Les 7 cases à cocher NTP de vos audits ISO 27001, NIS 2, PCI-DSS et DORA — leurs raisons, leurs limites, et comment atteindre une vraie conformité temporelle
Dans la plupart des audits de conformité (ISO 27001, NIS 2, SOC 2, PCI-DSS, DORA), la synchronisation horaire se résume à une poignée de cases à cocher. « Les horloges sont-elles synchronisées ? » L'auditeur coche, passe au point suivant.
Le problème : ces cases à cocher ont été conçues à une époque où le NTP était considéré comme un service d'infrastructure anodin. En 2026, c'est un vecteur d'attaque documenté, exploité dans des scénarios réels de compromission. Pourtant, la majorité des RSSI traitent encore le NTP comme un service « configuré et oublié » — un angle mort dans leur posture de conformité temporelle.
Cette checklist audit NTP décortique chaque case à cocher typique, explique pourquoi elle existe, révèle ses limites, et montre ce que les RSSI et auditeurs devraient réellement vérifier pour atteindre une vraie conformité temporelle — pas seulement une conformité de façade.
La thèse de cet article : NTP sans authentification (NTS) passe les audits mais laisse votre SI exposé. La conformité sur papier n'est pas la sécurité.
Avant de critiquer les cases à cocher, regardons ce que les normes disent vraiment sur la synchronisation horaire et la conformité temporelle. Le constat est frappant : aucune n'exige explicitement l'authentification des sources de temps. De la directive NIS originale à NIS 2, de PCI-DSS v3.2 à v4.0 — le fossé persiste.
| Référentiel | Exigence | Ce qui manque |
|---|---|---|
| ISO 27001:2022 Contrôle A.8.17 |
« Les horloges de tous les systèmes doivent être synchronisées avec une source de temps de référence approuvée » | Aucune mention d'authentification. « Approuvée » n'est pas défini. |
| NIS 2 Article 21 |
« Mesures techniques et organisationnelles appropriées et proportionnées pour gérer les risques » | NTP n'est même pas mentionné. La synchronisation tombe dans les « mesures techniques » génériques. |
| SOC 2 CC6.1 / CC7.2 |
« L'entité autorise, modifie et supprime l'accès [...] les horloges doivent être fiables pour l'audit trail » | « Fiable » n'implique pas « authentifié ». La fiabilité est auto-déclarée. |
| PCI-DSS v4.0 Exigence 10.6 |
« La technologie de synchronisation temporelle est déployée et maintenue à jour » | Le référentiel le plus précis, mais n'exige toujours pas NTS. Mentionne seulement « sources fiables ». |
| DORA Article 11 |
« Détection des anomalies [...] horodatage fiable des activités » | Oriente finance/résilience. L'horodatage fiable est requis mais la méthode n'est pas spécifiee. |
Résultat : les auditeurs cochent « NTP configuré = conforme » et passent au point suivant. L'infrastructure reste exposée aux attaques sur le protocole NTP lui-même.
Voici les 7 vérifications NTP les plus courantes dans les audits. Pour chacune : pourquoi elle existe, ce qu'elle vérifie réellement, et ce qu'elle rate.
Pourquoi elle existe : S'assurer que les systèmes ne dépendent pas uniquement de leur horloge interne (RTC), qui dérive inévitablement.
ntpd ou chronyd tourne
ne dit rien sur la qualité ni la sécurité de la source. Un serveur
NTP peut être configuré vers pool.ntp.org en UDP sans authentification et
passer cette case.
Pourquoi elle existe : La redondance. Si une source tombe, les autres prennent le relais. L'algorithme NTP compare aussi les sources entre elles pour détecter les « false tickers ».
Pourquoi elle existe : Le stratum indique la distance par rapport à la référence atomique/GPS. Stratum 1 = directement connecté. Plus le chiffre est bas, plus la source est théoriquement fiable.
Pourquoi elle existe : Un offset (écart) faible prouve que l'horloge locale est bien synchronisée avec la référence. Typiquement < 100 ms pour la conformité, < 1 ms pour les environnements critiques.
Pas le temps de gérer le monitoring NTP ? Nos équipes supervisent votre synchronisation 24/7.
Découvrir l'infogérance →Pourquoi elle existe : Le port UDP 123 est un vecteur connu d'amplification DDoS. Les règles doivent limiter l'accès aux seules sources NTP autorisées pour éviter l'exploitation et le trafic non sollicité.
Pourquoi elle existe : Les logs de synchronisation permettent de prouver à posteriori que les horloges étaient synchronisées au moment des événements audités. Essentiel pour la valeur probante forensique.
chronyc authdata doit montrer
Mode = NTS et NAK = 0 (aucun rejet).
