Infos sur les SSL et la sécurité des réseaux

Ouverture sur l’extérieur

Dans le souci de tester ses premières intuitions, de s’imprégner de regards extérieurs et parfois de se confronter à des points de vue contradictoires, l’ANSSI fait le choix d’ouvrir la réflexion autour de ses orientations stratégiques, à l’occasion de deux temps d’échanges avec des représentant(e)s de l’écosystème cyber et numérique.

Deux ateliers collaboratifs seront ainsi organisés autour de thèmes d’intérêt partagé pour la communauté de la sécurité et de la confiance numérique, jusqu’alors insuffisamment explorés :

• Le 22 novembre 2019, des spécialistes de l’ANSSI et plusieurs invité(e)s échangeront autour des potentialités offertes par les données en matière de cybersécurité. L’atelier se déroulera l’après-midi dans les locaux du dispositif partenaire de l’ANSSI cybermalveillance.gouv.fr.

• Le 3 décembre 2019, des spécialistes de l’ANSSI et plusieurs invité(e)s imagineront – dans le cadre d’un exercice prospectif – l’évolution de l’environnement et des pratiques numériques dans 10 ans. Ils façonneront également les contours d’un imaginaire mobilisateur autour des enjeux de sécurité numérique. L’atelier se déroulera l’après-midi dans les locaux de l’ANSSI, à l’Hôtel National des Invalides.

Le fruit de ces échanges fera l’objet d’une restitution publique à l’issue de la séquence. Ces travaux nourriront, par ailleurs, le nouveau récit stratégique de l’agence dont les résultats seront annoncés début 2020.

Powered by WPeMatico

Le risque numérique pèse chaque jour davantage sur les organisations et peut mettre en péril leur survie. Il n’est donc plus seulement l’affaire d’experts techniques : le risque numérique est devenu stratégique et doit être traité au plus haut niveau de l’organisation.

Pour aider les dirigeants à construire une politique de gestion du risque numérique, l’ANSSI et l’AMRAE ont co-réalisé le guide «Maitrise du risque numérique – L’atout confiance». Les expertises complémentaires de l’ANSSI, autorité nationale en matière de cybersécurité, et de l’AMRAE, association professionnelle des métiers du risque et des assurances en entreprise, ont permis de bâtir un guide complet et réaliste.

Ce guide s’adresse aux dirigeants et Risk Managers d’organisations publiques comme privées de toutes tailles, incluant les comités des risques numériques, les directions métier et les conseils d’administration. Basée sur l’expérience des principaux acteurs de la maitrise du risque numérique, cette démarche progressive propose un accompagnement en 15 étapes.

Concrètement, la démarche permet de :

• prendre la mesure du risque numérique ;
• comprendre le risque numérique et s’organiser (étapes 1 à 6) ;
• bâtir son socle de sécurité (étapes 7 à 11) ;
• piloter son risque numérique et valoriser sa cybersécurité (étapes 12 à 15).

« Par où commencer ? Quelles étapes suivre ? Comment rester efficace ? Comment valoriser ses investissements de sécurité ? Le guide fournit une démarche rationnelle à suivre afin de mettre en place et de maintenir progressivement une organisation performante de gestion des cyber-risques » explique Guillaume Poupard, directeur général de l’ANSSI.

« Avec ce guide, notre objectif commun est de faire en sorte que tout l’écosystème mette en place les conditions de la confiance numérique. Si l’entreprise a en permanence un œil sur ses vulnérabilités, elle pourra anticiper les scenarii les plus impactant, en évaluant leurs conséquences financières ou de réputation, et ainsi réduire le risque cyber » souligne Brigitte Bouquot, la présidente de l’AMRAE.

Cette démarche holistique vise à impliquer efficacement tous les acteurs de l’organisation et à développer les capacités indispensables pour lutter contre les menaces cyber. Elle s’appuie sur la méthode d’analyse de risques EBIOS Risk Manager, qui permet de comprendre son exposition aux risques numériques afin d’anticiper pour ne pas subir.

Au final, la démarche permet de faire de la sécurité numérique un véritable atout pour l’organisation. En effet, l’organisation responsable et génératrice de confiance est désormais celle capable de maitriser l’ensemble des risques, y compris numériques. Les directions doivent donc les comprendre, soutenir les mesures nécessaires et valoriser cet investissement.

