Gestion de la Configuration et des Changements

Configuration Management : CMDB et baselines de sécurité

La CMDB (Configuration Management Database) est le référentiel central des éléments de configuration (CI) du SI : serveurs, workstations, équipements réseau, applications, services cloud, leurs versions, paramètres, et interdépendances. La CMDB alimente les processus ITSM (gestion des incidents, problèmes, changements) et la sécurité (identification des actifs dans le périmètre PCI-DSS, scope NIS2, analyse d'impact des vulnérabilités).

Les baselines de sécurité (configuration standards) définissent les paramètres de sécurité minimaux pour chaque type d'équipement : CIS Benchmarks (Windows, Linux, macOS, navigateurs, cloud), guides ANSSI (durcissement des systèmes Windows, Linux), ou standards propriétaires définis par l'organisation. La vérification continue de la conformité à ces baselines (via des outils comme CIS-CAT, Lynis, Scout Suite pour le cloud) permet de détecter les dérives de configuration.

Change Management : processus et CAB

Le processus de gestion des changements couvre : (1) Classification — changement standard (préapprouvé, procédure documentée), normal (évalué par le CAB), ou urgent (procédure d'urgence avec approbation réduite) ; (2) Évaluation d'impact — risque pour la disponibilité, risque pour la sécurité, ressources nécessaires, plan de rollback ; (3) Approbation — CAB (pour les changements normaux) ou Emergency CAB (pour les urgences) ; (4) Implémentation — avec fenêtre de maintenance définie et procédure de rollback prête ; (5) Validation post-changement et clôture.

Les changements non autorisés (unauthorized changes) sont une source fréquente d'incidents de sécurité et de non-conformité. Les contrôles pour les prévenir incluent : processus Change Management formalisé et respecté, séparation des environnements (développement/test/production), contrôle d'accès aux environnements de production, logs des changements avec traçabilité de qui a fait quoi et quand, et surveillance des dérives de configuration (alertes en temps réel sur les modifications non autorisées).

Infrastructure as Code et DevOps

L'Infrastructure as Code (IaC) transforme la gestion de la configuration : Terraform (infrastructure cloud multi-provider), Ansible (configuration des serveurs), CloudFormation (AWS spécifique), Bicep (Azure spécifique). Ces outils définissent l'état souhaité de l'infrastructure sous forme de code versionné dans Git, permettant de déployer des configurations cohérentes, de détecter et corriger automatiquement les dérives, et d'auditer l'historique de tous les changements.

Des outils comme Terrascan, Checkov, ou KICS (Keeping Infrastructure as Code Secure) analysent statiquement le code IaC pour détecter les misconfigurations de sécurité avant le déploiement (shift-left sur la sécurité des configurations). Cette approche DevSecOps intègre la sécurité de la configuration dans le pipeline CI/CD, réduisant le délai entre la création d'une misconfiguration et sa détection/correction.