Cybersécurité - Innovations digitales et numériques

Au sein de 14 chapitres, le référentiel de l’Anssi répertorie les exigences et recommandations que les prestataires de Cloud (Saas, Iaas et Paas) devront respecter pour être qualifiés. Et propose deux niveaux de sécurité : le premier, dit élémentaire, est conforme aux impératifs propres à la politique de sécurité des systèmes d’information de l’Etat (PSSIE), tandis que le second, dit standard, permet d’assurer le traitement des données de niveau diffusion restreinte (le niveau le plus faible en matière d’information classifiée). Le référentiel prévoit notamment que le stockage et le traitement des données doivent être effectués sur le territoire. Le prestataire doit également proposer un support de premier niveau francophone et installé dans l’Hexagone, revoir au moins une fois par an sa politique de gestion des identités et de contrôle des accès ou encore revalider, à la même fréquence, les droits d’accès des utilisateurs. Cette revalidation est même trimestrielle pour les comptes à privilèges élevés, selon la version du référentiel actuellement disponible. De même, l’Anssi prévoit une généralisation du chiffrement (flux et stockage des données), y compris au niveau élémentaire.

Après la publication de ce premier livrable, le groupe travaille désormais sur un questionnaire afin de dresser un bilan des pratiques actuellement en vigueur en France auprès des responsables concernés des grandes entreprises ainsi que des prestataires du secteur, comme les intégrateurs ou les constructeurs de systèmes industriels. Les résultats sont attendus pour la fin de l’année.

Le plus grand défi pour l’entreprise reste encore l’insuffisance de sensibilisation de l’ensemble des personnels face à l’ingéniosité des cyber-délinquants et au caractère protéiforme des cyberattaques. Notre principale recommandation à l’attention des DSI et des RSSI est de s’assurer qu’ils disposent bien d’une politique de sécurité connue de tous et dont l’application doit être régulièrement contrôlée et auditée. Il est également recommandé aux DSI et aux RSSI de s’assurer qu’ils ont bien mis en œuvre les « 40 règles d’hygiène informatique » disponible sur le site de l’ANSSI.

L’ANSSI met également à la disposition des DSI et RSSI un ensemble d’autres guides et recommandations qui sont très accessibles y compris aux TPE permettant de sécuriser les postes de travail et les serveurs, mais également la messagerie ou encore les liaisons sans fil dans l’entreprise.

Les besoins en cybersécurité ne cessent d’évoluer, tant du côté des grands comptes que des PME. « On assiste à un mouvement vers la surveillance du SI des entreprises, et donc les MSSP continueront clairement d’être sollicités dans les mois à venir, témoigne l’expert en sécurité. Je ne connais pas de client qui ne se pose pas la question aujourd’hui. »

Et le développement, c’est précisément l’objectif de la feuille de route établie par l’ANSSI, associée à un groupe d’industriels et à des associations d’utilisateurs, dans le cadre du « Plan 33  » de la Nouvelle France Industrielle.

Convié par Défense & Stratégie à l’occasion d’un point d’étape, Christophe Blot, Responsable de la Division Produits et Services de Sécurité à l’ANSSI, a détaillé les actions envisagées pour accroitre à la fois les débouchées des acteurs industriels de la cybersécurité française, mais également d’en développer l’offre au profit à la fois de l’Etat et du secteur privé.

Pour cela quatre axes de développement ont été définis, et pour chacun une série d’actions à mener.

Pour qu'un message chiffré dans un serveur de messagerie puisse être lu par son destinataire, il est nécessaire, soit de déchiffrer pour le transmettre en clair, ce qui sera très certainement le cas. Soit de l'encoder avec la clé publique du destinataire (voir PGP ou, en plus simple mais moins sécurisé, le plugin SecureGmail pour Gmail), ce qui sera éventuellement possible et même automatisable entre e-mails échangés par les serveurs des FAI et des autres parties prenantes à l'initiative, mais impossible avec les nombreux destinataires qui ne seront pas concernés par la mesure (mise à jour : Stéphane Bortzmeyer souligne qu'il est possible de chiffrer les mails entre serveurs SMTP de façon transparente pour l'utilisateur avec le protocole TLS/SMTP, de plus en plus utilisé).

Aussi tôt dit, aussi tôt fait. Quelques heures seulement après la visite et le discours du Premier Ministre, l’ANSSI publiait un appel d’offres pour le projet « CyberEdu » relatif « à la rédaction de document pédagogiques, en l’occurrence un guide pédagogique et différents supports ou éléments de cours, visant à faciliter la prise en compte de la cybersécurité dans les formations supérieures en informatique en France ».

La première alerte sérieuse sur les transports aériens date de l’été 2010 avec la publication des résultats d’enquête sur le crash du 20 août 2008 mettant en lumière la vulnérabilité potentielle des systèmes embarqués. Selon le rapport rendu public par El Pais, un cheval de Troie pouvait être l’une des causes du crash du MD82 de la Spanair, provoquant 154 victimes. Même si la thèse est écartée par la CIAIAC en charge de l’enquête, l’inquiétude n’est pas dissipée.  Sans parler des piratages de drones fréquents depuis la fin des années 2000…

Comment faire de la cybersécurité un vecteur de croissance et d'emploi ? C'est la question à laquelle s'est attelé le groupe de travail dépêché par Arnaud Montebourg dans le cadre des 34 plans Nouvelle France industrielle, censé dessiner l'avenir des filières clefs. Présidé par le patron de l'Agence nationale de la sécurité des systèmes d'information (Anssi) - d'abord Patrick Pailloux puis, depuis le départ de ce dernier à la DGSE, Guillaume Poupard - le groupe a émis 17 propositions.

Subissant la double poussée d'Internet et de la mobilité, les Etats et les entreprises ouvrent grand leurs systèmes d'information, les uns à leurs citoyens, administrés et contribuables, les autres à leurs fournisseurs, clients, salariés... C'est bon pour la démocratie, les finances publiques et le développement des entreprises.

Mais, au fur et à mesure de cette ouverture, qui a d'abord porté sur les systèmes d'information de gestion, sont apparues des menaces, toujours plus sophistiquées : cybercriminalité et espionnage industriel. Dans son "Panorama de la Cybercriminalité pour l'année 2013", le Clusif, citant un autre rapport**, fait état d'un coût global des cyberattaques estimé à 300 milliards d'euros pour les entreprises en 2013. Soit l'équivalent du produit net annuel des impôts perçus par l'Etat français l'année dernière.

La filière SSI traditionnelle, partie intégrante de la cybersécurité, a longtemps été rejetée par les techniciens comme par les dirigeants. Elle renaît. Dans les entreprises, le Responsable de la Sécurité des Systèmes d'Information (RSSI) devient un acteur clé placé au niveau du DSI. De même les armées sont en train de monter un centre de cyberprotection. Enfin, la prévention informatique s’apprend dès le plus jeune âge. A l'instar du permis piéton de 2006, Manuel Valls a remis les premiers « permis internet » à trois élèves de CM2. Cette sensibilisation est complétée en fin de scolarité obligatoire par le « B2I ».