Publicité en cours de chargement...

Publicité en cours de chargement...

Publicité en cours de chargement...

GHT : stratégie de convergence SSI, partie II

20 mars 2018 - 08:56,
Tribune - Cédric Cartau
Dans un précédent article(1), nous traitions des stratégies de convergence SSI au sein d’un GHT s’appuyant sur le triptyque audit/appréciation des risques/suivi des actions et, en premier lieu, de l’audit, en décrivant un outil très simple (PingCastle) qui permet d’évaluer le niveau de protection de l’AD.  

Démarrer par les audits permet, a minima, de se faire une idée des niveaux de maturité respectifs de chaque établissement. Commencer par utiliser des outils simples et pas chers – voire gratuits – n’obère en rien la qualité des résultats obtenus. Selon nous, si on devait faire un choix sur les cibles à auditer en priorité, il y aurait bien entendu l’AD tel qu’évoqué ci-dessus, mais on pourrait ajouter au moins deux domaines techniques : le niveau de protection périmétrique et le niveau de maîtrise du parc d’actifs IP.

Le niveau de protection périmétrique fait référence à deux items : la protection périmétrique à proprement parler (pare-feu, robustesse de l’architecture, etc.) et les vulnérabilités exposées (équipements patchés, configuration des serveurs Web, etc.). Les produits du marché qui répondent à ce besoin (par exemple IKare de la société ITrust) affichent des tarifs catalogue aux environ de 100 euros par adresse IP auditée et par an. Même pour un CHU exposant 100 IP, la facture est tout à fait raisonnable, d’autant que ces produits permettent de réaliser autant de scans que souhaité. Faire une telle économie de bouts de chandelle, à l’heure des GHT, relève tout simplement de l’inconscience aiguë. Certes, on n’évitera pas les audits d’architecture, mais il peut être opportun de les accoler aux projets de renouvellement de l’infrastructure.

Pour ce qui concerne enfin le niveau de maîtrise du parc d’actifs IP (ce qui englobe absolument tout ce qui est connecté au réseau, que ce soit en filaire ou en wifi, qu’il s’agisse de matériels acquis et maintenus par la DSI ou non, de PC ou pas), l’expérience montre que les DSI se rangent en deux catégories : celles qui sont mauvaises, et celles qui sont très mauvaises. Si vous voulez vous en convaincre, demandez donc à votre DSI de vous produire le delta entre la totalité des actifs IP sur le LAN et le parc connu de la DSI : sans même parler d’interdire la connexion des actifs non maîtrisés (BYOD sauvage), encore faudrait-il dans un premier temps les mesurer… Cette mesure peut être réalisée avec des outils très simples de gestion de parc : Nmap, SCCM, AD, etc. La production de listes sous format tableur et leur fusion, le tout par script, est du niveau licence L1 ou L2.

Pourquoi ces trois types d’audit ? Parce qu’ils sont faciles à mettre en œuvre et permettent de se faire rapidement une idée du niveau de maturité des établissements d’un GHT où, en fonction de la taille, de l’histoire et des budgets, on trouve des situations très diverses. 

Si quelqu’un a une meilleure idée…


(1) /article/2873/ght-strategie-de-convergence-ssi-partie-i.html 

Avez-vous apprécié ce contenu ?

A lire également.

Refuser de donner son mot de passe lors d’un arrêt maladie serait seulement un problème de désobéissance ? Bullshit.

22 sept. 2025 - 22:16,

Tribune

-
Cédric Cartau

Vous l’avez certainement vu passer, cet article [1] d’acteurspublic.fr qui commente la décision d’un tribunal administratif et qui affirme que « Refuser de donner son mot de passe lors d’un arrêt maladie peut être assimilé à de la désobéissance ». Sauf que l’histoire est un tantinet plus complexe e...

Regonfler un pneu ou s’attaquer à la root cause : vision 27001 de la mise sous contrainte

15 sept. 2025 - 22:20,

Tribune

-
Cédric Cartau

Imaginez un peu la scène : vous êtes dans votre jardin en train de tailler vos rosiers, et par-dessus la clôture vous apercevez votre voisin que vous saluez chaleureusement. Vous en profitez pour le prévenir que le pneu arrière gauche de sa voiture, garée dans son allée et que vous voyez très bien d...

Illustration Dedalus France : une nouvelle étape dans la trajectoire de transformation

Dedalus France : une nouvelle étape dans la trajectoire de transformation

24 juin 2025 - 07:50,

Actualité

- DSIH

Dedalus France annonce le départ de Frédéric Vaillant, Directeur Général Délégué, au 30 juin 2025, après plus de 25 ans d’engagement. Fondateur de Medasys, acteur central des grandes étapes de structuration de l’entreprise, il a contribué à façonner Dedalus France comme acteur majeur du numérique en...

Illustration HLTH 2025, un Salon sous le signe de l’innovation distribuée

HLTH 2025, un Salon sous le signe de l’innovation distribuée

23 juin 2025 - 21:18,

Actualité

- DSIH, Mehdi Lebranchu

HLTH Europe 2025, qui s’est tenu cette année à Amsterdam, a offert un panorama dense et incarné de l’écosystème européen de la santé numérique. Le Salon a rassemblé géants technologiques, institutions publiques, start-up prometteuses et hôpitaux à la recherche de nouveaux modèles de collaboration. U...

Lettre d'information.

Ne manquez rien de la e-santé et des systèmes d’informations hospitaliers !

Inscrivez-vous à notre lettre d’information hebdomadaire.