ANSSI

ANSSI

Référence française en cybersécurité pour l’État, les opérateurs essentiels, la qualification et les guides techniques.

Explication de la marmotte

Cette agence ressemble au service qui rédige le code de la route et les notices de sécurité : elle ne conduit pas à la place de chacun, mais elle explique comment bâtir, régler et surveiller ses systèmes pour éviter l’accident, et elle délivre des labels aux produits et aux prestataires jugés dignes de confiance.

→ Lire l’explication complète de la marmotte

Rôle

L’ANSSI publie des référentiels, des guides, des recommandations et des cadres d’évaluation utiles en architecture, identité, cloud, cryptographie et sécurité opérationnelle.

Lectures prioritaires

• Site officiel : cyber.gouv.fr
• Référentiel Général de Sécurité, guides crypto et guides d’architecture sécurisée
• Référentiels cloud, IAM, journalisation, administration sécurisée

Sous-chapitres

Référentiels et doctrine

• RGS, PVID, visas, qualification, certification
• Position française sur les mécanismes cryptographiques
• Doctrine applicable aux administrations et aux opérateurs sensibles

Architecture et sécurité opérationnelle

• Durcissement de postes et de serveurs
• Segmentation, journalisation, administration, gestion de crise
• Attendus pour l’exploitation sécurisée et la maîtrise des accès

Cloud, identité et confiance

• Exigences de sécurité pour services cloud
• Identity, federation, comptes à privilèges et authentification forte
• Articulation avec fournisseurs qualifiés ou de confiance

Dans TortueTech

• Point d’entrée pour les sujets français en crypto, IAM, cloud et conformité
• Référence à croiser avec NIST pour comparer doctrine locale et standardisation internationale

Points à vérifier

• à compléter : liste courte des guides ANSSI les plus utiles par thème
• à compléter : liens vers les pages TortueTech qui s’appuient dessus

🐝 Ce qui arrive si on s’en passe

Ignorer les références de l’ANSSI revient à réinventer seul des configurations que ses guides décrivent déjà, avec le risque d’oublier précisément le réglage que tout le monde connaissait. Pour une administration ou un opérateur sensible, choisir un prestataire ou un service en nuage sans regarder les qualifications expose à devoir en changer une fois le contrat signé, lorsque la doctrine applicable est enfin lue. Un choix cryptographique étranger à la position française peut aussi être rejeté au moment d’une évaluation. Le coût n’est pas une faille spectaculaire, mais une série de refus tardifs, qui ont l’élégance d’arriver après le budget.

🦫 Explication de la marmotte 🍫

L’ANSSI, Agence nationale de la sécurité des systèmes d’information, est l’autorité française de référence en cybersécurité pour l’État et les opérateurs essentiels. Son action passe par des documents et des évaluations.

Elle publie des référentiels, c’est-à-dire des ensembles de règles à respecter, des guides pratiques et des recommandations. Ils couvrent l’architecture, l’identité, le nuage, la cryptographie et l’exploitation au quotidien : durcir un poste ou un serveur en retirant ce qui est inutile et en réglant finement le reste, découper le réseau en zones séparées, journaliser les événements, administrer les systèmes de façon sécurisée, gérer une crise, maîtriser les accès.

Elle organise aussi des cadres d’évaluation. Un produit ou un prestataire est examiné selon une grille précise ; s’il la satisfait, il reçoit une qualification ou une certification, qui permet aux acheteurs de choisir sans refaire toute l’analyse. Sa doctrine s’impose aux administrations et aux opérateurs sensibles, et elle prend position sur les mécanismes cryptographiques jugés acceptables.

Pour le nuage, elle fixe des exigences de sécurité et distingue les fournisseurs qualifiés. Pour l’identité, elle traite de la fédération, des comptes à privilèges et de l’authentification forte.

TortueTech s’en sert comme point d’entrée pour les sujets français de cryptographie, d’identité, de nuage et de conformité, en la croisant avec les publications de son homologue américain, le NIST, l’institut national des normes et de la technologie, pour comparer doctrine française et standardisation internationale.

À lire aussi

• NISTRéférence mondiale pour les standards, publications et cadres de cybersécurité, d’identité et de cryptographie.
• CERT-FR alertes et avis de sécuritéFiche opérationnelle sur le CERT-FR, ses alertes, ses avis de sécurité et leur exploitation dans une architecture de défense.
• CNILRéférence française pour la protection des données personnelles, le RGPD et la sécurité des traitements.
• NSA CybersecurityRéférence américaine pour les recommandations cryptographiques gouvernementales et les profils à haute sensibilité.

Pages voisines

La citent

• CERT-FR alertes et avis de sécurité
• CCN-CERT Espagne : rôle, guides CCN-STIC et ENS
• CERT-EU réponse aux incidents des institutions européennes
• CIS Benchmarks et CIS Controls en production
• Comment exploiter le Global Risks Report du Forum économique mondial
• Interpol cybercriminalité et coopération policière mondiale
• JPCERT/CC rôle, outils malware et usage opérationnel
• MITRE ATT&CK et CVE en cybersécurité
• OWASP Top 10 ASVS ZAP et sécurité applicative
• Rôle de FIRST et mise en œuvre du TLP

ANSSI

Elle cite

• ⇄Lien dans les deux sens :Guide d'hygiène informatique ANSSI en 42 mesures, mode d'emploi
• ⇄Lien dans les deux sens :Qualification SecNumCloud 3.2 de l'ANSSI, exigences et limites

⇄ : les deux pages se citent l’une l’autre.