Cahier des charges – Windows Ultra-Sécurisé (WSUS-01)

Ce cahier des charges définit la méthodologie et les exigences techniques pour transformer un poste Windows standard en poste Windows Ultra-Sécurisé.
L’objectif est d’atteindre un niveau de sécurité de 90 à 95 %, soit un positionnement dans le Top 10 % mondial en matière de sécurité Windows, grâce à une combinaison de bonnes pratiques, d’audits techniques, de contrôles de conformité et de configuration avancée.

Le document détaille :

La préparation et le périmètre, incluant la sauvegarde, la restauration et l’accord client.

L’audit technique étape par étape (mises à jour, antivirus, comptes, droits, services).

Les mesures de sécurité avancées (pare-feu, BitLocker, monitoring, réseau).

Ce projet s’appuie à la fois sur les outils natifs de Windows et sur des solutions reconnues comme Sysinternals, Microsoft Security Baselines et CIS Benchmark, afin de garantir une sécurisation robuste et conforme aux standards actuels.

1. Cahier des charges – Proposition de sécurisation Windows Ultra
Sécurisé
1. Préparation & périmètre
Exigences :
- Compte administrateur local disponible
- Point de restauration système actif
- Sauvegarde récente validée
- Accord client documenté
Outils utilisés :
- Outils natifs Windows (Paramètres, Sécurité Windows, BitLocker, Observateur d’événements)
- Outils optionnels (si autorisés) : Sysinternals, Microsoft Security Baselines, CIS Benchmark
Score de sécurité attendu : +5 %
Peu de machines disposent systématiquement d’un système de restauration et de sauvegarde ®
avantage fort dès la préparation.
2. Audit technique – étape par étape
A. Santé & mises à jour
- Vérification version & build : poste en Windows 10 22H2 ou Windows 11 23H2 minimum
- Contrôle des patchs récents (derniers 30 jours)
- Vérification pilotes & firmware à jour
Les machines non patchées sont vulnérables à 80 % des attaques connues.
Score attendu : +20 %
B. Antivirus/EDR
- Activation et contrôle de Microsoft Defender avec :
Temps réel ON
Cloud ON
Tamper Protection ON
Exploit Protection ON
Accès contrôlé aux dossiers ON
- Signatures à jour (Update-MpSignature)
- QuickScan régulier + FullScan hebdomadaire
Score attendu : +25 %
C. Comptes, droits & UAC
- Vérification des comptes locaux ® aucun compte orphelin
- Groupe Administrateurs restreint au minimum (1 compte IT + admin local)
- Niveau UAC réglé sur “Toujours m’avertir” pour bloquer les élévations non autorisées

2. Score attendu : +15 %
D. Services, démarrage & tâches planifiées
- Programmes au démarrage : uniquement logiciels métier validés
- Services non-Microsoft : liste réduite et maîtrisée
- Tâches planifiées : uniquement Windows Update, Defender, et applications nécessaires
Score attendu : +10 %
3. Sécurité avancée
Pare-feu :
- Pare-feu Windows activé sur tous les profils (Public, Privé, Domaine)
- Règles entrantes limitées au strict nécessaire
BitLocker :
- Chiffrement disque activé avec puce TPM + PIN optionnel
- Sauvegarde de la clé de récupération dans Azure AD, Active Directory ou coffre-fort
Journaux & monitoring :
- Vérification Observateur d’événements (erreurs critiques, journaux de sécurité)
- Activation audits pour connexions et élévations de privilèges
Réseau :
- Analyse des connexions avec TCPView (Sysinternals)
- Wi-Fi sécurisé (WPA2/WPA3 uniquement)
- Désactivation des partages SMB en public
Score attendu : +15 %
Objectif global
En appliquant l’ensemble de ces étapes, le poste Windows Ultra Sécurisé – WSUS-01 atteindra un
niveau de sécurité de 90–95 %, contre une moyenne mondiale estimée à 55 %.
Positionnement du poste : Top 10 % mondial en matière de sécurité Windows.
Jaouad Assabbour - Formateur Consultant Technique DevOpsSec & Data