Vous êtes sur la page 1sur 61

27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Dcrets, arrts, circulaires


TEXTES GNRAUX

MINISTRE DES AFFAIRES SOCIALES, DE LA SANT


ET DES DROITS DES FEMMES

Arrt du 1er octobre 2015 portant approbation de la politique de scurit


des systmes dinformation pour les ministres chargs des affaires sociales
NOR : AFSZ1523362A

La ministre des affaires sociales, de la sant et des droits des femmes, la ministre du travail, de lemploi, de la
formation professionnelle et du dialogue social et le ministre de la ville, de la jeunesse et des sports,
Vu le code de la dfense, notamment ses articles L. 2321-1 et R. 1143-1 R. 1143-8 ;
Vu la circulaire du Premier ministre du 17 juillet 2014 portant la politique de scurit des systmes
dinformation de lEtat,
Arrtent :
Art. 1er. La politique de scurit des systmes dinformation pour les ministres chargs des affaires sociales,
ci-aprs annexe, est approuve.
Art. 2. Le prsent arrt sera publi au Journal officiel de la Rpublique franaise.
Fait le 1er octobre 2015.
La ministre des affaires sociales,
de la sant
et des droits des femmes,
Pour la ministre et par dlgation :
Le secrtaire gnral des ministres
chargs des affaires sociales,
P. RICORDEAU
La ministre du travail, de lemploi,
de la formation professionnelle
et du dialogue social,
Pour la ministre et par dlgation :
Le secrtaire gnral des ministres
chargs des affaires sociales,
P. RICORDEAU
Le ministre de la ville,
de la jeunesse et des sports,
Pour le ministre et par dlgation :
Le secrtaire gnral des ministres
chargs des affaires sociales,
P. RICORDEAU
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

ANNEXE

~l
115m.- - garl - Falun..-

IPUBLIQIII buvant:

Politique de scurit des systmes


dinformation pour les ministres
chargs des affaires sociales
(PSSI-MCAS)
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Gedoowmntatraliapar

le Fonctionnaire ce sonnante des materna: automation (FSSI)


duselvicem HautFormmrnide Dfensect descurittl-FDS)
desninistres dames desmaires sociales

enrelationaveclemauooell
deragenoe NationaledeIaScurihdesSystmesdlrtomuonmNssl)
duSeaariatGtraIdelaDfemeetdehSeuritNaolaGDsN)

Ministreschalusdesaffairesciales
Savioeml-lauFonctiomuiredeDfumetdeSamt
14 avenuaDnxrpesm
75350PARIS07 SP

nmouvocroonsms

PAR

l.E SECRETAIRE GEIERAI. HAUT FONCTIONNAIRE DE DEFENSE SIDE SECIJRITE (HFDSI


DESMINISIESCHARGESDESAFFAIRES SIALES
644
81
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Pnambdo

4 ~nouaoncoononooooooooo SOM MAIRE ououoooonuoooaoo-

o~ 891
69
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

7 Gestion des 697


749
27 octobre 2015

Truitementdes incidents...
Chairs

Traitement
oprationnelles

Gestiondelacontimitdaciivitdessl.
Dnition pan ut
duplan
Mise enmure du
JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE

desalertes de scurit mises


Remanee des Incidentsdescurit rencontrs (Cf. Annexe 3)

Continu! d'activit

continuitd'activit
Inca! des systmes
decontinuitd'activit
nationales (PS5!
les par instances

.............................................

dlnforrnation
des symtries une entit
d'information
~~
........................................................................

. ..
781
. .

..
.
ANSSI) l

~~
~
.
Texte 8 sur 81

......
~~
Maintien en conditions oprationnelles du plan local decontinuitd'activit des Systmesd'information .

Courroies- ....................

nmaapsuouuiu magnum-.. __________........__________________...

AMI!!! 4 Illumination .......................................................................................................................................

Optionsquifaftnt l'amont! diolnolwatbn i. ............................................................................................

Dfinitiondeiostrotgiedhomoiogotlon .........................................................................................................

Matrise desrisques ......................................................................................................................................... ..

Prisededcision... .... ......... ...................................................... .... ......... ...........................................

bannie dedoannentde srmagie :_..


Exanple deddsiun Jhormlogoon ~ ..
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Prambule

Les volutions des modes de travail dans les administrations et des relations avec les citoyens et
usagers placent les systmes d'information au curdes activits La prsence d'intelligence embarque,
de l'extensiondes systmes de pilctage centralis de processus, du dploiement de services de mobilit
et de la dmatrialisation des procdures a l'attention s citoyens contribuent ainsi de manire
structurante an: mtiers essentiels des administrations ce I'Etat (ministres, tablissements publics so
tutelle d'i.iri mnistre, senrices dconcentrs et autorits administratives) et concourent a l'amlioration
de la qualit d:service rendu. Ils font partie intgrante de lei.ir patrimoine informationnel.

Ces Systmes d'nfo rmation (Sl) sont exposs a de mulipies menaces activant gravemert porter
l'exposition et la complexit des si ne tort que
atteirte au tonctionnenent de ces structures. Par ailleurs,
crotre, du fait de besoins dbwerture. de mutualisation, dhamionisation, de valorisation et de exibilit
toujours plus innportants.
Ainsi, afir de prendre en compte ces volutions et les risques associs, le Premier ministre a dfini une
politique de scurit des systmes drlon-nation de l'Etat (PSSIE) qu xe les rgles de protection
applicables aux systmes dinfomnaon de ta.
Cette PSSIE affiche la volont de I'Etat de se montrer
exemplaire en matirede cybersecurite.
Pour garantir cette exigence, la politicue de scurit des systmes d'information pour es ministres
chargs ces affairessociales (PSSI-MCAS),qui repcse sur la PSSIE, dfinit le cadre rgissant la mise en
uvre de la scurit des systmes drlormation, avec comme objectif la protection des systmes
d'information et des infrastructures critiques pnui Ibrsemble des primtres mistriels et permettre

r d'assurer la continuit des activits ;

b de prvenir a lute dinfonnatonssensibles ;

b de renforcer la confiance des citoyens et des entreprises dans les tlprocmres.


Les dclinaisons sectorielles (car exemple la PGSSI-S pou le secteur de la sant) ou d'organismes,
doivent se conformera la PSSl-MCAS ou a la PSSI-E.

La PSSi-MCAS s'adresse, sans exceptions, l'ensemble des agents ces MCAS et aux prestataires
oprant au profit des ministres, et tout particulirement :

D aux autorits hirarchiques, qui sont responsables de la scurit des informations


traites au sein de leurs services ;

v aux directeurs des systmes dnfomiation _

I aux personnes chargesdc la scurit et de l'exploitation des systmes d'information.

La PSSI-MCAS reprend dans SES annexes ES ITESUFES techniques gnrales la PSSI-Iz, qui
constituent un socle minimal. Pour certaines applications. ce socle minimal ne devra pas tre considr
comme silfisant. Chaque autorit qualifie en scurit s systmes d'information s'aopuie sur la PSS -

MCAS, sur les normes existantes et sur les guices techniques de PANSSI et du service du llaut
fonctionnaire de dfense ei de scurit des MCAS pour laborerdesmesures techniques dtailles.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Elle dcompose comme suit

v Prsentation des eiieux lis a la Scurit des Si pou les MCAS, et des objectifs
atteindre po.ir obtenr un niveau de scurit conforme ces enjeux ;

I Dnition des principes ce gouvernance SSI au sein des MCAS;

b Dnition d'une organisatiow de la Scurit des SI, en dtailant les roles et


responsabilits des diffrents acteursdes MCAS;

r Fomalisation des rgles de scurit a appliquer, permettant de garantir un niveau de


protection adapt aux erjeux, contrainteset activits propres des Ministres Sociaux,
de man ere cohrente ertre tomes les structures.

1. Objet du document
Le prsent document dfinit la polmque de scurit des systmes d'information ces ministres chargs
des affaires sociales (PSSl-MCAS). Cette politique repose sLir la politique de scwit des systmes
d'information de l'Etatdu 17 juillet 2014 (PSSI-E) dont elle constitue la dclinaison sectorielle applicable
aux MCAS.

La PSSl-MCAS s'articule en deux parties.

n La premire partie, prcise dans le contexte des MCAS Iorganisation SSI prvue par la
PSSI de I'Etat, en laissant la possibiit aux entits des IVCAS de s'organiser leu tour
en leur sein.

I Laseconde partie est un ensembledannexes :

o L'annexe 1 indique schmatiquement les actions a mettre en uvre pour


mettre en place une gouvernance de la scurit des systmes dirfonnation.
o Uanrexe 2 reprerd l'ensemble des mesures et reges techniques dictes par
la PSSI-E pour les MCAS.
o L'annexe3 indique les procdues mettre en piaoe en cas d'inci:lent.attaque.
o L'annexe 4 ccnoeme Ihorrologation obligatoire {simple ou suivant le rfrentiel
gnral de scurit) des systmes d'information.
o Enfin, un glossaire est mis en annexe 5

2. Champ d'application
2.1. Primtre d'application
Le politique de scurit des systmes dirformdion s'applique aux systmes d'inammation cortribciant
la mise en Lvre des missions cones aux ministres :

n des affaires sociales, de la sant et ces droits des terrmes ;

n du travail, de l'emploi, de la omtation professionnelle etdu dialogue social ;

n dela ville, de la jeunesse et des sports.

Ils seront dsigns ministres chargs des affairessociales (MCAS) dans l'ensemble du document

Elle don: les directions. les services ntraux, les services dconcentrs des MCAS, ainsi que
concerne
les tablissements places sous leurs tutelles. Elle concerne gaement. par vole contractuelle o.i
conventionnelle. toute personne physique ou morale tierce intervenant dans un systme drfonnation
dort l'activit concourt aux missions des MCAS (foumisseLrs, prestataires de services, sous-traitants,
employs, agents...).
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

La politique ministrielle SOUI des systmes CIIOTTOI des MCAS est un dOCUTlenI usage
interre au ministre et externe (prestaaires). Destin etre connu. il re fait pas l'objet de protection
particulire et peut tre communiqu en externe sans restriction.

2.2. Gestion des volutions

La PSSl-MCAS devra elre revue priodiquerrreirl pour peintre en compte .


I Les volutions des directives etIitiques de scurit des Systmes dlrtomtation
Mhistrielles, parexemole la PSSl _ oudes orientations de FANSSI ;

u l es rsultats d'analyses de risques, dhdinrs de mntrle nu d'inspection ;

e Les volutions du contexte organisationnel et technologique de: MCAS ;

I Lesvolutions de primtre des MCAS.

3. Enjeux et objectifs de la SSI

3.1. Enjeux en matire de SSI


Autel des systmes informatiques, le terme e Systmes d'information n correspond Pensemble des
ressources (l hommes. le matriel, les logiciels) organises pour colecter, stocker, traiter et
communiquer de l'information au sein mrne d'uneorganisation et dans ses rebtions avec lextrieur.

L'indisponibilit, la modification et a divulgation non autorises de ces ressources, essentielles au bon


fonctionnement des MCAS, enlrainerait des impacts forts sur ses activits: pte de march pualic, perte
de crdibilit. manquement grave aux obligations lgales et rglemertaires. atteinte au bon droulement
des activits, mise en danger de persomes, etc.

De ce fait les Systmes d'informationdes MCAS portent des enjeux forts :

De: enjeux de continuitdeservice de: activits de I'tat

Une ciefallance des Systmes dlnfonnation des MCAS pourrait nuire de faon importante la continuit
des services de lt, notamment en ce qui oomerne les services essentiels au forcticnnemem du pays
et sa dfense, et entraner ure non-conformit aux Directives Natiorales de Scurit.

Des enjeux dlme lies e une dfaillance dans leservice aux citoyens

La scurisation des S/stmes dlnforrnation des MCAS joue un rle primordial dans le service aux
citoyens ; une dfaillance de ceux-ci poJrral en effet porteratteirte a l'image des MCAS et entraner une
perte de confiance de l'action ministrie le. cela peut notamment se traduire par :

I Une perte de confiance des citoyens, en cas de dfaillances dans le tonctionrement cl.i
systme de protectionsanitaire. social on.de solidarit ;

e Une perte de conance des citoyens en cas de perte ou de divulgation d'informations


caractre personnel protges par la loi n7847 dJ 6 janvier 1978 relative
rirtormetiqire, eux fichiers et aux liberts;

I Une perle de conait:- des citoyens et des professionnels du secteur, en ces de


divulgation d'informations de sant publique, de scurit nationale, financires o.r
sociales;

e Une perte de confiance des foumisseurs en particulier dans le cas o les informations
lies aux marchs public seraient divulgues ou compromises ;

I Une perte de conance en cas duswpation ou dedneturatior dirformatiows ;


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

e Une perte de conrance en cas de mauvaise uilisation ou de dtournement d'argent


piblic;

e Une perte de rrdibilite sur la gestion ministrielle, en particulier dans l'hypothse o les
donnes oprationnelles, rancires et statistiques ne seraient pas ables ou produites a
temps, etc.

Des entiers: crorganlsetlon Interne

Une dfllance de ces systmes conduirait a une imaortante dsorganisazion dans la comme des
activits quotidiennes des Ministres e: de leurs oprateurs En effet, les processus tant trs intgrs
dans les SI, tout sinistre sur les SI (inastructure bureautiqJe, applications, etc.) a des consquences
cirectes sur les activiteeet peut ainsi ralentir les prises de dcision et le mec en oeuvre de treitemerts.

3.2. Objectifs en matire de SSI


Afin de rpondre aux enieux dcrits ci-avant. il est dcnc ncessaired'assurer :

e Le disponibilit des 8|

La disponibilit des Sl est au centre des proccupations scLritairs ministrielles, pour


garantr la corrmunicatian et le traitement des demandes des citoyens, des ertreprises,
des assuciatiuis eldes autres administrations.

Les S doivent remplir leurs lorictlons dans des conditions predeflles d'horaires, de
dlais et de performance.

e L'intgrit des donnes et des nement:

Les Sl doivent garantir que les informations oprationnels: sont inaltrable: et certifier
de leureXFalJSlVl de leurvalidit et leurcohrence.

e Le confldentldlt des Informations manipules per les8l des IKZAS

Les SI doiventgarantir la confidentialit des informations sensibles, voire crtiques du


point de vue poltiqtie, conomique, ou nominatif, en respectart notarrmert les
obligations lgales et rglementaires

e Le treeblllt des vnements eur le 8l

traabilit des vnement: majeursafin d'assurer notamment


LesSI doixent pemiettre la
rimputabilil des actions, le cortrole du bon droulement des tratements, ou encore la
maitrise des accs au SI des MCAS.

Le respect de ces objectifs descurit de l'information implique notarrment de :

e Raliser les analyses de risques pesant sur les 8l

La scurisation des SI passe en premier lieu par la ralisation de l'analyse des risques.
Cela pemiet d'envisager les moyens organisationnels et techniques mettre en pla
pour un juste riveau de scurit au regard des enjeux et de concourir ainsi a gestion
des risques.

e Mettre les 8l en contomlt avec les lois et rglementations.

Diffrentes obligations lgales ou rglementaires doivent faire l'objet d'une prise en


compte par les autcrites (CNIL, RGS, eIDAS. .) et de eur mise en conformit.

I sensibiliser et former le personnel

Les pratiques quotidiennes des utilisateus et administrateurs des SI sont un lment cl


de la SSI, et il est alors essentiel de leur faire prend? conscience et de les fumier aux

enjeux de la scurit de l'information

e Scuriser les composent: des 8l et Maintenir b: SI en condition descurit


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Lascmsarionoescomposamsduslconcemelesposusdonvalnserveun
bureautiques et mpllcdlfs. rseaux. appllctloiis de. dnsi que les lmerts en
priphrie desressources irfomiaques tels que la scurit physique des locaux.
La mise en place de SI demari, outre le rnairtien en condition opraionnel. de penser
au mairtien en condition de scurit (mise il jou des carcclifs de scurit, vrication
descomptes uilisateu...)

a oasttondncacedoshcldulsscurldssubosddclaconimlddtv:

La suverue d'un vnarmrt anormal affecter! l'un des composants dm systme


diffamation et de commuicetion doit lre dclar par OLI agent aiprs de son
responsable intormatique de pximt. de son responsable de la scurit des systmes
dirlomiation ou le cas chart de PAOSSI dont il dpend. En cas d'incident, sinistre ou
piratage critique suspect ou avr, le service ou Haut lonctionraire de dfense et de
scurit en est irform sans dlai. Le FSSI peu tre saisi ctirecterrt (Cf. Annexe 3).

4. Organisation de la SSI pour les


ministres chargs des affaires
sociales
comme le prcise la loi n20134168 6.118 dcembre 2013, c le Premier mhistre lit la politique et
coordonne l'action gouvernementale en matirede scurit et de dfense des systmes d'information Il
dspose cette n de l'autorit rationale de scurit des systmes dinfomation n, I'ANSSI, rattache
au secrtaire gnral de lafenseet de la scurit nationale.

La escarre de ririlomiatlon releva des responsabilits propres a chaque ministre dans le domarie dort il

~~
Agqioenarionueaososmmmnacrmmnim
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

4.1. Organisation de la cyberscurit (Scurit des Systmes


d'information)
An de rpondre efcaoemert aux enjeux importants en matire de cvberscJrit (ou scurit des
systmes drformation), il est primordial de dnir uneorganisation de la SSI qui soit adapte aux
spcificitsdes MCAS et suffisamment moduable pour s'appliquer a l'ensemble du primtre
besoins et
des MCAS (l'administration centrale, services dconcentrs, oprateurs et tablissements sous tutelle).

La scurl des systmes d'information ou cyberscurit, souvent abrge c: SSI x- repose sur trois
chanes en coordination :

a une clame dclslonnee 88|.

Elle dcide, sur son primtre de comptence de l'organisation SSI et des mesures de
protection des systmes d'information appquer Ele est compose comme suit

b lasministres .

T lasecrtaire gnral. hautfonctionnaire dedfenses!de

scurit ; .'

b
ta
b3haut fonctionnera
dlgus
Iooautorits
bs sectorielsde
fonctionneradescurit
qualies
autorits d'homologationon des systmes
a ladfense
suatgb dosscurit
et des
de
(AH)
scurit systmes
pour bLr
adjbnt
d'information
: (Fssi)
d'information:
systme
d'information ;
(AOSSI)
d'information.

a une chanefonctionnelle 88|.

Pour e compte des autorits hirarchiques, elle :

D fait appliquer les mesures de prottibn des SI et les textes rglementaires et en contre
fapplrcaiion.
I conscritsles autorits. les rasponsabbs de systmes d'information, lesdictaurs de projet .'

r value le nA/eau de scurit des SI. et exprime ces risques ports par les sysmes
dihfomration:

D rneten uvre les systmes dntometrmscuriss gouvernementaux conus par le SGDSN.

