Filtrage web en entreprise avec Zenarmor : appliquer l’ISO 27001 A.8.23 en pratique et dans le respect du RGPD

Un filtre web détermine quels sites les collaborateurs, les invités et les appareils peuvent consulter, en fonction de leur catégorie et de leur réputation. L’ISO 27001:2022 l’exige explicitement avec la mesure A.8.23 : l’accès aux sites web externes doit être géré afin de réduire l’exposition aux contenus malveillants. Selon sa propre documentation, Zenarmor classe plus de 300 millions de sites dans plus de 120 catégories, bloque l’hameçonnage, les logiciels malveillants et les serveurs de commande et de contrôle (C&C) de botnets grâce au renseignement sur les menaces dans le cloud, et impose SafeSearch, par utilisateur, groupe ou VLAN.

Dans cet article, vous verrez ce que la mesure A.8.23 exige concrètement, comment fonctionne le filtrage web de Zenarmor (profils, catégories de sécurité, inspection DNS, exceptions), comment le configurer dans le respect du RGPD et comment le déployer par étapes. Nous écrivons en tant qu’auditeur principal (Lead Auditor) ISO 27001 indépendant et partenaire officiel Zenarmor aux Pays-Bas : nous couvrons donc à la fois la technique et ce qu’un auditeur veut voir.

Que demande la mesure A.8.23 (filtrage web) de l’ISO 27001:2022 ?

Le filtrage web fait partie des nouvelles mesures de la version 2022 de la norme (voir ISO 27001:2022 : ce qui a changé). La mesure elle-même est brève : gérer l’accès aux sites web externes pour réduire l’exposition aux contenus malveillants. Le détail figure dans la norme de recommandations ISO/IEC 27002:2022, section 8.23. En résumé, elle couvre :

• Le blocage des destinations à risque : sites malveillants connus ou suspectés (logiciels malveillants, hameçonnage), serveurs de commande et de contrôle, sites malveillants identifiés par le renseignement sur les menaces et sites diffusant des contenus illicites.
• Le blocage des sites dotés d’une fonction de téléversement, sauf raison métier valable.
• Des règles d’utilisation sûre et appropriée des ressources en ligne, y compris les restrictions sur les sites et applications web indésirables, tenues à jour.
• La formation du personnel à une utilisation sûre et appropriée du web.

En pratique, A.8.23 est liée à A.5.7 (renseignement sur les menaces), A.8.7 (protection contre les programmes malveillants), A.5.10 (utilisation correcte), A.6.3 (sensibilisation) et A.8.15/A.8.16 (journalisation et surveillance). Pour A.8.23, un auditeur vérifie quatre points : existe-t-il une politique approuvée ? Est-elle appliquée techniquement sur tous les réseaux et appareils concernés ? Existe-t-il un processus d’exception ? L’efficacité est-elle revue périodiquement ? Pour les entités soumises à NIS2, le filtrage web contribue en outre aux pratiques de cyberhygiène de base de l’article 21 – voir ISO 27001 et NIS2.

Comment fonctionne le filtrage web de Zenarmor

Catégories et classification dans le cloud

Pour chaque connexion, Zenarmor détermine la catégorie web de la destination. La documentation des Web Controls évoque « 300+ million websites in 120+ categories ». La classification provient du cloud Zenarmor : le moteur interroge les serveurs cloud les plus proches et tient à jour un cache local rapide. Vous voulez savoir comment un site est classé ? Utilisez l’outil public de classification des sites.

Profils : Permissive, Moderate, High et Custom

Inutile de paramétrer 120 catégories une à une : Zenarmor propose des profils prédéfinis.

Profil	Ce qui est bloqué (selon la documentation Zenarmor)	Usage type
Permissive	Aucune catégorie de contenu ; navigation sans restriction	Uniquement combiné aux catégories de sécurité, par ex. pour les administrateurs IT
Moderate	Adult, Advertisements, Illegal Drugs, Pornography, Violence	Bureaux, santé, Wi-Fi invités
High	Moderate plus notamment Blogs, Chats, Dating, Gambling, Games, Social Networks, Software Downloads	Écoles, bornes, postes partagés ou publics
Custom	Votre propre sélection ; le profil bascule automatiquement sur Custom dès que vous modifiez une catégorie	Organisations ayant une politique spécifique

Selon la documentation, le profil Custom est réservé aux éditions payantes ; l’édition gratuite propose trois profils fixes. Pour un usage professionnel avec plusieurs politiques (par groupe ou VLAN), choisissez une offre professionnelle, à partir d’Unified Secure.

