NIS 2 : L’urgence d’une sécurité DNS renforcée

La directive NIS 2 élève les exigences en matière de sécurité réseau et transforme le paysage de la cybersécurité en Europe.

 

Tribune – Depuis le 17 octobre 2024, les réglementations NIS 2 de l’UE sont désormais applicables dans tous les États membres. Ces nouvelles règles imposent aux entreprises des exigences renforcées en matière de cyber-résilience et de pratiques de sécurité internes.

 

Avec l’adoption du règlement d’exécution de NIS 2, les entités concernées doivent désormais se conformer à des normes technologiques précises, en particulier en matière de sécurité DNS, comme le stipule l’article 6(7) de la directive. Cette exigence est cruciale pour les professionnels du droit, de la conformité et de la cybersécurité.

Les exigences du règlement d’exécution en matière de sécurité DNS sont particulièrement pertinentes pour les professionnels du droit, de la conformité et de la cybersécurité travaillant pour des entités soumises à NIS 2. L’article 6(7) du règlement stipule que « les entités concernées doivent appliquer les meilleures pratiques en matière de sécurité du DNS« .

 

L’Agence européenne pour la cybersécurité (ENISA) travaille à définir les meilleures pratiques en matière de sécurité DNS.

 

Infoblox, leader des services de réseau et de sécurité dans le cloud, propose des solutions DNS et de sécurité DNS depuis plus de 25 ans et a réalisé d’innombrables évaluations de la santé et de la sécurité du DNS dans des organisations du monde entier. 

Selon Infoblox, les meilleures pratiques se concentreront sur trois domaines clés :

Vous trouverez plus de détails dans cet article de blog. 

Dans un contexte où la sécurité numérique est devenue un enjeu majeur, la nouvelle directive NIS 2, qui a pour objectif de renforcer la cybersécurité au sein de l’UE, représente un tournant décisif. Son entrée en vigueur nécessite de mettre en place des solutions modernes qui ne pourront être déployées que sur les fondements d’une politique cryptographique ad hoc. En effet, sans certificat rien ne peut fonctionner. Keyfactor, la solution de sécurité « identity-first » pour les entreprises, livre les 4 étapes essentielles pour répondre aux exigences de gouvernance centralisée et d’auditabilité de NIS 2 :

• Étape 1 : auditer l’existant

NIS 2 exige des entreprises de connaître, maîtriser et contrôler tous les certificats détenus au sein de leurs systèmes afin d’être à même de faire un reporting clair et détaillé en cas de cyberattaque.

Les entreprises doivent donc commencer par faire l’inventaire en temps réel et de façon exhaustive de la globalité de leurs assets cryptographiques (nombre, validité, emplacement, usage…) afin de s’assurer que tout est identifié et conforme à la directive.

• Étape 2 : s’assurer que la PKI est adaptée

Le recours à des technologies modernes de PKI – qui garantissent une politique de cryptographie forte basée sur des certificats – est indispensable afin d’assurer l’authentification systématique des identités et des machines et d’adopter une stratégie multi-facteurs. Pour ce faire, il est essentiel d’implémenter une PKI ou de vérifier que celle en place répond à un cadre de gouvernance cryptographique centralisée sur des systèmes hétérogènes.

• Étape 3 : déployer une politique de signature

Lors des dernières cyberattaques, les hackers ont traqué les clés de signature mal sécurisées afin de pouvoir signer des malwares parfaitement authentiques. Pour éviter cette situation, il est recommandé de déployer des politiques dédiées, en définissant les autorisations d’utilisation des clés en fonction des utilisateurs, des groupes, des appareils, de l’heure et du lieu ou de l’outil de signature.

• Étape 4 : Introduire une automatisation du cycle de vie des certificats

L’automatisation de la gestion des certificats permet d’éviter les pannes et d’assurer la continuité des activités. Les équipes peuvent ainsi conserver une visibilité sur les certificats une fois émis et les remplacer facilement s’ils arrivent à expiration ou s’ils ne sont plus fiables.

Une approche zero-trust, des mises à jour logicielles régulières, la gestion des risques, la gestion de l’identité et de l’accès, la signature de code, l’authenticité des logs d’audits, … toutes ces mesures reposent sur une PKI et une gestion appropriée des certificats. La mise en place d’une politique cryptographique forte est donc une étape indispensable, voire obligatoire, pour se mettre en conformité avec NIS 2.