Elle est compose comme suit :

D b fonctionnera de scurit des systmes d'information (FSSi) ;


D b cas chant l'autorit d'appui (AA). reprsentantde l'autorit qualifie;

I ta responsable detascurit des systmes d'information (RSSI?) olace auprs deIAOSSI .'
D les mimes d'ouvrage (en tant que de besoin).

I UnI138m8 oprionnaile 53|.

Elle recherche les signaux prcurseurs d'attaques, dtecte les incidents de scurit ou les
attaques, excute les actions durgence, et informe la chanefonctionnelle sur les memces

Elle est compose comme suit :

I b rasponsabb dela scurit des systmes dinfarratrbr: (RSSI)plac auprs de IOSSI:


b lesdiactrons ou services idormatnuas locaux;

D bs matrises d'eau/le (en tant quede besoin),

t 2 ladnomination varisnfonction des orgarlsmsarsoonsabb, arma, cavaspondam, concilier, agent... cielsscurit des
systmes dirlormatiorr). Ilsserontdnomm espmsabl delascurit des systmes dntcmiatlm dans lasuite du documsm.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Le gouvernance. rsnmatcn et le comme de cet ensemble son assurs par le service du haut
fonctionnaire de dfense et de scult. Afin dessiner me cohrence erere les erieux de scurit et les
enjeu: de la gouvernsme des systmes dinformatim, le lcnctiomaie de scurit des systmes
dirfcrrnetion coordonne ses actions avec les directions. dlgations ou services en charge de la
strelege etde la gouvemsnoe du systmes d'informationdes MCAS ousectoriels

~~~ ~
fonctionnelledcisionnelle ~
~ ~ oprationnelle Chane
S5! SSI Chane
Chane
SSI

4.1.1. Chah! dcisionnels dl cyberdfenee (SSI).

La scuil de Iiromietion relve des responsabilits propres checpe rrmistre dans ledomaine dort il
a la charge
Ilestessist par un haut lonctionmldedtenseetdescmteFDSMomlesebmiaisscmnxes
parleoccedeladfense. LelFDSrelvedredemerlnimstresetdisposedunservicespcialis.
Un fonctionnairech scuit dessystmes dirformstion (FSSI) est nomm par lesmiristreet placsois
l'ermite du l-IFDS. Il anime la politique de scurit des systmes d'informatim et en comble
l'application
Dans le respect des rgemertstions et des instmctions irtermiristerielles, les Ministres dcider: de
l'organisation et ces mesures de scurit et de dfense applicables aux systmes cfirfcrrrnon des
MCAS. fonnslses ausein de le politique de scuit dessystmes dirlortnalicn

I Llellhtlolnllebudllfm)
Ocrforrnlnert aux rnissiors dctes par laticle R1143-5 du Codede le Dfense. en qualit de
conseiller des mlristres chargs des affaires sociales pour tomes les questions relatives a la
dfense et aux situations d'urgence affectait la dfense. le scurit et le vie de le nation, il doit
notemmert enmer la politique de scult dessystmes dinformdicn et cortrdler l'application de
celle-cl.

Pour exercer ses missions, il s'appuie sur le hem fonctiomaire de dfense adjoirt et le service
qui lui estatbch.
Envuedegersrlirle scmt gobeledes M%. le haufonctiomaire dedlenseetdesctiril
(HFDS) assiste du Fssi, anime, coordonne et convois inppuceuon la preserlte portique par
l AQSSI.
743
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

743 n etLeFonctionnaire
Il est l'animateur
sociales contrle
gnral
b Assurerle
sor
b Orienterla

b
services.
dePolitique
mue
communication
de
deapplication
la dfense Pour
ra lectronique
en
poliq
tlcommunications
et plus
telezromvnunicetrcns.
eymrncs
lepleceetlebcnfoncticnnement
secoua descela,
de
et Scurit
lail
d'information
doitau
degouvernementale
: scurit
deperticuenement
des systmes

cflnlcrnretion (AOSSI);
sein pour
notamment (rasa)
les
nationale ministres
{SGDSN).
dansenlecedredesdirlecves
s'appuyant
sur d'information,
les services
ce tire. il lui incombe de
'
chargs
des
sur les
en sappuyant
cierges moyens
de finformetiq
des
Secrtariat
duservices
sur (es diectbns
affaires
drames
scuriss
etet de
des
constituer le voie bnctibnnelledescurit
systmes dbbifd. ainsi que d'animer le rseau des Auia-its Ouelifes dela Scurrb des
stemes
Assurer la dillusron des directives et des recommandationsdel'agence nationalede la securi
des systmes d'information (ANSSIJ du sacretaiet gnral de la dfense et de la scurit
nationale (SGDSN) vers lesdiections et services et en vrier l'application :
de
des

b Mener auprs des oprateurs les actions de sensibiisation. d'incitation et de concertation


ncessaires eurenfcrcenrent dela scurit deleurs systmes drfornaticn:

b Faire procder e la dclinaison des plans gouvernementaux de vigilance. de


prvention. de protection et de raction ayant rail e la SSla destination dr: came oprationnel
descurit des systmes dinformetibn (COSSU defANSSI .'

b Meltreenplacelespmcdures necessaireslaremonredesincrdentsetrnements
ulfudenl la scurit des systme-s drrfurrulibn urirsi que ladilfuerurdes alertes.

b aux travaux interministriels sur rvolution de: disposition: et des systmes de


protection en matire ce SSI:

b Dnir les besoins de formation en matire de S5! et participer aux exercices de dfense
intmssant son domaine.

u Le: Autant: Quallbel pour la euri des Syldlnl (Plnforrnltion (A088!)


MCAS, est dsigne une cr autorit qrralemur la SSI (AOSSI n_ qri est
Polir toute enfl des
l'autorit hirarchque qu possde la capacit d'arbitrage sur les moyens employs
(organisationnels et techniques) pour q les systmes dntormatnon se rapprochent d'un tat de
scurit jug optinnl. Elle est donc en charge de l'allocation et de l'emploi des moyens consacrs
la scurit des systmes dinlormatior relevant de son domaine de comptence. Sa
respamarilit ne peut tre dlgue
La dsignation des ACSSI, est formalise par art. en distinguant es systmes dit-formation
propres une entt des systmes dirformation transverses (mis en uvre par un acteur aJ
profit de plieurs entits).

Eles sont juridiquemeru responsables de le scurit des eyetrree d'information sur leur
primtre (entit mtier et/ou gographique) et doivent, dans leur primtre de comotence
b organiser la chaine fonctionnelle SSI pour eur entit. compose des responsables de la
scuritaires systmes dinrormaabn :

b dfnir, partir des objectifs de scurit fixs par leHFBS elle rglementebcn, une politique de
des systmes d'information adapte leurstructure ,

b l'aie appliquer les directives. les instructions ministrielles et interministrielles. et les


rglementations, duses. relayes ou renspoees par le SHFDS ;
b s'assurer que les dispositions rglementaires etbu contractuelles, sur le scurit des systmes
d'information. sont appliques. notamment au regard des systmes lreitan! dinfcmations
classifies ou sensibles, et au regard des darrarchee dhormloaetion de scurit des systmes
dinfcrrmetion :

3Direceurs deminlstretion centrale ; directeurs regoneux des e1treprises, de le concurrence. de le ccnsommeton. du


travail e! de remploi ; drecteurs regonaux de le jeunesse. des sports e de lecohsionsociale ; dredeurs des agences
sanitaires ndioneles et des agences regoneles de sente : drecteurs des autres etebissernents publics d gemmes
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

I suivre la programmation et l'excution des tientuellas actions correctives suite aux convois:
ou inspections portent sur la scuritdee systmes d'information .'
D sensibiliser et former le personnel aux questions descurit :

b rendra compte immdiatement au SHFDS de tout incident et de tout phnomne suspect


pouvant affecter/a SSI avec. si besoin. un rgime dbstrointo appropri.

D rendre eormte amuelremetot. eu Haut fonctionnaire dedfense. de l'application des mesures


prescrites en scurit des systmes dnforrrtation et dela gestion des incidents de et
des cybomfhques.

Bien que sa responsabilit ne puisse tre dlgue. PASI oeut dsigner une Autorit d'Appul (AA) aux
fns de la reprsenter, dans les diffrents organes de pilotage de la scurit des systmes dirlorrnation,
sans en porter toutefois la responsabilit, et d'assurer la iaison fonctionnelle avec le FSSI.

Il existe galemem des systmes d'information placs scus des responsabilits conjointes, parfois
rparties sur plusieurs ministres. Ils relvent alors simuttanment ce chacune ces autorits quaies
impliques.

n La Autorit: cri-Contribution (AH)

Lhormlogaticn de scurit est l'acte formel par lequel Pertit administrative en charge d'un
systme dinfrrmalinn atteste auprs des utiisateurs que son systme d'information est protg
conformment aux enjeux ce scurit ports parle systme.
L'autorit quate pour la SSI peut prononcer l'homologation de scurit pour les systmes
d'information relevant de son primtre, mais plus frquemment, elle dsigne une autorit
dhomologation cet eltet.

d'homologation dans la hirarchie de rorgarfsme doit corresponde a4


Le niveau de l'autorit
niveau stratgique du. systme UIIUIIIIEIIUII uxisidi. L'autorit d'luuiiiulugatiuil est une
personne physique reprsentant lauto'it administrative. Elle est charge de s'engager sur
l'acceptabilit de la scurit pour l'auto-n adm nistrative. Il est donc souhaitable que l'autorit
d'homologation soi: un dcideurde la chane hirarcrique.
l autorit pfnftnrt l'homologation s'appeler sur l'avis mis par me commission
dhomolcgaticn. Cette commission prononce Ln avis motiv sur la capacit du systme
rpondre ou non aux objectifs de scurl assigns, et a s'assurer que l'ensemble des mesures
techniques et organisationnelles permettant la scurisation du systme ont toutes t prises et
sontcorrectement appliques,

Ltldtt prononant l'homologation dsigne les membres de la ocmmssion dnomologatton,


dans le respect des rgies suivantes :

t les reprsentants de la chane fonctionnelle SSI des diffrents ectecrs du projet (notamment
dam un contexb interministriel) sont membres dele commission ;

b te fonctionnaire de scurit des systmes d'information peut siger ou parcipor aux

commissbnsdhonoiogatiai.

Prononcer l'homologation d'un systme drformation est une dcision d'autcrit par laquelle
l'administration va ide utilisation d'un systme pourexploiter des informations etlou soutenir une activit
dans des conditions d'emploi prcises. Cette homologation fait l'objet d'un document lormel indiquant le
rirretre, la dure dhomclo ' ' ues rsiduels acoe . Ct. Annexe 3

L'autorit d'homologation transmet ausHFDs ladcision dnomo ogatlon accompagne dudossier ayant
motiv cette dcision.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

4.1.2. Chane fonctionnelle de cyberdtenee (SSI)

1015 faon
(FSSI),
Paoe sous
n
la lautorit
coordonne,
chalne
D
svslnes
mettre
au profit
fonctiomelle
fonctionnelle
rglementation
conseiller
r contrler
uvre. notamment
Ib piloter
sur
systmes
cyberattaques.
SGDSNetcompte
LesI Responsdlu
des
rendre
chane
uvre
la
du
SSI
des
les mesures
l'applicationde
au moyende
forctionnaire
un rseau
autorits
est
scurit
de systmes
d'information.
enla grer les
lescnafne
de a
l'expression
cyberdfense
et desenmesures
lien
dasbnnelle
dinfonnation
Scurltedes
de
effective
direct
articlescontrls dele
de scurit
ethiearchiques
dedfense
personnes
des risques
des
descurit
charge
enavec
aimantation
Sysucmes
et de
de
des (ci
systmes
dont
lapales
dcides
mesures
FANSSI
systmes
desacteurs
elles
de
parpar
rponse
des'yrapportent.
scuriss
laSSIgestion
"application
nqui
'

desdes

L'essentie de la chane fonctionnelle SSI est compose de ccnsellers dont les appellations
variert. Ils sont dsigns
RSSI dans la suite du cocumert).
a responsables de la scurit

en charge des missions gnrales de


Ils sont
prsent ctapitre.

AJ sein
a
i)
lvent,
SSI
systmes
dinforrnaon
lales
scurit
agissait
d'information
pou
: d mette
prescrites
chanedcisionnelle
aux incidents
gouvernernenbux
prescrites
incidents
d'information
mesures

des systmes dnforrnation

chane fonctionnelle SSI cites

oe chaque entit des MCAS, les ACSSI dcident de l'organisation de leur chane
fonctionnelle SSI, dans le respect de la rglementation ainsi que de la prsente politique.
a
:
de
de
a1
; p3 des
scurit
conus
swril
de enscurit

(dnomms

au dbut
et par

dJ
d e
la

La totalit clL. primtre sous resporsabilit de PASI doit IB couvert par la chane
fonctionnelle SSI (informatique et communication gnrale, technique, dinfrastructure,
batimentaie, etc).

Le document dcrivant cette organisation dcit tre valid par PACSSI (K rote d'organisation n, x

politiqJe SSI... n).

Mm en l'observe d'une lele (Jtglllalbll tonnelle, FAQSSI est tenue de dsigner au moins un
reprsentant de sa chalnefonctionnelle SSI. Le fonctionnaire de scuritdessystmes d'information est
inform de cette dsinationainsi - e s coordonnes du RSSI.

l Le RSSI est dsign par lautorlt hirarchique correspondant au prlmve pour lequel Il
La dsignstior- esttransmise au FSS pour information sous couvert de FAQSSI. Le
exerce.
ces chant le quotit en equivalent-tem-plsin consacre a cette fonction SSI est
mentionne lors de la

I Dansla mesure du possible, Le RSSIest sans lien de subordination avec la diectian. service
ou le bureau des systmes d'information et de communication. Le cas chant, un
rattediementdrect au plus haut responsable en charge des systmes d'information dort me
envisage. Dans ceces le [en de subordinationnedoit ces s'exercer ris--vis des missions de
la draine fomtiomelle de cyberscurite (scurit des systmes d'information). Eneffet pour
fexercibe de ses fonctions le RSSI rend oormte directement a fautorite qui ra dsign ainsi
qu' sa chane braise-mileSSI

D Conseiller de lautoriten matire de SS. il dispose de l'autorit et du statut ncessaire pour


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Lafonction SSI doit tre correctement dmensiome et identie. L'importance de la chane forctionnelle
doit tre adapte aux enjeux, la taille et a la dispersion gographique des services. Si Famneur de la
tache ou la situation gographique le justifie,
Le RSSI pourra tre second par un adjoint et/ou disaoser
d'un rseau de correspondants locaux de scuriz des systmes dinfonnation. Ainsi, au RSSI d'un grand
oprateurpouraittre misen place les services d'un adjoirt et d'autant de correspondantsqu'il existe de
cirections

Dans le cas d'un rseau SSI d'organisme, an de garantir synergie et ractivit, e RSSI doit mettre en
place et asswer unecommunication e: une transparence permanente auprs de tomes les personnes
impliques, en tenues d'incidents, dactions en cours, des constats associs et mesures prises.

Le RSSI doit particulirement :


I Conduire des actions cesensibilisation etde famation laSSI :

D tablir un HVHHU des SI at valuer la saisibili de tous les lments reprsentant de la

valeurpourl'organisation (acr/IS) :
conduis des analyses dorisques pour tout nouveau systme efihformaon sensible et pour
toute volution majeure de systme d'information sensibleexistant ;

Maire en applbation les dispositions de scurit dttes par lesmaies d'ouvrage desSI;

conduis des actions rgures deconvois du niveaude scurit des SI et mettre en uvre
lesactions omectives noessaies;

Dnir a matre en place les inadalts pain-retient de {ariaface aux alertes. aux incidents de
scurits: aux situations d'urgence concernantlascurit des SI ,

Demanderebbu aouerlea moyens nomaaiab miaeen uvredeeactbnerelativea h


scuritdes si.

Le RSSI pourra s'appuya su des relais tecwniques dans les diffrentes entits (mtier l
gographique) ande mettre er uvre les dspositions de la PSSl-MCAS.

4.1 .3. Chane oprationnelle de cyberdfense (SSI)


Le Hautfonctionnaire de dfense des MCAS s'assure de l'existence continue au sen des MCAS
d'unechaire oprationnelle de cylierdiei Ise.

Dans immdiat, cette chane oprationnelle est articule autour du FSSI qui, a ce titre, exerce
principalement les activits :
de veille et alerte sur les cyoerartaauas etde pilotageninistieldela rponse aux incidents de
scurit signicatifs ;

d'appui aux corps dnspecons, aux autorits judiciaires et plus largement aux autorits
hirarchiques en matirecybarsairit .'
de suivi dans ladure des actions de prvention et de protection mener an que les incidents
les plussignicatifs nese reproduisent pas :

de conwnunicatbn interne rgulire. au prot de tous les agents, des hautes autorits. ou des

instances techniques, aux ns de prvention et de sensibilisation au regard des cyberattaques


affect/vantent constates;

degestion de le oorrvnunau des acteurs SSI (informaone. formations. cordier-i en matire


d'expertise et de conseil) ;

' Par actif. l'on comprend in bien ou un service ayantune centaine valeur pour l'entreprise. -es petits sont sujets l affrentes
vulnrabilits. susceptibles d'un exploites par des menaces qui auront des Impacts au niveau de l'entreprise. Pour protger ses
utlfs. Jne entreprise mettra enplace des mesures desomme. La slection: de cesmesures se hl lors delaphase de gestion des
risques. Il y a deux types d'actifs:

0 actifs primaires: processus informations


0 actifs de supooit: Ious les aulne actifs canna notamment les personnes. rmchines.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Le FSSI pilote la chalne oprationnelle SSI qui iinfomie des vnements, incidents ou attaques SSI. A
ciefaLt d'organisation locale plus prcise, c'est le FSSI qui rceptonne les signalements relatifs a de tels
vnements de la part de l'ensemble des services et agents cu ministre, ainsi que des partenaires
extrieurs.

Le FSSI est le poirt de contact des MCAS pour "agence nationaie de scurit des systmes
d'information (ANSSI). il assure notamment la liaison avec le Certre gouvernemertal de veille, d'alerte et
derponse aux attaques rrfomiatiques (CERT-FR) arm par le Certre opratiornel de la scurit des
systmes dintormation (COSSI) deFANSSI.

5. Pilotage de la cyberscurit
La cyberscuit et la dfense des systmes dirformatiori reposent sur trcis pi iers :

b la gestion des risques SSI(valuation. traitement. ccmnunioetrbnu);


b les contrlesSSI (audits devulnrabilits des SI):

b la gestion desincidents SSI.

Pour les MCAS, un niveau de pilotage de la SSI est dni. En outre, des groupes de travail sectoriels
prcisent les mesures de scurit gnriques ooncemart leur primtre et labore les documents
dappiication (guides, recommandations, exceptions. .).

n Le comit strwglque de la scuritdes syswnes ifirltormtion

Le pilotage de la scurit des systmes d'information et de communication est plac soLs


prside
l'autorit du haut ionrstonnaire de dfense. Il annuellement le ourrit stratgique de la
scurit des systmes dmorntion Y participert :
b le hautfonctionnera de dfense et son adjoint:

b le fonctionnera de scurit des systmes d'information ;