Un guide de portée européenne

La France bénéficie d’une expérience et d’une expertise pointue en matière de maitrise du risque numérique, qu’elle souhaite partager au niveau européen. C’est la raison pour laquelle le guide s’adresse aux acteurs nationaux, comme européens. L’ANSSI et l’AMRAE plaident pour un partage de principes communs à l’échelle européenne qui facilitera la coordination des Etats membres face aux menaces actuelles et futures.

Le guide « Maitrise du risque numérique – L’atout confiance » est disponible en français et en anglais sur les sites internet de l’ANSSI : https://www.ssi.gouv.fr/guide-maitrise-risque-numerique-atout-confiance et de l’AMRAE : https://www.amrae.fr/guide-amrae-anssi.

Communiqué de presse – Guide ANSSI AMRAE

Powered by WPeMatico

Le 13 novembre 2019, le Général de division aérienne Didier Tisseyre, commandant de la cyberdéfense et Guillaume Poupard, directeur général de l’ANSSI ont signé une nouvelle convention de partenariat visant à renforcer les synergies entre les deux entités et à poursuivre les rapprochements initiés depuis plusieurs années dans le cadre de la cyberdéfense des réseaux du ministère des armées.

Le renouvellement de ce protocole est une nouvelle étape dans la relation de confiance tissée entre l’ANSSI et le ministère des armées, déjà marquée notamment par la colocalisation de la sous-direction Opérations (SDO) et du centre d’analyse de lutte informatique défensive (CALID). En 2018 et 2019, la victoire de l’équipe de France co-armée par du personnel du COMCYBER et de l’ANSSI, lors de l’exercice Locked Shields, témoignait déjà de la force collective générée par ce rapprochement en matière de cyberdéfense.

Powered by WPeMatico

Les inscriptions pour cette formation sont ouvertes pour la promotion 2020-2021.

L’expert en sécurité des systèmes d’information est destiné à occuper un poste clé pour répondre aux enjeux de la sécurité numérique, dans les organisations publiques, les OIV ou OSE.
Fort de son expertise, il représente l’interlocuteur privilégié sur ces problématiques auprès des décideurs, mais également de toutes les fonctions impliquées au sein des organisations.
Officiant en tant qu’architecte SSI au sein d’une équipe de maîtrise d’ouvrage, fonctionnaire de sécurité des systèmes d’information (FSSI) dans un ministère, responsable de la sécurité des systèmes d’information (RSSI) ou encore conseiller SSI, l’expert SSI doit garantir la sécurité des systèmes d’information tout au long de leurs cycles de vie, depuis l’expression de besoin jusqu’à l’exploitation, au travers de nombreuses activités.

Une formation d’excellence et reconnue au titre d’expert SSI

La formation ESSI, proposée par le centre de formation à la sécurité des systèmes d’information de l’ANSSI, permet aux stagiaires d’acquérir l’ensemble des compétences requises par le référentiel métier, mais aussi de développer les qualités indispensables à l’exercice de ses fonctions. De nouvelles expertises que les stagiaires pourront mettre pleinement à profit au sein de leur organisation, pour concourir au renforcement général du niveau de sécurité.

S’étendant sur 13 mois, la formation comprend une période d’enseignement théorique (7 mois), complétée d’un stage d’application en milieu professionnel (6 mois), généralement au sein de l’ANSSI, sous la direction d’un chef de projet.

En cas de réussite, la formation donne lieu à la délivrance du titre officiel d’Expert en sécurité des systèmes d’information, associé à la certification RNCP de niveau I (assimilé à une formation BAC+5) reconnue par l’État.

Comment intégrer la prochaine promotion de la formation ESSI ?

La nouvelle session de formation ESSI de l’ANSSI débutera en septembre 2020, et pourra accueillir jusqu’à 15 stagiaires.
Les candidatures sont ouvertes et les dossiers devront être présentés avant le 1er juillet 2020.

Pour participer, quelques conditions d’accès sont requises :

• L’inscription doit être demandée et motivée par une administration (ou le ministère de tutelle pour les OIV ou OSE).
• De plus, les candidats doivent :
  • appartenir à l’administration française, être officiers ou fonctionnaires de catégorie A de l’une des trois fonctions publiques, ou employés d’OIV ou OSE (sous certaines conditions) ;
  • avoir fait l’objet d’une décision d’habilitation de niveau Confidentiel Défense au moins ;
  • être titulaire d’un diplôme d’études supérieures scientifiques de niveau baccalauréat plus trois années d’études (licence) minimum.

