CCN-CERT Espagne : rôle, guides CCN-STIC et ENS
CCN-CERT Espagne : rôle, guides CCN-STIC et ENS
Section intitulée « CCN-CERT Espagne : rôle, guides CCN-STIC et ENS »Le CCN (Centro Criptológico Nacional) est l’autorité espagnole de sécurité des systèmes d’information de l’administration, et le CCN-CERT son équipe de réponse aux incidents. Pour un architecte, c’est surtout une source de guides de durcissement très prescriptifs et le gardien du référentiel que tout fournisseur du secteur public espagnol doit respecter. Sa place ressemble à celle de l’ANSSI, avec un rattachement et un périmètre différents.
→ Lire l’explication complète de la marmotte
Mandat du CCN et du CCN-CERT
Section intitulée « Mandat du CCN et du CCN-CERT »Le CCN est rattaché au CNI (Centro Nacional de Inteligencia), le service de renseignement espagnol, et encadré par le Real Decreto 421/2004. Contrairement à l’ANSSI, placée auprès du Premier ministre, la doctrine espagnole naît dans une maison de renseignement, d’où le poids donné à la cryptologie.
Le CERT (Computer Emergency Response Team) du CCN, créé en 2006, est le CSIRT (Computer Security Incident Response Team) national de référence pour :
- l’ensemble des administrations publiques (État, communautés autonomes, collectivités locales, universités publiques) ;
- les opérateurs essentiels et d’infrastructures critiques relevant du secteur public ;
- les incidents touchant des informations classifiées.
Le partage des rôles est la chose la plus souvent ratée. Le Real Decreto-ley 12/2018 (transposition de la directive NIS, Network and Information Security) répartit les CSIRT : CCN-CERT pour le secteur public, INCIBE-CERT (Instituto Nacional de Ciberseguridad) pour le secteur privé et les citoyens, ESPDEF-CERT (CERT du commandement de cyberdéfense) pour la défense. Un opérateur privé d’importance vitale ne notifie donc pas au CCN-CERT mais à INCIBE-CERT, en lien avec le centre national de protection des infrastructures critiques. La transposition de la directive NIS2 redistribue une partie de ces rôles : vérifier le texte en vigueur avant d’écrire une procédure de notification.
Le CCN est aussi l’organisme de certification espagnol pour les Critères Communs, membre des accords de reconnaissance mutuelle ; la page Common Criteria détaille ce cadre.
ENS et guides CCN-STIC : le référentiel qui s’impose
Section intitulée « ENS et guides CCN-STIC : le référentiel qui s’impose »L’ENS (Esquema Nacional de Seguridad), aujourd’hui fixé par le Real Decreto 311/2022, impose à tout système de l’administration espagnole, et à ses prestataires, des mesures proportionnées à trois catégories : básica, media et alta. La conformité se prouve par autodéclaration en catégorie basique, par audit de certification au-delà. Un prestataire cloud ou un intégrateur qui répond à un marché public espagnol sans certification ENS perd le marché avant l’ouverture des offres.
Les guides CCN-STIC (Seguridad de las Tecnologías de Información y Comunicaciones) donnent la mise en œuvre. Leur numérotation suit des séries :
| Série | Contenu |
|---|---|
| 100 | Procédures, dont le catalogue CPSTIC (Catálogo de Productos y Servicios de Seguridad TIC) des produits qualifiés, CCN-STIC 105 |
| 400 | Guides généraux (architecture, gestion des risques) |
| 500 | Durcissement des environnements Microsoft |
| 600 | Durcissement d’autres produits (Linux, équipements réseau, virtualisation) |
| 800 | Application de l’ENS, dont CCN-STIC 807 sur la cryptologie autorisée |
| 900 | Rapports techniques et de menace |
Ce qu’on y gagne : des guides pas-à-pas, paramètre par paramètre, avec des profils déjà alignés sur une catégorie ENS, ce qui transforme une exigence en configuration auditable. Ce qu’on paie : des guides en espagnol, liés à des versions de produits précises et parfois datées, et une logique de conformité nationale. Un guide de la série 500 écrit pour une version de Windows Server antérieure s’applique mal à la suivante ; la date de révision se lit avant la première ligne de GPO (Group Policy Object).
La recommandation est nette. Pour un système soumis à l’ENS, les guides CCN-STIC sont la référence, point, et le catalogue CPSTIC tranche le choix des produits de sécurité. Hors d’Espagne, ils servent de second avis précieux à côté des benchmarks CIS (Center for Internet Security) ou des guides de l’ANSSI : quand trois référentiels convergent sur un réglage, le débat en comité s’arrête. Vingt ans de durcissement apprennent d’ailleurs que le guide le plus précis du monde ne protège que les serveurs sur lesquels quelqu’un l’a appliqué, et qu’il en reste toujours un, en recette, nommé « temporaire ».
Outils, notification d’incident et coopération européenne
Section intitulée « Outils, notification d’incident et coopération européenne »Le CCN-CERT fournit aux organismes publics une gamme d’outils aux noms de baptême : LUCIA (Listado Unificado de Coordinación de Incidentes y Amenazas) pour la notification des incidents, PILAR (Procedimiento Informático Lógico para el Análisis de Riesgos) pour l’analyse de risques, INES (Informe Nacional del Estado de Seguridad) pour le rapport annuel exigé par l’ENS, microCLAUDIA contre les rançongiciels. Leur valeur tient au format commun : des notifications structurées, donc agrégeables à l’échelle nationale.
