Showing 183 controls
Principes d’architecture de la zone d'hébergement
D’une manière générale, l’architecture des infrastructures des centres informatiques est conçue de façon à satisfaire l'ensemble des besoins en disponibilité, confidentialité, traçabilité et intégrité...
Passerelle Internet
Les interconnexions Internet passent obligatoirement par des passerelles homologuées.
Architecture de stockage et de sauvegarde
Le réseau de stockage/sauvegarde pour les besoins des centres informatiques repose sur une architecture dédiée à cet effet.
Bilan annuel
Les ministères chargés des affaires sociales établissent un bilan annuel mesurant sa maturité SSI globale, qu'il transmet à l’ANSSI.
Contrôles locaux
La conformité à la PSSIE et à la PSSI-MCAS est vérifiée par des contrôles réguliers. Les RSSI de chaque entité conduisent des actions locales d'évaluation de la conformité à la PSSI-MCAS et contribuen...
Exercice régulier du plan local de continuité d’activité des systèmes d’information
Le RSSI d’une entité organise des exercices réguliers, afin de tester le plan local de continuité d'activité des systèmes d’information.
Définition du plan local de continuité d’activité des systèmes d’information
Le directeur des systèmes d’information ou le RSSI d'une entité définit la structure et les attendus du plan de continuité d'activité des systèmes d'information permettant d'assurer effectivement, en...
Définition du plan ministériel de continuité d’activité des Systèmes
d’Information. Les MCAS définissent un plan de continuité d'activité ministériel des systèmes d’information permettant d’assurer, en cas de sinistre, la continuité d’activité des systèmes d'informatio...
Mise à jour du plan local de continuité d’activité des systèmes d'information
Le RSSI d’une entité assure le maintien à jour du plan local de continuité d'activité des Systèmes d’Information.
Mise en œuvre des dispositifs techniques et des procédures opérationnelles
Les équipes informatiques mettent en œuvre les dispositifs techniques et les procédures opérationnelles contribuant à la continuité des SI, en assurent la supervision au quotidien et la maintenance da...
Protection de la confidentialité des sauvegardes
Les sauvegardes doivent être traitées de manière à garantir leur confidentialité et leur intégrité.
Protection de la disponibilité des sauvegardes
Les sauvegardes de données ne doivent pas être soumises aux mêmes risques de sinistres que les données sauvegardées.
Suivi de la mise en œuvre du plan de continuité d'activité local des Systèmes d'Information (PCA des SI)
Le RSSI d'une entité s’assure de la bonne mise en œuvre des dispositions prévues dans le plan de continuité d’activité des systèmes d’information.
Accès à distance au système d’information de l’organisme
Les utilisateurs distants doivent s’authentifier sur le réseau de l'entité en utilisant une authentification forte. Sécurisation des imprimantes et copieurs multifonctions manipulant des informations...
Centraliser la gestion du système d’information
Afin de gérer efficacement un grand nombre de postes d'utilisateurs, de serveurs ou d’équipements réseau, les administrateurs doivent utiliser des outils centralisés, permettant l’automatisation de tr...
Utilisation de certificats électroniques
L’utilisation de certificats électroniques doit respecter les règles édictées par le RGS.
Accès aux réseaux
Dans un centre informatique, le contrôle physique des accès réseaux, l'attribution des adresses IP, le filtrage des informations et l'usage de dispositifs spécifiques (machines virtuelles, cartes d’ad...
Flux d'administration
D'une manière générale, il convient de différencier deux types de flux d'administration : les flux d’administration de l'infrastructure (réservés aux agents du centre informatique) d’une part, les flu...
Accès aux périphériques amovibles
L’accès aux supports informatiques amovibles fait l’objet d’un traitement adapté, plus particulièrement lorsqu’ils ont été utilisés pour mémoriser de l'information sensible ou lorsqu’ils sont utilisés...
Audit/Contrôle
Le RSSI pilote des audits réguliers du système d’information relevant de sa responsabilité.
Destruction de support
La fin de vie d'un support ou d'un matériel embarquant un support de stockage (imprimante, routeur, commutateur... ) doit s'accompagner d'une opération de destruction avant remise au rebut.
Service de noms de domaine - DNS technique
Dans le cas du déploiement d'un serveur de noms de domaines pour les besoins techniques internes au centre informatique, il sera utilisé de préférence les extensions sécurisées DNSSEC.
Effacement de support
Le reconditionnement et la réutilisation des disques durs pour un autre usage (ex : réattribution d'une machine/serveur) ne sont autorisés qu'après une opération d'effacement sécurisé des données.
Filtrage des flux applicatifs
De façon à garantir un niveau de sécurité satisfaisant face aux attaques informatiques, des mécanismes de filtrage et de cloisonnement doivent être mis en œuvre.
Logiciels en Tiers Application
Des règles de développement sécurisé, et les configurations des logiciels en Tiers Application doivent être fixées et appliquées.
