[{"id":"essentiels-idor","nom":"Se protéger des failles de type IDOR","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"anssi_essentiels_IDOR_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-10-09T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-idor","image":{"petite":"/documents-guides/essentiels-idor/588.avif","grande":"/documents-guides/essentiels-idor/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_IDOR_1.0.pdf"}]},{"id":"en-essentiels-idor","nom":"Protecting against IDOR vulnerabilities","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"anssi_back_to_basics_IDOR_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-10-09T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/essentiels-idor","image":{"petite":"/documents-guides/en-essentiels-idor/588.avif","grande":"/documents-guides/en-essentiels-idor/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back_to_basics_IDOR_1.0.pdf"}]},{"id":"en-cybersecurity-guide-start-ups","nom":"Cybersecurity guide for digital start-ups","description":"<p><strong>ANSSI and French Tech Mission</strong> publish a cybersecurity guideline specifically addressed to digital start-ups.</p>\n<p>This guide seeks to raises awareness within the start-up ecosystem of the need to consider cybersecurity as a strategic pillar, to place trust at the core of their development, and to flag robustness as a label of audacity.</p>\n<p>The document is a travel companion for founders, CTO and teams that want to build robust companies, without sacrifying their agility : <strong>clear principles, concrete reflex, activable tools to secure infrastructures, protect data and establish a vigilance culture</strong>. It also targets business incubators which want to integrate cybersecurity in their offers.</p>\n<p>This guide shows <strong>how the missions of ANSSI and the French Tech Mission converge,</strong> by targeting the start-up ecosystem, often having small numbers of employees, limited resources and that have not yet fully developed their digital security skills.</p>\n<p>The guide starts by illustrating the typical journey of a digital start-up. <strong>Thirteen security issues</strong> are highlighted, linked to key stages in the life of the company. Each issue is then presented in a summary sheet listing the risks and proposing suitable solutions.</p>\n<p>At the end of the document, most important support entities are referenced.</p>\n<p><i>This guide sets out measures that should be taken by all digital players. However, it is intended in particular for start-ups developing software products, not those that provide intellectual services.</i></p>","langue":"EN","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"cybersecurity_guide_for_digital_start_ups.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-10-05T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-cybersecurity-guide-start-ups/588.avif","grande":"/documents-guides/en-cybersecurity-guide-start-ups/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/cybersecurity_guide_for_digital_start_ups.pdf"}]},{"id":"investigation-qualification-incidents","nom":"L'investigation et la qualification d'incidents","description":"<p>L’ANSSI publie un ensemble de guides sur l’investigation, qui décrit les principes du pilotage et de la mise en œuvre d’une qualification et d’une investigation au sein d’une organisation affectée par ou soupçonnant un incident de sécurité. Ces guides sont complémentaires des guides de gestion de crise permettant de s’organiser en prévision de la survenue d’un incident, dont certains accélérateurs indispensables sont repris ici, ainsi que des guides sur la remédiation.</p>\n\n<p>L’objet du présent document, de niveau stratégique, est de définir les principaux piliers conceptuels pour orienter les décideurs dans la compréhension des incidents de cybersécurité touchant leur organisation.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"ANSSI_investigation_qualification_incidents_cles_de_decision.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-09-16T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["REAGIR"],"image":{"petite":"/documents-guides/investigation-qualification-incidents/588.avif","grande":"/documents-guides/investigation-qualification-incidents/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/ANSSI_investigation_qualification_incidents_cles_de_decision.pdf"}]},{"id":"fiches-pratiques-recyf","nom":"Fiches pratiques ReCyF","description":"<p>La collection de fiches « ReCyF en pratique » a pour objectif d’éclairer les principales mesures de gestion de risque issues du Référentiel Français de Cybersécurité (ReCyF). Elles s’adressent à un public technique chargé de la mise en œuvre de ces objectifs de sécurité au sein des entités concernées. Cet ensemble de fiches est organisé en cinq rubriques : Défense, Protection, Gouvernance, Résilience et Obligations NIS 2, les quatre premières constituant les piliers essentiels des mesures de gestion des risques. </p>\n\n<ul>\n<li>La fiche <strong>Gestion des identités,</strong> rubrique <strong>Protection</strong>, offre un éclairage sur le cas particulier des comptes partagés, les mécanismes d'authentification ou encore le cycle de vie des identités.</li>\n<li>La fiche <strong>Architectures sécurisées</strong>, rubrique <strong>Protection</strong>, revient notamment sur les modes de cloisonnement, le filtrage ou encore les accès distants.</li>\n<li>La fiche <strong>Administration</strong>, rubrique <strong>Protection,</strong> apporte des précisions sur les comptes d’administration et les ressources d’administration, leur maîtrise et leur protection, en lien direct avec la sécurité des SI.</li>\n</ul>\n","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Protection - Gestion des identités","nomFichier":"Fiche_Gestion-des-identites_Protection_VF.pdf"},{"libelle":"Protection  - Architectures sécurisées","nomFichier":"Fiche_Architectures-securisees_Protection_VF.pdf"},{"libelle":"Protection - Administration","nomFichier":"Fiche_Administration_Protection_VF.pdf"}],"nomsAnciensDocuments":["Fiche_Gestion-des-identites_Protection.pdf","Fiche_Architectures-sécurisées_Protection_VF.pdf"],"dateMiseAJour":"2026-09-07T00:00:00.000Z","thematique":"ReCyF","besoins":["SECURISER"],"image":{"petite":"/documents-guides/fiches-pratiques-recyf/588.avif","grande":"/documents-guides/fiches-pratiques-recyf/origine.avif"},"documents":[{"libelle":"Protection - Gestion des identités","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_Gestion-des-identites_Protection_VF.pdf"},{"libelle":"Protection  - Architectures sécurisées","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_Architectures-securisees_Protection_VF.pdf"},{"libelle":"Protection - Administration","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_Administration_Protection_VF.pdf"}]},{"id":"en-essentiels-wifi","nom":"Securing Wi-Fi networks","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"anssi_back_to_basics_wifi_1.0.pdf"}],"nomsAnciensDocuments":["anssi_back to basics_wifi_1.0.pdf"],"dateMiseAJour":"2026-08-31T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/essentiels-wifi","image":{"petite":"/documents-guides/en-essentiels-wifi/588.avif","grande":"/documents-guides/en-essentiels-wifi/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back_to_basics_wifi_1.0.pdf"}]},{"id":"essentiels-wifi","nom":"Sécurisation des réseaux Wi-Fi","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"anssi_essentiels_wifi_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-08-31T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-wifi","image":{"petite":"/documents-guides/essentiels-wifi/588.avif","grande":"/documents-guides/essentiels-wifi/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_wifi_1.0.pdf"}]},{"id":"en-trusted-core","nom":"Trusted core","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"anssi_back_to_basics_trusted_core_1.0.pdf"}],"nomsAnciensDocuments":["anssi_back to basics_trusted_core_1.0.pdf"],"dateMiseAJour":"2026-07-21T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/essentiels-coeur-confiance/","image":{"petite":"/documents-guides/en-trusted-core/588.avif","grande":"/documents-guides/en-trusted-core/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back_to_basics_trusted_core_1.0.pdf"}]},{"id":"essentiels-coeur-confiance","nom":"Cœur de confiance","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"anssi_essentiel_coeur_de_confiance_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-07-21T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-coeur-confiance","image":{"petite":"/documents-guides/essentiels-coeur-confiance/588.avif","grande":"/documents-guides/essentiels-coeur-confiance/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiel_coeur_de_confiance_1.0.pdf"}]},{"id":"en-essentiels-defense-profondeur","nom":"Defence-in-depth","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Defence-in-depth - implementation","nomFichier":"anssi_back_to_basics_defence_in_depth_implementation_1.0.pdf"},{"libelle":"Defence-in-depth - methodology","nomFichier":"anssi_back_to_basics_defence_in_depth_methodology_1.0.pdf"}],"nomsAnciensDocuments":["anssi_back to basics_defence_in_depth_1.0.pdf","anssi_back to basics_defence_in_depth_implementation_1.0.pdf","anssi_back to basics_defence_in_depth_methodology_1.0.pdf"],"dateMiseAJour":"2026-07-01T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/essentiels-defense-profondeur/","image":{"petite":"/documents-guides/en-essentiels-defense-profondeur/588.avif","grande":"/documents-guides/en-essentiels-defense-profondeur/origine.avif"},"documents":[{"libelle":"Defence-in-depth - implementation","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back_to_basics_defence_in_depth_implementation_1.0.pdf"},{"libelle":"Defence-in-depth - methodology","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back_to_basics_defence_in_depth_methodology_1.0.pdf"}]},{"id":"essentiels-defense-profondeur","nom":"Défense en profondeur","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Défense en profondeur - mise œuvre","nomFichier":"anssi_essentiels_defense_profondeur_mise_en_oeuvre_1.0.pdf"},{"libelle":"Défense en profondeur - méthodologie","nomFichier":"anssi_essentiels_defense_profondeur_methodologie_1.0.pdf"},{"libelle":"La défense en profondeur appliquée aux systèmes d’information - Obsolète","nomFichier":"mementodep-v1-1.pdf"}],"nomsAnciensDocuments":["anssi_essentiels_essentiels_defense_profondeur_mise_en_oeuvre_1.0.pdf","anssi_essentiels_essentiels_defense_profondeur_methodologie_1.0.pdf"],"dateMiseAJour":"2026-07-01T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-defense-profondeur","image":{"petite":"/documents-guides/essentiels-defense-profondeur/588.avif","grande":"/documents-guides/essentiels-defense-profondeur/origine.avif"},"documents":[{"libelle":"Défense en profondeur - mise œuvre","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_defense_profondeur_mise_en_oeuvre_1.0.pdf"},{"libelle":"Défense en profondeur - méthodologie","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_defense_profondeur_methodologie_1.0.pdf"},{"libelle":"La défense en profondeur appliquée aux systèmes d’information - Obsolète","url":"https://messervices.cyber.gouv.fr/documents-guides/mementodep-v1-1.pdf"}]},{"id":"recommandations-gestion-technique-batiment","nom":"Recommandations de sécurité relatives à la gestion technique et centralisée du bâtiment (gtb/gtc)","description":"<p>La gestion technique du bâtiment (GTB) est un système permettant de contrôler à distance plusieurs éléments d’un bâtiment, généralement constitué de sous-systèmes de gestion technique centralisée (GTC). Elle est très souvent gérée sous forme de prestation et, selon les cas d’application (hôpitaux, laboratoires, manufactures, etc.), être critique et nécessiter d’être connue et maîtrisée par les services techniques concernés.</p>\n\n<p>Ce guide tient compte, en se basant sur des exemples issus du monde hospitalier et de la santé mais applicables à d’autres secteurs, des architectures actuellement déployées, ainsi que l’ensemble des éléments relatifs aux dispositifs de détection et à leur intégration technique.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Télécharger le lien","nomFichier":"Guide__Systemes_industriels___GTB_GTC_2025.pdf"}],"nomsAnciensDocuments":["_Guide__Systèmes_industriels___GTB_GTC_2025.pdf"],"dateMiseAJour":"2026-06-04T00:00:00.000Z","thematique":"Systèmes industriels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-gtb-gtc/","image":{"petite":"/documents-guides/recommandations-gestion-technique-batiment/588.avif","grande":"/documents-guides/recommandations-gestion-technique-batiment/origine.avif"},"documents":[{"libelle":"Télécharger le lien","url":"https://messervices.cyber.gouv.fr/documents-guides/Guide__Systemes_industriels___GTB_GTC_2025.pdf"}]},{"id":"anticiper-et-gerer-sa-communication-de-crise-cyber","nom":"Anticiper et gérer sa communication de crise cyber","description":"<p>Face à une attaque, la technicité d’une crise cyber peut déstabiliser les plus aguerris des communicants, confrontés à des codes, des enjeux et à un écosystème parfois très éloignés de leur cœur de métier. \nTout en s’attardant sur les spécificités liées au cyber, ce guide tend à démontrer qu’une bonne communication de crise cyber reprend avant tout les réflexes et les outils communs à toute stratégie de communication de crise.</p>\n\n<p><strong>À quoi sert ce guide ?</strong></p>\n\n<p>En se basant sur les situations rencontrées par l’ANSSI dans son rôle d’assistance auprès de victimes, ce guide vise à apporter des recommandations opérationnelles, pour anticiper et mettre en place une stratégie de communication de crise lors d’une cyberattaque. Si aucune recette magique n’existe en communication de crise, quelques réflexes et certaines notions essentielles peuvent être intégrés dès aujourd’hui par votre entité afin d’être prêt à faire face à une crise cyber. Ce guide, composé de dix fiches pratiques et une checklist (résumé des bonnes pratiques et pièges à éviter), contient également plusieurs témoignages de communicants d’entités publiques ou privées.</p>\n\n<p><strong>À qui s’adresse-t-il ?</strong></p>\n\n<p>Ce guide s’adresse à toutes les personnes occupant une fonction de communicant lors de la gestion d’une crise dans une administration publique, une entreprise privée ou une association. Il peut s’agir d’un professionnel de la communication (directeur de la communication, chargé de communication ou agence de communication), mais parfois aussi d’autres profils (directeur/chef de cabinet, secrétaire général, juriste, etc.), faute de communicants. </p>\n\n<p><strong>Et d’ailleurs, qu’est-ce qu’une crise cyber ?</strong></p>\n\n<p>Une crise « d’origine cyber » se définit par la déstabilisation immédiate et majeure du fonctionnement courant d’une entité (arrêt des activités, impossibilité de délivrer des services, pertes financières lourdes, perte d’intégrité majeure, etc.) en raison d’une ou de plusieurs actions malveillantes sur ses services et ses outils numériques (cyberattaques de type rançongiciel, déni de service, etc.). C’est donc un évènement à fort impact, qui ne saurait être traité par les processus habituels et dans le cadre du fonctionnement normal de l’entité. Par convention, on parlera de « crise cyber ». </p>\n\n<p><i>Ce guide fait partie de la collection « Gestion de crise cyber », destinée à accompagner les organisations dans la préparation et la gestion de crise cyber. Cette collection se compose de trois tomes : Organiser un exercice de gestion de crise cyber (disponible en <a href=\"https://cyber.gouv.fr/publications/organiser-un-exercice-de-gestion-de-crise-cyber\">français</a> et en <a href=\"https://cyber.gouv.fr/en/publications/organising-cyber-crisis-management-exercise\">anglais</a>), Crise d’origine cyber, les clés d’une gestion opérationnelle et stratégique (disponible en <a href=\"https://cyber.gouv.fr/publications/crise-cyber-les-cles-dune-gestion-operationnelle-et-strategique\">français</a> et en <a href=\"https://cyber.gouv.fr/publications/crisis-cyber-origin-keys-operational-and-strategic-management\"> anglais</a>) et Anticiper et gérer sa communication de crise cyber (disponible en français). Cette collection vise à apporter une expertise transverse sur l’ensemble des aspects de la gestion de crise cyber.</i></p>\n\n<p>Découvrez la nouvelle version du guide « Anticiper et gérer sa communication de crise cyber composé de dix fiches et d’une checklist publiée en juin 2026 :</p>\n","langue":"FR","collections":["Crise cyber"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"Guide_Anticiper_et_gerer_sa_communication_de_crise_cyber.pdf"},{"libelle":"Fiche 1 : initier un dialogue interne et anticiper des scénarios","nomFichier":"anssi-guide-communication_crise_cyber_fiche1.pdf"},{"libelle":"Fiche 2 : créer une boîte à outils dédiée","nomFichier":"anssi-guide-communication_crise_cyber_fiche2.pdf"},{"libelle":"Fiche 3 : entraîner ses équipes","nomFichier":"anssi-guide-communication_crise_cyber_fiche3.pdf"},{"libelle":"Fiche 4 : organiser sa communication de crise cyber","nomFichier":"anssi-guide-communication_crise_cyber_fiche4.pdf"},{"libelle":"Fiche 5 : définir sa stratégie de communication de crise cyber","nomFichier":"anssi-guide-communication_crise_cyber_fiche5.pdf"},{"libelle":"Fiche 6 : rédiger les messages clés","nomFichier":"anssi-guide-communication_crise_cyber_fiche6.pdf"},{"libelle":"Fiche 7 : piloter sa communication de crise interne","nomFichier":"anssi-guide-communication_crise_cyber_fiche7.pdf"},{"libelle":"Fiche 8 : piloter sa communication de crise externe","nomFichier":"anssi-guide-communication_crise_cyber_fiche8.pdf"},{"libelle":"Fiche 9 : remercier ses collaborateurs et réaliser son RETEX","nomFichier":"anssi-guide-communication_crise_cyber_fiche9.pdf"},{"libelle":"Fiche 10 : partager son expérience et sensibiliser ses collaborateurs","nomFichier":"anssi-guide-communication_crise_cyber_fiche10.pdf"},{"libelle":"Checklist","nomFichier":"anssi-guide-communication_crise_cyber_checklist.pdf"}],"nomsAnciensDocuments":["panorama.png","anssi-guide-communication_crise_cyber.pdf","Fiche 1 Initier un dialogue interne et anticiper des scénarios.pdf","Fiche_1_Initier_un_dialogue_interne_et_anticiper_des_scénarios.pdf","Fiche_2_Creer_une_boite_a_outils_dediee.pdf","Fiche_3_Entrainer_ses_equipes.pdf","Fiche_4 _Organiser_sa_communication_de_crise_cyber.pdf","Fiche_5 _Définir_sa_strategie_de_communication_de_crise_cyber.pdf","Fiche_6_Rediger_les_messages_cles.pdf","Fiche_7_Piloter_sa_communication_de_crise_interne.pdf","Fiche_8_Piloter_sa_communication_de_crise_externe.pdf","Fiche_9_Remercier_ses_collaborateurs_et_realiser_son_RETEX.pdf","Fiche_10_Partager_son_expérience_et_sensibiliser_ses_collaborateurs.pdf","Fiche_Checklist.pdf"],"dateMiseAJour":"2026-06-04T00:00:00.000Z","thematique":"Crise cyber","besoins":["REAGIR"],"image":{"petite":"/documents-guides/anticiper-et-gerer-sa-communication-de-crise-cyber/588.avif","grande":"/documents-guides/anticiper-et-gerer-sa-communication-de-crise-cyber/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/Guide_Anticiper_et_gerer_sa_communication_de_crise_cyber.pdf"},{"libelle":"Fiche 1 : initier un dialogue interne et anticiper des scénarios","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche1.pdf"},{"libelle":"Fiche 2 : créer une boîte à outils dédiée","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche2.pdf"},{"libelle":"Fiche 3 : entraîner ses équipes","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche3.pdf"},{"libelle":"Fiche 4 : organiser sa communication de crise cyber","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche4.pdf"},{"libelle":"Fiche 5 : définir sa stratégie de communication de crise cyber","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche5.pdf"},{"libelle":"Fiche 6 : rédiger les messages clés","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche6.pdf"},{"libelle":"Fiche 7 : piloter sa communication de crise interne","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche7.pdf"},{"libelle":"Fiche 8 : piloter sa communication de crise externe","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche8.pdf"},{"libelle":"Fiche 9 : remercier ses collaborateurs et réaliser son RETEX","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche9.pdf"},{"libelle":"Fiche 10 : partager son expérience et sensibiliser ses collaborateurs","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_fiche10.pdf"},{"libelle":"Checklist","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-communication_crise_cyber_checklist.pdf"}]},{"id":"vote-internet-elections-non-politiques","nom":"Recommandations pour la mise en œuvre du vote par Internet pour les élections non politiques","description":"<p>Ce guide s'inscrit dans le cadre d'une collaboration avec la Commission Nationale de l’Informatique et des Libertés (CNIL) et la mise à jour en 2026 de la <a href=\"https://www.cnil.fr/fr/recommandation-vote-electronique\">recommandation relative à la sécurité des systèmes de vote par correspondance électronique</a>.</p>\n<p>Précisément, la recommandation de la CNIL définit des objectifs de sécurité à remplir pour protéger les données personnelles et respecter les grands principes électoraux (secret du vote, sincérité du scrutin, transparence). Le guide ANSSI fait, pour chaque objectif CNIL, des recommandations techniques pour répondre à l’objectif.</p>\n<p>Le guide couvre uniquement le recours au vote par Internet pour les élections non politiques, telles que les élections professionnelles.</p>\n<p>Le public cible de guide inclut :</p> \n<ul>\n<li>Les organisateurs de scrutin.</li>\n<li>Les prestataires fournisseurs de solutions de vote par correspondance électronique.</li>\n<li>Les tiers intervenant dans la vérification de la sincérité des scrutins, en particulier les experts indépendants (au sens de la délibération de la CNIL).</li>\n</ul>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour la mise en œuvre du vote par internet pour les élections non politiques","nomFichier":"anssi-guide-vote-internet-elections-non-politiques.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-04-24T00:00:00.000Z","thematique":"Sécurité du vote électronique","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-vote-par-internet","image":{"petite":"/documents-guides/vote-internet-elections-non-politiques/588.avif","grande":"/documents-guides/vote-internet-elections-non-politiques/origine.avif"},"documents":[{"libelle":"Recommandations pour la mise en œuvre du vote par internet pour les élections non politiques","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-vote-internet-elections-non-politiques.pdf"}]},{"id":"the-security-accreditation-guide-for-information-systems","nom":"The security accreditation guide for information systems","description":"<p>Information systems have become essential to the functioning of public and private entities.</p>\n<p>Their misuse can lead to risks which may have catastrophic human, financial, legal, or reputational impacts.</p>\n<p>The formal consideration and acceptance of these risks by an authority is referred to as ‘security accreditation’, and in a large number of cases is a regulatory requierement.</p>\n<p>With the help of this guide, it seemed important to further understand and detail the process that organisations could follow to accredit their information systems.</p>\n<p>This guide is intended for all persons intending to carry out, initiate, or support an accreditation procedure.</p>\n<p>Written by ANSSI in collaboration with DINUM, it draws on years of development and support in the field of accreditation, and on the significant feedback provided by experts from the public service and private sectors.</p>\n<p>This guide is meant to be accessible in its legibility and applicable to all information systems, from the simplest to the most complex, regardless of their criticality or exposure to sources of risk.</p>","langue":"EN","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"The accreditation guide for information systems","nomFichier":"the-security-accreditation-guide-for-information-systems_english.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-03-26T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-homologation-securite","image":{"petite":"/documents-guides/the-security-accreditation-guide-for-information-systems/588.avif","grande":"/documents-guides/the-security-accreditation-guide-for-information-systems/origine.avif"},"documents":[{"libelle":"The accreditation guide for information systems","url":"https://messervices.cyber.gouv.fr/documents-guides/the-security-accreditation-guide-for-information-systems_english.pdf"}]},{"id":"mecanismes-cryptographiques","nom":"Mécanismes cryptographiques","description":"<ul><li>Le premier document, intitulé « Guide de sélection d'algorithmes cryptographiques », propose une liste de mécanismes standardisés à l'état de l'art. Ce document formule également des notes d’implémentation à destination des développeurs qui implémentent des mécanismes cryptographiques et des évaluateurs qui analysent la robustesse de ces implémentations. En particulier, ce document émet des mises en garde contre des erreurs d’implémentation relevées dans des produits et dans la littérature qui dégradent fortement la sécurité des mécanismes cryptographiques.<br> La conception et l’implémentation de mécanismes cryptographiques sont des processus exigeant un niveau d’expertise technique élevé. Par conséquent, ce document prend le parti de recommander des mécanismes standards, dans le respect scrupuleux de leurs spécifications.<br> Par ailleurs, les notes d’implémentation que ce document contient ne sauraient se substituer au suivi de l’état de l’art. Un développeur non spécialisé est encouragé à se tourner vers des bibliothèques cryptographiques éprouvées, en s’assurant de bien suivre leur guide d’usage. <p>Public ciblé : développeur, administrateur </p></li>\n<li>Le second document, intitulé « Règles et recommandations concernant le choix et le dimensionnement des mécanismes cryptographiques », est une évolution des règles et recommandations issues du Référentiel Général de Sécurité, prenant en compte les évolutions récentes de l'état de l'art en cryptographie classique et post-quantique. Il énonce des règles générales, valables en principe pour tout mécanisme cryptographique, et dont le respect est nécessaire à la sécurité du mécanisme, ainsi que des recommandations correspondant à l'état de l'art d'un point de vue technique.<br> Ces règles et recommandations concernent à la fois les mécanismes cryptographiques classiques, mais également ceux relevant de la cryptographie post-quantique, et elles sont généralement accompagnées de justifications techniques garantissant la correspondance la plus précise possible avec l'état de l'art actuel en cryptographie ainsi que les contraintes pratiques liées à sa mise en œuvre.<br> Ce document est utilisable comme référentiel dans le cadre de l'évaluation des produits de sécurité. \n<p>Public ciblé : RSSI, évaluateur </p></li></ul>","langue":"FR","collections":["Cryptographie"],"listeDocuments":[{"libelle":"Règles et recommandations concernant le choix et le dimensionnement de mécanismes cryptographiques - v3.00","nomFichier":"anssi-guide-mecanismes-crypto-3.00.pdf"},{"libelle":"Guide de sélection d'algorithmes cryptographiques - v1.0","nomFichier":"anssi-guide-selection_crypto-1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-03-20T00:00:00.000Z","thematique":"Cryptographie","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-mecanismes-cryptographiques","image":{"petite":"/documents-guides/mecanismes-cryptographiques/588.avif","grande":"/documents-guides/mecanismes-cryptographiques/origine.avif"},"documents":[{"libelle":"Règles et recommandations concernant le choix et le dimensionnement de mécanismes cryptographiques - v3.00","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-mecanismes-crypto-3.00.pdf"},{"libelle":"Guide de sélection d'algorithmes cryptographiques - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-selection_crypto-1.0.pdf"}]},{"id":"guide-cybersecurite-start-up-numerique","nom":"Guide de cybersécurité à l’usage des start-up du numérique","description":"<p>L’ANSSI et la Mission French Tech publient aujourd’hui un <strong>guide de cybersécurité à l’usage des start-up du numérique.</strong></p>\n<p>Celui-ci permet de sensibiliser l’écosystème des start-up à la nécessité de considérer la cybersécurité comme un pilier stratégique, d’ancrer la confiance au cœur de leur développement, et de positionner la robustesse comme marqueur d’audace.</p>\n<p>Le document est un compagnon de route pour les fondateurs, les CTO et les équipes qui veulent bâtir des entreprises solides, sans sacrifier leur souplesse : <strong>des principes clairs, des réflexes concrets, des outils activables pour sécuriser les infrastructures, protéger les données et instaurer une culture de la vigilance.</strong> Il s’adresse également aux incubateurs et accélérateurs qui souhaitent intégrer la cybersécurité à leur offre de services.</p>\n<p>L’approche marque <strong>la convergence des missions de l’ANSSI et de la Mission French Tech</strong> et s’inscrit dans la réalité des jeunes entreprises technologiques, caractérisées par des équipes restreintes, des moyens limités et des compétences encore en développement en matière de sécurité numérique.</p>\n<p>En préambule, une frise illustre le parcours type d’une startup du numérique. <strong>Treize enjeux de sécurité</strong> y sont mis en évidence, rattachés à des étapes-clés de la vie de l’entreprise. Chacun d’eux fait ensuite l’objet d’une fiche pratique, offrant une présentation synthétique des risques et proposant des mesures techniques ou organisationnelles adaptées.</p>\n<p>En fin de document, les principales <strong>structures d’accompagnement</strong> sont référencées.</p>\n<p><em>Ce guide propose des pistes d’action utiles à l’ensemble des acteurs du numérique. Toutefois, il traite en particulier des start-up développant un produit logiciel, et non de celles se focalisant sur la prestation de services intellectuels.</em></p>\n","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guide de cybersécurité à l'usage des start-up du numérique","nomFichier":"guide_cybersecurite_start-up_numerique_FR_v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-02-26T00:00:00.000Z","thematique":"Cybersécurité des start-up","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-start-up-numerique","image":{"petite":"/documents-guides/guide-cybersecurite-start-up-numerique/588.avif","grande":"/documents-guides/guide-cybersecurite-start-up-numerique/origine.avif"},"documents":[{"libelle":"Guide de cybersécurité à l'usage des start-up du numérique","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_cybersecurite_start-up_numerique_FR_v1.pdf"}]},{"id":"fondamentaux-poste-multi-environnements","nom":"Sécurisation du poste de travail multi-environnements (non classifiés)","description":"<p>Lorsque des systèmes informatiques (ou environnements) ne possèdent pas le même niveau de sensibilité, sont exposés à des niveaux de menace hétérogènes, ou sont opérés par plusieurs entités différentes, il est recommandé de les cloisonner de manière physique, car ce type de cloisonnement est celui qui apporte les meilleures garanties de sécurité. L'implémentation usuelle du cloisonnement physique aux postes de travail conduit à en dédier un à chaque environnement. Toutefois, pour des raisons de coûts, de mobilité, d'ergonomie ou d'empreinte environnementale, il peut être souhaitable de limiter leur nombre.</p>\n<p>Pour résoudre ce paradoxe, ce document présente les fonctions de sécurité attendues sur un poste de travail destiné à faire cohabiter différents environnements.</p>\n<p>Ce document est destiné aux éditeurs de postes de travail multi-environnements afin de les accompagner dans la conception de leur produitet dans l'écriture d'une cible de sécurité en vue d'une évaluation.</p>","langue":"FR","collections":["Les fondamentaux"],"listeDocuments":[{"libelle":"Les Fondamentaux de l'ANSSI - Sécurisation du poste de travail multi-environnements (non classifiés) - v1.0","nomFichier":"anssi-fondamentaux-securisation-poste-multi-environnements-v1-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-02-20T00:00:00.000Z","thematique":"Les fondamentaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/fondamentaux-poste-multi-environnements","image":{"petite":"/documents-guides/fondamentaux-poste-multi-environnements/588.avif","grande":"/documents-guides/fondamentaux-poste-multi-environnements/origine.avif"},"documents":[{"libelle":"Les Fondamentaux de l'ANSSI - Sécurisation du poste de travail multi-environnements (non classifiés) - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-fondamentaux-securisation-poste-multi-environnements-v1-0.pdf"}]},{"id":"Transition-post-quantique-protocole-IPsec","nom":"Transition post-quantique d’IPsec","description":"<p>Ce document présente un état des lieux de la transition post-quantique du protocole IPsec (Internet Protocol Security). Le document présente d’abord le fonctionnement général du protocole. Ensuite, il identifie les parties du protocole concernées par la menace quantique et des solutions de transition associées. Il présente également les travaux existants sur le sujet.</p>","langue":"FR","collections":["Cryptographie"],"listeDocuments":[{"libelle":"Transition Post-Quantique d'IPsec","nomFichier":"transition_post_quantique_ipsec.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-02-02T00:00:00.000Z","thematique":"Cryptographie post-quantique","besoins":["SECURISER"],"image":{"petite":"/documents-guides/Transition-post-quantique-protocole-IPsec/588.avif","grande":"/documents-guides/Transition-post-quantique-protocole-IPsec/origine.avif"},"documents":[{"libelle":"Transition Post-Quantique d'IPsec","url":"https://messervices.cyber.gouv.fr/documents-guides/transition_post_quantique_ipsec.pdf"}]},{"id":"Transition-post-quantique-protocole-SSHv2","nom":"Transition post-quantique de SSHv2","description":"<p>Ce document présente un état des lieux de la transition post-quantique de la version v2 du protocole SSH (Secure Shell). Le document présente d’abord le fonctionnement général du protocole. Ensuite, il identifie les parties du protocole concernées par la menace quantique et des solutions de transition associées. Il présente également les travaux existants sur le sujet.</p>","langue":"FR","collections":["Cryptographie"],"listeDocuments":[{"libelle":"Transition Post-Quantique de SSHv2","nomFichier":"transition_post_quantique_ssh_v2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-02-02T00:00:00.000Z","thematique":"Cryptographie post-quantique","besoins":["SECURISER"],"image":{"petite":"/documents-guides/Transition-post-quantique-protocole-SSHv2/588.avif","grande":"/documents-guides/Transition-post-quantique-protocole-SSHv2/origine.avif"},"documents":[{"libelle":"Transition Post-Quantique de SSHv2","url":"https://messervices.cyber.gouv.fr/documents-guides/transition_post_quantique_ssh_v2.pdf"}]},{"id":"Transition-post-quantique-protocole-TLS-1-3","nom":"Transition post-quantique de TLS 1.3","description":"<p>Ce document présente un état des lieux de la transition post-quantique de la version 1.3 du protocole TLS (Transport Layer Security). Le document présente d’abord le fonctionnement général du protocole. Ensuite, il identifie les parties du protocole concernées par la menace quantique et des solutions de transition associées. Il présente également les travaux existants sur le sujet.