Gouvernance des extensions de navigateur au regard de NIS2, DORA et GDPR
Maria, RSSI d’une fintech en forte croissance, pensait que la pré-évaluation DORA se déroulait correctement. Son équipe avait préparé le registre des tiers TIC, les contrats SaaS critiques, les dossiers de diligence raisonnable des fournisseurs, les décisions d’acceptation du risque et le dossier de reporting destiné à l’organe de direction.
Puis l’auditeur a posé une question que personne n’avait anticipée.
« Pouvez-vous nous présenter votre processus de gouvernance des extensions de navigateur ? »
La question est survenue lors d’une revue de poste avec un analyste financier. Pendant un partage d’écran, l’auditeur a remarqué une extension de productivité tierce dans le navigateur de l’analyste. Elle semblait inoffensive, mais une recherche rapide a montré que son développeur avait subi une compromission de la chaîne d’approvisionnement trois mois auparavant. L’extension compromise avait été utilisée pour siphonner des jetons de session de grandes plateformes SaaS.
La fintech disposait de politiques solides contre les logiciels non autorisés. Elle utilisait un EDR, la MFA, un CASB, des journaux SaaS et un SMSI aligné sur ISO/IEC 27001. Mais personne n’avait traité le navigateur comme une plateforme logicielle administrée. Personne n’avait inventorié les extensions. Personne n’avait approuvé leurs autorisations. Personne n’avait vérifié si les développeurs d’extensions devaient être considérés comme des fournisseurs. Personne n’avait mis en correspondance l’activité des extensions avec les éléments probants DORA, NIS2 ou GDPR.
Un seul module complémentaire de navigateur avait transformé un terminal apparemment conforme en porte dérobée potentielle vers les systèmes financiers, les données clients et les flux de travail réglementés.
C’est le problème de gouvernance des extensions de navigateur en 2026. Le navigateur n’est plus seulement une fenêtre ouverte sur Internet. C’est l’endroit où les employés s’authentifient, approuvent des paiements, consultent des enregistrements CRM, traitent des données à caractère personnel, administrent l’infrastructure cloud et interagissent avec des plateformes SaaS critiques. Les extensions ne sont plus de simples ajouts cosmétiques. Ce sont des composants de code tiers exécutés dans la couche la plus sensible du travail moderne.
Pour les RSSI, les responsables conformité, les délégués à la protection des données et les responsables des risques liés aux TIC, les extensions non maîtrisées se situent à l’intersection de la sécurité des terminaux, de l’informatique de l’ombre, du risque fournisseur, de la gestion des changements, de la gestion des vulnérabilités et du principe de responsabilité en matière de protection de la vie privée. ISO/IEC 27001:2022 donne aux organisations la structure nécessaire pour gouverner ce risque. NIS2, DORA et GDPR imposent la pression réglementaire nécessaire pour le démontrer.
Les extensions de navigateur sont des logiciels, des fournisseurs et des sous-traitants de traitement de données
La plupart des organisations savent déjà gérer les ordinateurs portables, les appareils mobiles, les serveurs, les applications SaaS, l’infrastructure cloud et les comptes à privilèges. Les extensions de navigateur restent souvent en dehors de ces dispositifs.
Les équipes de sécurité les considèrent comme un paramètre du navigateur. Les achats ne les voient pas, car aucun contrat n’est signé. Le juridique ne les voit pas, car aucune demande d’intégration fournisseur n’est ouverte. Les équipes chargées de la protection des données ne les voient pas, car l’extension est installée par un utilisateur et non déployée comme une application officielle. Pourtant, l’extension peut demander l’autorisation de lire et modifier les données de tous les sites web, d’accéder au contenu du presse-papiers, de capturer les métadonnées des pages, de gérer les téléchargements, d’injecter des scripts ou de communiquer avec un service applicatif externe.
Cela signifie qu’une extension de navigateur peut relever simultanément de toutes les catégories suivantes :
| Angle de gouvernance | Pourquoi c’est important | Mode de défaillance typique |
|---|---|---|
| Logiciel | Elle modifie le comportement du terminal et peut exécuter du code dans les sessions utilisateur | Les utilisateurs installent des extensions en dehors des circuits logiciels approuvés |
| Fournisseur | Le développeur contrôle les mises à jour, l’infrastructure et le support | Aucune diligence raisonnable fournisseur n’est réalisée |
| Service cloud | De nombreuses extensions se connectent à des interfaces de programmation (API) hébergées ou à des plateformes SaaS | Les services applicatifs externes des extensions ne sont pas revus comme des services cloud |
| Risque de sous-traitant de traitement de données | Les extensions peuvent voir des données clients, employés ou financières | Les équipes chargées de la protection des données n’évaluent ni l’accès aux données ni la base juridique |
| Exposition aux vulnérabilités | Les extensions peuvent être compromises, abandonnées ou malveillantes | Aucune revue de l’application des correctifs, de la réputation ou des compromissions connues n’est effectuée |
| Source d’incident | L’activité d’une extension peut créer un accès non autorisé ou une exfiltration de données | Les journaux sont absents, ce qui complique l’enquête et la notification |
Le [ZB] Zenith Blueprint: An Auditor’s 30-Step Roadmap saisit l’enjeu central dans ses orientations ISO/IEC 27002:2022 relatives à la Mesure 8.19. Il avertit que « même des collaborateurs bien intentionnés peuvent installer des outils pour ‘travailler plus vite’, une extension de navigateur, une bibliothèque de code, une application de transfert de fichiers, sans réaliser qu’ils viennent d’introduire une porte dérobée, une dépendance non corrigée ou un vecteur d’exfiltration de données ».
