-
Notifications
You must be signed in to change notification settings - Fork 8
/
donneesReferentiel.js
1480 lines (1448 loc) · 78.3 KB
/
donneesReferentiel.js
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
318
319
320
321
322
323
324
325
326
327
328
329
330
331
332
333
334
335
336
337
338
339
340
341
342
343
344
345
346
347
348
349
350
351
352
353
354
355
356
357
358
359
360
361
362
363
364
365
366
367
368
369
370
371
372
373
374
375
376
377
378
379
380
381
382
383
384
385
386
387
388
389
390
391
392
393
394
395
396
397
398
399
400
401
402
403
404
405
406
407
408
409
410
411
412
413
414
415
416
417
418
419
420
421
422
423
424
425
426
427
428
429
430
431
432
433
434
435
436
437
438
439
440
441
442
443
444
445
446
447
448
449
450
451
452
453
454
455
456
457
458
459
460
461
462
463
464
465
466
467
468
469
470
471
472
473
474
475
476
477
478
479
480
481
482
483
484
485
486
487
488
489
490
491
492
493
494
495
496
497
498
499
500
501
502
503
504
505
506
507
508
509
510
511
512
513
514
515
516
517
518
519
520
521
522
523
524
525
526
527
528
529
530
531
532
533
534
535
536
537
538
539
540
541
542
543
544
545
546
547
548
549
550
551
552
553
554
555
556
557
558
559
560
561
562
563
564
565
566
567
568
569
570
571
572
573
574
575
576
577
578
579
580
581
582
583
584
585
586
587
588
589
590
591
592
593
594
595
596
597
598
599
600
601
602
603
604
605
606
607
608
609
610
611
612
613
614
615
616
617
618
619
620
621
622
623
624
625
626
627
628
629
630
631
632
633
634
635
636
637
638
639
640
641
642
643
644
645
646
647
648
649
650
651
652
653
654
655
656
657
658
659
660
661
662
663
664
665
666
667
668
669
670
671
672
673
674
675
676
677
678
679
680
681
682
683
684
685
686
687
688
689
690
691
692
693
694
695
696
697
698
699
700
701
702
703
704
705
706
707
708
709
710
711
712
713
714
715
716
717
718
719
720
721
722
723
724
725
726
727
728
729
730
731
732
733
734
735
736
737
738
739
740
741
742
743
744
745
746
747
748
749
750
751
752
753
754
755
756
757
758
759
760
761
762
763
764
765
766
767
768
769
770
771
772
773
774
775
776
777
778
779
780
781
782
783
784
785
786
787
788
789
790
791
792
793
794
795
796
797
798
799
800
801
802
803
804
805
806
807
808
809
810
811
812
813
814
815
816
817
818
819
820
821
822
823
824
825
826
827
828
829
830
831
832
833
834
835
836
837
838
839
840
841
842
843
844
845
846
847
848
849
850
851
852
853
854
855
856
857
858
859
860
861
862
863
864
865
866
867
868
869
870
871
872
873
874
875
876
877
878
879
880
881
882
883
884
885
886
887
888
889
890
891
892
893
894
895
896
897
898
899
900
901
902
903
904
905
906
907
908
909
910
911
912
913
914
915
916
917
918
919
920
921
922
923
924
925
926
927
928
929
930
931
932
933
934
935
936
937
938
939
940
941
942
943
944
945
946
947
948
949
950
951
952
953
954
955
956
957
958
959
960
961
962
963
964
965
966
967
968
969
970
971
972
973
974
975
976
977
978
979
980
981
982
983
984
985
986
987
988
989
990
991
992
993
994
995
996
997
998
999
1000
const { departements } = require('./donneesReferentielDepartements');
const recommandationPoursuiteRenforcement =
"L'ANSSI recommande la poursuite du renforcement de la sécurité du service numérique.";
const expiration = (duree) =>
`${duree.charAt(0).toUpperCase()}${duree.slice(
1
)} après signature de la présente homologation`;
module.exports = {
indiceCyber: {
coefficientIndispensables: 0.6,
coefficientRecommandees: 0.4,
coefficientStatutPartiel: 0.5,
noteMax: 5,
},
nouvellesFonctionnalites: [
{
id: 'encartHomologation',
dateDeDeploiement: '2024-04-03 14:30:00Z',
lien: 'https://avis.monservicesecurise.cyber.gouv.fr/fr/changelog',
titre: 'Homologuez vos services et faites-le savoir !',
sousTitre:
"Valorisez l'effort de sécurisation mis en œuvre et renforcez la confiance de vos usagers dans vos services",
image: 'encart_homologation.png',
canalDiffusion: 'centreNotifications',
},
{
id: 'communauteMSS',
dateDeDeploiement: '2024-06-13 12:30:00Z',
lien: 'https://aide.monservicesecurise.cyber.gouv.fr/fr/article/comment-rejoindre-la-communaute-xtwbkz/',
titre: 'Rejoignez la communauté MonServiceSécurisé !',
sousTitre:
'Devenez membre de la communauté MonServiceSécurisé et échangez avec vos pairs',
image: 'communauteMSS.png',
canalDiffusion: 'centreNotifications',
},
{
id: 'mesuresPartielles',
dateDeDeploiement: '2024-06-27 12:30:00Z',
lien: 'https://aide.monservicesecurise.cyber.gouv.fr/fr/article/que-signifie-et-comment-est-calcule-lindice-cyber-1l94rzd/',
titre: "Le calcul de l'Indice Cyber évolue !",
sousTitre: 'Il prend désormais en compte les mesures "partielles"',
image: 'indiceCyber.png',
canalDiffusion: 'centreNotifications',
},
{
id: 'besoinsSecurite',
dateDeDeploiement: '2024-07-23 12:30:00Z',
lien: 'https://aide.monservicesecurise.cyber.gouv.fr/fr/article/les-besoins-de-securite-de-vos-services-yhuazp/?bust=1721652611643',
titre: 'Découvrez les besoins de sécurité de vos services !',
sousTitre:
"Choisissez les besoins adaptés à vos services et adaptez la démarche d'homologation, grâce aux indications fournies par l'ANSSI",
image: 'besoinsSecurite.svg',
canalDiffusion: 'centreNotifications',
},
{
id: 'ongletStatutsMesures',
dateDeDeploiement: '2024-07-25 12:30:00Z',
canalDiffusion: 'page',
},
{
id: 'planActionDesMesures',
dateDeDeploiement: '2024-08-12 08:00:00Z',
titre: "Le plan d'action cyber est disponible !",
lien: 'https://aide.monservicesecurise.cyber.gouv.fr/fr/article/comment-utiliser-le-plan-daction-cyber-dans-la-liste-des-mesures-de-securite-tft88x/',
sousTitre:
"Pour chaque mesure, attribuez un·e ou des responsables, une date d'échéance et une priorité !",
image: 'prioritePlanAction.png',
