Une attaque peut en cacher une autre

CNRS I RSSI I François Morris
1
Recommandations d’usage du
cloud
Jussieu 21/03/2017

CNRS I RSSI I François Morris
2
PSSIE, principes stratégiques
P9. Les produits et services acquis par les administrations et destinés à
assurer la sécurité des systèmes d’information de l’État doivent faire
l’objet d’une évaluation et d’une attestation préalable de leur niveau de
sécurité, selon une procédure reconnue par l’ANSSI (« labellisation »).
 P10. Les informations de l’administration considérées comme
sensibles, en raison de leurs besoins en confidentialité, intégrité ou
disponibilité, sont hébergées sur le territoire national.
Données à caractère personnel
Loi Informatique et libertés 1978 RGPD (25 mai 2018)
Contraintes de localisation
Exigences sur le prestataire
Définitions des responsabilités et cadre contractuel
Contrôle du prestataire
Cadre réglementaire
Jussieu 21/03/2017

CNRS I RSSI I François Morris
3
Protection du potentiel scientifique et technique
Données des domaines sensibles  diffusion restreinte (Instruction
901)
Terriblement contraignant
Difficilement compatible avec le fonctionnement de la recherche
scientifique
Attente de textes sur la « PPST numérique »
Stockage dans un cloud public exclu
Cadre réglementaire (2)
Jussieu 21/03/2017

CNRS I RSSI I François Morris
SecNumCloud
Référentiel de référence pour la qualification des prestataires d’informatique
en nuage
Basé sur l ’ISO 27002:2013
2 niveaux
Essentiel : https://www.ssi.gouv.fr/uploads/2014/12/secnumcloud_referentiel_v3.0_niveau_essentiel.pdf
Avancé : non encore publié
PSSIE
La conformité d’un service d’informatique en nuage au niveau « Essentiel »
n’atteste pas de sa conformité à la PSSIE
Actuellement aucun qualifié, seulement des prestataires en cours de qualification
Avancé  OODRIVE : iExtranet, PostFiles et BoardNox
Avancé  VENDOME SOLUTIONS : IaaS avec Plan de Reprise d'Activité
Essentiel  ORANGE CLOUD for BUSINESS : Flexible Storage
4
Qualification ANSSI
Jussieu 21/03/2017

CNRS I RSSI I François Morris
5
Conformité avec la réglementation ?
Territorialité et législation applicable ?
Pérennité du prestataire et de son service ?
Réversibilité ?
PCA/PRA ?
Propriété des données déposées ?
Accès aux journaux ?
Contrôle, audit du prestataire ?
Pertes de compétences ?
Coûts immédiats et à long terme ?
Cloisonnement des différents clients ?
Risques du cloud, quelques questions à se poser
Jussieu 21/03/2017