</p>","langue":"FR","collections":["Cryptographie"],"listeDocuments":[{"libelle":"Transition Post-Quantique de TLS 1.3","nomFichier":"transition_post_quantique_tls_1_3.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-02-02T00:00:00.000Z","thematique":"Cryptographie post-quantique","besoins":["SECURISER"],"image":{"petite":"/documents-guides/Transition-post-quantique-protocole-TLS-1-3/588.avif","grande":"/documents-guides/Transition-post-quantique-protocole-TLS-1-3/origine.avif"},"documents":[{"libelle":"Transition Post-Quantique de TLS 1.3","url":"https://messervices.cyber.gouv.fr/documents-guides/transition_post_quantique_tls_1_3.pdf"}]},{"id":"securisation-dune-infrastructure-vmware","nom":"Sécurisation d’une infrastructure VMware","description":"<p>Les hyperviseurs sont une cible privilégiée pour des attaquants : leur compromission permet en effet l’accès à l’ensemble des données et des traitements hébergés. Ce document vise à apporter un éclairage sur la manière de sécuriser les infrastructures virtualisées s’appuyant sur la technologie VMware. Ces recommandations doivent être prises en compte et adaptées au cas par cas, en fonction du contexte d’emploi de l’infrastructure, du type de service porté et de sa criticité. Ce document traite des recommandations les plus importantes en la matière. Il ne vise ni l’exhaustivité ni un niveau de précision détaillé.</p>","langue":"FR","collections":["Les fondamentaux"],"listeDocuments":[{"libelle":"Les fondamentaux de l&#039;ANSSI - Sécurisation d&#039;une infrastructure VMware","nomFichier":"anssi-fondamentaux-securisation_infrastructure_vmware_v1-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-01-26T00:00:00.000Z","thematique":"Les fondamentaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/fondamentaux-vmware","image":{"petite":"/documents-guides/securisation-dune-infrastructure-vmware/588.avif","grande":"/documents-guides/securisation-dune-infrastructure-vmware/origine.avif"},"documents":[{"libelle":"Les fondamentaux de l&#039;ANSSI - Sécurisation d&#039;une infrastructure VMware","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-fondamentaux-securisation_infrastructure_vmware_v1-0.pdf"}]},{"id":"securing-wmware-infrastructure","nom":"Securing a VMware infrastructure ","description":"<p>Hypervisors are prime targets for attackers : considering their compromise can provide access to all hosted data and workloads. This document aims to provide guidance on how to secure virtualised infrastructures based on VMware technology. These recommendations should be considered and adapted on a case-by-case basis, depending on the operational context of the infrastructure, the nature of the services it supports, and their criticality. This document focuses on the most important recommendations, and does not seek to be exhaustive or provide a high level of detail.</p>","langue":"EN","collections":["Les fondamentaux"],"listeDocuments":[{"libelle":"anssi_fundamentals_securing_wmware_infrastructure_v.1.0.pdf","nomFichier":"anssi_fundamentals_securing_wmware_infrastructure_v.1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-01-26T00:00:00.000Z","thematique":"Les fondamentaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/fondamentaux-vmware","image":{"petite":"/documents-guides/securing-wmware-infrastructure/588.avif","grande":"/documents-guides/securing-wmware-infrastructure/origine.avif"},"documents":[{"libelle":"anssi_fundamentals_securing_wmware_infrastructure_v.1.0.pdf","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_fundamentals_securing_wmware_infrastructure_v.1.0.pdf"}]},{"id":"migration","nom":"Sécuriser une migration numérique","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l'ANSSI - Sécuriser une migration numérique - v1.0","nomFichier":"anssi_essentiels_migration_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-01-23T00:00:00.000Z","thematique":"Migration","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-migration","image":{"petite":"/documents-guides/migration/588.avif","grande":"/documents-guides/migration/origine.avif"},"documents":[{"libelle":"Les Essentiels de l'ANSSI - Sécuriser une migration numérique - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_migration_1.0.pdf"}]},{"id":"en-migration","nom":"Securing the migration of information systems","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Securing the migration of information systems - v1.0","nomFichier":"anssi_back to basics_migration_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-01-23T00:00:00.000Z","thematique":"Migration","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-migration/588.avif","grande":"/documents-guides/en-migration/origine.avif"},"documents":[{"libelle":"Back to Basics - Securing the migration of information systems - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_migration_1.0.pdf"}]},{"id":"ANSSI-views-on-crypto-agility","nom":"ANSSI views on crypto agility ","description":"<p>Since the early 2000s, a large number of cryptographic algorithms have become deprecated, either due to security issues or because more efficient algorithms have emerged. Nevertheless, many of these algorithms are still in use today for reasons of backward compatibility or due to a lack of flexibility in secure systems.</p>\n<p>Crypto-agility is the ability of a system to modify its cryptographic components dynamically without significantly affecting the system’s capabilities.</p>\n<p>With the growth of post-quantum cryptography, the need for crypto-agility is even more pronounced, as there is regular progresses in both performance and cryptanalysis. The emergence of quantum computers forces industry players to implement algorithms whose maturity is not yet sufficient, and crypto-agility is the most reliable means of ensuring the long-term viability of a system.</p>\n<p>This note, intended for developers and system architects, provides a definition of crypto-agility as well as general recommendations for incorporating crypto-agility into the design of an information system from the start.</p>","langue":"EN","collections":["Cryptographie"],"listeDocuments":[{"libelle":"ANSSI views on crypto agility","nomFichier":"ANSSI-views-on-crypto-agility.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-01-19T00:00:00.000Z","thematique":"Cryptographie post-quantique","besoins":["SECURISER"],"image":{"petite":"/documents-guides/ANSSI-views-on-crypto-agility/588.avif","grande":"/documents-guides/ANSSI-views-on-crypto-agility/origine.avif"},"documents":[{"libelle":"ANSSI views on crypto agility","url":"https://messervices.cyber.gouv.fr/documents-guides/ANSSI-views-on-crypto-agility.pdf"}]},{"id":"cyberattaques-et-remediation-preparer-la-remedation","nom":"Préparer la remédiation","description":"<p>Les dégâts financiers et matériels que peuvent occasionner une attaque informatique sont considérables. Si un incident majeur est partiellement ou mal remédié, ses effets peuvent s’étendre dans la durée. Ce fort potentiel de déstabilisation exige, à la fois des organisations cibles et des prestataires de cybersécurité, un savoir-faire dans l’endiguement de ces cyber-attaques, dans la reprise de contrôle du système d’information compromis et dans le rétablissement d’un état de fonctionnement suffisant. La remédiation est l'étape clé pour y parvenir. Elle constitue l’une des dimensions majeures de la réponse à incident cyber, avec l’investigation et la gestion de crise.</p>\n<p>L’ANSSI est engagée avec l’écosystème de sécurité informatique, à l’élaboration, et la diffusion des piliers doctrinaux de la mise en œuvre et du pilotage de la remédiation. Elle publie un corpus doctrinal qui s’articule en trois volets (stratégique, opérationnel, technique) et a vocation à s’enrichir progressivement.</p>\n<p>En plus d’être menée et pilotée, la remédiation nécessite une préparation. La préparation à la remédiation permet de faciliter l'élaboration et l'exécution de la réponse à un incident de sécurité et fluidifie les conditions d'interventions d'équipe en charge de remédier à l'attaque. Cette préparation peut se faire en anticipation, avant que la détection d'un incident n'ait lieu et quand les équipes ne sont pas spécifiquement mobilisées; ou elle peut se faire lors de la réaction d'un incident détecté, dans un temps contraint et en amorce de la remédiation.</p>\n<p>Ce document vient compléter le volet opérationnel de la remédiation. Il aide à la mise en œuvre ou à l'identification des actions citées parmi les activités du guide « Piloter la remédiation » de cette même collection (Piloter la remédiation | MesServicesCyber). Il s’appuie sur des retours opérationnels de l’ANSSI et il est aussi issu d’ateliers avec des prestataires en réponse à incident qui ont bien voulu partager leurs expériences.</p>\n<p>Il s’adresse aux RSSI, DSI et aux équipes de pilotage de remédiation. Ce document vise à accompagner les équipes dans la déclinaison des objectifs stratégiques en objectifs techniques, en tant qu’outil opérationnel pour gérer le projet de remédiation et ses intervenants.</p>","langue":"FR","collections":["Remédiation"],"listeDocuments":[{"libelle":"Cyberattaques et remédiation - Préparer la remédiation","nomFichier":"preparation_remediation_fr-web.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-01-16T00:00:00.000Z","thematique":"Cyberattaques et remédiation","besoins":["REAGIR"],"image":{"petite":"/documents-guides/cyberattaques-et-remediation-preparer-la-remedation/588.avif","grande":"/documents-guides/cyberattaques-et-remediation-preparer-la-remedation/origine.avif"},"documents":[{"libelle":"Cyberattaques et remédiation - Préparer la remédiation","url":"https://messervices.cyber.gouv.fr/documents-guides/preparation_remediation_fr-web.pdf"}]},{"id":"outil-pilotage-projet-remediation","nom":"Outil de pilotage du projet de remédiation","description":"<p>Les dégâts financiers et matériels que peuvent occasionner une attaque informatique sont considérables. Si un incident majeur est partiellement ou mal remédié, ses effets peuvent s’étendre dans la durée. Ce fort potentiel de déstabilisation exige, à la fois des organisations cibles et des prestataires de cybersécurité, un savoir-faire dans l’endiguement de ces cyber-attaques, dans la reprise de contrôle du système d’information compromis et dans le rétablissement d’un état de fonctionnement suffisant. La remédiation est l'étape clé pour y parvenir. Elle constitue l’une des dimensions majeures de la réponse à incident cyber, avec l’investigation et la gestion de crise.</p>\n<p>L’ANSSI est engagée avec l’écosystème de sécurité informatique, à l’élaboration, et la diffusion des piliers doctrinaux de la mise en œuvre et du pilotage de la remédiation. Elle publie un corpus doctrinal qui s’articule en trois volets (stratégique, opérationnel, technique) et a vocation à s’enrichir progressivement.</p>\n<p>Ce document constitue un complément au volet opérationnel du corpus doctrinal « Cyberattaques et remédiation ».</p>\n<p>Il fournit aux entités un outil de pilotage de leur projet de remédiation d’un incident cyber en cours, en s’appuyant sur les concepts du guide ANSSI « Piloter la remédiation ».</p>","langue":"FR","collections":["Remédiation"],"listeDocuments":[{"libelle":"Suivi de projet de remédiation (XLSX)","nomFichier":"plan_remediation-modele.xlsx"},{"libelle":"Suivi de projet de remédiation (ODS)","nomFichier":"plan_remediation-modele.ods"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2026-01-01T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["REAGIR"],"image":{"petite":"/documents-guides/outil-pilotage-projet-remediation/588.avif","grande":"/documents-guides/outil-pilotage-projet-remediation/origine.avif"},"documents":[{"libelle":"Suivi de projet de remédiation (XLSX)","url":"https://messervices.cyber.gouv.fr/documents-guides/plan_remediation-modele.xlsx"},{"libelle":"Suivi de projet de remédiation (ODS)","url":"https://messervices.cyber.gouv.fr/documents-guides/plan_remediation-modele.ods"}]},{"id":"en-industrial-control-systems-classification-method","nom":"Cybersecurity of Industrial Control Systems - Classification Method","description":"<p>Industrial systems based on Operational Technology (OT) are used to operate and monitor processes that have a direct physical effect and can therefore pose a risk to people, property or the\nenvironment.</p>\n<p>Some industrial systems use Information Technology (IT) but have not been designed to address the threats it involves. Moreover, the security solutions used in business computing are not always\nsuited to the operation of industrial systems.</p>","langue":"EN","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Cybersecurity of industrial control systems - classification method","nomFichier":"anssi-guide-industrial_control_systems-classification_method_v2-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-12-22T00:00:00.000Z","thematique":"Systèmes industriels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-si-industriels-classification","image":{"petite":"/documents-guides/en-industrial-control-systems-classification-method/588.avif","grande":"/documents-guides/en-industrial-control-systems-classification-method/origine.avif"},"documents":[{"libelle":"Cybersecurity of industrial control systems - classification method","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-industrial_control_systems-classification_method_v2-0.pdf"}]},{"id":"la-cybersecurite-des-systemes-industriels-mesures-detaillees","nom":"La cybersécurité des systèmes industriels - Mesures détaillées","description":"<p>Les systèmes industriels s’appuyant sur la technologie opérationnelle (<em>Operational Technology</em>, OT), servent à conduire et surveiller des procédés qui ont une action physique directe et peuvent donc présenter des risques pour les personnes, les biens ou l’environnement. Certains systèmes industriels utilisent les technologies de l’information (<em>Information Technology</em>, IT) mais n’ont pas été conçus pour faire face aux menaces qu’elles introduisent. De plus, les solutions de sécurisation utilisées dans le domaine de l’informatique de gestion ne sont pas toujours adaptées au fonctionnement des systèmes industriels.</p>\n<p>En complément du premier volet intitulé <em><a href=\"https://messervices.cyber.gouv.fr/guides/la-cybersecurite-des-systemes-industriels\">La cybersécurité des systèmes industriels : Méthode de classification</a></em>, découvrez le deuxième volet de ce guide : <em>La cybersécurité des systèmes industriels : Mesures détaillées</em>.</p>\n","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Guide sur les systèmes industriels","nomFichier":"Guide_Systemes_industriels__Mesures_detaillees_v2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-12-19T00:00:00.000Z","thematique":"Systèmes industriels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-si-industriels-mesures","image":{"petite":"/documents-guides/la-cybersecurite-des-systemes-industriels-mesures-detaillees/588.avif","grande":"/documents-guides/la-cybersecurite-des-systemes-industriels-mesures-detaillees/origine.avif"},"documents":[{"libelle":"Guide sur les systèmes industriels","url":"https://messervices.cyber.gouv.fr/documents-guides/Guide_Systemes_industriels__Mesures_detaillees_v2.pdf"}]},{"id":"en-technical-position-paper-confidential-computing","nom":"Technical Position Paper on Confidential Computing","description":"<p>Confidential Computing is a set of technologies designed to execute sensitive workloads in remote environments (eg. Virtual Machines). It complements effectively at-rest and in-transit encryption by encrypting data in-use, shielding them from direct inspection by the administrator on shared infrastructure. The technology is not without vulnerabilities and limitations, and lacks security certifications, but still provides significant defence-in-depth. If used correctly, it may raise the complexity of attacks from the host or other tenants on the same physical machine, and reduce the size of the Trusted Computing Base (TCB), leading to a smaller attack surface overall.</p><p>However, Confidential Computing is not secure enough to protect data integrity and confidentiality against a hostile administrator performing targeted, active attacks. Under such a threat model, users must avoid running on shared infrastructure operated by providers they cannot trust, and are rather encouraged to leverage Confidential Computing to increase their security posture on dedicated hardware instead. When manipulating highly sensitive data, trust and security of the entire software and hardware supply-chain must also be carefully taken into account.</p><p>In addition to the security limitations inherent to Confidential Computing, it is also very difficult to use in a secure manner. Workloads must be hardened against specific attacks from the host. They must also be proven genuine through Remote Attestation, and decryption of sensitive data should be cryptographically tied to this attestation process. This deeply changes the way workloads are architectured and deployed. The ecosystem currently lacks mature software stacks integrating attestation with secret delivery, and deploying a complete solution involves deep expertise to ensure the integrity of the entire TCB.</p><p>The current analysis shows that Confidential Computing is not sufficient on its own to secure an entire system, or to meet the requirements described in section 19.6 of the SecNumCloud 3.2 framework. Users are encouraged to remain cautious, opting into the technology only when the expected security benefits exceed the development costs, factoring in residual risks into their threat model. On the other hand, providers need to offer solutions that allow remote attestation of the entire TCB, and collaborate on open protocols to ease interoperability between workload execution, remote attestation and secret provisioning.</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Technical Position Paper on Confidential Computing","nomFichier":"anssi-technical-position-paper-coco-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-10-17T00:00:00.000Z","thematique":"Confidential Computing","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-technical-position-paper-confidential-computing/588.avif","grande":"/documents-guides/en-technical-position-paper-confidential-computing/origine.avif"},"documents":[{"libelle":"Technical Position Paper on Confidential Computing","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-technical-position-paper-coco-v1.0.pdf"}]},{"id":"mise-en-oeuvre-securisee-dun-serveur-windows","nom":"Mise en œuvre sécurisée d’un serveur Windows","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Sécurisation initiale d&#039;un serveur membre - v1.0","nomFichier":"anssi_essentiels_serveur_Windows_membre_AD_DS_v1.0.pdf"},{"libelle":"Les Essentiels de l&#039;ANSSI - Sécurisation initiale d&#039;un serveur autonome - v1.0","nomFichier":"anssi_essentiels_serveur_Windows_autonome_v1.0.pdf"},{"libelle":"Les Essentiels de l&#039;ANSSI - Sécurisation initiale d&#039;un contrôleur de domaine - v1.0","nomFichier":"anssi_essentiels_serveur_Windows_controleur_domaine_v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-10-03T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-serveur-windows","image":{"petite":"/documents-guides/mise-en-oeuvre-securisee-dun-serveur-windows/588.avif","grande":"/documents-guides/mise-en-oeuvre-securisee-dun-serveur-windows/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Sécurisation initiale d&#039;un serveur membre - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_serveur_Windows_membre_AD_DS_v1.0.pdf"},{"libelle":"Les Essentiels de l&#039;ANSSI - Sécurisation initiale d&#039;un serveur autonome - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_serveur_Windows_autonome_v1.0.pdf"},{"libelle":"Les Essentiels de l&#039;ANSSI - Sécurisation initiale d&#039;un contrôleur de domaine - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_serveur_Windows_controleur_domaine_v1.0.pdf"}]},{"id":"en-start-security-windows-servers","nom":"Start-up security for Windows servers","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Start-up security for a member server - v1.0","nomFichier":"anssi_back to basics_AD_DS_member_server_1.0.pdf"},{"libelle":"Back to Basics - Start-up security for a standalone server - v1.0","nomFichier":"anssi_back to basics_standalone_server_1.0.pdf"},{"libelle":"Back to Basics - Start-up security for a domain controller - v1.0","nomFichier":"anssi_back to basics_domain_controller_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-10-03T00:00:00.000Z","thematique":"Start-up security","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-start-security-windows-servers/588.avif","grande":"/documents-guides/en-start-security-windows-servers/origine.avif"},"documents":[{"libelle":"Back to Basics - Start-up security for a member server - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_AD_DS_member_server_1.0.pdf"},{"libelle":"Back to Basics - Start-up security for a standalone server - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_standalone_server_1.0.pdf"},{"libelle":"Back to Basics - Start-up security for a domain controller - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_domain_controller_1.0.pdf"}]},{"id":"la-supervision-de-securite-piloter-un-projet-de-supervision","nom":"Piloter un projet de supervision","description":"<p>La <strong>supervision de sécurité</strong> se définit comme l'ensemble des moyens et des activités concourant, dans les meilleurs délais, à la détection et à la qualification d'un incident de sécurité sur un périmètre supervisé, ainsi qu'au choix de la réaction appropriée lorsque cet incident est avéré. La supervision de sécurité participe, avec le renseignement sur la menace et la réponse à incidents, au traitement des incidents de sécurité.</p><p>Fruit d’une riche expérience en tant qu'opérateur du service de supervision de sécurité de l’Etat, ainsi que dans l’accompagnement de prestataires et de bénéficiaires de services de supervision, l’ANSSI publie une collection de guides sur la supervision de sécurité destiné à s’enrichir progressivement et décrivant les principes de son pilotage et de sa bonne mise en œuvre : le volet stratégique, le volet opérationnel et le volet technique. Le <strong> volet opérationnel </strong> s’adresse aux <strong>RSSI, aux responsables d’un service de supervision, aux chefs de projets</strong>… Il liste les éléments attendus d'une supervision de sécurité. Il peut servir à piloter un projet, à construire une expression de besoin, ou encore à organiser des tests d'efficacité</p>","langue":"FR","collections":["Supervision de sécurité"],"listeDocuments":[{"libelle":"Supervision de sécurité - Piloter un projet de supervision","nomFichier":"anssi_supervision_piloter_un_projet_de_supervision_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-09-12T00:00:00.000Z","thematique":"La supervision de sécurité","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/supervision-securite","image":{"petite":"/documents-guides/la-supervision-de-securite-piloter-un-projet-de-supervision/588.avif","grande":"/documents-guides/la-supervision-de-securite-piloter-un-projet-de-supervision/origine.avif"},"documents":[{"libelle":"Supervision de sécurité - Piloter un projet de supervision","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_supervision_piloter_un_projet_de_supervision_1.0.pdf"}]},{"id":"la-supervision-de-securite-les-cles-de-decision","nom":"La supervision de sécurité : les clés de décision","description":"<p>La supervision de sécurité se définit comme l'ensemble des moyens et des activités concourant, dans les meilleurs délais, à la détection et à la qualification d'un incident de sécurité sur un périmètre supervisé, ainsi qu'au choix de la réaction appropriée lorsque cet incident est avéré. La supervision de sécurité participe, avec le renseignement sur la menace et la réponse à incidents, au traitement des incidents de sécurité.</p><p>Fruit d’une riche expérience en tant qu'opérateur du service de supervision de sécurité de l’Etat, ainsi que dans l’accompagnement de prestataires et de bénéficiaires de services de supervision, l’ANSSI publie une collection de guides sur la supervision de sécurité destiné à s’enrichir progressivement et décrivant les principes de son pilotage et de sa bonne mise en œuvre : le volet stratégique, le volet opérationnel et le volet technique.</p><p>Le volet stratégique de la collection Supervision de sécurité s’adresse aux décideurs au sein des organisations.</p><p>Il apportera les clés de décision nécessaires pour fixer des objectifs de supervision et passer à l'action.</p>","langue":"FR","collections":["Supervision de sécurité"],"listeDocuments":[{"libelle":"Guide Supervision de sécurité : les clés de décision","nomFichier":"anssi_supervision_les_cles_de_decision_1.0 (1).pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-08-26T00:00:00.000Z","thematique":"La supervision de sécurité","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/supervision-securite","image":{"petite":"/documents-guides/la-supervision-de-securite-les-cles-de-decision/588.avif","grande":"/documents-guides/la-supervision-de-securite-les-cles-de-decision/origine.avif"},"documents":[{"libelle":"Guide Supervision de sécurité : les clés de décision","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_supervision_les_cles_de_decision_1.0 (1).pdf"}]},{"id":"architecture-securisee-de-si","nom":"Architecture sécurisée de SI","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Architecture sécurisée de SI - v1.0","nomFichier":"anssi_essentiels_architecture_securisee_v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-08-08T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-archi-si","image":{"petite":"/documents-guides/architecture-securisee-de-si/588.avif","grande":"/documents-guides/architecture-securisee-de-si/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Architecture sécurisée de SI - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_architecture_securisee_v1.0.pdf"}]},{"id":"en-information-system-security-infrastructure","nom":"Information system security infrastructure","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Information system security infrastructure - v1.0","nomFichier":"anssi_back to basics_is_security_architecture_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-08-08T00:00:00.000Z","thematique":"Infrastructure","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-information-system-security-infrastructure/588.avif","grande":"/documents-guides/en-information-system-security-infrastructure/origine.avif"},"documents":[{"libelle":"Back to Basics - Information system security infrastructure - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_is_security_architecture_1.0.pdf"}]},{"id":"infrastructure-de-gestion-de-cles-igc","nom":"Infrastructure de gestion de clés (IGC)","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Infrastructure de gestion de clés (IGC)","nomFichier":"anssi_essentiels_igc_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-08-01T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-igc","image":{"petite":"/documents-guides/infrastructure-de-gestion-de-cles-igc/588.avif","grande":"/documents-guides/infrastructure-de-gestion-de-cles-igc/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Infrastructure de gestion de clés (IGC)","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_igc_1.0.pdf"}]},{"id":"en-public-key-infrastructure-pki","nom":"Public key infrastructure (PKI)","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Public key infrastructure (PKI) - v1.0","nomFichier":"anssi_back to basics_pki_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-08-01T00:00:00.000Z","thematique":"PKI","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-public-key-infrastructure-pki/588.avif","grande":"/documents-guides/en-public-key-infrastructure-pki/origine.avif"},"documents":[{"libelle":"Back to Basics - Public key infrastructure (PKI) - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_pki_1.0.pdf"}]},{"id":"en-zero-trust-model","nom":"Zero Trust Model","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"anssi_back to basics_zero_trust_1.0.pdf","nomFichier":"anssi_back to basics_zero_trust_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-06-24T00:00:00.000Z","thematique":"Zero Trust","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-zero-trust-model/588.avif","grande":"/documents-guides/en-zero-trust-model/origine.avif"},"documents":[{"libelle":"anssi_back to basics_zero_trust_1.0.pdf","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_zero_trust_1.0.pdf"}]},{"id":"zero-trust","nom":"Modèle Zero Trust","description":"<p>Avec l’accroissement des usages liés au télétravail, à la pratique du « Bring Your Own Device » (BYOD) et aux accès hétérogènes à des services on-premise ou dans le cloud, les produits dérivés du modèle Zero Trust sont promus par les éditeurs.</p><p> Les produits dits Zero Trust sont vus comme des solutions permettant de pallier certaines limitations des mesures traditionnelles telles que la protection des flux par VPN ou le filtrage réseau par des pares-feux périmétriques. Bien souvent, les modèles Zero Trust et de défense périmétrique sont opposés alors qu’ils sont complémentaires et partagent de nombreux principes communs. Ainsi le modèle Zero Trust doit être inclus dans une stratégie de défense en profondeur et il ne doit en aucun cas être vu comme un remplacement d’une défense périmétrique.</p><p> Le principal objectif de ce modèle est de réduire la confiance implicite accordée à un sujet souhaitant accéder au système d’information (SI). Il apporte un éclairage complémentaire à l’avis scientifique et technique de l’ANSSI publié en 2021 sur le modèle Zero Trust et sur la manière dont il peut être mis en œuvre progressivement dans le cadre d’une stratégie de défense en profondeur.</p>","langue":"FR","collections":["Les fondamentaux"],"listeDocuments":[{"libelle":"Les Fondamentaux de l&#039;ANSSI - Zero Trust - v1.0","nomFichier":"anssi-fondamentaux-zero-trust-v1.0.pdf"},{"libelle":"(obsolète) Avis scientifique et technique - Le modèle Zero Trust - 2021","nomFichier":"anssi-avis_scientifiques_et_techniques-modele_zero_trust.pdf"},{"libelle":"(deprecated) - Anssi views on the Zero Trust model - 2021","nomFichier":"Anssi views on the Zero Trust model_0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-06-20T00:00:00.000Z","thematique":"Les fondamentaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/fondamentaux-zero-trust","image":{"petite":"/documents-guides/zero-trust/588.avif","grande":"/documents-guides/zero-trust/origine.avif"},"documents":[{"libelle":"Les Fondamentaux de l&#039;ANSSI - Zero Trust - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-fondamentaux-zero-trust-v1.0.pdf"},{"libelle":"(obsolète) Avis scientifique et technique - Le modèle Zero Trust - 2021","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-avis_scientifiques_et_techniques-modele_zero_trust.pdf"},{"libelle":"(deprecated) - Anssi views on the Zero Trust model - 2021","url":"https://messervices.cyber.gouv.fr/documents-guides/Anssi views on the Zero Trust model_0.pdf"}]},{"id":"modele-zero-trust","nom":"Modèle Zero Trust","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Modèle Zero Trust - v1.0","nomFichier":"anssi_essentiels_zero_trust_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-06-20T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-zero-trust","image":{"petite":"/documents-guides/modele-zero-trust/588.avif","grande":"/documents-guides/modele-zero-trust/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Modèle Zero Trust - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_zero_trust_1.0.pdf"}]},{"id":"approche-ssi-pour-linternet-des-objets-industriels","nom":"Approche SSI pour l’Internet des objets industriels","description":"<p>L’<em>Industrial Internet of Things</em> (IIoT) induit de nouveaux usages s’appuyant sur le traitement et la valorisation accrue de la donnée industrielle. Ces nouveaux usages génèrent de la valeur complémentaire pour les industriels : réduction des coûts de maintenance, amélioration des rendements, revente des données, etc.</p><p>Ces systèmes sont susceptibles d’être la cible d’attaques à but lucratif par des groupes cybercriminels menant des actions de masse et la cible d’attaques à but d’espionnage ou de déstabilisation de groupes d’attaquants appuyés par des États. Ces menaces doivent être prises au sérieux d’autant qu’elles sont soutenues dans le temps. L’IIoT offre une surface d’attaque supplémentaire pour ces attaquants. Il convient donc d’adopter une approche SSI dans les choix d’utilisation et de déploiement.</p><p>Présenté lors de la conférence C&amp;ESAR23, il propose une approche SSI pour l’IIoT dans le domaine industriel en se focalisant sur l’usine de production, à travers une méthode de prise en compte des risques associés à l’usage des IIOT, des principes d’architectures et des adaptations des systèmes d’information industriels.</p><p>Les axes explorés peuvent être transposés à d’autres contextes industriels, tels que les systèmes géographiquement étendus ou la logistique.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"approche_ssi_pour_l_internet_des_objets_industriels_2025.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-05-30T00:00:00.000Z","thematique":"Internet des objets","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/article-iiot","image":{"petite":"/documents-guides/approche-ssi-pour-linternet-des-objets-industriels/588.avif","grande":"/documents-guides/approche-ssi-pour-linternet-des-objets-industriels/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/approche_ssi_pour_l_internet_des_objets_industriels_2025.pdf"}]},{"id":"selection-dun-logiciel-libre","nom":"Sélection d’un logiciel libre","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Sélection d&#039;un logiciel libre","nomFichier":"anssi_essentiels_selection_logiciel_libre_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-05-02T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-logiciel-libre","image":{"petite":"/documents-guides/selection-dun-logiciel-libre/588.avif","grande":"/documents-guides/selection-dun-logiciel-libre/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Sélection d&#039;un logiciel libre","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_selection_logiciel_libre_1.0.pdf"}]},{"id":"en-how-select-open-source-software","nom":"How to select an open-source software","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"How to select an open-source software","nomFichier":"anssi_back to basics_select_open_source_software.