L’Etat renforce sa politique de cybersécurité
Après avoir présenté les grandes lignes de sécurité (La France affiche sa stratégie de défense dans le cyberespace), l’ANSSI (Agence nationale de la sécurité des systèmes d'information) monte en puissance et présente quatre nouvelles mesures : création d’un groupe d’intervention rapide, mise en place d’une politique interministérielle, promotion de la sécurité dans tous les enseignements supérieurs scientifiques et amélioration de la sécurité des infrastructures vitales. L’ANSSI recrute activement et devrait passer de 170 agents à 360 fin 2013.
« Face à des menaces toujours croissantes, l’Etat doit renforcer ses moyens pour protéger ses actifs et garantir sa souveraineté », introduit Francis Delon, Secrétaire général de la défense et de la sécurité nationale en détaillant les nouvelles mesures été présentées ce mercredi par François Fillon en Conseil des ministres.
En réponse notamment à la multiplication en France des attaques informatiques de grande ampleur, le Gouvernement a décidé d’accélérer la montée en puissance du dispositif national de sécurité et de défense des systèmes d’information en adoptant principalement quatre grandes mesures.
GIGN du cyberspace
Ce nouveau groupe d'intervention rapide placé à l’ANSSI, sorte de GIGN du cyberespace, sera formé d’experts capables d'intervenir sur les systèmes d'information de l'État et des opérateurs qui en feraient la demande, permettra de traiter dans les meilleurs délais les attaques les plus graves. Il aura trois missions principales : rechercher et détecter les compromissions, superviser les opérations de traitement d'incident ou de reconstruction des systèmes et porter assistance à nos alliés en cas de crise informatique. « Ce groupe sera capable de réagir très vite, faire du forensics, retrouver rapidement des signatures et prendre les mesures ad hoc », explique Patrick Pailloux, Directeur général de (ANSSI). A la fin 2013, ce groupe comptera une trentaine de spécialistes de haut niveau prêt à intervenir à tous moments.
L’ANSSI sera désormais chargée de mettre en œuvre une politique interministérielle de sécurité des systèmes d'information de l’Etat visant à homogénéiser et accroître la sécurité dans l'ensemble des ministères sera adoptée. Pour prendre un exemple simple, des règles simples comme la création d’un mot de passe seront diffusés dans toute la fonction publique. Par ailleurs, un réseau interministériel sécurisé er résiliant regroupant l’ensemble des réseaux des ministères sera mis en place. Cette sorte de « superintranet » réduira les coûts en mutualisant les ressources des Administration et augmentera la sécurité en réduisant les passerelles d’interconnexion avec l’Internet.
Pour accroître le niveau de sécurité sera mis en œuvre des moyens d’authentification forte, en l’occurrence une carte à puce. C’est l’agence nationale des titres sécurisés en liaison avec l’ANSSI qui pilotera ce projet. Dernier important dans ce chapitre, les Administrations seront conduites à utiliser des produits et des services labellisés par des laboratoires indépendants.
Promouvoir la cybersécurité et améliorer la sécurité des d'infrastructures vitales
L’ANSSI va soutenir la recherche en sécurité des systèmes d'information en partenariat avec l'industrie et favoriser le transfert de l'innovation. En France, ces dernières années, plusieurs initiatives de recherche ont vu le jour en matière de sécurité des systèmes d’information. Elles restent toutefois ponctuelles et ne peuvent être pérennisées, faute de crédits ou de pilotage stratégique global.
Une fondation sera créée, sous la forme d'un partenariat public-privé, pour soutenir les capacités de recherche nationales et développer un centre spécifiquement dédié à la recherche en sécurité des systèmes d'information, dans les domaines techniques et non techniques (politique, géostratégique, économique, etc.). Le montage technique et juridique de cette fondation devrait nécessiter environ un an considère Patrick Pailloux.
Concernant la formation l’objectif est de sensibiliser et de former tous les étudiants aux questions de sécurité des systèmes d’information. Trop d’ingénieurs ou d’universitaires, y compris dans les filières techniques, arrivent aujourd’hui sur le marché du travail sans avoir jamais été formés à « l’hygiène numérique » selon l’expression de Patrick Pailloux.
Le dernier volet de cette annonce consiste à établir un partenariat avec les opérateurs d'infrastructures vitales appartenant aux 12 secteurs stratégiques (santé, transport, énergie…) afin de
- permettre aux opérateurs critiques de mieux connaître les faiblesses de leurs systèmes d'information et leur apporter l'éventuel appui technique nécessaire ;
- prévenir les attaques sur les systèmes critiques ;
- améliorer la compétence et la sensibilisation des opérateurs à la sécurité des systèmes d'information ;
- définir des chaînes de compétence et de responsabilité en matière de sécurité des systèmes d'information.
Il s’agit de développer les échanges d'informations entre l'État et les opérateurs critiques, le partage et l’analyse des remontées d'incidents ainsi que les audits de sécurité. Ces évolutions permettront de renforcer la sécurité des systèmes d'information industriels les plus critiques et de veiller à leur défense permanente.
