Le socle juridique
La loi n° 2013-451 du 19 juin 2013, modifiée notamment par la loi n° 2023-593 du 7 juin 2023, incrimine les atteintes aux systèmes et données. Les obligations de sécurité des données personnelles découlent aussi du cadre de protection des données. Il faut distinguer la sanction d’un attaquant, le manquement de l’entreprise à une obligation de sécurité et sa responsabilité contractuelle envers ses clients. [, , ]
Le décret n° 2021-916 du 22 décembre 2021 adopte le Référentiel général de sécurité des systèmes d’information et le Plan de protection des infrastructures critiques. Le décret n° 2021-917 définit les procédures d’audit, de contrôle et de certification. Les exigences applicables doivent être rattachées à la version du référentiel et au périmètre effectivement retenu. []
Audit réglementaire et prestataire agréé
L’ANSSI rappelle une périodicité de trois ans pour les organismes publics et entreprises privées établis sur le territoire national. L’audit réglementaire est réalisé par un PASSI agréé. Un audit volontaire ou un test technique ne le remplace pas nécessairement. L’entreprise doit vérifier le statut du prestataire et le périmètre couvert avant de signer. []
L’article 4 du décret n° 2021-917 prévoit aussi un audit périodique obligatoire dix-huit mois après l’obtention du certificat. Le calendrier ne doit donc pas être réduit à un rendez-vous tous les trois ans. Les articles 11 et 13 organisent notamment la transmission du rapport sous dix jours ouvrés après la clôture et, en cas de rejet, la réalisation d’un nouvel audit par un autre PASSI sous trois mois. Les modalités pratiques sont à articuler avec les compétences actuelles de l’ANSSI. []
Recommandation : préparer un cahier des charges qui identifie les systèmes, applications, sites, filiales, accès distants et prestations externalisées. Définir les règles de test, les autorisations, la protection des données et les conditions d’arrêt pour éviter une interruption de production.
Le rapport doit donner lieu à un plan de correction, avec un propriétaire, une priorité et une preuve de clôture pour chaque constat. Les vulnérabilités critiques ne doivent pas attendre le prochain cycle réglementaire. Un contrôle de la correction est particulièrement utile lorsque le défaut affecte l’authentification, les sauvegardes ou l’exposition d’une base de données.
Niveaux du référentiel révisé
Le RGSSI publié par l’ANSSI comporte 107 critères répartis en 16 domaines et trois niveaux. Le niveau 1 concerne des structures à faible exposition ; le niveau 2 vise les organismes traitant des données sensibles ou personnelles ; le niveau 3 concerne les données d’intérêt vital pour la nation. Chaque critère indique les niveaux auxquels il s’applique. La classification doit être documentée pour établir une grille d’audit cohérente. []
La section B14 prévoit notamment, pour les niveaux désignés dans ses tableaux, un plan de réponse et des mécanismes d’alerte. Pour le niveau 3, elle prévoit une déclaration immédiate des incidents à l’ANSSI et la transmission de relevés techniques avec conservation minimale de six mois. Ces exigences spécifiques ne doivent pas être étendues indistinctement à tous les niveaux. []
Mesures de sécurité recommandées
Les mesures ci-dessous constituent une base opérationnelle à ajuster aux risques et exigences applicables :
- Recenser les actifs et attribuer un responsable aux applications et données critiques.
- Utiliser des comptes individuels, limiter les privilèges et renforcer les accès sensibles par une authentification multifacteur.
- Maintenir les équipements et logiciels à jour et organiser le traitement des vulnérabilités.
- Séparer les environnements, protéger les accès d’administration et surveiller les événements utiles.
- Effectuer des sauvegardes protégées, conserver une copie suffisamment isolée et tester la restauration.
- Former les utilisateurs, notamment aux fraudes au changement de coordonnées bancaires et à l’hameçonnage.
Chaque mesure doit être proportionnée et vérifiable. Une politique annonçant des sauvegardes quotidiennes a peu de valeur si aucune restauration n’a été testée. Un compte d’administrateur partagé empêche d’attribuer les actions et rend les départs de personnel difficiles à sécuriser.
Continuité et responsabilité de la direction
Recommandation : définir les services qui doivent être rétablis en priorité, le temps d’interruption acceptable et la perte de données maximale supportable. Ces objectifs doivent être confrontés aux capacités réelles du fournisseur et aux résultats des exercices.
La direction doit arbitrer les risques résiduels. Un risque accepté doit être décrit, limité dans le temps et assorti d’un responsable. Une dérogation technique ne doit pas devenir une exonération implicite et permanente des obligations légales ou contractuelles.