Cette phrase doit être traitée comme une déclaration de risque au niveau du conseil d’administration. Les employés qui installent des extensions à risque ne cherchent généralement pas à contourner la sécurité. Ils essaient d’améliorer leur productivité. La défaillance de gouvernance apparaît lorsque l’organisation ne fournit pas de processus sûr de demande, d’approbation, de déploiement et de surveillance.
Pourquoi NIS2, DORA et GDPR rendent cet angle mort urgent
Le risque lié aux extensions de navigateur existe depuis des années, mais le contexte réglementaire a changé. En 2026, les organisations doivent démontrer non seulement que des contrôles existent, mais aussi qu’ils sont fondés sur les risques, intégrés, surveillés et étayés par des éléments probants.
NIS2 renforce les attentes en matière d’hygiène cyber et de sécurité de la chaîne d’approvisionnement. DORA impose aux entités financières de gérer le risque lié aux TIC sur l’ensemble des dépendances internes et tierces. GDPR impose aux responsables du traitement et aux sous-traitants de démontrer la sécurité du traitement, le respect du principe de responsabilité et la protection de la vie privée dès la conception. Les extensions non maîtrisées peuvent compromettre ces trois exigences.
| Réglementation | Pertinence des extensions de navigateur | Éléments probants attendus par les autorités de contrôle et les auditeurs |
|---|---|---|
| NIS2 Article 21 | Les extensions affectent l’hygiène cyber, la gestion des vulnérabilités, le contrôle d’accès, la sécurité logicielle et le risque lié à la chaîne d’approvisionnement | Inventaire des extensions, liste approuvée, enregistrements d’appréciation des risques, journaux d’installations bloquées, éléments probants de gestion des incidents |
| NIS2 Article 23 | Une extension compromise peut créer un incident significatif nécessitant une alerte précoce et une notification | Journaux de détection, enregistrements de triage, évaluation d’impact, éléments probants de décision de notification |
| DORA Article 5 | Les organes de direction restent responsables de la gouvernance du risque lié aux TIC | Politiques, décisions d’appétence au risque, reporting, approbations d’exceptions |
| DORA Article 6 | Les extensions peuvent affecter le cadre de gestion des risques liés aux TIC | Identification des actifs, mesures de protection, surveillance, tests de résilience, enregistrements de remédiation |
| DORA Article 28 | Les développeurs d’extensions et les services connectés peuvent constituer des dépendances tierces TIC | Diligence raisonnable, classification des risques, entrées de registre, évaluation contractuelle le cas échéant |
| GDPR Article 5(2) | Les organisations doivent démontrer le respect du principe de responsabilité dans le traitement des données à caractère personnel | Évaluations documentées, décisions d’approbation, responsabilité attribuée, fréquence de revue |
| GDPR Article 25 | La protection des données dès la conception et par défaut s’applique aux choix d’outillage | Minimisation des autorisations, revue de protection des données, configuration de refus par défaut |
| GDPR Article 32 | La sécurité du traitement exige des mesures techniques et organisationnelles appropriées | Contrôles des terminaux, restrictions d’accès, journalisation, surveillance, gestion des vulnérabilités |
| GDPR Article 33 | La préparation à la notification des violations dépend d’une détection et d’éléments probants disponibles en temps utile | Journaux d’incidents, analyse d’impact sur les données à caractère personnel, éléments probants relatifs aux délais de notification |
La leçon est simple. Une extension de navigateur n’est pas trop petite pour compter. Si elle peut accéder à des données réglementées, à des sessions authentifiées, à des flux financiers ou à des services SaaS critiques, elle doit être gouvernée.
Utiliser ISO/IEC 27001:2022 comme modèle opérationnel
ISO/IEC 27001:2022 est efficace pour la gouvernance des extensions de navigateur, car elle n’exige pas de silo de conformité distinct. Elle permet aux organisations d’étendre les processus SMSI existants à la couche navigateur.
