Choisir le niveau de démarche : simplifié, intermédiaire ou renforcé

Plus le niveau est élevé, plus la sécurisation doit être poussée et plus le comité doit examiner d'éléments avant de rendre son avis. Le guide décrit ainsi les trois niveaux :

Le guide insiste : le niveau ne doit pas dépendre de la complexité du système, mais de sa criticité, de son exposition et du niveau de la menace. Un petit service très exposé peut demander plus d'attention qu'une grosse application interne. Le niveau peut aussi évoluer pendant la vie du système.

Pour éviter un exercice abstrait, le guide ramène la criticité à trois questions sur les conséquences d'une défaillance :

• que se passe-t-il pour l'organisation ou ses usagers si le système s'arrête complètement ?
• que se passe-t-il si ses données sont divulguées à des personnes qui ne devraient pas y accéder ?
• que se passe-t-il si ses données sont effacées ou corrompues, par accident ou par malveillance ?

Les impacts sont appréciés sous plusieurs angles : biens et personnes, finances, droit et contrats, image, environnement. Le guide conseille d'utiliser les échelles de gravité déjà en place dans l'organisation (celles de l'atelier 1 d'EBIOS RM, par exemple) et propose à défaut quatre niveaux : mineur (négligeable), modéré (significatif mais surmontable), important (surmontable avec de réelles difficultés) et critique (grave, voire irrémédiable, la survie de l'organisation pouvant être en jeu). On retrouve l'esprit de la classification DICP : disponibilité, intégrité, confidentialité.

L'exposition dit par où un attaquant pourrait arriver. Le guide propose de se demander si le système est accessible depuis un réseau extérieur comme Internet, s'il n'est ouvert qu'à une population connue, si des équipements peu maîtrisés (objets connectés, appareils personnels) s'y connectent, si on peut l'utiliser depuis le domicile, si ses mainteneurs sont de confiance et si sa sécurité est facile à maintenir. Il en tire une échelle à quatre niveaux :

L'exposition dépend aussi de la menace. Le guide en distingue trois formes : la menace activiste ou isolée, aux moyens limités mais qui peut bénéficier d'accès privilégiés ; la menace systémique, surtout lucrative, qui frappe largement avec des outils comme les rançongiciels ; et la menace stratégique, faite d'attaques ciblées et persistantes menées par des États ou de grandes organisations.

Le guide croise les deux évaluations dans une matrice d'aide à la décision :

La matrice est une aide, pas une règle automatique : le choix fait l'objet d'un consensus au sein du comité d'homologation, et le guide reconnaît qu'il peut prêter à débat. On le justifie dans le document d'accompagnement du dossier. Le guide cite le site vitrine parmi les exemples de démarche simplifiée, alors que la matrice place un système de criticité mineure totalement exposé au niveau intermédiaire : c'est précisément le genre de cas que le comité tranche, au vu de ce que le site contient et de ce qu'il coûterait de le voir détourné.

Le niveau conditionne toute la suite de la démarche :

Les chapitres suivants détaillent les pièces du dossier et le circuit de décision propres à chaque niveau.

Une fiche méthode de l'ANSSI traite des systèmes isolés et simples : un ou quelques ordinateurs reliés entre eux par un réseau filaire, avec leurs périphériques, sans aucune connexion extérieure ni annuaire d'administration. On les rencontre souvent pour traiter des données sensibles ou classifiées. Leur exposition est nulle, mais la fiche rappelle les points à vérifier avant de les homologuer : postes durcis et chiffrés, supports amovibles maîtrisés, mises à jour appliquées à la main par des administrateurs de confiance, réseaux sans fil désactivés au plus près du matériel, et machines regroupées dans un même local lorsqu'elles traitent des informations classifiées.

Le comité consigne ces choix et leurs raisons dans le document d'accompagnement de chaque dossier. Pour le portail, la démarche renforcée confirme ce que l'équipe avait anticipé au chapitre 2 : une analyse de risques complète et des audits.