Le guide CCN-STIC 817 fixe la gestion des incidents dans l’ENS, avec une échelle de dangerosité et des délais de notification. Un incident qualifié de haut niveau déclenche l’intervention du CCN-CERT et le partage des indicateurs de compromission.
Côté européen, le CCN-CERT siège au réseau des CSIRT de l’Union coordonné avec l’ENISA (European Union Agency for Cybersecurity), participe à FIRST (Forum of Incident Response and Security Teams) et à la communauté TF-CSIRT (Task Force on CSIRTs). Ces canaux transportent les indicateurs de compromission entre CERT nationaux ; une campagne visant plusieurs administrations européennes se recoupe par là, pas par les communiqués.
Ce que le CCN ne garantit pas : la conformité ENS certifie la présence de mesures, pas leur efficacité face à un attaquant déterminé. Un système certifié en catégorie alta avec des comptes d’administration partagés reste compromis en une matinée. La certification donne une trace opposable ; la supervision et la gestion des identités restent à la charge de l’exploitant.
Exemple : contrôler un service exposé contre la cryptologie de l’ENS
Section intitulée « Exemple : contrôler un service exposé contre la cryptologie de l’ENS »Le guide CCN-STIC 807 restreint les protocoles et suites autorisés selon la catégorie ENS. Avant un audit, un contrôle rapide sur un service HTTPS (HTTP sur TLS, Transport Layer Security) exposé, avec OpenSSL 3 et Nmap :
# Service à contrôlerHOTE=portal.example.org
# Refus attendu des versions obsolètes : TLS 1.0 et 1.1 doivent échoueropenssl s_client -connect "${HOTE}:443" -tls1_1 </dev/null 2>&1 | grep -E "alert|Cipher is"
# TLS 1.2 et 1.3 : version et suite réellement négociéesopenssl s_client -connect "${HOTE}:443" -tls1_2 </dev/null 2>/dev/null | grep -E "Protocol|Cipher"openssl s_client -connect "${HOTE}:443" -tls1_3 </dev/null 2>/dev/null | grep -E "Protocol|Cipher"
# Inventaire complet des suites acceptées, à comparer aux listes du guide 807nmap --script ssl-enum-ciphers -p 443 "${HOTE}"Toute suite sans confidentialité persistante (échange de clés RSA, Rivest-Shamir-Adleman, statique) ou en mode CBC (Cipher Block Chaining) en TLS 1.2 se justifie ou se retire. Les pages cryptographie du site détaillent les raisons de ces choix.
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Sans organisme national de référence de ce type, les administrations configurent leurs systèmes chacune à sa manière : plus de socle commun d’hardening, plus de catalogue de produits qualifiés, donc des paramètres cryptographiques et des versions de protocoles laissés au hasard des installations par défaut. La notification centralisée des incidents disparaît avec lui : une intrusion visant plusieurs ministères ou opérateurs d’importance vitale n’est plus recoupée, chaque victime enquête seule et le mode opératoire n’est jamais nommé. Les indicateurs de compromission ne circulent plus vers les CERT nationaux voisins, ce qui rapproche la fenêtre d’exposition du délai de découverte individuel plutôt que du délai de la première victime. Enfin, sans échelle d’accréditation ni audit imposé, la conformité n’est plus vérifiable : aucune trace opposable de l’état de sécurité d’un système au moment d’un incident, ce qui complique la reprise et l’attribution des responsabilités.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »En Espagne, un service de l’État rattaché au renseignement protège les ordinateurs des administrations publiques. Il fait trois choses. D’abord, il écrit les règles : un texte officiel classe chaque système public en trois niveaux selon la gravité d’une attaque, et à chaque niveau correspond une liste de protections obligatoires. Des guides numérotés expliquent ensuite, réglage par réglage, comment configurer chaque logiciel pour respecter ces règles. Ensuite, il vérifie : les systèmes les plus sensibles doivent passer un contrôle par un auditeur, et une entreprise qui veut travailler pour l’administration doit obtenir ce certificat. Enfin, il intervient : quand une administration subit une attaque, elle la déclare dans un outil commun, avec un niveau de gravité et un délai à respecter. L’équipe d’intervention aide à la réparer, puis partage les traces laissées par les attaquants avec les équipes des autres pays européens, pour que les suivantes repèrent la même attaque plus vite. Les entreprises privées déclarent leurs attaques à un autre service national. Si les règles ne sont pas appliquées, ou si le certificat est obtenu sans que les protections soient vraiment surveillées, le système reste attaquable malgré le papier.
À lire aussi
- CERT-EU réponse aux incidents des institutions européennesCERT-EU est le service opérationnel de réponse aux incidents des institutions, organes et agences de l’Union européenne, distinct d’ENISA et d’Europol.
- JPCERT/CC rôle, outils malware et usage opérationnelJPCERT/CC coordonne les incidents au Japon et publie des travaux d'analyse de logiciels malveillants exploitables par les équipes de défense.
- NCSC-NL et coordination cyber portuaire néerlandaiseFiche du NCSC-NL néerlandais, de sa coordination avec le privé et de ses implications pour les infrastructures portuaires et logistiques.
- Monter un CSIRT interne, missions, services FIRST et rattachementComment monter un CSIRT interne, du mandat au catalogue de services du cadre FIRST, avec son rattachement, son astreinte et sa coopération avec le CERT-FR et les CSIRT sectoriels.
Pages voisines
La citent
CCN-CERT Espagne : rôle, guides CCN-STIC et ENS
Elle cite