Catégories de sécurité : Essential et Advanced

En plus des catégories de contenu, Zenarmor dispose de règles de sécurité à deux niveaux. Elles constituent le cœur de la mesure A.8.23 :

• Essential : logiciels malveillants et virus, hameçonnage, piratage, sites de spam, sites potentiellement dangereux, domaines parqués et sites vus pour la première fois (domaines que le moteur de classification n’a encore jamais rencontrés).
• Advanced : épidémies récentes de malwares, d’hameçonnage et de virus, C&C de botnets, sites compromis, logiciels espions et publicitaires, enregistreurs de frappe et outils de surveillance, sites en DNS dynamique, domaines récemment enregistrés et domaines récemment réactivés.

Les domaines récemment enregistrés et les sites vus pour la première fois sont particulièrement utiles contre l’hameçonnage, car les campagnes utilisent souvent des domaines créés quelques jours plus tôt. Zenarmor précise que la disponibilité d’Advanced Security dépend de votre abonnement.

Renseignement sur les menaces dans le cloud

Les données de réputation proviennent du renseignement sur les menaces cloud de Zenarmor. Selon Zenarmor, les requêtes sont transmises chiffrées, traitées de manière anonyme sans données personnelles identifiantes et conservées sept jours au maximum. C’est un point utile pour votre registre des traitements et vos contrats de sous-traitance : intégrez-le à votre analyse RGPD.

SafeSearch et mode restreint de YouTube

Par politique, vous pouvez imposer SafeSearch aux moteurs de recherche comme Google, Bing, DuckDuckGo et Yandex, ainsi qu’à YouTube. Les images, vidéos et résultats explicites sont alors filtrés des pages de résultats. Le mode restreint de YouTube masque en outre les vidéos sexuellement explicites et autres contenus inadaptés. Pour les écoles, crèches, bibliothèques et Wi-Fi publics, c’est souvent le réglage le plus important. Comme il s’applique par politique, vous l’activez sur le VLAN élèves ou invités et le laissez désactivé pour les collaborateurs.

Inspection DNS approfondie : tunnels et domaines DGA

Les attaquants aiment utiliser le DNS comme canal caché : pour exfiltrer des données (tunnel DNS) ou pour permettre à un malware de joindre un botnet via des domaines générés algorithmiquement (DGA). Les règles d’inspection de contenu de Zenarmor comprennent donc une inspection DNS approfondie (DNS deep inspection). Elle détecte les tunnels DNS malveillants, les transactions DNS malformées ou non standard et les requêtes DGA des botnets. Chaque fonction propose trois modes : Disabled, Log et Block. Commencez par Log, observez les résultats, puis passez en Block. L’inspection DNS approfondie fait partie des éditions payantes.

Conseil général : veillez à ce que les postes utilisent votre propre résolveur DNS et limitez le DNS qui contourne la passerelle. Sinon, une partie du trafic vous échappe.

Exceptions et listes d’autorisation

Aucun filtre web n’est parfait. Il arrive qu’un site fournisseur légitime soit classé trop sévèrement, ou qu’un service ait réellement besoin d’accéder à une catégorie bloquée. C’est le rôle des exclusions : une liste blanche (toujours autoriser) et une liste noire (toujours bloquer) pour des adresses IP, plages CIDR, domaines et noms d’hôte. Les exclusions priment sur les règles de sécurité, applicatives et web, et peuvent s’appliquer globalement ou par politique.

Vous souhaitez bloquer au niveau de l’URL, avec des jokers ou des expressions régulières ? Selon la documentation, c’est possible avec les abonnements ZTNA, SSE et SASE, et uniquement avec une inspection TLS complète.

Plus important que la technique : le processus. Définissez qui peut demander une exception, qui l’approuve, sur quelle justification et jusqu’à quand. Les auditeurs demandent ce registre, et une entrée de liste blanche sans date d’expiration est un écart classique.

Vie privée et RGPD : proportionnalité et transparence

Un filtre web traite des données personnelles : qui a consulté quelle destination, et quand. C’est permis, mais dans le cadre du RGPD et du droit du travail. La CNIL rappelle que l’employeur peut contrôler et limiter l’utilisation d’internet, notamment par des dispositifs de filtrage de sites. Chaque salarié doit toutefois être informé (finalités, base légale, destinataires, durée de conservation, droit d’opposition), les instances représentatives du personnel doivent être informées ou consultées au préalable, et les journaux de connexion ne doivent pas être conservés plus de six mois. Nos règles pratiques :

• Bloquer plutôt que surveiller. Un filtre qui arrête les catégories à risque est plus proportionné qu’une analyse a posteriori de la navigation individuelle.
• Transparence. Inscrivez les règles dans votre charte informatique et communiquez-les avant la mise en service.
• Finalité et conservation. Utilisez les journaux pour la sécurité et le diagnostic, fixez une durée de conservation adaptée et limitez l’accès aux données individuelles.
• CSE et AIPD. Consultez le CSE avant la mise en œuvre. Une surveillance systématique des salariés peut en outre nécessiter une analyse d’impact (AIPD). Voir notre article sur l’inspection TLS, le RGPD et le dialogue social.

