Politique de journalisation et de supervision
Cette politique décrit ce que France Nuage journalise, comment ces traces sont centralisées, protégées et surveillées, et comment une anomalie devient une alerte traitée. Elle décline, sur le volet observabilité, les principes de notre politique de sécurité de l'information et couvre les contrôles A.8.15, A.8.16, A.8.17, ainsi que A.5.25 et A.5.28 de la déclaration d'applicabilité.
Nos contrôles sont auto-évalués, alignés sur ISO/IEC 27001, non certifiés par un tiers à ce jour. Le statut de chaque mesure ci-dessous reflète cette auto-évaluation.
Objet et périmètre
La politique s'applique aux journaux, métriques et traces produits par la plateforme (console, API, interface en ligne de commande nuage), les services managés que nous opérons et l'infrastructure d'hébergement de nos trois datacenters. Elle couvre leur collecte, leur conservation, leur exploitation en supervision et leur usage comme éléments de preuve après incident.
Principes
- Centraliser : un journal qui reste sur la machine qui l'a produit disparaît avec elle. Les traces sont expédiées hors du nœud dès leur production.
- Aucun secret en clair dans les journaux : les identifiants et jetons sont rédigés à l'écriture, pas nettoyés après coup.
- Une alerte doit être actionnable : une alerte qui réveille l'astreinte sans conduire à une action est corrigée ou supprimée, jamais tolérée en bruit de fond.
- Superviser la supervision : les contrôles périodiques émettent une sonde de vie ; leur silence déclenche une alerte.
- Conserver borné : la rétention est définie et limitée, parce qu'un journal conservé sans raison devient un risque plutôt qu'une preuve.
Mesures
| Domaine | Mesure |
|---|---|
| Journalisation | Collecte par agents sur chaque nœud vers un pipeline centralisé adossé au stockage objet, et journaux d'accès structurés (A.8.15). |
| Métriques et traces | Métriques et traces distribuées centralisées et exposées dans des tableaux de bord communs à l'équipe (Grafana, Mimir, Loki, Tempo) (A.8.16). |
| Rétention | Rétention bornée et paramétrable par locataire : par défaut de l'ordre de douze mois pour les journaux et de trois mois pour les métriques. |
| Alerting | Règles couvrant la disponibilité, la saturation des ressources, la fraîcheur des sauvegardes et l'infrastructure réseau, routées vers l'astreinte (A.8.16). |
| Qualification | Les événements de sécurité remontés par la supervision sont évalués et classés avant escalade (A.5.25). |
| Protection des journaux | Rédaction automatisée des secrets dans les journaux et effacement mémoire des clés, pour que la trace ne devienne pas elle-même une fuite (A.8.15). |
| Preuves | Journaux, pistes d'audit et historique Git immuable exploitables après incident ; procédure formelle de préservation des preuves à formaliser (A.5.28, partiel). |
| Horodatage | Synchronisation d'horloge assurée par défaut au niveau système ; sa formalisation et sa supervision sont planifiées, non déployées (A.8.17). |
Responsabilités
- Le RSSI (François-Guillaume Ribreau) est responsable de cette politique, des règles d'alerte et des durées de conservation.
- L'astreinte traite les alertes, documente sa décision et clôt ou escalade selon la procédure de gestion des incidents.
- Chaque responsable de service instrumente son composant et maintient les règles d'alerte de son périmètre.
- Le DPO (Robin Straub) est saisi lorsqu'une donnée à caractère personnel se trouve dans les journaux ou qu'un accès aux traces est demandé à des fins d'enquête.
- Toute personne constatant une anomalie dans les journaux ou une alerte non traitée la signale sans délai à security@france-nuage.fr.
Statut et trajectoire
La journalisation, la supervision des activités et la qualification des événements sont en place et opérationnelles (A.8.15, A.8.16, A.5.25). Deux volets sont déclarés en retrait. La synchronisation des horloges (A.8.17) repose aujourd'hui sur le défaut système, sans formalisation ni supervision dédiée, et la corrélation temporelle entre sources reste donc moins solide que ce que nous visons. La collecte de preuves (A.5.28) est partielle. Les traces existent et sont exploitables, mais la procédure de préservation qui les rendrait opposables reste à écrire. Ces deux points sont inscrits à notre feuille de route.
Revue
Cette politique est revue au moins une fois par an, après tout incident ayant révélé un angle mort de supervision, et à chaque évolution significative de notre chaîne d'observabilité.
Dernière revue : 31 août 2026.
Voir aussi
- Déclaration d'applicabilité (le statut des contrôles A.8.15–17, A.5.25 et A.5.28)
- Politique de gestion des incidents (ce qui se passe après le déclenchement d'une alerte)
- Politique de sauvegardes (la surveillance de fraîcheur qui s'appuie sur cette chaîne)
- Politique de contrôle d'accès (les accès dont les journaux gardent la trace)
- Politique de sécurité de l'information (le cadre du SMSI dont cette politique découle)