canalDiffusion: 'centreNotifications',
},
{
id: 'indiceCyberPersonnalise',
dateDeDeploiement: '2024-08-30 08:00:00Z',
titre: "L'indice cyber personnalisé est arrivé !",
lien: 'https://aide.monservicesecurise.cyber.gouv.fr/fr/article/lindice-cyber-personnalise-que-represente-t-il-et-comment-est-il-calcule-13ffv4p/',
sousTitre:
'Celui-ci prend en compte les mesures spécifiques ajoutées et retire du calcul les mesures avec le statut "non prise en compte".',
image: 'indiceCyberPersonnalise.png',
canalDiffusion: 'centreNotifications',
},
{
id: 'activites',
dateDeDeploiement: '2024-09-02 08:30:00Z',
lien: 'https://aide.monservicesecurise.cyber.gouv.fr/fr/article/historique-des-actions-sur-les-mesures-10c6n77/',
titre: 'Suivi de vos activités sur les mesures !',
sousTitre:
'Vous pouvez désormais suivre qui a fait des modifications et à quelle date sur les mesures de sécurité.',
image: 'activites.png',
canalDiffusion: 'centreNotifications',
},
],
tachesCompletudeProfil: [
{
id: 'profil',
lien: '/utilisateur/edition',
entete: 'Complétez votre profil',
titre:
'Nous vous invitons à mettre à jour les informations de votre profil.',
titreCta: 'Compléter mon profil',
},
{
id: 'siret',
lien: '/utilisateur/edition#siret',
entete: 'Mettez à jour votre SIRET',
titre:
'Nous vous invitons à renseigner le numéro de SIRET de votre organisation.',
titreCta: 'Mettre à jour le SIRET',
},
{
id: 'estimationNombreServices',
lien: '/utilisateur/edition#estimation-nombre-services',
entete: 'Estimez les services publics à sécuriser',
titre:
'Nous vous invitons à estimer le nombre de services publics à sécuriser.',
titreCta: 'Estimer le nombre de service',
},
],
naturesTachesService: {
niveauSecuriteRetrograde: {
entete: 'Le besoin de sécurité a été modifié',
titreCta: 'Voir le changement',
titre:
'Votre service [%NOM_SERVICE%] a désormais des besoins de sécurité %nouveauxBesoins%.',
lien: '/service/%ID_SERVICE%/descriptionService?etape=3',
},
},
naturesSuggestionsActions: {
miseAJourSiret: {
lien: '/descriptionService',
permissionRequise: { rubrique: 'DECRIRE', niveau: 2 },
priorite: 10,
},
miseAJourNombreOrganisationsUtilisatrices: {
lien: '/descriptionService',
permissionRequise: { rubrique: 'DECRIRE', niveau: 2 },
priorite: 10,
},
controleBesoinsDeSecuriteRetrogrades: {
lien: '/descriptionService?etape=3',
permissionRequise: { rubrique: 'DECRIRE', niveau: 1 },
priorite: 20,
},
},
nombreOrganisationsUtilisatrices: [
{ label: 'Mon organisation uniquement', borneBasse: 1, borneHaute: 1 },
{ label: '2', borneBasse: 2, borneHaute: 2 },
{ label: '3', borneBasse: 3, borneHaute: 3 },
{ label: '4', borneBasse: 4, borneHaute: 4 },
{ label: 'entre 5 et 10', borneBasse: 5, borneHaute: 10 },
{ label: 'entre 11 et 50', borneBasse: 11, borneHaute: 50 },
{ label: 'entre 51 et 100', borneBasse: 51, borneHaute: 100 },
{ label: 'entre 101 et 500', borneBasse: 101, borneHaute: 500 },
{ label: 'entre 501 et 1 000', borneBasse: 501, borneHaute: 1000 },
{ label: 'entre 1 001 et 5 000', borneBasse: 1001, borneHaute: 5000 },
{ label: 'plus de 5 000', borneBasse: 5001, borneHaute: 5001 },
],
estimationNombreServices: [
{ label: '1 à 10', borneBasse: 1, borneHaute: 10 },
{ label: '10 à 49', borneBasse: 10, borneHaute: 49 },
{ label: '50 à 99', borneBasse: 50, borneHaute: 99 },
{ label: '+ de 100', borneBasse: 100, borneHaute: 100 },
{ label: 'Je ne sais pas', borneBasse: -1, borneHaute: -1 },
],
tranchesIndicesCybers: [
{
borneInferieure: 0,
borneSuperieure: 1,
recommandationANSSI:
"L'homologation du service est déconseillée ou devrait être limitée à <b>6 mois</b>.",
recommandationANSSIComplement:
"L'ANSSI recommande de renforcer la sécurité du service numérique avant de procéder à son homologation.",
deconseillee: true,
dureeHomologationConseillee: '6 mois',
conseilHomologation: 'Homologation déconseillée',
description: "Très insuffisant lorsqu'il est < 1",
},
{
borneInferieure: 1,
borneSuperieure: 2,
recommandationANSSI:
"L'homologation du service est déconseillée ou devrait être limitée à <b>6 mois</b>.",
recommandationANSSIComplement:
"L'ANSSI recommande de renforcer la sécurité du service numérique avant de procéder à son homologation.",
deconseillee: true,
dureeHomologationConseillee: '6 mois',
conseilHomologation: 'Homologation déconseillée',
description: "Insuffisant lorsqu'il est < 2",
},
{
borneInferieure: 2,
borneSuperieure: 3,
recommandationANSSI:
"La durée d'homologation du service devrait être limitée à <b>1 an</b>.",
recommandationANSSIComplement: recommandationPoursuiteRenforcement,
dureeHomologationConseillee: '1 an',
conseilHomologation: 'Continuer à renforcer la sécurité du service',
description: "Modéré lorsqu'il est < 3",
},
{
borneInferieure: 3,
borneSuperieure: 4,
recommandationANSSI:
"La durée d'homologation du service peut aller jusqu'à <b>2 ans</b>.",
recommandationANSSIComplement: recommandationPoursuiteRenforcement,
dureeHomologationConseillee: '2 ans',
conseilHomologation: 'Continuer à renforcer la sécurité du service',
description: "Bon lorsqu'il est < 4",
},
{
borneInferieure: 4,
borneSuperieure: 5,
borneSuperieureIncluse: true,
recommandationANSSI:
"La durée d'homologation du service peut aller jusqu'à <b>3 ans</b>.",
recommandationANSSIComplement: recommandationPoursuiteRenforcement,
dureeHomologationConseillee: '3 ans',
description: 'Très bon entre 4 et 5',
},
],
statutsAvisDossierHomologation: {
favorable: { description: 'Favorable' },
favorableAvecReserve: { description: 'Favorable avec réserve' },
defavorable: { description: 'Défavorable' },
},
statutsHomologation: {
expiree: { libelle: 'Expirée', ordre: 0 },