Retrouvez tous les détails pour rejoindre la formation d’Expert en sécurité des systèmes d’information de l’ANSSI sur le site : www.ssi.gouv.fr/administration/formations/titre-essi/

Powered by WPeMatico

L’ANSSI lançait il y a un an un appel à manifestation d’intérêt pour identifier les acteurs qui souhaitaient s’engager dans une réflexion ouverte sur la certification de sécurité de niveaux substantiel et élémentaire.
Une démarche qui a suscité l’intérêt de plusieurs entités représentatives, ainsi que de multiples contributions.
L’ANSSI, tient à remercier les contributeurs de tous horizons qui ont participé à cette réflexion, tels que des organismes d’accréditation ou d’évaluation de la conformité, ainsi que des laboratoires d’évaluation et de recherche, des développeurs de solutions, ou encore des experts en sécurité.

Construire collectivement la certification de sécurité européenne

Les évolutions des technologies et du marché, la maturité des acteurs dans la perception des risques et les propositions de certification de niveaux substantiel et élémentaire sont autant de facteurs pris en compte dans le projet de règlement de la Commission européenne en matière de certification de sécurité. Des préoccupations qui soulignent la nécessité de créer de nouveaux schémas de certification de sécurité, qui viendraient compléter les dispositifs actuellement opérés par l’ANSSI, notamment pour certifier des prestataires de service, ou des produits soumis à des référentiels de sécurité moins exigeants.
Les contributions et les propositions recueillies ont été compilées dans le document aujourd’hui mis à disposition par l’ANSSI, et les recommandations des contributeurs ont inspiré des actions qui permettent de renforcer la vison de la France et des différents acteurs engagés pour la certification de sécurité de niveau substantiel et élémentaire dans le cade du Cybersecurity Act.
Parmi ces actions, celles qui sont en lien avec le rôle de l’autorité nationale de certification de cybersécurité (NCCA) vis-à-vis des différentes parties prenantes de l’écosystème de la certification seront conduites en priorité.

Contact : M. Franck SADMI, division Produits et services de sécurité
Courriel – franck.sadmi [ at ] ssi.gouv.fr

Powered by WPeMatico

Le marché de l’infogérance s’est considérablement développé en France et atteint aujourd’hui un nouveau stade de maturité. En parallèle, l’ANSSI constate depuis quelques années l’accroissement du nombre et de la gravité des attaques informatiques dites « supply chain », consistant à atteindre une cible en infiltrant les systèmes d’information de ses partenaires. En infectant préalablement des entreprises de services numériques tels que des prestataires de maintenance ou d’administration, les attaquants contournent des dispositifs de détection et rentabilisent ainsi leurs attaques.

Compte tenu de la criticité des systèmes d’informations souvent administrés et des enjeux de sécurité actuels, l’ANSSI a élaboré un référentiel visant à apporter aux commanditaires de telles prestations les garanties nécessaires tant en termes de sécurité que de confiance à accorder aux prestataires qui les réalisent. Les exigences formulées par ce référentiel portent sur le prestataire lui-même, ainsi que sur la sécurité de son système d’information permettant de fournir le service d’administration et de maintenance sécurisées.

Une première version du référentiel PAMS est proposée aujourd’hui dans le cadre d’un appel public à commentaires.

Les observations, commentaires et propositions peuvent être transmises jusqu’au 15 décembre 2019, de préférence par courriel, à l’adresse qualification [at] ssi.gouv.fr et à l’aide de la fiche de lecture ci-dessous. L’ANSSI remercie par avance tous ceux qui répondront à cet appel à commentaires.

A la suite du recueil et de la prise en compte des commentaires, l’ANSSI procédera à une phase expérimentale afin de tester en conditions réelles l’applicabilité de ce référentiel.
Elle invite par conséquent les prestataires souhaitant être candidats à cette phase expérimentale à la contacter, de préférence par courriel, à la même adresse.

Enfin, l’ANSSI invite également les organismes tiers qui souhaiteraient être accrédités pour procéder à l’évaluation de la conformité des prestataires d’administration et de maintenance sécurisées par rapport à ce référentiel d’exigences à la contacter, de préférence par courriel, à la même adresse.

Powered by WPeMatico