b le directeur des systmes cfinformetion des MCAS ;

b 13(3) deleguers) sectoriel (s; le siretoredes systmes dinrorn-ranon ou leur reprsentant;


b Ioo autorits qualies on don systmes (finfornrotion ou l'ours reprsentante:

ses principales missiors sont de :

b veilaer feppiicatbn de la prsente instruction et le progression du niveaude carbrnr des


MCAS b PSSI de tel .'

b exploiter le bilan des ncidents SQDICBIIS. etl'tat des lieux des cybermenes susceptibles
d'affecter les MCAS.

b exploiterles rsultats des contrles SSImens sur les SI jugesassemble et les actions quien
dcoulent.

b Arbitror Ioa priorits globale dos MCAS or mdirc do cyboroocurit ct do dfonce dca
systmes dinfomntlbr. euregard dele gestion desrisques.

n Les groupes de travail sectoriels ou techniques en scurit des sysumes


d'information

Des groupes de travail sectoriels ou techniques placs sous le pilotage des Aoi ou de
dlguis) sectorieKs) la stratgie des systmes dirrformaiion ou de leur reprsentant ils se
runientatrtant cue ce besoir.

Des g'oupes de travail peuvent tre dclins aux chelons teritoriaux.

Un groupe est compose des reprsentants de la chane fonctionnelle SSI et de a ohalne


opraiionrelie SSI.

A l'chelon central, il comprend principalement :


b le FonctionnaireSSI ;
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

D le responsable la scurit des systmes d'information des MCAS

r les conseillers SSI auprs des AQSSI et ceux au sein des acteurs des systmes
dirlormation et deoommunition ;

b les reprsentants des chanes oprationnelles SSl des acteus des systmes
drrfomratronet decommunication.

ses principales mlsslors sont de :

b diffuser et transposer en interne les rglementations, guides e: reoommarcations de


PANSSI ;

I labore, diffuser et tenir jour les documents d'application de la PSS-MCAS et les


recommandations SSI a vocation ministrielle

h labore et proposer la validation du Haut fonctionnaire de dfense adjoint les


instructions et directives SSI vocation ministrielle ;

v proposer auHautfonctionnaire de dfense adjoint es drogations a la PSSl-MCAS.

6. Mesures particulires pour les MCAS


La prise en compte, sur l'ensemble des acteurs du primtre des MCAS, du niveau de scurit et des
moyens ddis, ncessite un ajustement
decertarnes rgies de la Psslt.
Les rgles indiques en annexe 2 sont la dclinaison pour le primtre des MCAS. Elles dclinent le
socle minimal respecter.

conformment ala PSSIE. il est possible, sur autorisation du Hart fonctionnairede dfense et de
scuritde droger certaines rgles.

Pour na pas baisser la niveau mltlrnal de scurit admissible, toutsdemanda de daroguton. doit

particulirement certains travaux SSI sectoriels pour l'tablissement de rgles 0.1


Concernant
recommandations, le SHFDS participant ensemble de ces travaux, les documents valids et publis
sont applicables sur le secteur qu'ils adressent (par exemple la PGSS -S).
616
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

ANNEXE 1 Cyberscurit Mise en -

uvre

simplie
Mettre enuvre la cyoerscunte (ou scurit des systmes cfirformation) de faon performante et peJ
coteuse c'est possible.

Si, dans un premier temps, les normes et les technologies de scurit des systmes d'information
semblent souvent cortraigiantes et bien loin des impratifs mtiers, il convient de revenir l'essentiel,
dest--dire d'identier la nature du primtre scuriser, de protger a I'ADN de Yorganisme n

regroupant tout a la lois: savoir-taire, intorrnatlors (connes mtier, donnes pnves donnes de
fomtbnnement...) ainsi que les systmes concourant l'laboration, au traitement, au stockage a la
diffusion de ces intonretions.
Les mesures de protectionadaptes sont dj bien souvent prsentes ; il euft de les identier et de les
organiser an d'assurer et de prerniser un niveau scurit conforme ses besoins

la meilleure faon de [irotger un organisme cnnsste adopter un firmessns de gestim des risques
dans une dmarche d'amlioration continue, en prerant en considration les vraisbesoins en matire de
scurit. Cette approche ncessite un peu de temps, mais elle sera mieux adapte aux besoins rels -

elleest plus efcace et moinschre.

De faon gnrale, la scurit vise rduire le nombre ainsi que l'envergure des impacts :

b juridiques
r sur la rputation
r sur le temps (peau)
r sur le savoir-faire

b sur le sente

r financiers

Concernant finpact nancier, il est noter que tout incident de scurit sur Lin systme dirfomiaticn
induit obligatoirement des surccrrts directs ou indirects t'es suprieurs aux investissements qui auraient
pu tre mis er place pour scuriser les systmes dirformation.

Le risque peut se dfinir par le calcul suivant : risque vulnrabiit X = menace X mpect. Il est compos
d'un facteurprobabilit (provenant de la menace) et d'un facteur dgt (provenant de la valeJr de
l'actif5 co-npromis et de la valeur du dommage indirect si.rbit). La vulnrabilit utilise dans cette fonction
prend compte des mesures descLrit nise en place

5 Bien ou un service ayant une certaine voleur pour l'entreprise. Les petitssont suete e derentee vulnrabilits. susceptibles
dtre explolees par des menaces qui auron: des impacts euniveau de l'entreprise. Pour praegerses adlls. une entreprise mettra
a1 place des mesures de scurit. Laslection de ces mesures ce faitIonde la phase se gestion des reques. Il ya deux types

d actifs :

0 actifs primaires: processus etlnlmnatiars


0 actifs de supocrt: tous les autres actifs coin-ne notamment les personnes. machines.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Il est pratiquemem impossible de prevenir un risque en voulant agir su les menaces existantes. Par
contre. on peut agr sur le risque en rduisant les facteurs 'vuhrabilit' et impact :

r rduire le facteu Vulnrabilit, par la mise en place de mesures de scurit zlblees ;

r rduire l'impact potentiel, par le mise en place d'un plan ce continuit des systmes
drtormaticn (inclus dans le plan de continuit de l'organisme) pa' exemple mise en

place de systmes de redondances des donnes et d'un plan de reprise des


systmes dnformatinn (SIIIS dans le plan de reprise d'activit

De la nase en place rrune gouvernance de la securite de: syriennes irinibrnntion : une approche
graduelle

Il s'agit d'tablir et de maintenir un pilotage structure de la cyberscurite an de s'assurer que les


stratgies de scLrit l'organisation sont corforrres
de aux objectifs de factivt et compatibles avec les
loiset les rglementations qui lui sort applicables.

Le pilotage de la scurit par les risques est une approche r straigicue a car elle permet d'acqurir Line
vision globale de la scuri travers es activits mtiers de l'organisme Elle facilite ainsi a la fois la
mise en place immdiate de solutions de scuit c curatives n sans pou autant percre le lien avec les
besoins de scurit de Ientrep'ise mais permet surtout de mettre en place des moyers c prventifs n et

ainsi rdure les surfaces de vunrabilits oudtaque.

Organlzdion :
~
Dans le cadre de la scurit des systmes dinlormatiors, toutes les responsabilits doivent tre
clairemert dfinies dans l'organisation. La direction dsigne les responsables ainsi que leurs chamos de
compterces.

cartographie: Savoir ce quel'on possede et ce queton veut protega

indispensables a l'organisme et au bon accomplissement de ses


Il faut identifier les donnes el actifs
missions (ex' Injonnatlque gnrde, gestion technique centralise (ascenseurs, ventilations, climatisation
contrles d'accs), systmes d'information hospitalier, systmes de communication, informatique embarque au

assoce des dispositifs mdlcauxm).

L'organisation

d'information
drnaiclie
mise
dfinition
cybeiscurit
me
l'activit
au sein
de qui
en wre d'unece
de la scurit des

cyclique
pour
cycle.
etleaura
d'entretenir
(roue
d'un
sera cycle
organisme
implique
de
gouvemanoe
adapte
misson de dmarrer
systmes

Deiiiing).
de sut
la naturede La
la
et la
~
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Analyser des risques

Pour pouvoir protger les donnes et actifs importants et vitaux, il faut d'abord identier les risques par
me analyse, ldemmer les menaces et la probabilit que celles-cl nsquent de suNenlr, lclertlfler l'ampleur
des vulnrabilrls humaines et techniques et quantier les impacts potentiels.

Le recensement des besoins de scurit sera ralis en rpondant notamment aux questions suivantes :

V Quelles son: les activits critiques de mon organisation ?

en

Ouels
Quelles
Quellesont
est les
son:la systmes
rsistance qui
disponibilit
les contrain:es lgales et rglementaires
concourent
souhaite
l'altration des bonsystmes
au mes
de
donnes fonctionnement de doit
que l'on
d'information
et des traitements respecter
ces activits
dois-je
7 7mettre
?
w

b Quel est le niveau ce confidentialit a prenrre en compte pcur les donnes et les
traitements 7

b Faut-il conserver des tracesdes trarsacticns rumriques ?

Proitger

r procder la protection des donnes et des systmespermettant leur traitement Une


fois classifies, i faut mettre en place les moyens visant assurer leur protection par
des sawegardes, lors de leur transport ou encore brs de leurtransmission. Il convient
galement de prvoi leu destruction scurise.
r Mettre en pila ces "usures pverlives et mule-actrices pour les matriels
(ordinateurs, ordinateurs portables, serveurs, nfomratique embarque ou adjoirte) et
pour les rseaux (tlphoniques, informatiques... )

D Mettre en place des 11es.rres de type r: raction sur incidents n.

Sensibiliser et former latotalitdes personnels

L'adoption des bonnes mesues comportementales par l'ensemble du personnel est une mesure

extrmement importante. Il importe donc de promouvoir une culture de la scurit des systmes
d'information au travers de mines manques accessibles aux Llilisateurs, "remises d'ouvrage et
maltrses d'uvre.

Les Ltilisateurs doivent appliquer et resoecter les rgles de scurit onies. Unecharte dutilisatiow des
systmes dmormatron dot tre mise en place. Cette charte dort etre opposable en cas d ncrdem ou de
litige.
Cette approcl-e n'est efficace que si elle est bien comprise par lensemue des diffrents acteurs. Cette
dmarche se doit d'intgrer bonnes pratiques de scurit permettant de garantir le niveau de protection
existant etlouattendu.

Il estrlnnr: essentiel de {aropar une arltrrre a scurit a via urne communication adapte aux diffrents
acteus.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

ANNEXE 2 Rgles

Politique, or anisation, ouvernance

Organisation de la scurit dessystmes d'information


Objectif 1 mrganlsaon de la 8S. Mettre en place une organisation adquae. garantissant la prise en
ventive et FaCNE de la SCUfl.

Organisation SSI
ORG-ssl : ornlsation SSI,
Une organisation ddie la SSI est dploye dans toi.tes les directions, services dconcentrs,
agences rgionales de sant, tablissements publics et oprateurs du primtre des MCAS. Cette
organisation, tablie selon les directives du hau forctionnaire de dfense et de scurit (-iFDS), dfirit
les responsabilits internes et gard des tiers, les modalits de ooordnation avec les autorits
externes, ainsi que les modalits d'application des mesu'es de protection. Des procduresd'applications
sont crites et portes laconnaissance detous.

~
L'organisation SS des MCAS s'appuie su des acteurs SSI clairement identifis, tous ses niveaux
d'organisation Les acteurs responsabes en matiere ssl sont chargs de la mise en plicatio-i
gnrale de la PSSl-MCAS Ils sort rfrencs dans un anruaire ministriel. Cette chane fonctionnelle
s'appuie sur le service du hautfonctiornaire de dfense et de scurit), notamment sur le fonctionnaire
de scurit des systmes d'information (FSSI) pour les MCAS.

Responsabilits internes
G-R : d d n e

Chaque autort cpalitie en scurit des systmes d'information (AQSSI) s'appuie sur un ou plusieurs
responsables de la scurit des systmes dinformaton (RSSI), charg(s) de l'assister dans le pilotage et
la gestion de la SSI. Des rrespondants locaux SSI (CLSSI) peLveni etre dsigns, le cas cnanr, atln
de constituer un relais du RSSI. Le RSSI d'une entit fait valide les mesures d'application de la PS5 -

MCAS par PAQSSI et veile leur application. Des dnominations alternatives des fonctons cites ci-
clessus peuvent ire Litilises si ncessaire.

~
Une note d'organisation fixe la rpartition au sein de chaque entit et au niveau local des responsabilits
et rles en matire de SSI. Cette ncte sera, le plus souvent, propose par le RSSI et valide par PAQSSI.

Responsabilits vis--vis des tiers


~
Le RSSl mrdonne les actions peTnettant l'intgration des clauses lies la SSI dans tout contrat OJ

convention impliquant un accs par des tiers a des irformations ou a des ressources inlormatiques.

PSSI ministrielle
CRG-PlL-PMSSI : dfinition et pige de la PS8! mlnisrletle.

La PSSl-MCAS est place soLs la responsabilit du HFDS. l:IIe rep'end le socle commun tabli par la
PSSIE. Une structure de pilotage de la PSSI ministrielle est dnie: le Comit Stratgique de la
Scurit des Systmes dlnfomiaticn (CosStratSSl). Cette structue est charge de sa mise en place. de
son volmion, de son suivi ct de son contrle.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

~
Le RSSI planie les actions de mise en application de la PSSI-MCAS Il rend compte rgulirement de la
mise en application des mesures de scurit a son autoritqualifie et, le cas chant au FSSI.

ORG-APP-DOCS zfonnallsatlon dedocuments d'application.

Le RSSI fonnalise et tient jour les documents d'application, approuvs par lautorit quifie,
permettant la mise enuvre des mesures de la PSSl-MCAS sur son primtre.

Ressources humaines

Objectif 2 : ressources humaines. Faire des personnes les maillons forts des SI sur le primtre des
MCAS.

Utilisateurs
RH-ssl : charte d'application SSI.

Unecharte d'application de la politique SSI, rcapitu ant es mesures pratiques d'utilisation scurise des
ressources informatiques et labore sous le pilotage de la chane fonctionnelle SSI, est communique a
l'ensemble des agents de chaque entit. Cette charte cbit tre opposable juridiquement et, si poible,
intgre au rglement irtrieur de l'entit. Le personnel non pennanen. (stagiaires, intrimaires,
prestataires...) est infcmw de ses devoirs dans le cadre de son usage des Si Des exempies ce chartes
sont proposs

Personnel permanent
:4. in: - l'.

Une attention particuire dol. tre porte ai. recrutement des personnes-cls de la SSI : RSSI,
correspondants ssi locaux et administrateurs de scurit. Les RSSI et leurs correspondants SSI locaux
doivent lzre spciquement forms la SSI. Les administrateurs des SI doivent tre rgulirement
sensibiliss aux devoirs lis leur lonction. et doivent veillera respecter ces exigences dans le cadre de
leursactivits quotidiennes.

~
Toutes les persorries manipulant des informations sensibles dovenl le faire avec ure attention et une

probit particulire, dans le respectdestextes en vigieur. Les sanctions eventaelles sappliquant au: cas
DQQEFICE OU de rralveillance leur sont rappeles.

RH-UTIL zsenslhlllsaon desutilisateursde: inmes d'information.

Chaque Litilisateur doit etre rgulirement infamie des exigences de scurit le concernant, et lTIOiV
leur respect. Il doit etre tonne litilisation des outils de travail conformment aux rgies SSI.

Mouvement de personnel
i: il. ':-"l"t'

Une procdure pewnettant de grer les arrives, les mutatiors et les dpens des collaborateurs dans les
Si dot tre fomialise, et qaplique strictement. Cette procd.ire doitcouvrir au minimum :

r la gestion/rvocation des comptes et des droits d'accs aux SI, y compris pour les
partenaires et les prestataires externes ;

r D12 Eestion du coniiledacos aux locaux;


F D12 gestion des quipements moailcs;
r [:112 ges tionducontrle des habilitations,
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Personnel non permanent


~
Les rgles de le PSSl-MCAS sappiquent tout personnel non permanert utilisateur c'un SI des MCAS.
Les dispositions prexistantes rgissant temploi de ce personnel sont amendes
contactuelles si
ncessaire. Pourtout personnel non permanem, un tutorat par un agern pennanert est mis en place, ati-i
de l'informerce ces rgles et d'en contrler application.

Chaque entit tablit et maintient jour un invertaire des ressources irformatiques sous sa

responsabilit en s'appuyant sur un otitillage adapt. Cet inventaire est tenu disposition du RSSI, ainsi
que du FSSI et de PANSSI en cas de besoin de coordination oprationnelle. Il comprend la liste des a
briques n logicielles utilises, ainsi que leurs versions exactes. Il est constitu d'une base
matrielles et
de donnes de mnfigiiratinn, maintenue jour et tenue disposition Cl] RS5! l'historique des
attributiors des biens iriventoris doit t'e consev, dans le respect de la =gislation.

ces-came : cartggraghle.
La cartographie prcise les centres inforrratiques, les arctitectures des rseaux (sur lesquelles sont
identis les points nevralgiques et le sensibilit des irfomtetions manipules) et qualie le niveau de
scurit attendu. Celte cartographie est maintenue jOJf et tenue disoosilion du RSSl ainsi que du
FSSI et de l'ANSSl encas de besoin decoordinationoprationnels.

Objectif 4 : gratification et protection de l'information. Qualier l'information de faon adapter les


mesues de - otection.

concertant les MCAS la qualification de information en fonction du besoin de oonfidentia it est la


suivante:

D Fiblique: Ce niveau concerne les nfor-nations rputes publiques et notamment


celles publiesen llgrie cu via un autre moyen dediffusion.

r Interne: Ce niveau traduit que la diffusion t'est pas possible vers des membres
externes un organisme.
b Limite: Informations destines tre diffuses uniquemert a une liste spcifie et
restreirne de destinazaires,

~
La sensibilit de toute information doit tre value. Le marquage systmatique des documents, en

fonction du niveau de sensibilit, est fortement recommand.

Les informations sensibles reoivent une rrieritioi'i rappelant leur sensibilit en considration de la gravit
des consquences qu'aurait une dvulgatio: et apposer une mention telle que i confidentiel n sur les
documents sensibles ainsi que dans les courriers ou courriels qui les accompagnent. A titre dexe-nple,
on pourra utiliser les rrentionssuivantes :

r Confidentiel mdical