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-05-02T00:00:00.000Z","thematique":"Open-source","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-how-select-open-source-software/588.avif","grande":"/documents-guides/en-how-select-open-source-software/origine.avif"},"documents":[{"libelle":"How to select an open-source software","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_select_open_source_software.pdf"}]},{"id":"en-cyber-attacks-and-remediation-remediation-active-directory-tier-0","nom":"Remediation of active directory tier 0","description":"<p>The purpose of this publication is to provide a conceptual framework for remediation operations in the event of a major cybersecurity breach. In this document, remediation is defined as a set of operations aimed at taking back control of a compromised information system and restoring it to a sufficient level of operation.</p><p>This document is part of the technical component of ANSSI’s corpus of publications on remediation. It presents the foundations of the operation to rebuild the trusted core of the Active Directory. It is intended to help progress through a remediation plan by providing a brief set of key measures to implement. As such, it is mainly intended for the technical teams in charge of implementing reconstruction operations.</p>","langue":"EN","collections":["Remédiation"],"listeDocuments":[{"libelle":"Cyber attacks and remediation - Remediation of active directory tier 0","nomFichier":"cyber-attacks-remediation-remadation-of-active-directory-tier-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-04-16T00:00:00.000Z","thematique":"Cyberattaques et remédiation","besoins":["REAGIR"],"image":{"petite":"/documents-guides/en-cyber-attacks-and-remediation-remediation-active-directory-tier-0/588.avif","grande":"/documents-guides/en-cyber-attacks-and-remediation-remediation-active-directory-tier-0/origine.avif"},"documents":[{"libelle":"Cyber attacks and remediation - Remediation of active directory tier 0","url":"https://messervices.cyber.gouv.fr/documents-guides/cyber-attacks-remediation-remadation-of-active-directory-tier-0.pdf"}]},{"id":"en-cyber-attacks-and-remediation-keys-decision-making","nom":"The keys to decision-making","description":"<p>ANSSI publishes a set of guides on remediation, laying out the principles for the management and implementation of remediation within an organisation affected by a cybersecurity incident.</p><p>The purpose of this strategic-level document is to define the main concepts necessary to understand the role of decision makers in the remediation process.</p>","langue":"EN","collections":["Remédiation"],"listeDocuments":[{"libelle":"Cyber attacks and remediation - The keys to decision making","nomFichier":"cyber-attacks-remediation-the-keys-to-decision-making.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-04-16T00:00:00.000Z","thematique":"Cyberattaques et remédiation","besoins":["REAGIR"],"image":{"petite":"/documents-guides/en-cyber-attacks-and-remediation-keys-decision-making/588.avif","grande":"/documents-guides/en-cyber-attacks-and-remediation-keys-decision-making/origine.avif"},"documents":[{"libelle":"Cyber attacks and remediation - The keys to decision making","url":"https://messervices.cyber.gouv.fr/documents-guides/cyber-attacks-remediation-the-keys-to-decision-making.pdf"}]},{"id":"en-cyber-attacks-and-remediation-managing-remediation","nom":"Managing the remediation","description":"<p>ANSSI publishes a set of guides on remediation, laying out the principles for the management and implementation of remediation within an organisation affected by a cybersecurity incident.</p><p>This document provides a conceptual framework for remediation operations in the event of a major cyber incident compromising the integrity of an information system (IS). In this document, remediation is defined as a set of operations aimed at taking back control of a compromised IS after such an incident, and restoring it to a sufficient operational status for the survival of organisation.</p><p>This document is part of a collection of documents published by ANSSI pertaining to the remediation of cyber incidents. It is an intermediate-level document between the strategic booklet, addressing senior management, and the technical-level documents, detailing the implementation of remediation actions. More specifically, this document is intended to assist in the design and execution of the remediation project at the operational level.</p>","langue":"EN","collections":["Remédiation"],"listeDocuments":[{"libelle":"Cyber attacks and remediation - Managing the remediation","nomFichier":"cyber-attacks-remediation-managing-remediation.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-04-16T00:00:00.000Z","thematique":"Cyberattaques et remédiation","besoins":["REAGIR"],"image":{"petite":"/documents-guides/en-cyber-attacks-and-remediation-managing-remediation/588.avif","grande":"/documents-guides/en-cyber-attacks-and-remediation-managing-remediation/origine.avif"},"documents":[{"libelle":"Cyber attacks and remediation - Managing the remediation","url":"https://messervices.cyber.gouv.fr/documents-guides/cyber-attacks-remediation-managing-remediation.pdf"}]},{"id":"la-cybersecurite-des-systemes-industriels","nom":"La cybersécurité des systèmes industriels - Méthode de classification","description":"<p>Les systèmes industriels s’appuyant sur la technologie opérationnelle (<em>Operational Technology</em>, OT), servent à conduire et surveiller des procédés qui ont une action physique directe et peuvent donc présenter des risques pour les personnes, les biens ou l’environnement. Certains systèmes industriels utilisent les technologies de l’information (<em>Information Technology</em>, IT) mais n’ont pas été conçus pour faire face aux menaces qu’elles introduisent. De plus, les solutions de sécurisation utilisées dans le domaine de l’informatique de gestion ne sont pas toujours adaptées au fonctionnement des systèmes industriels.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"La cybersécurité des systèmes industriels - Méthode de classification - v2.0","nomFichier":"anssi-guide-systemes_industriels-methode_de_classification_v2-0.pdf.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-04-11T00:00:00.000Z","thematique":"Systèmes industriels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-si-industriels-classification","image":{"petite":"/documents-guides/la-cybersecurite-des-systemes-industriels/588.avif","grande":"/documents-guides/la-cybersecurite-des-systemes-industriels/origine.avif"},"documents":[{"libelle":"La cybersécurité des systèmes industriels - Méthode de classification - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-systemes_industriels-methode_de_classification_v2-0.pdf.pdf"}]},{"id":"hygiene-numerique-des-telephones-mobiles","nom":"Hygiène numérique des téléphones mobiles","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Hygiène numérique des téléphones mobiles - v1.1","nomFichier":"anssi_essentiels_hygiene_telephones_mobiles_1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-04-03T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-hygiene-mobiles","image":{"petite":"/documents-guides/hygiene-numerique-des-telephones-mobiles/588.avif","grande":"/documents-guides/hygiene-numerique-des-telephones-mobiles/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Hygiène numérique des téléphones mobiles - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_hygiene_telephones_mobiles_1.1.pdf"}]},{"id":"en-digital-hygiene-mobile-phones","nom":"Digital hygiene for mobile phones","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Digital hygiene fo mobile phones - v1.1","nomFichier":"anssi_back to basics_hygiene_mobile_phones_1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-04-03T00:00:00.000Z","thematique":"Mobile","besoins":["SECURISER","ETRE_SENSIBILISE"],"image":{"petite":"/documents-guides/en-digital-hygiene-mobile-phones/588.avif","grande":"/documents-guides/en-digital-hygiene-mobile-phones/origine.avif"},"documents":[{"libelle":"Back to Basics - Digital hygiene fo mobile phones - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_hygiene_mobile_phones_1.1.pdf"}]},{"id":"lhomologation-de-securite-des-systemes-dinformation","nom":"L’homologation de sécurité des systèmes d’information","description":"<p>Les systèmes d’information sont devenus incontournables dans le fonctionnement des entités publiques et privées.</p><p>Leurs utilisations détournées peuvent entraîner des risques pouvant avoir des impacts humains, financiers, juridiques ou réputationnels catastrophiques.</p><p>La prise en compte et l’acceptation formelle de ces risques par une autorité est appelée « homologation de sécurité » et est réglementaire dans un grand nombre de cas.</p><p>A travers le guide d’homologation de sécurité, il semblait important de comprendre et de détailler la démarche permettant aux organisations d’homologuer leurs systèmes d’information.</p><p>Ce guide s’adresse à toutes les personnes devant réaliser, porter ou accompagner une démarche d’homologation.</p><p>Co-écrit par l’ANSSI et la DINUM, il se base sur des années d’élaboration et d’accompagnement dans des travaux d’homologation et sur les nombreux retours d’experts de la fonction publique et du secteur privé.</p><p>Ce guide se veut abordable dans sa lecture et applicable à tous les systèmes d’information, du plus simple au plus complexe, quelle que soit sa criticité ou son exposition aux sources de risques.</p><p>Le guide doit être lu comme un support permettant l’homologation de sécurité d’un système d’information, mais n’a pas pour vocation à remplacer une méthode, efficace, déjà en place dans votre organisation.</p><p>Dans un monde numérique en constante évolution, le guide de l’homologation de sécurité sera amené à être amélioré régulièrement. Il fait partie de la collection « Gestion des Risques Cyber » permettant de mieux appréhender les risques cyber.</p><p>Il se complète par des fiches méthodes permettant la prise en compte des typologies de système d’information dans le processus d’homologation.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guide de l&#039;homologation de sécurité des systèmes d&#039;information","nomFichier":"guide-homologation-securite-web-04-2025.pdf"},{"libelle":"Fiche méthode - Système d'information répliqué","nomFichier":"Fiche_methode_Systeme_dinformation_replique.pdf"},{"libelle":"Fiche méthode - Système d'information isolé et simple","nomFichier":"Fiche_methode_Systeme_dinformation%20_isole_et_simple.pdf"},{"libelle":"Fiche méthode - L'homologation pour les décideurs","nomFichier":"Fiche_methode_Lhomologation_pour_les_decideurs.pdf"},{"libelle":"Fiche méthode - Homologation et ISO27001","nomFichier":"fiche_methode_homologation_et_ISO27001.pdf"},{"libelle":"Fiche méthode - Identifier l'autorité d'homologation","nomFichier":"fiche_methode_Identifier_lautorite_dhomologation.pdf"},{"libelle":"Fiche méthode - Organiser une revue des systèmes d'information","nomFichier":"fiche_methode_Organiser_une_revue_des_systemes_dinformation.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-04-01T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-homologation-securite","image":{"petite":"/documents-guides/lhomologation-de-securite-des-systemes-dinformation/588.avif","grande":"/documents-guides/lhomologation-de-securite-des-systemes-dinformation/origine.avif"},"documents":[{"libelle":"Guide de l&#039;homologation de sécurité des systèmes d&#039;information","url":"https://messervices.cyber.gouv.fr/documents-guides/guide-homologation-securite-web-04-2025.pdf"},{"libelle":"Fiche méthode - Système d'information répliqué","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode_Systeme_dinformation_replique.pdf"},{"libelle":"Fiche méthode - Système d'information isolé et simple","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode_Systeme_dinformation%20_isole_et_simple.pdf"},{"libelle":"Fiche méthode - L'homologation pour les décideurs","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode_Lhomologation_pour_les_decideurs.pdf"},{"libelle":"Fiche méthode - Homologation et ISO27001","url":"https://messervices.cyber.gouv.fr/documents-guides/fiche_methode_homologation_et_ISO27001.pdf"},{"libelle":"Fiche méthode - Identifier l'autorité d'homologation","url":"https://messervices.cyber.gouv.fr/documents-guides/fiche_methode_Identifier_lautorite_dhomologation.pdf"},{"libelle":"Fiche méthode - Organiser une revue des systèmes d'information","url":"https://messervices.cyber.gouv.fr/documents-guides/fiche_methode_Organiser_une_revue_des_systemes_dinformation.pdf"}]},{"id":"donnees-traitements-sensibles","nom":"Données et traitements sensibles","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Données et traitements sensibles - v1.0","nomFichier":"anssi_essentiels_données_traitements_sensibles_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-03-28T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-sensible","image":{"petite":"/documents-guides/donnees-traitements-sensibles/588.avif","grande":"/documents-guides/donnees-traitements-sensibles/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Données et traitements sensibles - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_données_traitements_sensibles_1.0.pdf"}]},{"id":"en-sensitive-data-and-processing","nom":"Sensitive data and processing","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Sensitive data and processing -1.0","nomFichier":"anssi_back to basics_sensitive_data_and_processing_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-03-28T00:00:00.000Z","thematique":"Sensitive data and processing","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-sensitive-data-and-processing/588.avif","grande":"/documents-guides/en-sensitive-data-and-processing/origine.avif"},"documents":[{"libelle":"Back to Basics - Sensitive data and processing -1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_sensitive_data_and_processing_1.0.pdf"}]},{"id":"developper-la-confiance-dans-lia-par-une-approche-par-les-risques-cyber","nom":"Développer la confiance dans l’IA par une approche par les risques cyber.","description":"<p>Cette publication menée sous l’égide de l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI) résulte de travaux collaboratifs avec des experts institutionnels français du domaine (CNIL, INRIA, LNE, PEReN, AMIAD) et a été cosignée dans <a>sa version anglaise</a> par les partenaires internationaux.</p><p>Les agences internationales et autorités gouvernementales cosignataires du présent document soutiennent une approche par les risques afin de favoriser l’usage des systèmes d’IA de confiance et de rendre plus sûre leur chaine de valeur. Ils appellent à poursuivre les discussions au-delà du Sommet IA, en ayant une approche équilibrée prenant en considération les opportunités, les risques de l’IA et l’évolution de la menace cyber dans le cadre de l’adoption de cette technologie.</p><p>En constant développement depuis les années 1950, l’intelligence artificielle (IA) est une technologie susceptible d’influencer tous les secteurs, de la défense à l’énergie, en passant par la santé et la finance, etc. L’adoption rapide de l’IA et la dépendance accrue à ces technologies, notamment l’usage des modèles de langue (LLM), devraient encourager les parties prenantes à évaluer les risques connexes, dont ceux liés à la cybersécurité.</p><p>Sans mesures adéquates, et compte tenu du fait que les utilisateurs tendent toujours à sous-estimer l’importance des risques cyber, des acteurs malveillants pourraient exploiter les vulnérabilités des technologies d’IA et à l’avenir compromettre leur usage. <strong>Il est donc impératif de comprendre et limiter ces risques, afin de promouvoir le développement de l’IA de confiance et d’en saisir pleinement les opportunités </strong></p><p>Ce document met l’accent sur la cybersécurité des systèmes d’IA et constitue une analyse haut niveau des risques cyber. Il présente des premiers éléments pour permettre à chaque organisation d’apprécier les risques cyber liés aux systèmes IA et d’identifier les mesures de sécurité à mettre en œuvre pour les maitriser, en s’appuyant sur les précédentes recommandations du NCSC-UK et de la CISA relatives à la sécurisation du développement des systèmes d’IA, publié en novembre 2023.</p><p>Cette analyse des risques vise les systèmes intégrant des composants d'IA, et non la sécurité individuelle des composants d'IA. Elle propose une synthèse globale des risques pesant sur ces systèmes plutôt qu’une liste exhaustive de leurs vulnérabilités.</p><p></p>","langue":"FR","collections":["Intelligence artificielle"],"listeDocuments":[{"libelle":"Développer la confiance dans l'IA à travers une approche par les risques cyber","nomFichier":"Document_Analyse_de_risques_FR.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-02-07T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["SECURISER"],"image":{"petite":"/documents-guides/developper-la-confiance-dans-lia-par-une-approche-par-les-risques-cyber/588.avif","grande":"/documents-guides/developper-la-confiance-dans-lia-par-une-approche-par-les-risques-cyber/origine.avif"},"documents":[{"libelle":"Développer la confiance dans l'IA à travers une approche par les risques cyber","url":"https://messervices.cyber.gouv.fr/documents-guides/Document_Analyse_de_risques_FR.pdf"}]},{"id":"en-building-trust-ai-through-cyber-risk-based-approach","nom":"Building trust in AI through a cyber risk-based approach","description":"<p>AI, a transformative technology under development since the 1950s, now impacts almost every sector from defence to energy, health to finance and many others. Its rapid adoption, including the use of large language models (LLM) and increasing reliance on AI, should encourage stakeholders to assess related risks, including the ones associated to cybersecurity.</p><p>Without adequate measures – and given that users still tend to underestimate AI-related cyber risks – malicious actors could exploit vulnerabilities of AI systems and jeopardize the use of AI technology in the future. <strong>It is therefore crucial to understand and mitigate these risks, to foster trusted AI development and fully embrace the opportunities that this technology offers.</strong></p><p>While the matter of AI-enhanced solutions, whether defensive or offensive, is already well addressed both in academic papers and in various frameworks currently being developed, this document focuses on the cybersecurity of AI systems. It aims to provide a high-level synthetic and comprehensive analysis of related cyber risks and to offer guidance to assess threats and implement adequate security measures building on the <em>Guidelines for Secure AI Systems Development</em>, developed in collaboration with over 20 international organizations and jointly released on November 2023.</p><p>This risk analysis aims to consider not only the vulnerabilities of individual AI components, but also the security of broader AI systems integrating these components. Its purpose is to provide a wide overview of AI-related cyber risks rather than an exhaustive list of vulnerabilities.</p>","langue":"EN","collections":["Intelligence artificielle"],"listeDocuments":[{"libelle":"High level risk analysis on AI","nomFichier":"high_level_risks_analysis_ai_paris_summit.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-02-07T00:00:00.000Z","thematique":"AI","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-building-trust-ai-through-cyber-risk-based-approach/588.avif","grande":"/documents-guides/en-building-trust-ai-through-cyber-risk-based-approach/origine.avif"},"documents":[{"libelle":"High level risk analysis on AI","url":"https://messervices.cyber.gouv.fr/documents-guides/high_level_risks_analysis_ai_paris_summit.pdf"}]},{"id":"bases-de-donnees-relationnelles","nom":"Bases de données relationnelles","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Bases de données relationnelles - v1.0","nomFichier":"anssi_essentiels_bdd_relationnelles_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-01-31T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-bdd-relationnelles","image":{"petite":"/documents-guides/bases-de-donnees-relationnelles/588.avif","grande":"/documents-guides/bases-de-donnees-relationnelles/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Bases de données relationnelles - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_bdd_relationnelles_1.0.pdf"}]},{"id":"en-relational-databases","nom":"Relational databases","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Relational databases - v1.0","nomFichier":"anssi_back to basics_relational_databases_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-01-31T00:00:00.000Z","thematique":"Relational databases","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-relational-databases/588.avif","grande":"/documents-guides/en-relational-databases/origine.avif"},"documents":[{"libelle":"Back to Basics - Relational databases - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_relational_databases_1.0.pdf"}]},{"id":"se-proteger-des-fuites-de-donnees","nom":"Se protéger des fuites de données","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Se protéger des fuites de données - v1.0","nomFichier":"anssi_essentiels_fuites_données_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-01-28T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-fuite-donnees","image":{"petite":"/documents-guides/se-proteger-des-fuites-de-donnees/588.avif","grande":"/documents-guides/se-proteger-des-fuites-de-donnees/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Se protéger des fuites de données - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_fuites_données_1.0.pdf"}]},{"id":"en-data-leak-prevention","nom":"Data leak prevention","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Data leak prevention - v1.0","nomFichier":"anssi_back to basics_data_leak_prevention_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-01-28T00:00:00.000Z","thematique":"Data leak","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-data-leak-prevention/588.avif","grande":"/documents-guides/en-data-leak-prevention/origine.avif"},"documents":[{"libelle":"Back to Basics - Data leak prevention - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_back to basics_data_leak_prevention_1.0.pdf"}]},{"id":"automatisation-de-la-gestion-des-certificats-avec-acme","nom":"Automatisation de la gestion des certificats avec ACME","description":"<p>Les recommandations de ce document ont pour objet de sécuriser la mise en œuvre d’une gestion automatisée de certificats électroniques d’authentification de serveur web avec le protocole ACME (<em>Automatic Certificate Management Environment</em>).</p><p>L’automatisation de la gestion des certificats assure un gain en efficacité et limite le risque d’indisponibilité des applicatifs métiers pour cause de non-renouvellement de certificats. L’automatisation peut s’avérer particulièrement intéressante dans le contexte actuel, où la durée de vie des certificats tend à diminuer, car le renouvellement des certificats, de plus en plus fréquent, nécessite une charge de travail plus importante pour les demandeurs de certificats.</p><p> Cependant l’automatisation apporte de nouveaux risques (en particulier, une plus grande exposition de l’autorité de certification avec l’ajout d’un serveur ACME et une augmentation de la surface d’attaque côté demandeur de certificats avec la mise en œuvre d’un client ACME) que les recommandations de ce document visent à traiter.</p>","langue":"FR","collections":["Les fondamentaux"],"listeDocuments":[{"libelle":"Les fondamentaux de l'ANSSI - Automatisation de la gestion des certificats avec ACME v1.1","nomFichier":"anssi-fondamentaux-securisation-acme-v1-1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2025-01-24T00:00:00.000Z","thematique":"Les fondamentaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/fondamentaux-acme","image":{"petite":"/documents-guides/automatisation-de-la-gestion-des-certificats-avec-acme/588.avif","grande":"/documents-guides/automatisation-de-la-gestion-des-certificats-avec-acme/origine.avif"},"documents":[{"libelle":"Les fondamentaux de l'ANSSI - Automatisation de la gestion des certificats avec ACME v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-fondamentaux-securisation-acme-v1-1.pdf"}]},{"id":"recommandations-pour-les-architectures-des-interconnexions-multiniveaux","nom":"Recommandations pour les architectures des interconnexions multiniveaux","description":"<p>Le présent guide a été conçu comme un outil destiné à aider une entité à mettre en œuvre des interconnexions multiniveaux conformes à l’IGI 1300.</p><p>Cette version du guide n'aborde pas les mesures de protection internes aux systèmes d’information classifiés ni la problématique des interconnexions entre systèmes d’information de niveaux de classification équivalents.</p><p>Ce guide traite spécifiquement du besoin de protection en confidentialité des informations classifiées du secret de la défense nationale. Il ne traite que partiellement les problématiques d’intégrité et de disponibilité qui sont propres à chaque système d’information et souvent indépendantes du niveau de classification du système d’information.</p><p>À la date de rédaction de ce guide, il n’existe pas de dispositif de sécurité agréé pour les interconnexions descendantes. Ce guide se veut également une incitation aux industriels à proposer des dispositifs de sécurité permettant de répondre à ces besoins.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour les architectures des interconnexions multiniveaux - v1.0","nomFichier":"anssi-guide-archi_interco_mn-v1-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-10-25T00:00:00.000Z","thematique":"Interconnexions multiniveaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-archi-interco-mn","image":{"petite":"/documents-guides/recommandations-pour-les-architectures-des-interconnexions-multiniveaux/588.avif","grande":"/documents-guides/recommandations-pour-les-architectures-des-interconnexions-multiniveaux/origine.avif"},"documents":[{"libelle":"Recommandations pour les architectures des interconnexions multiniveaux - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-archi_interco_mn-v1-0.pdf"}]},{"id":"recommandations-relatives-aux-architectures-des-services-dns","nom":"Recommandations relatives aux architectures des services DNS","description":"<p>Protocole clé aussi bien dans le développement des réseaux internes que celui d'Internet, le DNS (<em>Domain Name System</em>) a été conçu pour résoudre des noms de domaine Internet en adresses IP. Il a également évolué avec la capacité de résoudre les adresses des serveurs de courriels ou de stocker des informations supplémentaires (ex. : pour la protection contre les courriels indésirables ou pour les signatures DNSSEC).</p><p> Les services implémentant le protocole DNS sont désormais incontournables pour le bon fonctionnement des systèmes d'information. Cependant, ce protocole n'a été créé qu'avec un minimum de sécurité alors que l'atteinte en disponibilité ou intégrité des services DNS a généralement des conséquences majeures sur l'accès aux systèmes d'information.</p><p> Ce guide s'adresse aux architectes, RSSI et administrateurs des services DNS d'entités publiques ou privées. Il couvre plusieurs sujets de sécurité propres au protocole (<em>hidden masters</em>, transferts de zone, DNSSEC…) et présente des recommandations pour la sécurisation des architectures de trois services DNS (résolution des noms de domaine internes, résolution des noms de domaine Internet et hébergement des noms de domaine Internet).</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations relatives aux architectures des services DNS","nomFichier":"anssi-guide-archi_services_dns-v1-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-08-20T00:00:00.000Z","thematique":"Services DNS","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-archi-dns","image":{"petite":"/documents-guides/recommandations-relatives-aux-architectures-des-services-dns/588.avif","grande":"/documents-guides/recommandations-relatives-aux-architectures-des-services-dns/origine.avif"},"documents":[{"libelle":"Recommandations relatives aux architectures des services DNS","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-archi_services_dns-v1-0.pdf"}]},{"id":"cyberdico-quest-ce-que-cest","nom":"Le Cyberdico de l'ANSSI","description":"<p>Ce document de référence, vous permettra de parfaire votre connaissance cyber et de vous aider dans la rédaction de vos supports.</p><p>Le CyberDico évolue et est mis à jour régulièrement.</p><p>Le CyberDico change de forme, retrouvez la nouvelle version du CyberDico.</a></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"CyberDico_ANSSI_2024.pdf","nomFichier":"CyberDico_ANSSI_2024.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-07-15T00:00:00.000Z","thematique":"Définitions","besoins":["ETRE_SENSIBILISE","SE_FORMER"],"image":{"petite":"/documents-guides/cyberdico-quest-ce-que-cest/588.avif","grande":"/documents-guides/cyberdico-quest-ce-que-cest/origine.avif"},"documents":[{"libelle":"CyberDico_ANSSI_2024.pdf","url":"https://messervices.cyber.gouv.fr/documents-guides/CyberDico_ANSSI_2024.pdf"}]},{"id":"recommandations-pour-lhebergement-des-si-sensibles-dans-le-cloud","nom":"Recommandations pour l’hébergement dans le cloud des SI sensibles ","description":"<p>Pour répondre aux enjeux de sécurité liés au cloud, l’ANSSI a développé une série de recommandations pour l’hébergement dans le cloud qui précisent, en fonction du type de système d’information (SI), de la sensibilité des données et du niveau de la menace, les types d’offres cloud à privilégier.</p><p>La série de recommandations de l’ANSSI constitue <strong>un outil d’aide à la décision</strong> pour les entités qui envisagent un hébergement cloud pour leurs systèmes d’information de niveau diffusion restreinte, les SI sensibles des opérateurs d’importance vitale et des opérateurs de services essentiels, ainsi que des systèmes d’information d’importance vitale (SIIV).</p><p>Il est à noter que ces recommandations ne s’appliquent pas aux systèmes d’information classifiés et que tous les systèmes d’information n’ont pas vocation à recourir aux solutions cloud. Elles s’inscrivent, par ailleurs, en cohérence avec <a href=\"https://www.numerique.gouv.fr/offre-accompagnement/cloud-administrations/la-doctrine-cloud-etat\">la doctrine « cloud au centre » de l’État</a>.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de l'ANSSI pour l'hébergement des systèmes d'information sensibles dans le cloud","nomFichier":"20240814_np_anssi_recommandations_hebergement_cloud_si_a5_v1g_fr.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-07-09T00:00:00.000Z","thematique":"Cloud et SI sensibles","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-si-sensibles-cloud","image":{"petite":"/documents-guides/recommandations-pour-lhebergement-des-si-sensibles-dans-le-cloud/588.avif","grande":"/documents-guides/recommandations-pour-lhebergement-des-si-sensibles-dans-le-cloud/origine.avif"},"documents":[{"libelle":"Recommandations de l'ANSSI pour l'hébergement des systèmes d'information sensibles dans le cloud","url":"https://messervices.cyber.gouv.fr/documents-guides/20240814_np_anssi_recommandations_hebergement_cloud_si_a5_v1g_fr.pdf"}]},{"id":"en-recommendations-hosting-sensitive-information-systems-cloud","nom":"Recommendations on hosting sensitive information systems in the cloud","description":"<p>In order to meet this challenge, ANSSI has developed specific recommendations for cloud hosting, identifying the most appropriate cloud offerings depending on the type of information system used, the sensitivity of the data, and the level of associated threat.</p><p>These recommendations serve as an effective decision-making tool for entities which may be considering a switch to cloud hosting for their restricted information systems, for the sensitive IS of critical operators and service providers, and for information systems of critical importance (SIIV). It should however be noted that ANSSI’s recommendations do not apply to classified information systems and cloud solutions are not suitable for all information systems. These recommendations are consistent with the “<a href=\"https://www.numerique.gouv.fr/services/cloud/doctrine/#contenu\">cloud at the centre</a>” (“<em>cloud au centre</em>“) doctrine.</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Recommendations on hosting sensitive IS in the cloud.pdf","nomFichier":"anssi_Recommendations on hosting sensitive IS in the cloud.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-07-09T00:00:00.000Z","thematique":"Cloud","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-si-sensibles-cloud","image":{"petite":"/documents-guides/en-recommendations-hosting-sensitive-information-systems-cloud/588.avif","grande":"/documents-guides/en-recommendations-hosting-sensitive-information-systems-cloud/origine.avif"},"documents":[{"libelle":"Recommendations on hosting sensitive IS in the cloud.pdf","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_Recommendations on hosting sensitive IS in the cloud.pdf"}]},{"id":"recommandations-de-deploiement-dun-service-iaas-openstack-secnumcloud","nom":"Recommandations de déploiement d’un service IAAS OpenStack SecNumCloud","description":"<p>Après une brève présentation de la suite logicielle OpenStack ainsi que du référentiel SecNumCloud, le guide présente</p><ul><li>les différentes techniques permettant de séparer les interfaces d’administration à destination du prestataire de celles offertes aux commanditaires,</li><li>la mise en place d’un mécanisme d’authentification multi-facteurs lors de l’accès aux interfaces d’administration,</li><li>l’utilisation de chiffrement pour la protection des flux et des données des commanditaires,</li><li>le cloisonnement des ressources et l’effacement sécurisé des données,</li><li>et la mise en place de la journalisation.</li></ul><p>Il s’adresse à des personnes ayant déjà une bonne connaissance des fonctions implémentées dans les services OpenStack, des échanges effectués avec ces services et entre ces services, ainsi que des connaissances système Linux.</p><p> Les recommandations présentes dans ce document s’appuient sur les fonctionnalités standard des services OpenStack. Les éléments de configuration nécessaires à la mise en oeuvre de ces fonctionnalités pouvant varier selon la solution de déploiement retenue, le détail de la configuration des services ne sera pas présenté.</p><p>Ce document est le fruit de travaux réalisés sur des solutions de déploiement communautaires.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de déploiement d&#039;un service IAAS OpenStack SecNumCloud","nomFichier":"anssi-guide-openstack_v1-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-05-03T00:00:00.000Z","thematique":"OpenStack","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-openstack","image":{"petite":"/documents-guides/recommandations-de-deploiement-dun-service-iaas-openstack-secnumcloud/588.avif","grande":"/documents-guides/recommandations-de-deploiement-dun-service-iaas-openstack-secnumcloud/origine.avif"},"documents":[{"libelle":"Recommandations de déploiement d&#039;un service IAAS OpenStack SecNumCloud","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-openstack_v1-0.pdf"}]},{"id":"recommandations-de-securite-pour-un-systeme-dia-generative","nom":"Recommandations de sécurité pour un système d’IA générative","description":"<p>Le récent engouement pour les produits et services d’Intelligence Artificielle (IA) générative, dont certains sont rendus facilement accessibles au grand public, a entraîné des réflexions au sein des organisations publiques et privées afin d’étudier les éventuels gains de productivité qui pourraient en découler.