bientotExpiree: { libelle: 'Bientôt expirée', ordre: 1 },
nonRealisee: { libelle: 'Non réalisée', ordre: 3 },
bientotActivee: { libelle: 'Bientôt activée', ordre: 4 },
activee: { libelle: 'Active', ordre: 5 },
},
typesService: {
siteInternet: { description: 'Site Internet' },
applicationMobile: { description: 'Application Mobile' },
api: { description: "API mise à disposition par l'organisation" },
},
provenancesService: {
developpement: {
description: "Développé pour les besoins de l'organisation",
exemple:
"application mobile ou site développé de A à Z par une agence web ou à partir de briques existantes adaptées aux besoins de l'organisation",
},
outilExistant: {
description: "Déployé à partir d'un outil existant",
exemple:
"outil métier proposé à l'achat par un éditeur ou gratuit et déployé au profit de l'organisation",
},
achat: {
description: 'Proposé en ligne par un fournisseur',
exemple:
'service standard disponible en ligne (SaaS), gratuitement ou via souscription, développé et déployé mis à disposition par un fournisseur',
},
},
statutsDeploiement: {
enProjet: {
description: 'En projet',
},
enCours: {
description: 'En cours de développement ou de déploiement',
},
enLigne: {
description: 'En ligne et accessible aux usagers et/ou agents',
},
},
fonctionnalites: {
newsletter: {
description: 'Inscription à une newsletter',
},
questionnaire: {
description: 'Questionnaires, sondages',
},
reseauSocial: {
description: 'Réseau social, forum, commentaires',
},
visionconference: {
description: 'Audio, visioconférence',
},
paiement: {
description: 'Paiement en ligne',
},
signatureElectronique: {
description: 'Dispositif de signature électronique',
},
compte: {
description: 'Création de compte (utilisateurs avec comptes)',
},
messagerie: {
description: 'Messagerie instantanée',
},
emails: {
description: "Envoi et réception d'emails",
},
documents: {
description: 'Stockage de documents',
},
formulaire: {
description: 'Formulaire administratif ou démarche en ligne',
},
edition: {
description:
'Édition collaborative (documents, murs collaboratifs, etc.)',
},
reservation: {
description: 'Outils de réservation (livres, places, salles, etc.)',
},
},
donneesCaracterePersonnel: {
contact: {
description: 'Données de contact',
exemple: 'mail, numéro de téléphone, adresse postale.',
},
identite: {
description: "Données d'identité",
exemple: 'nom/prénom, pseudonyme, date de naissance.',
},
document: {
description: "Documents d'identité et autres documents officiels",
exemple: 'photo de passeport, titre de séjour.',
},
situation: {
description:
'Données relatives à la situation familiale, économique et financière',
exemple: 'revenus, état civil.',
},
localisation: {
description: 'Données de localisation',
exemple: 'adresse IP, identifiant de connexion, cookies.',
},
banque: {
description: 'Données de paiement',
exemple: 'nº de carte bancaire.',
},
mineurs: {
description: 'Données concernant des personnes mineures',
},
sensibiliteParticuliere: {
description: 'Données de santé',
},
},
delaisAvantImpactCritique: {
moinsUneHeure: {
description: "Moins d'une heure",
},
uneJournee: {
description: 'Une journée',
},
plusUneJournee: {
description: "Plus d'une journée",
},
},
niveauxGravite: {
nonConcerne: {
position: 0,
couleur: 'blanc',
description: 'Non concerné',
descriptionLongue: '',
important: false,
nonConcerne: true,
},
minime: {
position: 1,
couleur: 'vert',
description: 'Minime',
descriptionLongue: `
Aucun impact opérationnel ni sur les performances de l'activité ni sur
la sécurité des personnes et des biens. L'organisation surmontera la
situation sans trop de difficultés (consommation des marges)
`,
important: false,
},
significatif: {
position: 2,
couleur: 'jaune',
description: 'Significatif',
descriptionLongue: `
Dégradation des performances de l'activité sans impact sur la sécurité
des personnes et des biens. L'organisation surmontera la situation
malgré quelques difficultés (fonctionnement en mode dégradé)
`,
important: true,
},
grave: {
position: 3,
couleur: 'orange',
description: 'Grave',
descriptionLongue: `
Forte dégradation des performances de l'activité, avec d'éventuels
impacts significatifs sur la sécurité des personnes et des biens.
L'organisation surmontera la situation avec de sérieuses difficultés
(fonctionnement en mode très dégradé), sans impacts sectoriel ou
étatique
`,
important: true,
},
critique: {
position: 4,
couleur: 'rouge',
description: 'Critique',
descriptionLongue: `
Incapacité pour l'organisation d'assurer la totalité ou une partie de
son activité, avec d'éventuels impacts graves sur la sécurité des
personnes et des biens. L'organisation ne surmontera vraisemblablement
pas la situation (sa survie est menacée), les secteurs d'activité ou
étatiques dans lesquels elle opère seront susceptibles d'être
légèrement impactés, sans conséquences durables
`,
important: true,
},
},
risques: {
indisponibiliteService: {
description:
'Indisponibilité partielle ou totale du service numérique pendant plusieurs heures à quelques jours',
descriptionLongue: `
L'indisponibilité du service numérique signifie que certaines fonctionnalités ou que la totalité du service
n'est plus accessible aux usagers et/ou aux agents publics.<br>Par exemple :<li>Un service numérique connaît
une panne suite à une attaque de type « déni de service » : un message d'erreur est susceptible de s'afficher en
lieu et place de la page d'accueil pour un site web.</li><li>Un service numérique devient inaccessible, suite à
une attaque de type rançongiciel, contre la fausse-promesse de leur restitution en cas de paiement d'une rançon.