D Confidentiel personnel

Cette medtinr petit tre complte din marquage spciant I'isage restrictif qu dort tre fait par son
destinatare (ciftusion interne, diffusion limite)
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

B-PRO-IS 2 protection des informations.

L'utilisateur doit p'otegr les informationsqu'il est amen manipuler HS le cadre de SES fOOnS,
selon leur sensibilit et tout au long leur cycle de vie, depuis la cration di. brcuilloo jusqu' son
ventuelle destruction.

ration de la SSI dans le c cle de vie des s stmes dinformatior

Gestion des risques et homologationde scurit


Objectif 6 : risques. Apprcier, traier, et oommJniquer sur les risques relatifsa la scurit des systmes
d'information.

Tout systme d'iriiorrriation doit faire I'cbjet d'une dcision dhomologation de sa scurit avart sa mise
en exploitation dans les condtions d'emploi L'homologation est l'acte selcn lequel
dfinies. l'autorit
auprs des utilisateurs que le
atteste formellement systme dinforrriation est protg conformment aux
objectifs de scurit fixs. La dcision d'homologation est prise par l'amiante d'homologation (dsigne
par l'autorit quaifie), le cas chart aprs avis de la commission d'homologation. Cette dcision
s'appuie sur une analyse ce risquesadapte au: erjeux du systme considr, et prcise les concitions

d'emploi.

Maintien en condition de scurit des systmes d'information


Objectif G : maintien en condition de scurit. Grer dynamiquement ies mesures de protection tout
au Ion de laviedu SI.

INT-sszl rat deas mdailles ro .

La scuri des systmes dinom'ation doit tre prise en compte dans toutes les phases des projets
infomiaticues, sous le contrle de l'ai.i'.orit dtnrriologation, de la conception et de la spcification du
systmejusqu' son retrait du service.

La scurit des systmes d'information se traite au quotidien par des pratiques d'hygine informatique.
Des procdures crites definissem les actes lrriemaires du maintien en condition de scurit lors des
phases de conception, volution ou retrait d'un systme. Tout systme d'information doit faire l'objet,
ciutre le maintien en condition cprationnelle, d'u'i maintien en condition descurit.

~
Un tableau de bord SSl est mis en place et tenu jeu. Il fournit a.i RSSI et aux autorits une vision
gnrale rlii riveaii de scurit et de son volution, rendant ainsi plu; eflicarte le pilotage de la SSl A.i
riveau stratgique, le Zableau de bord SSl perrt de suivre l'application de la politique descurit et de
disposer dlnei-its propres qualifier les ressources devant tre alloues la 33|.

Au nweau du pilotage, la mise en place de ce tableau de bord pem-iet de contrler la ralisation


d'objectifs oprationnels, darriliorer la qualit de service et de dtecter au plus tt les retards dans la
ralisation de certains objectifs de scurit,
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Produits et services Iabellises

Objectif 7 : produits et. services qualits ou certifis. Utiliser des uumits et servis dur il la scurit
est value el atteste selon s procdures reconnues par lANSSl an de renforcer la protection des

Il est recommand d'utiliser, lorsqu'ils sont cisponibles, des produits ou des services de saunt
labellss (certifis, qualifis) par VANSSI,

Dans le cadre dn march, un critre de choix, dcnt la notation est clairement dfinie, sur l'existence
dun label ANSSI est indiqu.

L'ordre de choix peut tre le suivant (avec une quotation adapte)

v Qualication renforce de l'(ANSSl ;

r Qualification standard de I'ANSsl ;

i Reconnaissance SOG-IS5 ;

D Reconnaissance critres communs ;

r Certicationdescurit de premier niveau deTANSSI

v En cous de Iabelllsatlori auprs de rANsSl (sans prsomption du rsultat trials dans ce cas
lobligatior pour le saumssionnate
avec de fournir le rcpiss du dpct de la
demande ralise auprs de FANSSI) ;

r Reconnaissance autre ;

D Pas de labellisalon.

La labellisatiuri est ralise suivant urie cible de scurit dnie. En cas de plieus solutions lalises
proposes, une attention particulire colt donc tre porte sur la cible de scurit ayant pennis leur
labellsation (primtre total ou partiel de la solution).

Gestion des prestataires


Objectif 8 : mattriso des prestations. Veiler aux exigences de scurit lorsqu'il est fait appel de la
tatior v- r destiers.

INT-PRES-CS : clausesdescurit.

Toute prestation dans le domaire des SI doit tre encadre par des clauses de scuit (plan
dassurarne scurit). Ces clauses spcifient les mesures SSI qJe le prestataire doit respecter dans le
cadrede ses activts.

~
Le maintien d'un nveau deSCJfl aucours du temps ncessite un double contrle :

v lJun, effectu priodiquement par l'quipe encadant la prestation, qui porte sur les
actionsdu sous-traitant et la conformit ai. carterdes charges ;

P Cllautrc. cfcctu par une quipi- extcmc. qui porte sur Li pertinence du cahier dcs
charges amont des projets, la conformit des rponses apportes par le
en soLis-

traitant en pnase de recette et le niveau de scurit glooal obtenu en production.

5 raccord eurooaendereconnaissance mutuelledu SOG-Is pennat la reoainaissanco entra les Batssignataires de Iaccotl. des
certicats dalivrs D0! leur aJlUi decertication

7 Critres Communs : la reconnaissance mutuelle par les signataires cruii accord daoceptatim des oeritloats de securle des
tedtndodes delnformatiormis par lun des pays signataires. Le produit certifie entarte npaniall par ure autorit comptente.
peut etre uti is sans ncessiter me valuation plus pousse.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

INT-REX-AR 2 anug de gues.


Toute opration dextemalisatlon sappJIe sur une analyse de risques pralable, de aon a tomialiser
des objectifs de scurit et dfinir des mesures adaptes, L'ensemble des objectifs de scurit ainsi
formaliss permetde dfinir une cible descurit servant decadre aucontrat tabl avec le prestataie.

INT-REX-HB : hbergement.
L'hbergement de donnes sensibles sur le territoire national est fortement recommand. En outre,
hbergement concernant certaines donnes doit rpondre aux exigerces lgales et rglementaires
(donnes nominatives, donnes desant... ).

~
Tout contrat d'hbergement dtaille les dispositions mises en uvre poLir prendreen compte la SSI. Ce
sont nota-riment les irzesuies prises pour assurer le maintien en oorditiun de scurit des systires et
permettre une gestion de crise eticace (conditions d'accs aux joLrnaux. mise en place dastreintes,
etc).

Scurit physique des locaux abritant les Si


Objectif0 : scurit physique des locauxabritant les si. lriscrire la scurisation physiqLe des Sl dars
la scuisation h siqLe des locauxet cbns les o ocessus associs.

PHY-ZON zdoouge des sites en zones descurit.

Un dcourage des sites en zones physiques de scurit cinrt tre effectu, en liaison avec le RSSI, les
correspondants locaux SSI et les services en charge : de limmobiier, de b scurit e: des moyens
gnraux Pour claque zone de scurit, des cilies prcis d'autorisation d'accssont tablis.

Rgles de scurit s'appliquant aux zones d'accueil du public


~
Tout accs rseau install dans une zone d'accueil du public doit etie filtr ou isol du reste du rseau
informaticue ce l'entit.

~
Le traitemem d'informations sensibles au sein des zones d'accueil est viter. Si ur tel traitement est
strictement ncessaire, il doit rester ponctuel et excestiornel. Des mesures particulires sont alors
adoptes, notamment en matre de protection audiovisuelle, ainsi quen matire de protection des
informations stockes sur les supports.

Rgles de scurit complmentaires s'appliquant aux locaux techniques


Pl-lY-TECH : scurit ghgigue des locaux technlgges.

L'accs aux locaux techniques abritant des quipements d'alimentation et de distribution d'nergie, ou
des quipements de rseau et de teiepnonie, dot erre physiquement protg.

Pl-IY-TELECOM : protection des cbles lectrigues et detlcommunications.


Il comiert de protger le cblage rseau contre les dommages et les interceptiore des communications
qrils transmettent En complment les pameaux de raocorclernents et les salles des cables doivert tre
placs en dehors des zon d'accueil du public et leur accs doit tre contrl.
~
Sur les Sl particulirement sensibles il est recommand de mener des contrles anti-pigeages
rguliers, effectus par du personnel form Il peut tre tait appel ces services spcialiss (oprations
dites de dpoussirage D).
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

scurit physique des centres informatiques


Le terme de centre peut dsigner diffrents modles (Service informatiq, local informatique...) Il
convient d'adapter au contexte de l'entit.

Objectif 10 : scurit physique des centres Informatiques, Dimensicriner les protections physiques
des ntres irforrratiques en fonction des enjeux lis la concentration des rnoyers et donnes abrts.

Rgles gnrales

Un dcoupage du centre informatique en zones physiques de scurit doit etre eectu, en liaison avec
le RSSI et les services en charge de l'immobilier, de la scurit et des moyens gnraux. Des rgies
doivent fixer les conditions d'accs ces diffrentes zones.

PHY-cI-HERG : convention de service en cas d'hbergement tiers.

Dars le cas oli un tiers gre tout ou partie ces locaux du certre informatique, Jne convention de service,
dfinissant les responsabllls mutuelles en matire de scurit, doitetre etaolle ertre ce tiersei lertlt.

Rgles de scurit complmentaires s'appliquant aux zones internes et restreintes


HY-Cl-CTRLAC : contr! d'as h e.

L'accs aux zones (auonsees uniquement au personnel du centre lnionnatlque ou aux visiteurs
internes
accompagns) et restreintes (autorises aux seules personnes habilites ou aux visiteurs accompagns)
doit reposer sur un dispostif de contrle d'accs prlysiqJe. Ce dspositif doit s'appuyer si: des produits
qualis, lorsqu'ils sortdisponibles, et bncier d'un mirltim encondition do scurit rigoureux.

~
La dlivrance des moyens d'accs physique dol respecter un processusformel permettart de s'assurer
de |'i:lentit de la persorne, s'appuyant sur le processus d'arrive et de dpart du personnel. Le
personnel autre que celul explicitement autoris et recuire, mais nanmohs appels a ntervenlr dans les
zones sensibles (entretien ou rparation des calmants. des qu penierits non informatiques. nettoyage.
visiteurs, ), intervient systmatiquement et impratwenent sous surveillance permanente.
..

~
Une traabilit des accs, par les visiteurs extenes, aux zones restreintes doit etre mise en place. Ces
traces sont alors conserves un an, dans le respect destextes protgeant les donnes personnelles.

Rgles de seirit complmentaires s'appliquant aux salles informatiques et aux locaux


techniques
PHY-CI-ENERGIE: local anmie.
L'alimentation secteur des qu pements devra etre confomie aux rges de l'art, ce faon se prmunir
des ateirtes la scut des personnes et quipements lies un dfaut lectrique.

FHY-CI-CLIM: climatisation.

Un dispositlt de climatisation dimensionn e'i fonction des besoins nergtiques du systme intomiatique
doit tre install. Des procdures de raction en cas de panne, connues du personnel. doivent etre
labores et vrifies annuellement

Ces dispositions visent prvenir toute surchauffe des qupements, pouvant engendrer une perte du
service voire une dtrioration du matriel.

~
L'installation de matriel de protection contre le feu est obigatoire. Des procdures de raction un

incendie sont dnies et rgulirement testes. Les salles techniques doivent etre propres. Aucun carton,
papier, ouautre source potentielle de dpart de leu re dol! etre entrepos dans ces locaux.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

FHY Cl-EAU 2 lutte contre les voles d'eau.

Une tude sur les risques dus aux voies d'eau ooit erre ralise. cette tude doit notammem prendre en
compte le riscpe ce fuite sur un collecteur d'eau douce.

SI de sret

Objectlf 11 r scuritdu SIde sre.Traler de manire globale la scLrit des systmes d'il-formation
et decorrmurication - i assurent la sret d'unsite.

Les sites importants (reconnus le cas chant comme points d'importance vitae) sappuiert sur des
services support des actrvtes de sret physique. Dans ce cadre, l'appellation services de systmes
d'information et decommunication desret regroupe :

F lcs services suppcrt des activitsde contrle d'accs et dtection d'intrusion (cTAi.
permettantau personnel de sret :
D jduthcntifer. dautoriser etde tracer l'accs une ressource ohysique (contrle
d'accs) ;

D "Ide dlecter. d'alerter et de tracer en :as de tentative d'axes non autoris


(dtectiond'intrusion).
D Elles services support des activits de vdosurveillance (VS), fournssant aJ
personnel de sret un systme de carrras disposes sur l'ensemble du site, de
transpot des ux vido. d'enregistrement, d'archivage et de visionnage de ces vidos

P Elles scrvkzs support de la gestion technique des btiments (GT8). perrzielteulde


superviser et de grer l'ensemble des quipemerts des btiments du site, et davor
une vue globale de l'tat de ces btiments ;

P Elles services support de la scurit incendie (INC), regroupant l'ensemble des


moyens irifcrrnaiques iris en uvre pour dtecte. inlonrier, intervenir etlou vacuer
tout ou sertiedu site encas d'incendie.

~
Pour les sites physiques considrs comme importants, des mesures de protection doivert tre dnies
et appliques en se basant sur les conclusions d'une analyse de risques. L'analyse de risques conduit
la dsignation des briques essentielles dont il faJt assurer la protection contre des actes malveilanls. Un
systme de gestion de la scurit du SI de sret (s'inspirant de la norme ISO 27C01) assure le maintien
en condition demunie. L'emploi de produits labelliss, quand ils existent, est fortement recommand.

SCUH des rseaux

scurit des rseaux nationaux


Objectif 12 : usage scuris des rseaux nationaux Utiliser pour les organismes ligibles les
infrastmclurea nationales, en res ui leur sortattaches. -

I l : s tor s .

Seuls les qiipemrts grs et configurs par les quipes informatiques habilites peuvent etre
connects aurseau local d'uneertit.

~
Toute interconnexion entr les rseau: locaux d'une entit et un rseau externe (rseau d'un tiers,
Internet, etc.) doit tre, po.rr les organismes ligibles, ralise via les infastuctures nationales (rseaJ
intenninistriel de I'Etat, RENATER) Pour les autres il convient de rnaltriser les irteroonnexions
(conraissance des fournisseurs d'accs, rversibilit de la solution, maintien en condition de scurit)

~
Dansl'optique de dure les possibilits ofertes un attaquant, les connexions des machines du rseau
interre vers l'extrieur doivent tre ltres.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

837
RES-PROT : protection des lntormatlons.

Les accs a Internetpassent ooligatorement a travers les passerelles nationales. Ds lors que des
informations sensibles doivent transiter sur des rseaux non malriss. il convier! de les protger
spciquement par chiffrement adapt.

Scurit des rseaux locaux


Objectif l3 : usage scuris des rseaux locaux. Matriser les interconnexions de rseaux locaux.
Configurer de manire adquate les quipements de rseau actifs.

RES-CLOIS 2 clolsonner le SI en sous-rseauxde niveaux descurit nomggenes.

Par analogie avec le clolsonnemen: physique d'un oatlmnt, le systme dlntormatlon doit etre segment
selondes zon Vsentart chacune un niveau de scurit homogne.

~
Lintercomexian au riveau lol de rseaux locaux d'une entit l'est possible que si la proximit
gographique le justifie et sous rserve de la mise en place de connex ons ddies cet effet, et d
passerelles scurises et homologues parVAOSSI et valide par le HFDS.

~
Dans le cas o une ertit partage des locaux (bureaux ou locaux techniques) avec des entits externes,
des mesures de cloisonnement des ressources nformatiques doivert tre mises en place. Si le
cloisonnement n'est pas physique, les mesurs prises doivent tre val des par le HFDS.

Accs spciques
Objectif 14 : accs spcflques. Ne pas porter atteinte a la scurit du SI par le dploiement d'accs
non superviss

~E45.-~~~~it ~ ~ ~ ll ~~~~lr zl
~~~~~
v
~~~~.1. l -.it. ~~~~~

l es accs spcificiies lrrernet ncessitant des droits mrticiiliers pour un usage mtier ne penverl tre
mis en place que sur drogatim dfmert justifie, et sur des machines isoes physiquement et spares
du rseau de lent, aprs validation pralable de l'autorit d'homologation.

Scurit des rseaux sans l

Objectif 15 : usage scuris des rseaux sans tll. Maltnser le dplorer-lent, la contiguration et l'usage
des rseaux sans fil.

REs-SSFL : misa on glace de rseaux sans l.


Le dploiement de rseaux sans fil doitfaire l'objet d'une analyse de risques spcifiqLe Les potections
intrinsques tant insuffisantes, des mesures complmentaires. vaides par le SHFDS, dovnt tre
prises dans le cadre ce la dfense en profondeur. En particulier. une segmentation du rseau dol etre
mise en
place de faon limiter un primtre dtenrin les consquences d'une Intrusion depuis la
voie A dfaut de mise en uvre de mesJres spcifiques, le dploiement de rseaux sans lll
radio. sur
des SI manipulant deschu-tees sersihles est proscrit

Scurisation des rncmisirles de commutation et de roulage


Objectif 16 : scurit des mcanismes decommutation et de routage. Configurer les mcanismes d
commutation et de roua - pour se prot er des attaques.
-

~
Uneattention particulire doit tre apporte a l'implantation des protocoles decohes basses, de faon
a se prmunir des attaques usuelles.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

RES-ROUTDYN I surveiller les SIIIIOIICGS G8 lgg.

roJtage dynamiques es: ncessaire, ceiie-ci doit s'accompagner de


Lorscue iutiiisation de protocoles de
la mise en place d'une surveilance des annonces de routage. et procdures permettant de ragr
rapidement encas d'incidents.

RES-ROUTDYN-IGP : congurer le protocoleIGP de manire scurise.

Le protocole de routage dynamique de type IGP dol tre activ exclusivement sur les nterfaoes
ncessaires la construction de la topologie du rseau et dsactiv sur le reste des interfaces. La
conguration du protocole de routage dynamique doit systmatiquement tre ralise suivant les
prccnisatiors de l'Agence nationale descurit des systmes d'information.
RES-ROUTDYN-P zscurlser les sessions EGP.

Lors de la mise en place d'une session EG? avec un pair extrieur sur m mdia partag, cette session