Logiciels en Tiers Données
Des règles très strictes (restrictions d'accès, interdictions de connexions, gestion des privilèges) s'appliquent aux logiciels en tiers données.
Logiciels en Tiers Présentation
La mise en œuvre d’une configuration renforcée est obligatoire sur les logiciels déployés pour le tiers présentation (ex : serveur Web, Reverse Proxy).
Messagerie technique
Pour satisfaire les besoins d’exploitation et de supervision des infrastructures et des applications, une messagerie dite technique peut être déployée en zone de Back-office du centre informatique. Ce...
Systèmes d’exploitation
Les systèmes d'exploitation déployés doivent faire l'objet d'un support valide de la part d’un éditeur ou d’un prestataire de service. Seuls les services et applications nécessaires sont installés, de...
Passerelle d’échange de fichiers
Les échanges de fichiers entre applications doivent privilégier les protocoles sécurisés (SSUTLS, FTPS...).
Supervision
Un cloisonnement entre les flux de supervision (remontée d’informations) et les flux d’administration (commandes, mises à jour) doit être mis en place.
Traçabilité / imputabilité
Afin d’assurer une cohérence dans les échanges entre applications ainsi qu'une traçabilité pertinente des événements techniques et de sécurité, les centres d’exploitation emploient une référence de te...
Confidentialité des informations d’authentification
Les informations d'authentification (mots de passe d’accès aux SI, clés privées liées aux certificats électroniques, etc.) doivent être considérées comme des données sensibles.
Configuration des ressources informatiques
Les systèmes d’exploitation et les logiciels doivent faire l’objet d'un durcissement. Les configurations et mises à jour sont appliquées dans le strict respect des guides ou procédures en vigueur dans...
Conservation des journaux
Les journaux des événements de sécurité doivent être conservés sur douze mois glissants, hors contraintes légales et réglementaires particulières imposant des durées de conservation spécifiques.
Déploiement des correctifs de sécurité
Les correctifs de sécurité des ressources informatiques locales doivent être déployés par l'équipe locale chargée des SI en s’appuyant sur les préconisations et outils proposés par les directions, bur...
Déclarer les pertes et vols
Toute perte ou vol d'une ressource d’un système d’information doit être déclarée au RSSI.
Gestion du départ d’un administrateur des SI
En cas de départ d'un administrateur disposant de privilèges sur des composants des SI, les comptes individuels dont il disposait doivent être immédiatement désactivés. Les éventuels mots de passe d’a...
Documentation des configurations
La configuration standard des ressources informatiques doit être documentée et mise à jour à chaque changement notable.
Améliorer la gestion des comptes d’administrateur locaux
Afin d’empêcher la réutilisation des empreintes d’un compte utilisateur local d'une machine à une autre, il faut soit utiliser des mots de passe différents pour les comptes locaux d'administration, so...
Limiter les droits des comptes de service
Les comptes de service doivent faire l’objet d’une restriction des droits, en suivant le principe du moindre privilège.
Définir et appliquer une nomenclature des comptes du domaine
La gestion des comptes doit s’appuyer sur une nomenclature adaptée, afin de pouvoir distinguer selon leur usage : comptes d'utilisateur standard, comptes d'administration (domaine, serveurs, postes de...
Désactiver les comptes du domaine obsolètes
Il est nécessaire de désactiver immédiatement, voire de supprimer, les comptes obsolètes, que ce soient des comptes d’utilisateur (administrateur, de service ou utilisateur standard) ou des comptes de...
Configurer la stratégie des mots de passe des domaines
La politique de gestion des mots de passe doit être conçue de façon à protéger contre les attaques par essais successifs de mots de passe. Une complexité minimale dans le choix des mots de passe doit...
Définir une politique de gestion des comptes du domaine
Une politique explicite de gestion des comptes du domaine doit être documentée.
Restreindre au maximum l’appartenance aux groupes d’administration du domaine
L’appartenance aux groupes du domaine ADMINISTRATEURS et ADMINISTRATEURS DU DOMAINE n’est nécessaire que dans de très rares cas. Les opérations les plus courantes doivent être effectuées avec des comp...
Maîtriser l’utilisation des comptes de service
Les comptes de service ont la particularité d'avoir généralement leurs mots de passe inscrits en dur dans des applications ou dans des systèmes. Afin de pouvoir être en mesure de changer ces mots de p...
Droits d’accès aux ressources
Après avoir déterminé le niveau de sensibilité, le besoin de diffusion et de partage des ressources, les droits d’accès aux ressources doivent être gérés suivant les principes suivants : besoin d’en c...
Gestion des événements de sécurité de l’antivirus
Les événements de sécurité de l'antivirus doivent être remontés sur un serveur central pour analyse statistique et gestion des problèmes a posteriori (exemples : serveur constamment infecté, virus dét...
