Cas 6. Méridienne : un environnement régulé sous audit externe

Contexte

La Banque Méridienne est un établissement de taille moyenne soumis à des exigences prudentielles et à un audit externe annuel. Son système d'information héberge des données de clients, et toute défaillance de traçabilité constitue en soi un constat d'audit, indépendamment de ses conséquences. L'établissement dispose de moyens : le budget n'est pas la contrainte principale, la démonstrabilité l'est.

Contraintes

Séparation stricte des rôles : celui qui administre ne doit pas pouvoir effacer les traces de son administration, et celui qui audite ne doit pas pouvoir administrer. Double validation exigée pour les opérations sensibles. Conservation des journaux sur sept ans, avec garantie d'intégrité. Preuve de la maîtrise des clés cryptographiques, module matériel attendu par le régulateur.

Et une exigence transversale qui structure tout le reste : chaque contrôle doit être démontrable, ce qui n'est pas la même chose qu'existant.

Risques principaux

Le risque de non-conformité est ici du même ordre que le risque technique : un contrôle réel mais non documenté produit le même constat qu'un contrôle absent.

Vient ensuite le risque de l'administrateur, que le chapitre 31 a traité. Dans un établissement régulé, la réponse ne peut pas se limiter à la détection : elle doit inclure la prévention par la double validation.

Enfin, la rétention longue crée son propre risque : sept ans de journaux et de sauvegardes sont sept ans de copies à garder, avec les époques de matériel de scellement correspondantes.

Architecture proposée

L'édition Enterprise est retenue, et l'analyse doit dire pourquoi plutôt que de le supposer. Quatre de ses capacités répondent à des exigences nommées.

Le seal adossé à un module matériel satisfait l'attente du régulateur sur la maîtrise des clés, avec un module redondé et ses propres cérémonies. La question que posera l'auditeur porte moins sur le matériel que sur sa certification : c'est la conformité du module à la norme FIPS 140 qui est attendue, et le certificat correspondant fait partie des pièces du dossier. Les groupes de contrôle imposent une seconde validation humaine sur des chemins désignés, ce qui matérialise la double validation au lieu de la promettre. Les namespaces séparent les périmètres métier et permettent de déléguer l'administration sans accorder de droits globaux. La réplication de reprise couvre l'exigence de continuité avec un objectif de reprise court.

La racine PKI vit hors ligne, sur une machine isolée sortie pour les seules signatures d'intermédiaires, sous procès-verbal. C'est l'inverse du choix d'Astrea, et pour une raison assumée : ici, la démonstrabilité de la protection de la racine vaut plus que la commodité d'exploitation.

La séparation des rôles se traduit en objets Vault : des policies distinctes pour l'administration, l'exploitation et l'audit ; aucune identité ne cumule l'écriture sur les chemins d'audit et l'administration des policies ; les journaux partent vers un système d'archivage en écriture unique dont les administrateurs de Vault n'ont pas les droits d'effacement. La conservation sur sept ans est portée par ce système, pas par les fichiers locaux.

Les cérémonies sont formalisées : convocation, rôles nommés, témoin indépendant, procès-verbal signé, archivage. Elles couvrent l'initialisation, les rekeys, les régénérations de racine, les recréations de token racine et les tests de reprise.

Choix techniques argumentés

La double validation technique est le choix le plus structurant : il transforme une règle organisationnelle en contrainte technique, ce qui est exactement ce qu'un auditeur cherche. Sans elle, la séparation des rôles reposerait sur la discipline, et sa démonstration se limiterait à des procédures.

L'archivage des journaux hors du périmètre d'administration répond au risque de l'administrateur : la trace d'une action ne doit pas être effaçable par celui qui l'a commise. C'est le principe du chapitre 30 poussé jusqu'à sa conséquence organisationnelle.

La racine hors ligne coûte une procédure lourde pour une opération rare, ce qui est le bon compromis quand l'opération est rare et l'exigence forte. Astrea avait tranché l'inverse, avec un critère de révision qui mentionnait précisément l'apparition d'une exigence de conformité : ce cas est l'illustration de ce critère.

Alternatives écartées

L'édition Community avec contrôles compensatoires : techniquement possible, la double validation devenant procédurale, la racine pouvant vivre hors ligne et la reprise s'appuyant sur les snapshots. Mais chaque compensation transforme un contrôle technique en engagement humain, ce qui multiplie les points de démonstration devant l'auditeur et fragilise le dossier. Le calcul de coût inclut donc le temps d'audit, pas seulement la licence.

Un module matériel émulé : rejeté, l'exigence portant précisément sur la certification FIPS 140 du module. Le stockage des journaux dans le même périmètre d'administration : rejeté pour la raison ci-dessus.

Compromis assumés

La double validation ralentit l'exploitation : une opération sensible attend un second valideur, ce qui se compte en minutes ou en heures selon les horaires. Le compromis est accepté, avec une liste limitativement énumérée de chemins concernés et une procédure d'urgence documentée, dont l'usage déclenche une revue a posteriori systématique.

La rétention sur sept ans crée un stock de copies considérable : la gestion des époques devient une charge permanente, et l'inventaire est un livrable d'audit à part entière.

L'exploitation d'un module matériel ajoute une compétence rare à maintenir dans l'équipe, ainsi qu'une dépendance de disponibilité qu'il faut redonder.

Stratégie de récupération

Réplication entre deux sites, avec des exercices de promotion trimestriels et procès-verbal. Snapshots conservés malgré la réplication, précisément parce que celle-ci propage les erreurs logiques. Modules matériels redondés, avec la procédure de restauration de leurs propres secrets, qui relève de leur documentation. Racine PKI hors ligne sauvegardée selon une procédure dédiée, dont l'existence et les tests figurent au dossier d'audit.

Questions de discussion

1. Construisez le tableau de correspondance entre cinq exigences réglementaires plausibles et les contrôles techniques qui les satisfont, en indiquant pour chacun la preuve que vous présenteriez à l'auditeur.
2. L'auditeur conteste la double validation au motif que la procédure d'urgence permet de la contourner. Rédigez votre réponse et les mesures qui rendent cette procédure acceptable.
3. Reprenez la sixième colonne de la grille du chapitre 29 pour cet établissement : quels risques résiduels présenteriez-vous, et comment les formuleriez-vous devant un auditeur externe sans affaiblir le dossier ?