ANSSI : Agence nationale de la sécurité des systèmes d'information
Sécurité
ANSSI : Agence nationale de la sécurité des systèmes d'information. « Autorité française de cybersécurité », par analogie avec le service des eaux et forêts, mais pour les réseaux : on y écrit les règles, on inspecte, et l'on accourt quand ça brûle.
Rattachement : Service à compétence nationale placé auprès du secrétariat général de la défense et de la sécurité nationale. Elle protège d'abord l'État et les opérateurs dont la panne ferait sentir sa présence à tout le pays.
Guides et méthodes : Guide d'hygiène informatique, recommandations de configuration, méthode EBIOS RM (Risk Manager), référentiel RGS : une littérature précise, gratuite et abondante, que l'on consulte surtout après l'incident, par une sorte de piété rétrospective.
Qualification des produits : Elle délivre des visas de sécurité (certification et qualification) aux produits et aux prestataires évalués, ce qui fournit aux acheteurs publics une liste de confiance plutôt qu'une plaquette.
Réponse et réglementation : Elle traite des incidents, publie des alertes et porte en France la mise en œuvre de NIS2 auprès des entités concernées.
Ce qui arrive si on s'en passe
Une organisation qui ignore les publications de l'ANSSI refait seule, et souvent moins bien, un travail déjà disponible gratuitement, par un goût de l'indépendance qui se paie comptant : configurations laissées par défaut faute de suivre les guides de durcissement, alertes sur des vulnérabilités activement exploitées lues trop tard, produits de sécurité choisis sur plaquette plutôt que parmi ceux qui ont été évalués. Pour une entité soumise à NIS2, méconnaître ses exigences et ses canaux de notification revient à découvrir ses obligations au moment de l'incident, quand le délai de déclaration a déjà commencé à courir.
Explication de la marmotte
En France, un service de l'État s'occupe de protéger les ordinateurs et les réseaux importants du pays : ceux des ministères, des centrales électriques ou des banques. Il écrit des conseils que tout le monde peut lire gratuitement, vérifie que certains logiciels et certaines entreprises sont dignes de confiance, et intervient quand une attaque informatique grave se produit. On peut le comparer aux pompiers, qui éteignent les incendies mais passent aussi beaucoup de temps à expliquer comment éviter qu'ils ne démarrent.
Où ce terme est utilisé
- Qualification SecNumCloud 3.2 de l'ANSSI, exigences et limites (13 occurrences)
- Guide d'hygiène informatique ANSSI en 42 mesures, mode d'emploi (8 occurrences)
- ANSSI (6 occurrences)
- CERT-FR alertes et avis de sécurité (5 occurrences)
- Gouverner la cryptographie: inventaire, agilité et conformité (4 occurrences)
- Héritage, politique et limites de la cryptographie (4 occurrences)
- NIS2 pour les petites structures (4 occurrences)
- CCN-CERT Espagne : rôle, guides CCN-STIC et ENS (3 occurrences)
- Informatique quantique : histoire, acteurs, usages et avenir (3 occurrences)
- Monter un CSIRT interne, missions, services FIRST et rattachement (3 occurrences)