doit tre ralise suivant les prccnisaions de l'Agence nationale de scurit des systmes
d'information.

~
Les mots de passe par dfaut doivent tre imprativement mods de mme en ce qui oorccrnc les
certificats Les dispositions ncessaires doivent tre prises auprs des fournisseurs de faon pouvoir
modifier les certificats installs Jar dfaut.

S-DURCI t llllftll IGS congurations G05 QUII ISOSIIX.

Les quipements (comme les routeurs) doivent faire l'objet d'un durcissement spedtiq
de rseaux
comprenant roianment. outre le chargement des mois de passe et certificats. la dsactivation des
interfaces et servces inutiles, ainsi que la mise en place de mcanismes de protection du plan de
contrle.

cartographie rseau
Objectif 17 : cartographie rseau. Tenir a juu une cartographie dtaille et curriplete des rseaux et
des interconnexions.

RES-CARTO : laborer lesdocurmmsifarchltecturetechngue etfonctlonnelle.

L'architecture rseau du systme d'information dol. tre dcrite et forrralise travers des schmas
d'architecture, et des conguratiors, maintenus au fil des voluions apoortes au SI. Les documents
d'architecture sont sensibles et font l'objet d'une protection adapte. La cartographie rseau s'insre
dans la cartographie globale des SI

AFCHGCUFB des SI

Architecture des centres informatiques


Objectif 18 : arclitacturescurise des centres Informatiques. Appliq.rer les p'incipes de dfense en
- ofo1dcur l'architecture rnatnollc ct l rcrcllc dos contres nfomtat
-

ARcHl-HEBERG : rin d'0 hl! re dela zone ifhbe

D'une mmire gnreze, Perchnecture des infrastructures des centres informatiques est conue de faon
satisfaire l'ensemble des besoins en disponiblit, confidentialit, traabilit et intgrit. Le principe de
dferse en profondeur doit tre respect, en particulier par la mise en uvre sticcessive de a zones
dmiitarises (DMZ). d'environnements de scurit enzone d'hbergement de machines virtuelles ou
physiques ddies, derseaux locaux virtuels (VLAN) appropris d'unfiltrage strict des ux applicatifset
d'administration.

5 rnteror Gateway Proiocoi

9 Exteior oateway Prctocol


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

ARCHl-SOCKCI I architecturede stockage 0| 0Gsauvggde.

Le rseau de stockage/sawegarde cour les besoins des centres informatiques repose sur une
architectue ddie cet effet.

ARcHl-PASS : galette Internet.

Les imerconnexions lrternet passent obligatoirement par des passerelles homologues.

Ex o citation des Sl

Protection des informations sensibles

Objectlf 19 : protection des Informations sensblas. Dfinir et maire en uvre des mesures de
protectior renforces pour les informations sensbles.

~
Des mesures doivent tre mises en uvre afin de garantir la protection des informations sensibles en
condentlit et en intgrit. A dfaut d'utilisation d'un rseau homologu, ces informatiors dcivert tre
chiffres a l'aide d un moyen de chiffrementlabellis.

Scurit des ressources informatiques


Objectif 20 : surveillance et conguration des ressources lnfonnatlquespurcir les conguratiors
des ressources infonnatiues, et suveiller les interventions res sur cellesci.- o

EXP-TRAC : fragilit des lntervemons sur le stme.

Les interventions de maintenance sur les ressources informatiques de l'entit doivent tre traces par le
service iorrnatiqtie, et ces tracesdoivent tre accessibles au RSSI local durant au moins un an.

~
Les systmes d'exploitation et les logiciels doivent faire l'objet dun durcissement Les configurations et
mises a jour sont appliques dans le strict respect des guides ou procdues en vigueur dans lentit ou,
par dfaut, envigueur au niveaucentral.

EXP-DOO-CONFIG : docurrterttntlon des congurlons.

La configuration standard des ressources informatiques doit tre documente et mise _our chaque
tzhangement retable.

Gestion des autorisations et contrle d'accs logique aux ressources


Objectif 21 autorisations et contrles d'accs. Authentier les usagers e: contrler IeJrs accs
: aux
ressources desSIdu ministre, en fonc:ion d'une a litiue e o icite d'autorisations.

L'accs a toJte ressource non publique doit ncessiter une identification et une authentification
individuelle de Iutilisateur. de l'accs des donnes sensibles, des moyens
Dans le ces

dauthentiicatlon forte doivent tre utiliss. A cette fin, lusa dune carte puce doittre privilgi. Le
contrle daccs doit tre gr et s'appuyer sur un processus formalis en cohrence avec la gestion des
ressources humaines

~
Aprs avoir dtermin le niveau de sensibiite. e besoin de diffusion et de partage des ressources. les
croits d'accs doivent tre grs suivant les principes suivants : besoin d'en connatre
aux ressources

(checue Litilisateur n'est autorise accder qu'aux ressources pour lesquelles or lui accorde
explicitement le bnfice de l'accs), moindre prvilge (chaque utilisateuraccde aux ressources avec le
minimum de privilgeslui permettant deconduire les actions explicitement autorises pour lui).
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

EXF-PROFILS 2 gestion des grols d'accs aux applications.

Les applications maripulant des donnes sensibles doivem perrrettre une gestion fine par profils
d'accs. Lesprincipes du beson d'en connatre et du moindre privilge sappliquert.

Processus dhuorisation

~
Toute aciion d'autorisation d'accs d'un Jtilisateu une ressource des SI. qu'elle soit locae ou
rationale, dot si'iscrre dans le cadre d'un processus d'autorisation fomtalis, qui s'appuie sur le
processus drrive et de dpart du personnel.

Une revue d autorisations d'accs doit tre ralise annuellement sous le contrle du RSSI, le cas

chant avec l'appui d.i cowespondant local SSI

Gestion des smheminnts

gP-cONF-AUTH : condallt deslnfomtatgns d'authentication.


Les informations dautherlification (mots de passe d'accs aux Sl, cls prives lies aux ceitficats
lectroniques, etc.) doivent etrecorsiderees comme des donnessensibles.
EXP-GEST-PASS : gestion des mots 0G En.
(par exemple dans un fichier) su leur
Les ulllsateurs ne doivent pas stocker leursmots de passe en clair
poste detravail. Lesmots de passe ne doivent pastransiter en clairsur les rseaux.

~
Chaque compte utilisateur doit tre cr avec un mot de passe initial alatoire unique. si les
circonstances l'imposant, un motde pes plus simple mais a usage unique peut tre envisag.

~
Les egles gesticn et de protection des mcts de passe donnant accs aux applications et
infrastructures nationales, telles qwdictes par les matrises douwage nationales. doivent tre
respectes dans chaque entit. Pour les ressources dont la politique de nots de passe est gre
localerrierit, les recommandationsde FANSSI dovent etre appliques pour tous les comptes.

~
Des moyens techniques permettant d'imposer la poltique de mots de passe (par exerrple pour s'assurer
du respect de l'ventuelle obligation relative l'usage decaractres spcux) doivent tre mis en place.
A dfaut, un contrle priodique desparamtres techniques relatits au: mots de passe doittre ralis.

Gestion des authentiants tfsdmitistration


n _ .~x'.'.l l un 1" ' vr - ~
permettant l'administration des ressources des SI doivent tre alacs sous squestre
Les authentifiants
jnti, dans i.n rnffre nii i.rte armoire ferme cl I aithentifi doit tre inform de l'existence
et tennis
de ces oprations de gestion, de leurs finalits et limites. Tout accs d'administration une ressource
informaticue doit pouvoir tre trac e: pemettre de remonter a la pesonne exerant ce droit Les
informations dauthent fication bnficiait cl un moyen de protect on phys que (notamment carte wce)
n'ont, par dfaut, cas besoin dtre l'objet d'oprations de squestre de la part dat.itres personnels que
lauthenti lui-mne

~
Chaque administrateurdoit disposer d'in mot de passe rnpre et rlestn l'administration
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

EXF-DEP-ADIIIN 2 gestion du 61|! d'unadministrateur des SI.

En cas de dpart d'un administrateur dlsposam de privieges su des composants des SI, les comptes
individuels dc-nt il disposait doivent tre immdiatement dsamivs. Les ventuels mots de passe
d'administration dont il avait cmnaissarce coivent tre mangs (exemples : mots de passe des comptes
fonctionnels, corrptes gnricues ou comptes de service utilise dans le cadre des fonctions de
l'administrateur).

Exploitation scurise des ressources informatiques


Objectif 22 : scurisation de l'exploitation. Fournir aux acminstrateurs les outils ncessaires
l'exercice des taches SSI et configurer ces cutils de manire scuise.

Administration des systme


~
Sauf exception dmert rnclive et valie parle RSSI, les utilisateurs, quelq soit leur statut, n'ont pas
de droits :lad11inistraton (dorraine, local). Dans le cas d'une exception, elle doit me trace et dot tre
renouvele tous les ans.A dfaut de renouvellement, les privilges d'administration doivent tre
supprims.
EXP-PROT-ADNIN : protection des accs aux outils d'administration.

L'accs aux outils et interfaces dadmnrsratio-i doit tre strictement limit aux personnes habilites,
selonune procdure formelle dautorisationd'accs.

EXP-HABlLIT-ADMIN : habilitation des administrateurs.

L'habilitation des administrateuzs s'effectue selon une procdure valide par l'autorit d'homologation. Le
nombre de personnes habilites pour des oprations dadminstration doit tre connu et valid par
l'autorit d'homologation.

EXP-GEST-ADMIN : gestion dos actions d'administration.

Les oprations d'adm nistration doivert tre traces de manire pouvoir grer au niveau individuel
limputabilit ces actions d'administration.

~
Les oprations dadministration sur les ressources locales dune entr doivent s'appuyer sur des
protocoles quipements ou au moins Ln rseau
scuriss. Un rseau ddi a l'administration des
logiquement par de celui des Litiliseteurs, doit tre Ltilis. Les postes d'administrateurs doivert tre
ddis et ne doivent pas pouvoir acer lntemet.

~
Afin de grer efficacement un grand nombre de postes ditilisatecrs, de serveurs ou d'quipements
rseau, les adrnnistrateiirs doivent utiliser des nirtis centraliss remettant l'automatisation de
traitements quotidiens et offrant une vue gloaale et pertinente sur le systme dinfonnation.

~
La pr se ce main a distance d'une ressource informatique locale
ne dcit tre ralisable que car les agents
autorise par l'quipe locale charge
SI, sur les ressources informatiques de leur primtre Des
des
mesues de scuri spciques dovem tre dfinies et respectes.

Administration des domaines

~
La politique de gestion des mots de passe doit tre conue de faon protger contre les attaques par
essais suscessifs de mots de passe. Une complexit minimale dans le choix des mots de passe doit tre
impose aux utilisateurs.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

EXF-DOM-NIICLAT 2 dfinir 8 a I uer une nomenclaturedes coin du domaine.

La gestion des comptes doit s'appuyer sur une nomenclature adaptee, afin de pouvoir distinguer selon
leur usage : comptes d'utilisateur standard. comptes d'administration (domine, serveus. postes de

travail) et corrptes de service.

EXP-DOM-RESTDMIN 2 restreindre au maximum Pagrtenance aux grcu


d'administrationdu domino.

L'appartenance aux groupes du centaine ADMlNlSTRATElRS et ADMNISTRAEURS DU DOMAINE


n'est ncessaire cue dans de trs rares c. Les oarations les plus courantes doivent tre effectues
avec des comptes du domaine membres des goupes locaux d'administration des ordinateurs ou ayant
me clgation d'administration.

~
Les comptes de service ont la particularit d'avoir gnralement leursmots de passe inscrits en dur dans
des applications ou dans des systmes. Afn de pouvoir tre en mesure de changer ces mots de passe
en urgence, il est ncessare de matriser leur utilisation.

Exeoomiurrsaav: limiter les droits des dogues deservice.

Les comptes de service doivent faire l'objet d'une restriction des droits, er suivant le principe du moindre
privilge.
EXP-DOM-OBSOLEI : dsactiver les com du dorrnlne obsoltes.
Il est ncessasre de dsactiver immdiatement, voire de supprimer, les comptes obsoltes, que ce soient
des comptes d'utilisateur (administrateur, de service ou dilisdeur standard) ou des comptesde machine.

EXF-DOM-ADMINLOC : amliorer la estion des ccm dbninistratour locaux.

Afindemocrer la rtitilisetion des empreintes d'un compte utilisateur local d'une machine ure autre, il
faut soit utiliser des rrots de passe diffrents pour les comptes locaJx dadminislration, soit intercire la
connexion a dstance via ces comptes,

Envoi en maintenance et mise au rebut

~
Les cbnnes non chiffresdoivem tre effaces avant l'envoi en mairtenance externe de toute ressource
informaticue Pou les quipements contenant des donnes sensibles, il doit tre nis en place des
mesues de rtent on des supports d'information

~
Lorscuure ressource informatique est amene quitter dfinitivemert l'entit, les donnes prsentes sur
les dsques durs ou la mmoire intgre doivent tre effaces de manire scurise ou le support
d'information dtruit.

L'effacement des donnes sensibles doit sappi.iyer sur des produits qualifies, ou respecter des
procdures tablies er concertation avec FANSSI.

~
Des Iogic els de protection contre les codes malveilarits, appels commJnrnent aritivirus, doivent tre
instals sur l'ensemble des serveurs dhterconrexion, serveurs applicatifs et postes de travail de l'entit
Ces logic els de protection doivent tre distincts pour ces trois catgories au moins, et le dpouillement
de leurs jcumaux doittre corrl.

~
Les vnements de scurit de Pantivirus doivent tre remonts sur un serveur central pou amtyse
statiszique et gestion ces problmes a posteriori (exemples : serveur ccnstammert infect virus dtect
et non radiqu par fantivirus, etc).
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

EXF-MAJ-ANUVIR Z mise jour de la basede signatures.


Les mises a [OUT des D6598 antivlrales et des moteurs (BIMFUS doivent ere dployes
automaticuerrent sur les serveurs et les postes de travail par un dispositif prescrit par les directions.
bureaux ouservices irforrratiques, valid par le RSSI.

EXP-NAVIG COmhllfINO du blll IMHG.


Le navigateur dploy par l'quipe locale charge des SI sur l'ensemble des serveurs et des postes de
traval ncessitant un accs lmernet or. Intranet doit tre configur de manire scurise (dsactivatiow
des services inutiles, nettoyage du magasin de rtificats etc).

Mise jour des systmes et des logiciels


EX OL-COR : dfinir et mettre en uvre une Ilti ue de suivi et d: llcatio des
correctlrs de scurit.

Le rraintien dans le temas ou nveau de scurit d'.in systeme d'information imaose une gestion
organise et adapte des mises jOLI de scurit. Un processus de gestion ces correctifs propre
chaque systme ou applicatif doit erre dfini et adapt suivant les cortraintes et le niveau c'expcsition du
systme.

EXP-CORSEC : Lglolerrtent de: correctifs de scurit.

Les correctifs de scurit des ressources irforrratiques ocales doivent tre dploys car l'quipe locale
charge des SI en s'appuyant sur les prconisations et outils proposs par les directions, bureaux ou

services lnforrnatlques

EXP-OBSOLET Z GSSUIQU I8 migration G65 SEEIDQS OIISOIHS.


L'ensemble deslogiciels utilises sur le systme d'information doit elre dans une version pour laquelle
l'diteur le support, et tenu _our. En cas de dfallartce du support, il corviert d'en tudier
assure

l'impact et de prendre les mesues adaptes.

~
Il est nssaire d'isoler les systmes obsoltes. gards volontairemert pour assurer un maintien en
condition oprationnelle des projets, et pour lesquels une migration n'est pas envisageable. Chaque fois
que cela est possiale, cette isohtion doit tre effectue au niveau du rseau (filtrage stct), des lments
delutlientiicalion (qui ne doivent pas elre conrriurs avec le reste du SI) el des agicalions (pas de
ressources partages avec le reste du Si),

Journalisation

gg-JOUR-SUR : [oumallsgion des mm.

Chaque systme doit disposer de dispositis de journalisation permettant de conserver une trace des
vnementsde scurit. Ces traces doivent tre conserves de maniresre.

EXP-POLJOUR : dnir et mettre en uvre une l ue de estlon et d'ami des


[gurnaux de traces.

Une politique de gestion et d'analyse des journaux ce tracesdesvnements de scurit est onie par
le RSSl, valide par l'autorit qualifie, et mise en uvre. Le niveau de scurit d'un systme
d'information dpend en grande patie de la capacit de ses exploitants et administrateurs dtecter les
erreus, dysfonctionnements et tentatives d'accs illicitessurvenant sur les lments qLi le composent.
~
Les journaux des vnements de scurit doivent lre conservs sur douze mcis glissants, hors
contraintes lgales et rglementaires particulires imposant des dures deconservationspcifiques,

Dfense des systmes d'information


Objectif 23 : dfense des systmes d'information. Dfencre les SI ncessite une vigilaroe de OJS, et
des actions rmartentes.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

EXF-GES-DYN : ion am ne de la scurit.

Les personnes en charge de la ssl doivent procder, notammert via l'analyse des journaux, a la
surveillance des comportements anormaux au sein cu systme d'information, et a a surveillance des flux
d'entre et desorte du systme d'information.

Gestion des mariets informatiques fournis l'utilisateur


~
Les postes detravail y - compris dans le cas d'une location sort fournis a l'utilisateur par l'entit,
- grs
et configurs sous la rponsabilit de l'entit. La connexion d'quipements non matriss, non

administrs mis jour par l'entit (qu'il s'agisse dbrdiphones, d'quipements informatiques
ou non
nomades et fixes ou de supports de stockage amovibles) sur des quipements et des rseaux
professionnels est inte'dite.

~
Les postes fixes bncient des mesures de protection physique offertes au titre de la directive de
scurit physique de la prsente PSSl-MCAS. Chaque utilisateur doit veiller a la scurit des supports
amovibles (cls USB et dsqucs anov blcs), notammert en les conservant dans un enduit sr. Il est
recommand de chiffrer les donnes contenues sur ces supoorts. Les sLpports contenant des donnes
sensroles doivent tre stocks dans des meubles fermant a clet.

ExF-DEcLAR-VOL : dclarer les nes et vols.


Toute perte ou vol d'une ressource d'un sysime d'information don erre dclare au RSSl.

EXP-REAFFEGT : raffectation de matriels tnrormatgues.


