Le nouveau référentiel général de sécurité publiée le 24 juin 2014 remplace la première version publiée par arrêté du Premier ministre le 6 mai 2010. Il vient compléter les règles et les recommandations relatives aux certificats électroniques et contremarques de temps et permet la qualification des prestataires d’audit de la sécurité des systèmes d’information.
Le référentiel général de sécurité (RGS), rédigé par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et le Secrétariat général pour la modernisation de l’action publique (SGMAP), fournit un ensemble de règles et de bonnes pratiques en matière de sécurité des systèmes d’information. Il s’adresse aux autorités administratives (DSI, RSSI et chefs de projet) et aux prestataires qui collaborent à leurs travaux de sécurisation.
Le RGS doit permettre aux autorités administratives de conformer leurs systèmes d’information (SI) aux exigences de sécurité afin de protéger les données (notamment à caractère personnel) qu’elles exploitent, à la fois dans les relations qu’elles entretiennent entre elles, mais également avec tout autre organisme.
De même, il doit servir aux prestataires pour adapter leurs solutions en fonction des besoins. Un mécanisme de labellisation est d’ailleurs prévu par le référentiel.
Pour rendre conformes les systèmes d’information au RGS, les autorités administratives peuvent appliquer une démarche en 5 étapes :
- Analyse des risques
- Définition des objectifs de sécurité
- Choix et mise en œuvre des mesures appropriées de protection et de défense
- Homologation de sécurité
- Suivi opérationnel de la sécurité
Le RGS 2.0 se décompose en dix chapitres. Les deux premiers servent d’introduction, rappelant le contexte de rédaction du document et les étapes à respecter pour être conforme au référentiel. Les parties 3 à 4 décrivent techniquement les différentes règles de sécurité à appliquer. Les deux suivantes traitent de la qualification des prestataires et de leurs produits ainsi que de la validation des certificats. Le chapitre 7 est un guide de recommandations à destination des autorités administratives. Les deux derniers chapitres fournissent des indications de planning de mise en conformité et des références vers des annexes.
Les bonnes pratiques et les usages énumérés par le RGS 2.0, en matière de méthodologie, de procédures et d’organisation sont les suivants :
1) Organisation de la sécurité des systèmes d’information
Pour atteindre cet objectif, l’autorité administrative doit mettre en place :
- une organisation qui supporte les responsabilités de la sécurité des systèmes. Elle doit être dotée de moyens matériels suffisants pour exercer sa fonction et assurer la gestion des risques et des incidents qui pourraient en découler. Elle peut s’appuyer sur une chaîne SSI basée elle-même sur un RSSI, OSSI, correspondants SSI….
- un système de management de la sécurité des systèmes d’information permettant de planifier, de mettre en place des mesures de protection et de vérifier l’adéquation des procédures par rapport aux objectifs.
- une politique de sécurité (PSSI) générale ou modifiée en fonction des besoins de l’autorité administrative.
2) Implication des instances décisionnelles
Les instances décisionnelles des autorités administratives doivent s’impliquer dans la sécurisation des SI. Ce sont elles qui définissent les objectifs et qui sont responsables des orientations à prendre en matière de sécurisation.
3) Adaptation des efforts de protection aux enjeux de sécurité
Il est important d’adapter la sécurité des SI aux enjeux des systèmes eux-mêmes et aux besoins des autorités administratives. De cette manière, la mise à disposition des moyens financiers et humains peut être plus efficace.
4) Adoption d’une démarche globale
Toutes les démarches de sécurité à mettre en œuvre doivent être pensées de manière globale et cohérente. L’application de cette règle évite la dispersion des moyens et des efforts. D’autre part, les prises de décisions doivent être réalisées à tous les niveaux hiérarchiques.
La problématique de sécurité doit être impérativement pensée en amont d’un projet, durant la phase de définition des besoins fonctionnels d’un SI, pour éviter des surcoûts tardifs, pour favoriser l’efficacité des mesures et pour favoriser l’appropriation de ces mesures par les équipes chargées de les appliquer.
