Postes de travail multi-environnements : enjeux, exigences et bonnes pratiques

Un poste de travail multi-environnements peut héberger localement et de manière sécurisée un ou plusieurs environnements de Diffusion Restreinte, sans recourir à des modèles de segmentation lourds tels que l'isolement physique. Dans ses recommandations, l'ANSSI formalise un modèle attendu par de nombreuses organisations publiques et privées : une isolation forte sans friction pour l'utilisateur final.

‍

Qu'est-ce qu'un poste de travail multi-environnements ?

Un poste de travail multi-environnements est un terminal mono-utilisateur conçu pour héberger et isoler deux systèmes d'information (ou environnements) ou plus sur une même machine physique.

Il permet à un utilisateur d'exploiter plusieurs environnements distincts (par exemple, un environnement de bureautique et un environnement d'administration) sur un seul poste de travail physique tout en maintenant une isolation forte.

‍

Quelles sont les exigences pour un poste de travail multi-environnements ?

Un poste de travail multi-environnements repose sur plusieurs principes de sécurité fondamentaux :

- Isolation logique

• Machine virtuelle dédiée pour chaque domaine d'usage

• Contrôle strict des flux réseau (pare-feu, segmentation)

• VPN inévitable lié à chaque environnement

- Socle de sécurité durci

• Secure Boot / Measured Boot

• TPM comme racine de confiance matérielle

• TCB (Trusted Computing Base) minimale et contrôlée

- Sécurité opérationnelle

• Chiffrement complet et protection des secrets

• Journalisation cloisonnée

• Contrôle strict des communications inter-domaines (par exemple, diode de données unidirectionnelle)

‍

Pourquoi le document de l'ANSSI sur les postes de travail multi-environnements est-il important ?

Le document de l'ANSSI est significatif car il reconnaît les limites des modèles traditionnels qui entravent souvent la mobilité et créent des frictions opérationnelles. Dans ses recommandations, l'ANSSI souligne plusieurs problèmes récurrents :

• Le paradoxe de la mobilité : Lorsque les environnements présentent des niveaux de sensibilité hétérogènes, la séparation physique demeure le modèle de référence en matière de sécurité... mais elle entre souvent en conflit avec les besoins de mobilité, les coûts et l'empreinte environnementale.

• Les approches traditionnelles (VDI strict, postes de travail doubles, salles sécurisées) entrent de plus en plus en conflit avec les exigences d'usage modernes.

• Les mesures de sécurité conventionnelles introduisent souvent de lourdes frictions opérationnelles : authentifications multiples, machines dédiées, mise en réseau restrictive, mobilité limitée, etc.

Les postes de travail multi-environnements (MEW) offrent une alternative pragmatique qui préserve l'isolation sans alourdir la charge pour l'utilisateur final. L'ANSSI propose donc un cadre robuste pour la conception de postes de travail multi-environnements sécurisés, en parfaite adéquation avec ce que nous développons chez KERYS Software depuis 2024.

‍

Quels sont les avantages d'un poste de travail multi-environnements ?

Le poste de travail multi-environnements adopte une approche réaliste de l'isolation qui réduit la surface d'attaque sans augmenter considérablement les coûts ou la complexité opérationnelle.

‍

Comment mettre en œuvre un poste de travail multi-environnements ?

Pour déployer des postes de travail multi-environnements, les organisations doivent s'appuyer sur des solutions répondant aux exigences techniques de l'ANSSI.
Le socle de sécurité doit correspondre au domaine le plus sensible, maintenir une isolation stricte même lorsque les environnements partagent un même niveau de sensibilité, et ne permettre les communications inter-domaines que via des mécanismes autorisés et contrôlés. KERYS Software soutient cette approche avec son hyperviseur de type 1, offrant une isolation complète sans dégrader l'expérience utilisateur.

‍

Quelle est la différence entre les informations classifiées et non classifiées ?

En droit français, la distinction entre classifié et non classifié se rapporte au niveau de confidentialité des informations ou des supports. Les informations classifiées sont des éléments dont la divulgation ou l'accès pourrait nuire à la défense nationale ou à la sécurité.

Il existe deux niveaux d'informations classifiées : Secret et Très Secret.
« Le niveau Secret protège les informations et supports dont la divulgation ou l'accès pourrait nuire à la défense nationale et à la sécurité. Le niveau Très Secret protège ceux dont la divulgation ou l'accès aurait des conséquences exceptionnellement graves. » (Instruction Générale Interministérielle n° 1300)

La mention française « Diffusion Restreinte » n'est pas un niveau de classification mais une désignation de sensibilité.

‍

Quelle est la différence entre les postes de travail multi-niveaux et multi-environnements ?

Les postes de travail multi-niveaux et multi-environnements permettent tous deux l'exécution de plusieurs environnements sur le même appareil physique. La différence réside dans la nature de ces environnements.

Un poste de travail multi-niveaux héberge des environnements ayant des niveaux de classification différents (par exemple, Classifié / Non classifié). Un poste de travail multi-environnements héberge des environnements techniques distincts, tous non classifiés (par exemple, NP/NP, NP/DR, DR/DR).

Par conséquent, un poste de travail multi-environnements peut héberger plus de deux environnements cloisonnés, tandis qu'un poste de travail multi-niveaux n'en héberge généralement que deux.

‍

La VDI peut-elle être utilisée pour construire un poste de travail multi-environnements ?

Certes, mais l'utilisation d'une VDI pour concevoir un poste multi-environnements peut entraîner une dégradation des performances.
Concrètement, en l'absence de séparation physique des postes de travail, l'option privilégiée consiste à utiliser un poste multi-environnements permettant l'hébergement local des données. Toutefois, si l'hébergement local des machines virtuelles sur un seul poste physique n'est pas réalisable, une solution de repli, bien que moins sécurisée, peut consister à s'appuyer sur une solution d'accès à distance, telle que la VDI.

Guide complet de l'ANSSI sur les postes de travail multi-environnements