Sécurité : « la confiance n'exclut pas le contrôle »

La mairie de Beauvais s'est dotée d'une appliance Wallix AdminBastion (Wab) pour authentifier et contrôler les accès administrateurs à son système d'information.

Bien connue pour sa cathédrale - plus haut choeur gothique du monde -, la ville de Beauvais et ses 59 000 administrés entreront-ils dans l'histoire numérique pour la citadelle que le service informatique de sa mairie est en train de mettre en place ? On est tenté de le croire à entendre Frédéric Dupuy, DSI de la mairie de Beauvais, parler du boîtier de traçabilité AdminBastion de l'éditeur français Wallix, déployé en mai 2008 pour surveiller et contrôler les accès de ses administrateurs réseaux et systèmes. Un boîtier qui intervient, selon lui, en renfort du pare-feu déjà installé. Lequel est comparé à un « pont-levis » auquel il convenait d'ajouter une dose d'authentification et de contrôle d'accès pour ceux qui sont amenés à le franchir.

Contrôle des accès

En 2007, la mairie de Beauvais - plus de 70 bâtiments reliés à son réseau et environ 600 postes de travail, dont une majorité sous Linux Mandriva - a lancé un appel d'offres public. Elle a retenu le boîtier AdminBastion de l'éditeur français Wallix.

La direction des systèmes d'information de la municipalité (quatre collaborateurs permanents) entendait se doter d'un outil assurant la traçabilité des interventions effectuées si besoin, explique Frédéric Dupuy. A ceux qui redoutent en interne un effet « big brother », il répond qu'en « cas de problème de sécurité, ils seront bien contents de s'appuyer sur cet outil pour prouver leur bonne foi. » Quant à l'éventualité d'une indélicatesse provenant du fournisseur du boîtier lui-même, il signale qu'« eux aussi ont un contrôle extérieur, ce qui réduit le champ des possibles. »

Installation

Pour le déploiement, passée la phase de « cartographie » des ressources et des accès à sécuriser - plusieurs mois de travail -, le boîtier a été installé en une journée, « installation et transfert de compétences compris. » Il a été positionné « à mi-chemin entre la DMZ [pour « Demilitarized Zone » ou « zone démilitarisée »] et le réseau local », c'est-à-dire dans la zone « entre internet et le réseau purement interne » (une zone qui tend à grossir et où sont situées les applications accessibles en externe comme la messagerie ou le site réservé aux oeuvres sociales).

Côté fonctionnement, la solution AdminBastion - qui permet de gérer des profils, des ressources et de donner des droits aux administrateurs - utilise trois protocoles de connexion pour se connecter aux ressources : SSH (utilisé pour les serveurs Linux par exemple), TSE (pour les serveurs Windows) et Telnet (pour les routeurs ou les commutateurs). Et le service informatique planche aujourd'hui sur une ouverture plus large par le biais de VPN (« Virtual Private Networks » ou « réseaux privés virtuels »).

Christophe Dutheil

A lire aussi :
Gestion des risques : « il faut contrôler les accès des administrateurs réseaux »