Les 42 recommandations de l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information)
L’ANSSI est l’autorité nationale française en cybersécurité. Ses guides sont la référence pour les administrations et OIV. |
L’ANSSI, autorité française en cybersécurité, a publié un guide comprenant 42 recommandations essentielles …
pour renforcer la sécurité des systèmes d’information (SI).
Ces recommandations sont classées selon trois objectifs principaux :
Anticiper
Protéger
Détecter et réagir
L’objectif est de préparer une stratégie globale pour prévenir les incidents de sécurité.
Nommer un RSSI (Responsable de la Sécurité des Systèmes d’Information) :
Assigner un responsable dédié à la sécurité.
Formaliser des règles pour protéger les SI.
Définir des rôles, responsabilités, et processus.
Identifier les vulnérabilités et menaces.
Prévoir des actions en cas de cyberattaque.
Faire de la cybersécurité une culture d’entreprise.
Inventaire et maîtrise des actifs
Identifier et documenter tous les équipements et logiciels.
Superviser les relations avec les fournisseurs de services tiers.
Exiger des garanties de sécurité des prestataires.
L’objectif est de mettre en place des mesures pour réduire les vulnérabilités et prévenir les incidents.
Séparer les systèmes critiques des autres environnements.
Réduire la surface d’attaque.
Utiliser des protocoles sécurisés (TLS, VPN).
Restreindre les fonctionnalités inutiles.
Restreindre les accès aux systèmes critiques.
Ne donner que les permissions strictement nécessaires.
Protéger et surveiller les comptes administrateurs.
Corriger les vulnérabilités via des patchs.
Contrôler les logiciels autorisés.
Assurer une protection contre les malwares.
Réduire la surface d’attaque.
Activer la journalisation pour identifier les incidents.
Assurer la restauration des données en cas d’incident.
Utiliser des algorithmes robustes pour protéger les données.
Sécuriser les communications avec TLS ou IPsec.
Réduire les risques de fuite.
Utiliser une authentification forte (MFA).
Mettre en place une supervision proactive.
Sécuriser l’accès aux salles serveurs et aux équipements critiques.
L’objectif est d’être capable de détecter rapidement un incident de sécurité et d’y répondre efficacement.
Automatiser l’analyse des logs pour détecter les anomalies.
Utiliser des outils comme un SIEM.
Identifier les comportements suspects sur le réseau.
Empêcher leur altération par des attaquants.
Préparer des processus clairs pour traiter les incidents.
Simuler des incidents pour évaluer la réactivité.
Rassembler des experts pour coordonner la réponse.
Tirer parti du soutien de l’ANSSI en cas d’attaque grave.
Utiliser une authentification forte et des protocoles sécurisés.
Restreindre l’utilisation des appareils non sécurisés.
Promouvoir des standards de cybersécurité.
Inclure des clauses de sécurité dans les contrats avec les prestataires.
Se tenir informé des nouvelles menaces.
Faire des audits réguliers.
Limite l’impact des cyberattaques.
Se conforme au RGPD et autres normes.
Capacité à réagir rapidement en cas d’incident.
Une sécurité renforcée améliore la réputation.
Téléchargeable sur le site de l’ANSSI.
Splunk, Elastic Security.
Graylog.
L’ANSSI s’inscrit dans un écosystème international de réglementations et de frameworks.
NIS et NIST sont souvent confondus mais sont deux mondes différents : NIS est une directive européenne (obligatoire), NIST est un framework américain (référentiel volontaire). |
Network and Information Security Directive
Première directive européenne sur la cybersécurité
Cible les OSE (Opérateurs de Services Essentiels) : énergie, transport, santé, finance, eau
Transposée en France en 2018 — l’ANSSI désigne les OSE et contrôle leur conformité
NIS 2 élargit drastiquement le périmètre — 160 000 entités concernées en Europe (vs 15 000 sous NIS 1). |
Entités essentielles (EE) — secteurs critiques + grandes entreprises
Entités importantes (EI) — secteurs élargis (alimentaire, déchets, espace, postes)
Sanctions : jusqu’à 10 M€ ou 2 % du CA mondial
Responsabilité personnelle des dirigeants
Notification d’incident sous 24 h (alerte) puis 72 h (rapport)
Agence américaine du Département du Commerce
Produit des référentiels (pas obligatoires en soi mais incontournables)
Adoptés mondialement comme bonnes pratiques de référence
| Référentiel | Description |
|---|---|
NIST CSF | Cybersecurity Framework — 5 fonctions : Identify, Protect, Detect, Respond, Recover |
NIST 800-53 | Catalogue de contrôles de sécurité (très détaillé) |
NIST 800-171 | Protection des informations contrôlées non classifiées (CUI) |
NIST 800-61 | Guide de gestion des incidents |
NIST 800-86 | Forensique numérique |
NIST SP 800-207 | Architecture Zero Trust |
Imposé par l'ordonnance n° 2005-1516
Applicable aux autorités administratives et leurs prestataires
PSCo (Prestataires de Services de Confiance) qualifiés ANSSI
Aligne avec les normes européennes (eIDAS)
| Niveau | Usage |
|---|---|
Standard | Données usuelles |
Renforcé | Données sensibles |
Élevé | Données critiques (santé, défense) |
Le RGS couvre : authentification, signature électronique, horodatage, archivage électronique — la base de la confiance numérique dans l’administration. |
Le RSSI est l’équivalent français du CISO (Chief Information Security Officer). NIS 2 rend sa désignation obligatoire pour les entités concernées. |
Définir la PSSI (Politique de Sécurité des SI)
Évaluer les risques (analyse EBIOS RM)
Mettre en œuvre les contrôles de sécurité
Gérer les incidents et la cellule de crise
Sensibiliser l’organisation
Garantir la conformité (RGPD, NIS 2, ISO 27001)
Reporter à la direction et à l’ANSSI si OIV/OSE/EE
Bonne pratique : le RSSI ne devrait pas dépendre du DSI (conflit d’intérêts) — idéalement rattaché à la Direction Générale, à la Direction des Risques ou à la Direction Juridique. |
| Modèle | Avantages |
|---|---|
Rattaché DG | Indépendance, visibilité |
Rattaché DSI | Proximité technique, mais conflit d’intérêts |
Rattaché Risques | Vision risque globale |
| Framework | Nature |
|---|---|
Obligation | NIS 2 |
Directive UE | Obligatoire (entités E/EI) |
RGPD | Règlement UE |
Obligatoire (toutes orgas) | RGS |
Référentiel FR | Obligatoire admin publique |
ISO 27001 | Norme |
Volontaire (certification) | NIST CSF |
Framework | Volontaire (référence) |
EBIOS RM | Méthode ANSSI |
Stratégie pragmatique : prendre NIST CSF comme structure, viser ISO 27001 pour la certification, se conformer à NIS 2 + RGPD pour l’obligation légale. |
Les guides ANSSI sont gratuits et applicables à toute organisation — pas seulement aux administrations. Une lecture obligatoire pour les RSSI. |
Voir aussi : CNIL · RGPD · Hardening · ISO 27001 · Politique de sécurité |