Gestion dynamique de la sécurité
Les personnes en charge de la SSI doivent procéder, notamment via l'analyse des journaux, à la surveillance des comportements anormaux au sein du système d'information, et à la surveillance des flux d...
Gestion des actions d’administration
Les opérations d’administration doivent être tracées de manière à pouvoir gérer au niveau individuel l’imputabilité des actions d’administration.
Gestion des mots de passe
Les utilisateurs ne doivent pas stocker leurs mots de passe en clair (par exemple dans un fichier) sur leur poste de travail. Les mots de passe ne doivent pas transiter en clair sur les réseaux.
Habilitation des administrateurs
L’habilitation des administrateurs s'effectue selon une procédure validée par l’autorité d’homologation. Le nombre de personnes habilitées pour des opérations d’administration doit être connu et valid...
Identification, authentification et contrôle d'accès logique
L’accès à toute ressource non publique doit nécessiter une identification et une authentification individuelle de l’utilisateur. Dans le cas de l'accès à des données sensibles, des moyens d’authentifi...
Sécurité des imprimantes et copieurs multifonctions
Les imprimantes et copieurs multifonctions sont des ressources informatiques à part entière qui doivent être gérées en tant que telles. Elles ne doivent pas pouvoir communiquer directement avec l’exté...
Impression des informations sensibles
Les impressions d’informations sensibles doivent être effectuées selon une procédure prédéfinie, garantissant le contrôle de l'utilisateur, du déclenchement de l’impression jusqu’à la récupération du...
Initialisation des mots de passe
Chaque compte utilisateur doit être créé avec un mot de passe initial aléatoire unique. Si les circonstances l'imposent, un mot de passe plus simple mais à usage unique peut être envisagé.
Isoler les systèmes obsolètes restants
Il est nécessaire d'isoler les systèmes obsolètes, gardés volontairement pour assurer un maintien en condition opérationnelle des projets, et pour lesquels une migration n'est pas envisageable. Chaque...
Journalisation des alertes
Chaque système doit disposer de dispositifs de journalisation permettant de conserver une trace des événements de sécurité. Ces traces doivent être conservées de manière sûre.
Maintenance externe
Les données non chiffrées doivent être effacées avant l'envoi en maintenance externe de toute ressource informatique. Pour les équipements contenant des données sensibles, il doit être mis en place de...
Maîtrise des matériels
Les postes de travail - y compris dans le cas d'une location - sont fournis à l'utilisateur par l’entité, gérés et configurés sous la responsabilité de l'entité. La connexion d'équipements non maîtris...
Mise à jour de la base de signatures
Les mises à jour des bases antivirales et des moteurs d'antivirus doivent être déployées automatiquement sur les serveurs et les postes de travail par un dispositif prescrit par les directions, bureau...
Mise au rebut
Lorsqu’une ressource informatique est amenée à quitter définitivement l’entité, les données présentes sur les disques durs ou la mémoire intégrée doivent être effacées de manière sécurisée ou le suppo...
Configuration du navigateur Internet
Le navigateur déployé par l’équipe locale chargée des SI sur l’ensemble des serveurs et des postes de travail nécessitant un accès Internet ou Intranet doit être configuré de manière sécurisée (désact...
Déclaration des équipements nomades aptes à traiter des informations sensibles
L’autorité d'homologation du SI valide les usages possibles des équipements nomades vis-à-vis du traitement des informations sensibles ; les usages non explicitement autorisés sont interdits.
Assurer la migration des systèmes obsolètes
L’ensemble des logiciels utilisés sur le système d’information doit être dans une version pour laquelle l'éditeur assure le support, et tenu à jour. En cas de défaillance du support, il convient d'en...
Politique de mots de passe « administrateurs »
Chaque administrateur doit disposer d’un mot de passe propre et destiné à l’administration.
Définir et mettre en œuvre une politique de suivi et d’application des correctifs de sécurité
Le maintien dans le temps du niveau de sécurité d’un système d’information impose une gestion organisée et adaptée des mises à jour de sécurité. Un processus de gestion des correctifs propre à chaque...
Définir et mettre en œuvre une politique de gestion et d’analyse des journaux de traces
Une politique de gestion et d'analyse des journaux de traces des événements de sécurité est définie par le RSSI, validée par l’autorité qualifiée, et mise en œuvre. Le niveau de sécurité d’un système...
Politiques de mots de passe
Les règles de gestion et de protection des mots de passe donnant accès aux applications et infrastructures nationales, telles qu’édictées par les maîtrises d'ouvrage nationales, doivent être respectée...
Autorisations d’accès des utilisateurs
Toute action d'autorisation d'accès d'un utilisateur à une ressource des SI, qu'elle soit locale ou nationale, doit s'inscrire dans le cadre d'un processus d'autorisation formalisé, qui s’appuie sur l...