5) Sensibilisation du personnel
Tous les agents d’une autorité administrative ainsi que les utilisateurs tiers doivent suivre une formation pour être sensibilisés aux procédures de sécurité.
La compréhension des enjeux permettant de réduire les risques encourus par les SI, les formations doivent être régulières.
6) Prise en compte des contraintes de sécurité dans les contrats et les achats
Il est primordial d’insérer dans les cahiers des charges des exigences en matière de sécurité, conformément à la politique définie au sein de l’autorité administrative. Les demandes peuvent porter sur la maintenance des applications, la prise en compte des failles, ainsi que la capacité des prestataires à répondre de manière appropriée à des incidents ou à des crises.
En ce qui concerne les offres de services dites « en nuage », certains risques spécifiques doivent être pris en compte. Les exigences de sécurité doivent être en adéquation avec cette réalité.
7) Mise en place de mécanismes de défense
En plus des mécanismes de protection, les autorités administratives doivent également adopter des mesures de défense de leurs SI, pour détecter les malveillances, tracer les opérations et conserver les preuves d’infractions.
8) Utilisation des produits et des prestataires labellisés
La qualification est un label qui permet d’attester la confiance à accorder à des produits de sécurité et aux prestataires, ainsi que leur conformité au RGS. Il est nécessaire que les autorités administratives aient recours à des produits ou à des prestataires labellisés.
9) Élaboration de plans de traitement d’incidents et reprise d’activité
Les responsables de la sécurité des SI doivent prévoir des incidents de sécurité et donc mettre en place des plans de continuité d’activité et des plans de reprise d’activité.
10) Réalisation d’audits réguliers et d’une veille sur les menaces
Il est recommandé que les autorités administratives réalisent des audits de sécurité régulièrement. Elles peuvent utiliser les services de prestataires tiers qui ont, si possible, obtenu une qualification.
Parallèlement, il est indispensable de mettre en œuvre une veille technique sur les menaces de vulnérabilité afin d’y répondre de manière adéquat lorsque c’est nécessaire.
11) Privilégier l’interopérabilité
Le RGS 2.0 considère que la question de l’interopérabilité est importante pour permettre à l’administration électronique d’évoluer. Il est en effet indispensable que les autorités administratives et leurs partenaires puissent échanger de l’information entre SI.
Principales différences entre le RGS 1.0 et le RGS 2.0
La nouvelle version du RGS fournit essentiellement des informations complémentaires sur les questions du certificat électronique et de la contremarque de temps. Ces principes sont cités dans la première version du référentiel, mais ils font l’objet d’un développement plus détaillé dans la nouvelle.
Par exemple, au sujet du certificat électronique, il est désormais possible de disposer :
- de certificats à mono-usage pour les fonctions d’authentification de personne physique ou de serveur, de signature, de cachet et de confidentialité ;
- de certificats à double usage pour les fonctions d’authentification de personne physique et de signature électronique.
De même, le RGS 2.0 présente de nouveaux critères pour qualifier les prestataires d’audit. En se basant sur des référentiels associés (également consultables sur le site de l’ANSSI), les autorités administratives peuvent se baser sur des critères précis d’évaluation.
Le RGS 2.0 propose enfin un certain nombre de nouvelles recommandations relatives à sa mise en application par les autorités administratives.
Une version de transition
La nouvelle version du référentiel est dite « de transition » entre une première version liée à la mise en œuvre de l’administration électronique et une troisième version qui se fondera sur la réglementation européenne en cours d’évolution.
Les autorités administratives doivent être en conformité avec le référentiel au plus vite. Cependant, des mesures transitoires pourront encore s’appliquer pour les services de certification et d’horodatage électroniques.
Pour consulter le RGS 2.0, rendez-vous sur cette page.
Baptiste Nichele,
Bureau du traitement et de la conservation