Une procdure de gestion des postes et supports dans le cadre de dparts de personrel cu de
raffectations de nouveaux Ltilisateurs doit t'e rrise en place et valide par le RSSl. Elle coit dfinr
les conditionsde recours un effacement des donnes.

~
L'autorit d'homologation du SI valide les usages possibles des quipements nomades vis vis du
traitementdes rnformazicns sensibles ; les mages ncn explicitement autorss sont inte'dits

~
Les utilisateurs distants doivent sauthentifier sur le rseau de l'entit en utilisant une authentification
forte.

Scurisation des imprimantes et copieurs multifonctions manipuler! des informations


sensibles

~
Les impressions dintormatiors sensibles doivent tre effectues selon une procdue prdfinie,
garantissant le contrle de l'utilisateur du dclenchement de l'imp'esson jusqu' la rcupration dJ
support imprim.

~
Les imprimantes et copieus rrultifonctions sont des ressources znforrnatiques a part entire qui doivent
tre gres en taitque telles, Elles ne doivent pas pouvoir comm.iniquer directement avec l'extrieur.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Explottdion des centres informatiques


Objectif 24 : exploitation scurise des centres inforrndlques. Exploiter de manire scurise lus
informatiques
centres en s'appuyant sur des procdues adaptes et sur la matrise des outis de
supervision.

Scurit des ressources informatiques


~
Les systmes d'exploitation dploys ooivent faire l'objet d'un support valide de a part dun diteur OJ
d'un prestataire d: service. Seuls les services et applzcations ncessaires sont installs, de faon
rduire la surface d'attaque.

Une attertion particulire cbit tre apporte aux comstes administrateurs.

EXP-Cl-LTP : lggtctels en Tiers Prsentation.

La mse en uvre d'une configuration renforce est obligatoire sur les ogiciels dploys pour le tiers
prsentation (ex : serveur web, Reverse Proxy).

ExP-cl-LTA : Igglclels en Tiers Application.


Des rgles de dveloppement scurise, et les congurations des logiciels en Tiers Application doivent
tre fxes et appliques.

EXP-cl-LTD : lggiciefs en Tiers Donnes.

Des rgles trs strides (reszrictions d'accs, interdictions de connexions, gestion des privilges)
s'appliquent aux logiciels en tie's donnes,
~
Les changes de fichiers enrre applications doivent privilgier les protocoles scuriss (SSL/TLS,
FTPS )

Pour satisfaire les besoins dexplotaticn et de supervision des infrastructures et des applications. une
messagerie dte technique peut lre dploye en zone de Back-office du centre informatiqie. Cette
messagerie technique ne doit tre en aucun casutilise directement par un Litilisateur.
~

De faon garantir un niveau de scurt satisfaisant face aux attaques informatiques, des mcanismes
de filtrage et ce cloisonnement doivent etre mis enuvre.

~
D'une manire gnrale, il convient de diffrencier deux types de ux dad-ninistraton les flint
d'administration de l'infrastructure (rservs aux agents du centre Informatique) d'une part, les ux
d'administration des applications ntier (rservs la direction mtier) d'a.itre part. L'attribution des
croits dadmiristraion doit respecter cette diffrenciation, et les 2 types de ux d'administraticn doivent
tredans la rresure du possible cloisonns.

~
Dans le cas du dploiement d'un serveur de noms de domaines pour les besoins techniques irtemes aJ

centre lnfonnatique, il sera utilis de prfrence lesextensions scurises DNSSEC.


~
Le reconditionnement et la rutilisation des disques durs pour un autre usage (ex ; rattribution d'une
mecl-ine/serveur) ne sont autoriss qu'aprs une opration d'effacement scurise desdonnes.

La fin de vie d'un support ou d'un matriel embarquant un support de stockage (imprimante, routeur,
mmutafeur. .) doit s'accompagner d'une cpretion de destmcticn avant mise au rebut,
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

EXF-Cl-TRAC : tralltl lmgllblll.


Afind'assurer une cohrence dans les changes entre applications ainsi quure traabilite pertinente des
vnements techniques et de scurit, les centres d'exploitation emploient une rfrence de temps
commune (service NTP, Network Trne Protoool)

EXP-GISUPERVIS : survlslon.
Un coisonriernent entre les JX ce supervision (remonte dirforrrations) et les ux dadrrinistration
(commandos, mises jour) doittre mis en place.

~
L'accs aux supports infoirnatques amovibles fait objet dun traitemert adapt pILS particulirement
lorsqu'ils ont t utiliss pour mmoriser de linfomiation sensiole ou lorsqu'ils sont utilss pour des
opr allons d'exploitation.
EXP-cl-ACCRES : accs aux rseaux.

Dans un centre ir foi niaticpe, le contrle physique des accs rseaux, lattributiori des adresses lP, le
fitrage des informations et l'usage dspositifs spcicpes (machines vrtuelles,
de cartes d'administration
distance, etc.) font l'objet de procdures scurises.

EXP-cl-AUDIT : audit/contrle.

Le RS5! pilote des audits rguliers du systme d'information relevant de sa responsabiit.

Scurit du oste ce travail

Scurisation des postes de travail


Objectif 26 : scurisation des postes de travail Duclr les oontlguraions des postes de travail en

- -- eant les utilisateurs.

Mise disposition du poste


~

Les postes de travail uilissdans le cadre professionnel sont foumis et grs 3er lqupe locale charge
des SI.

Si on poste est mis disposition par u autre voie, sa connexion aurseau est soumise a l'autorisation
du RSSl.

~
Une procdure formalise de congurer on des postes de travail est tablie par chaque entit.

Scurit physique des postes de travail


PDT-VEROUIL-FIXE : irerroull a de l'unit centrale des xes.

Lorscue l'unit centrale d'un poste fixe est peu volumineuse, donc susceptible d'elre facilemem
emporte. elle doit tre protge contre le vol par un systme d'attache (parexemple un cable arttivol).
PDT-VOUIL-PORT Z verroullage des tes rtablos.
Un cble physique de SCJfl doit tre fourni avec chaque poste portable. Les Ltilisateurs doivert tre
sensibiliss a son utilisation.

Raffectation du posteet recmration d'informations


" - g -t ' ;-,iit't-1!=tli - m: i: I; I_= =

Une orocedure SSI dfinit les rgles concemant le tratement a appliquer aux informations ayant t
stockes n manipules si ir les postes raffects
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Gestion des privilges sur les postes de travail

La gestion des privilges des utilisateurs sur leurs postes de travail doit suivre le principe du i: moindre
privilge a : chaque utilisateur ne doit cisposer que des privilges ncessaires a la conduite des actions
relevant ce sa mission

PDT-PRIV : utlllsaion des rivll d'accs I administrateur I.

Les privlges d'accs K administrateur doivent erre Ltilrses Lnrquement pour les actions
d'administration le ncessitant.

PDT-ADMLOCAL: estlon du co e or administrateur local x.

L'accs au compte c: administrateur local sur les postes de travail doit tre strictement limite aux
quipes en chargede l'expoita:ion et du support sur ces postes de travail.

Protection des informations


~
Dans la mesure du possible, les donnes traites par les utilisateurs doivent tre stockes sur des
espaces rseau, eux mmes sauvegards selon les exigences des entits.

~
Dans le cas o s donnes doivent tre stockes en local s.rr le poste de travail, des moyens de
synchronisation ou de sauvegade doivent tre fournrs aLx utilisateurs

PDT-PART-Flc : e dechiers.

Le partage de rpertoires ou de donnes hberges localemem s.rr les postes de trava l est proscrire
PDT-sUPPR-PART : suppression desdonnes sur les tes adages.
Les connes prsentes sur les postes partags (portable de pret, par exemple) doivent tre supprimes
entre deux utilisations, deslors que les utilisateurs ne disoosent pas d.r mmebesoin d'en connatre.

~
Une solution de chiffrement labellise colt tre mise dsposition des utiisateurs et des administrateurs
afin de chiffrer les donnes sensibles stockes sur les postes de travail, les serveurs, les espaces de
traval, 0U les supports amovibles.

PDT-AMOV : toumtture de sugrts de stocligge amovibles.

Les supports de stockage amovibles (cls USB et disque durs externes, notamment) corvent erre tournis
aux uilisateurs pa l'quipe locale charge des SI.

~
Les accs distance aux SI de l'entit (accs dits i: nomades n) doivent tre raliss via des
infrastructures homologues. L'usage de rseaux privs virtuels (VPN) deconance es: ncessaire.
~
Un pare-feu local conforme aux directives nationalesdoit tre installe sur les postes nomades.

~
Le stockage local d'information sur les postes detravail nomades doittre limiz au strict ncessaire. Les
informationssensibles doivent tre obligtoiromerrt chiffres par m moyen de chiffrement labellis.

PDT-NOMAD-FILT : filmdeconfidentialit.

Pour les postes de travail nomades manipulant des connes sensibles, un filtre de condertialit dort tre
foum et tre posrtronn sur l'cran ds lors que le pcste est Ltrlis en dehors de l'entit
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

PD-NOMD-CONNEX 2 configuration 00S IMQITSOGS 08OOIWIQXIOII sans fl.

La configuration des imenaoes de connexion sans fil dot interdire les usages dangereux de ces
interfaces.

PDT-NOMAD-DESACTN zdsactivatlon des interfaces de connexion sans fil.

Des gles de configuration s interfaces de cornexbn sans fil (Wifi, BlLetooth, 3G,. l, permettant
diriterdire les usages non matriss et d'viter es intrusions via ces interfaces, doivent tre dfines et
appliques. Les inerfaces sans fil ne doivent etre actives qu'en cas de besoin.

Scurisation des imprimantes et copieurs multifonctions

Objectif 2B : scurisation des copieurs multlfonctlons. Paramtre les innzirimantes et copieurs


multifonclions afin de diminuer eur surface datta

Les imprimantes et copieurs miltifcnctions hbergs localement dans une entt cbivent fare lbbje: d'un
durcissement en termes de scunte : crangement des mots de passe initialement fxs par le ii

constructeur n, dsactivation des irterfaces rseau inutiles, suppression des services inutiles, chiffrement
des donnes sur le disque dur lorsque cette fonctionnalit est disponible, configuration rseau statique.
PDT-MUL-SECNUM : scurlsaiondelafonction denumrlsation.

Lorsqu'elle est active, la fonction de numrisation sur les copieurs mu tifonctions hbergs dans une
entitdoit tre scurise. Les mesures de scurit suivantes doivent notamment tre appl ques envoi .

de documentsuniquement destination d'une adresse de messagerie interne a entl, envoi


Liniqment une seule adresse de messagerie.

Scurisation de la tlphonie
Objectif 27 : scurisation de la tdphonle. Scuriser la tlphonie pour protger les utilisateurs contre
des moue: malveillantes.

~
Les autocommutateurs doivent lre mairtenus jour ai. niveau des correctifs de scurit. Leur
configuration doit tre durcie. La dfinition et l'affectation des droits d'accs et des privilges aux
utilisateurs (transfert dpart-dpart entre en tiers, interphonie, autorisation de dblocage, renvoi sur
numro extrieur, substitution, substitution de privilge, intercention d'appel dirig, etc) doivent faire
l'objet d'une attention particulire. Une revue de la programmation tlphonique doit tre organise
piiiuiiiqtliiielit.

~
Ilestnoesse re de sensibliser les utilisateurs au besoin de modifier le code dacos de leu tlphone et
de leur messagerie vocale.
o I
_

Les communications ralises autravers du protocole DECTsont suszept bls d'tre rrterceptes, meme
si les mcanismes dauthentifcation et de chffrement que prcpose ce protocole sont activs. ll est
recommand d'attribuerdes postes tlphoniques filaires aux Litilisateurs dontles changes sont les plis
sensioles

Contrles de conformit

Objectif 28 : contrles de la confornit des postes de traval. Contrler rgulirement la conformit


des rarnetraes de secunte a- liques aux postes de travail.

~
Un outil de vrification regulire de la conformit des lments de configwation des postes de travail doit
tre mis en place, afind'viter une drive dans le temps de ces lments de configuration.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

~
Dveloppement des systmes
Objectif 28 : prise en compte de la scurit dans le dveloppement des 8l. Reconnatre la scurit
comme une fonction essertlelle, et a prendre en compte desia conception des projets.

DEV-INTEGRSECLOC : lnt ror la scurit dans les dvale locaux.

Toute initiative locale de dveloppement iniormatiqie dort respecter les exigens SSI, concernant la
prise en compte de la scurit dans les projets et les dveloppements informatiques (notamment la
ralisation d'une analyse de
risques). _e service l'origine du projet se porte garart d'une dmarche
d'homologation du systme de l'application et le ces chant de l'application du rfrentiel gnral de
scurit.

~
Lors de recnure d'un contrat de sous-traitanoe de dveloppement, plusieurs clauses relatives a la SSI
doivent tre irtgres
b formation obligatoire des dveloppeurs sur le dveloppemert scuris et les vulnrabilits
classiques
r utilisation obligatoire d'outis permettant de minimser les erreurs introduites durant le
dveloppement (outils gratuits d'analyse statique de code, utilisation de biblott-iques
rputes pour leurscurit, etc.) ;
v production de documentation technique dcrwant ltrmlartation des protections dveloppes
(gestion de l'authentification, stockage des mots de passe, gestion ces droits, cl-iffremenl,
etc.) ;
r respect de normes de dveloppement scuris, qu'elles soient propres au dveloppeur,
publiques ou propres au commandite re ,

D obigation pour e prestataire de corriger, dans un temps raisonnable et pour un prix dni, les
vulnrabilits introchites dLrant le dveloppement et qui lu sont remontes, en incluant
automatiquement les corrections des autres occurrences des mms erreurs de
programmation.

Dveloppements logiciels et scurit


Objectif 30 : prise en conquis de In scurl dans le dveloppement des logiciels. Mener les
dvelo -_- ments l - icielsselon une mthodol - o ie de scurisation du code produit,

V-FUITES : llniterles luttesd'information.

Les bites dirfomiations techriques su les logiciels utiiss permettent aux attaquants de dceler pILS
facilemert d'ventuelles vulnrabilis. ll est impratif de lirriter fortement la diffusion dirforrrations aJ
sujet des produits irtiliss, marre sicette prcaution ne mnstrue pas une protection en tant que telle

~
Le fmctionnenert d'une application s'appuie sur in environnement logiciel et matriel. En phases de
conception et de speicat on technique, il applications n'ort pas une
est ncessaire de s'assurer que les
trop forte adhrence vis--vis des envronnements sur lesquels elles reposent. En eltet, apparition de
tailles sur un environnement a de lait un impact su la scurit des applications qui en dpendent. En
plus du maintien en condition de scurit propre l'application, il est donc rcessaire de pouvoir faire
voluer son environnement pour garantir sa scuritdans la dure.

~
Une fois passes les phases de dfinition des besoins et de conception de Iarchitecture apptcative, le
niveau dc scurit d'une plication dpend fortement des modalits praziqucs suivies lors de sa phase
de dveloppement.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

V-LOG-CYCLE t l rer lascurit dans le devie I iciel.

La scurit dort etre ntgre a toutes les tapes du cycle de vie du projet. depuis l'expression des
besoins jusqu' la maintenance applicative, en passant par la rdactior du cahier des charges et les
phases de recette.

DEV-LOG-WB : amliorer la prise en 00mm de la scurit dans les omnium


Wob.

Les dve oppemente Web (et les dveloppements en PHP en particulie) font l'objet de problmes de
scurit rcurents qui ont conduit la constitution de rfrentiels de scurit. Ces rfrentiels ont pour
objedtf de fixer des REGLES DE BONNES PRATIQUES a l'usage des dveloppeurs. Ce sont des rgles
d'ordre gnrique ou pouvant tre spcfiques un langage (PHP_ ASP, NET, etc.)

~
Lorscu'ure applicatior doit stocker les mots de passe de ses utilisateurs, il est important de mettre en
uvre des permettant de se prmunir contre les attaques documentes : attaques par
rriesures

dictionnare, attaques partables arc-en-ciel, attaques parforce brute, etc.

Applications risques
Objectif 31 : scurisation des applcaons risques. Accompagner le dveloppement scuris
da y ications a ri- . r des corne-mesures minimisentl" datta - ues nowelles.

-FILT-APPL : mettre en uvre des fonctionnalits de filtrage applicatif ur les


applications a gue.
Devant les applications risques, il est recommand de faire usage d'une solution tierce de titrage
applicatif.

Traitement des incidents

Chanes oprationnelles
Objectif 32 : chdnes oprationnelles. Partager l'information (alertes. incidents) dans le respect des
rgles de prudence et mutualiser les oprations de remise en tat, de faon lutter efficacement contre
lesatta ues.
-

~
Les chaires opration-telles des MCAS concourent a l'elort national de cyberscurit. Les alertes a les
incidents sont grs selondes
procdures testes lors d'exercices. La coordination des comptences est
organise l'chelon ministriel. Les situations d'urgences peuvent faire appel des mesures dfinies
taralablemenl dam le cadre des plans gouvernementaux

Traitement des alertes de scurit mises pu les instances nationales (FSSl IANSSI)
~
En cas d'aIer:e de scurit identifie au niveaa rational, les RSSl de chaque entit s'assurent de la
bonneapplication des exigences formules 3er les irstarces nationales, dans es neilleursdlais.

Remonte des incidents de scurit rencontrs rcr. Annexe 3)


guAL-TRAIT : qualification et traitement des Incidents.
La chane fonctionnelle SSI est irforme par la chane oprationnelle de tout incident ce scurit, et
contribue si ncessairea la quaiiflcationoe rincldent et aJ pilotage de son traitemewt.

~
Tuut iiuiderit de scurit, mme anxiernnnerl iniieui, Lluiil l'impact passe ou est susceptible de
dpasser le Si d'une entit ou des MCAS, fait l'objet d'un compte-rendu, via la chane SSl, au FSSl qu,
le cas chant, alerte le Cene oprationnel de la scurit des systmes d'information (COSSI) de
PANSSI.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

La remorte clinciclerts par la cnalne oprationnelle ministrielle participe a la postue permanerte de


vigilance. Cette remorte est immdiate pour les incidents cbnt la porte est susceptible de dpasser