Le modèle pratique de contrôle repose sur huit mesures de l’Annexe A d’ISO/IEC 27001:2022 :
| Mesure ISO/IEC 27001:2022 | Nom correct de la mesure | Application aux extensions de navigateur |
|---|---|---|
| 5.10 | Utilisation acceptable des informations et des autres actifs associés | Définir ce que les utilisateurs peuvent installer, utiliser, demander et stocker dans les navigateurs |
| 5.19 | Sécurité de l’information dans les relations avec les fournisseurs | Traiter les développeurs d’extensions et les services connectés comme des risques fournisseurs lorsque cela est pertinent |
| 5.23 | Sécurité de l’information pour l’utilisation des services cloud | Examiner les extensions qui se connectent à des API SaaS externes ou à des services cloud applicatifs |
| 8.1 | Terminaux des utilisateurs | Gérer la configuration du navigateur dans le cadre de la protection des terminaux |
| 8.8 | Gestion des vulnérabilités techniques | Suivre les extensions vulnérables, abandonnées, compromises ou à haut risque |
| 8.15 | Journalisation | Capturer l’installation, la suppression, les tentatives bloquées, les modifications de politique et les actions d’administration |
| 8.16 | Activités de surveillance | Générer des alertes sur les activités anormales des extensions et les manquements aux politiques |
| 8.19 | Installation de logiciels sur les systèmes opérationnels | Exiger une approbation avant l’installation d’extensions sur les systèmes de travail |
Le [ZC] Zenith Controls: The Cross-Compliance Guide est particulièrement utile, car il explique comment les contrôles ISO/IEC 27001 sont audités et comment ils soutiennent des éléments probants réutilisables entre référentiels. Pour la Mesure 8.19, Zenith Controls: The Cross-Compliance Guide explique que les auditeurs « suivent le processus : de la demande au test, puis à l’approbation et à la mise en œuvre ». C’est exactement ainsi que la gouvernance des extensions doit être conçue.
Si un auditeur trouve une extension qui ne figure pas sur la liste approuvée, qui n’est pas documentée dans les enregistrements de changement et qui n’a pas fait l’objet d’une appréciation des risques, le problème ne relève plus d’un simple paramètre de navigateur. Il devient un élément probant d’un contrôle insuffisant de l’installation des logiciels, d’une gouvernance faible des terminaux et d’une éventuelle défaillance de gestion du risque fournisseur.
Étape 1, découvrir le parc d’extensions
La première défaillance de contrôle dans la fintech de Maria était le manque de visibilité. Son équipe ne savait pas quelles extensions étaient installées, qui les avait installées, quelles autorisations elles demandaient, ni si elles se connectaient à des services externes.
La découverte doit couvrir tous les navigateurs administrés, profils, utilisateurs, équipements et systèmes d’exploitation. Elle doit identifier le nom de l’extension, son identifiant unique, sa version, son éditeur, sa source d’installation, son jeu d’autorisations, sa date d’installation, son statut de mise à jour, le nombre d’utilisateurs, le responsable métier, ainsi que le mode d’installation : installation forcée, installation par l’utilisateur, chargement latéral ou blocage.
La Mesure 8.1, Terminaux des utilisateurs, constitue l’ancrage. Les orientations du Zenith Blueprint: An Auditor’s 30-Step Roadmap relatives à la Mesure 8.1 indiquent que les terminaux des utilisateurs « doivent être renforcés, surveillés et contrôlés ». Cette exigence inclut naturellement le navigateur, car il est désormais l’interface principale de l’utilisateur pour les activités SaaS et cloud.
La Mesure 5.23 s’applique également lorsque des extensions se connectent à des services cloud. Zenith Blueprint: An Auditor’s 30-Step Roadmap présente cette mesure comme une réponse à l’informatique de l’ombre, lorsque les utilisateurs adoptent des services non autorisés sans gouvernance. Une extension de navigateur qui envoie du contenu à un service hébergé inconnu constitue un événement d’adoption de service cloud, même si personne aux achats ne l’a approuvé.
Un résultat de découverte mature doit classer chaque extension dans l’un des cinq états suivants :
| État de l’extension | Signification | Action requise |
|---|---|---|
| Approuvée | Revue, justifiée et autorisée pour des utilisateurs définis | Surveiller et réexaminer périodiquement |
| Conditionnelle | Autorisée avec des restrictions telles que des groupes, sites ou autorisations spécifiques | Appliquer les conditions et réexaminer plus fréquemment |
| En attente de revue | Découverte ou demandée, mais pas encore évaluée | Bloquer ou mettre en quarantaine jusqu’à approbation |
| Bloquée | Connue comme risquée, inutile, non conforme ou interdite | Empêcher l’installation et supprimer les instances existantes |
| Exception | Autorisée temporairement en raison d’un besoin métier et d’un risque accepté | Consigner le propriétaire, la date d’expiration, les contrôles compensatoires et l’approbateur |
La découverte ne doit pas être un projet ponctuel. Les extensions sont fréquemment mises à jour, les éditeurs changent de propriétaire, les autorisations s’élargissent, et les boutiques retirent des paquets malveillants après que des utilisateurs les ont déjà installés. L’inventaire doit devenir continu, ou au moins suffisamment récurrent pour soutenir la gestion des vulnérabilités et les éléments probants d’audit.
