatiques utilisés dans des scripts, avec les mots de passe en dur. Le cas existe-t-il ?

- Voir ci-dessus

Les départs sont encadrés par la Procédure de sécurité dans la gestion du personnel

- Le cas existe-t-il ?

L'effacement ou la mise et rebut des supports sont cadrés par la mesure a7.14

L'effacement ou la mise et rebut des supports sont cadrés par la mesure a7.14

Les mesures antivirus relèvent de la politique générale de l'UB. - A documenter selon action act231024-23

Les mesures antivirus relèvent de la politique générale de l'UB. - A documenter selon action act231024-23

Les mesures antivirus relèvent de la politique générale de l'UB. - A documenter selon action act231024-23

Les navigateurs ne sont pas déployés de façon centralisée, chaque utilisateur est responsable de la sécurité de son poste conformément à la charte des utilisateurs et administrateurs du Centre de Calcul

Cette politique est décrite par la procédure de gestion des vulnérabilités - A rédiger

Mise en oeuvre par actions à décrire dans la procédure de gestion des vulnérabilités - A rédiger

Les processus de surveillance et de mise à jour des systèmes sont détaillés dans le chapitre “Procédure d'exploitation” de chaque classe d'actifs sensibles.

Le fonctionnement du centre de calcul ne requiert pas le maintien de systèmes obsolètes.

La journalisation est mise en oeuvre conformément à la mesure a8.15.

Comme décrit dans la Politique de journalisation, les journaux ne sont analysés que pour des investigations ponctuelles.

Comme décrit dans la Politique de journalisation, les journaux sont bien conservés durant 12 mois.

Les comportements anormaux sont surveillés et détectés au travers des supervisions techniques, comme décrit par la mesure a8.16.

- La Charte des utilisateurs et administrateurs du Centre de Calcul interdit tout usage d'un matériel personnel pour accéder aux ressources du CCUB.

- A documenter dans la Charte des utilisateurs et administrateurs du Centre de Calcul

- A documenter dans la Charte des utilisateurs et administrateurs du Centre de Calcul

La récupération des postes de travail est assurée dans le cadre de la Procédure de sécurité dans la gestion du personnel.

Tous les usages en nomadisme sont autorisés, dès lors qu'ils sont conforme à la Charte des utilisateurs et administrateurs du Centre de Calcul

Les accès distants sont encadrés par la mesure a6.07.

En aucun cas les personnels du CCUB ne sont susceptibles d'imprimer des informations sensibles.

En aucun cas les personnels du CCUB ne sont susceptibles d'imprimer des informations sensibles.

- A confirmer et documenter. Les systèmes d'exploitation sont installés à partir d'une image durcie et réduite au minimum nécessaire.

L'accès par des tiers est la raison d'être du centre de calcul. Il s'effectue toujours via une connexion SSH.

La mise en œuvre d'un logiciel tiers (en général une application de calcul) est encadrée par la procédure de Sécurité de l'information dans la gestion de projet

Les applications mises en œuvre au CCUB ne partagent et n'exposent pas de données. Si le cas devait se présenter il serait abordé dans cadre d'un projet soumis à la procédure de Sécurité de l'information dans la gestion de projet

Les transferts de fichiers en usage normal se font exclusivement via des connexions SSH. Pour des usages exceptionnels, la Charte des utilisateurs et administrateurs du Centre de Calcul fait obligation d'utiliser des canaux sécurisés.

- A vérifier. L'architecture n'utilise pas de messagerie technique pour des échanges entre systèmes ou applications.

Les filtrages de flux sont mis en œuvre conformément aux mesures a8.22 et a8.23.

- A vérifier avec le diagramme réseau.

- A vérifier, utilisation de DNS en interne.

L'effacement des supports s'effectue selon la Procédure d'effacement sécurisée

La mise au rebut des supports est cadrée par la mesure a7.14.

Les horloges de l'ensemble des systèmes sont synchronisées conformément à la mesure a8.17

- A vérifier avec le diagramme réseau.

L'usage des périphériques amovibles est interdit par la Charte des utilisateurs et administrateurs du Centre de Calcul. La seule exception concerne les bandes de stockage, conservées dans des salles sécurisées au sein du DC.

- Pas trouvé les règles de raccordement d'un matériel au réseau.

Des audits techniques annuels sont planifiés comme indiqué dans la Procédure d'audit

Les utilisateurs des postes de travail constituent l'équipe locale chargée des SI. Ce sont tous des administrateurs formés et gestionnaires de leur propre poste de travail.

Chaque administrateur configure son poste de travail selon ses besoins, dans le respect de la Charte des utilisateurs et administrateurs du Centre de Calcul

Tous les postes de travail sont des portables.

Les administrateurs sont responsables de la sécurité physique de leurs postes de travail conformément à la Charte des utilisateurs et administrateurs du Centre de Calcul. Toutefois le verrouillage physique n'est pas requis. La seule détention du poste de travail, sans accès au VPN de management, ne présente pas de risque significatif.

Didier - Ajouter l'effacement du poste de travail lors de la récupération à la procédure de sortie.

