Créer des groupes : traiter une partie de votre organisation à part

À quoi sert un groupe ?

Chez Bakkerij De Testoven, les ingénieurs installent eux-mêmes leurs outils. Avec un groupe « Engineers », le gérant peut :

• Enregistrer une exception pour ce groupe, sur une mesure ou une partie de mesure.
• Voir sous Audit où en est ce groupe.
• Laisser quelqu'un ne voir que ce groupe.
• Peser un risque autrement pour ce groupe. Un rançongiciel sur un ordinateur kiosque fait sans doute bien moins de dégâts que sur un portable de bureau. Avec un groupe « Ordinateurs kiosque », vous acceptez ce risque là, tout en le réduisant sur les portables. Voir L'ordre des étapes.

Créer un groupe, étape par étape

1. Ouvrez Risques, puis Groupes de sécurité, et cliquez sur Nouveau groupe.
2. Répondez à Comment déterminer quelles entités font partie du groupe ? Choisissez Via un filtre pour qu'une règle trouve ce qui correspond, aussi plus tard. Choisissez Sélectionner manuellement pour choisir vous-même les membres.
3. Donnez un Nom, par exemple « Engineers ».
4. Sous Ce qu'il contient, choisissez le type, par exemple Comptes.
5. Via un filtre : sous Conditions (toutes doivent être remplies), choisissez une caractéristique, « est » ou « n'est pas », et une valeur. Par exemple : Groupe du registre est Engineers. Ajouter une condition rend le groupe plus étroit. À côté des conditions, vous voyez tout de suite combien d'éléments en font partie, sur le total. Si le nombre semble faux, changez une condition.
6. Remplissez Pourquoi ce groupe ? L'auditeur lit cette raison.
7. Enregistrez. Vous voyez que le groupe est enregistré, et il apparaît dans la liste des Groupes de sécurité.

Où un nouveau groupe se place dans la liste, et si vous l'évaluez à part, est expliqué dans L'ordre des étapes. En bref : un élément appartient au premier groupe de la liste auquel il correspond, et seuls les groupes où vous cochez Évaluer séparément reçoivent leur propre évaluation.

Un groupe se met à jour tout seul

Vous ne tapez jamais de règle ni de formule. Vous choisissez parmi ce que votre registre contient déjà, comme le système d'exploitation, le site ou un groupe Microsoft 365. Seuls un nom ou un ID se tapent (voir plus bas). Quand un nouvel ingénieur arrive, il entre dans le groupe de lui-même. Celui qui part en sort.

Aucune caractéristique à choisir ? Synchronisez d'abord une connexion ou complétez le registre. Une valeur de la liste contenant / + ! @ ou = ne peut pas figurer dans un filtre. Choisissez une autre valeur.

Par nom ou ID : tapez-en une partie

Parfois, aucune caractéristique ne distingue un groupe, mais les noms le font. Vous hébergez par exemple des centraux téléphoniques pour vos propres clients, et ils s'appellent tous quelque chose comme client.3cx.be. Choisissez Nom, puis contient, et tapez 3cx. Le nombre montre tout de suite combien d'appareils ont 3cx dans leur nom.

• Nom fonctionne pour chaque type : appareils, comptes, applications et les autres. ID ne trouve quelque chose que là où une connexion ou un import donne un ID : aujourd'hui les appareils et les comptes. Les applications et les réseaux n'ont pas encore d'ID : une condition sur l'ID n'en trouve aucun.
• Dans un import, ces noms de colonne comptent comme ID, avec ou sans majuscules ni ponctuation : ID, Serial, Serial Number, Serial No., Serienummer, Numéro de série, Asset ID, Asset Tag, Inventarisnummer, Instance ID, Device ID, E-mail, E-mailadres, Adresse e-mail, UPN.
• Vous pouvez choisir : est, n'est pas, contient, ne contient pas, commence par, finit par. « Finit par .3cx.be » laisse de côté client.my3cx.be.
• Majuscules et minuscules comptent de la même façon. Les espaces avant ou après ce que vous tapez disparaissent. Tout signe est permis ici, / et + aussi.
• L'ID est un numéro fourni par une connexion ou un import : le numéro de série (de Microsoft 365, SentinelOne et NinjaOne), l'ID d'appareil Microsoft Entra, l'ID d'instance AWS, la colonne ID d'un import, ou pour un compte son adresse e-mail. Le nom ne compte jamais comme ID, même quand votre registre en a fait sa clé : utilisez Nom pour cela.
• Bitdefender, Check Point Harmony et Sophos ne donnent pas d'ID aujourd'hui. Une condition sur l'ID ne trouve jamais leurs appareils, et « n'est pas » ou « ne contient pas » sur l'ID les trouve tous.