court terme le primtre de l'ertit ou des MCAS, et pour les incidents oorespondant a des signalements
spciques, notamment de la part de PANSSI. La remonte prend la tome d'ure synthse mensuelle
pour es autres inciderts. En fonction de la situation, le lFDS peut prescrire un rythme hebdorradare OJ
icurnalierde ces remontes

Les critres etprocres prcis de remonte d'incidents sont labors sous le pilotage de la cnalne
fonctionnelle SSI. en lien avec la chaneoprationnelle.

Chaque entit dol: maintenir a jour un historique clair d suites lies l'escalade de chaque incident.
afin de capitaliser es enseignements associs a la rsolution (ou non) de ces incidents

L'aspect difficile de la caractrisation des attaqs (amb-guit de la scur, du dommage, du moyen, de


la finalit) rend ncessaire les changes dirfcrmations interministriels mme 8U des signaux faibles
n - ainsi que la coordimtion continue des actions.

COFIHUI CGCIVI

Gestion de la continuit d'activit des SI

Objectif 33 : gestion de la continuit d'activit. Se doter de plans de continuit d'activit, et les tester.

A-MINIS : dm ition du lat nlni riel de continuit d'activit d 8


dnformlon.

Les MCAS dnissent un plan de curiliiuil d'activit ministriel des syszrries (Information tierriietlant
d'assurer, en cas de sinistre, la continuit dactivn des systmes d'information.

Dnition du plan de continuit dhctivitdes systmes d'information d'une entit


n; ' . 'illltl' .'lL.A_.'.'.A.ll1L'U. ~ u: nuit.- ~

Le directeur des svstemes d'information ou le RSSI d'une entt dfinit la structure et les attendus du plan
de continuit d'activit des systmes dinfcnnation permettant d'assurer effectivement, en cas de sinistre,
la continut d'activit.

Mise en uvre du plan local de continuit d'activit des systmes d'information

~
Le RSSI dure entit s'assure de la bonne mise en uvre des dispostions prvues dans le plan de
continuit d'activit des systm d iniomtation.

PCA-PR Z ITIISG on lIVfO S ISIIS IIBUS ClCO5EIOCGIIOS OESUOIWICIIQS.


Les quipes informaticues mettent en uvre les dispositifs techrlques et les procdures oprationnelles
contrbuant la continuit des SI. en assurent la supervision au quotiden et la maintenance dans le
temps.
PCA-SAUVE : protection de la dlslblllt des sauvggardes.
Les sauvegardes de denres ne doivent pas tre soumises aux rrmes risques de siristres qLe les
donnes sauvegardes.

~
Les sauvegardes doivent tre traites de manire garantir leur oonfidentlit et leur intgrit.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Maintien en conditions oprationnelles du plan local de continuit d'activit des


Systmes d'information
l A ~
~

Le RSSI d'une entit organise des exercices rguliers, an de tester le pian local de continuit d'activit
des systmes d'information

~
Le RSSI d'une entit assure le maintien jour du pian local de continuit d'activit des Systmes
crlnformation.

Coriormite, audit, inspection. contrle

Objectif 34 : contrles rguliers. Effectuer des combles (audits, inspections) et des exercices rguliers
de ran a mesurer les -- resaooom iset carrier les ma

COQTR! 2 gmroios locagg.


La conformit a la PSSIE et a la PSSI-MCAS est vermee par des courroies rguliers. Les RSSI de
chaque entit conduisent des actions locales d'valuation de la omfonnit la PSSl-MCAS et
oontrbuent la consolidation, dans un bilan anmel, de l'tat davanoemertde sa mise enuvre.

NT N lzhllannnnu .

Les ministres charges s affaires sociales etabiissent U! bilan annJei mesurant sa rnaurite SSI
gobaie, qu'il transmet PANSSI,
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

ANNEXE 3 gestion des incidents lis la tout

695 scurit de Pinformationna

~
agert
La circuit
Le ded'un
le constatant
survenue auprs
vnement
gestion anormal
de affedant
sa chaneSSI
d'un incident Iun
le composants
dessuivant
cas chant
ouprocessus
doitsuiwele deTout
I'AQSSI
agent
d'un Sidpend.dol etre dclare pa
dort il

Iraltumrnt m lwnnden

Lapitalusalnon surl'incident

Aprs sa dtection. l'incident est analys par Pentite qd est dente RSSI. responsable de proximit.

AQSSI. etc. avec l'appui du service en charge de la scurit oprationnels. Ce dernier reaise une
-

analyse techniquepermettant dednir la nature de l'incident et sa porte.

En cas dncidert criique suspect. le F58! pourra tre ssi droctenlerlt Paresse :

modle defomulelreincident oldessous)

La qualicdim prcise de l'incident requiat la mise en uvre d'une matrice d'indice de gravit des
incidents deswrl base sur 3 axes :

l c aies d"n ' ent :

r Accs.moditon, collede non autorises de donnes,


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

v lntrusicnl prrsede oontrole,

r Gomptxlernents anormaux (usaps frauduleux, usages abusifs comportementsdvianis,...),


r Prsence defichiers malveillants (maiware),

b Dysfonctionnements (dni de service, parexemple : indisponibilit de service non explique),

D Vulnrabilits critiques

2 (Sewi. aPPlOaDS 0U 4300995)-

3 (norrbre d'actifs impacts, nivu de contagion)

Dans le cadre de la gestion des incidents de scurit, il est ncessaire de connaiire les bons
interlocuteurs avec qu changer et communiquer les bonnes informations. Cela est indispensable afn
deviter toutmanquementqui nuirait une rponse efficace face aux incidents.

En effet, es infomiations doivent drcuier le plus rapidement possible au seir de l'organition afin que
les dcisions pris le soient en ayant recueilli le maximun de rerseigierrents

Des personnes comme le responsable de la production, le responsable du pian de continuit d'activit,


de la scurit physique oude la scurit des systmes dinfonnaions ouencore la direction des risques
constituent des interlocuteurs privlegis dans le cadre de la gestion des incidents de scurit. De
nombreux acteurs peuvent tre solicits er fonctior de la raction a apporter (service juridique, service
des ressources lrurrairies... ).

En fonction dune premire estimation de sa gras/t, l'incident est port immdiatemert ou ds que
possible la connaissance de la DSl (o; du service en marge des systmes c'information. Une pre-niere
analyse, confrme ou =nnne la cagorisatron r incident de scurit n. Les incidents n01 conrms r:
incident scurit n sont transmis aux qupes support pou tratement

il est procd si ncessaire des investigations complmentaires pour qualier l'vnement. Pour
bnficier des dispositfs de mobilisation et d'escalade dj en place, l'chelledes indices de g'avit des
incidents de scurit it tre calque sur celle des indices gravit des incidents de production et doit
lnteger le principe d'escalade dans la dure (plus l'incident dLre sans rsolution, plus son indice de
gravitaLgmente)

Lorscue le tra tement d'un incident de ecurt requiert des changes avec les quipes mater, I Litilisation

de la matrice d'indices de gravit des incidents de scurit n'est pas toujours adapte. c'est pourquoi
me nahice des impacts mtier sera privilgie pour une meileure communication sur lincidem en cours
auprs des quipes mtier. Cette matrice est classiquement base sur une catgorie et un niveau
d'impact mtier :

b Perte fnanciere,

I Atteinte la rputation limage de marque,

I Rglementation I JuridiqJe.
l insatisfaction clients,

b Dispon biiit des services.


L'ensemble des natrices de qtalificaiion de la g'avit des inciderts de scurit doit tre labor avec les
acteus de rcrganisaton (directions mtier, qJipes oprationnelles) pour Lne meilleure adhsion au

dispositif, facteur cl de succs. Typiquementces critres sont issus de l'analyse de risque.

Ilestncessaire de tenir un journal de bord norodatet prcis desvnements et actior'is des sollicitation
de l'quipe.

~il conviert de prendre certaines p-icauions en fonction de l'incident (ex piratage) et de prserver le ~
contexte de preuve (copie de disques, sauvegard, logs.. ) avant toute rendation, Lanatyse peut,
dans certains effacer, les traces du passage d'un a attaquer! i. En effet, le travail
cas modifier, voire

danaiysegnre lui-mm des traces qui se confondent ensuite avec les traces laisses par l'agresseur.
27 octobre 2015

supportdorighe.
759
JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE

Defelt. ilestnecesealrecleaewegaroerlmtemplevlameooplelngelemletypebltabmlee
avartdertreoremetouteactionsptibledenurerlrleatd
informations

Slmeomiedeedisqueeestpaerdlsableoulbetdoement.ilfeuau rnoioateerveruneoopie
deslogeoournemdeoomuiorueueysterne).
donneeseule

La cybercrlminalit est le terme employ pou dsigner Pensembie CE8 lnadiom pnales susceptibles
desermiemewbseuxdetleoomnuceonwdblamcesnrsresux Enoasdtlaq
virale, du faitd'un Un de e dol eueeeom.
Texte 8 sur 81

Les recoin cfexperieme eur les inciderte deoybereecunte doivert pemieltre de reavduer regulieremem
la pertinence de ces matrices et sort l'occasion dbxplicper et de oomnmiqtnr su le niveau de gravit
de Pincidurt Par ailleurs, dam m souci d'amlioration oorninue, des mines de crise de eotrit
peuveri tre ralise prlodquemem en ne autant ou diffrenttypes descnarios:

O le plus HOMME.

O oeui qui preerte l8 plus fort imper: technique.

o le plus zramvene (lnvactam le plus dedirections techniques a muer),


D oehl qui est cone avec m exercice de PCNPRA (par exempte, le scnario de
dolenchememduPCAouPRAenreponseuneamqtidorrmqmeivedetypedd
deservioe).
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Formulaire de dclaration cfincidentlpiratage ce rinziaenxr

851 Informations
Duegnrales Dnomination
allant/u) (Ce-ive pari/e
ElDclaration
Personne: dclarant l'incident

Nom et

prnom

Adresse postale
'
fndfm
peu! erre renseignee a l avance par El
de nitiale
Popateur
m ' man d Type
es organismes)
(a eirezruer
aude complmentaire
ru-dclaration
Dclarationei amesure

service et
de rmiyse

fonction

code m Ville
'

Tl.
V l r '

Adresse e,
lectronique
P-rrscnn a rontarter pour ODPFII ds irlnrnalions COmpIPHIPFIaIIPs (Ceirepame peu! e're rensagnee a
Ivvnnon par Inc nrganicmnc;

Nom dt ' Service et


prnom fonction

Adresse postale boa pou, Ville

Tl.
A h . .

Adresse Q.
'
lectronique ' '

CnCl HNC12 Nom.1 ptnan q; SM l mm


(si affrent) service chstreinte

Tel

I l

Tl [Altesse Q
lectronique

DSUIPIO de lincrdont
a Systme d information conoem
Nom ou identifiant du
systme d'information
Description du systme
d'information

b. Incident constat

Date de dtection?
rvyn: H

12 Corlacl en hein: non ouvres.

13 Dole A laquelle fmcdeni a lconshl.


87084
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

9 Date et heure estimes dt.


dbLtdel'incident

Locallsdion
gographique des
uuloomerrts irmacts

c. Qualifbation de l'incident

Nature de l'incident.
Heure

m d a qmuamm lncicent encours de incident en cours de Incident rsolu D


quai rication D remediation D

Description de l'origine
connue ou prsume - ou

- Mthode de l'attaquant
si actionmalveillante.

Indicateurs techniques de
compromission Johdn cc hnnuhln la Indicateur du compvombdonconnut
nformatique 15
Rfrences des documents
joints

tatsuppos de Activits prparatoires Tentative d'attaque non Attaque aboutie D


l'attaque avant attaque D aboutie D

Typo d'impact constat Disponibilit D Corfidentialit E] Intgrit D


ou pressenti
Impacts mtier

d MESUES P1585 OU DfVlES

Actlcns et traitements
raliss

Dpt de plante Non envisag D Envisag D Ralis D

(yi-xr t un 1Cipllirninnljiri..

Signaturemanuscrite (si envoipar courrer postal;

1 SaIfa ou guida situ enannexes. Au besoli, omcxa les rsultats dandys engrcesjoils.

15 Se1mm au guide situe enannexes.

15 Risques associes arincident (exlntion, desnction. etc). mm des cumin: mais: ou exrs. sysmes page; ou devants,
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

~
'
Pourtransmettre le forn-uhtre ou pour toute question :

Adnsu postale Ministtos chargs des affaires sociales


14 avenue Duquesne 75007 paris

Tlphone c1 4ose '63 3s


Tlphonedesecotirs 014056484910633311688

Guidede remplissage du paragraphe 3.c


c: Mthodede l'attaquant n

Les lments de caractrisaion connus dans la liste suivante peuvent tre renseigns :

D motivation prsume de attaquant (chantage, sabotage, vol d'information, etc.) ;


b prsence ventuelle de l'attaquant dans le systrre d'information (constatation dexfittrations d'altrations
de onctionnement de machines) ;

o niveau de complexit de l'attaque (attaque cible ou non).


Dtails tecnmmes

b chronologie gnrale des activits de l'attaquant (pex. reconnaissance, inltration initiale, interaction avec

le contrle commande, contamination daLtres machines, exfiltration etc) ;

v primtre de la compromission :
I niveau de privilge obtenupar l'attaquant ;
I nombre et types de machines comprorrises compteset domaines ctadministratior usurps ;
D modications internes sur le systme dinfonnatian (ACL, ficriers, base de regstre etc.)
D vulnrabilits exploites, outilset techniques Ltrliss pour :

b la curnpoinissiun initiale ,

D lescalade de privilge sur le systme dinformaton (le ces chant) ;


D lexfiltration de donnes (le cas chant) ;

D la persistance ventuelle sur le systmeue ms chant) ;


D lexcution decommandes distance sur des ressources internes (le cas chant).

a Indicateurs de compronisslon n

Les indicateurs de compromission joirdre sort les irtormations techniques reprsentatives d'une
manifestation de compromission, qui peuvent t'e identies partir de analyse d'u1 systme, c'un code
maiveilant oude traces rseau.

Exemples : adresses IP, noms de domaine, URL, empreintes cryptograpniques ou noms de chiers ou de
codes malveillants, cralnes soecmques contenues dans des cooes malveillants, informations sur un
processus ou m service. ertres dans labasede registreWrndows. etc.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

ANNEXE 4 Homologation
En matire de systme drlornation, l'homologation permet a un responsable, en s'appuyant sur lavis des
experts, de sinfon"ier et d'attester aux utilisateLrs du systme que les risques ciiui psent sur eux, si.r les
inlormatiors qu'ils manipulent et sur les services 'end.is, sont connus et matriss. L'homologation es:
d'autant plus ncessaire, aujourd'hui, que les systmes dililmrialiun sont de plus en plus complexes et que
les impacts potentiels d'un nciderit sont de plus en plus graves. La dmarche d'homoogalion d'un systme
d'information est un pralable l'instauration de la conance dans les systmes d'information et dans leur
exploitation.

Il s'agit d'un processus d'information et de responsabilisalion qui abo.itit a une dcision. prise par le
responsable de l'organisation. Cette dcision constitue un acteformel par lequel il :
b atteste de sa connaissance du systme dinforrnalion et des mesures de scurit (techniques
(organisationnelles nujrrkrlas) mises en uvre :

D accepte les risques quidemeurent (risquesretsduels).

La dmarche dhomologation peut tre dcompose en neuf tapes, dont la mise en uvre est directement
lie a la complexit du systme homooguer. Les questions poses lors de ces neuf tapes permettent de
constituer un dossier. sur lequel l'autorit d'homologation s'appuie pour prendre sa dcision.

La dmarche d'homologation doit etre adapte aux enjeux de scurit du systme. notamnert au comexte
d'emploi, qu'aux utilisateurs,
la rature des donnes contenues, ainsi

Options qui sotirent l'autorit d'homologation ?


L'autorit d'homologation dcide, aprs avoir pris l'avis des membres de la commission dhomologation
d'attesterformellement de la prose en compte dans la scuritdans un systme dinforrration.

Aprsanalyse, trois optionsse prsentent elle 1


b la scurit du systme est satisfaisante et celui-ciest homologu pour une dure dnie dans le
noninal.

I la scurit du systme est acceptable mais dee mesures sont encore a prendre pour atteindre lacouverture
des risques rechahe. Le systme est homologu terrporeement (pourune dure courte de l'ordre de sii
mais) et/ou sur un primtre restreint. Dans ces conditions. un pian d'action est dress et la commission
d'homologation est convoque au terne de cette periodepoilr rvaluer cette homologation.
D la scurit du systme n'est pas acceptable. L'homologation est reporte. La systme n'est pas mis en

service. Les travaux complmentaires raliser sur le systme son. entls pour qui! soir de nouveau

prsenteIhonrobgation.

Dnition de la stratgie d'homologation


tape n 1 Quel systme drformation dois-je homologuer et pourquoi 7
r Dfinir Iereferentiel regiementaieapplicable etdellrnibr le primtre du systme a homologuer.

tape n 2 Quel type de dmarche dois-je mettre en uvre 7

v Estimer les enjeux de scurit du systme et en dduirela profondeur ncessaire de la dmarche metteen
uvre

tape n 3 Oui cortribie la dmarche ?

D Idenflerles acteursde! homologation et leur rle fdcisionnare. assistance, expertee thnique. etc.).
'

tape n 4 : Comment s'organise-toi pour recueilliret prsenter les infomiatiors .7

v Dtailler le contenu du dossier dlorrlolcgation et dnir le planning.

Marise des risques


tape n 5 Quels sont les risques pesan. sur le systme ?

v Analyser les risques pesanteur ne systme en ibnctlon du contexte etde le nature de icrganisrrle etfixer les
objectifs de scurit.
tape n 6 La ralit correspond-elle l'analyse 7
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

707
a Mesurer l'cart entre les objectifs etle reI-t,

707 Prise de dcision


tape
ces

b
risques ?

tape n 8
D
n 7: Quelles sont les

Analyser et mettre en uvre


mesures

les
de scurit

mesures
dnfurrruliur. Identifier b8risques rsiduas.

Comment raliser le dcision d'homologation


uvre

Accepter les risques rsiduels : fautarft d'homologation signe une albstabbr: bnnelb
pour couvrir

supplmentaires mete

ncessares la rduction des risques pesant sur le systme

autorisant le nies
en

en

service du systme d marial/m. duporrit de vue de la scrrit.

Suivi a posteriori
tape n 9 Qu est-i prvu pour naintenir la scurit et continuer de l'amliorer ?

D Mette en place une procdure de rvision priodique de Hiomobgatim e! un plan d action pour traiter les
risques rsiduels d les nouveaux risques oui epperailreienl.

La MOA (ou le RSSI formalise l'organisation de I'horno|ogaton dans un document de synthse valid par
ratitorte d'homologation. Cette stratgie d'homologation prcise l'ensemble des paties prenantes
l'homologation ains= que :

D le cadre rglera-tentais applicable (rgles de protection des hfcimiatrons condentielles. rgles


sectoriellsadc};

V le dmarche .' des et


lesceiendel