Cette attaque est l'une des plus courantes et a déjà frappé de nombreuses collectivités et entités publiques.</li>
`,
definition:
"L'indisponibilité du service numérique signifie que certaines fonctionnalités ou que la totalité du service n'est plus accessible aux usagers et/ou aux agents publics.",
},
donneesModifiees: {
description:
"Suppression ou modification d'informations concernant des usagers ou des agents publics",
descriptionLongue:
"Ce risque signifie que des informations appartenant à des usagers ou à des agents publics sont supprimées en partie ou en totalité par un attaquant ou sont modifiées en leur avantage ou en leur défaveur.<br>Par exemple : <li>Des documents téléversés par des usagers dans le cadre d'une démarche en ligne sont supprimés en partie ou en totalité.</li><li>Un élève modifie ses notes sur un espace numérique de travail (ENT) après avoir dérobé ou deviné l'identifiant et le mot de passe d'un enseignant.</li>",
definition:
'Ce risque signifie que des informations appartenant à des usagers ou à des agents publics sont supprimées en partie ou en totalité par un attaquant ou sont modifiées en leur avantage ou en leur défaveur.',
},
divulgationDonnees: {
description:
"Divulgation publique d'informations dérobées concernant des usagers ou des agents publics",
descriptionLongue:
"Ce risque signifie que des informations concernant des usagers ou des agents publics, traitées dans le cadre du service numérique, sont dérobées par un attaquant puis rendues publiques pour porter préjudice aux personnes concernées et/ou nuire à la réputation de l'entité. <br>Par exemple :<li>La liste de bénéficiaires d'une aide publique et de leurs coordonnées est divulguée sur internet.</li> <li>L'adresse mail des personnes ayant signalé des incivilités sur la voirie via une application dédiée est divulguée sur internet.</li><li>La divulgation des votes des habitants d'une commune s'étant exprimés dans le cadre d'une consultation publique en ligne.</li>",
definition:
"Ce risque signifie que des informations concernant des usagers ou des agents publics, traitées dans le cadre du service numérique, sont dérobées par un attaquant puis rendues publiques pour porter préjudice aux personnes concernées et/ou nuire à la réputation de l'entité.",
},
defigurationSiteWeb: {
description: "Défiguration visible de l'apparence du service numérique",
descriptionLongue:
"La défiguration d'un service numérique signifie que son apparence est modifiée de manière visible par l'ajout de messages ou d'images, le plus souvent à caractère idéologique, ou à des fins de simples détérioration en vue de nuire à la réputation de l'entité publique.<br>Par exemple :<li>Une image satirique apparaît sur la page d'accueil d'un service numérique.</li><li>Des messages de protestation contre la politique d'une collectivité sont insérés sur plusieurs pages du service numérique.</li>",
definition:
"La défiguration d'un service numérique signifie que son apparence est modifiée de manière visible par l'ajout de messages ou d'images, le plus souvent à caractère idéologique, ou à des fins de simples détérioration en vue de nuire à la réputation de l'entité publique.",
},
arnaques: {
description:
"Vol d'informations concernant des usagers ou des agents publics à des fins d'escroquerie",
descriptionLongue: `
Ce risque signifie que des informations traitées dans le cadre du service numérique sont dérobées par un attaquant,
le plus souvent à des fins d'usurpation d'identité ou de gain financier.<br>Par exemple :
<li>Des moyens de paiement stockés sur le service numérique (ex. numéro de carte bancaire) sont volés en vue de les
revendre sur internet ou de procéder à des achats illicites.</li><li>Les coordonnées d'usagers ou d'agents publics
(ex.email, adresse, numéro de téléphone) sont volées en vue de mener des campagnes de
<a href="https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/spam-electronique">spam</a> ou de
<a href="https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/hameconnage-phishing">hameçonnage</a>.</li>
<li>Des documents officiels d'identité sont volés à des fins d'usurpation d'identité.</li>
`,
definition: `
Ce risque signifie que des informations traitées dans le cadre du service numérique sont dérobées par un attaquant,
le plus souvent à des fins d'usurpation d'identité ou de gain financier.
`,
},
logicielsMalveillants: {
description:
"Détournement de l'usage du service numérique en vue de conduire des activités non prévues pour ce dernier",
descriptionLongue:
"Ce risque signifie que le service numérique est utilisé de manière discrète et illicite afin de conduire des activités ne correspondant pas à sa finalité, la plupart du temps à des fins de gain financier.<br>Par exemple :<li>La puissance d'un service numérique est utilisée dans le but de mener une activité de minage de cryptomonnaie.</li><li>Un logiciel malveillant est introduit sur la page d'accueil d'un service numérique afin d'infecter les équipements informatiques des usagers et/ou des agents publics en vue d'accéder à leurs données ou de mener une autre attaque (ex.rançongiciel).</li>",
definition:
'Ce risque signifie que le service numérique est utilisé de manière discrète et illicite afin de conduire des activités ne correspondant pas à sa finalité, la plupart du temps à des fins de gain financier.',
},
surveillance: {
description:
"Vol de données ou interception d'échanges à des fins de renseignement",
descriptionLongue:
"Ce risque signifie que des échanges entre agents publics ou avec des usagers sont interceptés ou que des documents sont dérobés, le plus souvent à des fins de renseignement économique ou politique.<br> Par exemple :<li>Des documents concernant des candidatures à un marché public avant la date finale de dépôt des dossiers sont dérobés par des concurrents afin d'en tirer un avantage concurrentiel.</li><li>Des échanges entre agents publics et entreprises technologiques sont interceptés via la messagerie d'une plateforme permettant l'attribution d'aides publiques, à des fins d'intelligence économique.</li>",
definition:
'Ce risque signifie que des échanges entre agents publics ou avec des usagers sont interceptés ou que des documents sont dérobés, le plus souvent à des fins de renseignement économique ou politique.',
},
},
categoriesMesures: {
gouvernance: 'Gouvernance',
protection: 'Protection',
defense: 'Défense',
resilience: 'Résilience',
},
statutsMesures: {
fait: 'Faite',
enCours: 'Partielle',
nonFait: 'Non prise en compte',
aLancer: 'À lancer',
},
prioritesMesures: {
p1: { libelleCourt: 'P1', libelleComplet: 'P1 - Priorité élevée' },
p2: { libelleCourt: 'P2', libelleComplet: 'P2 - Priorité moyenne' },
p3: { libelleCourt: 'P3', libelleComplet: 'P3 - Priorité basse' },
},
articlesDefinisReferentielsMesure: {
ANSSI: "l'",
CNIL: 'la ',
},
mesures: {
analyseRisques: {
description:
'Réaliser une analyse de risque de la sécurité du service numérique',
categorie: 'gouvernance',
descriptionLongue:
"<p>Conduire ou se faire accompagner dans la réalisation d'une analyse des risques pour la sécurité du service. L'ANSSI recommande de s'appuyer pour cela sur la méthode EBIOS Risk manager.</p>" +
"<p>Pour évaluer l'impact des risques les plus courants, utilisez l'outil proposé par MonServiceSécurisé.</p>" +