Pour articuler sécurité de l’information et protection des données dans un même système de management, lisez RGPD et ISO 27001 : les combiner.

Reporting : du blocage à la preuve d’audit

Zenarmor produit ses rapports en local (Elasticsearch ou SQLite) ou dans le cloud, avec plus de 60 rapports selon l’éditeur. Depuis la version 2.7, vous pouvez notamment choisir les Pays-Bas ou l’Allemagne comme région pour le reporting cloud. Les données peuvent aussi être transmises à un Elasticsearch externe, à un serveur Syslog ou à un SIEM. Pour A.8.23, les vues les plus utiles sont l’évolution des catégories de sécurité bloquées, les domaines les plus bloqués, l’effet des nouvelles menaces et la liste des exclusions actives. Pour organiser ces éléments en preuves d’audit, lisez le reporting Zenarmor pour NIS2 et l’ISO 27001.

La mesure A.8.23 traduite en réglages Zenarmor

Élément de l’ISO 27002 (8.23)	Fonction Zenarmor	Preuve pour l’auditeur
Bloquer les sites malveillants (malwares, hameçonnage)	Essential Security : Malware/Virus, Phishing	Export de la politique, rapport des menaces bloquées
Serveurs de commande et de contrôle	Advanced Security : Botnet C&C ; inspection DNS approfondie (DGA)	Rapport, alertes SIEM le cas échéant
Renseignement sur les menaces (lien avec A.5.7)	Renseignement cloud, Newly Registered Sites	Source documentée, catégories actives
Contenus illicites et indésirables	Profil Moderate/High/Custom, SafeSearch	Charte d’utilisation et réglages du profil
Sites avec fonction de téléversement	Catégories de partage de fichiers ; contrôle des actions via CASB (à partir de SSE)	Analyse de risques et politique
Tenir les règles à jour, exceptions	Exclusions horodatées, piste d’audit Zenconsole	Registre des exceptions, comptes rendus de revue

Pour les téléversements vers des services de partage de fichiers, consultez notre article sur SSE, CASB et DLP. Pour les blocages par application (outils d’IA, accès à distance, pair-à-pair), lisez le contrôle des applications avec Zenarmor.

Exemples par secteur

• Enseignement : profil High ou Custom sur le réseau élèves, SafeSearch et mode restreint de YouTube activés, plage horaire calée sur les cours. Les enseignants et l’administration disposent d’un profil plus large. Zenarmor publie des témoignages clients du secteur éducatif européen, notamment GIP RECIA avec DynFi (France) et la ville de Nordhorn (Allemagne).
• Santé : Moderate et toutes les catégories de sécurité sur le réseau clinique, Wi-Fi patients séparé avec SafeSearch. Cela soutient les obligations NIS2 qui concernent de nombreux établissements de santé.
• Bureaux et services : Moderate ou Custom, Essential et Advanced Security en Block, domaines récemment enregistrés bloqués, inspection DNS approfondie activée. Exceptions uniquement via le registre.
• Wi-Fi invités : VLAN dédié, portail captif, Moderate avec SafeSearch et toutes les catégories de sécurité. Vous protégez ainsi votre adresse IP publique et votre réputation contre les abus.

Déploiement en six étapes

Limites : HTTPS et appareils hors du réseau

Le filtrage par catégorie fonctionne sans déchiffrement : Zenarmor s’appuie sur le nom d’hôte issu de la négociation TLS et du DNS, et bloque donc par domaine. Pour filtrer au niveau du chemin (une page précise d’un site par ailleurs autorisé) ou bloquer les téléversements au sein d’un service, il faut une inspection TLS complète, avec toutes les questions de vie privée et d’exploitation qu’elle soulève. Encrypted Client Hello peut en outre masquer le nom d’hôte. Lisez donc d’abord notre article sur l’inspection TLS avec Zenarmor. Protégez les ordinateurs portables hors du bureau avec les agents pour postes de travail, afin que la même politique web s’applique en télétravail et en déplacement.