le picesconsrituvesle cycle
informationsde vie du hormbauer.
SI adans
dbonnlogatbn.
utilises
du dossier le cadrede rha-nologaticn:
Ibvgerusalrbrr (auteurs. missions. etc.)

Exemple de documentde stratgie :

Document de stratgie d homologation du systme XXXXX 7

Ce documrrt a pour objet de dfinir la stratgied'homologation du systme d'inammation XXXXX. (Il est possible de
tapoter .' dans bcedredes exigences du Rlntiei GnrnldeScuritGS) sicbstlecm).

L'homologation de scurit, prononce par lautor qualie aprs avisd'unecommission ad hou. atteste de la capacit
d'un systrre traiter des intormatonssensibles au vu des mesures quil met en uvre pour les protger. Ele tndut
l'acceptation d'un nivu cuantfi de risques rsidiels pour la cmdentiait. l'intgrit et la disponibilit.

La prsente stratgie d'homologation a pour objectif de prsenter les tapes et les lmerts roessaires
rhomobgation du cr SystmedlnformationsXXX)O( n. Elle comporte notnrrmert :
D le dnhiarr du pirntre faisant ibbjd de Tvauecrv.

D les mthodesetrfenliele retenue.

I le liste des documents de sduite (dossier dirormlqzeticn) d omis qui permdont dnelyser et de
malmales risques descurir.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

(Llesapbon des pub/ce concerns etles ventuels pr-requis.)


contexte gnral
Le a Qosteme d'informationsXXXXX a pourvocation ce XXXXX

Ontdirecte-nentaocs lapplication, raison de leursattriwtions respectives et dans la limite du besoin d'en connatre :
-XXXXX;
-XXXXX

Les informations trancher! au moyendu rseau (RIE. ddi. lntemet).


Amsile 1 s/stme dlnhmetrbns XXXXX n est compos (~

''"'"'
Serveur

Lesroes, responsabilits et interactions entre les parties prenantes sont dtaills dans une note organisationnelle (cf. pice n 6
Note aganusotionnele).

Identication des ggrtlee gemmes


Les partiesprenantes identiesdans le cadrede la mise en uvre du systme XXXXX sort

Acteurs il 5'391 )OOOO<


b Direction des systmes d'automation: reprsente parXXXXX
La DSI a pour mission :

Rssr: Les missions relatives la scuritdu SIXXXXX sont exercespar )0000(

Le responsable de laeewril des systmes d'information (R88!) umduil les uissicxrewivanles (exaliquer les missions) .

Fournisseurs

D Prestataires

Utilisateurs il s'agit des utilisateursdu SI XXXXX


Administrations : ex : il s'agit du ministre charg des affaires sociales. ditabtssements publics, citoyens - Limitesdu
primtre dhomologation

L'homologation concerne DOCXX (deearptlm), ainsi que les processus rcessalres au fonctionnementde l'application, savoir:
exploilation. administration, supervision". geion de o scurit, gestior administrative et contractuelle, volron tecliniq et
souvenance.

Le prrntre fondiornel considrer oeuvre donc l'ensembleXXXXX


Le permette de disque service est prcis dans t'anayse de risques (cf. pice n2 analyse de risques)
'

Les futursservices addionneb, non fournis actuellement, feront l'objet d une homologation propre etd'unervisionventuelle de
l'homologation du SlXXXXX (d. rvision de lhomologation).

~
L'autorit responsable de l'homologation du Sl X700 est XXXXX (nom de l'autorit diiormlogetbn). L'autorit est chrge
d'approuver la dmarche d'homologation et le dossier d'homologation fond notammentsur :

l la prise encompte des exigences de scurit etdes risques rsiduelsentfis(cf Hcen2 Analysede risques) :
'

I le suivi etle validationdu dossie d'homologation (d. Suivi de l'homologation)

Elle s'appuie sur la commission d'homologation, dont ele xe la oonposition. La dsigration de ces montres pourra lre
suborconnee, si besoin. a leur habilitation pralable au niveau ncessaire,

ligrane ce que tous les acteursconcourant la securie du systme dnlomraiion soient idenlifis et dsigns et si besoin.

Ces HSSO1Sincluent en rticulier : s


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

o examineret approuverles rapports d'homologation ;

I approuverladoisionrfhomoloondushoootx;

a mettre eoetioatcfhomologation duSlXXXXX.


Selon les rsultats de ranalyse de risques eflecme dans le cadre de la dmarche d'homologation, rautorit dhonologation
pourra prononcer .

une homologation provisoke, ou autorisation provisoire d'emploi. assortie de serves et d'un dld de mise en
oorlormt desclefautsdedcuni renoortro .

une homologation pour une dure dbrnwe ;

un refusdhomologatim. siles risques rsidueb sont jugs inaooeplabes.

~
L'autorit demploi du systme est XJOOO (qui assure galement les fonctions de matrise d'ouvrage (MOA) et de direction de
Pexplotntion [ ajouter si cola estle cool). Elle est charge de z

s'assurerdu fonctionnementdu Sl >XXXX ;

grer la bonne utilsation des moyens noessaios son fonctionnement ;

combler l'application cesmesures descurit prconises ;

proposer les voluons ncessa tes au regard des contraintescferrploi ou de rvoluionfonotionnele des besoins ;

diligenbr au besoin les nuddescurit.

a mission. remonte tfhornologatim s'appu'e sur l'avis organisationnel et technique fourni par h cornrrfssiort
Pour mener a bien
d'homologation. Elle est donc charge de ioumir un avis motiv sur la capacit du systme a rpondre ou non aux objectifs de
scurit assigns, de s'assurer que l'ensemble des mesures bohniqtles et ornaniatiomeles permehnt la scurisation du
systme ont toutes t priseset sont oorrechment appliques.

Pour cela, elle est charge de:

rdiger. revoiet maintenir la stratgied'homologation du SI XXXXX (d. Survi de l'homologation) ;

suivre la constitution du dossier d'homologation L

examiner et analyser touteslespreuvesde scurit requises pour l'homologation ;

diligenbr au beson les audtsde scurit;

examiner et proposer le besoin en tonnes de post-hormtogaton et r-homologalion.

La convulsion d'homologation est prse par l'autorit d'homologation ou il dsigne un prldent de commission
Lesecrtariat etromaniedion sont cons a XXXXX L'autorit d'homologation prend lesdcisions aors consultation etavis des
nombres de la commission d'homologation ;

LIOOHNSSIONWHIDOQORGGSCJIRGOMWGWSHI

n Membres permanente:

la ou lo X)O<XX. aori d'homologation ;

le prsidait de la cornrnssion :

laouleresponsabledu pilotageproiet;
laoulechddeproietNDA;
la ou le chef de la DS| en chargede l'exploitation de fapplicaton ou du service ou soi reprsentant.
le responsable de la souritdessystrnesdinfomialion.

I Invits (si ncessaire):

D Lefonctlmnalredeseountedes ' mesiflnformancn Fssldesmlnlsrescha - - desaftalressoolales


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

D le reprsentait de XXXXX ;
D reprsentants: mtier x;

D auditeursetlou expertstechniques. notamment dans le dol-nainede la SI.

Gg detravail "

Ce groupe instruit renumble de: questions relatives le scurit du syettme Il labore ur ennemble de propositions qu'il
transmet la commission d'homologation. Il a notamment pour mission de raliser ou faire raliser :

I les analyses de risques;

I Iesaudisdesatt;

I le suivi ces pans dicton ;

I la rnposition du dossier de scurite


ce groupe est consru uamr sut.

n Membres permanents.

D le reeponsable du pilotagedu M0301;

b le cher de NOM MOA;

D le DSI ouson reprsentant;


D leRSSL

e Invits (si ncessaire) :

D auditeurset/ou experts techniques. notamment dans le domaine de la SI ;


Le groupe de travail SSI ne runira autant que de besoin. et a minima XXXXX pourralser les tcheequi hi incombent

Leresponsablede lascur pourle XXXXX: estleRSSl deXXXXX


hn lien avec xxxxx II s'assure dt. respect de rapplitimdes mesuresde securlze sur rerserrble du penrnre dnomologaim.
(d. Pice n'6 :Note ayemketonnelle).
~
Un auditdescurihdu Slat men parXXXXXen datedu:

Le compta-rend: d'audit est vers au dossier d'homologation.

Le RSSI peut de sa propre intiative ou sur demande. diigenter ou taire diloenter tout moment des audits de scurit. ces
rgullremem mens 3th de veiller la bonne application de rgies de scur sur l'ensemble du perlmtre
audlls seront
d'homologation. Un audit de scurit sera par ailleurs systnatiquement effectu aprs tout incident rvlant une dfaillmoe dans
l'application des rgies de scurit.
Un audit de scurit fera systmatiquement l'objet d'un compte rendu, pouvant eue assortide mesures correctives appliquer et
d'un calendrier de mise en maternit. Un audit de vrication pourra etre effectu pourvrifier cetb mise en oonforrit.

~
Le dossier d'homologation comporte le:pioee suivantes :

le antgie rfhonogation ;

l'analyse de risques;

la politiqae de scurit du eyetne dntormatiort (si existant)

le cbesier didwiteclure technique (si existant) .

les procdures dexplotation dela scurit .

la gestion des risques rsiduels .

les reeulats des teste et des audits menes pour vener la oonlormlte au syeteme a In polltque de eecurt etaux
procduresdexploitation ;

unenoteor anisdionnelled ' " l ueacteur en matiredel.


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Pice n 1 Stratgiedllornogatlm
ll s'agit du prsent docurrant.

Pice n? . Anag de rguesm


Une che d'expression rationnelle des objectifs de scurit (FEROS) a t etablie en s'appuyant sur la mthodologie XXXXXX
(EBIOS). Elle dcrit formelementles obledifs de scuit d:rseau d de sescombosanlies en rratire de disponibiill. dintgrila.
de condentialit etde traabilill dans le contexte d'un ensemble de menaces identies. Elle dcline par ailleurs les exigences
descurit qui doivlnt Min prises encompte par le projet

Pice n 3 Polglgue de secumdu sgme d'information


La politique de scurit du a Systlrne d'informations XXXXX n decntlensemale de mesures de scuit a mettre en uvre cour
respecter les concluons d emploi du rseau au malmlenlr son niveau ne secum.
Tout amnagement cette politique doitfaire l'objet d'une tude d' mpact en termes de mont et l'acceptation doit faire l'objet
d'un accord explicite de XXXXX. a la condition que cet amnagement ne remette pas en cause l'homologation du SIXXXX Si tel
taitlecas une wouvelle horrlctogaion sa a attaquer (cf. Rvision de l'homologation).

Pice n5 Procdures dexgloltabon de la scurit

Cedocument expose les procduresdbxploebn de scurit du SI )OOOO<. Ce docunenl es!le ddineieon operelromelle des
moeuroe tablie: dom la PS8. (cf. Pice n'2 : Andine do riequoe).

~
Ce document prsente l'organisation nisee: place pour la gestion de lascurit oour le Sl )O0(XX Elleidentie l'ensembledes
acteurs prenant part la swrit de rapplicatoil, arcise sans ambigut les rles et responsaailills de chaque acteur et
formalise les relationsentre clncur d'eux.

homologation FlGS: Confomnient l'article 14 de l'ordonnance n20054516 dl.l 8 dcembre 2005 relative
Dene le ces dne
auxchanges lectroniques entre les usagers et les autoris administratives et entre les autorits administratives. les autorits
adminbtratves doivent mettre leurs systmes d'information existants la thte de publication du RGS en oonfoTnill avec ce
rfrentiel dans un dlai de trois ans a compter de sa publcaticn Les systrres crs dans les six mais qui savent la publication
du RGS doivent tre mis en conorrni dans dlai de 12 mois. Cette contornit est un pralable la mise
un en service
opratonnella do tout stmo d'information. Par aiIou-s, le Rfrentiel Gnral do Scurib (RGS) impose aux autorits
administratves dhomologuer les systmes d'informations permettant l'change d nlormetions entre autorits dlrentes. En tant
qwinfrestrucmreinterministrielle, le rseau interministriel de l'aurelve du RGS etdoitdonctre homologu

Phormhgatim est tanin snlnn lntyunl l'autorit atteste formellement auprs des utilsatnurs que h systme dinfrarrration est
protg conformment aux obpctifs desecuil fixes. La dcision dliomologaion est prise par lautort dhomologazion (dsigne
par l'autorit qualie)aprs avis. le cas chant. delacommission d'homologation. Cette dcision prcise les conditions d'emploi
du systme dinlormationconsidr.

l n

L'homologation initiae est demande pour une cure de 3 ans. Durant cette priode. Fhomtogation pourra tre revue selon les
rmdalils et principes exposs ci-rs.

fhomologetiai est nceeere l'issue de cette priode ou si un fait eignceti de nature remettre en cause
lJ1e lvisim de
l'homologation en cours. dont le primtre cu systlre a t prcise, estconstate. La liste ci-aprs nunre un certain nombre
d'vnements quiimaliquent le renouvellementde l'homologation ;

modifications majeures de rarcntecture du rseau ou Introduction d'une Interconnexion non prvue;

moulrlcailons majeures des oomoosants du rseau (matriels, corrlgulatlon logicielle etc.) ;

rnodmcatron du niveau de menace portant sur le systeme considr ;

changement de classification de rlntormaton traite;

lnadentde scurit u remet manllestementerl causer - - atlon encours

1 Ceb est un exemple, d'autres mthoces danalyses de risques peuvent tre utilises.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

I rsulta non satisfaisants d'uneinspedim, oo-itroleou auditde scurl ;

I fin de la priode initiale d'homologation ;

I plusgnralement, sur dcbionde rautort rfliornologdion.

Suivi de lhomolgggtion

L'homologation d'un systme d'information est non seulernert l'un des obpctifs a moindre avant sa mise en servce, mais
galement l'attestation d'un tat ce protection dont il faudra garantir le maintien jusqu' la dcision du retrait ce service. La
proccure mise en uvre pour lhomologation dan systme dcit donc revetir un caractre tratif tout au longdu cycle de vie de
ce eyme.
An davoir une vision dans le temps du niveau de scu-it des systmes et applications homoogus. la commission
d'homologation se runit a mirlma une fois par an allndexamlnerles points suivarls :

I suM des indicateurs de scuritdu rseau, pouvant Incluredes Indicateurs (fesploltation. Ces Indcateurs de niveau
strglqie, pildage et oprationnel seront diis par le groupe de travail SSl, valids par la coi-mission
d'homologation et inscrit dans la Pssl (d. Pice n3 : Politique de scuritdu systrre d'information) ;

I analyse des retours sur incidents SSIventuels ;

e information sur les volutions du rseau ou des sydmes d'il-formation ministriels pouvant impader sur
rhomoloqatiorl:

I rvaludion ventuelle de h menaceou des objectifs de scurit inddsant une mise jour de l'analyse de risques d
desmesuresdesourmises en uvre.

La cortmission d'homologation peut se runir de manire exceptionnelle ou une frquence plus rgulire sur demande justmee
auPrsident de la oorrrnission de l'un de ses merrbres ou du groupe de travail SSI. La rvision de l'homologation, pou l'un des
rmtils prcdemrne-it cte (cf. vision de lnomologdion), ou un risque SSI particulier peuvent justifier d'une rmion
exceptionnelle.

~
La dmarche d'homologation rpord aux exigencesrgiementa res suivantes

l Portique dessystmes dnlonnationde lEtntdu 17 juillet 2014

I Rfrentiel Gnral de scurit version2.0du 13 'uin 2614.

Exemple de dcision d'homologation

En applicaon ce (PMSS -MCAS cu du Rfrentiel gnral de scuit), Mllirlrne 3REVOMNOM, FONCTIONIQUALITE agissant
par diegaton du ministrel directeur gnia de rorganrsn ORGANISME prononce rhomobgatoit de scuritdu systme (lbell
du systme drrbrmation, de l'applicationou de la tlproodure).

cette homologation atteste des moyens mis en uvre pour que le systme puisse laborer. traiter, stocker. acheminer ou

prserter Itnlomation sont en cohrence avec la cible de scurit dfinie. Elle est lie au respect strid du prmtre et des rgies
dnie dans ledossier de scurit quia t approuv. Ele est valable du DATE DEDEBUT au DATE DE FIN.
27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

ANNEXE 5 GLOSSAIRE

1094 ALSSI
ANSSI AAAulorlequalie
entlocal
Centre
Cone
de
n
descuritedes
enoe nationale
Agent delascurit
secune .= des
des systmes
des sectaire
cuvemementdeveille.
minfcvrmellbene

n
d'informationCl.
esdes sgstemes
sternes
sdleneetde RSSI
d'information.
d'information
= RSSI
drformatiaiCt

dolascunt dos s stanced'information tl H24. 01 71 75 8468


descurit susceptibles d'trecrisespour se dfendre

lection}:Identificationand Rgenteuropenqui permet drablr une

fdrationdesideiits surlesol = *

~ Foncmnnai/edescurit des s stemesd'information

~ une vulnrabilitdun actif.

~ Minislsch es desafairassociales
~ 0mois! de scuritdes sfmesdinfczrmalibn Cf. RSSI
s

Politique gnrale de scuritdes systmes d'information de sant


27 octobre 2015 JOURNAL OFFICIEL DE LA RPUBLIQUE FRANAISE Texte 8 sur 81

Rqggisle de scuritobs systmes d'information


Secnariat gnral dela dfense et dela scurit nationale

Sarcice du Hauttortionnaire de dense et de scwt


Systme d'information (ou systme d'information et oovnmunrbatrory: ensembledes
moyens humains et matriels ayantpour nalit d'laborer. traiter. stocker. acheminer.
rsenter ou dtruirel'information

l Besoin de scurit: Dnition prcise et non ambigu du niveau d'exigences oprationnelles relatives un bien
essentiel pour un critrede scuritedonne (disponibilit, condentialit, intgriteq.

I Bien essentiel z information ou processus jug ocmme important pour l'organisme. On apprciera ses besoins de
scurit mais pas ses vulnrabilits.

I Bien support : Bien sur lequel reposent des biens essentiels. On clistingt: notamment les systmes informatiques.
les organisations etles locaux.On apprciera ses vulnrabilitsmais pas ses besoins descurit.

I Condentiall : Proprit des biens essentiels den'tre acssibles qu'aux personnes autoriss

I Disponibilit : Proprit d'accessibilit au moment vouludes bie-ts essent els par les personnes autorises

I intgrit : Proprit d'exac:itude et de cornpitude desbiens essentiels

e Menace : Mcven type utilis pa une sou'oe de menace

l Mesure de scurt : Moyen de traiter un risque de scurit de l'information. la nature et le niveau de dtailde la
description dune mesure de scuritpeuvent tretrsvariables

e objectif de scurit: Expression de la dcision de traiter un risque scion des modaits prescrites. On distingue
notamment la rduction, le transfert (partage des pertes), le refus (changements structures pour viter une

situation risque} et la prise de risque

l Organisme : Ensemble d'installations etde personnes avec des responsab lits, pouvoirs etrelations

l Rduction de risque: Chou de traitement consistant apnliqtrer des mesures de scurit destines rduire les
rlsqres

l Risque rsiduel : Risquesubsistant rs le traitement du risque

l Vulnrabilit: Caractristique d'un bien support qui peut constituer une faiblesse ou une faille au regard de la
scuritdes systmes d'information