</p><p>Si cette technologie offre de nouvelles perspectives, il convient d’adopter une <strong>posture de prudence</strong> lors de son déploiement et de son intégration dans un système d’information existant.</p><p>Le guide de recommandations de sécurité pour un système d’IA<strong></strong>générative de l’ANSSI s’intéresse à la <strong>sécurisation d’une architecture de système d’IA générative</strong>. Il vise à <strong>sensibiliser </strong>les administrations et entreprises aux<strong></strong>risques liés à l’IA générative ainsi qu’à promouvoir les <strong>bonnes pratiques</strong> à mettre en œuvre depuis la phase de conception et d’entrainement d’un modèle d’IA jusqu’à la phase de déploiement et d’utilisation en production.</p><p>Les problématiques de sécurité liées à la qualité des données et à la performance d’un modèle d’IA d’un point de vue métier ne sont pas traitées dans ce document, de même que les enjeux comme l’éthique, la vie privée ou encore la protection des données personnelles.</p>","langue":"FR","collections":["Intelligence artificielle"],"listeDocuments":[{"libelle":"Recommandations de sécurité pour un système d&#039;IA générative","nomFichier":"Recommandations_de_sécurité_pour_un_système_d_IA_générative.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-04-29T00:00:00.000Z","thematique":"IA générative","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-ia-generative","image":{"petite":"/documents-guides/recommandations-de-securite-pour-un-systeme-dia-generative/588.avif","grande":"/documents-guides/recommandations-de-securite-pour-un-systeme-dia-generative/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité pour un système d&#039;IA générative","url":"https://messervices.cyber.gouv.fr/documents-guides/Recommandations_de_sécurité_pour_un_système_d_IA_générative.pdf"}]},{"id":"en-security-recommendations-generative-ai-system","nom":"Security recommendations for a generative AI system","description":"<p>The recent craze for generative Artificial Intelligence (AI) products and services, some of which are now readily available to the general public, has prompted public and private sector organizations to consider the productivity gains that could result.</p><p>While this technology opens up new prospects, a <strong>cautious approach</strong> is called for when deploying and integrating it into an existing information system.</p><p>ANSSI's security recommendations for a generative ai system focus on<strong> securing a generative AI system architecture</strong>. It aims to<strong> raise awareness</strong> of the risks associated with generative AI, as well as to promote <strong>best practices</strong> to be implemented from the design and training phase of an AI model, all the way through to deployment and use in production.</p><p>Security issues linked to data quality and the performance of an AI model from a business point of view are not covered in this guide, nor are issues such as ethics, privacy, or the protection of personal data.</p><p>Generative AI is a subsection of artificial intelligence, focused on creating models trained to generate content (text, images, videos, etc.) from a specific corpus of training data.</p><p>This includes <strong>Large Language Models</strong> (LLM), which are capable of generating a response to a question in natural language using a model trained on very large volumes of data.</p>","langue":"EN","collections":["Intelligence artificielle"],"listeDocuments":[{"libelle":"Security recommandations for a generative ai system","nomFichier":"security_recommandations_for_a_generative_ai_system.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-04-29T00:00:00.000Z","thematique":"Generative AI","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-ia-generative","image":{"petite":"/documents-guides/en-security-recommendations-generative-ai-system/588.avif","grande":"/documents-guides/en-security-recommendations-generative-ai-system/origine.avif"},"documents":[{"libelle":"Security recommandations for a generative ai system","url":"https://messervices.cyber.gouv.fr/documents-guides/security_recommandations_for_a_generative_ai_system.pdf"}]},{"id":"denis-de-service-distribues-ddos","nom":"Dénis de service distribués (DDoS)","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l'ANSSI - Dénis de service distribués (DDoS) - v2.0","nomFichier":"anssi_essentiels_denis-de-service-distribues_v2.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-04-26T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-ddos","image":{"petite":"/documents-guides/denis-de-service-distribues-ddos/588.avif","grande":"/documents-guides/denis-de-service-distribues-ddos/origine.avif"},"documents":[{"libelle":"Les Essentiels de l'ANSSI - Dénis de service distribués (DDoS) - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_denis-de-service-distribues_v2.0.pdf"}]},{"id":"en-distributed-denial-service-ddos","nom":"Distributed Denial of Service (DDoS)","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - DDoS - v1.0","nomFichier":"20240829_Back to Basics_DDOS.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-04-26T00:00:00.000Z","thematique":"DDoS","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-distributed-denial-service-ddos/588.avif","grande":"/documents-guides/en-distributed-denial-service-ddos/origine.avif"},"documents":[{"libelle":"Back to Basics - DDoS - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/20240829_Back to Basics_DDOS.pdf"}]},{"id":"cyberattaques-et-remediation-la-remediation-du-tier-0-active-directory","nom":"La remédiation du Tier 0 Active Directory","description":"<p>Les dégâts financiers et matériels que peuvent occasionner une attaque informatique sont considérables. Si un incident majeur est partiellement ou mal remédié, ses effets peuvent s’étendre dans la durée. Ce fort potentiel de déstabilisation exige, à la fois des organisations cibles et des prestataires de cybersécurité, un savoir-faire dans l’endiguement de ces cyber-attaques, dans la reprise de contrôle du système d’information compromis et dans le rétablissement d’un état de fonctionnement suffisant. La<strong> remédiation</strong> est l'étape clé pour y parvenir. Elle constitue l’une des dimensions majeures de la réponse à incident cyber, avec l’investigation et la gestion de crise.</p><p>L’ANSSI est engagée avec l’écosystème de sécurité informatique, à l’élaboration, et la diffusion des piliers doctrinaux de la mise en œuvre et du pilotage de la remédiation. Elle publie <strong>un corpus doctrinal qui</strong> s’articule en trois volets (stratégique, opérationnel, technique) et a vocation à s’enrichir progressivement.</p> <p>Le volet technique <strong>s’adresse aux équipes d’exploitation et aux intervenants techniques d’opérations de remédiation</strong>. Il détaille les principaux axes de mise en œuvre à prendre en compte lors de la remédiation. Les documents de ce volet accompagnent les organisations dans les actions techniques à effectuer au cours de la remédiation, pour des technologies spécifiques telles que le Tier 0 Active Directory. Ce volet sera progressivement enrichi en nouveaux guides sur d’autres sujets techniques.</p>","langue":"FR","collections":["Remédiation"],"listeDocuments":[{"libelle":"La remédiation du Tier 0 Active Directory","nomFichier":"20231218_Volet_technique_cyberattaquesetremediation_a5_v1h.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-03-18T00:00:00.000Z","thematique":"Cyberattaques et remédiation","besoins":["REAGIR"],"lienCourt":"https://cyber.gouv.fr/piloter-la-remediation-dun-incident-cyber","image":{"petite":"/documents-guides/cyberattaques-et-remediation-la-remediation-du-tier-0-active-directory/588.avif","grande":"/documents-guides/cyberattaques-et-remediation-la-remediation-du-tier-0-active-directory/origine.avif"},"documents":[{"libelle":"La remédiation du Tier 0 Active Directory","url":"https://messervices.cyber.gouv.fr/documents-guides/20231218_Volet_technique_cyberattaquesetremediation_a5_v1h.pdf"}]},{"id":"cyberattaques-et-remediation-piloter-la-remediation","nom":"Piloter la remédiation","description":"<p>Les dégâts financiers et matériels que peuvent occasionner une attaque informatique sont considérables. Si un incident majeur est partiellement ou mal remédié, ses effets peuvent s’étendre dans la durée. Ce fort potentiel de déstabilisation exige, à la fois des organisations cibles et des prestataires de cybersécurité, un savoir-faire dans l’endiguement de ces cyber-attaques, dans la reprise de contrôle du système d’information compromis et dans le rétablissement d’un état de fonctionnement suffisant. La<strong> remédiation</strong> est l'étape clé pour y parvenir. Elle constitue l’une des dimensions majeures de la réponse à incident cyber, avec l’investigation et la gestion de crise.</p><p>L’ANSSI est engagée avec l’écosystème de sécurité informatique, à l’élaboration, et la diffusion des piliers doctrinaux de la mise en œuvre et du pilotage de la remédiation. Elle publie <strong>un corpus doctrinal qui</strong> s’articule en trois volets (stratégique, opérationnel, technique) et a vocation à s’enrichir progressivement. Le volet opérationnel est destiné à accompagner le pilotage opérationnel des opérations de remédiation suite à un incident de sécurité informatique. <strong>Il s’adresse aux RSSI, DSI et aux équipes de pilotage de remédiation</strong>. Les documents de ce volet visent à accompagner les équipes dans la déclinaison des objectifs stratégiques en objectifs techniques. Ils apportent des outils opérationnels pour gérer le projet de remédiation et ses intervenants.</p>","langue":"FR","collections":["Remédiation"],"listeDocuments":[{"libelle":"Piloter la remédiation","nomFichier":"20231218_Volet_operationnel_cyberattaquesetremediation_a5_v1j.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-03-18T00:00:00.000Z","thematique":"Cyberattaques et remédiation","besoins":["REAGIR"],"lienCourt":"https://cyber.gouv.fr/piloter-la-remediation-dun-incident-cyber","image":{"petite":"/documents-guides/cyberattaques-et-remediation-piloter-la-remediation/588.avif","grande":"/documents-guides/cyberattaques-et-remediation-piloter-la-remediation/origine.avif"},"documents":[{"libelle":"Piloter la remédiation","url":"https://messervices.cyber.gouv.fr/documents-guides/20231218_Volet_operationnel_cyberattaquesetremediation_a5_v1j.pdf"}]},{"id":"devsecops","nom":"DevSecOps","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - DevSecOps - v1.0","nomFichier":"anssi_essentiels_devsecops_v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-03-13T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-devsecops","image":{"petite":"/documents-guides/devsecops/588.avif","grande":"/documents-guides/devsecops/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - DevSecOps - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_devsecops_v1.0.pdf"}]},{"id":"en-devsecops","nom":"DevSecOps","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - DevSecOps - v1.0","nomFichier":"20240829_Back to Basics_DevSecOps.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-03-13T00:00:00.000Z","thematique":"DevSecOps","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-devsecops/588.avif","grande":"/documents-guides/en-devsecops/origine.avif"},"documents":[{"libelle":"Back to Basics - DevSecOps - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/20240829_Back to Basics_DevSecOps.pdf"}]},{"id":"virtualisation","nom":"Virtualisation","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Virtualisation - v1.0","nomFichier":"anssi_essentiels_virtualisation_v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-02-20T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-virtualisation","image":{"petite":"/documents-guides/virtualisation/588.avif","grande":"/documents-guides/virtualisation/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Virtualisation - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_virtualisation_v1.0.pdf"}]},{"id":"en-virtualization","nom":"Virtualization","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Virtualization - v1.0","nomFichier":"20240829_Back to Basics_Virtualization.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-02-20T00:00:00.000Z","thematique":"Virtualization","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-virtualization/588.avif","grande":"/documents-guides/en-virtualization/origine.avif"},"documents":[{"libelle":"Back to Basics - Virtualization - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/20240829_Back to Basics_Virtualization.pdf"}]},{"id":"cyberattaques-et-remediation-les-cles-de-decision","nom":"Cyberattaques et remédiation : les clés de décision","description":"<p>Les dégâts financiers et matériels que peuvent occasionner une attaque informatique sont considérables. Si un incident majeur est partiellement ou mal remédié, ses effets peuvent s’étendre dans la durée. Ce fort potentiel de déstabilisation exige, à la fois des organisations cibles et des prestataires de cybersécurité, un savoir-faire dans l’endiguement de ces cyber-attaques, dans la reprise de contrôle du système d’information compromis et dans le rétablissement d’un état de fonctionnement suffisant. La<strong> remédiation</strong> est l'étape clé pour y parvenir. Elle constitue l’une des dimensions majeures de la réponse à incident cyber, avec l’investigation et la gestion de crise.</p><p>L’ANSSI est engagée avec l’écosystème de sécurité informatique, à l’élaboration, et la diffusion des piliers doctrinaux de la mise en œuvre et du pilotage de la remédiation. Elle publie <strong>un corpus doctrinal qui</strong> s’articule en trois volets (stratégique, opérationnel, technique) et a vocation à s’enrichir progressivement. Le volet stratégique de la collectio <strong> s’adresse aux décideurs </strong>au sein des organisations.</p>","langue":"FR","collections":["Remédiation"],"listeDocuments":[{"libelle":"Les clés de décision","nomFichier":"20231218_Volet_stratégique_cyberattaquesetremédiation_v1g.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-01-16T00:00:00.000Z","thematique":"Cyberattaques et remédiation","besoins":["REAGIR"],"lienCourt":"https://cyber.gouv.fr/piloter-la-remediation-dun-incident-cyber","image":{"petite":"/documents-guides/cyberattaques-et-remediation-les-cles-de-decision/588.avif","grande":"/documents-guides/cyberattaques-et-remediation-les-cles-de-decision/origine.avif"},"documents":[{"libelle":"Les clés de décision","url":"https://messervices.cyber.gouv.fr/documents-guides/20231218_Volet_stratégique_cyberattaquesetremédiation_v1g.pdf"}]},{"id":"avis-de-lanssi-sur-la-migration-vers-la-cryptographie-post-quantique-0","nom":"Avis de l’ANSSI sur la migration vers la cryptographie post-quantique","description":"<p>Ce document est une mise à jour de la position de l'ANSSI sur la transition vers la cryptographie post-quantique au regard des avancées récentes sur le sujet. Il doit être lu comme un addendum à la publication de 2022.</p> <p>Nous y détaillons nos recommandations en termes d'algorithmes post-quantiques et de techniques d'hybridation. L'ANSSI a également décidé d'accélérer l'agenda initial. Les premiers visas de sécurité français pour les produits mettant en œuvre de la cryptographie post-quantique hybride devraient être délivrés vers 2024-2025.</p>","langue":"FR","collections":["Cryptographie"],"listeDocuments":[{"libelle":"Avis de l&#039;ANSSI sur la migration vers la cryptographie - Suivi 2023","nomFichier":"Avis de l'ANSSI sur la migration vers la cryptographie.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2024-01-15T00:00:00.000Z","thematique":"Cryptographie post-quantique","besoins":["SECURISER"],"image":{"petite":"/documents-guides/avis-de-lanssi-sur-la-migration-vers-la-cryptographie-post-quantique-0/588.avif","grande":"/documents-guides/avis-de-lanssi-sur-la-migration-vers-la-cryptographie-post-quantique-0/origine.avif"},"documents":[{"libelle":"Avis de l&#039;ANSSI sur la migration vers la cryptographie - Suivi 2023","url":"https://messervices.cyber.gouv.fr/documents-guides/Avis de l'ANSSI sur la migration vers la cryptographie.pdf"}]},{"id":"mise-en-oeuvre-securisee-dun-cms","nom":"Mise en œuvre sécurisée d’un CMS","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l&#039;ANSSI - Mise en œuvre sécurisée d&#039;un CMS - v1.1","nomFichier":"anssi_essentiels_mise-en-oeuvre-securisee-cms_v1.1 (1).pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-12-15T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-cms","image":{"petite":"/documents-guides/mise-en-oeuvre-securisee-dun-cms/588.avif","grande":"/documents-guides/mise-en-oeuvre-securisee-dun-cms/origine.avif"},"documents":[{"libelle":"Les Essentiels de l&#039;ANSSI - Mise en œuvre sécurisée d&#039;un CMS - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_mise-en-oeuvre-securisee-cms_v1.1 (1).pdf"}]},{"id":"en-secure-implementation-cms","nom":"Secure implementation of CMS","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - Secure implementation of CMS - v1.0","nomFichier":"20240829_Back to Basics_Secure implementation of CMS.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-12-15T00:00:00.000Z","thematique":"CMS","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-secure-implementation-cms/588.avif","grande":"/documents-guides/en-secure-implementation-cms/origine.avif"},"documents":[{"libelle":"Back to Basics - Secure implementation of CMS - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/20240829_Back to Basics_Secure implementation of CMS.pdf"}]},{"id":"sauvegarde-des-systemes-dinformation","nom":"Sauvegarde des systèmes d’information","description":"<p>La collection des Essentiels de l’ANSSI explique de manière synthétique des sujets de cybersécurité à travers la mise en œuvre de bonnes pratiques clés. Elle s'adresse en priorité aux professionnels en charge de la cybersécurité (tels que des RSSI, architectes, experts), sans leur être exclusivement réservée. En complément de ces recommandations plus sommaires, chaque document renvoie vers des publications plus détaillées comme des guides.</p>\n<p>Les Essentiels reflètent la position de l'Agence au moment de leur publication et sont susceptibles d'être mis à jour suivant les retours d'expérience et l'évolution de la menace ou des technologies.</p>","langue":"FR","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Les Essentiels de l'ANSSI - Sauvegarde des systèmes d&#039;information - v1.1","nomFichier":"anssi_essentiels_sauvegarde-si_v1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-12-06T00:00:00.000Z","thematique":"Les essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/essentiels-sauvegarde","image":{"petite":"/documents-guides/sauvegarde-des-systemes-dinformation/588.avif","grande":"/documents-guides/sauvegarde-des-systemes-dinformation/origine.avif"},"documents":[{"libelle":"Les Essentiels de l'ANSSI - Sauvegarde des systèmes d&#039;information - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_essentiels_sauvegarde-si_v1.1.pdf"}]},{"id":"en-it-backup","nom":"IT backup","description":"<p>ANSSI’s Back to Basics collection outlines cybersecurity topics by implementing key best practices. It is primarily aimed at professionals responsible for cybersecurity (such as CISOs, architects, and experts), though it is not exclusively intended for them. In addition to these basic recommendations, each document also refers to more detailed publications, notably guides.</p>\n<p>The collection reflects the agency's point of view at the time of publication, and is likely to be regularly updated in line with developments in the threat environment, the technologies used, and feedback.</p>","langue":"EN","collections":["Les essentiels"],"listeDocuments":[{"libelle":"Back to Basics - IT backup - v1.0","nomFichier":"the-golden-rules-of-backup.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-12-06T00:00:00.000Z","thematique":"IT backup","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-it-backup/588.avif","grande":"/documents-guides/en-it-backup/origine.avif"},"documents":[{"libelle":"Back to Basics - IT backup - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/the-golden-rules-of-backup.pdf"}]},{"id":"en-rules-secure-c-language-software-development","nom":"Rules for secure C language software development","description":"<p>It is then up to the developers of compilers, software libraries or operating systems to make their own decisions. Establishing restrictions on the use of the C language is thus necessary to identify the various risky or non-portable constructions, and to limit or even ban their use.</p><p>This guide defines a set of rules, recommendations and good practices dedicated to secure developments with the C language. This guide has several objectives:</p><ul><li>increase the security, the quality and the reliability of written source code, by identifying bad or hazardous programming practices;</li><li>facilitate source code analysis during peer reviews or by static analysis tools;</li><li>instate a level of trust in the security, reliability and robustness of a development;</li><li>further software maintainability while also helping with adding features.</li></ul><p>This guide does not pertain to a particular field of application and is not intended to replace development constraints imposed by any normative context (automotive or aeronautical industries, critical systems, etc.). It addresses precisely secure C developments that are not covered by such normative constraints. <strong>This guide is also available in French:</strong><a href=\"https://cyber.gouv.fr/publications/regles-de-programmation-pour-le-developpement-securise-de-logiciels-en-langage-c\">\"Règles de programmation pour le développement sécurisé de logiciels en langage C\"</a></p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Rules for secure C language software development","nomFichier":"anssi-guide-rules_for_secure_c_language_software_development-v1.4.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-11-30T00:00:00.000Z","thematique":"C language","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-c","image":{"petite":"/documents-guides/en-rules-secure-c-language-software-development/588.avif","grande":"/documents-guides/en-rules-secure-c-language-software-development/origine.avif"},"documents":[{"libelle":"Rules for secure C language software development","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-rules_for_secure_c_language_software_development-v1.4.pdf"}]},{"id":"recommandations-sur-le-nomadisme-numerique","nom":"Recommandations sur le nomadisme numérique","description":"<p>Le développement du nomadisme et du télétravail ne cesse de prendre de l'ampleur ces dernières années, et est aujourd'hui au centre des réflexions des directions informatiques.</p><p>Un nombre croissant d'espaces de cotravail (ou <em>co-working</em>) voit également le jour, par souci de réduction des coûts immobiliers, et par volonté de flexibilité.</p><p>Cela amène à réfléchir sur la manière de sécuriser ces accès distants au système d'information (SI) de l'entité, afin de gérer les besoins de confidentialité et d'intégrité des données, ainsi que l'authentification des utilisateurs.</p><p>Ce guide n'a pas pour objectif d'être exhaustif sur la sécurité générale d'une infrastructure informatique, mais bien de se focaliser sur les particularités du nomadisme, afin d'adapter le niveau de sécurité à cette nouvelle façon de travailler.</p><p>Face à ces enjeux, il est devenu important de sensibiliser l'ensemble des acteurs du nomadisme, et de prendre en compte dans la politique de sécurité des systèmes d'information (PSSI) :</p><ul><li>l'ouverture du SI de l'entité pour les accès distants ;</li><li>la maîtrise des nouveaux flux liés au nomadisme ;</li><li>la maîtrise des équipements de connexion des utilisateurs.</li></ul><p>Le guide rappelle dans un premier temps les définitions et les risques liés au nomadisme, puis les différents éléments d'une infrastructure de connexion nomade sont étudiés, afin d'en faire ressortir les bonnes pratiques.</p><p>Le guide est accompagné d'un outil d'aide et de suivi d'implémentation de la sécurité (OASIS) sous forme de tableur. Ce document aide les entités à donner des priorités aux recommandations, à les classer selon une approche graduelle, puis à faire le suivi de leur mise en œuvre. Chaque entité peut adapter cette approche à ses enjeux, moyens, compétences et SI existants.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Recommandations sur le nomadisme numérique - v2.0","nomFichier":"guide_nomadisme_anssi_pa_054_v2.pdf"},{"libelle":"OASIS - Recommandations sur le nomadisme numérique - v2.0","nomFichier":"anssi-oasis-nomadisme_numerique-v2.0.xlsx"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-11-14T00:00:00.000Z","thematique":"Mobilité","besoins":["SECURISER","ETRE_SENSIBILISE"],"lienCourt":"https://cyber.gouv.fr/guide-nomadisme-numerique","image":{"petite":"/documents-guides/recommandations-sur-le-nomadisme-numerique/588.avif","grande":"/documents-guides/recommandations-sur-le-nomadisme-numerique/origine.avif"},"documents":[{"libelle":"Recommandations sur le nomadisme numérique - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_nomadisme_anssi_pa_054_v2.pdf"},{"libelle":"OASIS - Recommandations sur le nomadisme numérique - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-oasis-nomadisme_numerique-v2.0.xlsx"}]},{"id":"en-fundamentals-it-backup","nom":"IT Backup","description":"<p>These mid-length documents reflect ANSSI's position as at the time of publication, and are not intended to be detailed recommendations, such as guides. They are likely to be updated regularly, in line with developments in threats and technologies used, feedback, etc.</p>","langue":"EN","collections":["Les fondamentaux"],"listeDocuments":[{"libelle":"Fundamentals - IT Backup - v1.1","nomFichier":"anssi_fundamentals_IT_backup_1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-10-25T00:00:00.000Z","thematique":"Les fondamentaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/fondamentaux-sauvegarde","image":{"petite":"/documents-guides/en-fundamentals-it-backup/588.avif","grande":"/documents-guides/en-fundamentals-it-backup/origine.avif"},"documents":[{"libelle":"Fundamentals - IT Backup - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_fundamentals_IT_backup_1.1.pdf"}]},{"id":"fondamentaux-sauvegarde-systemes-dinformation","nom":"Sauvegarde des systèmes d’information","description":"<p>La menace liée aux rançongiciels est prégnante comme rappelé par le <a href=\"https://www.cert.ssi.gouv.fr/cti/CERTFR-2025-CTI-003/\">Panorama de la menace 2024</a>. Toute entité peut subir une attaque opportuniste ou ciblée d’un groupe cybercriminel. La sauvegarde des systèmes d’information, initialement utile dans le cas d’incidents opérationnels (ex. : panne matérielle) est aujourd’hui indispensable pour répondre efficacement aux incidents de sécurité.</p><p>Pour une vue synthétique sur le sujet, retrouvez <a href=\"https://messervices.cyber.gouv.fr/guides/sauvegarde-des-systemes-dinformation\">les essentiels sur la sauvegarde des systèmes d’information.</a> </p>","langue":"FR","collections":["Les fondamentaux"],"listeDocuments":[{"libelle":"anssi_fondamentaux_sauvegarde_systemes_dinformation_v1.1.pdf","nomFichier":"anssi_fondamentaux_sauvegarde_systemes_dinformation_v1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-10-25T00:00:00.000Z","thematique":"Les fondamentaux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/fondamentaux-sauvegarde","image":{"petite":"/documents-guides/fondamentaux-sauvegarde-systemes-dinformation/588.avif","grande":"/documents-guides/fondamentaux-sauvegarde-systemes-dinformation/origine.avif"},"documents":[{"libelle":"anssi_fondamentaux_sauvegarde_systemes_dinformation_v1.1.pdf","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_fondamentaux_sauvegarde_systemes_dinformation_v1.1.pdf"}]},{"id":"recommandations-pour-ladministration-securisee-des-si-reposant-sur-ad","nom":"Recommandations pour l’administration sécurisée des SI reposant sur AD","description":"<p>L’ANSSI fait régulièrement le constat que des compromissions de systèmes d'information (SI) reposant sur un annuaire Active Directory (AD) résultent de l’application de mauvaises pratiques d’administration et d'un cloisonnement insuffisant. Ces compromissions commencent souvent par des attaques qui ciblent les postes de travail. Les attaquants exploitent ensuite des faiblesses du SI pour opérer des déplacements, dits latéraux et élever progressivement leurs privilèges jusqu’à obtenir le contrôle total de l'AD. À ce niveau de contrôle de l’AD, un attaquant est en mesure de s’aménager des portes dérobées qui lui assurent un contrôle persistant du SI, c'est-à-dire également des processus et des données métiers de l'organisation.</p><p>Le guide d'administration sécurisée des systèmes d'information reposant sur un annuaire AD aborde les aspects spécifiques à l’administration de ces environnements et guide dans le cloisonnement du SI en zones de confiance.<br> Il complète ainsi <a href=\"https://cyber.gouv.fr/guide-admin-si\">les recommandations de sécurité relatives à l'administration sécurisée des systèmes d'information qui se veulent agnostiques des technologies mises en œuvre.</a>  </p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations relatives à l&#039;administration sécurisée des systèmes d&#039;information reposant sur Microsoft Active Directory - v1.0","nomFichier":"anssi-guide-admin_securisee_si_ad_v1-0 (3).pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-10-18T00:00:00.000Z","thematique":"Active Directory","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-admin-si-ad","image":{"petite":"/documents-guides/recommandations-pour-ladministration-securisee-des-si-reposant-sur-ad/588.avif","grande":"/documents-guides/recommandations-pour-ladministration-securisee-des-si-reposant-sur-ad/origine.avif"},"documents":[{"libelle":"Recommandations relatives à l&#039;administration sécurisée des systèmes d&#039;information reposant sur Microsoft Active Directory - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-admin_securisee_si_ad_v1-0 (3).pdf"}]},{"id":"en-anssi-views-zero-trust-model","nom":"ANSSI views on the Zero Trust model","description":"<p>However, as of today, the use of these solutions is challenging due to a lack of maturity: deployment can lead to installation or configuration errors, increase the vulnerability of information systems, and give companies a false sense of security.</p><p>If the Zero Trust model aligns with the “defense in depth” logic historically promoted by ANSSI, it constitutes a modification of the strict perimeter logic that has long prevailed. Therefore, if implementation of the model is considered, it can only be gradual: it requires the use of new security solutions that must integrate into an overall defense system without replacing it. Implementing such solutions is challenging: deployment can lead to installation or configuration errors, increase the vulnerability of information systems, and give companies a false sense of security.</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"(deprecated) - Anssi views on the Zero Trust model - 2021","nomFichier":"Anssi views on the Zero Trust model_0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-10-11T00:00:00.000Z","thematique":"Zero Trust","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-anssi-views-zero-trust-model/588.avif","grande":"/documents-guides/en-anssi-views-zero-trust-model/origine.avif"},"documents":[{"libelle":"(deprecated) - Anssi views on the Zero Trust model - 2021","url":"https://messervices.cyber.gouv.fr/documents-guides/Anssi views on the Zero Trust model_0.pdf"}]},{"id":"en-follow-position-paper-post-quantum-cryptography","nom":"Follow up position paper on Post-Quantum Cryptography","description":"<p><em>We will detail our recommendations in terms of post-quantum algorithms and hybridation techniques. ANSSI also decided to speed-up the original agenda. First French security visas for products implementing hybrid post-quantum cryptography are expected to be delivered around 2024- 2025.</em></p><p>We will detail our recommendations in terms of post-quantum algorithms and hybridation techniques. ANSSI also decided to speed-up the original agenda. First French security visas for products implementing hybrid post-quantum cryptography are expected to be delivered around 2024- 2025.</p>","langue":"EN","collections":["Cryptographie"],"listeDocuments":[{"libelle":"ANSSI views on the Post-Quantum Cryptography transition (2023 follow up)","nomFichier":"follow_up_position_paper_on_post_quantum_cryptography.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-10-11T00:00:00.000Z","thematique":"Post-Quantum Cryptography","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-follow-position-paper-post-quantum-cryptography/588.avif","grande":"/documents-guides/en-follow-position-paper-post-quantum-cryptography/origine.avif"},"documents":[{"libelle":"ANSSI views on the Post-Quantum Cryptography transition (2023 follow up)","url":"https://messervices.cyber.gouv.fr/documents-guides/follow_up_position_paper_on_post_quantum_cryptography.pdf"}]},{"id":"recommandations-pour-le-reconditionnement-des-ordinateurs-de-bureau-ou-portables","nom":"Recommandations pour le reconditionnement des ordinateurs de bureau ou portables","description":"<p>À ce titre, les acheteurs de l’État, des collectivités locales et de leurs groupements sont tenus d’acquérir des biens issus du réemploi, de la réutilisation de matériel ou comportant des matières recyclées. L’article 58 II précise par ailleurs que les proportions d’ordinateurs portables et fixes devant être réemployés sont fixées à 20% et que cette obligation s’apprécie sur le volume annuel total de la dépense hors taxes des matériels et non par unité. Enfin, il prévoit <em>qu’en cas de contrainte opérationnelle liée à la défense nationale ou de contrainte technique significative liée à la nature de la commande publique, le pouvoir adjudicateur n’est pas soumis à cette obligation</em>.</p><p>Ce guide s’adresse aux différentes entités de l’État concernées par la loi AGEC ainsi qu’aux entités à la recherche de recommandations de sécurité concernant :</p><ul><li>l’acquisition et l’usage d’ordinateurs de bureau ou portables reconditionnés ;</li><li>la cession d’ordinateurs de bureau ou portables.</li></ul><p>L’objectif de ce guide est d’apporter les bonnes pratiques pour réduire les risques de compromission ou de propagation de codes malveillants liés à l’usage d’ordinateurs reconditionnés nouvellement acquis ainsi que les risques de fuite d’information lors de la cession d’ordinateurs à une autre entité.