La page du groupe et l'export pour l'auditeur le disent en mots, par exemple « nom contient 3cx ».

Ce que Microsoft 365 et SentinelOne vous permettent de choisir

Dès que ces connexions sont synchronisées, vous pouvez choisir ces propriétés dans une condition :

• Propriétaire : company (entreprise) ou private (personnel), depuis Microsoft 365. Un téléphone ou un portable personnel ne compte jamais pour les mesures sur les appareils de l'entreprise. « Seulement les appareils de l'entreprise », c'est : Propriétaire est company.
• Catégorie et état de conformité d'un appareil, depuis Microsoft 365.
• Type de compte : person (personne), guest (invité) ou unlicensed (sans licence), depuis Microsoft 365. Les invités que vous ajoutez depuis l'extérieur de l'entreprise (Microsoft met #EXT# dans leur identifiant) ne figurent pas dans le registre et ne comptent donc nulle part. Type de compte est guest trouve le rare invité qui y figure.
• Rôle d'administrateur et Administrateur (oui ou non), depuis Microsoft 365.
• Type de compte (supposé) : shared (partagé). Un compte avec une adresse mail mais sans licence est sans doute une boîte partagée. Microsoft ne le dit pas avec certitude : cela reste une supposition et ne compte jamais comme Type de compte.
• Rôle (laptop, desktop ou server), système d'exploitation, site et groupe d'appareils, depuis SentinelOne.

Les deux connexions voient le même appareil, sous le même nom ? Un seul groupe peut alors utiliser les deux : Propriétaire est company et Rôle est laptop.

Votre partenaire IT utilise une seule clé SentinelOne pour plusieurs clients ? Il choisit alors le site de ce client. Seul votre partenaire IT, ou la personne qui a saisi la clé, peut le faire : la clé voit aussi ses autres clients. Tant qu'aucun site n'est choisi, nous ne lisons rien. Les appareils que SentinelOne a lus auparavant sans site peuvent appartenir à d'autres clients : ils quittent le registre jusqu'au choix d'un site.

Ce que NinjaOne, Bitdefender et Check Point vous permettent de choisir

• Rôle, système d'exploitation et site, depuis NinjaOne RMM. Le site est l'emplacement NinjaOne. Le rôle est server (serveur), workstation (poste de travail) ou mobile, quel que soit le système d'exploitation : « Tous les serveurs », c'est Rôle est server, et cela couvre les serveurs Windows, Linux et Mac. NinjaOne ne met ses appareils dans le registre que s'il est votre seule connexion pour les appareils. Microsoft 365, SentinelOne, Bitdefender, Sophos, Check Point ou AWS est aussi connecté ? Le même portable pourrait alors apparaître deux fois sous deux noms, donc NinjaOne attend que nous puissions relier les appareils par numéro de série.
• Rôle (computer ou virtual machine), système d'exploitation, site et groupe d'appareils, depuis Bitdefender. Le site est l'entreprise Bitdefender.
• Rôle (desktop, laptop ou server), système d'exploitation et groupe d'appareils, depuis Check Point. Un contrôleur de domaine compte comme serveur, les fixes et les portables comme postes de travail. Un appareil présent dans plusieurs groupes Check Point appartient à chacun d'eux.

Votre partenaire IT utilise une seule clé Bitdefender pour plusieurs clients ? Il choisit alors l'entreprise de ce client. Seul votre partenaire IT, ou la personne qui a saisi la clé, peut le faire : la clé voit aussi ses autres clients. Vous avez saisi la clé vous-même et quelqu'un l'a remplacée depuis ? Saisissez alors à nouveau votre clé pour choisir l'entreprise. Tant qu'aucune entreprise n'est choisie, nous n'écrivons rien. Les appareils que Bitdefender a lus auparavant sans entreprise peuvent appartenir à d'autres clients : ils sortent du registre jusqu'à ce qu'une entreprise soit choisie. NinjaOne demande déjà l'organisation du client à la connexion. Check Point lit le compte de sa clé.

Modifier, remplir ou supprimer un groupe

Cliquez sur un groupe dans Groupes de sécurité pour l'ouvrir. Vous pouvez y :

• Modifier le Nom et cliquer sur Enregistrer. Un nouveau nom garde les membres et les exceptions.
• Définir une règle ou Modifier la règle, avec les mêmes conditions que ci-dessus.
• Voir ce qu'il contient, et avec Ajouter ajouter ce que la règle ne trouve pas. Vous le cherchez par son nom et donnez une raison.
• Retirer de ce groupe ce qui n'y a pas sa place, là aussi avec une raison.
• Supprimer le groupe. On vous demande pourquoi le groupe disparaît, et cette raison va dans l'historique.

