Check-list de Sécurité IT en 20 Points & Souveraineté Numérique
Matrice de spécification
Exigences d'ingénierie fondamentales
- ›Zéro port d'administration ouvert sur l'internet public : tout accès d'administration doit transiter par WireGuard avec mTLS.
- ›Les données au repos doivent être chiffrées en AES-256-GCM avec des clés isolées par client hébergées au Maroc.
- ›Les charges conteneurisées en production doivent s'exécuter sans privilèges root avec des systèmes de fichiers en lecture seule.
- ›Les trunks SIP téléphoniques doivent imposer un filtrage IP strict des opérateurs pour éliminer la fraude aux télécoms et le piratage SIP.
1. Défense réseau et périmètre : 5 règles incontournables
Le périmètre des systèmes télécoms et IA en production doit appliquer une politique Zero-Trust avec rejet par défaut. Règle 1 : Bloquer tout le trafic entrant par défaut avec `nftables` ou des filtres eBPF. Règle 2 : Aucun port SSH public ; les accès d'administration s'effectuent exclusivement via un tunnel WireGuard avec authentification mTLS. Règle 3 : Liste blanche stricte des adresses IP des trunks SIP opérateurs (Maroc Telecom, Orange, Inwi). Règle 4 : Limitation de débit sur les paquets SIP INVITE avec Kamailio pour bloquer les attaques DDoS. Règle 5 : Cloisonnement réseau étanche entre les serveurs audio et les bases de données internes.
# Production Linux nftables Default-Deny Firewall Configuration (/etc/nftables.conf)
table inet filter {
chain input {
type filter hook input priority 0; policy drop;
# Allow established and related connections
ct state established,related accept
# Loopback interface
iif "lo" accept
# WireGuard VPN administration port only
udp dport 51820 accept
# SIP Signaling & Media strictly from Carrier SBC Whitelist
ip saddr { 196.200.0.0/19, 105.159.0.0/18 } udp dport { 5060, 5061, 10000-20000 } accept
# Log and drop everything else
log prefix "SECURITY_DROP: " drop
}
}2. Souveraineté des données et cryptographie : 5 contrôles de stockage
La sécurité du stockage exige un cloisonnement cryptographique complet. Règle 6 : Chiffrement intégral des disques (FDE) avec LUKS2 et AES-256-XTS sur tous les nœuds de calcul. Règle 7 : Chiffrement des colonnes de base de données (pgcrypto) pour les données sensibles (CIN, téléphones, adresses). Règle 8 : Traitement audio éphémère en mémoire vive ; les tampons audio sont effacés dès la fin de l'appel sauf accord explicite de l'appelant. Règle 9 : Sauvegardes chiffrées quotidiennes automatiques (clés GPG asymétriques) répliquées sur des datacenters Tier-III au Maroc. Règle 10 : Anonymisation automatique des données personnelles dans les journaux de transcription.
3. Durcissement des applications et des hôtes : 5 contrôles d'exécution
La sécurisation de l'environnement d'exécution prévient toute évasion de conteneur et élévation de privilèges. Règle 11 : Les conteneurs de production doivent tourner avec un utilisateur rootless sans privilèges (`user: 10001:10001`). Règle 12 : Système de fichiers racine en lecture seule (`read_only: true`) avec montages tmpfs éphémères. Règle 13 : Révocation de toutes les capacités Linux (`cap_drop: [ALL]`), en n'autorisant que le strict nécessaire comme `CAP_NET_BIND_SERVICE`. Règle 14 : Restriction des appels système via des profils AppArmor et seccomp stricts. Règle 15 : Zéro mot de passe en clair dans les dépôts git ; tous les secrets sont injectés via HashiCorp Vault ou des identifiants chiffrés systemd.
4. Gouvernance, pistes d'audit et réponse aux incidents : 5 contrôles de traçabilité
Le maintien d'une traçabilité irréprochable est indispensable pour la conformité réglementaire. Règle 16 : Journaux d'audit immuables avec chaînage cryptographique SHA-256 résistant aux falsifications. Règle 17 : Alertes d'anomalies en temps réel via Prometheus/Grafana sur les volumes d'appels anormaux ou les durées inhabituelles. Règle 18 : Double contrôle obligatoire pour tout export de base de données de production. Règle 19 : Interrupteur d'urgence automatisé coupant les liaisons SIP opérateurs en moins de 2 secondes en cas d'intrusion confirmée. Règle 20 : Audit de pénétration annuel tiers et certification officielle de conformité CNDP Loi 09-08.
| Domaine de Sécurité | Commande / Artefact de Contrôle | Niveau de Risque | Critère de Validation |
|---|---|---|---|
| Périmètre Réseau | nmap -sS -p- <ip-serveur> | Critique (P0) | Zéro port public ouvert (Seul WireGuard autorisé) |
| Sécurité du Transport | testssl.sh sip.vext.ma:5061 | Critique (P0) | Score A+ (TLS 1.3 strict, SRTP actif) |
| Durcissement des Hôtes | apparmor_status && docker ps --quiet | Élevé (P1) | Tous les conteneurs rootless en lecture seule |
| Stockage en Base | SELECT * FROM pg_tables WHERE schemaname='public' | Élevé (P1) | Toutes les colonnes sensibles chiffrées AES-256 |
| Intégrité des Journaux | vext-verify-audit-chain /var/log/audit.log | Critique (P0) | Chaîne SHA-256 continue sans rupture |
Questions fréquentes sur la norme
Besoin d'un accompagnement sur cette norme ?
Échangez directement avec nos ingénieurs système à Casablanca.