Sécurité des systèmes d'information
Définition et enjeux
La sécurité des systèmes d'information (SSI) regroupe l'ensemble des moyens, politiques, procédures, outils et bonnes pratiques visant à garantir la confidentialité, l’intégrité, la disponibilité et la traçabilité des données ainsi que des ressources informatiques. Cruciale aussi bien dans le secteur privé que dans la fonction publique, la SSI constitue un enjeu majeur pour l’ANSSI, le Ministère de l'Intérieur, la DINUM ou encore les collectivités territoriales.
La protection des informations sensibles, la prévention des incidents de sécurité, la lutte contre la cybercriminalité, la gestion des risques ou encore la conformité aux réglementations telles que le RGPD sont autant de défis à relever pour les organisations publiques et privées.
Principes fondamentaux de la SSI
La SSI repose sur quatre piliers, souvent regroupés sous l'acronyme « CIDT » :
- Confidentialité : protéger les informations contre toute divulgation non autorisée.
- Intégrité : garantir que l’information n’a pas été modifiée de manière non légitime.
- Disponibilité : assurer l'accès permanent à l'information et aux systèmes.
- Traçabilité : permettre de retrouver les actions effectuées sur les systèmes pour en assurer l’auditabilité.
Gouvernance et acteurs de la SSI dans la fonction publique
Plusieurs acteurs institutionnels interviennent en France pour la SSI, notamment :
Des référents, tels que le RSSI, sont chargés de la mise en œuvre de la politique de sécurité dans chaque administration, tandis que les DPO veillent au respect de la législation sur les données personnelles.
Menaces et types d’attaques
Les SI de la fonction publique et des établissements publics sont exposés à de nombreuses menaces :
- Malwares (rançongiciels, vers, chevaux de Troie)
- Phishing
- Ingénierie sociale
- Attaques DDoS
- Intrusion informatique
- Fuite de données
- Espionnage numérique
- Sabotage informatique
Les cyberattaques peuvent viser aussi bien les services RH, les systèmes de gestion financière, les plateformes citoyennes que les outils de communication interne.
Mesures et outils de sécurité
La SSI combine des mesures préventives, détectives et curatives. Les outils couramment déployés sont :
| Outil/Technologie | Rôle |
|---|---|
| Pare-feu | Filtrer le trafic réseau entrant et sortant |
| Antivirus/Antimalware | Détecter et supprimer les logiciels malveillants |
| Chiffrement | Protéger la confidentialité des données |
| Authentification forte | Renforcer la vérification de l’identité des utilisateurs (ex : 2FA) |
| IAM | Contrôler les privilèges utilisateurs |
| IDS/IPS | Surveiller et prévenir les activités suspectes |
| Sauvegardes | Assurer la restauration des données après incident |
| Audit | Contrôler et retracer les accès et modifications |
Politiques et normes de sécurité
La rédaction d’une PSSI est un acte fondateur pour chaque organisation, fixant les règles, responsabilités et exigences de sécurité. Les normes internationales structurantes incluent :
- ISO/IEC 27001
- ISO/IEC 27002
- RGPD (pour les données à caractère personnel)
- Référentiels nationaux de l'ANSSI
La France dispose également de guides spécifiques pour le secteur public, comme le RGS, cherchant à encadrer l’identification électronique, la signature électronique, etc.
Gestion des incidents informatiques
La gestion des incidents de sécurité, pilotée par le CERT-FR, suppose :
- La détection rapide de l’incident
- Sa qualification et sa priorisation
- L’information des autorités compétentes (ex : CNIL en cas d’atteinte aux données personnelles)
- Le traitement, la remédiation, puis la communication adaptée aux usagers et agents publics.
L’élaboration d’un PCA et d’un PRA est indispensable pour anticiper les incidents majeurs (ex : cyberattaque paralysant un hôpital public tel que le Centre hospitalier Sud Francilien en 2022).
Formation, sensibilisation et obligations légales
Tous les agents publics sont ciblés par des actions de formation et de sensibilisation, par exemple via la plateforme SecNumAcadémie mise en place par l’ANSSI.
Principales obligations légales :
- Respect du Code pénal (ex : articles 323-1 sur l'accès frauduleux aux SI)
- Respect du RGPD
- Obligation de notification des failles aux usagers et autorités
Des campagnes annuelles de sensibilisation sont régulièrement organisées, notamment lors du Cybermoi/s.
SSI et transformation numérique dans la fonction publique
La modernisation des services rend nécessaire l’intégration sécurisée de solutions comme le cloud, la dématérialisation, l’Open data, les IoT, ou encore la mobilité des agents publics.
La stratégie nationale de cybersécurité, impulsée par la DINUM et l’ANSSI, vise à renforcer la posture de sécurité, encourager la mutualisation des ressources, appuyer les collectivités territoriales et protéger la souveraineté numérique.
Bibliographie et ressources
- ANSSI, « Guide d’hygiène informatique »
- CNIL, « Guide de la sécurité des données personnelles »
- ISO/IEC 27001
- RGPD
- RGS
- SecNumAcadémie (plateforme de sensibilisation ANSSI)
- CERT-FR
Voir aussi
Catégorie:Systèmes d'information Catégorie:Sécurité informatique