Un groupe fixe, comme Tout le reste, peut être modifié mais pas supprimé. Un groupe limite ce que quelqu'un peut voir ? Vous ne pouvez alors pas le supprimer tant que cette limite existe.

Ce qui ne compte pas : Hors NIS2

Vous hébergez des systèmes pour vos propres clients, comme des centraux téléphoniques ? Créez un groupe pour eux, puis mettez-le hors NIS2 sous Environnement IT, à l'étape Envergure, avec Mettre un groupe hors NIS2 et une raison. Ce qui est hors NIS2 n'est évalué nulle part. Des éléments isolés peuvent aussi être mis hors NIS2. Voir L'ordre des étapes.

Faire valoir un risque pour un seul groupe

Un risque vaut pour toute l'entreprise jusqu'à ce que vous choisissiez un groupe. Sur le risque, dans votre évaluation :

1. Sous À quelle partie de l'entreprise ce risque s'applique-t-il ?, cliquez sur un groupe, par exemple un site.
2. Il joue à plusieurs endroits ? Cliquez aussi sur ces groupes. Cliquez sur Toute l'entreprise pour annuler.

Chaque groupe montre ce qu'il compte, par exemple « 17 appareils ». Un bouton en pointillé est une suggestion, avec la raison à côté : le risque cite un appareil de ce groupe, ou une de ses mesures en parle. Rien ne change tant que vous ne cliquez pas.

Quelques risques commencent déjà avec un groupe, parce qu'ils portent clairement sur une seule sorte de chose : les mises à jour portent sur les appareils. Quand vous lancez une nouvelle évaluation, vous choisissez la partie de l'entreprise qu'elle couvre. Chaque risque commence alors avec ce groupe.

Pour les lacunes, rien à régler : elles suivent les appareils et les personnes du groupe. Sur le registre des risques, la feuille de route et À faire, Afficher pour choisit un groupe. Une personne qui ne peut voir que sa partie ne voit que les risques choisis pour son groupe.

Un risque, une évaluation différente par partie de l'entreprise

Un rançongiciel sur vos portables de bureau n'est pas le même risque qu'un rançongiciel sur les centraux téléphoniques que vous gérez pour vos clients. Vous gardez un seul risque et donnez à chaque partie sa propre évaluation. Vous pouvez le faire pendant la revue de l'évaluation, ou plus tard dans le registre des risques. Sur le risque :

1. Sous Évaluation par partie de l'entreprise, cliquez sur Ajouter un groupe et choisissez le groupe, par exemple « Clients ».
2. Le groupe reçoit d'abord la même évaluation qu'aujourd'hui. Cliquez Modifier pour la probabilité, l'impact, le responsable et le traitement.
3. Le reste de l'entreprise garde l'ancienne évaluation, marquée pas encore évalué, jusqu'à ce que vous cliquiez Confirmer.

Le reste est toujours Tout le reste : tout sauf les groupes que vous avez ajoutés. Un appareil qui apparaît plus tard et n'est dans aucun de ces groupes rejoint le reste de lui-même. Rien ne sort du registre.

Un risque ne s'applique pas du tout à un groupe ? Cliquez Ne s'applique pas à ce groupe, donnez la raison et, si vous le souhaitez, une date de fin. Votre auditeur voit cette raison dans la déclaration d'applicabilité et dans l'export d'audit. Faire s'appliquer de nouveau l'annule.

Deux parties ne peuvent jamais contenir le même appareil ou la même personne. Si vous essayez, vous voyez quels éléments sont déjà dans une autre partie, et rien n'est enregistré. Une partie a la même évaluation que le reste ? On vous propose de fusionner : Fusionner avec Tout le reste (cette ligne disparaît). Si une action visait cette partie, elle passe au reste d'elle-même.

Le registre montre une ligne par risque, avec le score le plus élevé de ses parties. Une action compte pour les parties des risques qu'elle résout. Les actions restent sur le risque entier.

Limiter un risque sous Choisir des groupes ne fait jamais disparaître le reste. Vous recevez la question Qu'en est-il des ... restants ?, avec ce qui reste, par exemple « 20 comptes ». Choisissez Même risque, évaluation propre pour garder le reste au registre à confirmer, ou Non applicable avec une raison. Annuler ne change rien. Une fois un risque scindé, vous gérez son périmètre sous Gérer les parties.

Qui peut créer des groupes ?

Les propriétaires, les administrateurs et les membres qui peuvent gérer le registre. Une personne qui peut seulement lire voit les groupes sans boutons.