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations relatives au reconditionnement des ordinateurs de bureau ou portables - v1.0","nomFichier":"anssi-guide-reconditionnement_ordinateurs_bureau_portables_v1-0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-10-03T00:00:00.000Z","thematique":"Reconditionnement","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-reconditionnement-PC","image":{"petite":"/documents-guides/recommandations-pour-le-reconditionnement-des-ordinateurs-de-bureau-ou-portables/588.avif","grande":"/documents-guides/recommandations-pour-le-reconditionnement-des-ordinateurs-de-bureau-ou-portables/origine.avif"},"documents":[{"libelle":"Recommandations relatives au reconditionnement des ordinateurs de bureau ou portables - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-reconditionnement_ordinateurs_bureau_portables_v1-0.pdf"}]},{"id":"les-mesures-cyber-preventives-prioritaires","nom":"Les Mesures Cyber Préventives Prioritaires","description":"<p>L’Agence nationale de la sécurité des systèmes d’information (ANSSI) préconise la mise en œuvre de 5 mesures<br> préventives prioritaires :</p><ul><li>renforcer l’authentification sur les systèmes d’information ;</li><li>accroître la supervision de sécurité ;</li><li>sauvegarder hors-ligne les données et les applications critiques ;</li><li>établir une liste priorisée des services numériques critiques de l’entité ;</li><li>s’assurer de l’existence d’un dispositif de gestion de crise adapté à une cyberattaque.</li></ul><p>Ces mesures prioritaires de cybersécurité sont essentielles et leur mise en œuvre à court terme permet de limiter la probabilité d’une cyberattaque ainsi que ses potentiels effets. Pour être pleinement efficaces, elles doivent cependant s’inscrire dans une démarche de cybersécurité globale et de long terme.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Les Mesures Cyber Préventives Prioritaires","nomFichier":"20230503_anssi_mesures-cyber-preventives-prioritaires.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2023-05-17T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["ETRE_SENSIBILISE","SECURISER"],"image":{"petite":"/documents-guides/les-mesures-cyber-preventives-prioritaires/588.avif","grande":"/documents-guides/les-mesures-cyber-preventives-prioritaires/origine.avif"},"documents":[{"libelle":"Les Mesures Cyber Préventives Prioritaires","url":"https://messervices.cyber.gouv.fr/documents-guides/20230503_anssi_mesures-cyber-preventives-prioritaires.pdf"}]},{"id":"en-anticipating-and-managing-your-cyber-crisis-communication","nom":"Anticipating and managing your cyber crisis communication","description":"<p>In the face of an attack, the technical nature of a cyber crisis can destabilise even the most experienced communicators, dealing with features, challenges and ecosystems that are sometimes very far removed from their core business activity. Focussing on the particular characteristics of a cyber attack, this guide aims to show that good cyber crisis communication is primarily a reiteration of all the tools and reflexes we commonly apply to any crisis communication strategy. <em></em>“When a cyber crisis occurs, the actions of communicators all too often take a back seat. This is a mistake. For global crisis management, it is essential that the communication response works hand in hand with the technical response.” Guillaume Poupard, Director-General of ANSSI <strong>WHAT IS THIS GUIDE FOR?</strong> Based on situations encountered by ANSSI since its formation in 2009 to provide assistance to victims, this guide aims to provide highly operational advice and recommendations in order to develop and then trigger the crisis communication component during a computer attack. Although there is no magic recipe in crisis management, there are a number of reflexes and key concepts that can be integrated without delay by your organisation, whether private or public, in preparedness for a cyber crisis. The recommendations in this guide are therefore also suitable for managing situations described as “sensitive”, which often precede a potential media crisis. </p> <p><strong>WHO IS IT FOR?</strong> </p> <p> This guide is intended for all people acting in the role of communicator during the management of a crisis. Depending on an entity's size and organisation, this may be a communication professional (Head of communications, communication officer or communication agency), but can also be other profiles (firm of professionals, legal expert, decision-maker), for lack of dedicated communicators. Depending on the situation, even the operational team can sometimes play the role of communicator. While this guide is primarily intended for communication professionals, who have a key role to play in crisis management, it also aims to provide tools and advice to other technical and decision-making professionals called on to support our communicators. </p> <p> <strong>WHAT ARE THE PREREQUISITES?</strong> </p> <p> This guide aims to provide insight into the particular characteristics of cyber crisis communication, as perceived by ANSSI. Its purpose is not to go into detail about how to develop a crisis communication strategy in general. Ideally, this task should be carried out and tested upstream in order to be able to adapt your organisation and tools to the specific nature of a cyber crisis. This guide does, however, offer a few reminders of the basics of crisis communication to familiarise all readers with the concepts and key issues at stake for the communication function. </p> <p><strong>BY THE WAY, WHAT IS A CYBER CRISIS? </strong> </p> <p>A crisis of “cyber origin” is defined as the immediate and major destabilisation of the day-to-day operation of an organisation (cessation of activity, inability to deliver services, heavy financial losses, major loss of integrity, etc.) due to one or more malicious actions against its digital tools and services<a href=\"#_ftn1\">[1]</a> (cyber attacks like ransomware, denial of service - DoS, etc.). This is a high-impact event, which cannot be dealt with by the usual processes and within the framework of the organisation's normal operations. By convention, we will use the term “cyber crisis” from here on. <a class=\"post-attachment post-attachment-application-pdf\" href=\"/documents-guides/20220516_np_anssi_guide_com_crise_cyber_en.pdf\">Anticipating and managing your cyber crisis communication</a><em> </p> <p> This guide is part of the \"Cyber Crisis Management\" collection, designed to help organisations prepare for and manage a cyber crisis. This collection is composed of three volumes</em>: Organising a cyber crisis management exercise<em> (available in </em><a href=\"https://cyber.gouv.fr/publications/organiser-un-exercice-de-gestion-de-crise-cyber\"><em>French</em></a><em> and </em><a href=\"https://cyber.gouv.fr/en/publications/organising-cyber-crisis-management-exercise\"><em>English</em></a><em>), </em>Crisis of cyber origin, the keys to operational and strategic management <em>(available in </em><a href=\"https://cyber.gouv.fr/publications/crise-cyber-les-cles-dune-gestion-operationnelle-et-strategique\"><em>French</em></a><em> and <a href=\"https://cyber.gouv.fr/publications/crisis-cyber-origin-keys-operational-and-strategic-management\" target=\"_blank\">English</a></em><em>) and </em>Anticipating and managing your cyber crisis communication<em> (available in </em><a href=\"https://cyber.gouv.fr/publications/anticiper-et-gerer-sa-communication-de-crise-cyber\"><em>French</em></a><em> and <a href=\"https://cyber.gouv.fr/publications/anticipating-and-managing-your-cyber-crisis-communication\" target=\"_blank\">English</a></em><em>). This collection aims to provide a cross-sectoral expertise on all aspects of cyber crisis management.</em><a href=\"#_ftnref1\">[1]</a> To which are associated the organisation's IT systems and those of its service providers.</p>","langue":"EN","collections":["Crise cyber"],"listeDocuments":[{"libelle":"Télécharger le guide","nomFichier":"Guide_ANTICIPATING_and_MANAGING_CYBER_CRISIS_COM.pdf"}],"nomsAnciensDocuments":["20220516_np_anssi_guide_com_crise_cyber_en.pdf"],"dateMiseAJour":"2022-05-17T00:00:00.000Z","thematique":"Crisis communication","besoins":["REAGIR"],"image":{"petite":"/documents-guides/en-anticipating-and-managing-your-cyber-crisis-communication/588.avif","grande":"/documents-guides/en-anticipating-and-managing-your-cyber-crisis-communication/origine.avif"},"documents":[{"libelle":"Télécharger le guide","url":"https://messervices.cyber.gouv.fr/documents-guides/Guide_ANTICIPATING_and_MANAGING_CYBER_CRISIS_COM.pdf"}]},{"id":"en-crisis-cyber-origin-keys-operational-and-strategic-management","nom":"Crisis of cyber origin, the keys to operational and strategic management","description":"<p>The disruption involved in a cyber crisis forces organisations to adapt and operate in unusual ways. These sudden and uncertain upheavals cause stress and complicate decision-making, while remediation actions must be decided and executed quickly to limit the impact.<br> \"It is not possible to improvise a response in the middle of a disaster. The preparation, tools and training are essential to maintain activity in the event of a computer attack\", says Guillaume Poupard, Director-General of ANSSI.<br> To meet this need, ANSSI has published the guide Crisis of cyber origin, the keys to operational and strategic management, in partnership with CDSE. Aimed at anyone involved in the response to a cyber crisis, this guide enables organisations to adapt their existing crisis management system to take into account the specific aspects of cyber crises.<br> Addressing both crisis preparation and response, this guide, made up of 18 practical sheets, proposes objectives to be reached for each phase of crisis preparation and response and is addressed to each of the actors at the strategic and operational levels.<br> The advice and best practices it presents are enhanced by several feedbacks from organisations that have been victims of cyber attacks. Their concrete examples and testimonies of the lessons they have learned complement the course of a crisis.</p><p><a class=\"post-attachment post-attachment-application-pdf\" href=\"/documents-guides/20220516_np_anssi_guide_gestion_crise_cyber_en1.pdf\">Crisis of cyber origin, the keys to operational and strategic management</a></p><p><em>This guide is part of the \"Cyber Crisis Management\" collection, designed to help organisations prepare for and manage a cyber crisis. This collection is composed of three volumes</em>: Organising a cyber crisis management exercise<em> (available in </em><a href=\"https://cyber.gouv.fr/publications/organiser-un-exercice-de-gestion-de-crise-cyber\"><em>French</em></a><em> and </em><a href=\"https://cyber.gouv.fr/en/publications/organising-cyber-crisis-management-exercise\"><em>English</em></a><em>), </em>Crisis of cyber origin, the keys to operational and strategic management <em>(available in </em><a href=\"https://cyber.gouv.fr/publications/crise-cyber-les-cles-dune-gestion-operationnelle-et-strategique\"><em>French</em></a><em> and <a href=\"https://cyber.gouv.fr/publications/crisis-cyber-origin-keys-operational-and-strategic-management\" target=\"_blank\">English</a></em><em>) and </em>Anticipating and managing your cyber crisis communication<em> (available in </em><a href=\"https://cyber.gouv.fr/publications/anticiper-et-gerer-sa-communication-de-crise-cyber\"><em>French</em></a><em> and <a href=\"https://cyber.gouv.fr/publications/anticipating-and-managing-your-cyber-crisis-communication\" target=\"_blank\">English</a></em><em>). This collection aims to provide a cross-sectoral expertise on all aspects of cyber crisis management.</em></p>","langue":"EN","collections":["Crise cyber"],"listeDocuments":[{"libelle":"Crisis of cyber origin, the keys to operational and strategic management","nomFichier":"20220516_np_anssi_guide_gestion_crise_cyber_en1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2022-05-17T00:00:00.000Z","thematique":"Crisis management","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-crisis-cyber-origin-keys-operational-and-strategic-management/588.avif","grande":"/documents-guides/en-crisis-cyber-origin-keys-operational-and-strategic-management/origine.avif"},"documents":[{"libelle":"Crisis of cyber origin, the keys to operational and strategic management","url":"https://messervices.cyber.gouv.fr/documents-guides/20220516_np_anssi_guide_gestion_crise_cyber_en1.pdf"}]},{"id":"avis-de-lanssi-sur-la-migration-vers-la-cryptographie-post-quantique","nom":"Avis de l’ANSSI sur la migration vers la cryptographie post-quantique","description":"<p>Dans cet avis scientifique et technique, l’ANSSI résume <strong>les différents aspects et enjeux de la menace quantique sur les systèmes cryptographiques actuels</strong>. Après un bref aperçu du <strong>context</strong>e de cette menace, ce document introduit un <strong>planning prévisionnel de migration vers une cryptographie post-quantique</strong>, i.e. résistante aux attaques que l’émergence d’ordinateurs quantiques de grande taille rendrait possibles.</p><p>L’objectif est de <strong>se prémunir par anticipation contre cette menace</strong> tout en évitant toute régression de la résistance aux attaques réalisables au moyen des ordinateurs classiques actuels. Cet avis vise à fournir une orientation aux industriels développant des produits de sécurité et à décrire les impacts de cette migration sur l’obtention des visas de sécurité délivrés par l’ANSSI.</p><h3>Structure du document</h3><ol><li>Qu’est-ce qu’un ordinateur quantique ?</li><li>Menace quantique : quel serait l’impact sur les infrastructures numériques actuelles ?</li><li>Menace quantique : le cas de la cryptographie symétrique</li><li>Pourquoi la menace quantique doit-elle être prise en compte dès aujourd’hui ?</li><li>La distribution quantique de clés pourrait-elle être une solution ?</li><li>En quoi consiste la cryptographie post-quantique ?</li><li>Quels sont les différents algorithmes post-quantiques ?</li><li>Quelle est l’implication de la France face à la menace quantique ?</li><li>Les futures normes du NIST seront-elles assez matures pour être implémentées dans les futurs produits de sécurité ?</li><li>Comment graduellement passer d’algorithmes pré-quantiques à des algorithmes post-quantiques ?</li><li>En quoi consiste la cryptoagilité ?</li><li>En quoi consiste la transition post-quantique \"en biseau\" ?</li><li>Qu’est-ce qui est recommandé pour chaque phase ?</li><li>Quel est l’impact sur la délivrance des visas de sécurité ?</li><li>Quelle est la position des autres autorités nationales de cybersécurité ?</li></ol> <p> <a href=\"https://cyber.gouv.fr/publications/anssi-views-post-quantum-cryptography-transition?preview=true&preview_id=29603&preview_nonce=b338a6a657\">Consulter l’avis en anglais.</a> </p>","langue":"FR","collections":["Cryptographie"],"listeDocuments":[{"libelle":"Avis scientifique et technique de l'ANSSI sur la migration vers la crypographie post-quantique, 30 mars 2022","nomFichier":"anssi-avis-migration-vers-la-cryptographie-post-quantique.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2022-04-11T00:00:00.000Z","thematique":"Cryptographie post-quantique","besoins":["SECURISER"],"image":{"petite":"/documents-guides/avis-de-lanssi-sur-la-migration-vers-la-cryptographie-post-quantique/588.avif","grande":"/documents-guides/avis-de-lanssi-sur-la-migration-vers-la-cryptographie-post-quantique/origine.avif"},"documents":[{"libelle":"Avis scientifique et technique de l'ANSSI sur la migration vers la crypographie post-quantique, 30 mars 2022","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-avis-migration-vers-la-cryptographie-post-quantique.pdf"}]},{"id":"recommandations-de-configuration-des-commutateurs-et-pare-feux-siemens-scalance","nom":"Recommandations de configuration des commutateurs et pare-feux Siemens Scalance","description":"<p>Les recommandations ont été formulées à partir de modèles de commutateurs X310, XB208, XC216 et XM408, et d’un pare-feu S615.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Recommandations de configuration des commutateurs et pare-feux Siemens Scalance - v1.0","nomFichier":"anssi-guide-recommandations_configuration_commutateurs_pare-feux_siemens_scalance.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2022-02-11T00:00:00.000Z","thematique":"Siemens Scalance","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-commutateurs-siemens","image":{"petite":"/documents-guides/recommandations-de-configuration-des-commutateurs-et-pare-feux-siemens-scalance/588.avif","grande":"/documents-guides/recommandations-de-configuration-des-commutateurs-et-pare-feux-siemens-scalance/origine.avif"},"documents":[{"libelle":"Recommandations de configuration des commutateurs et pare-feux Siemens Scalance - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_configuration_commutateurs_pare-feux_siemens_scalance.pdf"}]},{"id":"recommandations-de-configuration-des-commutateurs-et-pare-feux-hirschmann","nom":"Recommandations de configuration des commutateurs et pare-feux Hirschmann","description":"<p>Les recommandations ont été formulées à partir de modèles de commutateurs de RSP35 et MSP30 sous HiOS 5.0.00 et de pare-feux Eagle-30 sous HisecOS 2.0.01. Quelques adaptations seront nécessaires pour des modèles ou des versions logicielles différentes.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Recommandations de configuration des commutateurs et pare-feux Hirschmann - v.1.3","nomFichier":"anssi-guide-recommandations_configuration_commutateurs_pare-feux_hirschmann.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2022-02-11T00:00:00.000Z","thematique":"Hirschmann","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-commutateurs-hirschmann","image":{"petite":"/documents-guides/recommandations-de-configuration-des-commutateurs-et-pare-feux-hirschmann/588.avif","grande":"/documents-guides/recommandations-de-configuration-des-commutateurs-et-pare-feux-hirschmann/origine.avif"},"documents":[{"libelle":"Recommandations de configuration des commutateurs et pare-feux Hirschmann - v.1.3","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_configuration_commutateurs_pare-feux_hirschmann.pdf"}]},{"id":"recommandations-de-securite-pour-larchitecture-dun-systeme-de-journalisation","nom":"Recommandations de sécurité pour l’architecture d’un système de journalisation","description":"<p>Les journaux d’évènements constituent une brique technique indispensable à la gestion de la sécurité des systèmes d’information, quelles que soient la nature et la taille de ces derniers. Les journaux sont une source d’information riche qui peut être utilisée a priori pour détecter des incidents de sécurité.</p><p>Dans ce cas, les évènements constituant les journaux sont consultés et analysés en temps réel. Les journaux peuvent également être employés a posteriori pour retrouver les traces d’un incident de sécurité ; l’analyse des journaux d’un ensemble de composants (postes de travail, équipements réseaux, serveurs, etc.) peut alors permettre de comprendre le cheminement d’une attaque et d’évaluer son impact.</p><p>La version en vigueur de ce guide est disponible au téléchargement et se substitue à la version antérieure ; la version 1.0 du 02/12/2015 est caduque et a été dépubliée. Sans engagement d’exhaustivité, l’annexe E référence les évolutions.</p><p>Les principes génériques de journalisation décrits dans ce guide sont déclinés au cas des systèmes Microsoft Windows dans le guide « Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory ».</p> <p> Les principes génériques de journalisation décrits dans ce guide sont déclinés au cas des systèmes Microsoft Windows dans\n<a href=\"https://cyber.gouv.fr/guide-journalisation-windows\">le guide « Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory ».</a> </p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité pour l&#039;architecture d&#039;un système de journalisation - v2.0","nomFichier":"anssi-guide-recommandations_securite_architecture_systeme_journalisation.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2022-01-28T00:00:00.000Z","thematique":"Journalisation","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-journalisation","image":{"petite":"/documents-guides/recommandations-de-securite-pour-larchitecture-dun-systeme-de-journalisation/588.avif","grande":"/documents-guides/recommandations-de-securite-pour-larchitecture-dun-systeme-de-journalisation/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité pour l&#039;architecture d&#039;un système de journalisation - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_securite_architecture_systeme_journalisation.pdf"}]},{"id":"securiser-la-journalisation-dans-un-environnement-microsoft-active-directory","nom":"Sécuriser la journalisation dans un environnement Microsoft Active Directory","description":"<p>Le guide « Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory » a vocation à être opérationnel. Il propose en ce sens du contenu technique mis à disposition sur GitHub pour faciliter sa mise en œuvre dans un environnement reposant sur Microsoft Active Directory. Il intéressera plus particulièrement les métiers opérationnels d’administration système ou de SSI.</p><p>Il détaille en premier lieu la mise en œuvre d’une stratégie de journalisation locale des systèmes Windows adaptée aux besoins de sécurité et à l'état de la menace. Il y est ainsi proposé un paramétrage clé en main des capacités de journalisation natives des systèmes Windows. Une méthodologie de configuration et de déploiement de sysmon y est également proposée pour les entités qui ont un besoin de journalisation avancée.</p><p>Il explique ensuite comment mettre en œuvre de serveurs de collecte des évènements Windows, de sorte à rendre possibles la détection et l’analyse centralisée des évènements de sécurité. Sont ainsi abordés différents aspects liés à la sélection des évènements centralisés, à la configuration des services et composants logiciels mis en jeu lors de cette centralisation ainsi qu’à la sécurité de l’infrastructure de collecte.</p><p>Ce guide est une déclinaison opérationnelle du guide « Recommandations de sécurité pour l'architecture d'un système de journalisation », ce dernier étant générique et indépendant des technologies déployées.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory - v1.1","nomFichier":"anssi-guide-recommandations_securite_journalisation_systemes_microsoft_windows_environnement_active_directory.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2022-01-28T00:00:00.000Z","thematique":"Journalisation","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-journalisation-windows","image":{"petite":"/documents-guides/securiser-la-journalisation-dans-un-environnement-microsoft-active-directory/588.avif","grande":"/documents-guides/securiser-la-journalisation-dans-un-environnement-microsoft-active-directory/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité pour la journalisation des systèmes Microsoft Windows en environnement Active Directory - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_securite_journalisation_systemes_microsoft_windows_environnement_active_directory.pdf"}]},{"id":"en-anssi-views-post-quantum-cryptography-transition","nom":"ANSSI views on the Post-Quantum Cryptography transition","description":"<p>January 4, 2022 In this position paper, the current ANSSI views on the so-called post-quantum cryptography transition are outlined. In particular, ANSSI recalls the context of the quantum threat and introduces a <em>provisional transition agenda</em> to prevent this quantum threat with a progressive increase of assurance on the new post-quantum algorithms without introducing any vulnerability accessible via today's classical computers. The objective of this paper is twofold: providing directions to industrials developing security products and outlining the transition agenda in terms of French security visas [<a href=\"#note4\">4</a>].</p><p>What are quantum computers?</p><p>Quantum computers are based on physical principles that are fundamentally different from those underlying today's classical computing. At a large scale, they would be capable of performing certain tasks much faster than today's computers. While prototypes of small quantum computers, often designated by NISQ (Noisy Intermediate Scale Quantum computers) already exist, building large scale reprogrammable ones is still at a very upstream research stage. There are many lines of research in quantum physics for the creation of such quantum computers but none of them is certain to succeed. Though their potential benets are not fully known, they could obviously be high. Thus, the industry, governments and academia around the world are devoting signicant resources to research in quantum computing. For example, in 2021, the French government announced an investment of more than 1 billion &amp;euro in quantum technologies, including quantum computing [<a href=\"#note\">8</a>]. A complete survey on the status of quantum computer development has been detailed by the BSI, the German counterpart of ANSSI [<a href=\"#note7\">7</a>].</p><p>Quantum threat: what is the impact on our current digital infrastructures?</p><p>The security of the majority of digital infrastructures relies on public key cryptography (PKC), a technology that enables secure communications between entities, typically users or servers, that do not shareany pre-established secret. More precisely, PKC serves two main functionalities: protected channel establishment (key establishment) and authentication of digital information (including authentication of parties inside a communication protocol by the use of digital signatures). Today, these techniques are essentially based on two mathematical problems: the factorization of large numbers and the discrete logarithm computation. Both are dimensioned to be virtually impossible to solve with our current computing resources and mathematical knowledge. For example, the well-known RSA public key algorithm relies on the factorization of large numbers. These two fundamental problems will no longer be unsolvable if a large scale quantum computer is built and thus the security of currently deployed public key cryptography could potentially collapse. Indeed, in 1994, P. Shor introduced a quantum algorithm [<a href=\"#note15\">15</a>]) able to solve these problems quite eciently. This algorithm cannot be performed on classical computers but it could be performed on large scale ones. To avoid any confusion with the existing prototypes of small scale quantum computers, the NCSC, British counterpart of ANSSI, introduced the name of Cryptographically Relevant Quantum Computers, CRQCs (see the NCSC's whitepaper on quantum-safe cryptography [<a href=\"#note12\">12</a>]). In other words, a CRQC is a quantum computer that is able to execute relevant instances of Shor's algorithm and thus threatening today's public-key cryptography. The prototypes of quantum computers that exist are presently far from the required scale and stability of CRQCs and therefore they are currently not a threat to public key cryptography. Many research challenges in physics, engineering and computer science must be overcome before scaling up to large quantum computers able to solve the factorization and discrete logarithm problems on which the current PKC is based. However, the threat of retroactive attacks cannot be ruled out. A family of attacks, called <strong>\"store now, decrypt later attacks\"</strong>, constist in storing today the data exchange corresponding to a secure channel establishment and the encrypted messages over such a channel, with the purpose of eventually decrypting these messages once a CRQC becomes available. This threat could be relevant in certain scenarios involving very sensitive information, e.g. classified information. Furthermore, the quantum threat could also impact digital signatures. Indeed, a CRQC could be used to forge signatures and allow impersonation attacks. Unlike the threat of retroactive \"store now, decrypt later attacks\", this threat would only be effetive if the signatures are generated at a time when a CRQC exists. Thus, the signatures that are verified on the y, like in authenticated channels, cannot be directly impacted before the existence of a CRQC. However, in a context of document signing, the long-term validity is sometimes required in certain specific use cases, and these signatures can be compromised by the existence of a CRQC. The transition from pre-quantum signatures to post-quantum ones should be tackled before the existence of any CRQC to avoid any a posteriori impersonation attack.</p><p>Quantum threat: what about symmetric cryptography?</p><p>Symmetric cryptography, a different and complementary branch of cryptographic algorithms, could also be targeted by potential large scale quantum computers. A generic quantum algorithm introduced by Grover in 1998 [<a href=\"#note11\">11</a>] quadratically speeds up the exhaustive search of secret keys in symmetric algorithms. Grover's algorithm can also speed up certain attacks on hash functions called collision finding attacks. These attacks also require the use of CRQCs but for numerous algorithms one can reasonnably assume that they could be mitigated by adjusting the sizes of the hash outputs and keys (using 256 bits keys instead of 128 for the AES symmetric encryption mechanism and using 384 bits hash outputs for SHA-2 and SHA-3 for instance). Thus, the generic impact of Grover's algorithm on symmetric cryptography is far more limited than the impact of Shor's algorithm on PKC.</p><p>Why the quantum threat should be taken into account today?</p><p>Because of a \\store now, decrypt later\" attack outlined above, the quantum threat should be taken into account before the question of whether the development of a CRQC will ever become achievable in the future is cleared up. Thus, a profound change of today's public key cryptography towards quantum-resistant algorithms should be globally initiated to anticipate a possible collapse of our current cryptographic infrastructure. Even though protecting our current public key cryptography against this distant threat has a cost, researching alternative cryptographic solutions can be beneficial from another perspective. Indeed, beyond the quantum threat, cryptography is never infallible; weaknesses are found from time to time, even on cryptographic mechanisms implemented in classical computers. Thus, it is not possible to totally rule out a discovery of a potential weakness impacting the security of hardware and/or software and requiring replacement of algorithms. Nowadays, the public key cryptography used worldwide is close to a mono culture and would strongly benet from the introduction of new alternative algorithms.</p><p>Is quantum key distribution a solution?</p><p>Quantum Key Distribution (QKD), sometimes called quantum cryptography, is a way of enabling secure communications without being vulnerable to classical and quantum computers by using so-called quantum channels. Nevertheless, this technique does not provide a complete functional equivalent to public key cryptography and oers limited applications due to the need of a dedicated communication infrastructure and without real routing capabilities. More information on the ANSSI position can be found under reference [<a href=\"#note5\">5</a>]. As such, except for niche applications where QKD is used for providing some extra physical security on top of algorithmic cryptography (and not as a replacement), it is not considered by ANSSI as a suitable countermeasure to mitigate the quantum threat.</p><p>What is post-quantum cryptography?</p><p>Post-Quantum Cryptography (PQC) is a family of cryptographic algorithms including key establishment and digital signatures that ensures a conjectured (note : <a href=\"#footnote1\">1</a>) security even against an attacker equipped with quantum computers. Post-quantum algorithms can be executed on classical computers with classical communication channels and thus can be deployed in existing infrastructures, unlike QKD. Besides, these algorithms are not only for use after a CRQC is built, they can be deployed in anticipation. <em>For ANSSI, PQC represents the most promising avenue to thwart the quantum threat.</em> The international research effort on post-quantum cryptography accelerated in 2015 after NSA's release advising to \"shift to quantum resistant cryptography in the near future [<a href=\"#note9\">9</a>]. In 2017, the National Institute of Standards and Technologies (NIST) started a standardization campaign to define standard post-quantum public key algorithms (key establishments and signatures). At the time of writing, this process is still ongoing [<a href=\"#note13\">13</a>] and currently at its third round. Standards are expected to be published within the next one to four years. Contrary to other standardization campaigns where there was only one finalist, the post-quantum campaign will end up with several standards for different applications. This standardization process has acted as a catalyst allowing a strong involvement of the international cryptography research community and focusing the analysis efforts on a restricted number of candidate algorithms while preserving the diversity of the underlying problems. This process has also broadened the analysis to various implementation use cases like embedded components.</p><p>What are the different post-quantum algorithms?</p><p>The different families of post-quantum public key candidate algorithms are defined by the mathematical structure on which they are built. Nowadays, post-quantum public key algorithms are mostly based upon: - Structured or un-structured Euclidean lattices ; - Error-correcting codes ; - Isogenies between elliptic curves ; - Multivariate systems ; - Hash trees. While the mathematical problems were introduced in the last century, the PQC algorithms are relatively recent. They offer various compromises between key size, signatures or ciphertext size, computational complexity and security assurance. A technical survey of the algorithms and the underlying mathematical problems can be found in [<a href=\"#note10\">10</a>].</p><p>What is being done in France to address the Quantum threat?</p><p>There is a high academic interest in France for this thematic. This is why the French community is actively participating to the design and security analysis of the primitives but also to their cryptanalysis. A national group comprising academics, industrials and ANSSI has been formed, called RISQ (note : <a href=\"#footnote2\">2</a>), and will publish a whitepaper in 2022 [<a href=\"#note14\">14</a>]. As the national cybersecurity authority in France, ANSSI has followed closely and participated to the progress in post-quantum cryptography. ANSSI has planned to continue its effort in the future. More generally, ANSSI publishes recommendations on the selection of cryptographic algorithms in security products and delivers security labels for products meeting general security requirements. But, ANSSI is not a standardization agency, its role is not to develop cryptographic standards. More precisely, ANSSI has a twofold role when it comes to the use of cryptographic algorithms: advisory and regulatory. On the one hand, it promotes the use of well-studied, state-of-the-art cryptographic algorithms by publishing national guidelines on cryptography [<a href=\"#note2\">2</a>] [<a href=\"#note1\">1</a>] and by participating to the publication of European guidelines on the selection of cryptographic algorithms [<a href=\"#note16\">16</a>]. On the other hand, ANSSI supervises the evaluation and delivery of security labels, e.g. Common Criteria (CC) certificates. In the French certification scheme, each evaluation comprises specific cryptographic evaluation tasks according to the evaluation level. It is important to highlight that there is no closed list of cryptographic algorithms eligible in order for a product to obtain a security label. Generally, the use of cryptographic algorithms that are fitted with a formal standard status delivered by an international standardization body (e.g. ISO, ITU, IETF, ETSI etc.) is strongly recommended. However, a cryptographic algorithm supported by a strong record of scientific publications can be potentially judged sufficient to provide an adequate security assurance level. Conversely, there is no automatic and universal recognition of all algorithms that obtained a formal standard state from such organizations.