Tous les personnels du CCUB ont une mission d'administrateur justifiant l'attribution d'un compte à privilège.

Didier - Documenter l'attribution de deux comptes à chaque utilisateur, ordinaire pour le fonctionnement usuel et administrateur en cas de besoin.

Tous les personnels du CCUB ont une mission d'administrateur justifiant d'être administrateur local de leur poste.

La recopie d'informations protégées en dehors du bac à sable est interdite par la Charte des utilisateurs et administrateurs du Centre de Calcul

Les données protégées ne sont pas stockées sur les postes de travail.

Les données protégées ne sont pas stockées sur les postes de travail? DONC PAS PARTAG2ES.

Tous les postes de travail sont attribués nominativement.

Le chiffrement des postes de travail est imposé par la Charte des utilisateurs et administrateurs du Centre de Calcul.

Le chiffrement des baies de stockage n'est pas pertinent compte tenu des besoins de performance du calcul.

La Charte des utilisateurs et administrateurs du Centre de Calcul interdit le stockage des informations protégées sur des supports amovibles.

Les supports amovibles nécessaires à l'exploitation sont fournis par le CCUB.

L'accès à distance des administrateurs s'effectue exclusivement par VPN.

Didier - A priori systématiquement présent sur les postes. Interdire la désactivation dans le guide de bonnes pratiques ?

Le stockage d'informations protégées sur les postes de travail est interdit par la Charte des utilisateurs et administrateurs du Centre de Calcul, qui impose le recours au bac à sable.

Didier - A fournir aux admins.

Didier - A discuter

Didier - A discuter, a priori irréaliste et superflu.

En aucun cas les informations protégées ne peuvent être imprimées.

En aucun cas les informations protégées ne peuvent être transmises après numérisation.

La téléphonie n'est pas dans le périmètre du SMSI. En aucun cas les informations protégées ne peuvent être transmises par téléphone.

Sans objet.

Sans objet.

Sans objet.

Didier - Pas forcément une mauvaise idée, en contrepartie de la liberté laissée aux admins.

C'est l'objet de la procédure de Sécurité de l'information dans la gestion de projet

Les développements informatiques ne sont pas sous-traitées (cf. exclusion de a8.30)

La procédure de Sécurité de l'information dans la gestion de projet fait obligation de n'accorder aux nouvelles applications ni droits étendus, ni nouveaux accès réseau. Les éventuels nouveaux flux doivent être identifiés et contrôlés.

L'environnement matériel et logiciel des applications est dicté par la fonction de calculateur haute performance.

Les règles de codage et développement sécurisé sont explicitées dans le guide de bonnes pratiques à l'usage des administrateurs.

La procédure de sécurité de l'information dans la gestion de projet fait obligation d'établir la fiche de sécurité dès le démarrage du projet et d'y consigner les exigences et les vérifications faites.

Le CCUB n'effectue pas de développement d'applications Web.

Les mots de passe sont gérés par les systèmes d'exploitation Linux, qui les conservent sous la forme de hash salés.

Le CCUB n'expose pas d'applications Web, les seuls accès applicatifs se font par SSH et ne peuvent être filtrés par une solution tierce.

Le CCUB s(inscrit dans la chaîne SSI de l'Université de Bourgogne, comme indiqué dans la procédure d'organisation et gouvernance.

Les alertes sont traitées conformément à la procédure de Gestion des vulnérabilités Rémi - Reste à rédiger.

Les étapes de qualification et de traitement des incidents sont décrites dans la procédure de gestion des incidents

La décision de remontée des incidents via la chaîne SSI est prise à l'étape 7 de la procédure de gestion des incidents

Sans objet, le CCUB n'est pas un ministère.

La continuité d'activité en cas de sinistre majeur n'est pas un objectif réaliste pour une infrastructure de calcul massif. Les traitements devraient être transférés vers d'autres centres de calcul.

La résilience sur des sinistres moindres est atteinte par la redondance des actifs (cf. les fiches pour chaque classe d'actifs sensibles) et les sauvegardes (cf. Procédure de sauvegarde)

Les capacités de résilience de l'infrastructure sont suivies au travers des indicateurs de dimensionnement.

Les sauvegardes sont contrôlées périodiquement conformément à la procédure de sauvegarde.

Les capacités de résilience sont mises en œuvre conformément à la procédure de gestion propre à chaque classe d'actifs, ainsi que la procédure de sauvegarde.

Les répliques sont faites sur une salle distante, les sauvegardes sur bande conservées dans un local distant.

Les sauvegardes sont conservées en zone IT, soumise à un accès de niveau 2 selon la procédure de sécurité physique et environnementale.

Les sauvegardes sont testées semestriellement conformément à la procédure de sauvegarde.

Le groupe électrogène est testé mensuellement conformément à la fiche de l'actif sensible groupe électrogène.

Le PCA est entretenu au même titre que l'ensemble des procédures du SMSI.

La conformité à la PSSIE est contrôlée par relecture du présent pointage et le suivi du fonctionnement du SMSI.