Gestion des profils d'accès aux applications
Les applications manipulant des données sensibles doivent permettre une gestion fine par profils d’accès. Les principes du besoin d'en connaître et du moindre privilège s'appliquent.
Protection des accès aux outils d’administration
L’accès aux outils et interfaces d'administration doit être strictement limité aux personnes habilitées, selon une procédure formelle d'autorisation d'accès.
Protection des informations sensibles en confidentialité et en intégrité
Des mesures doivent être mises en œuvre afin de garantir la protection des informations sensibles en confidentialité et en intégrité. A défaut d’utilisation d’un réseau homologué, ces informations doi...
Protection contre les codes malveillants
Des logiciels de protection contre les codes malveillants, appelés communément antivirus, doivent être installés sur l'ensemble des serveurs d’interconnexion, serveurs applicatifs et postes de travail...
Rappel des mesures de protection contre le vol
Les postes fixes bénéficient des mesures de protection physique offertes au titre de la directive de sécurité physique de la présente PSSI-MCAS. Chaque utilisateur doit veiller à la sécurité des suppo...
Contrôle systématique de la qualité des mots de passe
Des moyens techniques permettant d’imposer la politique de mots de passe (par exemple pour s'assurer du respect de l'éventuelle obligation relative à l'usage de caractères spéciaux) doivent être mis e...
Réaffectation de matériels informatiques
Une procédure de gestion des postes et supports dans le cadre de départs de personnel ou de réaffectations à de nouveaux utilisateurs doit être mise en place et validée par le RSSI. Elle doit définir...
Restriction des droits
Sauf exception dûment motivée et validée par le RSSI, les utilisateurs, quelque soit leur statut, n’ont pas de droits d’administration (domaine, local). Dans le cas d'une exception, elle doit être tra...
Revue des autorisations d’accès
Une revue des autorisations d'accès doit être réalisée annuellement sous le contrôle du RSSI, le cas échéant avec l’appui du correspondant local SSI.
Sécurisation des flux d'administration
Les opérations d'administration sur les ressources locales d’une entité doivent s’appuyer sur des protocoles sécurisés. Un réseau dédié à l’administration des équipements, ou au moins un réseau logiqu...
Sécurisation des outils de prise de main à distance
La prise de main à distance d’une ressource informatique locale ne doit être réalisable que par les agents autorisés par l’équipe locale chargée des SI, sur les ressources informatiques de leur périmè...
Séquestre des authentifiants « administrateur »
Les authentifiants permettant l'administration des ressources des SI doivent être placés sous séquestre et tenus à jour, dans un coffre ou une armoire fermée à clé. L’authentifié doit être informé de...
Traçabilité des interventions sur le système
Les interventions de maintenance sur les ressources informatiques de l’entité doivent être tracées par le service informatique, et ces traces doivent être accessibles au RSSI local durant au moins un...
Cartographie
La cartographie précise les centres informatiques, les architectures des réseaux (sur lesquelles sont identifiés les points névralgiques et la sensibilité des informations manipulées) et qualifie le n...
Inventaire des ressources informatiques
Chaque entité établit et maintient à jour un inventaire des ressources informatiques sous sa responsabilité, en s'appuyant sur un outillage adapté. Cet inventaire est tenu à disposition du RSSI, ainsi...
Protection des informations
L’utilisateur doit protéger les informations qu'il est amené à manipuler dans le cadre de ses fonctions, selon leur sensibilité et tout au long de leur cycle de vie, depuis la création du brouillon ju...
Qualification des informations
La sensibilité de toute information doit être évaluée. Le marquage systématique des documents, en fonction du niveau de sensibilité, est fortement recommandé. Les informations sensibles reçoivent une...
Acquisition de produits et services de confiance
Il est recommandé d'utiliser, lorsqu'ils sont disponibles, des produits ou des services de sécurité labellisés (certifiés, qualifiés) par l'ANSSI. Dans le cadre d'un marché, un critère de choix, dont...
Homologation de sécurité des systèmes d'information
Tout système d'information doit faire l'objet d'une décision d’homologation de sa sécurité avant sa mise en exploitation dans les conditions d’emploi définies. L'homologation est l’acte selon lequel l...
Suivi et contrôle des prestations fournies
Le maintien d'un niveau de sécurité au cours du temps nécessite un double contrôle : - l'un, effectué périodiquement par l’équipe encadrant la prestation, qui porte sur les actions du sous-traitant e...
Clauses de sécurité
Toute prestation dans le domaine des SI doit être encadrée par des clauses de sécurité (plan d’assurance sécurité). Ces clauses spécifient les mesures SSI que le prestataire doit respecter dans le cad...
Mise en œuvre au quotidien de la SSI
La sécurité des systèmes d’information se traite au quotidien par des pratiques d’hygiène informatique. Des procédures écrites définissent les actes élémentaires du maintien en condition de sécurité l...