</p><p>Are the future NIST standards mature enough to be implemented in security products?</p><p>Beyond the NIST objective to derive standards, the past three rounds of the NIST standardization campaign provide a variety of algorithms along with security analysis. Although this new post-quantum toolbox may seem handy for developers, the maturity level of the post-quantum algorithms presented to the NIST process should not be overestimated. Many aspects lack cryptanalytical hindsight or are still research topics, e.g. analysis of the difficulty of the underlying problem in the classical and quantum computation models, dimensioning, integration of schemes in protocols and more importantly the design of secure implementations. This situation will probably last some time after the publication of NIST standards.</p><p>Acknowledging the immaturity of PQC is important: ANSSI will not endorse any direct drop-in replacement of currently used algorithms in the short/medium term. However, this immaturity should not serve as an argument for postponing the deployments. ANSSI encourages all industries to initiate in the next months a gradual overlap transition in order to progressively increase trust on the post-quantum algorithms and their implementations while ensuring no security regression as far as classical (pre-quantum) security is concerned.</p><p>How to transition smoothly from pre-quantum to post-quantum algorithms?</p><p>A <em>hybrid</em> mechanism (key establishment or signature) combines the computations of a recognized pre-quantum public key algorithm and an additional algorithm conjectured post-quantum secure. This makes the mechanism benefit both from the strong assurance on the resistance of the first algorithm against classical attackers and from the conjectured resistance of the second algorithm against quantum attackers. Certain hybrid protocols are in standardization processes like [<a href=\"#note17\">17</a>] for TLS 1:3 or [<a href=\"#note18\">18</a>] for IKEv2. More generally, for key establishment, one can perform both a pre-quantum and a post-quantum key establishment and then combine both results, e.g. using a Key Derivation Function (KDF). Alternatively, one may use for some specific applications a KDF on a pre-shared key and a shared key obtained from a pre-quantum scheme. For signature schemes, hybrid signatures can be achieved with the concatenation of signatures issued by a pre-quantum and a post-quantum scheme and the requirement that both signatures be valid in order for the hybrid signature to be valid. Even though hybridation is a relatively simple construction, ANSSI emphasizes that the role of hybridation in the cryptographic security is crucial and will be mandatory for phases 1 and 2 presented in the sequel. In addition, the implementation security of the hybridation technique should be also taken in consideration. Given that most post-quantum algorithms involve message sizes much larger than the current pre-quantum schemes, the extra performance cost of an hybrid scheme remains low in comparison with the cost of the underlying post-quantum scheme. ANSSI believes that this is a reasonable price to pay for guaranteeing an additional pre-quantum security at least equivalent to the one provided by current pre-quantum standardized algorithms.</p><p>What is cryptoagility?</p><p>As detailed in the sequel, the deployment of hybrid PQC is not a mandatory feature as of today. However, ANSSI will encourage the initiation of progress towards cryptoagility as much as possible for future products. More precisely, a product is said <em>cryptoagile</em> if it includes the possibility to update its cryptographic algorithms without recalling it or substituing it with a new one. The quantum threat makes cryptoagility particularly relevant, and beyond this threat, classical attacks may also evolve and make cryptographic mechanisms or key lengths obsolete. In practice, cryptoagility also means that in addition to the possibility of patching, products could include an extra surface for allowing potential updates in order to react to upcoming cryptographic recommendations and standard updates. Even though updates of the cryptographic algorithms should be much less frequent than patches, the cryptoagility feature is non-trivial to implement due to the need for retro-compatibility and the potential requirement for additional security visas if the product is certifiedd. However, as the motivation for cryptoagility is very relevant nowadays, ANSSI believes that cryptoagility features should be taken into account during the benefit/risk analysis of future products.</p><p>What is the recommended post-quantum transition roadmap?</p><p>To support a gradual transition, ANSSI encourages the following 3-phase roadmap (see below for a detailed description): - Phase 1 (today): hybridation to provide some additional post-quantum defense-in-depth to the pre-quantum security assurance. - Phase 2 (not earlier than 2025): hybridation to provide post-quantum security assurance while avoiding any pre-quantum security regression. - Phase 3 (probably not earlier than 2030): optional standalone post-quantum cryptography.</p><p>What is recommended for each phase?</p><p>Phase 1: mandatory pre-quantum security, optional PQC, no claimed quantum resistance. This phase</p><p>corresponds to the current situation. The post-quantum security should not be a mandatory requirement but is considered as an optional \"defense-in-depth\". As the standardization campaign is still ongoing, the idea of this phase is to enable the first post-quantum deployments with exibility while preserving the pre-quantum security with hybrid mechanisms.</p><p>ANSSI recommends introducing post-quantum defense-in-depth as soon as possible for security products aimed at oering a long-lasting protection of information (until after 2030) or that will potentially be used after 2030 without updates.</p><p>The two following conditions below should be met. 1. The chosen hybridation technique must ensure no security regression i.e. the security of the mechanism must be at least equivalent to the security of the included recognized pre-quantum scheme. 2. While there is no strict guidance for the choice of a post-quantum public key algorithm (key establishment or signature mechanisms), the chosen algorithm should have stable and well-studied specifications, e.g. be a NIST finalist or a trusted alternate finalist (note : <a href=\"#footnote3\">3</a>). Moreover the conjectured post-quantum level should be as high as possible, preferably NIST level V (AES-256). For example, at the time of the writing, the NIST candidates FrodoKEM, Kyber, Dilithium or Falcon could be good options for first deployments. Choosing algorithms selected by NIST for standardization is not an absolute prerequisite (note : <a href=\"#footnote4\">4</a>). ANSSI encourages to use a conjectured post-quantum security level on <em>symmetric</em> primitives consistent with the selected post-quantum PKC algorithm - in practice at least the same security level as AES-256 for block ciphers and at least the same security level as SHA2-384 for hash functions. Please note that hash-based signatures are an exception for hybridation: due to their well-studied underlying mathematical problem, ANSSI estimates that these algorithms could be used today without hybridation (note : <a href=\"#footnote5\">5</a>). However, their potential application range is limited (low number of signatures queries or large signature sizes). This phase should last until after NIST's first standards are announced and it is planed to last until after 2025. Phase 2. <em>Mandatory pre-quantum security, optional PQC with claimed quantum resistance.</em> In this second phase, all post-quantum PKC algorithms shall continue to be systematically included inside hybrid mechanisms (except for hash-based signatures whose hybridation is optional as presented in phase 1). For this phase, the post-quantum part will be more than an defense-in-depth: the quantum resistance could be claimed as a feature. In that case, a post-quantum security assurance should be mandatory for both public key and symmetric mechanisms as integral part of the security analysis. By then, ANSSI will have identified criteria for acceptable post-quantum PKC algorithms depending on their associated post-quantum security assurance. Such selected algorithms may not exactly match NIST standards. For this phase, ANSSI will highly recommend the post-quantum transition for products claiming long-term security. In that sense, for certain types of security products claiming long-term security, post-quantum security could become a mandatory feature. This phase should last until at least 2030. Phase 3: <em>Optional standalone PQC with claimed quantum resistance</em>. ANSSI expects that after years of analysis, the security assurance level provided by post-quantum algorithms will be as high as today's pre-quantum assurance level. Thus, the usage of some post-quantum schemes should be possible without hybridation. Please note that the presented recommendations will potentially evolve depending on the global advances on post-quantum cryptography and on the progress of NIST standardization campaign. The estimated timeline of the roadmap could be advanced or slowed down accordingly.</p><p>What is the impact on security visas delivery?</p><p>The use of PQC will also impact the delivery of security visas. ANSSI will accompany this transition and adapt its evaluation procedures according to the roadmap described above. The general procedure [<a href=\"#note3\">3</a>] will be updated following the three phases as follows.</p><p>Phase 1: The security visas only claim a pre-quantum security assurance. The optional post-quantum security feature is only considered as an additional defense-in-depth add-on.</p><p>Therefore, the evaluation method for security products that do not use PQC stays unchanged. For products that use post-quantum defense-in-depth, the evaluation method for a security visa will be defined as follows : - All pre-quantum security mechanisms are evaluated as currently define [<a href=\"#note3\">3</a>]. - The hybridation mechanism will be evaluated to ensure that it does not degrade security. - While ANSSI may go through the PQC algorithms specification, it will not be evaluated by IT Security Evaluation Facilities (ITSEF) and thus it will not be part of any security visa. If necessary, it is possible to contact ANSSI for advice on the choice of PQC algorithms. In a nutshell, security visas will attest that pre-quantum security is evaluated and that the use of post-quantum <em>defense-in-depth</em> mechanisms do not have any negative impact. No formal judgement will be made on the quantum security offered by PQC.</p><p>Phase 2: ANSSI will deliver security visas claiming a pre-quantum and, optionally, post-quantum long-term security assurance (still with mandatory hybridation).</p><p>As in phase 1, evaluation procedure for products that do not use post-quantum long-term security remains unchanged. For long-term security products that follow ANSSI recommendations and use hybridation with PQC, the evaluation method will include pre-quantum security analysis, hybridation and quantum resistance analysis. For the latter, the analysis should include both symmetric and asymmetric mechanisms and should comply with the ocial guidelines on quantum resistance that will be updated by then.</p><p>Phase 3: ANSSI will deliver security visas claiming a pre-quantum and post-quantum long-term security assurance with optional hybridation. Depending on the context, ANSSI could continue to deliver security visas claiming only pre-quantum security assurance.</p><p>This final transition phase strongly depends on the advances of research in post-quantum cryptography and quantum computing. The specific details of this phase will be adapted in the next decades.</p><p>What is the position of other governments?</p><p>Several governments have published similar position papers recommending to prepare the post-quantum transition. ANSSI's views are similar to the BSI's position [<a href=\"#note6\">6</a>] on many issues (e.g. necessary migration, hybridation, cryptoagility).</p><h4>Notes</h4><p>(1) for which no efficient quantum attack exists today. (2) “Regroupement de l’industrie française pour la sécurité post-quantique”. (3) as defined by NIST in round 3 of the campaign. (4) While few exceptions are expected in practice, at least for mainstream cryptography, an algorithm that is not a NIST standard, but that is demonstrably stronger that a NIST standard, could constitute such an exception. For example, a developer should be able to obtain a security visa for a product implementing an hybrid FrodoKEM whether NIST decides that FrodoKEM will be one of the first PQC standards or not. (5) This is nevertheless a non-standard algorithm choice compared to the use of current PKC standards. Thus, some analysis of the algorithm may have to be performed by ANSSI as part of an evaluation, and this may lead to an increase of the certification process duration.</p><h4>References</h4><p>[1] ANSSI. Gestion des clés cryptographiques : Règles et recommandations concernant la gestion des clés utilisées dans les méecanismes cryptographiques. <a href=\"https://s3.eu-west-par.io.cloud.ovh.net/sf-cyber/sf-cyber/documents/RGS_v-2-0_B2.pdf?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=f56b12dc7d9741d6bb98766a26a6adca%2F20251208%2Feu-west-par%2Fs3%2Faws4_request&X-Amz-Date=20251208T142701Z&X-Amz-Expires=3600&X-Amz-SignedHeaders=host&X-Amz-Signature=8169a1f382130d5cc2f2a89455df426bb52f778003e4806c5dc96116fd9d4e15\">RGS_v-2-0_B2.pdf</a> [2] ANSSI. Guide des mécanismes cryptographiques. <a href=\"https://cyber.gouv.fr/publications/mecanismes-cryptographiques\">Znssi-guide-mecanismes_crypto-2.04.pdf</a> [3] ANSSI. Modalités pour la réalisation des analyses cryptographiques. <a href=\"https://s3.eu-west-par.io.cloud.ovh.net/sf-cyber/sf-cyber/documents/ANSSI-CC-CRY-P-01_Modalit%C3%A9s_pour_la_r%C3%A9alisation_des_analyses_cryptographiques_v4.2_1.pdf?X-Amz-Algorithm=AWS4-HMAC-SHA256&X-Amz-Credential=f56b12dc7d9741d6bb98766a26a6adca%2F20251208%2Feu-west-par%2Fs3%2Faws4_request&X-Amz-Date=20251208T142355Z&X-Amz-Expires=3600&X-Amz-SignedHeaders=host&X-Amz-Signature=ee35fd9c66425bd01127ba061d0811e599f6850006b220e64409944a569f7f23\">Anssi-cc-cry-p-01-modalites-pour-la-realisation-des-analyses-cryptographiques_v4.1.pdf</a> [4] ANSSI. Security visas. <a href=\"https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/services-de-securite-evalue/decouvrir-les-solutions-certifiees-qualifiees/\">Visa-de-securite-ANSSI/</a> [5] ANSSI. Should quantum key distribution be used for secure communications? <a href=\"https://cyber.gouv.fr/en/publications/should-quantum-key-distribution-be-used-secure-communications\">https://cyber.gouv.fr/en/publications/should-quantum-key-distribution-be-used-secure-communications</a> [6] BSI. Migration zu post-quanten-kryptografie. <a href=\"https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Krypto/Post-Quanten-Kryptografie.pdf;jsessionid=4E25811453CDCA572EE4B949296E89EB.internet472?__blob=publicationFile&amp;v=1\">https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Krypto/Post-Quanten-Kryptografie.pdf;jsessionid=4E25811453CDCA572EE4B949296E89EB.internet472?__blob=publicationFile&amp;v=1</a> [7] BSI. Status of quantum computer development. <a href=\"https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/Quantencomputer/P283_QC_Studie-V_1_2.pdf?__blob=publicationFile&amp;v=1\">https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Publikationen/Studien/Quantencomputer/P283_QC_Studie-V_1_2.pdf?__blob=publicationFile&amp;v=1</a> [8] CNRS. La recherche française au cœur du plan quantique. <a href=\"https://www.iledefrance-gif.cnrs.fr/fr/cnrsinfo/la-recherche-francaise-au-coeur-du-plan-quantique\">https://www.iledefrance-gif.cnrs.fr/fr/cnrsinfo/la-recherche-francaise-au-coeur-du-plan-quantique</a> [9] CNSS. CNSS advisory memorandum. <a href=\"https://cryptome.org/2015/08/CNSS_Advisory_Memo_02-15.pdf\">https://cryptome.org/2015/08/CNSS_Advisory_Memo_02-15.pdf</a>, 2015 [10] ENISA. Post-quantum cryptography: Current state and quantum mitigation. <a href=\"https://www.enisa.europa.eu/publications/post-quantum-cryptography-current-state-and-quantum-mitigation\">https://www.enisa.europa.eu/publications/post-quantum-cryptography-current-state-and-quantum-mitigation</a> [11] L. K. Grover. A framework for fast quantum mechanical algorithms. In 30th ACM STOC, pages 53–62. ACM Press, May 1998. [12] NCSC. Preparing for quantum-safe cryptography. <a href=\"https://www.ncsc.gov.uk/whitepaper/preparing-for-quantum-safe-cryptography\">https://www.ncsc.gov.uk/whitepaper/preparing-for-quantum-safe-cryptography</a> [13] NIST. Post-quantum cryptography (official standardization webpage). <a href=\"https://csrc.nist.gov/projects/post-quantum-cryptography\">https://csrc.nist.gov/projects/post-quantum-cryptography</a> [14] RISQ. To appear on risq official webpage. <a href=\"https://risq.fr/\">https://risq.fr/</a> [15] P. Shor. Algorithms for quantum computation: Discrete logarithms and factoring. In 35th FOCS, pages 124–134. IEEE Computer Society Press, Nov. 1994. [16] SOG-IS. Agreed cryptographic mechanisms. <a href=\"https://www.sogis.eu/uk/supporting_doc_en.html\">https://www.sogis.eu/uk/supporting_doc_en.html</a> [17] D. Stebila, S. Fluhrer, and S. Gueron. Hybrid key exchange in tls 1.3 (draft IETF). <a href=\"https://www.ietf.org/id/draft-ietf-tls-hybrid-design-03.html\">https://www.ietf.org/id/draft-ietf-tls-hybrid-design-03.html</a> [18] C. Tjhai, M. Tomlinson, G. Bartlett, S. Fluhrer, D. Van-Geest, O. Garcia-Morchon, and V. Smyslov. Multiple key exchanges in ikev2 (draft IETF). <a href=\"https://datatracker.ietf.org/doc/draft-ietf-ipsecme-ikev2-multiple-ke/\">https://datatracker.ietf.org/doc/draft-ietf-ipsecme-ikev2-multiple-ke/</a></p>","langue":"EN","collections":["Cryptographie"],"listeDocuments":[{"libelle":"Technical position paper - ANSSI views on the Post-Quantum Cryptography transition - March 30, 2022","nomFichier":"EN_Position.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2022-01-04T00:00:00.000Z","thematique":"Post-Quantum Cryptography","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-anssi-views-post-quantum-cryptography-transition/588.avif","grande":"/documents-guides/en-anssi-views-post-quantum-cryptography-transition/origine.avif"},"documents":[{"libelle":"Technical position paper - ANSSI views on the Post-Quantum Cryptography transition - March 30, 2022","url":"https://messervices.cyber.gouv.fr/documents-guides/EN_Position.pdf"}]},{"id":"crise-cyber-les-cles-dune-gestion-operationnelle-et-strategique","nom":"Crise cyber, les clés d’une gestion opérationnelle et stratégique","description":"<p>En complément des bonnes pratiques suggérées aux acteurs stratégiques et opérationnels participant au dispositif de crise cyber, plusieurs organisations ayant expérimenté un incident majeur offrent leurs témoignages et les façons dont elles ont pu y répondre.</p><p>Les déséquilibres qu’implique une crise cyber forcent les organisations à s’adapter et à fonctionner de manière inhabituelle. Ces bouleversements soudains et à l’échéance incertaine sont une source de stress et compliquent la prise de décision, alors même que des actions de remédiation doivent être décidées et exécutées rapidement pour limiter les impacts. « <em>On ne peut pas improviser des réponses en plein milieu d’une catastrophe ! La préparation, l’outillage et l’entraînement sont indispensables pour maintenir l’activité en cas d’attaque informatique</em> », indique Guillaume Poupard, directeur général de l’ANSSI. Pour répondre à cette nécessité, l’ANSSI, en partenariat avec le CDSE, publie le guide <em>Crise d’origine cyber, les clés d’une gestion opérationnelle et stratégique</em>. S’adressant à toute personne impliquée dans la réponse à une crise cyber, ce guide permet aux organisations l’utilisant d’adapter leur dispositif de crise existant pour prendre en compte les aspects spécifiques aux crises d’origine cyber. Adressant à la fois la préparation et la réponse aux crises, ce guide, constitué de 18 fiches pratiques, propose des objectifs à atteindre pour chaque phase de la préparation et de la réponse aux crises et s’adresse à chacun des acteurs du niveau stratégique et opérationnel. Les conseils et les bonnes pratiques qu’il présente sont agrémentés de plusieurs retours d’expérience d’organisations victimes de cyberattaques – qui complémentent avec des exemples concrets le déroulé d’une crise et les enseignements qu’elles ont pu en tirer.</p><p><em>Ce guide fait partie de la collection « Gestion de crise cyber », destinée à accompagner les organisations dans la préparation et la gestion de crise cyber. Cette collection se compose de trois tomes : </em>Organiser un exercice de gestion de crise cyber <em>(disponible en <a href=\"https://cyber.gouv.fr/publications/organiser-un-exercice-de-gestion-de-crise-cyber\">français</a> et en <a href=\"https://cyber.gouv.fr/en/publications/organising-cyber-crisis-management-exercise\">anglais</a>), </em>Crise d’origine cyber, les clés d’une gestion opérationnelle et stratégique <em>(disponible en <a href=\"https://cyber.gouv.fr/publications/crise-cyber-les-cles-dune-gestion-operationnelle-et-strategique\">français</a> et en </em><em><a href=\"https://cyber.gouv.fr/publications/crisis-cyber-origin-keys-operational-and-strategic-management\">anglais</a></em><em>) et </em>Anticiper et gérer sa communication de crise cyber <em>(disponible en <a href=\"https://cyber.gouv.fr/publications/anticiper-et-gerer-sa-communication-de-crise-cyber\">français</a> et en</em><em><a href=\"https://cyber.gouv.fr/publications/anticipating-and-managing-your-cyber-crisis-communication\">anglais</a></em><em>). Cette collection vise à apporter une expertise transverse sur l’ensemble des aspects de la gestion de crise cyber.</em></p>","langue":"FR","collections":["Crise cyber"],"listeDocuments":[{"libelle":"Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique","nomFichier":"anssi-guide-gestion_crise_cyber.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-12-06T00:00:00.000Z","thematique":"Crise cyber","besoins":["REAGIR"],"image":{"petite":"/documents-guides/crise-cyber-les-cles-dune-gestion-operationnelle-et-strategique/588.avif","grande":"/documents-guides/crise-cyber-les-cles-dune-gestion-operationnelle-et-strategique/origine.avif"},"documents":[{"libelle":"Crise d'origine cyber, les clés d'une gestion opérationnelle et stratégique","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-gestion_crise_cyber.pdf"}]},{"id":"recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe","nom":"Recommandations relatives à l’authentification multifacteur et aux mots de passe","description":"<p>Ce guide traite de l'authentification pour tout type d'accès, c'est-à-dire du déverrouillage d'un terminal (poste Windows, Linux, etc.), de l'accès à des comptes à privilèges (par des administrateurs par exemple), de l'accès à des applications web (privées ou publiques), etc.</p><p>Les recommandations de ce guide doivent être analysées vis-à-vis du contexte dans lequel l'authentification s'effectue.<br> En effet, l'authentification sur un site de réservation d'un terrain de tennis et l'authentification sur un réseau contenant des données sensibles ne font pas face aux mêmes menaces et n'ont donc pas les mêmes besoins de sécurité.</p><p>Ce guide a donc également pour objectif de constituer un support technique pour accompagner une analyse de risque sur l'authentification.</p><p>Ce guide se focalise uniquement sur le cas de l'authentification de personnes vis-à-vis de machines.</p><p>Ce guide est à destination d'un large public :</p><ul><li>des personnes ayant un rôle de développement ou d’intégration dans le cadre de la mise en place d’une solution d’authentification;</li><li>des personnes ayant un rôle d'administration dans le cadre de la configuration des divers outils permettant l'authentification sur le système d'information placé sous leur responsabilité;</li><li>des personnes ayant une responsabilité (par exemple DSI ou RSSI) dans le cadre de la définition des objectifs de sécurité en matière d'authentification;</li><li>des utilisateurs finaux des divers moyens d'authentification, en particulier les mots de passe.</li></ul><p>Les principales recommandations qui sont mises en avant dans ce guide sont résumées ci-après.</p><ul><li>Mener une analyse de risque lors de la mise en place de moyens d'authentification.</li><li>Privilégier l'utilisation de l'authentification multifacteur.</li><li>Privilégier l'utilisation de l'authentification reposant sur un facteur de possession.</li><li>Adapter la robustesse d'un mot de passe à son contexte d'utilisation.</li><li>Utiliser un coffre-fort de mots de passe.</li></ul>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations relatives à l&#039;authentification multifacteur et aux mots de passe - v2.0","nomFichier":"anssi-guide-authentification_multifacteur_et_mots_de_passe.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-10-08T00:00:00.000Z","thematique":"MFA et mots de passe","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-authentification","image":{"petite":"/documents-guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe/588.avif","grande":"/documents-guides/recommandations-relatives-lauthentification-multifacteur-et-aux-mots-de-passe/origine.avif"},"documents":[{"libelle":"Recommandations relatives à l&#039;authentification multifacteur et aux mots de passe - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-authentification_multifacteur_et_mots_de_passe.pdf"}]},{"id":"recommandations-pour-les-architectures-des-si-sensibles-ou-dr","nom":"Recommandations pour les architectures des SI sensibles ou DR","description":"<p>L'instruction interministérielle n° 901/SGDSN/ANSSI (II 901) du 28 janvier 2015 définit les objectifs et les mesures de sécurité minimales relatifs à la protection des informations sensibles, notamment celles relevant du niveau Diffusion Restreinte (DR). </p><p>L'II 901 s'applique :</p><ul><li>aux administrations de l'État<sup>1</sup> qui mettent en oeuvre des systèmes d'information sensibles ;</li><li>aux entités publiques ou privées soumises à la réglementation relative à la protection du potentiel scientifique et technique de la nation (PPST) qui mettent en oeuvre des systèmes d'information sensibles ;</li><li>à toute autre entité publique ou privée qui met en oeuvre des systèmes d'information Diffusion Restreinte.</li></ul><p>Les recommandations du présent guide sont destinées en premier lieu à ces différentes entités, pour lesquelles l'II 901 s'applique pleinement. L'II 901 ayant valeur de recommandation pour toute autre entité publique ou privée qui met en oeuvre des systèmes d'informations sensibles, ces bonnes pratiques pourront être utilement déclinées sur tous les types SI sensibles (p.ex. SI hébergeant des informations protégées au titre du secret des affaires, SI hébergeant des informations couvertes par le secret professionnel, etc.). Le présent guide a été conçu comme un <em>outil</em> destiné à aider une entité à mettre en oeuvre une architecture de SI conforme à l'II 901. Attention toutefois car certains champs de l'II 901 ne sont volontairement pas traités dans ce guide<sup>2</sup>. Cette version du guide n'aborde pas la problématique de protection des données sensibles ou DR lorsqu'elles sont hébergées dans un <em>cloud</em>. </p><p>Le guide est accompagné d'un outil d'aide et de suivi d'implémentation de la sécurité (OASIS) sous forme de tableur. Ce document aide les entités à donner des priorités aux recommandations, à les classer selon une approche graduelle, puis à faire le suivi de leur mise en œuvre. Chaque entité peut adapter cette approche à ses enjeux, moyens, compétences et SI existants. Pensé lui-aussi comme un outil, ce fichier tableur a pour vocation de fournir aux personnes en charge de la mise en oeuvre et de l'homologation d'un SI sensible un moyen concret et simple de :</p><ol><li>distinguer les mesures de sécurité réglementairement imposées de celles qui relèvent des bonnes pratiques ;</li><li>justifier des écarts si certaines mesures ne sont pas retenues ou doivent être adaptées au contexte de l'entité ;</li><li>évaluer le niveau de mise en oeuvre réel des exigences réglementaires retenues.</li></ol><p><sup>1</sup> Les administrations de l'État au sens de l'II 901 sont les administrations centrales, les établissements publics nationaux, les services déconcentrés de l'État et les autorités administratives indépendantes. <sup>2</sup> Les champs non traités sont par exemple la sécurité physique et environnementale, la sécurité liée aux développements informatiques. En conséquence, il n'est pas suffisant qu'un SI soit conforme aux recommandations de ce guide pour attester de sa conformité à l'ensemble des exigences réglementaires II 901. Un travail complémentaire est nécessaire pour s'assurer de la conformité exhaustive du SI considéré, si un niveau d'homologation sensible ou DR est visé. </p><p><strong>Ce guide est également disponible en anglais :</strong> « <a href=\"https://cyber.gouv.fr/en/guide/recommendations-for-the-architecture-of-sensitive-or-restricted-distribution-information-systems/\"><em>Recommendations for the architecture of sensitive or Restricted Distribution information systems</em></a> »</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour les architectures des systèmes d&#039;information sensibles ou Diffusion Restreinte - v1.2","nomFichier":"anssi-guide-recommandations_architectures_systemes_information_sensibles_ou_diffusion_restreinte-v1.2.pdf"},{"libelle":"OASIS - Recommandations pour les architectures des systèmes d&#039;information sensibles ou Diffusion Restreinte - v1.2","nomFichier":"anssi-oasis-architectures_SI_sensibles_ou_diffusion_restreinte-v1.2.xlsx"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-09-24T00:00:00.000Z","thematique":"SI sensibles et DR","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-archi-sensible-dr","image":{"petite":"/documents-guides/recommandations-pour-les-architectures-des-si-sensibles-ou-dr/588.avif","grande":"/documents-guides/recommandations-pour-les-architectures-des-si-sensibles-ou-dr/origine.avif"},"documents":[{"libelle":"Recommandations pour les architectures des systèmes d&#039;information sensibles ou Diffusion Restreinte - v1.2","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_architectures_systemes_information_sensibles_ou_diffusion_restreinte-v1.2.pdf"},{"libelle":"OASIS - Recommandations pour les architectures des systèmes d&#039;information sensibles ou Diffusion Restreinte - v1.2","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-oasis-architectures_SI_sensibles_ou_diffusion_restreinte-v1.2.xlsx"}]},{"id":"en-recommendations-architecture-sensitive-or-restricted-distribution-information-systems","nom":"Recommendations for the architecture of sensitive or Restricted Distribution information systems","description":"<p>The II 901 directive applies:</p><ul><li>to State administrative services which implement sensitive information systems (1);</li><li>to public or private entities subject to the regulation pertaining to the protection of the Nation's scientific and technological potential (PPST) and which implement sensitive information systems ;</li><li>to all other public or private entities which implement Diffusion Restreinte information systems.</li></ul><p>The recommandations descibed in this guide are intended in the first place to entities which are fully subject to II 901 directive. As the II 901 directive is also recommanded for all other public or private entity which implements a sensitive IS, those recommandations should usefully be declined to any other public or private entity dealing with a sensitive IS (e.g. IS hosting 'business secret' information, IS hosting 'professional secrecy' data...).</p><p>This guide has been conceived as a tool for entities which intend to implement an IT architecture compliant with II 901 directive. The reader's attention is drawn to the fact that some area of II 901 directive are not covered in this guide (2).</p><p>This version of the guide do not address the issues raised when sensitive or RD data are hosted in cloud.</p><p>(1) The State administrative services as defined in this directive are the Central Administrative Services, the National Public Bodies, devolved State Services and Independent Administrative Authorities.<br> (2) Exemples of non included fields are: physical security or software developement lifecycle. As a result, it is not sufficient for an IS to be compliant to the recommandations of this guide to attest the compliance to the whole bunch of II 901 requirements. A complementary effort is required to attain the full compliance of the IS, in case a accreditation at sensitive or RD level is sought.</p><p><strong>This guide is also available in French : </strong> « <a href=\"https://cyber.gouv.fr/guide/recommandations-pour-les-architectures-des-systemes-dinformation-sensibles-ou-diffusion-restreinte/\"><em>Recommandations pour les architectures des systèmes d'information sensibles ou Diffusion Restreinte</em></a> »</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Guide - Recommendations for the architecture of sensitive or restricted distribution information systems","nomFichier":"anssi-guide-recommendations_for_the_architecture_of_sensitive_or_restricted_distribution_information_systems.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-09-24T00:00:00.000Z","thematique":"Architecture","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-archi-sensible-dr","image":{"petite":"/documents-guides/en-recommendations-architecture-sensitive-or-restricted-distribution-information-systems/588.avif","grande":"/documents-guides/en-recommendations-architecture-sensitive-or-restricted-distribution-information-systems/origine.avif"},"documents":[{"libelle":"Guide - Recommendations for the architecture of sensitive or restricted distribution information systems","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommendations_for_the_architecture_of_sensitive_or_restricted_distribution_information_systems.pdf"}]},{"id":"en-ransomware-attacks-all-concerned-how-prevent-them-and-respond-incident","nom":"Ransomware attacks, all concerned - How to prevent them and respond to an incident","description":"<p>Ransomware attacks are increasing in frequency and sophistication. They can have serious consequences on business continuity or even endanger the survival of the targeted organisation.