"<p>Cette mesure permet de mettre en place de mesures de sécurité adaptées permettant de diminuer la probabilité de survenue des risques que l'organisation choisira d'adresser.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0001',
lienBlog:
'/articles/realiser-une-analyse-de-risques-de-la-securite-du-service',
},
audit: {
description: 'Réaliser un audit de la sécurité du service',
categorie: 'gouvernance',
descriptionLongue:
"<p>Faire réaliser un audit de la sécurité du service. Les audits réalisés par des prestataires qualifiés par l'ANSSI (PASSI) incluent un audit d'architecture, de code, de configuration et un test d'intrusion.</pr>" +
"<p>Cette mesure permet d'identifier les vulnérabilités du service et les mesures de sécurité spécifiques à mettre en œuvre en vue de les corriger et ainsi renforcer significativement sa sécurité.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0002',
lienBlog: '/articles/realiser-un-audit-de-la-securite-du-service',
},
auditsSecurite: {
description:
"Planifier l'organisation de contrôles et d'audits de sécurité réguliers",
categorie: 'gouvernance',
descriptionLongue:
"<p>Organiser des contrôles de sécurité et d'audits à intervalle régulier, par exemple, avant arrivée à échéance de la dernière homologation de sécurité.</p>" +
"<p>Cette mesure permet d'assurer un suivi de la sécurité du service dans la durée et à permettre de corriger, le cas échéant, de nouvelles vulnérabilités identifiées.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0003',
},
consignesSecurite: {
description:
"Sensibiliser les administrateurs aux consignes de sécurité liées à l'utilisation du service",
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
'<p>Diffuser les mesures de sécurité du service devant être suivies par les administrateurs technique et métier (ex. agents publics chargés de mettre à jour le contenu du service ou accédant aux données de ce dernier).</p>' +
'<p>Fixer, de besoin, des consignes spécifiques additionnelles relatives à leur utilisation du service. Sensibiliser régulièrement les administrateurs aux bonnes pratiques de sécurité informatique.</p>' +
'<p>Cette mesure vise à impliquer les agents dans la mise en œuvre des mesures prévues pour sécuriser le service et à accroître leur vigilance et leurs réflexes en cas de situation à risque.</p>',
referentiel: 'ANSSI',
identifiantNumerique: '0004',
},
contactSecurite: {
description:
'Rendre publique une procédure permettant de signaler un problème de sécurité',
categorie: 'gouvernance',
descriptionLongue:
"<p>Fournir publiquement une procédure permettant à une personne ou à une entité de signaler un problème de sécurité concernant le service numérique. <br>Cette procédure doit préciser les conditions dans lesquelles un problème de sécurité peut être identifié et signalé et fournir un moyen non nominatif de contacter l'équipe en charge du service ou de sa sécurité (ex. email, formulaire de contact).</p>" +
"<p>Cette mesure facilite l'identification et le traitement de problèmes de sécurité concernant le service.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0005',
},
exigencesSecurite: {
description:
'Fixer et/ou identifier les exigences de sécurité incombant aux prestataires',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
"<p>En cas de recours à des prestataires, fixer, dès les clauses contractuelles, les exigences de sécurité à respecter. Dans le cas où ces exigences ne peuvent pas être fixées a priori (ex. produit obtenu sur étagère), identifier l'ensemble des exigences de sécurité que s'engagent à respecter les prestataires.</p>" +
"<p>Cette mesure permet d'éclairer la sélection des prestataires en fonction des garanties de sécurité que ces derniers s'engagent à respecter.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0006',
},
hebergementUE: {
description:
"Héberger le service numérique et les données au sein de l'Union européenne",
categorie: 'gouvernance',
descriptionLongue:
"<p>Privilégier le recours à un hébergeur proposant la localisation au sein de l'Union européenne du service numérique et des données.</p>" +
"<p>Cette mesure vise à renforcer la protection des données grâce aux garanties offertes par la réglementation européenne et à faciliter les actions de remédiation et d'investigation en cas d'incident de sécurité.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0007',
},
identificationDonneesSensibles: {
description: 'Identifier les données importantes à protéger',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
"<p>Lister l'ensemble des données à protéger en priorité (ex. données sensibles) et identifier leur localisation (technique et géographique).</p>" +
"<p>Cette mesure permet de connaître les données les plus sensibles à protéger, d'évaluer l'impact de leur compromission et d'identifier, de besoin, des mesures de sécurité spécifiques à mettre en œuvre en vue de les protéger.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0008',
},
limitationInterconnexions: {
description:
"Limiter et connaître les interconnexions entre le service numérique et d'autres systèmes d'information",
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
"<p>Configurer le service en vue de limiter, au strict nécessaire, ses interconnexions avec d'autres systèmes d'information et tenir une cartographie à jour de l'ensemble de ces interconnexions.</p>" +
"<p>Cette mesure permet de réduire le risque de propagation d'une cyberattaque de ces systèmes vers le service et inversement.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0009',
},
listeComptesPrivilegies: {
description:
"Disposer d'une liste à jour des comptes disposant d'un accès privilégié au service",
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
"<p>Disposer et tenir à jour une liste des comptes disposant d'un accès administrateur au service, les personnes associées et la nature de leur(s) accès.</p>" +
"<p>Sont concernés par cette mesure les administrateurs techniques (ex. accès à la configuration de l'hébergement du service) et les administrateurs métiers (ex. agent public ayant un droit de modification des informations affichées sur le service).</p>" +
"<p>Cette mesure permet de gérer la liste des comptes disposant d'un accès privilégié en vue d'en limiter le nombre au strict nécessaire et ainsi réduire le risque que des comptes non nécessaires soient détournés par un acteur malveillant.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0010',
},
listeEquipements: {
description:
"Disposer d'une liste à jour des équipements et des applicatifs contribuant au fonctionnement du service numérique",
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
'<p>Créer et tenir à jour un registre des équipements et des applicatifs (ex. serveurs de base de données, annuaires, pare-feu, systèmes de gestion de contenu) participant au fonctionnement du service numérique.</p>' +
"<p>Cette mesure est nécessaire afin d'assurer la gestion des mises à jour fonctionnelles et de sécurité du service, indispensables au maintien de la sécurité du service.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0011',
},
secNumCloud: {
description:
"Recourir à un prestataire d'informatique en nuage qualifié SecNumCloud",
categorie: 'gouvernance',
descriptionLongue:
"<p>Privilégier le recours à un prestataire de service en nuage (Cloud) qualifié SecNumCloud par l'ANSSI.</p>" +
"<p>Cette mesure permet d'apporter des garanties élevées en matière de confiance et de sécurité de l'hébergement du service et de ses données.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0012',