Étape 2, expliciter l’utilisation acceptable
Une fois les extensions visibles, les attentes envers les utilisateurs doivent être claires. De nombreuses organisations disposent déjà de formulations de politique pouvant soutenir la gouvernance des extensions, mais elles doivent être appliquées explicitement au navigateur.
[P-EPM] Politique de protection des terminaux contre les logiciels malveillants - PME précise que les utilisateurs « ne doivent pas installer de logiciels ou modules d’extension non autorisés susceptibles d’introduire un risque ». Cette phrase donne aux équipes de sécurité une base de politique solide pour traiter les extensions de navigateur comme des logiciels contrôlés.
[P03-AUP] P03 Politique d’utilisation acceptable, également référencée comme la Politique d’utilisation acceptable de l’entreprise, interdit les « Outils non approuvés : installation ou utilisation de logiciels, matériels, services cloud ou équipements non autorisés ». C’est le fondement orienté utilisateur. Il transforme la gouvernance des extensions de navigateur d’une préférence technique en exigence comportementale et de conformité applicable.
Une politique solide relative aux extensions de navigateur doit répondre à six questions pratiques :
| Question de politique | Réponse de gouvernance |
|---|---|
| Les utilisateurs peuvent-ils installer librement des extensions ? | Non, les extensions nécessitent une approbation, sauf préapprobation par rôle ou par groupe |
| Les extensions de navigateur sont-elles considérées comme des logiciels ? | Oui, ce sont des logiciels installés sur des systèmes opérationnels |
| Les services applicatifs externes des extensions sont-ils considérés comme des services cloud ? | Oui, lorsqu’ils traitent, transmettent, stockent ou enrichissent des données de l’organisation |
| Qui approuve les extensions ? | La sécurité, l’informatique, la protection des données et les responsables métier approuvent selon le niveau de risque |
| Que deviennent les extensions non approuvées ? | Elles sont bloquées, supprimées ou mises en quarantaine en attente de revue |
| Comment les exceptions sont-elles gérées ? | Les exceptions exigent une acceptation du risque documentée, une date d’expiration et des contrôles compensatoires |
Il ne s’agit pas d’interdire toute extension utile. Il s’agit de passer d’une confiance implicite à une approbation explicite. Certaines extensions peuvent être sûres, nécessaires et utiles à la productivité. D’autres peuvent être inutiles, excessivement privilégiées, abandonnées ou hostiles. Le programme de gouvernance doit savoir les distinguer.
Étape 3, appliquer le refus par défaut avec liste d’autorisation par exception
La Mesure 8.19, Installation de logiciels sur les systèmes opérationnels, est le contrôle qui transforme la politique en fonctionnement opérationnel. Les extensions de navigateur ne doivent pas être traitées différemment des autres logiciels au seul motif que les utilisateurs les installent depuis une boutique de navigateur.
Zenith Blueprint: An Auditor’s 30-Step Roadmap est direct sur ce point : « aucun logiciel n’est installé s’il n’est pas justifié, autorisé et sécurisé ». Pour les extensions de navigateur, cela signifie utiliser la gestion des navigateurs d’entreprise, la gestion des terminaux ou les outils de configuration des équipements afin d’appliquer les règles d’installation.
Le modèle le plus défendable est le refus par défaut avec liste d’autorisation par exception :
- Bloquer toutes les extensions par défaut pour les navigateurs administrés.
- Installer de force uniquement les extensions d’entreprise essentielles et approuvées.
- Maintenir une liste d’autorisation pour les extensions approuvées par groupe d’utilisateurs, service ou rôle.
- Bloquer les extensions installées par chargement latéral et les sources d’installation non fiables.
- Empêcher les utilisateurs de contourner les politiques en changeant de profil ou en utilisant des navigateurs non administrés.
- Supprimer les extensions déjà installées qui ne sont pas approuvées.
- Revoir les autorisations des extensions et le risque éditeur avant approbation.
- Journaliser les extensions autorisées, bloquées, supprimées et modifiées.
Certaines organisations commencent par un modèle plus progressif en raison de la complexité opérationnelle. Elles peuvent d’abord inventorier, bloquer les extensions connues comme malveillantes, puis mettre en place progressivement des listes d’autorisation pour les groupes à haut risque tels que la finance, l’ingénierie, les administrateurs à privilèges, le juridique, les RH et le support client. Cela est acceptable s’il existe une feuille de route documentée. Ce qui n’est pas défendable, c’est la tolérance permanente d’un risque inconnu lié aux extensions.
Étape 4, apprécier les risques liés aux extensions comme pour des fournisseurs et des logiciels
Une revue du risque lié à une extension de navigateur doit être suffisamment légère pour être adoptée par les métiers, mais suffisamment robuste pour résister à un audit. La revue doit combiner risque logiciel, risque fournisseur, risque cloud, protection des données et gestion des vulnérabilités.