</p><p>In order to address this unprecedented situation and within the framework of a governmental initiative, the ANSSI, in partnership with the DACG, publishes the guide <em>Ransomware attacks, all concerned - How to prevent them and respond to an incident.</em> Very practical, the guide is aimed in particular at general and IT managers, in the private sector and in local authorities.</p><p>This guide to good preventive and reactive practices in the face of ransomware has benefited from the contributions and experience of several actors: the cybermalveillance.gouv.fr system, the Brigade de lutte contre la cybercriminalité (BL2C), the French Data Protection Authority (Commission nationale de l'informatique et des libertés, CNIL) and the Direction centrale de la Police judiciaire (DCPJ). It is enriched by the testimonies of three victim organisations that contribute significantly to the awareness of the risk: the M6 Group, the Rouen University Hospital Centre and Fleury Michon.</p><p><a href=\"https://cyber.gouv.fr/entreprise/guide/attaques-par-rancongiciels-tous-concernes-comment-les-anticiper-et-reagir-en-cas-dincident/\">This guide is also available in French.</a></p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Ransomware attacks, all concerned - How to prevent them and respond to an incident - v1.0","nomFichier":"anssi-guide-ransomware_attacks_all_concerned-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-09-07T00:00:00.000Z","thematique":"Ransomware","besoins":["SECURISER","REAGIR","ETRE_SENSIBILISE"],"image":{"petite":"/documents-guides/en-ransomware-attacks-all-concerned-how-prevent-them-and-respond-incident/588.avif","grande":"/documents-guides/en-ransomware-attacks-all-concerned-how-prevent-them-and-respond-incident/origine.avif"},"documents":[{"libelle":"Ransomware attacks, all concerned - How to prevent them and respond to an incident - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-ransomware_attacks_all_concerned-v1.0.pdf"}]},{"id":"en-organising-cyber-crisis-management-exercise","nom":"Organising a cyber crisis management exercise","description":"<p>In a context of growing and ever changing cyber threat, it is essential to be prepared to react. For this, the organisation of cyber crisis management exercises is fundamental. Carried out in partnership with the Club de la Continuité d’Activité (Business Continuity Club, CCA) and with the contribution of ENISA, this guide is the result of expertise developed at ANSSI over the years; and the combination of experience in cyber security and crisis management.</p><p>“<em>In the face of the threat, organising exercises is crucial. I have seen this with my own eyes! Through training, and with each exercise, the teams involved in crisis management develop their reflexes and better ways of working together. They are then ready to cope when faced with an attack.</em>” Guillaume Poupard, Director-General of ANSSI</p><h3>Who is this guide for?</h3><p>Any private or public organisation, be it small or large, wishing to train in cyber crisis management can consult this guide. More specifically, this guide is for anyone who wishes to organise exercises at the decision-making level in order to train its organisation’s crisis unit: the risk managers, those responsible for business continuity, exercises or crisis management, those responsible for the security of information systems (SIS) or equivalent, etc. This guide is not intended to construct exercises that are purely technical, for instance, by providing a complete simulation of an information system using virtual machines (“cyber range”).</p><h3>What does it contain?</h3><ul><li>Four steps accompanied by fact sheets which supplement and illustrate these steps.</li><li>Recommendations from the experience of ANSSI and the members of the CCA Crisis Management Work Group.</li><li>A complete exercise as the guide’s main theme called RANSOM20 that is gradually developed to illustrate each step.</li><li>Annexes, including a glossary defining all the terms used in this guide and that are specific to the exercises.</li></ul><h3>How can it be used?</h3><p>The steps can be consulted independently depending on the organisation’s experience and needs in crisis management exercises. This format also makes it possible to consider outsourcing all or part of these steps so that each organisation, regardless of its size and budget, can carry out this type of exercise.</p><p><strong>The guideline: RANSOM20</strong><br> An example exercise (RANSOM20) is developed throughout the guide. It serves to illustrate recommendations made at each step.<br> To make something that can be used by and adapted for as many people as possible, the example is a ransomware cyber attack. This type of operation is a growing trend affecting organisations of all sizes.<br> This example is developed in various practical <strong>fact sheets</strong> which, once compiled, form a complete exercise that can be reused by any organisation. For more information on the RANSOM20 exercise, you can view the scenario (see fact sheet No. 4) or the timetable (see fact sheet No. 6).</p><p><a href=\"https://cyber.gouv.fr/entreprise/guide/organiser-un-exercice-de-gestion-de-crise-cyber/\">This guide is also available in French.</a></p>","langue":"EN","collections":["Crise cyber"],"listeDocuments":[{"libelle":"Organising a cyber crisis management exercise - v1.0","nomFichier":"anssi-guide-organising_a_cyber_crisis_management_exercise-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-09-07T00:00:00.000Z","thematique":"Crise cyber","besoins":["REAGIR"],"image":{"petite":"/documents-guides/en-organising-cyber-crisis-management-exercise/588.avif","grande":"/documents-guides/en-organising-cyber-crisis-management-exercise/origine.avif"},"documents":[{"libelle":"Organising a cyber crisis management exercise - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-organising_a_cyber_crisis_management_exercise-v1.0.pdf"}]},{"id":"recommandations-relatives-la-securite-des-systemes-dobjets-connectes","nom":"Recommandations relatives à la sécurité des (systèmes d’)objets connectés","description":"<p>Les objets connectés, qu’il s’agisse de gadgets du quotidien, de dispositifs médicaux ou de systèmes industriels, sont sujets à des menaces informatiques parfois exacerbées par les faibles ressources dédiées à assurer leur sécurité.<br> Les capacités d’intervention sur ces dispositifs sont souvent limitées voire inexistantes ; ces capacités réduites peuvent restreindre les possibilités de mise à jour logicielles, ou empêcher l’emploi de protocoles réseau ou de standards cryptographiques non spécifiquement prévus pour ce cadre d’emploi pour des raisons de coût ou de consommation énergétique.</p><p>Il serait illusoire de vouloir proposer une lecture unique de la sécurité des objets connectés du fait de la diversité des situations rencontrées.</p><p>Le guide <em>Recommandations relatives à la sécurité des (systèmes d’)objets connectés</em> propose de faciliter la réalisation d’une analyse de sécurité, à partir de la prise en compte des scénarios d’attaques probables. Il propose enfin des recommandations pour remédier quand cela est possible aux risques identifiés.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Recommandations relatives à la sécurité des (systèmes d')objets connectés - v1.0","nomFichier":"anssi-guide-securite_des_systemes_objets_connectes_iot-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-08-27T00:00:00.000Z","thematique":"Objets connectés","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-iot","image":{"petite":"/documents-guides/recommandations-relatives-la-securite-des-systemes-dobjets-connectes/588.avif","grande":"/documents-guides/recommandations-relatives-la-securite-des-systemes-dobjets-connectes/origine.avif"},"documents":[{"libelle":"Recommandations relatives à la sécurité des (systèmes d')objets connectés - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-securite_des_systemes_objets_connectes_iot-v1.0.pdf"}]},{"id":"recommandations-relatives-ladministration-securisee-des-si","nom":"Recommandations relatives à l’administration sécurisée des SI","description":"<p>Ce guide technique décrit les objectifs de sécurité et les principes d’architecture permettant l’élaboration d’une architecture technique d’administration. Ce document n’a pas vocation à être exhaustif ni à couvrir l’ensemble des cas d’usage. Il propose des éléments utiles d’aide à la conception d’architectures sécurisées tout en mettant à la disposition des administrateurs les moyens techniques et organisationnels nécessaires à la réalisation de leurs missions. Ces éléments sont à replacer dans le contexte du système d’information traité autant que de besoin. Ce guide s’adresse à un large public. Il suppose cependant que le lecteur dispose de connaissances minimales pour appréhender les recommandations de sécurité présentées et les adapter à son contexte.</p>\n<p> La version en vigueur de ce guide est disponible au téléchargement et se substitue à toute version antérieure ; les versions 1.0 du 20/02/2015 et 2.0 du 24/04/2018 sont caduques et ont été dépubliés. Sans engagement d'exhaustivité, l'annexe A référence les évolutions.</p>\n<p> Ce guide (version 2.0) est également disponible en anglais :<a href=\"https://cyber.gouv.fr/en/guide-admin-si\">\"Recommendations to secure administration of IT systems\"</a></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations relatives à l&#039;administration sécurisée des systèmes d&#039;information - v3.0","nomFichier":"anssi-guide-admin_securisee_si_v3-0.pdf"},{"libelle":"Administration sécurisée des SI - Liste de vérifications","nomFichier":"anssi-guide-admin_securisee_si_v3-0-liste_recommandations.xlsx"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-05-11T00:00:00.000Z","thematique":"Administration sécurisée","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-admin-si","image":{"petite":"/documents-guides/recommandations-relatives-ladministration-securisee-des-si/588.avif","grande":"/documents-guides/recommandations-relatives-ladministration-securisee-des-si/origine.avif"},"documents":[{"libelle":"Recommandations relatives à l&#039;administration sécurisée des systèmes d&#039;information - v3.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-admin_securisee_si_v3-0.pdf"},{"libelle":"Administration sécurisée des SI - Liste de vérifications","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-admin_securisee_si_v3-0-liste_recommandations.xlsx"}]},{"id":"securiser-un-site-web","nom":"Sécuriser un site web","description":"<p>Après avoir exposé les menaces et classes d'attaque récurrentes, puis rappelé les règles d'hygiène en matière de sécurité Web, le guide \"Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur\" décrit et détaille la mise en œuvre des mécanismes de sécurité mis à disposition par la plateforme web. Est notamment rappelée la contrainte de Same Origin Policy (SOP) et son mécanisme de relâchement Cross Origin Resource Sharing (CORS). Le guide aborde ensuite certaines pratiques de protection contre le Cross Site Scripting (XSS) telles que SubResource Integrity (SRI) puis la communication inter-contextes en général, en détaillant notamment les standards Content Security Policy (CSP), Referrer-Policy, et les pratiques relatives au cloisonnement telles que le choix et le paramétrage des moyens de stockage côté client (ex. : cookies, Web Storage) et des moyens d'isolation des ressources actives (ex. : iframes, Web Workers).</p><p><a class=\"post-attachment post-attachment-application-pdf\" href=\"/documents-guides/anssi-guide-recommandations_mise_en_oeuvre_site_web_maitriser_standards_securite_cote_navigateur-v2.0.pdf\">Recommandations pour la mise en œuvre d'un site web : maîtriser les standards de sécurité côté navigateur</a></p><p>Les sites web sont par nature des éléments très exposés du système d’information. Leur sécurisation revêt une grande importance, et ce à plusieurs titres.</p><p>Les menaces les plus connues pesant sur les sites web sont les défigurations et les dénis de service. Une défiguration est une attaque par laquelle une personne malveillante modifie le site pour remplacer le contenu légitime par un contenu qu’il choisit, par exemple pour relayer un message politique, pour dénigrer le propriétaire du site ou simplement, pour revendiquer son attaque comme preuve d’un savoir-faire. Un déni de service a quant à lui pour objet de rendre le site attaqué indisponible pour ses utilisateurs légitimes. Dans les deux cas, l’impact sur le propriétaire du site est évidemment un déficit d’image et, pour le cas d’un site servant de support à une activité lucrative, un manque à gagner.</p><p>Il ne faut toutefois pas négliger les scénarios d’attaques plus insidieux. Il est possible qu’un individu malveillant se serve d’un site web comme une porte d’entrée vers le système d’information de l’hébergeur ou, plus généralement, de l’entité à qui appartient le site. Par ailleurs, un site peut être utilisé comme relai dans une attaque élaborée vers un système tiers ou comme dépôt de contenus illégaux, ces situations étant susceptibles de mettre l’exploitant légitime du site en difficulté. Enfin, une attaque sur un site peut aussi viser à tendre un piège aux clients habituels de ce site, qui sont souvent les employés du propriétaire du site ou de ses partenaires. Ainsi, l’externalisation de l’hébergement d’un site ne permet pas de transférer l’ensemble des risques d’intrusion au système d’information de l’hébergeur.</p><p>Toutes ces attaques ont en commun de rechercher, contrairement à celles évoquées plus haut, une certaine discrétion et peuvent par conséquent rester insoupçonnées pendant de longues périodes. La protection contre ces menaces passe à la fois par des mesures préventives et par des mécanismes permettant de détecter les tentatives d’attaques.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour la mise en œuvre d&#039;un site web : maîtriser les standards de sécurité côté navigateur - v2.0","nomFichier":"anssi-guide-recommandations_mise_en_oeuvre_site_web_maitriser_standards_securite_cote_navigateur-v2.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-04-28T00:00:00.000Z","thematique":"Sites web","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-sites-web","image":{"petite":"/documents-guides/securiser-un-site-web/588.avif","grande":"/documents-guides/securiser-un-site-web/origine.avif"},"documents":[{"libelle":"Recommandations pour la mise en œuvre d&#039;un site web : maîtriser les standards de sécurité côté navigateur - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_mise_en_oeuvre_site_web_maitriser_standards_securite_cote_navigateur-v2.0.pdf"}]},{"id":"recommandations-pour-une-configuration-securisee-dun-pare-feu-stormshield-network","nom":"Recommandations pour une configuration sécurisée d’un pare-feu Stormshield Network Security (SNS) en version 3.7.17","description":"<p>Les documents présents dans cette page présentent les bonnes pratiques relatives au déploiement sécurisé des pare-feux Stormshield Network Security (SNS), en version physique ou en version virtuelle. Les recommandations détaillées dans ce document traitent des fonctions :</p><ul><li>d’administration ;</li><li>de filtrage ;</li><li>de chiffrement IPsec ;</li><li>de supervision ;</li><li>de sauvegarde ;</li><li>de journalisation.</li></ul><p>Ces documents viennent en complément d'autres publications de l’ANSSI relatives aux pare-feu, en particulier :</p><ul><li>la note technique «<a href=\"/guides/definition-dune-politique-de-pare-feu\">Recommandations pour la définition d'une politique de filtrage réseau d'un pare-feu</a>» ;</li><li>le guide «<a href=\"/guides/recommandations-relatives-linterconnexion-dun-si-internet\">Recommandations relatives à l'interconnexion d'un SI à Internet</a>».</li></ul><p>Les recommandations présentes dans la version 3.0 du guide sont applicables à la version 3.7.17 de Stormshield Nework Security (SNS).</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"version 3.0 - SNS 3.7.17","nomFichier":"anssi-guide-recommandations_configuration_securisee_pare_feu_stormshield_network_security_version_3.7.17.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-04-02T00:00:00.000Z","thematique":"Stormshield Network Security","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-sns","image":{"petite":"/documents-guides/recommandations-pour-une-configuration-securisee-dun-pare-feu-stormshield-network/588.avif","grande":"/documents-guides/recommandations-pour-une-configuration-securisee-dun-pare-feu-stormshield-network/origine.avif"},"documents":[{"libelle":"version 3.0 - SNS 3.7.17","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_configuration_securisee_pare_feu_stormshield_network_security_version_3.7.17.pdf"}]},{"id":"la-cybersecurite-pour-les-tpepme-en-treize-questions","nom":"La cybersécurité pour les TPE/PME en treize questions","description":"<p>Vol de données, demandes de rançon, atteinte à l’image ou sabotage sont autant de risques qui pèsent sur les organisations, avec des conséquences souvent graves, parfois irréversibles. Cette réalité peut encore sembler abstraite, très technique, complexe et coûteuse pour les entreprises, notamment les plus petites, si bien qu'elles ne se préparent pas toujours suffisamment. Pourtant, les structures de taille petite, moyenne et intermédiaire sont particulièrement à risque : en l'absence de dispositifs de protection, elles sont une cible de choix pour les acteurs malveillants qui optimisent leurs gains en attaquant les plus vulnérables.</p><h3>Faire de la \"cyber\" une opportunité</h3><p>Heureusement, il est possible de faire de la « cyber » une opportunité ! Car en se protégeant –et, par capillarité, en protégeant leurs partenaires– les entreprises assurent leur pérennité et renforcent la confiance qui les lie à leurs parties prenantes. La cybersécurité représente donc un enjeu collectif majeur et une clé essentielle pour le développement économique durable de la Nation. Il y a une autre bonne nouvelle : l’application de quelques bonnes pratiques permet déjà de réduire très significativement le risque. En mettant en place des mesures simples mais essentielles, vous pourrez protéger votre entreprise contre de nombreuses cybermenaces et considérablement limiter les dégâts en cas d’attaque de haut niveau. Ce guide présente, en douze questions, des mesures accessibles pour une protection globale de l’entreprise. Certaines recommandations relèvent des bonnes pratiques, d'autres requièrent un investissement plus important pour lequel votre structure pourra être accompagnée. Elles vous permettront d’accroître votre niveau de sécurisation et de sensibiliser vos équipes aux bons gestes à adopter.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guide - La cybersécurité pour les TPE/PME en 13 questions","nomFichier":"20241212_np_anssi_guide_tpe-pme_v2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2021-02-18T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["ETRE_SENSIBILISE","SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-tpe-pme","image":{"petite":"/documents-guides/la-cybersecurite-pour-les-tpepme-en-treize-questions/588.avif","grande":"/documents-guides/la-cybersecurite-pour-les-tpepme-en-treize-questions/origine.avif"},"documents":[{"libelle":"Guide - La cybersécurité pour les TPE/PME en 13 questions","url":"https://messervices.cyber.gouv.fr/documents-guides/20241212_np_anssi_guide_tpe-pme_v2.pdf"}]},{"id":"recommandations-de-securite-relatives-au-deploiement-de-conteneurs-docker","nom":"Recommandations de sécurité relatives au déploiement de conteneurs Docker","description":"<p>Docker est une plateforme ouverte pour le développement, le déploiement et l’exécution d’applications. Il permet d’embarquer et d’exécuter une application dans un environnement cloisonné appelé conteneur. Ce cloisonnement permet d’exécuter plusieurs conteneurs simultanément sur un hôte donné. À la différence de la virtualisation où la machine virtuelle contient un système d’exploitation complet, les outils associés et l’application hébergée, le conteneur ne contient que les bibliothèques et les outils nécessaires à l’exécution de l’application, et il fonctionne directement dans le noyau de la machine hôte.</p><p><strong>Ce document a pour objectif de présenter les bonnes pratiques de sécurité relatives au déploiement et à l’exécution de conteneur Docker. De ce fait, le Docker daemon et la gestion des images Docker sont hors périmètre de l’étude. </strong></p><p>Un conteneur est une unité standard de logiciel, qui embarque le code et toutes ses dépendances, afin que l’application « conteneurisée » fonctionne normalement et de façon fiable, quelle que soit la machine hôte. L’image d’un conteneur, présente sur le système, devient un conteneur au moment de l’exécution.<br> Dans le cas d’un conteneur Docker, l’image devient un conteneur lorsqu’elle fonctionne sur le Docker daemon, ou Docker Engine. L’application « conteneurisée » fonctionnera toujours de la même manière, quel que soit l’hôte. Docker peut s’exécuter soit sur un serveur, soit dans un Cloud privé, ou public, apportant une capacité de portabilité et de flexibilité dans le déploiement et l’exécution de l’application.</p><p>Docker repose sur une architecture client-serveur. Un client Docker communique avec le Docker daemon pour gérer la construction et le fonctionnement des conteneurs Docker ainsi que la distribution des images Docker issues d’un Docker Registry, public ou privé.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité relatives au déploiement de conteneurs Docker - v1.0","nomFichier":"docker_fiche_technique.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-12-24T00:00:00.000Z","thematique":"Conteneurs Docker","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-docker","image":{"petite":"/documents-guides/recommandations-de-securite-relatives-au-deploiement-de-conteneurs-docker/588.avif","grande":"/documents-guides/recommandations-de-securite-relatives-au-deploiement-de-conteneurs-docker/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité relatives au déploiement de conteneurs Docker - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/docker_fiche_technique.pdf"}]},{"id":"recommandations-pour-la-protection-des-systemes-dinformation-essentiels","nom":"Recommandations pour la protection des systèmes d’information essentiels","description":"<p>La directive <a class=\"external\" data-entity-substitution=\"canonical\" data-entity-type=\"node\" data-entity-uuid=\"fde6a16d-52e1-44b3-86f1-b54787e34cc6\" href=\"/la-directive-nis\" title=\"NIS\">Network and Information System Security</a> a été adoptée par les institutions européennes en 2016 et transposée en droit français en 2018. Elle crée notamment l'obligation pour les opérateurs de services essentiels de mettre en œuvre des règles de sécurité dans les domaines de la gouvernance, de la protection, de la défense et de la résilience des réseaux et systèmes d'information. Ce guide a pour objectif d'accompagner la mise en œuvre technique des règles 7 à 16, c'est-à-dire celles du chapitre II relatives à la protection des réseaux et systèmes d'information, à l'exception de la règle 17 relative à la sécurité physique et environnementale. La mise en œuvre des autres règles est couverte par d'autres publications de l'ANSSI. Ce guide s'adresse en particulier aux opérateurs de services essentiels, pour mettre leurs systèmes d'information en conformité avec ces règles de sécurité. Ce guide peut également servir aux fournisseurs de services numériques (FSN) pour définir et mettre en œuvre leurs propres mesures de sécurité. Ce guide constitue enfin un recueil de bonnes pratiques pour les opérateurs d'importance vitale (OIV) et pour toute entité ayant des besoins de protection de ses SI, et pour leurs prestataires tels que les entreprises de services numériques (ESN).</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour la protection des systèmes d&#039;information essentiels - v1.0","nomFichier":"guide_protection_des_systemes_essentiels.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-12-22T00:00:00.000Z","thematique":"SI essentiels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-protection-sie","image":{"petite":"/documents-guides/recommandations-pour-la-protection-des-systemes-dinformation-essentiels/588.avif","grande":"/documents-guides/recommandations-pour-la-protection-des-systemes-dinformation-essentiels/origine.avif"},"documents":[{"libelle":"Recommandations pour la protection des systèmes d&#039;information essentiels - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_protection_des_systemes_essentiels.pdf"}]},{"id":"doctrine-de-detection-pour-les-systemes-industriels","nom":"Doctrine de détection pour les systèmes industriels","description":"<p><strong>En revanche, cette supervision n’est ni prévue ni adaptée pour la détection d’incidents de sécurité, notamment induits par l’ouverture de ces systèmes et par leur interconnexion avec des réseaux largement connectés.</strong></p><p>L’objectif de ce document est de présenter une doctrine en matière de détection des attaques visant les systèmes industriels. Les mesures de détection présentées viendront renforcer et compléter les moyens de protection déjà mis en place. Ces mesures de détection peuvent également compenser l'impossibilité de mettre en oeuvre certaines actions de sécurisation (incompatibles par exemple avec les exigences de sûreté de fonctionnement, durée du cycle de vie des équipements, etc.). Elles offriront une supervision de sécurité des éléments ne pouvant faire l’objet de mesures de protection.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Doctrine de détection pour les systèmes industriels","nomFichier":"anssi-guide-doctrine_de_detection_pour_les_systemes_industriels.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-12-03T00:00:00.000Z","thematique":"Systèmes industriels","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/doctrine-detection-si-indus","image":{"petite":"/documents-guides/doctrine-de-detection-pour-les-systemes-industriels/588.avif","grande":"/documents-guides/doctrine-de-detection-pour-les-systemes-industriels/origine.avif"},"documents":[{"libelle":"Doctrine de détection pour les systèmes industriels","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-doctrine_de_detection_pour_les_systemes_industriels.pdf"}]},{"id":"cybersecurite-toutes-les-communes-et-intercommunalites-sont-concernees","nom":"Cybersécurité : toutes les communes et intercommunalités sont concernées","description":"<p>La dématérialisation, engagée par l’ensemble des acteurs et accélérée par la crise sanitaire, participe à la profonde transformation numérique de la société. Elle s’accompagne de l’essor de menaces multiples, permanentes et de plus en plus agressives pouvant désorganiser de nombreuses structures privées comme publiques, petites comme grandes. Offrant de formidables opportunités aux communes et intercommunalités, la numérisation ne saura être bénéfique que si elle s’établit dans un environnement de confiance. </p> <p>Les cyberattaques profitent des vulnérabilités techniques, juridiques, organisationnelles ou humaines et peuvent immobiliser l’action de la collectivité, entacher son image et la confiance des usagers, voire même engager la responsabilité des élus. </p> <p>Rédigé à partir du travail engagé par des représentants de collectivités locales bretonnes et des délégués régionaux de l’ANSSI, <strong>ce guide interroge les multiples risques numériques. Il apporte des conseils pratiques et propose des axes prioritaires d’action à renforcer ou à développer.</strong> Le guide présente notamment l’élaboration d’une gouvernance numérique adaptée à l’échelle de la structure, pour faire face le plus efficacement possible aux attaques. Il rappelle enfin que l’ANSSI et la plateforme cybermalveillance.gouv.fr sont à la disposition des élus pour les conseiller et les aider, en particulier en cas de cyberattaque. </p> <p> <strong> Une bonne connaissance des enjeux de la cybersécurité permettra aux élus et à leurs services d’investir afin de développer la protection de leurs systèmes d’information, de se prémunir d’un sinistre informatique et ainsi de construire une sécurité numérique collective. </strong> </p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guide - Cybersécurité : toutes les communes et intercommunalités sont concernées","nomFichier":"anssi_amf-guide-cybersecurite_communes-et-intercommunalites.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-11-20T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["ETRE_SENSIBILISE","SECURISER"],"image":{"petite":"/documents-guides/cybersecurite-toutes-les-communes-et-intercommunalites-sont-concernees/588.avif","grande":"/documents-guides/cybersecurite-toutes-les-communes-et-intercommunalites-sont-concernees/origine.avif"},"documents":[{"libelle":"Guide - Cybersécurité : toutes les communes et intercommunalités sont concernées","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_amf-guide-cybersecurite_communes-et-intercommunalites.pdf"}]},{"id":"organiser-un-exercice-de-gestion-de-crise-cyber","nom":"Organiser un exercice de gestion de crise cyber","description":"<p>Face à une menace informatique toujours croissante et en mutation, l’amélioration de la résilience numérique par l’entraînement à la gestion de crise cyber n’est plus seulement une opportunité, mais bien une nécessité pour toutes les organisations.</p>\n\n<p>Demain, l’organisation responsable et génératrice de confiance sera celle qui s’attache à maîtriser le risque numérique et fait preuve de sa capacité à se relever d'une crise d'origine cyber. Or, les crises cyber ont leurs spécificités : technicité du sujet, impacts fulgurants, évolutivité, sortie de crise longue, etc.</p>\n\n<p>Il est donc essentiel de s'y préparer. Pour cela, l'organisation d'exercices de gestion de crise cyber est fondamentale.</p>\n\n<p><em><sup>*Par abus de langage, dans la suite du guide l’expression « gestion de crise cyber » est employée pour « gestion de crise d’origine cyber » et « exercice de crise cyber » pour « exercice de crise d’origine cyber ».</sup></em></p>\n\n<ul>\n<li><strong><a href=\"https://cyber.gouv.fr/securisation/gestion-de-crise/entrainement-crise/kits-dexercices-sectoriels/\">Des kits sectoriels prêt à l’emploi pour faciliter l’organisation d’exercices</a></strong></li>\n<li><strong><a href=\"https://cyber.gouv.fr/securisation/gestion-de-crise/entrainement-crise/kit-exercice-collectivites-territoriales/\">Un premier kit d’exercice mis à disposition des collectivités territoriales </a></strong></li>\n<li><strong><a href=\"https://cyber.gouv.fr/securisation/gestion-de-crise/entrainement-crise/kits-dexercices-sectoriels/kit-exercice-enseignement-superieur-recherche/\">Un second kit d’exercice dédié au secteur de l’Enseignement supérieur et de la Recherche (ESR)</a></strong></li>\n<li><strong><a href=\"https://cyber.gouv.fr/securisation/gestion-de-crise/entrainement-crise/kit-exercice-jop-massifie/\">Un troisième kit d’exercice « JO massifié », spécifiques au contexte des Jeux Olympiques et Paralympiques 2024</a></strong></li>\n</ul>\n\n<p><em>L’emploi des kits est libre et encouragé, y compris à des fins de formation ou d’enseignement, en créditant l’ANSSI.</em></p>","langue":"FR","collections":["Crise cyber"],"listeDocuments":[{"libelle":"Organiser un exercice de gestion de crise cyber","nomFichier":"anssi-guide-organiser-un-exercice-de-gestion-de-crise-cyber-v1.0.pdf"},{"libelle":"Organiser un exercice de gestion de crise cyber - Fiche 6 : Chronogramme - version PDF","nomFichier":"anssi-guide-organiser-un-exercice-de-gestion-de-crise-cyber-fiche_6-chronogramme.pdf"},{"libelle":"Organiser un exercice de gestion de crise cyber - Fiche 6 : Chronogramme - version Excel","nomFichier":"anssi-guide-organiser-un-exercice-de-gestion-de-crise-cyber-fiche_6-chronogramme.xls"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-10-14T00:00:00.000Z","thematique":"Crise cyber","besoins":["REAGIR"],"image":{"petite":"/documents-guides/organiser-un-exercice-de-gestion-de-crise-cyber/588.avif","grande":"/documents-guides/organiser-un-exercice-de-gestion-de-crise-cyber/origine.avif"},"documents":[{"libelle":"Organiser un exercice de gestion de crise cyber","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-organiser-un-exercice-de-gestion-de-crise-cyber-v1.0.pdf"},{"libelle":"Organiser un exercice de gestion de crise cyber - Fiche 6 : Chronogramme - version PDF","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-organiser-un-exercice-de-gestion-de-crise-cyber-fiche_6-chronogramme.pdf"},{"libelle":"Organiser un exercice de gestion de crise cyber - Fiche 6 : Chronogramme - version Excel","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-organiser-un-exercice-de-gestion-de-crise-cyber-fiche_6-chronogramme.xls"}]},{"id":"recommandations-pour-la-securisation-de-la-mise-en-oeuvre-du-protocole-openid-connect","nom":"Recommandations pour la sécurisation de la mise en oeuvre du protocole OpenID Connect","description":"<p>Ce guide a pour objectif de fournir des recommandations de sécurité sur la mise en oeuvre de la cinématique authorization code du protocole OIDC. Il rappelle les bases du fonctionnement du protocole, définit les notions nécessaires à la compréhension des recommandations de sécurité qui sont fournies tout le long des différentes étapes de la cinématique \"authorization code\". Il s'adresse aux développeurs web, aux administrateurs et aux Responsables de la Sécurité des Systèmes d'Informations.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour la sécurisation de la mise en oeuvre du protocole OpenID Connect - v1.0","nomFichier":"anssi-guide-recommandations_pour_la_securisation_de_la_mise_en_oeuvre_du_protocole_openid_connect-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-09-08T00:00:00.000Z","thematique":"OpenID Connect","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-oidc","image":{"petite":"/documents-guides/recommandations-pour-la-securisation-de-la-mise-en-oeuvre-du-protocole-openid-connect/588.avif","grande":"/documents-guides/recommandations-pour-la-securisation-de-la-mise-en-oeuvre-du-protocole-openid-connect/origine.avif"},"documents":[{"libelle":"Recommandations pour la sécurisation de la mise en oeuvre du protocole OpenID Connect - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_pour_la_securisation_de_la_mise_en_oeuvre_du_protocole_openid_connect-v1.0.pdf"}]},{"id":"attaques-par-rancongiciels-tous-concernes","nom":"Attaques par rançongiciels, tous concernés.","description":"<p>Face à ce constat l’agence, en partenariat avec la Direction des Affaires criminelles et des grâces (DACG) du ministère de la Justice, publie le guide de sensibilisation Attaques par rançongiciels, tous concernés - Comment les anticiper et réagir en cas d’incident ?. Le Groupe M6, le CHU de Rouen et Fleury Michon, tous trois victimes d’un rançongiciel en 2019, livrent un témoignage éclairant dans ce guide à destination des entreprises et des collectivités.