lienBlog:
'/articles/heberger-le-service-et-les-donnees-aupres-dun-prestataire-secnumcloud',
},
testIntrusion: {
description:
"Réaliser un test d'intrusion ou une campagne de recherche de bug",
categorie: 'gouvernance',
descriptionLongue:
"<p>Faire réaliser un test d'intrusion et/ou une campagne de recherche de bug (bug bounty) du service, par un prestataire ou par un service compétent.</p>" +
"<p>Cette mesure permet d'identifier des vulnérabilités du service en vue de les corriger et ainsi renforcer sa sécurité.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0013',
},
verificationAutomatique: {
description:
'Procéder à des vérifications techniques automatiques de la sécurité du service',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
"<p>Lors du développement du service et, autant que possible, dans le cas de l'achat d'un service sur étagère, procéder à des tests techniques automatiques de la sécurité du service.</p>" +
"<p>Cette mesure permet de vérifier rapidement l'existence de vulnérabilités non corrigées parmi les vulnérabilités les plus connues.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0014',
},
registreTraitements: {
description: 'Remplir le registre des traitements et le tenir à jour',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
'Rapprochez-vous de votre DPD ou de l’équipe juridique pour compléter le registre avec les 6 informations suivantes :' +
'<ul>' +
'<li>les parties prenantes (responsable de traitement, sous-traitants, catégories de destinataires) qui interviennent dans le traitement des données,</li>' +
'<li>les catégories de données traitées et de personnes concernées,</li>' +
'<li>le but poursuivi (ce que vous faites des données),</li>' +
'<li>qui a accès aux données et à qui elles sont communiquées,</li>' +
'<li>combien de temps vous les conservez,</li>' +
'<li>comment elles sont sécurisées.</li>' +
'</ul>' +
'Plus d’information <a href="https://www.cnil.fr/fr/RGPD-le-registre-des-activites-de-traitement" target="_blank">ici</a>.' +
'<p>' +
'Le registre est prévu par l’article 30 du RGPD, c’est un outil global avec votre organisme il participe à la documentation de la conformité. Document de recensement et d’analyse, il doit refléter la réalité de vos traitements de données personnelles.</p>',
referentiel: 'CNIL',
identifiantNumerique: '0015',
},
minimisationCollecteDonnees: {
description:
'Minimiser la collecte des données à caractère personnel au strict nécessaire',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
'<p>Evaluer le but de chaque collecte de données. Ne collecter que les données strictement nécessaires pour atteindre votre objectif. Il ne faut pas collecter des données inutiles pour votre traitement en se disant qu’elles pourraient servir plus tard. <br>Lorsque trop de données sont collectées, il faut immédiatement supprimer les données non-nécessaires.</p>' +
'<p>Cette mesure limite la collecte des données personnelles uniquement aux informations essentielles pour réaliser un objectif spécifique. Cela réduit les risques liés à la gestion des données et renforce la protection de la vie privée des personnes.</p>',
referentiel: 'CNIL',
identifiantNumerique: '0016',
},
dureeLimiteeConservationDonnees: {
description:
'Déterminer une durée limitée de traitement et de conservation des données à caractère personnel au strict nécessaire',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
'<p>Ne conserver les données en « base active » (ou environnement de production) que le temps strictement nécessaire à la réalisation de l’objectif poursuivi. <br>Il faut ensuite détruire ou anonymiser les données ou les archiver dans le respect des obligations légales applicables en matière de conservation des archives publiques. Vous pouvez consulter le <a href="https://www.cnil.fr/sites/cnil/files/atoms/files/guide_durees_de_conservation.pdf" target="_blank">guide pratique prévu à cet effet</a>.</p>' +
"<p>Cette mesure vise à limiter le temps pendant lequel les données personnelles sont conservées et traitées, réduisant ainsi les risques de mauvaise utilisation, d'accès non autorisé, de fuite de données ou de réutilisation non-anticipée.</p>",
referentiel: 'CNIL',
identifiantNumerique: '0017',
},
utilisationDonneesCaracterePersonnel: {
description:
'Fournir des informations aux personnes concernées sur l’utilisation de leurs données à caractère personnel',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
'Informer clairement les personnes lors de la collecte de leurs données de manière à ce qu’elles puissent :' +
'<ul>' +
'<li>connaître la raison de la collecte des différentes données les concernant ;</li>' +
'<li>comprendre le traitement qui sera fait de leurs données ;</li>' +
'<li>être assurées de la maîtrise de leurs données, notamment via l’exercice de leurs droits. La liste complète des informations à fournir <a href="https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre3#Article13" target="_blank">est disponible ici</a> .</li>' +
'</ul><br>' +
'Les personnes doivent conserver la maîtrise des données qui les concernent. Cela suppose qu’elles soient clairement informées de l’utilisation qui sera faite de leurs données. Les personnes doivent également être informées de leurs droits et des modalités d’exercice de ces droits. Plus d’information <a href="https://www.cnil.fr/fr/conformite-rgpd-information-des-personnes-et-transparence" target="_blank">ici</a>.',
referentiel: 'CNIL',
identifiantNumerique: '0018',
},
modalitesExerciceDroits: {
description:
'Fournir des informations aux personnes concernées sur les modalités d’exercice des droits',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
"Permettre aux personnes d’exercer leurs droits d’accès aux données qui les concernent, de rectification ou de suppression, voire d’opposition (sauf si le traitement répond à une obligation légale). Une réponse à une demande de droit d’accès doit contenir une copie des données ainsi que : l’objectif du traitement des données, si possible sa durée, l'identité des destinataires, dans le cas d’un traitement automatisé sa logique et ses conséquences. Ces droits doivent pouvoir s’exercer par voie électronique à partir d’une adresse dédiée. Plus d’informations sont disponibles <a href='https://www.cnil.fr/fr/les-droits-des-personnes-sur-leurs-donnees' target='_blank'>ici</a>." +
'<br>' +
"Les personnes ont le droit d'accéder aux données à caractère personnel qui ont été collectées à leur sujet. Elles doivent pouvoir exercer ce droit facilement et à des intervalles raisonnables, afin de prendre connaissance du traitement et d'en vérifier la licéité.",
referentiel: 'CNIL',
identifiantNumerique: '0019',
},
analyseProtectionDonnees: {
description:
'Vérifier si une analyse sur la protection des données à caractère personnel doit être réalisée',
categorie: 'gouvernance',
indispensable: true,
descriptionLongue:
'<p>Consulter <a href="https://www.cnil.fr/sites/cnil/files/atoms/files/liste-traitements-aipd-non-requise.pdf" target="_blank">la liste des exemptions</a>. Si votre traitement n’y figure pas, regarder s’il fait partie des traitements pour lesquels <a href="https://www.cnil.fr/fr/analyse-dimpact-relative-la-protection-des-donnees-publication-dune-liste-des-traitements-pour" target="_blank">une AIPD est obligatoire</a>. Si une AIPD est nécessaire, vous pouvez la réaliser à l’aide du <a href="https://www.cnil.fr/fr/outil-pia-telechargez-et-installez-le-logiciel-de-la-cnil" target="_blank">logiciel PIA</a>.</p>' +