Analyse de risques
Toute opération d'externalisation s'appuie sur une analyse de risques préalable, de façon à formaliser des objectifs de sécurité et définir des mesures adaptées L'ensemble des objectifs de sécurité ai...
Hébergement
L’hébergement de données sensibles sur le territoire national est fortement recommandé. En outre, l’hébergement concernant certaines données doit répondre aux exigences légales et réglementaires (donn...
Hébergement et clauses de sécurité
Tout contrat d'hébergement détaille les dispositions mises en œuvre pour prendre en compte la SSI Ce sont notamment les mesures prises pour assurer le maintien en condition de sécurité des systèmes et...
Intégration de la sécurité dans les projets
La sécurité des systèmes d’information doit être prise en compte dans toutes les phases des projets informatiques, sous le contrôle de l'autorité d'homologation, de la conception et de la spécificatio...
Créer un tableau de bord SSI
Un tableau de bord SSI est mis en place et tenu à jour. Il fournit au RSSI et aux autorités une vision générale du niveau de sécurité et de son évolution, rendant ainsi plus efficace le pilotage de la...
Identification des acteurs SSI
L’organisation SSI des MCAS s’appuie sur des acteurs SSI clairement identifiés, à tous ses niveaux d’organisation. Les acteurs responsables en matière de SSI sont chargés de la mise en application gén...
Formalisation de documents d'application
Le RSSI formalise et tient à jour les documents d'application, approuvés par l'autorité qualifiée, permettant la mise en œuvre des mesures de la PSSI-MCAS sur son périmètre.
Application de l’instruction dans l’entité
Le RSSI planifie les actions de mise en application de la PSSI-MCAS. Il rend compte régulièrement de la mise en application des mesures de sécurité à son autorité qualifiée et, le cas échéant au FSSI.
Définition et pilotage de la PSSI ministérielle
La PSSI-MCAS est placée sous la responsabilité du HFDS. Elle reprend le socle commun établi par la PSSIE. Une structure de pilotage de la PSSI ministérielle est définie : le Comité Stratégique de la S...
Formalisation des responsabilités
Une note d'organisation fixe la répartition au sein de chaque entité et au niveau local des responsabilités et rôles en matière de SSI Cette note sera, le plus souvent, proposée par le RSSI et validée...
Désignation du responsable SSI
Chaque autorité qualifiée en sécurité des systèmes d’information (AQSSI) s'appuie sur un ou plusieurs responsables de la sécurité des systèmes d'information (RSSI), chargé(s) de l'assister dans le pil...
Organisation SSI
Une organisation dédiée à la SSI est déployée dans toutes les directions, services déconcentrés, agences régionales de santé, établissements publics et opérateurs du périmètre des MCAS. Cette organisa...
Gestion contractuelle des tiers
Le RSSI coordonne les actions permettant l'intégration des clauses liées à la SSI dans tout contrat ou convention impliquant un accès par des tiers à des informations ou à des ressources informatiques...
Personnels de confiance
Toutes les personnes manipulant des informations sensibles doivent le faire avec une attention et une probité particulière, dans le respect des textes en vigueur. Les sanctions éventuelles s’appliquan...
Choix et sensibilisation des personnes tenant les postes clés de la SSI
Une attention particulière doit être portée au recrutement des personnes-clés de la SSI : RSSI, correspondants SSI locaux et administrateurs de sécurité. Les RSSI et leurs correspondants SSI locaux do...
Gestion des arrivées, des mutations et des départs
Une procédure permettant de gérer les arrivées, les mutations et les départs des collaborateurs dans les SI doit être formalisée, et appliquée strictement. Cette procédure doit couvrir au minimum : -...
Gestion du personnel non permanent (stagiaires, intérimaires, prestataires…)
Les règles de la PSSI-MICAS s’appliquent à tout personnel non permanent utilisateur d'un SI des MICAS. Les dispositions contractuelles préexistantes régissant l'emploi de ce personnel sont amendées si...
Charte d’application SSI
Une charte d’application de la politique SSI, récapitulant les mesures pratiques d'utilisation sécurisée des ressources informatiques et élaborée sous le pilotage de la chaîne fonctionnelle SSI, est c...
Sensibilisation des utilisateurs des systèmes d’information
Chaque utilisateur doit être régulièrement informé des exigences de sécurité le concernant, et motivé à leur respect. Il doit être formé à l'utilisation des outils de travail conformément aux règles S...
Gestion du compte « administrateur local »
L’accès au compte « administrateur local » sur les postes de travail doit être strictement limité aux équipes en charge de l'exploitation et du support sur ces postes de travail.
Fourniture de supports de stockage amovibles
Les supports de stockage amovibles (clés USB et disque durs externes, notamment) doivent être fournis aux utilisateurs par l’équipe locale chargée des SI.
Chiffrement des données sensibles
Une solution de chiffrement labellisée doit être mise à disposition des utilisateurs et des administrateurs afin de chiffrer les données sensibles stockées sur les postes de travail, les serveurs, les...
