ISO 27001 NTP — Contrôle 8.17
Synchronisation des horloges
Cartographier l'Annexe A.8.17 sur une infrastructure NTP authentifiée
1. Le texte du contrôle (ISO/IEC 27001:2022 Annexe A.8.17)
ISO/IEC 27001:2022 publie l'ensemble de ses contrôles dans l'Annexe A. Le contrôle 8.17 — sous le thème Contrôles technologiques — se lit :
Le guide d'implémentation figure dans la norme complémentaire ISO/IEC 27002:2022, qui précise ce que « source temporelle approuvée » et « synchronisées » signifient en pratique. Le guide cite NTP et PTP à titre d'exemples, sans en imposer aucun. Ce qu'il couvre :
- Des exigences documentées de représentation de l'heure, de synchronisation et d'exactitude ;
- Une heure de référence standard pour tous les systèmes, y compris la gestion technique des bâtiments et le contrôle des entrées et sorties ;
- Une horloge de référence radio ou GPS comme source, synchronisée par NTP ou PTP, éventuellement avec deux sources externes ;
- Dans ses informations complémentaires : la surveillance de l'horloge de chaque service cloud et la consignation de l'écart.
Au-delà du texte, nous recommandons :
- Une politique de source temporelle à l'échelle de l'organisation ;
- Une couverture explicite des équipements réseau, hyperviseurs, machines virtuelles, conteneurs et services managés ;
- La protection du canal de la source contre l'altération ;
- Une alerte détectant tout échec de synchronisation ;
- Une réponse définie lorsque l'horloge d'un système dérive au-delà d'un seuil acceptable.
La formule « sources temporelles approuvées » est centrale. Au vu des attaques documentées sur NTP non authentifié, certains auditeurs lisent, d'après notre expérience, approuvée comme impliquant authentifiée ; la norme ne l'exige pas.
2. Pourquoi 8.17 est souvent mal documenté en audit
Ce qui manque sur 8.17, c'est rarement le démon NTP : c'est la preuve. Un écart sur ce contrôle est souvent traité comme mineur — ce qui sous-estime les risques opérationnels d'une désynchronisation NTP. Trois cas reviennent le plus souvent :
0.pool.ntp.org à 3.pool.ntp.org ; les hôtes en production pointent en fait vers un stratum-2 interne défunt, retombé en stratum 16 il y a six mois. L'auditeur tire chronyc tracking ; l'écart est immédiat.
3. Cartographie 8.17 → décisions d'architecture NTP
Chaque point — issu du contrôle, du guide 27002:2022 ou de nos propres recommandations — se traduit en décision concrète d'architecture NTP :
| Point et origine | Décision d'architecture NTP |
|---|---|
| « Sources temporelles approuvées » (texte du contrôle) | Liste documentée des serveurs amont ; au moins une source authentifiée (NTS RFC 8915 ou clé symétrique). |
| Heure de référence standard pour tous les systèmes (guide) | Stratum 2 interne alimenté par les sources approuvées ; tous les clients (Linux, Windows, hyperviseurs, conteneurs, équipements réseau) pointent sur ce stratum interne. |
| Canal protégé contre l'altération (notre recommandation) | NTS pour les sources externes ; règles firewall restreignant la sortie UDP/123 à la liste approuvée. |
| Surveillance des écarts d'horloge (guide) ; alerte en cas d'échec (notre recommandation) | Prometheus ou équivalent collectant offset, jitter et reach ; alertes sur stratum ≥ 16, reach = 0, false-ticker. |
| Réponse définie au-delà d'un seuil de dérive (notre recommandation) | Runbook documenté avec seuils (typiquement > 500 ms = intervention opérateur ; > 5 s = incident). |
4. Checklist d'implémentation — 8 contrôles
À appliquer à chaque cycle de certification :
| # | Contrôle | Preuve attendue |
|---|---|---|
| 1 | Politique de source temporelle approuvée par le responsable SMSI | Document politique référencé dans la DdA. |
| 2 | Au moins 4 sources amont, 2 ASN distincts | Configuration NTP + extraits whois. |
| 3 | Au moins une source authentifiée (NTS de préférence) | chrony.conf avec directive nts + procédure de gestion de clés. |
| 4 | Hiérarchie de stratum interne documentée | Schéma d'architecture signé. |
| 5 | Supervision d'offset, jitter, reach sur chaque hôte | Export dashboard (90+ jours). |
| 6 | Alertes sur stratum ≥ 16 et false-ticker | Fichier de règles + historique d'alertes. |
| 7 | Seuil de dérive et runbook de réponse | Playbook IR avec seuils et RACI. |
| 8 | Gestion des changements de la configuration NTP | Historique de tickets pour chaque modification de ntp.conf / chrony.conf. |
5. Pièces de preuve pour l'audit de certification
Rassembler dans un dossier dédié iso-27001/A.8.17/ avant l'audit :
- Politique. Une page « Politique de source temporelle » approuvée et datée.
- Schéma d'architecture. Sources amont → stratum 2 interne → clients.
