Sécurité Numérique Flashcards
Qu’est ce que l’ANSSI
Agence nationale de la sécurité des systèmes d’information.
Service du 1M qui peut intervenir sur tout le territoire français
Compétente en matière de sécurité des systèmes d’information en proposant au 1M les mesures destinées à répondre aux crises menaçant la sécurité des systèmes d’information vitaux de la Nation
+ délivre des agréments pour les dispositifs et mécanismes de sécurité
L’approbation des solutions de sécurité par l’ANSSI : différents niveau de sécurité
1er niveau pour permettre de résister à un attaquant < niveau standard capable de résister à un attaquant disposant de compétences techniques avancées < niveau renforcé résister à un attaquant qui a des techniques sophistiquées ainsi qu’un soutien étatique ou groupe criminel
NIS 2
objectif d’harmoniser et de renforcer la cybersécurité sur le territoire européen
renforcer les exigences en matière de sécurité au sein de l’UE en élargissant le champ d’application + prise en compte de la sécurité des chaines d’approvisionnement + standardisation des explications + introduction de mesures de surveillances en faisant des contrôles
+ notion de R des organes de direction au sein des entreprises. 3 axes : la gouvernance ( responsabiliser les dirigeants ) + la détection et la réponse aux incidents + sécurisation et contrôle des périmètres et des actifs
À qui s’applique NIS 2
1 s’appliquait aux opérateurs de services essentiels et fournisseurs de services numériques. NIS 2 s’applique à elle mais aussi aux entités essentielles et aux entités importantes cad moyennes et grandes entreprises
dans certains secteurs toutes les organisations quelle que soit leur taille seront concernées selon leur nature des secteurs, du type d’entités = admin publique ou seul prestataire d’un service dans un EM ou des effets des perturbations = impact sur la sûreté, sécurité ou santé publique, induire des risques systémiques, importance de l’entité au niveau régional
Définition incident et cyber menace
Incident : événement compromettant l’intégrité ou confidentialité des données
Cyber menace : évènement susceptible d’endommager, de perturber des systèmes
Action en cas d’incident
prévenir les autorités compétentes donc l’ANSSI dans les 24h après avoir eu connaissance de l’incident, les destinataires des services si besoin et les destinataires de la menace. Après 72h notification d’incident qui met à jour les informations, et rapport final un mois plus tard
EE et EI doivent mener une évaluation des risques poussée de leur chaine d’approvisionnement
sanctionné est le non respect des obligations et des mesures de gestion : amende
Spécificités pour le secteur public
faut un référentiel général de sécurité relative aux échanges électroniques entre les usagers et les autorités admin qui fixe des règles qui doivent être respectées dans les relations entre autorités admin elle-même et avec leurs usagers
autorités admin doivent passer des homologations pour attester qu’elles respectent le RGS
Objectif principal est l’identification, la signature électronique, la confidentialité et l’horodatage
Secteur privé
Appliquer une gouvernance juridique : déterminer le référentiel réglementaire applicable -> Politique de Sécurité du Système d’Information / contrat / cyber assurance va couvrir que ce qui relève de l’incident pas de l’attaque et subordonnée au dépôt de la plainte de la victime au plus tard 72h après-> 2 types de police assurance : couverture de première partie qui couvre les pertes financières de l’assuré et la couverture de tiers qui couvre l’assuré pour les actions en R engagées contre lui -> Jurisprudence constante sur le fait qu’une attaque n’est pas un cas de FM car pas imprévisible et irrésistible.