Utiliser des outils de vérification automatique de la conformité
Un outil de vérification régulière de la conformité des éléments de configuration des postes de travail doit être mis en place, afin d'éviter une dérive dans le temps de ces éléments de configuration.
Formalisation de la configuration des postes de travail
Une procédure formalisée de configuration des postes de travail est établie par chaque entité.
Fourniture et gestion des postes de travail
Les postes de travail utilisés dans le cadre professionnel sont fournis et gérés par l’équipe locale chargée des SI. Si un poste est mis à disposition par une autre voie, sa connexion au réseau est s...
Durcissement des imprimantes et copieurs multifonctions
Les imprimantes et copieurs multifonctions hébergés localement dans une entité doivent faire l'objet d'un durcissement en termes de sécurité : changement des mots de passe initialement fixés par le «...
Sécurisation de la fonction de numérisation
Lorsqu'elle est activée, la fonction de numérisation sur les copieurs multifonctions hébergés dans une entité doit être sécurisée. Les mesures de sécurité suivantes doivent notamment être appliquées :...
Accès à distance aux Systèmes d'Information de l’entité
Les accès à distance aux SI de l’entité (accès dits « nomades ») doivent être réalisés via des infrastructures homologuées. L’usage de réseaux privés virtuels (VPN) de confiance est nécessaire.
Configuration des interfaces de connexion sans fil
La configuration des interfaces de connexion sans fil doit interdire les usages dangereux de ces interfaces
Désactivation des interfaces de connexion sans fil
Des règles de configuration des interfaces de connexion sans fil (Wifi, Bluetooth, 3G...), permettant d’interdire les usages non maîtrisés et d'éviter les intrusions via ces interfaces, doivent être d...
Filtre de confidentialité
Pour les postes de travail nomades manipulant des données sensibles, un filtre de confidentialité doit être fourni et être positionné sur l'écran dès lors que le poste est utilisé en dehors de l'entit...
Pare-feu local
Un pare-feu local conforme aux directives nationales doit être installé sur les postes nomades.
Stockage local d’information sur les postes nomades
Le stockage local d’information sur les postes de travail nomades doit être limité au strict nécessaire. Les informations sensibles doivent être obligatoirement chiffrées par un moyen de chiffrement l...
Partage de fichiers
Le partage de répertoires ou de données hébergées localement sur les postes de travail est à proscrire.
Utilisation des privilèges d’accès « administrateur »
Les privilèges d’accès « administrateur » doivent être utilisés uniquement pour les actions d’administration le nécessitant.
Privilèges des utilisateurs sur les postes de travail
La gestion des privilèges des utilisateurs sur leurs postes de travail doit suivre le principe du « moindre privilège » : chaque utilisateur ne doit disposer que des privilèges nécessaires à la condui...
Réaffectation du poste de travail
Une procédure SSI définit les règles concernant le traitement à appliquer aux informations ayant été stockées où manipulées sur les postes réaffectés.
Sauvegarde / synchronisation des données locales
Dans le cas où des données doivent être stockées en local sur le poste de travail, des moyens de synchronisation ou de sauvegarde doivent être fournis aux utilisateurs.
Stockage des informations
Dans la mesure du possible, les données traitées par les utilisateurs doivent être stockées sur des espaces réseau, eux-mêmes sauvegardés selon les exigences des entités.
Suppression des données sur les postes partagés
Les données présentes sur les postes partagés (portable de prêt, par exemple) doivent être supprimées entre deux utilisations, dès lors que les utilisateurs ne disposent pas du même besoin d’en connaî...
Codes d’accès téléphoniques
Il est nécessaire de sensibiliser les utilisateurs au besoin de modifier le code d’accès de leur téléphone et de leur messagerie vocale.
Limiter l’utilisation du DECT
Les communications réalisées au travers du protocole DECT sont susceptibles d'être interceptées, même si les mécanismes d’authentification et de chiffrement que propose ce protocole sont activés. Il e...
Sécuriser la configuration des autocommutateurs
Les autocommutateurs doivent être maintenus à jour au niveau des correctifs de sécurité. Leur configuration doit être durcie. La définition et l’affectation des droits d'accès et des privilèges aux ut...
Verrouillage de l’unité centrale des postes fixes
Lorsque l’unité centrale d’un poste fixe est peu volumineuse, donc susceptible d’être facilement emportée, elle doit être protégée contre le vol par un système d’attache (par exemple un câble antivol)...
Verrouillage des postes portables
Un câble physique de sécurité doit être fourni avec chaque poste portable. Les utilisateurs doivent être sensibilisés à son utilisation.
Élaborer les documents d’architecture technique et fonctionnelle
L’architecture réseau du système d’information doit être décrite et formalisée à travers des schémas d’architecture, et des configurations, maintenus au fil des évolutions apportées au SI. Les documen...