Pourquoi elle existe : La traçabilité. Savoir quels serveurs NTP sont utilisés, qui les gère, et quand la configuration a été revue pour la dernière fois.
Toutes les infrastructures ne sont pas exposées de la même façon. Voici une échelle de risque selon votre situation actuelle :
La majorité des infrastructures auditées se situent dans la zone « Élevé » : NTP est configuré (la case est cochée), quelques sources sont définies, mais sans authentification ni supervision continue.
| Attaque | Mécanisme | Impact business | Bloquée par NTS ? |
|---|---|---|---|
| Time shifting (MITM) | Modification des paquets NTP en transit pour décaler l'horloge de la cible | Certificats TLS expirés acceptés, Kerberos/2FA cassé, fenêtres de trading faussées | Oui |
| Replay (injection de temps passé) | Rejeu d'anciens paquets NTP pour ramener l'horloge en arrière | Revalidation de certificats révoqués, contournement d'expirations, fraude temporelle | Oui |
| KoD spoofing | Envoi de faux paquets Kiss-o'-Death pour forcer l'arrêt de la synchronisation | Dérive progressive des horloges, désynchronisation des clusters, rupture de correlation SIEM | Oui |
Pour comprendre le problème, il faut visualiser le fossé entre ce que l'audit vérifie et ce dont l'infrastructure a besoin :
| Ce que l'audit vérifie | Ce que la sécurité exige |
|---|---|
| « NTP est-il configuré ? » | Les sources de temps sont-elles authentifiées ? |
| « L'offset est-il acceptable ? » | L'offset est-il surveillé en continu avec historique et alertes ? |
| « Plusieurs sources ? » | Les sources sont-elles sur des AS, fournisseurs et géographies distincts ? |
| « Le firewall filtre UDP/123 ? » | Le contenu des paquets NTP est-il intègre et non modifiable en transit ? |
| « Les logs sont conservés ? » | Les logs prouvent-ils une synchronisation authentifiée, pas juste une synchronisation ? |
Vous préparez un audit ISO 27001 ou NIS 2 ? Nous pouvons déployer NTS sur votre infrastructure avant l'audit.
Contactez-nous →Si vous êtes RSSI, auditeur, responsable sécurité ou DSI, voici la grille d'évaluation que nous recommandons pour la partie NTP de vos audits de conformité temporelle :
| Critère | Non-conforme | Conforme (minimum) | Robuste (cible 2026) |
|---|---|---|---|
| Service NTP | Absent | ntpd/chronyd actif | chronyd + NTS |
| Authentification | Aucune | Aucune (toléré) | NTS actif (RFC 8915) |
| Sources | 0-1 source | 4+ sources | 4+ NTS, 2+ fournisseurs |
| Diversité AS | Non vérifiée | 1 AS unique | 2+ AS distincts |
| Monitoring | Aucun | Check ponctuel | Continu + alertes |
| Forensique | Pas de preuve | Logs NTP basiques | Logs NTS + authdata |
Passer de « conforme sur papier » à « sécurisé en pratique » ne nécessite pas de révolution. Voici les étapes :
Utilisez notre validateur NTP en ligne pour tester la réponse de vos serveurs. Vérifiez le stratum, l'offset et la joignabilité. Pour un diagnostic plus complet, notre outil de diagnostic NTP identifie les problèmes de daemon et de configuration.
Remplacez vos sources NTP classiques par des sources NTS authentifiées. RDEM Systems propose une infrastructure NTS sur 8 TLD et 3 datacenters — les détails de configuration sont disponibles sur notre page NTS dédiée.
Supervisez en continu l'offset, le statut NTS et la joignabilité de chaque source. Configurez des alertes sur :
NAK > 0)Mettez à jour votre documentation de sécurité pour refléter le passage à NTS. L'auditeur doit pouvoir vérifier :
RDEM Systems prend en charge tout ou partie de votre infrastructure NTP/NTS : déploiement, monitoring 24/7, documentation audit-ready.
Découvrir nos services d'infogérance → Voir notre infrastructure NTS →Besoin d'un devis ? ntp@rdem-systems.com
Les cases à cocher NTP de vos audits ne sont pas inutiles. Elles posent les bonnes questions — « est-ce configuré ? », « est-ce redondant ? », « est-ce documenté ? ».
Le problème, c'est qu'elles ne posent pas la question essentielle :
« Pouvez-vous prouver que le temps que vous recevez n'a pas été falsifié ? »
Sans NTS, la réponse est non. En 2026, cette réponse n'est plus acceptable.
NTP sans NTS = conformité de façade.
NTP avec NTS = sécurité réelle.
Testez votre infrastructure maintenant : Validateur NTP | Diagnostic NTP | Infrastructure NTS