Organismes
Organismes
Section intitulée « Organismes »Repères institutionnels et normatifs utiles en cybersécurité, architecture, cloud, réseau et cryptographie.
→ Lire l’explication complète de la marmotte
- ANSSI
- CNIL
- Protection des données personnelles.
- RGPD, sécurité des traitements, privacy by design.
- Chiffrement, pseudonymisation, journalisation, durées de conservation.
- CERT-FR
- Alertes et avis de sécurité, et leur exploitation dans une architecture de défense.
États-Unis
Section intitulée « États-Unis »- NIST
- Référence mondiale pour les cadres, contrôles et publications de sécurité.
- SP 800-53, SP 800-57, SP 800-63, SP 800-38D.
- FIPS 140-3 pour les modules cryptographiques, FIPS 197 pour AES.
- FIPS 203, 204 et 205 pour la cryptographie post-quantique.
- NSA Cybersecurity
- CNSA 2.0.
- Recommandations cryptographiques gouvernementales américaines.
- Source utile pour les exigences liées aux systèmes de sécurité nationale.
- CISA
- Guides opérationnels et recommandations de durcissement.
- Vulnérabilités exploitées, alertes, Zero Trust, infrastructure critique.
- CIS
- CIS Benchmarks pour le durcissement, CIS Controls pour les mesures opérationnelles.
- MITRE
International
Section intitulée « International »- ISO
- IEC
- Coéditeur des normes ISO/IEC.
- Important dès que la sécurité touche l’industrie, l’énergie, l’OT ou les équipements.
- CERT-EU
- Réponse aux incidents des institutions, organes et agences de l’Union européenne.
- FIRST
- Réseau mondial des équipes de réponse à incident, gardien du protocole TLP.
- Interpol
- Coordination policière internationale contre la cybercriminalité, avec ses canaux et ses limites.
- Forum économique mondial
- Global Risks Report : un signal de gouvernance, pas un référentiel technique.
Réseaux Et Protocoles
Section intitulée « Réseaux Et Protocoles »Sécurité Applicative
Section intitulée « Sécurité Applicative »- OWASP
- Top 10, ASVS, ZAP : les référentiels communautaires de la sécurité applicative.
Évaluation Et Certification
Section intitulée « Évaluation Et Certification »- Common Criteria Recognition Arrangement
- Common Criteria, niveaux EAL1 à EAL7.
- Certification de modules cryptographiques matériels, cartes à puce, pare-feu et composants de sécurité.
- ENISA
- Agence européenne de cybersécurité.
- Guides NIS2, cloud, supply chain, maturité et résilience.
- NIST CSRC
- AES, SHA, modes d’opération, PQC.
- Référence mondiale pour les primitives standardisées et les validations.
- ANSSI RGS
- Référentiel Général de Sécurité.
- Mécanismes cryptographiques recommandés dans le contexte français.
- Cloud Security Alliance
- Cloud Controls Matrix.
- STAR.
- Bon point d’appui pour comparer des contrôles cloud et préparer une assurance fournisseur.
- NCSC UK
- Guides cloud et architecture.
- 14 cloud security principles, choix de fournisseur, protection des données, KMS.
- CSA STAR et CAIQ
- Évaluer la posture de sécurité d’un fournisseur cloud avant de signer.
Autres Pays
Section intitulée « Autres Pays »- CCN-CERT (Espagne)
- Sécurité du secteur public espagnol, guides CCN-STIC et Schéma national de sécurité.
- INCIBE (Espagne)
- Sensibilisation des citoyens et des petites structures, en complément du CCN-CERT.
- NCSC-NL (Pays-Bas)
- Coordination avec le privé, infrastructures portuaires et logistiques.
- JPCERT/CC (Japon)
- Coordination des incidents et outils d’analyse de logiciels malveillants.
- CCCS et ACSC (Canada, Australie)
- Alertes coordonnées au sein des Five Eyes.
- CAC (Chine)
- Exigences sur les données et conséquences d’architecture pour les systèmes opérés en Chine.
Priorité Pour Architecte Cybersécurité
Section intitulée « Priorité Pour Architecte Cybersécurité »Ces sources couvrent la majorité des sujets rencontrés en architecture cybersécurité : crypto, module cryptographique matériel, IAM, réseau, cloud, conformité et sécurité opérationnelle.
🐝 Ce qui arrive si on s’en passe
Section intitulée « 🐝 Ce qui arrive si on s’en passe »Ignorer ces références revient à rédiger seul, sans relecture, ce que des spécialistes ont déjà éprouvé : les mécanismes cryptographiques se choisissent alors au jugé, parfois parmi ceux que ces organismes ont déjà écartés, et les protocoles s’implémentent d’après un tutoriel plutôt que d’après leur spécification. Sans catalogue de mesures commun, un audit n’a aucun point de comparaison, et une exigence contractuelle ne peut être ni démontrée ni contestée. Les alertes sur les vulnérabilités exploitées, publiées précisément pour être lues, profitent aux autres ; les produits achetés sans certification ne disposent d’aucune évaluation indépendante. L’organisation garde ainsi toute sa liberté, y compris celle de refaire des erreurs déjà documentées.
🦫 Explication de la marmotte 🍫
Section intitulée « 🦫 Explication de la marmotte 🍫 »La sécurité informatique ne s’invente pas projet par projet : des organismes publient des règles, des guides et des méthodes de vérification que les équipes peuvent reprendre. Cette page les classe par origine et par domaine. En France, l’agence nationale chargée de la sécurité des systèmes d’information publie des guides, qualifie des produits et fixe les mécanismes cryptographiques recommandés ; l’autorité de protection des données personnelles encadre la sécurité des traitements. Aux États-Unis, un institut de normalisation publie des catalogues de mesures et des standards de chiffrement, dont ceux prévus pour résister aux futurs ordinateurs quantiques, tandis que d’autres agences publient des alertes et des guides de durcissement. À l’échelle internationale, deux organismes coéditent les normes qui décrivent comment piloter la sécurité d’une organisation, choisir des mesures et gérer les risques ; ces normes sont souvent exigées dans les appels d’offres. Un groupe de travail ouvert écrit les spécifications des protocoles d’internet. D’autres structures certifient des produits après évaluation, publient des recommandations européennes ou comparent des mesures propres aux services hébergés chez un fournisseur. S’y ajoutent les équipes nationales et européennes qui diffusent des alertes et coordonnent la réponse aux incidents, une communauté ouverte consacrée à la sécurité des applications web, et des homologues d’autres pays, de l’Espagne au Japon. La page se termine par un ordre de priorité : la référence nationale, puis les standards cryptographiques, les spécifications de protocoles et les normes de management.