Cloisonner le SI en sous-réseaux de niveaux de sécurité homogènes
Par analogie avec le cloisonnement physique d'un bâtiment, le système d’information doit être segmenté selon des zones présentant chacune un niveau de sécurité homogène.
Implanter des mécanismes de protection contre les attaques sur les couches basses
Une attention particulière doit être apportée â l'implantation des protocoles de couches basses, de façon à se prémunir des attaques usuelles.
Durcir les configurations des équipements de réseaux
Les équipements de réseaux (comme les routeurs) doivent faire l'objet d’un durcissement spécifique comprenant notamment, outre le changement des mots de passe et certificats, la désactivation des inte...
Mettre en place un filtrage réseau pour les flux sortants et entrants
Dans l’optique de réduire les possibilités offertes à un attaquant, les connexions des machines du réseau interne vers l'extérieur doivent être filtrées.
Interconnexion avec des réseaux externes
Toute interconnexion entre les réseaux locaux d’une entité et un réseau externe (réseau d’un tiers, Internet, etc.) doit être, pour les organismes éligibles, réalisée via les infrastructures nationale...
Interconnexion des sites géographiques locaux d’une entité
L'interconnexion au niveau local de réseaux locaux d’une entité n'est possible que si la proximité géographique le justifie et sous réserve de la mise en place de connexions dédiées â cet effet, et de...
Cas particulier des accès spécifiques dans une entité
Les accès spécifiques à Internet nécessitant des droits particuliers pour un usage métier ne peuvent être mis en place que sur dérogation dûment justifiée, et sur des machines isolées physiquement et...
Systèmes autorisés sur le réseau
Seuls les équipements gérés et configurés par les équipes informatiques habilitées peuvent être connectés au réseau local d’une entité.
Protection des informations
Les accès à Internet passent obligatoirement â travers les passerelles nationales. Dès lors que des informations sensibles doivent transiter sur des réseaux non maîtrisés, il convient de les protéger...
Cloisonnement des ressources en cas de partage de locaux
Dans le cas où une entité partage des locaux (bureaux ou locaux techniques) avec des entités externes, des mesures de cloisonnement des ressources informatiques doivent être mises en place. Si le cloi...
Surveiller les annonces de routage
Lorsque l’utilisation de protocoles de routage dynamiques est nécessaire, celle-ci doit s'accompagner de la mise en place d’une surveillance des annonces de routage, et de procédures permettant de réa...
Sécuriser les sessions EGP
Lors de la mise en place d’une session EGP avec un pair extérieur sur un média partagé, cette session doit être réalisée suivant les préconisations de l’Agence nationale de sécurité des systèmes d’inf...
Configurer le protocole IGP de manière sécurisée
Le protocole de routage dynamique de type IGP doit être activé exclusivement sur les interfaces nécessaires à la construction de la topologie du réseau et désactivé sur le reste des interfaces. La con...
Modifier systématiquement les éléments d’authentification par défaut des équipements et services
Les mots de passe par défaut doivent être impérativement modifiés, de même en ce qui concerne les certificats. Les dispositions nécessaires doivent être prises auprès des fournisseurs de façon à pouvo...
Mise en place de réseaux sans fil
Le déploiement de réseaux sans fil doit faire l'objet d'une analyse de risques spécifique. Les protections intrinsèques étant insuffisantes, des mesures complémentaires, validées par le SHFDS, doivent...
Mettre en œuvre des fonctionnalités de filtrage applicatif pour les
applications à risque. Devant les applications à risques, il est recommandé de faire usage d’une solution tierce de filtrage applicatif.
Limiter les fuites d'information
Les fuites d'informations techniques sur les logiciels utilisés permettent aux attaquants de déceler plus facilement d’éventuelles vulnérabilités. Il est impératif de limiter fortement la diffusion d'...
Intégrer la sécurité dans les développements locaux
Toute initiative locale de développement informatique doit respecter les exigences SSI, concernant la prise en compte de la sécurité dans les projets et les développements informatiques (notamment la...
Réduire l’adhérence des applications à des produits ou technologies
spécifigues. Le fonctionnement d'une application s’appuie sur un environnement logiciel et matériel. En phases de conception et de spécification technique, il est nécessaire de s'assurer que les appli...
Instaurer des critères de développement sécurisé
Une fois passées les phases de définition des besoins et de conception de l'architecture applicative, le niveau de sécurité d'une application dépend fortement des modalités pratiques suivies lors de s...
Intégrer la sécurité dans le cycle de vie logiciel
La sécurité doit être intégrée à toutes les étapes du cycle de vie du projet, depuis l'expression des besoins jusqu'à la maintenance applicative, en passant par la rédaction du cahier des charges et l...
Calculer les empreintes de mots de passe de manière sécurisée
Lorsqu'une application doit stocker les mots de passe de ses utilisateurs, il est important de mettre en œuvre des mesures permettant de se prémunir contre les attaques documentées : attaques par dict...
