Cadre organisationnel

Les quatre mesures exigibles

L’Annexe II du Real Decreto 311/2022 regroupe quatre mesures dans le cadre organisationnel : politique de sécurité (org.1), réglementation de sécurité (org.2), procédures de sécurité (org.3) et processus d’autorisation (org.4).

Contrairement à une bonne partie des mesures de l’ENS, ces quatre-là ne dépendent pas du niveau : elles sont exigées de la même façon en catégorie basique, moyenne et haute. C’est pourquoi c’est le premier bloc à boucler, et celui dont l’auditeur tient l’existence pour acquise avant d’aborder la partie technique.

Politique de sécurité

C’est le document dont tout le reste découle, et le seul dont le contenu minimal est fixé par le décret royal lui-même : l’article 12, « Política de seguridad y requisitos mínimos de seguridad » (politique de sécurité et exigences minimales de sécurité), énumère ce qui ne peut pas manquer.

Ces minimums sont les objectifs ou la mission de l’organisme, le cadre réglementaire dans lequel s’exercent ses activités, les rôles ou fonctions de sécurité avec les devoirs et responsabilités de chacun, la structure et la composition du ou des comités qui gèrent et coordonnent la sécurité, les lignes directrices pour structurer la documentation de sécurité du système et les risques liés au traitement des données personnelles.

Deux points concentrent presque tous les constats d’audit. Le premier, l’approbation : une politique dont on ne sait ni qui l’a approuvée ni quand ne prouve pas le soutien de la direction que l’ENS suppose. Le second, les rôles : le décret royal consacre un article spécifique à la séparation des responsabilités, si bien que désigner une seule personne pour tout est précisément ce qu’il s’agit d’éviter.

Réglementation de sécurité

La réglementation interne décline la politique sur les sujets concrets qui suscitent des questions : usage des équipements et de la messagerie, accès à distance, appareils mobiles et personnels, supports amovibles, mots de passe, télétravail.

La différence avec une procédure est celle qui sépare une règle d’une instruction : la réglementation dit ce qui est permis, ce qui ne l’est pas et ce qui se passe en cas de manquement ; la procédure dit comment faire et qui le fait. Les confondre produit de longs documents que personne n’applique, et c’est un motif fréquent de constat.

Procédures de sécurité

Les procédures décrivent les activités de sécurité pas à pas : qui intervient, dans quel ordre, quel enregistrement en garde la trace et vers qui escalader si quelque chose sort du cadre prévu.

Le critère pour savoir lesquelles sont nécessaires est pratique : si une tâche de sécurité se répète et que son résultat doit pouvoir être prouvé — création et suppression des comptes, gestion des incidents, sauvegardes et restauration, mise au rebut des supports —, elle exige une procédure écrite et l’habitude de l’équipe ne suffit pas.

Processus d’autorisation

La dernière mesure du bloc verrouille la porte d’entrée : rien n’est intégré au système sans autorisation préalable et traçable. Cela vaut pour les installations, les équipements et applications mis en production, les supports d’information, les moyens de communication et le recours à des services de tiers.

Ce qui fait de cette mesure davantage qu’une formalité, c’est de préciser par écrit qui autorise quoi et selon quels critères. Si l’autorisation se résume à un e-mail isolé, la preuve se perd ; si c’est un flux avec responsable, critère et enregistrement, l’autorisation peut être auditée des années plus tard.

Ce que demande habituellement l’auditeur

• Politique de sécurité approuvée par la direction, avec date et preuve de l’approbation
• Les six contenus minimaux de l’article 12 couverts par la politique
• Comité de sécurité constitué, avec composition et missions écrites
• Rôles de sécurité attribués à des personnes distinctes, avec devoirs et responsabilités
• Réglementation de sécurité documentée, diffusée et preuve de sa communication
• Procédures de sécurité écrites pour les activités dont il faut faire la preuve
• Processus d’autorisation actif pour installations, équipements, applications, supports et services de tiers

Comment traiter ce bloc dans Kimobox

1. 1Documentez la politique et la réglementation de sécurité comme documents maîtrisés.
2. 2Enregistrez le processus d’autorisation des composants comme circuit de validation dans Kimobox.
3. 3Communiquez la réglementation à tout le personnel concerné depuis le portail salarié.

D’où vient chaque donnée

Références au texte officiel en vigueur. Si une norme est révisée, cette page est mise à jour et la date de révision en témoigne.

1. Real Decreto 311/2022, por el que se regula el Esquema Nacional de Seguridad BOE-A-2022-7191 · 4 mai 2022
2. Guides CCN-STIC de l’ENS Centro Criptológico Nacional · Séries en vigueur