[P-TP] Politique de sécurité des tiers et des fournisseurs impose que « tous les nouveaux fournisseurs fassent l’objet d’une évaluation de sécurité documentée avant la signature du contrat ». Tous les développeurs d’extensions ne nécessitent pas un processus complet d’intégration fournisseur au niveau de l’entreprise, mais le principe de gestion du risque fournisseur reste applicable. Si un développeur peut pousser des mises à jour de code dans les navigateurs des employés ou traiter des données de l’organisation via un service applicatif externe, l’organisation a une dépendance vis-à-vis d’un tiers.
[P-ASR] Politique relative aux exigences de sécurité des applications - PME renforce la même exigence sous l’angle logiciel : « tout outil tiers, module d’extension ou bibliothèque de code externe utilisé dans une application doit être enregistré et revu chaque année quant à son impact de sécurité et à son statut d’application des correctifs ».
Utilisez le modèle de risque suivant pour normaliser les décisions :
| Facteur de risque | Risque faible | Risque moyen | Risque élevé |
|---|---|---|---|
| Autorisations | Aucun accès aux données de page | Accès à l’onglet actif ou à des sites limités | Accès en lecture et en écriture à tous les sites |
| Éditeur | Éditeur vérifié avec un historique solide | Société connue avec une politique de protection de la vie privée | Individu inconnu, propriété peu claire, absence de politique de protection de la vie privée |
| Accès aux données | Fonctionne localement sans données sensibles | Voit des données métier limitées | Accède à des données à caractère personnel, données financières, secrets ou contenus de session |
| Connectivité | Aucun service applicatif externe | Se connecte à un service connu | Se connecte à un service tiers inconnu ou opaque |
| Modèle de mise à jour | Boutique officielle, mises à jour régulières | Mises à jour peu fréquentes, journal des modifications limité | Chargement latéral, abandon ou source de mise à jour peu claire |
| Besoin métier | Requis pour un flux de travail approuvé | Utile mais remplaçable | Simple commodité avec autorisations élevées |
| Historique des vulnérabilités | Aucun constat défavorable | Problèmes passés remédiés | Compromission connue, comportement malveillant ou vulnérabilité non résolue |
| Niveau de protection de la vie privée | Avis de confidentialité clair et collecte limitée | Politique large mais contrôles acceptables | Absence de politique claire ou collecte excessive |
Une extension à haut risque ne doit pas être approuvée sauf en présence d’un besoin métier critique, de contrôles compensatoires documentés et d’une acceptation du risque par un niveau hiérarchique approprié. Les exemples de contrôles compensatoires incluent la limitation de l’usage à un profil de navigateur durci, la restriction à des URL spécifiques, le blocage de la saisie de données dans des applications sensibles pendant que l’extension est active, l’utilisation d’une surveillance DLP ou l’exigence d’un contrat fournisseur et d’un avenant relatif à la protection de la vie privée.
Étape 5, intégrer la revue Protection des données et GDPR
La gouvernance des extensions de navigateur échoue souvent parce que la revue de protection des données est déconnectée des outils de terminal. Pourtant, de nombreuses extensions peuvent voir des données à caractère personnel affichées dans des applications SaaS, des SIRH, des tickets de support, des enregistrements CRM, des courriels, des plateformes d’analytics et des outils de collaboration.
Au titre du GDPR Article 5(2), l’organisation doit démontrer le respect du principe de responsabilité. Au titre de l’Article 25, elle doit mettre en œuvre la protection des données dès la conception et par défaut. Au titre de l’Article 32, elle doit appliquer des mesures techniques et organisationnelles appropriées pour la sécurité du traitement. Si une extension exfiltre des données à caractère personnel, l’événement peut devenir une violation de données à caractère personnel au sens de l’Article 4(12), déclenchant une évaluation et éventuellement des obligations de notification au titre de l’Article 33.
Une revue d’extension intégrant la protection des données doit poser les questions suivantes :
| Domaine de revue GDPR | Question de revue de l’extension | Éléments probants à conserver |
|---|---|---|
| Catégories de données | L’extension peut-elle accéder à des données à caractère personnel, à des catégories particulières de données ou à des données financières ? | Évaluation de l’accès aux données |
| Limitation des finalités | L’extension est-elle nécessaire à une finalité métier définie ? | Justification métier |
| Minimisation des données | Les autorisations demandées sont-elles limitées au minimum nécessaire ? | Revue des autorisations |
| Relation de sous-traitance | Le fournisseur de l’extension traite-t-il des données pour le compte de l’organisation ? | Évaluation fournisseur et protection des données |
| Transferts internationaux | Les données quittent-elles la juridiction ou la région d’hébergement approuvée ? | Évaluation des transferts |
| Conservation | Le fournisseur stocke-t-il des données, journaux, prompts, captures d’écran ou métadonnées ? | Revue de l’avis de confidentialité et de la conservation |
| Sécurité | Le chiffrement, les contrôles d’accès et les pratiques de gestion des vulnérabilités sont-ils adéquats ? | Diligence raisonnable de sécurité |
| Réponse aux violations | Le fournisseur peut-il notifier l’organisation en cas d’incident ? | Éléments probants contractuels ou documentés de réponse |
Toutes les extensions ne nécessitent pas une DPIA complète. Toutefois, les extensions disposant d’un large accès aux pages, de traitements d’IA, de capture d’écran, d’accès aux courriels, d’accès CRM, d’accès aux données RH, de données de support client ou de données financières réglementées doivent déclencher une évaluation structurée de la protection des données.
