Beaucoup de légendes entourent le concept de Diffusion Restreinte alors si vous êtes las des définitions floues et fluctuantes, vous êtes au bon endroit. Nous sommes sans doute nombreux à être passés par là.  

J'avoue que le sujet réveille chez moi de vieux traumatismes de terminologie. Les définitions floues sont une source importante de frustration voire d’une forme d’eczéma intellectuel.  

Pour votre tranquillité d'esprit, mais aussi pour préserver ma santé mentale et dermatologique, je me suis plongée dans les textes juridiques et les publications de l'ANSSI afin de comprendre ce qui se cache réellement derrière le fameux SI DR, de son cadre juridique à sa traduction opérationnelle en passant par les différents types d’architectures.

Prenez une boisson chaude et réconfortante, ça va bien se passer.  

Qu’est-ce qu’un SI DR : ce que disent la loi et l’ANSSI

Un SI DR est un système contenant des informations sensibles portant la mention Diffusion Restreinte. Le mot clé à retenir ici est mention.

Les informations portant la mention DR ne doivent pas être rendues publiques. Elles peuvent être communiquées aux seules personnes ayant le besoin d’en connaître, c’est-à-dire aux personnes ayant une nécessité d’accéder aux informations pour mener à bien des missions qui leur sont confiées dans le cadre de leurs fonctions.

Protéger ses documents sensibles avec la diffusion restreinte

DR vs Classification : qu’est-ce que ça change ?

Les informations sensibles peuvent être protégées par une mention DR ou une classification. La différence entre information DR et une information classifiée ne se joue pas sur la question de la diffusion mais sur celle de pouvoir refuser ou non une demande d’accès émanant d’une administration.

Pour faire simple, la mention DR ne peut, par elle-même, constituer unmotif de refus de cette demande. Le secret des affaires, non plus. La classification, oui.

Deux scénarios

Exemple : Pour les amateurs du Loup de Wall Street, on va prendre l’exempled’une société cotée. Dodulard,poids lourd de la charcuterie, se prépare à racheter un ancien concurrent. L’équipesécu peut décider d’apposer la mention DR sur les documents liés à cetteopération. Plus largement, côté infrastructure, le SI DR de Dodulard hébergeraitles informations financières de l’entreprise et ses opérations.

Dodulard, société privée, pourrait refuser l’accèsde ses documents DR à 90% de ses employés mais pas à l’AMF, sous seul prétexte qu’ils sont marqués DR. Pas plus qu’elle ne pourrait refuser l’accès à laDGCCRF, à la DGFiP, à l’Autorité de la concurrence. Leur pouvoir de contraindre s’impose au-delà de toute question DR.

Changeons de décor. Une journaliste demande l'accèsà un document administratif détenu par un ministère. Ici, l'administration peut s'opposer à la communication ; mais seulement si ce document est protégé parl'un des secrets prévus par la loi (CRPA). La mention DR constitue un indice signalant que le document pourrait relever d'un tel régime de protection. Elle ne suffit cependant pas, à elle seule, à justifier un refus.

Pour résumer : que ce soit une entreprise face à un régulateur ouune administration face à un tiers, la mention DR joue le même rôle limité. Elle sert à limiter la diffusion aux personnes ayant le "besoin d'en connaître" au sein même de l'organisation et en-dehors.Elle ne crée en revanche aucune barrière juridique une fois qu'une demande d'accès légitime est formulée, qu'elle vienne d'un régulateur ou qu'elle soit adressée à une administration. Voilà, on vous le dit ici noir sur blanc, en 4kfull HD.

Note : nous n’aborderons pas ici les niveaux de classification des SI. Mais pour la faire courte : il existe en France deux niveaux de classification “Secret” et“Très Secret”. Fin du mystère.

Le vécu des utilisateurs : le reversde la DR

“On m’a donné un poste sans accès à Internet. Même partager un document, c’est compliqué. C’est pour des raisons de sécurité mais là c’est pluscontraignant qu’autre chose. ” Paroles d’un ingénieur dans l’aéronautique.

Dans certaines organisations critiques, un poste DR c’est parfois l’impossibilité d’installer les outils collaboratifs les plus courants. Partager un document en interne relève alors du véritable défi entre interdiction de connecter des périphériques externes, chiffrement des e-mailset droits aux répertoires.

Pour l’équipe de sécurité informatique la création d’un SI dédié au DRrelève du bon sens et d’une volonté d’adopter les meilleures pratiques pour protéger l’entreprise. Cependant, sa traduction opérationnelle se fait généralement dans la douleur pour les utilisateurs. Pour eux, la Diffusion Restreinte est synonyme de complexité.

En effet, la mention DR s’accompagne d’un certain nombre de critères techniques et d’actions à suivre pour assurer la protection des assets sensibles, parmi lesquels le tant redouté cloisonnement physique des informations DR.

C’est au nom de ce principe, plus communément appelé “air-gap”, que des administrateurs systèmes, automaticiens et bien d’autres furent condamnés à jongler quotidiennement entre plusieurs postes de travail pour accomplir leurs missions.

Chez Dodulard, chaque admin reçoit à son arrivée dans l’entreprise pasmoins de trois PC : un pour l’administration, un pour le DR, un pour labureautique. Bienvenue.

Réduire le nombre de postes : un poste multi-environnements ?

