Renforcer les mesures de sécurité appliquées aux serveurs.
La sécurité des serveurs doit être une priorité car ils centralisent un grand nombre de données.
Les précautions élémentaires
Limiter l’accès aux outils et interfaces d’administration aux seules personnes habilitées.
Utiliser des comptes de moindres privilèges pour les opérations courantes.
Adopter une politique spécifique de mots de passe pour les administrateurs. Changer les mots de passe, au moins, lors de chaque départ d’un administrateur et en cas de suspicion de compromission.
Installer les mises à jour critiques sans délai que ce soit pour les systèmes d’exploitation ou pour les applications, en programmant une vérification automatique hebdomadaire
En matière d’administration de bases de données :
- utiliser des comptes nominatifs pour l’accès aux bases de données et créer des comptes spécifiques à chaque application ;
- mettre en œuvre des mesures contre les attaques par injection de code SQL, de scripts, etc.
Effectuer des sauvegardes et les vérifier régulièrement.
Mettre en œuvre le protocole TLS (en remplacement de SSL), ou un protocole assurant le chiffrement et l’authentification, au minimum pour tout échange de données sur internet et vérifier sa bonne mise en œuvre par des outils appropriés. (Pour le protocole TLS)
Ce qu’il ne faut pas faire
- Utiliser des services non sécurisés (authentification en clair, flux en clair, etc.).
- Utiliser pour d’autres fonctions les serveurs hébergeant les bases de données, notamment pour naviguer sur des sites web, accéder à la messagerie électronique, etc.
- Placer les bases de données sur un serveur directement accessible depuis Internet.
- Utiliser des comptes utilisateurs génériques (c’est-à-dire partagés entre plusieurs utilisateurs).
Pour aller plus loin
- La recommandation de la CNIL sur les mots de passe liste les bonnes pratiques à respecter.
- Tout système traitant des données sensibles doit être mis en œuvre dans un environnement dédié (isolé).
- Les opérations d’administration des serveurs devraient se faire via un réseau dédié et isolé, accessible après une authentification forte et avec une traçabilité renforcé
- S’agissant des logiciels s’exécutant sur des serveurs, il est conseillé d’utiliser des outils de détection des vulnérabilités pour les traitements les plus critiques afin de détecter d’éventuelles failles de sécurité. Des systèmes de détection et prévention des attaques sur des systèmes ou serveurs critiques peuvent aussi être utilisé
- Restreindre ou interdire l’accès physique et logique aux ports de diagnostic et de configuration à distance.
- L’ANSSI a publié sur son site diverses recommandations parmi lesquelles la sécurisation de l’administration des systèmes d’information Cf RGPD-Annexe9.pdf et les bonnes pratiques en matière de sécurisation de l’annuaire central Active Directory Cf RGPD-Annexe10.pdf.