NSPM : gérer les politiques de sécurité réseau sans perdre le contrôle
Le Network Security Policy Management (NSPM) regroupe les pratiques et les outils qui permettent de définir, contrôler, modifier et justifier les règles des équipements de sécurité réseau. Wabba-Sego appartient à cette catégorie, avec une approche qui lui est propre.
Ce que recouvre le NSPM
Visibilité
Inventaire des équipements, des objets, des règles et des flux qu'ils autorisent.
Analyse de la politique
Règles inutilisées, trop larges, en double ou contraires aux standards de l'entreprise.
Gestion des changements
De la demande d'ouverture de flux à son implémentation, avec analyse du risque.
Conformité et audit
Preuves pour les audits, recertification périodique des règles, traçabilité.
Gouvernance
Des règles d'entreprise (zones, flux autorisés, ports interdits) appliquées partout.
Pourquoi le NSPM est devenu indispensable
Des politiques en croissance continue
Des milliers de règles, ajoutées au fil des projets et rarement retirées.
Des exigences réglementaires
NIS2, DORA, ISO/IEC 27001 et PCI DSS exigent de maîtriser et de documenter la sécurité et la segmentation des réseaux.
Le risque lié au changement
Une règle ou un label modifié peut couper un flux de production, ou en ouvrir un de trop.
La microsegmentation
Elle multiplie les règles et les objets (labels, label groups) et rapproche la politique de chaque serveur.
Vos exigences, et ce que Wabba-Sego apporte
| Texte | Ce qu'il exige | Ce que Wabba-Sego apporte |
|---|---|---|
| NIS2 : directive (UE) 2022/2555, article 21 | Des mesures de gestion des risques, dont la sécurité des réseaux et des systèmes d'information et le contrôle d'accès. | Guardrails contrôlés à chaque changement, journal d'audit, rapport de conformité par instance. |
| DORA : règlement (UE) 2022/2554 et règlement délégué (UE) 2024/1774, article 13 | Une gestion de la sécurité des réseaux, dont la séparation et la segmentation des systèmes et des réseaux. | Une politique de segmentation maîtrisée dans la durée : recertification, règles inutilisées ou trop larges, dérogations datées. |
| ISO/IEC 27001:2022, annexe A, mesures 8.20 à 8.22 | Sécurité des réseaux, sécurité des services réseau, cloisonnement des réseaux. | Votre modèle de labelling et vos tableaux de flux autorisés comme référence ; écarts détectés à chaque synchronisation. |
| PCI DSS v4.0, exigence 1 | Des contrôles de sécurité réseau installés, maintenus et revus périodiquement. | Analyse des règles, recertification à échéance, preuves exportables. |
Wabba-Sego ne rend pas conforme à lui seul : il vous aide à appliquer vos exigences et à en produire les preuves.
La place de Wabba-Sego
| Approche NSPM répandue | Wabba-Sego | |
|---|---|---|
| Point de départ | Les firewalls, souvent de plusieurs éditeurs. | La microsegmentation (Illumio Core), puis les firewalls. |
| Mode d'action | Analyse et circuit de demandes ; l'implémentation reste souvent manuelle ou scriptée. | Actions directes sur l'équipement, à l'unité ou en masse, toujours par un plan. |
| Avant le changement | Analyse de risque de la demande. | Dry-run sur l'état réel, flux coupés et ouverts calculés, règles proposées pour les conserver. |
| Référentiel | Matrices de zones et standards de sécurité. | Votre modèle de labelling (types, tags, catalogue, label groups) et des guardrails fondés sur lui. |
| Déploiement | Souvent un service en ligne ou un serveur central connecté. | Sur site, hors ligne, à partir d'un paquet signé. |
Questions fréquentes
Wabba-Sego remplace-t-il la console Illumio ?
Non. La console reste utilisable : Wabba-Sego relit le PCE à chaque synchronisation et prend en compte les changements qui y sont faits. Il ajoute la gouvernance, les opérations en masse et la sécurité du changement.
Un accès à Internet est-il nécessaire ?
Non. Wabba-Sego s'installe et fonctionne hors ligne, sur site : machine virtuelle (OVA pour VMware, VHDX pour Hyper-V) ou conteneurs Linux.
Wabba-Sego peut-il écrire sur mon PCE sans contrôle ?
Non. Toute écriture passe par un plan : dry-run sur l'état réel, approbation si elle est activée, application dans l'ordre, journalisation. Avec une clé d'API en lecture seule, les plans s'exécutent à la main, d'après leur classeur, puis se vérifient.
Quels équipements seront couverts ensuite ?
L'intégration ServiceNow et le module Firewalls sont prévus, gouvernés de la même manière que la microsegmentation ; ensuite, d'autres éditeurs de microsegmentation, les proxies et le SASE/SSE.
Comment Wabba-Sego est-il licencié ?
En unités d'œuvre : vous payez les opérations utiles qui réussissent, pas la taille de votre parc. Les synchronisations, les consultations et l'application des plans sont sans frais.
Évaluez Wabba-Sego dans votre environnement
- Démonstration
Sur vos cas d'usage et avec vos conventions.
- POC (preuve de concept)
Déployé sur site, hors ligne et connecté à votre environnement, sur un périmètre défini ensemble.
- Bilan du POC
Des objectifs fixés au départ, des résultats mesurés à la fin.