Face au casse-tête du multi-PC,  le poste multi-environnements (MEWs) suscite un intérêt croissant. L'idée est simple sur le papier : faire cohabiter plusieurs environnements non-classifiés, avec des niveaux desensibilité différents, sur un seul et même poste de travail. Du NP et du DR,parfaitement isolés l'un de l'autre, sur un seul PC. Fini la valse des troisécrans sur le bureau de nos administrateurs système chez Dodulard.

Dans son récent guide relatif à la sécurisation des postes de travail multi-environnements, l'ANSSI reconnaît la possibilité d'utiliser ce type deposte pour héberger des environnements NP et DR, sous réserve du respect desprincipes de sécurité renforcés et des recommandations exigeantes qu'ellepréconise. Concrètement, ce type d'architecture repose sur trois piliers :

Isolation logique

·       Une VM dédiée pourchaque domaine d'usage

·       Un contrôle strict desflux réseau (pare-feu, segmentation)

·       Un VPN non-contournable,lié à chaque environnement

Socle de sécurité durci

- Secure Boot / MeasuredBoot
- Un composant de sécuritéphysique mettant en œuvre un Root of Trust
- Une base de calcul deconfiance (TCB) minimale et maîtrisée

Sécurité opérationnelle

- Chiffrement complet etprotection des secrets

- Journalisation segmentéepar environnement

La virtualisation a longtemps porté tous les espoirs de cette architecture. Dans les faits, les solutions traditionnellesont surtout suscité de la déception : pas assez scalables, trop dépendantesd'une connexion internet stable, ou tout simplement pas assez performantes pourdes usages métier exigeants.

Les limites des hyperviseurs classiques pour le DR

Le problème des solutions de virtualisation traditionnelles ne tient pasqu'à des questions de confort. Il est structurel.

Première faiblesse : une interaction mal contrôlée entre les VMelles-mêmes, mais aussi entre chaque VM et l'hôte. Plus les environnementsse parlent sans contrôle strict, plus la surface d'attaque s'élargit,exactement l'inverse de ce que recherche une architecture DR.

Deuxième faiblesse, plus insidieuse : la vulnérabilité aux attaques parcanaux auxiliaires. La plupart des plateformes de virtualisation allouent dynamiquement CPU et mémoire aux VM selon la demande en temps réel. Hélas,cette réallocation dynamique crée de la charge à chaque changement, dégrade laprévisibilité des performances, et surtout génère des signaux temporels que des attaquants peuvent exploiter pour percer l'isolation entre VM.

À cela s'ajoute le risque d'attaques VM-to-hypervisor. Quand hyperviseur etVM se partagent les mêmes cœurs CPU, des données peuvent fuiter via le cacherésiduel ou le prédicteur de branchement. De quoi ouvrir la voie à des évasions de VM, qu'elles soient inter-VM ou VM-vers-hyperviseur.

Prenons Hyper-V, puisqu'il reste une référence largement déployée : son isolation dépend en grande partie de l'intégrité de la partition racine, qui fait tourner Windows et gère les pilotes pour l'ensemble des VM. Autrement dit, la robustesse de toute l'architecture repose sur un socle Windows. C’est un point qui mérite d'être posé sur la table avant de faire reposer unearchitecture DR dessus.

Ces faiblesses se retrouvent également dans le VDI, puisque celui-cis'appuie généralement sur ces mêmes hyperviseurs (Hyper-V, VMware) côté serveur: il en hérite les limites d'isolation sans les corriger, et y ajoute sa propre dépendance à la qualité du réseau synonyme de latence pour l'utilisateur final. Pas de chance pour les équipes de maintenance opérant à distance !

Ainsi, si le VDI peut être utilisé pour bâtir un poste multi-environnement,ce n'est qu'à titre de mesure compensatoire, généralement perçue comme moinsrobuste sur le plan de la sécurité. L'ANSSI recommande plutôt, en option de référence, un poste de travail multi-environnement à hébergement local.

Le cadre réglementaire ne va pas dans le sens de l'indulgence en matière desécurité. À l'heure où les équipes de sécurité IT cherchent un modèle qui allieenfin isolation stricte et efficacité opérationnelle, de nouvelles approches émergent comme des alternatives fiables au VDI ou au DaaS. Certaines d'entreelles s'appuient sur des hyperviseurs de type 1, dits bare-metal, permettant un cloisonnement au niveau de la couche matérielle et un hébergement local des données.  

‍

Conclusion

Voilà, la boisson chaude a eu le temps de refroidir, mais le constat est là: la reconnaissance par l'ANSSI du poste multi-environnement pour lesarchitectures NP/NP, NP/DR et même DR/DR est un des signaux du changement deparadigme.

Elle révèle une vraie friction entre les exigences de sécurité, leur traduction opérationnelle, et les besoins réels des utilisateurs. Chez Kerys,on le voit aussi. Il y a non seulement un engouement croissant pour lecloisonnement, mais un souci réel, chez les équipes IT, de l'expérienceutilisateur.

Elles ont compris que, detoute façon, si leur solution échoue à convaincre les utilisateurs finaux, ces derniers chercheront une alternative  plus ou moins risquée. Le poste multi-environnement répond justement à cette problématique. Et les architectures bare-metal, elles, commencent à transformer ce rêve en option crédible. Notrehyperviseur de type 1, YS::Desktop, tient déjà ses promesses au sein d'organisations critiques.

‍

Contactez-nous pour voir comment on peut traduire l’équation isolation stricte + confort utilisateur sur votre terrain.