La règle temporaire de mars : relire un pare-feu six mois plus tard

L’article qui accompagne celui-ci demande, dans sa section 7, que les règles d’un pare-feu tiennent sur une page. C’est la bonne exigence et elle est vérifiable le jour de l’installation.

Cette page traite de ce qui arrive à cette feuille dix-huit mois plus tard. Elle en fait quatre, et aucune des trois qui se sont ajoutées n’a été décidée : chacune est une exception ouverte un mardi pour débloquer quelqu’un.

Le problème n’est pas la négligence, et une page qui l’expliquerait par la négligence ne servirait à rien. Il est dans une asymétrie que personne ne peut vaincre par la discipline : retirer une règle peut casser quelque chose de visible aujourd’hui, et la laisser ne casse jamais rien de visible.

La réponse est donc une relecture datée, deux heures une fois par an, avec une méthode qui permet de retirer sans risque. C’est tout le contenu de cet article, et la partie difficile est la section 6.

La question qui trie un jeu de règles n’est pas « cette règle est-elle dangereuse ». Elle demande une expertise, elle prend du temps par ligne, et elle produit des désaccords.

La question qui fonctionne est plus faible et beaucoup plus utile : qui a demandé cette règle, quand, et pour quoi faire ? Elle ne demande aucune compétence en sécurité, et elle se répond en dix secondes ou pas du tout.

Une règle à laquelle personne dans la pièce ne peut répondre n’est pas nécessairement dangereuse. Elle est indéfendable, ce qui est différent et suffisant : vous ne pouvez pas décider de la garder, puisque vous ne savez pas ce que vous garderiez.

C’est ce qui rend la relecture possible par un dirigeant plutôt que par un spécialiste. Vous n’évaluez pas des risques techniques, vous vérifiez qu’il existe une raison, et la personne qui a la compétence intervient seulement sur les lignes qui restent.

Une nuance qui évite un excès : une règle non expliquée ne se supprime pas dans la foulée. Elle passe par la procédure de la section 6, qui est faite exactement pour ce cas — retirer quelque chose dont on ignore l’utilité sans découvrir cette utilité de la pire manière.

La méthode tient en une matinée et elle ne demande pas de connecter quoi que ce soit : elle commence par une impression.

Imprimez le jeu de règles. Sur papier, en entier, dans l’ordre où il s’exécute. La raison est pratique et elle est réelle : à l’écran on fait défiler et on juge les règles une par une, sur papier on les voit ensemble, et c’est ensemble qu’apparaissent les redondances et les lignes mortes de la section 8.

Ajoutez trois colonnes à la main, à droite de chaque ligne : qui a demandé, encore utile, et à retirer. Deux d’entre elles se cochent, la première s’écrit en trois mots. C’est toute l’instrumentation nécessaire.

Faites-le à deux, et le choix des deux personnes compte plus que leur niveau technique. Une personne qui connaît l’entreprise — qui sait qu’il n’y a plus de fournisseur pour ce logiciel depuis un an — et une personne qui connaît l’équipement. La première explique la moitié des lignes en une phrase que la seconde ne pourrait pas produire.

Datez la feuille et gardez-la. La relecture de l’année suivante commence par la comparer à celle-ci, ce qui prend dix minutes et transforme un exercice ponctuel en série. C’est le même raisonnement que le registre de la revue de maintenance : la valeur est dans la comparaison à vous-même.

Quatre découvertes reviennent dans presque toutes les relectures que nous menons, et les connaître permet de gagner une heure sur la première.

La première est l’ouverture de maintenance d’un fournisseur qui n’est plus fournisseur. Elle est la plus facile à trancher et elle est presque toujours présente.

La deuxième est la règle qui autorise une machine par son adresse, et cette machine n’existe plus depuis deux ans. L’adresse, elle, a été réattribuée à autre chose par le serveur d’adresses — ce qui veut dire que la règle autorise aujourd’hui un équipement qui n’a rien demandé, souvent une imprimante ou un poste quelconque.

La troisième est la règle large ouverte pendant une panne. Elle porte souvent un commentaire du type « test » ou « temporaire », qui est la seule fois où le champ commentaire a été rempli, et elle est restée parce qu’après la panne personne ne voulait retoucher quoi que ce soit.

La quatrième est celle qu’il faut chercher exprès parce qu’elle ne se voit pas : la règle qui autorise une sortie, vers l’extérieur, pour un équipement qui n’a aucune raison de sortir — une caméra, un enregistreur, un automate. L’article voisin explique pourquoi le trafic sortant est la moitié que personne ne configure ; en relecture, c’est la ligne qui mérite le plus d’attention pour le moins de travail.

Ce que nous refusons d’abord : supprimer des règles que nous ne comprenons pas lors d’une première intervention. C’est la manière la plus rapide de rendre un réseau « propre » et de couper un flux métier que personne ne pouvait nous décrire. La procédure en quatre étapes existe pour cela et elle prend deux semaines, ce qui est le prix.

Nous refusons également d’ajouter une règle sans les quatre informations de la section 3, y compris quand la demande est urgente — et surtout quand elle l’est, puisque c’est exactement dans ces moments que naissent les règles de mars.

Et nous refusons de facturer une relecture annuelle comme un audit de sécurité. Ce n’en est pas un : c’est deux heures avec une impression papier et trois colonnes, et le dire fait perdre une ligne de facturation qui se vendrait sans difficulté.

Ce que nous faisons tient en une matinée : l’impression, les trois colonnes remplies avec quelqu’un de chez vous, la journalisation posée sur les lignes douteuses, le rendez-vous à deux semaines pour désactiver, et les commentaires écrits sur tout ce qui reste.

Et une chose à faire cette semaine sans nous, en dix minutes : imprimez vos règles et comptez-les. Puis posez la question de la section 2 sur les cinq premières. Vous saurez immédiatement si cette page vous concerne.