Étape 6, journaliser et surveiller pour l’audit et la réponse aux incidents
Un programme de gouvernance des extensions sans journaux n’est pas auditable. Il affaiblit également la réponse aux incidents, car l’organisation ne peut pas déterminer quand une extension a été installée, qui l’a utilisée, quelle version était présente, quand les autorisations ont changé, ni si une tentative d’installation bloquée a eu lieu.
[P-LM] Politique de journalisation et de surveillance - PME identifie les journaux relatifs aux « installations de logiciels » comme une exigence clé de gouvernance. L’installation d’une extension de navigateur est un événement d’installation de logiciel et doit être capturée en conséquence.
Au minimum, les journaux doivent inclure :
| Événement de journal | Pourquoi c’est important |
|---|---|
| Extension installée | Confirme le déploiement et soutient les éléments probants de changement |
| Extension bloquée | Montre le fonctionnement du contrôle préventif |
| Extension supprimée | Confirme la remédiation |
| Extension mise à jour | Soutient la revue des vulnérabilités et des changements |
| Autorisation modifiée | Détecte une augmentation du risque après approbation |
| Politique modifiée | Montre le contrôle administratif et la responsabilité |
| Tentative de chargement latéral | Indique un comportement de contournement ou un risque de logiciels malveillants |
| Source de boutique modifiée | Détecte un chemin d’installation non fiable |
| Extension à haut risque détectée | Déclenche le triage et la suppression |
| Exception utilisateur accordée | Soutient les éléments probants d’acceptation du risque |
Ces journaux doivent alimenter les processus de surveillance au titre des Mesures 8.15 et 8.16. Selon le risque, ils peuvent également être transmis à un SIEM, une plateforme terminal ou un référentiel d’éléments probants de conformité. Des alertes doivent être configurées pour les extensions à haut risque bloquées, les pics soudains de demandes d’extensions, les modifications d’autorisations d’extensions approuvées, les tentatives d’installation depuis des sources non officielles et les tentatives d’installation par des utilisateurs à privilèges.
La surveillance constitue également un avantage pour NIS2 et DORA. Le signalement des incidents au titre de NIS2 Article 23 dépend d’une détection précoce et d’une évaluation d’impact. DORA exige une gestion robuste des incidents liés aux TIC et des éléments probants de résilience. L’évaluation d’une violation au titre de GDPR dépend de la capacité à savoir ce qui s’est passé, quand, et quelles données ont pu être affectées.
Ce que l’auditeur veut voir
Un auditeur se satisfait rarement d’une affirmation telle que « nous bloquons les extensions à risque ». Il veut des éléments probants de gouvernance. Ces éléments doivent relier la politique, l’appréciation des risques, la mise en application technique, la surveillance et la responsabilité de la direction.
| Question d’audit | Réponse solide | Livrable justificatif |
|---|---|---|
| Les extensions de navigateur sont-elles dans le champ d’application ? | Oui, elles sont traitées comme des logiciels sur les terminaux des utilisateurs | Domaine d’application du SMSI, registre des actifs, standard terminal |
| Les utilisateurs ont-ils interdiction d’installer des extensions non approuvées ? | Oui, les politiques d’utilisation acceptable et de terminaux définissent la règle | Politique de protection des terminaux contre les logiciels malveillants - PME, P03 Politique d’utilisation acceptable |
| Existe-t-il une liste d’extensions approuvées ? | Oui, les extensions approuvées sont documentées par responsable métier et groupe d’utilisateurs | Export de liste d’autorisation, registre d’approbation |
| Les nouvelles extensions font-elles l’objet d’une appréciation des risques ? | Oui, les demandes déclenchent des contrôles logiciels, fournisseurs, vulnérabilités et protection des données | Enregistrement d’appréciation des risques |
| Les développeurs d’extensions sont-ils traités comme des fournisseurs lorsque pertinent ? | Oui, les prestataires à haut risque font l’objet d’une diligence raisonnable | Évaluation fournisseur |
| Les extensions connectées au cloud sont-elles revues ? | Oui, les services applicatifs externes sont évalués dans le cadre de la gouvernance des services cloud | Revue de service cloud |
| Les installations sont-elles techniquement appliquées ? | Oui, le refus par défaut et les listes d’autorisation par groupe sont appliqués dans la gestion des navigateurs | Export de configuration |
| Les changements sont-ils journalisés ? | Oui, les installations, blocages, suppressions, mises à jour et changements administratifs sont journalisés | Journaux SIEM ou de console d’administration |
| Les exceptions sont-elles contrôlées ? | Oui, les exceptions exigent un propriétaire, une date d’expiration, un approbateur et des contrôles compensatoires | Registre des exceptions |
| Les revues sont-elles répétées ? | Oui, les extensions sont revues périodiquement et après les changements majeurs | Calendrier de revue et éléments probants |
C’est ici que Zenith Controls: The Cross-Compliance Guide apporte de la valeur. Il aide les organisations à montrer comment une activité de contrôle unique soutient plusieurs attentes de conformité. Un seul processus d’approbation d’extension de navigateur peut soutenir la Mesure ISO/IEC 27001 8.19, l’hygiène cyber NIS2, la gestion des risques liés aux TIC DORA et le principe de responsabilité GDPR si les éléments probants sont conservés et cartographiés clairement.