Améliorer la prise en compte de la sécurité dans les développements Web
Les développements Web (et les développements en PHP en particulier) font l'objet de problèmes de sécurité récurrents qui ont conduit à la constitution de référentiels de sécurité. Ces référentiels on...
Intégrer des clauses SSI dans les contrats de sous-traitance de développement informatique
Lors de l’écriture d’un contrat de sous-traitance de développement, plusieurs clauses relatives â la SSI doivent être intégrées : - formation obligatoire des développeurs sur le développement sécuris...
Climatisation
Un dispositif de climatisation dimensionné en fonction des besoins énergétiques du système informatique doit être installé. Des procédures de réaction en cas de panne, connues du personnel, doivent êt...
Contrôle d’accès physique
L’accès aux zones internes (autorisées uniquement au personnel du centre informatique ou aux visiteurs accompagnés) et restreintes (autorisées aux seules personnes habilitées ou aux visiteurs accompag...
Lutte contre les voies d’eau
Une étude sur les risques dus aux voies d'eau doit être réalisée. Cette étude doit notamment prendre en compte le risque de fuite sur un collecteur d’eau douce.
Local énergie
L’alimentation secteur des équipements devra être conforme aux règles de l’art, de façon à se prémunir des atteintes à la sécurité des personnes et équipements liées à un défaut électrique.
Convention de service en cas d’hébergement tiers
Dans le cas où un tiers gère tout ou partie des locaux du centre informatique, une convention de service, définissant les responsabilités mutuelles en matière de sécurité, doit être établie entre ce t...
Lutte contre l’incendie
L’installation de matériel de protection contre le feu est obligatoire. Des procédures de réaction à un incendie sont définies et régulièrement testées. Les salles techniques doivent être propres. Auc...
Découpage des locaux en zones de sécurité
Un découpage du centre informatique en zones physiques de sécurité doit être effectué, en liaison avec le RSSI et les services en charge de l’immobilier, de la sécurité et des moyens généraux. Des règ...
Délivrance des moyens d’accès physique
La délivrance des moyens d'accès physique doit respecter un processus formel permettant de s'assurer de l'identité de la personne, s'appuyant sur le processus d’arrivée et de départ du personnel. Le p...
Traçabilité des accès
Une traçabilité des accès, par les visiteurs externes, aux zones restreintes doit être mise en place. Ces traces sont alors conservées un an, dans le respect des textes protégeant les données personne...
Contrôles anti-piégeages
Sur les SI particulièrement sensibles, il est recommandé de mener des contrôles anti-piégeages réguliers, effectués par du personnel formé. Il peut être fait appel à des services spécialisés (opératio...
Accès réseau en zone d’accueil du public
Tout accès réseau installé dans une zone d'accueil du public doit être filtré ou isolé du reste du réseau informatique de l’entité.
Protection des informations sensibles au sein des zones d’accueil
Le traitement d'informations sensibles au sein des zones d'accueil est à éviter. Si un tel traitement est strictement nécessaire, il doit rester ponctuel et exceptionnel. Des mesures particulières son...
Sécurisation du SI de sûreté
Pour les sites physiques considérés comme importants, des mesures de protection doivent être définies et appliquées en se basant sur les conclusions d’une analyse de risques. L’analyse de risques cond...
Sécurité physique des locaux techniques
L’accès aux locaux techniques abritant des équipements d'alimentation et de distribution d’énergie, ou des équipements de réseau et de téléphonie, doit être physiquement protégé.
Protection des câbles électriques et de télécommunications
Il convient de protéger le câblage réseau contre les dommages et les interceptions des communications qu’ils transmettent. En complément, les panneaux de raccordements et les salles des câbles doivent...
Découpage des sites en zones de sécurité
Un découpage des sites en zones physiques de sécurité doit être effectué, en liaison avec le RSSI, les correspondants locaux SSI et les services en charge : de l'immobilier, de la sécurité et des moye...
Remontée des incidents
Tout incident de sécurité, même apparemment mineur, dont l'impact dépasse ou est susceptible de dépasser le SI d'une entité ou des MCAS, fait l'objet d'un compte-rendu, via la chaîne SSI, au FSSI qui,...
Mobilisation en cas d'alerte
En cas d’alerte de sécurité identifiée au niveau national, les RSSI de chaque entité s'assurent de la bonne application des exigences formulées par les instances nationales, dans les meilleurs délais.
Chaînes opérationnelles SSI
Les chaînes opérationnelles des MCAS concourent à l’effort national de cybersécurité. Les alertes et les incidents sont gérés selon des procédures testées lors d'exercices. La coordination des compéte...
Qualification et traitement des incidents
La chaîne fonctionnelle SSI est informée par la chaîne opérationnelle de tout incident de sécurité, et contribue si nécessaire à la qualification de l'incident et au pilotage de son traitement.