Publicité en cours de chargement...
GHT : stratégie de convergence SSI, partie I
En revanche, quid de la sécurité des SI ? On conçoit facilement que si le SI converge, c’est que la SSI doit elle aussi s’aligner. Pas question de mettre à disposition de plusieurs établissements le même DPI si certains d’entre eux ne maîtrisent pas les identifiants des utilisateurs : présence de logins génériques, incapacité à s’assurer que les personnes ayant quitté l’établissement ont leurs accès verrouillés, etc.
Le nerf de la guerre, dans une démarche SSI structurée tout bien comme il faut, c’est le triptyque appréciation des risques/suivi des actions/audit. Intéressons-nous aux audits puisqu’ils constituent un bon moyen à la fois de mesurer, de communiquer et d’alimenter les deux autres volets de la démarche.
Ce qu’il ne faut pas faire : lancer des audits mégalos, le genre qui vous consomme des dizaines de journées de consultant externe, au moins autant en interne (car les consultants ne travaillent pas ex nihilo) et vous produisent des rapports de 200 pages inexploitables. Mauvaise stratégie.
Ce qu’il faut faire : pratiquer la pingrerie comme un art, doublée d’une fainéantise terrible sur le périmètre à couvrir, la taille du rapport et la liste des mesures correctives. Par exemple, dans le genre des outils que j’adore, je ne saurais trop conseiller PingCastle (https://www.pingcastle.com) pour auditer un AD. Un utilitaire à installer sur un PC banalisé, un compte de connexion sans privilèges particuliers, et quelques minutes plus tard vous avez un joli petit rapport (avec des camemberts en couleurs tout mignons, oui madame) listant les plus grosses vulnérabilités de votre AD (si vous croyez que votre AD est propre, vous croyez aussi que Casimir a vraiment existé et que les filles naissent dans les choux et les garçons dans les roses – ou l’inverse). À partir de là, il « suffit » (!!!) de prendre les 20 % des vulnérabilités les plus criantes, de les corriger… et de recommencer le mois suivant.
Pour qui veut s’en donner la peine, le Web regorge d’outils du même tonneau, auxquels on pourra trouver certes tous les défauts du monde (comme celui, par exemple, de ne pas être au catalogue des grands cabinets d’audit), mais quand ces outils ne remonteront plus rien sur nos infras, c’est que l’on aura franchi un cap, que dis-je, une péninsule.
La montée en maturité de la SSI d’un GHT passe nécessairement par une stratégie comme celle-ci : il va être impensable de consommer autant de jours payants par établissement que compte un GHT, pour autant d’audits, pour autant de mesures, sans ETP supplémentaires pour gérer le tout et encore moins les budgets, qui sinon risquent d’exploser.
Avez-vous apprécié ce contenu ?
A lire également.

Données de santé et intelligence artificielle : la France lance sa stratégie nationale pour accélérer l’innovation en santé
07 juil. 2025 - 23:57,
Actualité
- DSIHLe ministre chargé de la Santé et de l’Accès aux soins, Yannick Neuder, a réuni ce 1er juillet un Comité stratégique exceptionnel pour présenter les premières étapes de la stratégie nationale sur l’intelligence artificielle (IA) et l’utilisation secondaire des données de santé. Objectif : structurer...

Ce qu’il fallait retenir de l’édition 2025 du congrès APSSIS
01 juil. 2025 - 00:00,
Actualité
- DSIHLa 13ᵉ édition du congrès APSSIS, qui s’est tenue en juin 2025, a une nouvelle fois confirmé sa place centrale dans l’écosystème de la cybersécurité en santé. Au fil de trois jours de conférences, de débats et de rencontres, RSSI, DPO, DSI, juristes et institutionnels ont croisé leurs expertises pou...

Le 8ème opus des guides cyber-résilience de l’APSSIS est en ligne !
30 juin 2025 - 20:50,
Communiqué
- APSSISL’APSSIS a le plaisir d’annoncer la publication du 8ème opus des Guides Cyber-résilience à destination des professionnels du secteur. Conçus et élaborés par Cédric Cartau, ces guides se veulent à la fois accessibles, techniques et pratiques.
La cyber et les sacs de luxe
30 juin 2025 - 20:44,
Tribune
-C’est la fin du premier semestre, il est temps de faire un bilan à mi-course de l’année 2025. Et il s’en est passé, des choses, pas forcément douces et roses.