Annexe 2 — Matrice de criticité NIS2 des actifs IMEV
1. Méthode d'évaluation
Chaque actif est évalué selon quatre critères :
| Critère | Description |
|---|---|
| Disponibilité | Impact d'une indisponibilité |
| Intégrité | Risque de modification ou corruption |
| Confidentialité | Sensibilité des informations |
| Traçabilité | Besoin d'audit et investigation |
Notation :
| Niveau | Signification |
|---|---|
| 1 | Faible |
| 2 | Modéré |
| 3 | Important |
| 4 | Critique |
2. Matrice de criticité
| Actif | Disponibilité | Intégrité | Confidentialité | Criticité globale |
|---|---|---|---|---|
| Active Directory | 4 | 4 | 3 | Critique |
| LDAP | 4 | 4 | 3 | Critique |
| DNS | 4 | 4 | 2 | Critique |
| Firewall | 4 | 4 | 3 | Critique |
| VxRail | 4 | 4 | 3 | Critique |
| Unity XT | 4 | 4 | 4 | Critique |
| Veeam | 4 | 4 | 4 | Critique |
| VPN | 3 | 4 | 4 | Haute |
| Messagerie | 3 | 3 | 3 | Haute |
| Nextcloud | 3 | 3 | 4 | Haute |
| Serveurs scientifiques | 3 | 4 | 4 | Haute |
| GitLab | 2 | 3 | 3 | Moyenne |
| Postes utilisateurs | 2 | 3 | 3 | Moyenne |
3. Priorisation des mesures de sécurité
Niveau critique
Mesures obligatoires :
- sauvegarde régulière ;
- supervision ;
- journalisation ;
- contrôle d’accès renforcé ;
- MFA si applicable ;
- maintien en condition de sécurité ;
- documentation.
Actifs concernés :
- AD ;
- LDAP ;
- DNS ;
- Unity XT ;
- VxRail ;
- Veeam ;
- Firewall.
Niveau haute
Mesures :
- suivi des mises à jour ;
- contrôle des accès ;
- supervision ;
- sauvegarde adaptée.
Actifs concernés :
- VPN ;
- messagerie ;
- Nextcloud ;
- serveurs scientifiques.
Niveau moyenne
Mesures :
- gestion standard ;
- mise à jour régulière ;
- protection poste.
Actifs concernés :
- postes utilisateurs ;
- services secondaires.
4. Correspondance avec les exigences NIS2
| Exigence NIS2 | Réponse IMEV |
|---|---|
| Gestion des risques | Analyse de criticité des actifs |
| Sécurité des infrastructures | Architecture réseau segmentée |
| Gestion des accès | AD / LDAP / MFA |
| Continuité activité | Sauvegarde Veeam et Acronis + PRA |
| Gestion incidents | Procédure SSI |
| Sécurité fournisseurs | Évaluation services externes |
| Protection données | Classification données |
| Amélioration continue | Revue annuelle SSI |
5. Évolution attendue
Cette cartographie doit être maintenue :
- au minimum annuellement ;
- lors de l’arrivée d’un nouveau service critique ;
- lors d’une évolution majeure d’infrastructure ;
- après un incident significatif.
Responsables :
- SIR : mise à jour technique ;
- CSSI : suivi SSI ;
- Direction : validation des risques.