RGS : Référentiel général de sécurité
Sécurité
RGS : Référentiel général de sécurité. « Le recueil des règles de sécurité numérique imposées à l'administration française », par analogie avec le code de la route, qu'on ne lit jamais en entier mais dont chaque article finit un jour par servir.
Portée : Cadre réglementaire français qui fixe les règles de sécurité applicables aux systèmes d'information des autorités administratives, en particulier pour les échanges électroniques avec les usagers et entre administrations.
Contenu : Il impose une démarche d'analyse de risques et d'homologation de sécurité, et ses annexes posent des règles sur les mécanismes cryptographiques, la gestion des clés et l'authentification. L'homologation est ce moment solennel où une autorité signe qu'elle accepte des risques qu'on lui a enfin expliqués.
Qualification : Il encadre la qualification de produits de sécurité et de prestataires de confiance, notamment les autorités de certification délivrant des certificats électroniques reconnus par l'administration.
Gardien : L'ANSSI en assure l'élaboration et le suivi, et publie les guides techniques qui l'accompagnent.
Ce qui arrive si on s'en passe
Sans application de ce référentiel, un service administratif en ligne peut ouvrir sans analyse de risques ni décision formelle d'acceptation des risques résiduels. Rien ne garantit alors que les mécanismes cryptographiques employés sont à l'état de l'art, que les clés sont gérées correctement ou que les certificats utilisés proviennent d'autorités reconnues. Les usagers confient leurs données à un système dont personne n'a formellement vérifié la protection, et en cas d'incident, aucune responsabilité claire n'a été établie. L'homologation et le recours à des produits et prestataires qualifiés rendent ces points vérifiables.
Explication de la marmotte
Quand un service public en ligne manipule nos données, par exemple pour déclarer ses impôts ou demander un papier, il doit être bien protégé. En France, un document officiel fixe les règles de sécurité que les administrations doivent respecter : étudier les dangers avant d'ouvrir un service, utiliser des méthodes de protection reconnues, faire valider le tout par un responsable qui signe. Il indique aussi quels produits et quels prestataires ont été jugés dignes de confiance. C'est un peu le règlement de sécurité d'un grand bâtiment public, mais pour le numérique.
Où ce terme est utilisé
- Organismes (2 occurrences)
- ANSSI (1 occurrence)