- Configuration en production.
chrony.confountp.confnettoyés de chaque niveau de stratum. - Télémétrie. 90 jours d'offset / jitter / reach par classe de système. Si cet historique vient des serveurs audités eux-mêmes, l'auditeur doit le croire sur parole ; le rapport mensuel scellé de conformité NTP (Time Evidence) de RDEM Systems le mesure de l'extérieur et le scelle à son émission.
- Alertes. Export des règles + historique des tickets d'alerte.
- Procédures. Procédure de gestion des certificats NTS et des clés symétriques.
- Tests. Sortie du Validateur NTP en ligne pour chaque source amont, datée, capturant strate, écart et verdicts NTP et NTS.
- Revue. Revue annuelle signée de la checklist 8 contrôles ci-dessus.
6. Ce qui change sur le plan NTP : ISO 27001:2013 (A.12.4.4) → 2022 (A.8.17)
L'édition 2022 a réorganisé les contrôles de 14 domaines en 4 thèmes. Le contrôle de synchronisation a gardé son titre ; son texte a changé : La période de transition a pris fin le 31 octobre 2025 (IAF MD 26) : les certificats délivrés sur l'ISO 27001:2013 ne sont plus valides, mais auditeurs et RSSI citent encore l'A.12.4.4.
| ISO 27001:2013 | ISO 27001:2022 | Changement |
|---|---|---|
| A.12.4.4 Synchronisation des horloges (sous « Sécurité d'exploitation ») | A.8.17 Synchronisation des horloges (sous « Contrôles technologiques ») | Renuméroté ; thème changé. Le titre est conservé ; le texte passe d'une source de référence temporelle unique à des sources temporelles approuvées, au pluriel. |
| Implémentation : ISO 27002:2013 §12.4.4 | Implémentation : ISO 27002:2022 §8.17 | Guide élargi : PTP, deux sources externes, une note sur la surveillance des horloges des services cloud. |
Les dossiers de preuves d'un SMSI 2013 se cartographient directement. Le guide 2022 ajoute PTP, deux sources externes et une note sur la surveillance des horloges des services cloud — si le dossier 2013 couvre déjà les sources approuvées et inclut des tableaux de bord offset/jitter, aucun nouvel artefact n'est requis.
7. Écarts d'audit fréquents sur 8.17 (exemples réels)
Constats anonymisés d'audits d'infrastructure que nous avons conduits ou revus (2023–2026) :
- SaaS dans le cloud, pas de politique. 6 VM AWS pointant sur
169.254.169.123(service de temps métadonnées AWS) sans politique. Constat : non-conformité mineure, politique ouverte en 48 h. - Trois sources, un seul ASN. Les trois sources « redondées » résolvaient le même opérateur (AS3320). Constat : risque supply-chain au sens de 8.17 + A.5.19. Remédiation : ajout de Cloudflare NTS + Netnod.
- Stratum 16 en production. Le dashboard affichait reach = 0 depuis 47 jours sur un stratum-2 interne car sa règle firewall amont avait été supprimée pendant un refactoring réseau. Aucune alerte ne s'est déclenchée. Constat : faille de supervision, le contrôle était « opérationnel mais non effectif ».
- Clé symétrique en clair. Clés d'authentification NTP commitées dans le dépôt de configuration en clair. Constat : défaillance croisée avec A.8.24 (gestion des clés).
8. Cartographie inter-référentiels
| Exigence | ISO 27001:2022 | NIS 2 | DORA | PCI DSS v4.0.1 |
|---|---|---|---|---|
| Source temporelle approuvée/synchronisée | A.8.17 | Art. 21(2)(b) | règl. délégué 2024/1774, art. 12(2)(f) | Req. 10.6.1 |
| Canal authentifié (interprétation RDEM — aucun texte ne l'exige) | Non exigé | Art. 21(2)(h) | Art. 9(3) | Req. 10.6.3 (protection des paramètres de temps ; n'exige pas l'authentification du canal) |
| Supervision de synchronisation | A.8.16 | Art. 21(2)(b) | Art. 10 | Pas d'exigence dédiée |
| Rétention des journaux d'audit | A.8.15 | Art. 21(2)(b) ; 2024/2690, annexe, point 3.2.5 | 2024/1774, art. 12(2)(a) | Req. 10.5.1 (10.7 en v3.2.1) |
| Supply-chain temporelle | A.5.19, A.5.21 | Art. 21(2)(d) | Art. 28 | Req. 12.8 |
Voir nos pages dédiées par référentiel : Exigences NTP NIS 2 · PCI-DSS Exigence 10.6 · Hygiène NTP ANSSI / OIV. Pour les acteurs financiers, le seuil devient métrologique — voir MiFID II — synchronisation des horloges (RTS 25).
Lorsque les preuves A.8.17 sont tenues comme un livrable managé, RDEM Systems produit la chaîne de traçabilité documentée vers UTC et la revue périodique — l'audit de traçabilité vers UTC.
Autre angle ? Utilisez l'outil adapté :
- Mesurer jitter, offset, latence → ntp-tester.eu
- Diagnostiquer firewall / port 123 / démon → check-ntp.net
- Architecture de référence entreprise → ntp.rdem-systems.com