Correspondance ISO/IEC 27001:2022 avec NIS2, DORA et GDPR
Une correspondance pratique aide les RSSI à expliquer pourquoi la gouvernance des extensions de navigateur n’est pas un contrôle technique de niche. C’est un contrôle de conformité à forte valeur réglementaire.
| Mesure ISO/IEC 27001:2022 | Alignement NIS2 | Alignement DORA | Alignement GDPR | Éléments probants relatifs aux extensions de navigateur |
|---|---|---|---|---|
| 5.10 Utilisation acceptable des informations et des autres actifs associés | Article 21 hygiène cyber et pratiques utilisateurs | Article 5 attentes de gouvernance | Article 5(2) principe de responsabilité | Règles d’utilisation acceptable, sensibilisation des utilisateurs, attestations de politique |
| 5.19 Sécurité de l’information dans les relations avec les fournisseurs | Article 21 sécurité de la chaîne d’approvisionnement | Article 28 gestion des risques liés aux prestataires tiers TIC | Articles 28 et 32 lorsque le traitement s’applique | Revue fournisseur, évaluation du prestataire, analyse contractuelle |
| 5.23 Sécurité de l’information pour l’utilisation des services cloud | Article 21 sécurité des réseaux et des systèmes d’information | Articles 6 et 28 risque lié aux TIC et dépendances vis-à-vis de tiers | Articles 25 et 32 protection de la vie privée dès la conception et sécurité | Revue du service cloud applicatif, approbation de l’intégration SaaS |
| 8.1 Terminaux des utilisateurs | Article 21 sécurité des terminaux et contrôle d’accès | Article 6 cadre de gestion des risques liés aux TIC | Article 32 sécurité du traitement | Configuration du navigateur, profils administrés, inventaire des terminaux |
| 8.8 Gestion des vulnérabilités techniques | Article 21 gestion des vulnérabilités | Article 6 protection et prévention | Article 32 mesures techniques | Suivi des extensions vulnérables, enregistrements de remédiation |
| 8.15 Journalisation | Article 23 éléments probants d’incident | Gestion des incidents liés aux TIC et éléments probants de résilience | Articles 5(2), 32 et 33 responsabilité et éléments probants de violation | Journaux d’installation, tentatives bloquées, modifications de politique |
| 8.16 Activités de surveillance | Article 21 détection et Article 23 reporting | Surveillance TIC et détection des incidents | Articles 32 et 33 détection des violations | Alertes, événements SIEM, rapports d’anomalies |
| 8.19 Installation de logiciels sur les systèmes opérationnels | Article 21 configuration sécurisée et contrôle logiciel | Attentes de contrôle des changements liés aux TIC, y compris COBIT BAI06 Managed IT Changes comme angle d’audit | Articles 25 et 32 environnement de traitement contrôlé | Demande, approbation, tests, déploiement, éléments probants de liste d’autorisation |
La cartographie DORA mérite une attention particulière. Certains auditeurs et évaluateurs utiliseront un vocabulaire de type COBIT lors de la revue de la gouvernance des changements liés aux TIC. COBIT BAI06 est généralement compris comme Managed IT Changes. Si les extensions de navigateur sont des logiciels et si leur installation modifie l’environnement informatique utilisateur, alors l’installation d’extensions relève de la même logique de changement gouvernée. Zenith Controls: The Cross-Compliance Guide soutient cet angle d’audit en montrant comment les éléments probants de contrôle ISO/IEC 27001 peuvent être réutilisés entre attentes de conformité.
Un plan de mise en œuvre de 90 jours pour la gouvernance des extensions de navigateur
Les organisations n’ont pas besoin de tout résoudre en une semaine. Un programme pratique peut être construit par phases, surtout si la perturbation métier doit être gérée avec prudence.