"<p>Cette analyse, aussi appelée Analyse d'Impact sur la Protection des Données (AIPD), vise à évaluer et à atténuer les risques liés au traitement des données personnelles, surtout dans le cas de traitements susceptibles de présenter des risques élevés pour les droits et libertés des individus.</p>",
referentiel: 'CNIL',
identifiantNumerique: '0020',
},
anonymisationDonnees: {
description:
"Anonymiser autant que possible les données conservées concernant l'activité des utilisateurs",
categorie: 'protection',
descriptionLongue:
"<p>Configurer le service en vue d'anonymiser autant que possible les données à caractère personnel des utilisateurs conservées pour le bon fonctionnement ou la sécurité du service (ex. log de tentatives d'accès au service) ou à des fins d'analyse (ex. statistiques).</p>" +
"<p>Cette mesure vise à protéger les utilisateurs contre la traçabilité nominative de leurs actions dans le cadre de l'utilisation du service tout en permettant d'assurer la sécurité de ce dernier au travers du suivi et de l'imputabilité des actions.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0021',
},
certificatChiffrement: {
description:
'Chiffrer le trafic des données avec un certificat de sécurité conforme à la réglementation',
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Dans le cadre de la configuration du service, installer un certificat de sécurité serveur conforme au référentiel général de sécurité (RGS) défini par l'ANSSI, délivré par un prestataire de service de confiance qualifié.</p>" +
"<p>Cette mesure permet de chiffrer les flux de données transitant par le service numérique avec des mécanismes de chiffrement robustes ainsi que de prouver l'identité de l'organisation détentrice du certificat.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0022',
lienBlog:
'/articles/chiffrer-le-trafic-des-donnees-avec-un-certificat-de-securite-conforme-a-la-reglementation',
},
certificatSignature: {
description:
'Installer un certificat de signature électronique conforme à la réglementation',
categorie: 'protection',
indispensable: true,
descriptionLongue:
'<p>Dans le cadre de la configuration du service, installer un certificat de signature électronique qualifié au sens du règlement n° 910/2014 eIDAS, délivré par un prestataire qualifié, ou recourir à un service conforme.</p>' +
"<p>Cette mesure permet la réalisation d'une signature électronique robuste sur le plan de la sécurité, conforme à la réglementation française et européenne.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0023',
lienBlog:
'/articles/installer-un-certificat-de-signature-electronique-conforme-a-la-reglementation',
},
chiffrementFlux: {
description: 'Désactiver tout flux non chiffré',
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Configurer le service en vue de désactiver tout flux de données qui n'est pas chiffré.</p>" +
'<p>Cette mesure permet de protéger la confidentialité des données, dans le cas où des flux de données seraient interceptés.</p>',
referentiel: 'ANSSI',
identifiantNumerique: '0024',
},
chiffrementMachineVirtuelle: {
description: 'Chiffrer la machine virtuelle',
categorie: 'protection',
descriptionLongue:
'<p>Lors de la configuration de la machine virtuelle, activez le chiffrement de cette dernière.</p>' +
'<p>Cette mesure vise à renforcer la confidentialité des données contenues dans la machine virtuelle.</p>',
referentiel: 'ANSSI',
identifiantNumerique: '0025',
},
coffreFort: {
description:
'Encourager les administrateurs à utiliser un coffre fort de mots de passe',
categorie: 'protection',
indispensable: true,
descriptionLongue:
'<p>Recommander ou proposer aux administrateurs le recours à une ou plusieurs solutions de gestion de mots de passe sécurisés, permettant de générer des mots de passe aléatoires et robustes et de les enregistrer.</p>' +
"<p>Cette mesure permet de faciliter la création de mots de passe différents, longs et complexes, distincts pour chaque compte d'accès, sans effort de mémorisation.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0026',
lienBlog:
'/articles/encourager-les-administrateurs-a-utiliser-un-coffre-fort-de-mots-de-passe',
},
compartimenter: {
description: "Dissocier les rôles d'administration entre eux",
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Créer des comptes d'accès d'administration différents dotés de privilèges distincts, pour les personnes devant assurer plusieurs rôles d'administration, que ceux-ci soit techniques (ex. développement, hébergement) et/ou métiers (ex. création de contenus).</p>" +
"<p>Cette mesure permet de limiter la capacité d'action d'acteurs malveillants qui parviendraient à usurper un compte d'administration.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0027',
},
configurationMinimaliste: {
description:
'Installer uniquement les fonctionnalités nécessaires aux finalités du service',
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Lors du développement du service ou de l'installation des applicatifs contribuant à son fonctionnement, installer uniquement les fonctionnalités nécessaires et désactiver toutes les fonctionnalités inutiles proposées par défaut. <br>Cette mesure correspond à la règle de la « configuration minimaliste ».</p>" +
"<p>Cette mesure permet d'éviter d'installer des fonctionnalités non nécessaires qui pourraient comporter des vulnérabilités non corrigées et servir de vecteurs à une attaque. Cette approche permet de réduire la « surface d'attaque » à savoir l'ensemble des éléments constitutifs d'un service qui pourraient être ciblés par un attaquant.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0028',
},
contraintesMotDePasse: {
description:
'Fixer des contraintes de longueur et de complexité des mots de passe',
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Fixer des règles de longueur et de complexité des mots de passe lors de la création d'un mot de passe ou de son renouvellement par un utilisateur ou un administrateur. Lorsque cela est possible, configurer le service pour interdire les mots de passe faibles.</p>" +
"<p>Cette mesure permet de diminuer le risque de découverte et l'usurpation de mots de passe par des acteurs malveillants, par exemple en testant plusieurs mots de passe sur la base de mots du dictionnaire.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0029',
lienBlog:
'/articles/fixer-des-contraintes-de-longueur-et-de-complexite-des-mots-de-passe',
},
deconnexionAutomatique: {
description:
"Mettre en place la déconnexion automatique des sessions d'accès après une durée déterminée",
categorie: 'protection',
descriptionLongue:
"<p>Configurer le service afin d'activer la déconnexion automatique des sessions des administrateurs et des utilisateurs inactifs après une durée déterminée.</p>" +
"<p>Cette mesure vise à limiter le risque d'utilisation, par une personne malveillante, du compte d'un utilisateur, qui aurait laissé son équipement non verrouillé sans surveillance et ne se serait pas déconnecté du service.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0030',
},
differentiationFiltrage: {
description:
'Différencier le filtrage des accès utilisateurs et administrateurs',
categorie: 'protection',
descriptionLongue:
"<p>Configurer le service en vue de différencier le filtrage des accès utilisateurs et administrateurs, c'est-à-dire déterminer une zone délimitée (plage d'adresses IP) accessible uniquement aux personnes disposant de privilèges élevés (administrateurs).</p>" +
"<p>Cette mesure vise à cloisonner les différents types d'accès afin d'éviter qu'un accès utilisateur puisse être détourné par un attaquant pour accéder à une zone du service réservée aux personnes chargées de l'administrer.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0031',
},
dissocierComptesAdmin: {
description:
"Dissocier les rôles d'administration et des rôles d'utilisation du service",
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Créer des comptes d'accès distincts aux personnes à la fois administratrices et utilisatrices du service.</p>" +
"<p>Cette mesure permet de réduire le risque d'accès illicite à un compte utilisateur qui permettrait d'accéder également à un compte d'administration aux privilèges élevés.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0032',
},
doubleAuthentAdmins: {
description:
"Activer l'authentification multifacteur pour l'accès des administrateurs au service",
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Activer l'authentification multifacteur et la rendre obligatoire pour l'accès des administrateurs au service. Proscrire, autant que possible, le recours à un service numérique qui ne prévoirait pas l'authentification multifacteur pour son administration.</p>" +
"<p>Cette mesure permet de réduire le risque d'accès illicite aux fonctions d'administration du service par des acteurs malveillants et diminue, d'autant, le risque d'atteinte grave au service.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0033',
lienBlog:
'/articles/activer-lauthentification-multifacteur-pour-lacces-des-administrateurs-au-service',
},
environnementSecurise: {
description:
'Administrer techniquement le service dans des environnements dédiés et sécurisés',
categorie: 'protection',
descriptionLongue:
"<p>Demander aux administrateurs techniques du service de n'administrer ce dernier que depuis un environnement informatique dédié et sécurisé. Le recours à des équipements personnels doit notamment être proscrit.</p>" +
"<p>Cette mesure vise à diminuer le risque de compromission des droits d'administration service via des moyens informatiques insuffisamment sécurisés.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0034',
},
gestionComptesAcces: {
description:
'Mettre en œuvre une procédure de suppression des comptes inactifs',
categorie: 'protection',
descriptionLongue:
"<p>Configurer le service en vue de prévoir la suppression régulière des comptes d'accès inactifs, en priorisant la suppression des comptes d'administration. <br>Informer les personnes concernées avant toute suppression de compte.</p>" +
"<p>Cette mesure permet d'éviter en priorité que des comptes demeurent actifs sans raison valable, afin de réduire le nombre de comptes susceptibles d'être usurpés par un acteur malveillant.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0035',
},
hebergementMachineVirtuelle: {
description: 'Héberger le service dans une machine virtuelle',
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Lors du choix de la solution d'hébergement du service et de ses données, optez pour son hébergement dans une ou plusieurs machines virtuelles.</p>" +
"<p>Cette mesure vise à renforcer la sécurité du service et des données. Elle permet de filtrer plus facilement les accès, de limiter le risque d'attaques par déni de service et les chemins d'attaques par parallélisation.<p>",
referentiel: 'ANSSI',
identifiantNumerique: '0036',
},
limitationAccesAdmin: {
description:
"Limiter au strict nécessaire le nombre de personnes disposant d'un accès administrateur au service numérique",
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Créer des comptes d'administration technique et/ou métier, aux seules personnes ayant besoin de disposer de ces accès.</p>" +
"<p>Cette mesure permet de limiter le nombre de comptes disposant de privilèges susceptibles d'être usurpés à des fins malveillantes. Cette mesure réduit la « surface d'attaque » du service.<p>",
referentiel: 'ANSSI',
identifiantNumerique: '0037',
},
limitationCreationComptes: {
description:
"Autoriser uniquement la création de comptes d'accès nominatifs associés chacun à une personne",
categorie: 'protection',
indispensable: true,
descriptionLongue:
'<p>Demander un nom et un prénom pour toute création de compte administrateur et utilisateur et informer chaque personne que le compte ne peut pas être partagé</p>' +
"<p>Cette mesure permet de réduire le risque de diffusion d'identifiants et de mots de passe à des personnes qui n'auraient pas le droit d'accéder au service ou à certaines de ses fonctions. <br>Cette mesure également à la bonne gestion des comptes d'accès au service.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0038',
},
limitationDroitsAdmin: {
description:
'Limiter les droits de chaque administrateur au strict nécessaire',
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Lors de la création ou de la modification des privilèges associés à un compte d'administration, limiter ces derniers aux seuls privilèges nécessaires au rôle d'administration visé (ex. limiter aux seules fonctions d'administration de la base de données).</p>" +
"<p>Cette mesure permet de réduire la capacité d'action d'un acteur malveillant qui parviendrait à usurper un compte administrateur et ainsi de limiter sa capacité de nuisance.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0039',
},
misesAJour: {
description:
"Disposer d'une politique d'application des mises à jour fonctionnelles et de sécurité du service numérique",
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Identifier, tester et installer, sans délai, les mises à jour fonctionnelles et de sécurité des applicatifs et/ou équipement contribuant au fonctionnement et à l'administration du service.</p>" +
"<p>Cette mesure vise à renforcer la sécurité du service en permettant de corriger rapidement les failles de sécurité susceptibles de l'affecter.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0040',
},
moindrePrivilege: {
description:
'Limiter au strict nécessaire les privilèges des applicatifs contribuant au fonctionnement du service',
categorie: 'protection',
indispensable: true,
descriptionLongue:
"<p>Lors de l'installation d'un applicatif contribuant au fonctionnement du service, restreindre au strict nécessaire ses privilèges - à savoir les droits l'autorisant de mener certaines actions de manière autonome - et ne conserver que les privilèges nécessaires à sa finalité.</p>" +
"<p>Cette mesure permet d'éviter que des privilèges non nécessaires accordés à un applicatif ne soient exploités à des fins malveillantes par un attaquant.</p>",
referentiel: 'ANSSI',
identifiantNumerique: '0041',
},
nomsDomaineFrUe: {
description: "Privilégier l'achat d'un nom de domaine en .fr ou .eu",
categorie: 'protection',
descriptionLongue:
"<p>Lors de l'achat du nom de domaine du service, acheter de préférence un nom de domaine en .fr ou .eu.</p>" +
'<p>Cette mesure permet de renforcer la confiance des utilisateurs dans le service et la protection du service au titre des règlementations européennes associées à la localisation européenne du nom de domaine.</p>',
referentiel: 'ANSSI',