| Calendrier | Objectif | Actions | Livrables |
|---|---|---|---|
| Jours 1 à 15 | Établir le champ d’application et la responsabilité | Désigner les responsables informatique, sécurité, protection des données, achats et métiers ; confirmer les navigateurs administrés et les groupes d’utilisateurs | Liste des responsables de gouvernance, champ d’application navigateur, déclaration initiale de risque |
| Jours 16 à 30 | Découvrir l’état actuel | Inventorier les extensions installées, autorisations, éditeurs, versions, utilisateurs et sources d’installation | Inventaire des extensions, constats à haut risque, premier résumé à l’attention de la direction |
| Jours 31 à 45 | Définir la politique et les règles de décision | Mettre à jour les procédures d’utilisation acceptable, de terminaux, cloud et fournisseurs pour inclure les extensions | Mises à jour de politique, critères d’approbation, processus d’exception |
| Jours 46 à 60 | Construire le processus d’appréciation des risques | Créer le formulaire de demande, le modèle de notation, les questions de protection des données, le triage fournisseur et les enregistrements d’approbation | Processus de demande d’extension, matrice des risques, modèles d’éléments probants |
| Jours 61 à 75 | Appliquer les contrôles techniques | Configurer le refus par défaut ou les listes d’autorisation progressives, bloquer le chargement latéral, supprimer les extensions à risque connues | Configuration de gestion des navigateurs, liste d’autorisation, liste de blocage |
| Jours 76 à 90 | Surveiller et constituer les éléments probants | Envoyer les journaux aux outils de surveillance, créer des alertes, tester les éléments probants d’audit, rendre compte à la direction | Tableau de bord de journalisation, règles d’alerte, dossier d’audit, rapport de direction |
Pour les organisations à haut risque, en particulier les entités financières soumises à DORA ou les entités essentielles et importantes soumises à NIS2, la première phase de mise en application doit prioriser les utilisateurs ayant accès aux systèmes critiques, aux données réglementées, aux consoles d’administration à privilèges, aux plateformes financières, aux outils de support client et aux environnements de développement.
Le message au niveau du conseil d’administration
La gouvernance des extensions de navigateur ne doit pas être présentée aux dirigeants comme un projet de durcissement du navigateur. Elle doit être présentée comme un contrôle du code tiers non vérifié dans les flux de travail réglementés.
Le conseil d’administration et l’organe de direction doivent comprendre quatre points :
- Le navigateur est désormais une plateforme métier centrale.
- Les extensions peuvent accéder à des données SaaS sensibles et à des sessions authentifiées.
- Les extensions non maîtrisées créent un risque fournisseur, protection des données, incident et résilience.
- ISO/IEC 27001:2022 fournit un modèle de contrôle défendable qui soutient les éléments probants NIS2, DORA et GDPR.
Ce cadrage éloigne la discussion d’une préférence technique pour la rapprocher de la résilience opérationnelle. Il soutient également le financement de la gestion des navigateurs d’entreprise, de l’intégration avec les terminaux, de la surveillance, de la revue de protection des données, du triage fournisseur et de l’automatisation des éléments probants d’audit.
De l’angle mort au contrôle stratégique
Le problème d’audit de Maria n’a pas été causé par un analyste installant un seul outil de productivité. Il a été causé par une catégorie de risque non maîtrisée. L’organisation avait construit un programme de conformité solide autour d’actifs visibles, de fournisseurs visibles, de plateformes SaaS visibles et de terminaux visibles, mais la couche des extensions de navigateur était restée invisible.
Cette lacune est désormais trop importante pour être ignorée.
La correction n’est pas compliquée, mais elle doit être délibérée. Traitez le navigateur comme une partie du terminal. Traitez les extensions comme des logiciels. Traitez les développeurs d’extensions et les services applicatifs externes comme des fournisseurs lorsque cela est pertinent. Traitez les autorisations comme des accès aux données. Traitez l’installation comme un changement. Traitez les journaux comme des éléments probants de conformité.
Un programme défendable commence par quatre actions :
- Découvrir chaque extension sur les navigateurs administrés et les terminaux.
- Définir l’utilisation acceptable et les règles de refus par défaut au moyen de la Politique de protection des terminaux contre les logiciels malveillants - PME, de la P03 Politique d’utilisation acceptable et de la Politique d’utilisation acceptable de l’entreprise.
- Évaluer les demandes d’extension au moyen de critères fournisseurs, cloud, vulnérabilités et protection des données issus de la Politique de sécurité des tiers et des fournisseurs et de la Politique relative aux exigences de sécurité des applications - PME.
- Appliquer et surveiller l’activité d’installation au moyen de la gestion des navigateurs, de la journalisation et des pratiques de collecte d’éléments probants alignées sur la Politique de journalisation et de surveillance - PME.
Pour les RSSI préparant des audits NIS2, DORA, GDPR ou ISO/IEC 27001:2022, la gouvernance des extensions de navigateur est une amélioration de contrôle à forte valeur, car elle ferme un véritable chemin d’attaque tout en produisant des éléments probants réutilisables entre référentiels.
Pour accélérer les travaux, téléchargez Zenith Blueprint: An Auditor’s 30-Step Roadmap et cartographiez vos éléments probants avec Zenith Controls: The Cross-Compliance Guide. Si vous souhaitez transformer le chaos des extensions de navigateur en programme de gouvernance prêt pour audit, planifiez une évaluation ou une démonstration Clarysec et commencez par un inventaire pratique, une cartographie des risques et un plan de contrôle sur 90 jours.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