</p><p>Les attaques par rançongiciels augmentent en nombre, en fréquence et en sophistication. Depuis le 1er janvier 2020, l’ANSSI a traité 104* attaques de cette catégorie. Leurs conséquences sont de plus en plus dévastatrices sur la continuité d’activité voire la survie de l'organisation victime. « <em>Les acteurs privés comme publics sont encore trop peu conscients du risque et de leur propre vulnérabilité</em> » constate Guillaume Poupard, ancien directeur général de l’ANSSI. « <em>Il est urgent pour les entreprises et les collectivités de mettre en œuvre des mesures pour prévenir les attaques par rançongiciels et d’apprendre à bien réagir lorsqu'il est trop tard</em> » explique François Deruty, ancien sous-directeur Opérations de l’ANSSI. C’est pour faire face à cette situation inédite et dans le cadre d’une dynamique gouvernementale que l’ANSSI, en partenariat avec la DACG, publie le guide <em>Attaques par rançongiciels, tous concernés - Comment les anticiper et réagir en cas d’incident ?</em> Très concret, <strong> il s’adresse en particulier aux dirigeantes et dirigeants, ainsi qu'aux responsables informatiques des entreprises et des collectivités.</strong> « <em>Déposer plainte peut surtout permettre d’identifier, interpeller et présenter les auteurs de l’attaque à la Justice, afin de mettre un terme au sentiment d’impunité des cyberdélinquants</em> » explique Catherine Pignon, directrice de la DACG. </p> <p>Ce guide de bonnes pratiques préventives et réactives face aux rançongiciels a bénéficié des contributions et de l’expérience de plusieurs acteurs : le dispositif cybermalveillance.gouv.fr, la Brigade de lutte contre la cybercriminalité (BL2C), la Commission nationale de l'informatique et des libertés (CNIL) et la Direction centrale de la Police judiciaire (DCPJ). Il est enrichi des témoignages de trois organisations victimes qui contribuent sans commune mesure à la prise de conscience du risque : le Groupe M6, le CHU de Rouen et Fleury Michon. « <em>Durant la nuit du 11 au 12 octobre 2019, le groupe a fait l’objet d’une violente cyberattaque de type ransomware.</em> [...] <em>La question \"Que puis-je faire sans ordinateur ?\" était dans tous les esprits. En à peine deux heures, tout le monde était sur le pont !</em> » explique Jérôme Lefébure, groupe M6</p><p>*Ces chiffres ne fournissent pas une vision exhaustive de l'actualité des rançongiciels affectant le territoire national. Cet état de la situation ne s'appuie que sur les faits portés à la connaissance de l'ANSSI (par ses bénéficiaires ou partenaires) et traités par elle.</p>","langue":"FR","collections":["Crise cyber"],"listeDocuments":[{"libelle":"Attaques par rançongiciels, tous concernés - Comment les anticiper et réagir en cas d'incident ? - v1.0","nomFichier":"anssi-guide-attaques_par_rancongiciels_tous_concernes-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-09-04T00:00:00.000Z","thematique":"Rançongiciels","besoins":["SECURISER","ETRE_SENSIBILISE","REAGIR"],"lienCourt":"https://cyber.gouv.fr/guide-rancongiciels","image":{"petite":"/documents-guides/attaques-par-rancongiciels-tous-concernes/588.avif","grande":"/documents-guides/attaques-par-rancongiciels-tous-concernes/origine.avif"},"documents":[{"libelle":"Attaques par rançongiciels, tous concernés - Comment les anticiper et réagir en cas d'incident ? - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-attaques_par_rancongiciels_tous_concernes-v1.0.pdf"}]},{"id":"regles-de-programmation-pour-le-developpement-securise-de-logiciels-en-langage-c","nom":"Règles de programmation pour le développement sécurisé de logiciels en langage C","description":"<p>Le présent guide définit un ensemble de règles, de recommandations et de bonnes pratiques consacrées aux développements sécurisés en langage C.</p><p>Ce guide a différents objectifs :</p><ul><li>augmenter la sécurité, la qualité et la fiabilité du code source produit, en identifiant les mauvaises pratiques ou les pratiques dangereuses de programmation ;</li><li>faciliter l’analyse du code source lors d’une relecture par un pair ou de l’utilisation d’outils d’analyse statique ;</li><li>établir un niveau de confiance dans la sécurité, la fiabilité et la robustesse d’un développement ;</li><li>favoriser la maintenabilité du logiciel mais également l’ajout de fonctionnalités.</li></ul><p>Ce guide ne s’inscrit pas dans un domaine d’application particulier et ne veut pas remplacer les contraintes de développement imposées par tout contexte normatif (domaine automobile, aéronautique, systèmes critiques, etc.). Il traite justement les développements en C sécurisés non couverts par ces contraintes normatives.</p><p><strong>Ce guide est également disponible en anglais :</strong><a href=\"https://cyber.gouv.fr/en/publications/rules-secure-c-language-software-development/\">« Rules for secure C language software development »</a></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"(obsolète) ANSSI - guide - Règles de programmation pour le développement sécurisé de logiciels en langage C - v1.2 du 21/07/2020","nomFichier":"anssi-guide-regles_de_programmation_pour_le_developpement_securise_de_logiciels_en_langage_c-v1.2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-07-21T00:00:00.000Z","thematique":"Langage C","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-c","image":{"petite":"/documents-guides/regles-de-programmation-pour-le-developpement-securise-de-logiciels-en-langage-c/588.avif","grande":"/documents-guides/regles-de-programmation-pour-le-developpement-securise-de-logiciels-en-langage-c/origine.avif"},"documents":[{"libelle":"(obsolète) ANSSI - guide - Règles de programmation pour le développement sécurisé de logiciels en langage C - v1.2 du 21/07/2020","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-regles_de_programmation_pour_le_developpement_securise_de_logiciels_en_langage_c-v1.2.pdf"}]},{"id":"profil-de-fonctionnalites-et-de-securite-sas-et-station-blanche-reseaux-non-classifies","nom":"Profil de fonctionnalités et de sécurité - Sas et station blanche (réseaux non classifiés)","description":"<p>Le présent document constitue le profil de fonctionnalités et de sécurité pour les sas et les stations blanches. Il a pour objectif de définir les fonctions de sécurité attendues et les exigences associées à ce type de produit. C’est un élément de doctrine destiné à aider les clients dans leur expression du besoin et les éditeurs dans la conception de leur produit.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Profil de fonctionnalités et de sécurité - Sas et station blanche (réseaux non classifiés) - v1.0 du 1er juillet 2020","nomFichier":"anssi-profil_de_fonctionnalites_et_de_securite-sas_et_station_blanche_reseaux_non_classifies-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-07-01T00:00:00.000Z","thematique":"Profil de fonctionnalités et de sécurité","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/pfs-sas-station-blanche","image":{"petite":"/documents-guides/profil-de-fonctionnalites-et-de-securite-sas-et-station-blanche-reseaux-non-classifies/588.avif","grande":"/documents-guides/profil-de-fonctionnalites-et-de-securite-sas-et-station-blanche-reseaux-non-classifies/origine.avif"},"documents":[{"libelle":"Profil de fonctionnalités et de sécurité - Sas et station blanche (réseaux non classifiés) - v1.0 du 1er juillet 2020","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-profil_de_fonctionnalites_et_de_securite-sas_et_station_blanche_reseaux_non_classifies-v1.0.pdf"}]},{"id":"recommandations-relatives-linterconnexion-dun-si-internet","nom":"Recommandations relatives à l’interconnexion d’un SI à Internet","description":"<p>L’ANSSI a rédigé un guide présentant les différents principes qui permettent de définir l’architecture d’une passerelle d’interconnexion sécurisée en axant les recommandations sur l'interconnexion à Internet qui représente un cas d'usage très fréquent. Il s’adresse en priorité aux architectes et administrateurs réseau. Des connaissances basiques en matière d’architecture réseau sont nécessaires pour appréhender certains des concepts présentés. Ce document décrit un ensemble de concepts ou de recommandations que chacun pourra adapter en fonction de ses contraintes et de ses enjeux. Deux chapitres respectivement sur la sécurisation de l'accès aux contenus Web et sur la sécurisation du service de messagerie électronique sont notamment proposés.</p><p>Le guide est accompagné d'un outil d'aide et de suivi d'implémentation de la sécurité (OASIS) sous forme de tableur. Ce document aide les entités à donner des priorités aux recommandations, à les classer selon une approche graduelle, puis à faire le suivi de leur mise en œuvre. Chaque entité peut adapter cette approche à ses enjeux, moyens, compétences et SI existants. <br></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations relatives à l&#039;interconnexion d&#039;un système d&#039;information à Internet - v3.0","nomFichier":"anssi-guide-passerelle_internet_securisee-v3.pdf"},{"libelle":"OASIS - Recommandations relatives à l'interconnexion d'un système d'information à Internet - v3.0","nomFichier":"anssi-oasis-passerelle_internet_securisee-v3.0.xlsx"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-06-19T00:00:00.000Z","thematique":"Interconnexion à internet","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-interconnexion-si-internet","image":{"petite":"/documents-guides/recommandations-relatives-linterconnexion-dun-si-internet/588.avif","grande":"/documents-guides/recommandations-relatives-linterconnexion-dun-si-internet/origine.avif"},"documents":[{"libelle":"Recommandations relatives à l&#039;interconnexion d&#039;un système d&#039;information à Internet - v3.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-passerelle_internet_securisee-v3.pdf"},{"libelle":"OASIS - Recommandations relatives à l'interconnexion d'un système d'information à Internet - v3.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-oasis-passerelle_internet_securisee-v3.0.xlsx"}]},{"id":"regles-de-programmation-pour-le-developpement-dapplications-securisees-en-rust","nom":"Règles de programmation pour le développement d’applications sécurisées en Rust","description":"<p>L'objet de ce guide est de rassembler règles, recommandations et bonnes pratiques quant à la mise en oeuvre de programmes avec le langage Rust, permettant de profiter de la variété de possibilités que ce langage peut offrir, tout en restant autant que possible dans une zone sûre pour le développement d'applications sécurisées. Ce guide vise plusieurs objectifs :</p><ul><li>renforcer la sécurité, la qualité et la fiabilité du code source produit, en identifiant les mauvaises pratiques ou les pratiques dangereuses de programmation ainsi<br> que les bonnes pratiques dans l'utilisation des outils que l'écosystème Rust propose ;</li><li>améliorer la lisibilité du code pour l'analyse de code source lors d'une relecture par un pair ;</li><li>établir un niveau de confiance dans la sécurité, la fiabilité et la robustesse d'un développement ;</li><li>favoriser la maintenabilité d'un logiciel, mais également l'ajout de fonctionnalités./li&gt; </li></ul>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"ANSSI - Guide - Règles de programmation pour le développement d&#039;applications sécurisées en Rust - v1.0","nomFichier":"anssi-guide-regles_de_programmation_pour_le_developpement_dapplications_securisees_en_rust-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-06-09T00:00:00.000Z","thematique":"Rust","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-rust","image":{"petite":"/documents-guides/regles-de-programmation-pour-le-developpement-dapplications-securisees-en-rust/588.avif","grande":"/documents-guides/regles-de-programmation-pour-le-developpement-dapplications-securisees-en-rust/origine.avif"},"documents":[{"libelle":"ANSSI - Guide - Règles de programmation pour le développement d&#039;applications sécurisées en Rust - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-regles_de_programmation_pour_le_developpement_dapplications_securisees_en_rust-v1.0.pdf"}]},{"id":"en-4737","nom":"Programming Rules to Develop Secure Applications With Rust","description":"<p>The purpose of this guide is to compile rules, recommendations and good practices about programs implementation with the Rust language, allowing one to benefit from the variety of possibilities this language can offer, while staying as much as possible in a safe zone for the development of secure applications. This guide aims to achieve several goals:</p><ul><li>reinforce the security, the quality and the reliability of produced source code by identifying bad or dangerous programming practices and also good practices for the usage of the Rust ecosystem's tools;</li><li>improve the readability of the code for source code analysis throughout peer-reviewing;</li><li>establish a trust level in security, reliability and robustness of a development;</li><li>help the maintainability of a software, but also the addition of features.</li></ul>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"ANSSI - Guide - Programming Rules to Develop Secure Applications With Rust - v1.0","nomFichier":"anssi-guide-programming_rules_to_develop_secure_applications_with_rust-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-06-09T00:00:00.000Z","thematique":"Rust","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-rust","image":{"petite":"/documents-guides/en-4737/588.avif","grande":"/documents-guides/en-4737/origine.avif"},"documents":[{"libelle":"ANSSI - Guide - Programming Rules to Develop Secure Applications With Rust - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-programming_rules_to_develop_secure_applications_with_rust-v1.0.pdf"}]},{"id":"en-should-quantum-key-distribution-be-used-secure-communications","nom":"Should Quantum Key Distribution be Used for Secure Communications?","description":"<p>Quantum Key Distribution (QKD) presents itself as a technology functionally equivalent to asymmetric key agreement schemes that are used in nearly all secure communication protocols over the Internet or in private networks. The defining characteristic of QKD is its alleged superior secrecy guarantee that would justify its use for high security applications. However, deployment constraints specific to QKD hinder large-scale deployments with high practical security. Furthermore, new threats on existing cryptography, and in particular the emergence of universal quantum computers, are taken into account by upcoming standardized “post-quantum” algorithms. QKD may find some use in a few niche applications, for instance as a defense-in-depth measure on point-to-point links. However, the use of state-of-the art classical cryptography including post-quantum algorithms is by far the preferred way to ensure long-term protection of data, as it is the only technology choice that offers the functional properties needed in modern communication systems. In any case, the cost incurred by the use of QKD should not jeopardize the fight against current threats to information systems which overwhelmingly do not exploit cryptographic weaknesses. For another point of view on this topic with similar arguments and conclusions, the reader may consult the <a href=\"https://www.ncsc.gov.uk/whitepaper/quantum-security-technologies\" target=\"_blank\" title=\"NCSC white paper QKD\">white paper of the National Cyber Security Centre</a> (UK) <sup><a href=\"#note1\">[1]</a></sup>, or the <a href=\"https://www.nsa.gov/Cybersecurity/Quantum-Key-Distribution-QKD-and-Quantum-Cryptography-QC/\" target=\"_blank\" title=\"NSA position QKD\">position of the NSA</a> (USA) <sup><a href=\"#note2\">[2]</a></sup>.</p><h2>What is Quantum Key Distribution?</h2><p>Quantum Key Distribution is a family of method based on physical principles, unlike classical cryptography which has mathematical foundations, which enables two peers to build a common secret (a key) through a dialogue taking place on public channels. Two channels are required:</p><ul><li>the “quantum channel”: a communication channel with properties controlled at the physical level. It is usually an optical fiber or an atmospheric link with direct line of sight; on this channel, for QKD to work, optical losses and noise cannot be too high, but more importantly, <em>there must be no device interacting with the information exchanged</em>;</li><li>a regular digital network link, which carries QKD signaling.</li></ul><p>As with any method aimed to produce a common secret between two peers, each peer must ensure that it communicates with its intended peer and not with a third party that impersonates it. For this, it is sufficient to authenticate the QKD signaling on the digital network link. When a QKD system is operational, it produces common secret bits between its endpoints at a variable rate, generally between a few kilobits/sec., and a few megabits/sec. The capacity of QKD to produce a common secret stems from its ability to detect eavesdropping on the quantum channel using quantum effects (to understand how this works, see for instance an introductory description of some classical QKD protocols including the first one, BB84 <sup><a href=\"#note3\">[8]</a></sup>), then to bound the amount of information that an eavesdropper may have obtained about the data exchanged on the quantum channel, and to adapt the secret rate accordingly. When an active device relays data on the quantum channel, the secret rate is zero, because it is indistinguishable from an eavesdropping device. Any device reconstructing the signal on this channel is therefore incompatible with QKD. This includes networking devices (switches, routers, …) and optical amplifiers. <em>This is why QKD requires direct point-to-point links for the quantum channels</em>. The bound on tolerable losses on the quantum channel induces a bound on the maximal distance between endpoints. A 20dB loss limit, which is fairly typical for QKD, corresponds to 100Km of optical fiber in perfect condition with no intermediate connection. Because of poor fiber condition, losses incurred by connections, or suboptimal fiber path, real-world distance at this loss level may be much shorter. Larger distances may be crossed using satellite QKD links, which require dedicated hardware in space.</p><h2>What are the uses of QKD?</h2><p>QKD is usually promoted as a means to build secure communications, i.e. communications that ensure message confidentiality and integrity. Secure communications are massively used today; they are built in any web browser communicating over the Internet, they enable to connect physically separate corporate networks, or mobile devices to private networks. Inside networks, they are used to protect machine-to-machine or service-to-service communications. Secure communications are created in a two-step process: in a first step, a key agreement uses an <em>asymmetric</em> cryptographic mechanism (based today on RSA or a variant of the Diffie-Hellman scheme) to authenticate peers and build a common secret between them; in a second step, this common secret or key is used to ensure message confidentiality and integrity through <em>symmetric</em> cryptography mechanisms (for instance based on the standardized algorithm AES). QKD can replace the use of asymmetric key agreement schemes to produce the common key, which is then used in symmetric schemes to protect messages. In this scenario, the secret key rate of QKD does not limit the data rate of secure communications, since a short key (typically 128 or 256 bits) enables the protection of large volume of messages. However, this combination still depends on computational cryptographic mechanisms (i.e. mechanisms whose security depends in principle on the computing power of an adversary, or its expertise in cryptanalysis). QKD can also be used without symmetric cryptography to provide communication security independently of an adversary’s computational power. In that case, message confidentiality is provided by the one-time-pad encryption scheme which uses one bit of key to protect each bit of message. Similarly, message integrity can be provided by schemes that are immune to computational attacks. In that scenario, the data rate is limited by the key rate of QKD, typically to values between 1,000 and 1,000,000 times lower than what can be obtained with symmetric schemes. The very low resulting data rate is unsuitable for most applications. Finally, QKD is sometimes described as being able to protect data at rest. This is a misnomer: in fact, data is encrypted using means unrelated to QKD and a key, then this key is transported to some storage space distinct from the data storage space, possibly after having been split in several parts with the help of a secret sharing scheme. It is therefore more an application of QKD-assisted secure communications, than a distinct QKD functionality.</p><h2>Are there new services provided by QKD? Where can it be used?</h2><p>As seen in the previous paragraph, <em>all services provided by QKD can also be provided by existing technologies</em>. Setting aside for a moment its security properties, the right question about QKD use-cases is therefore: what subset of current uses of secure communications can reasonably be provided by QKD, in light of its practical limitations? Beyond limitations related to the quantum channel (range, incompatibility with active devices), the mere fact that QKD requires specific hardware puts it at a distinct disadvantage in all cases where cryptography is implemented in software. This prevents it from providing end-to-end security for instance between virtualized environments or between software services. The most reasonable use for QKD is to provide, together with symmetric encryption, communication security between fixed locations that are sufficiently close to each other and connected by an optical fiber.</p><h2>What threats does QKD protect against? Does it have any weakness?</h2><p>The main advantage of QKD is to be immune to computational attacks aimed at recovering the secrets produced. In current key negotiation schemes using asymmetric cryptography, an adversary looking to obtain the negotiated secret has all the information it needs to do so, but must solve some mathematical problem to succeed. The resolution of this problem with the best methods known today requires an amount of computation that is completely unrealistic, even with optimistic estimates of the increase of the available computing power in the next decades. However, there is no <em>proof</em> that current methods cannot be improved significantly; better techniques may make this problem solving feasible. To put it differently, there is no proof that current key negotiation schemes are robust against any adversary with unknown capacities or knowledge. This problem, which is an old one in the history of computer science and mathematical cryptography, has taken a new turn with current research about <em>universal quantum computers</em>. It is indeed proven that such a machine, if it were to be built, would solve much more efficiently than current computers the mathematical problems associated with asymmetric key negotiation methods used today (factorization of large integers for RSA, discrete logarithm problem for Diffie-Hellman), to the point of making these methods totally insecure. It is not expected however that the existence of a universal quantum computer would threaten significantly the security of symmetric cryptography. This is what motivates the discourse legitimizing the switch from asymmetric key negotiation to QKD; all the more so if one is concerned about the long-term security of data exchanged today, which requires dealing with the threat of quantum computers <em>before</em> it becomes a reality, since exchanged data can be stored for later cryptanalysis. As we shall see, it is perfectly possible to deal with this threat without QKD. Before that, let us point out that QKD immunity to attacks is not absolute:</p><ul><li>While theoretically QKD protocols are not vulnerable to mathematical attacks, in practice it is very difficult to implement them perfectly. Moreover, an attacker may be able to cause QKD devices to operate abnormally. Deviations from the theoretical protocol, provoked or not, are then likely to compromise security to the point that they lead to practical attacks. This problem, while similar to the problem of side-channels for classical cryptography, is nevertheless specific to QKD and has led to several cryptanalyses of commercial QKD equipment (see for instance <sup><a href=\"#note6\">[6]</a></sup> for one of the first articles on this topic or <sup><a href=\"#note7\">[7]</a></sup> for more recent work);</li><li>In addition, QKD devices may have weaknesses unrelated to the quantum protocol used: for example, software vulnerabilities or leakage of secrets by electromagnetic radiation. These issues, which are routinely explored for cryptographic equipment, have seen little scrutiny so far in the case of QKD; a thorough and standardized analysis of QKD products, e.g. following the methodology of Common Criteria <sup><a href=\"#note5\">[5]</a></sup>, is necessary before using it to protect sensitive data. This issue is even more pressing for equipment handling classified data, which must follow strict evaluation procedures aimed at ensuring practical resistance to attacks by nation-state adversaries.</li></ul><p>A large-scale QKD deployment creates other security issues.</p><h2>Can QKD be deployed on a large scale? What level of protection can it provide in such a scenario ?</h2><p>The range limitations of QKD (or the need to use satellites to overcome them), its point-to-point nature, and its dependence on the physical characteristics of the channels it uses, make its large-scale deployment extremely complex and costly. More importantly, in the absence of a direct line connecting two points which need to negotiate a common key, users are led to negotiate keys in sections along a path composed of several QKD links, <em>which requires trust in the intermediate nodes of the communication (which are called for this reason trusted nodes) and is a major regression compared to current end-to-end key negotiation methods</em>. The alternative of directly linking all nodes that need to communicate is not feasible in practice except for small networks, both in terms of the number of terminations and geographical extension. In the future, trusted nodes may be superseded by “quantum repeaters” which will not have to be trusted; but this technology has not been demonstrated to work in a lab, let alone in the field. While the use of satellites extends the range of QKD, it does not generally allow end-to-end information protection unless both ends of the communication have their own satellite ground infrastructure; it is also based on the assumption that each satellite is itself a trusted node, which implies that the risk of computer intrusion in satellites is completely eliminated. Classified networks constitute a particular challenge to QKD. Indeed, keys used to protect classified communications should be obtained from QKD equipment sitting in the classified network itself. Unlike regular encryptors, different QKD devices cannot easily share the same communication link for their quantum channel; therefore, the only straightforward way to deploy QKD in a classified network is to use a QKD infrastructure <em>specific to that network</em>. With several networks of different classification levels, this leads to extremely costly infrastructure duplication, or to the use of the same QKD equipment for different classification levels which is in general not permitted by regulations applying to classified networks.</p><h2>Beside QKD, what are the alternatives to current key negotiation mechanisms?</h2><p>The threat of quantum computers has been considered by the cryptographic community for many years. New “quantum-safe” asymmetric algorithms are being standardized (mainly through the competition organized by the NIST <sup><a href=\"#note3\">[3]</a></sup>) to replace those vulnerable to quantum computing. Candidates are already available today, and over the next decade, significant efforts will be devoted to their deployment in secure communications software products and libraries. In contrast to the use of QKD, this deployment will not require any significant functional alteration of the services using these algorithms. As with current asymmetric mechanisms, barring a major theoretical breakthrough, no absolute proof of robustness will be available for these new mechanisms. Rather, the confidence in such mechanisms will be the result of efforts made to uncover their weaknesses and to study the mathematical problems underpinning their security. The ANSSI recommends an overlap of current and post-quantum algorithms, with a progressive phase-out of the former, as detailed in a <a href=\"https://www.ssi.gouv.fr/en/publication/anssi-views-on-the-post-quantum-cryptography-transition/\" target=\"_blank\" title=\"ANSSI views on the post quantum cryptography transition\">separate ANSSI position paper</a>.</p><h2>Secure networks: technology shootout</h2><p>The table below (only available in the PDF document) presents a summary of the main security and functionality properties of available technologies to build secure networks. Alongside the combination of symmetric and asymmetric cryptography, and QKD paired either with unconditionally secure cryptographic primitives or with computationally secure symmetric encryption, it shows the properties of solutions purely based on symmetric cryptography. Two main observations can be derived from this: first, PKI-based cryptography is the only choice that has all the functional properties routinely used today: it scales easily including when users change over time and with no need for a unique user management authority; it can provide end-to-end security; its throughput is not limited, and of course, it requires no dedicated infrastructure. A second, less-known fact is that a purely symmetric-cryptography-based solution compares favorably with practical QKD, that is, QKD paired with symmetric cryptography: it is much easier to deploy than QKD because it only requires standard network infrastructure; and offers comparable security, because it uses the same computational cryptography primitives. Secure communications based only on symmetric cryptography may by appealing when users sets are fixed or can be managed centrally, and when one sees a value in avoiding the use of asymmetric cryptography altogether, for instance as an extra measure of caution against unknown cryptanalysis algorithms, quantum or otherwise. Publication <sup><a href=\"#note4\">[4]</a></sup> provides an example of a protocol that could be used in such a case.</p><h4>References</h4><p>[1] <a href=\"https://www.ncsc.gov.uk/whitepaper/quantum-security-technologies\">White paper – Quantum Security Technologies</a>, NCSC, UK, 2020/03 [2] <a href=\"https://www.nsa.gov/Cybersecurity/Quantum-Key-Distribution-QKD-and-Quantum-Cryptography-QC/\">Quantum Key Distribution (QKD) and Quantum Cryptography QC</a>, NSA, USA, 2021 [3] <a href=\"https://csrc.nist.gov/Projects/post-quantum-cryptography/Post-Quantum-Cryptography-Standardization\">Post-Quantum Cryptography Standardization</a>, NIST, USA [4] <a href=\"https://eprint.iacr.org/2019/444.pdf\">“Symmetric Authenticated Key-Exchange (SAKE) with Perfect Forward Secrecy”</a>, 2019 [5] <a href=\"https://cyber.gouv.fr/offre-de-service/solutions-certifiees-et-qualifiees/services-de-securite-evalue/decouvrir-les-solutions-certifiees-qualifiees/\">Certification critères communs</a> - ANSSI (French) [6] <a href=\"https://arxiv.org/abs/1008.4593\">“Hacking commercial quantum cryptography systems by tailored bright illumination”</a>, 2010 [7] <a href=\"https://arxiv.org/abs/1902.09792\">“Laser seeding attack in quantum key distribution”</a>, 2019 [8] <a href=\"https://www.cse.wustl.edu/~jain/cse571-07/ftp/quantum/\">A Survey of the Prominent Quantum Key Distribution Protocols</a>, 2007 [9] <a href=\"https://eprint.iacr.org/2011/484.pdf\">“XMSS – A Practical Forward Secure Signature Scheme based on Minimal Security Assumptions”</a>, 2011</p>","langue":"EN","collections":["Cryptographie"],"listeDocuments":[{"libelle":"ANSSI position papers QKD","nomFichier":"anssi-technical_position_papers-qkd.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-05-26T00:00:00.000Z","thematique":"Quantum Key Distribution","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-should-quantum-key-distribution-be-used-secure-communications/588.avif","grande":"/documents-guides/en-should-quantum-key-distribution-be-used-secure-communications/origine.avif"},"documents":[{"libelle":"ANSSI position papers QKD","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-technical_position_papers-qkd.pdf"}]},{"id":"recommandations-de-securite-relatives-tls","nom":"Recommandations de sécurité relatives à TLS","description":"<p>Le protocole TLS est une des solutions les plus répandues pour la protection des flux réseau. Dans ce modèle client–serveur, les données applicatives sont encapsulées de manière à assurer la confidentialité, l’intégrité et empêcher leur rejeu. Le serveur est nécessairement authentifié, et des fonctions additionnelles permettent l’authentification du client si nécessaire.</p><p>Depuis l’apparition de son prédécesseur SSL en 1995, TLS a été adopté par de nombreux acteurs de l’Internet pour sécuriser le trafic lié aux sites web et à la messagerie électronique. Il s’agit par ailleurs d’une solution privilégiée pour la protection de flux d’infrastructure internes. Pour ces raisons, le protocole et ses implémentations font l’objet d’un travail de recherche conséquent. Au fil des années, plusieurs vulnérabilités ont été découvertes, motivant le développement de corrections et de contre-mesures pour prévenir la compromission des échanges.</p><p>Le déploiement TLS apportant le plus d’assurance en matière de sécurité repose donc sur l’utilisation de logiciels mis à jour, mais aussi sur l’ajustement des paramètres du protocole en fonction du contexte. Les explications apportées par le présent guide sont complétées par plusieurs recommandations visant à atteindre un niveau de sécurité conforme à l’état de l’art, notamment au sujet des suites cryptographiques à retenir.</p><p><strong>Ce guide est également disponible en anglais :</strong> « <a href=\"https://cyber.gouv.fr/en/guide/security-recommendations-for-tls/\"><em>Security Recommendations for TLS</em></a> »</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité relatives à TLS - v1.2","nomFichier":"anssi-guide-recommandations_de_securite_relatives_a_tls-v1.2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-03-26T00:00:00.000Z","thematique":"TLS","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-tls","image":{"petite":"/documents-guides/recommandations-de-securite-relatives-tls/588.avif","grande":"/documents-guides/recommandations-de-securite-relatives-tls/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité relatives à TLS - v1.2","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_de_securite_relatives_a_tls-v1.2.pdf"}]},{"id":"securisation-des-systemes-de-controle-dacces-physique-et-videoprotection","nom":"Sécurisation des systèmes de contrôle d’accès physique et vidéoprotection","description":"<h5 class=\"text-align-justify\">Mis à jour le 5 juin 2025.</h5><p class=\"text-align-justify\">Ce guide développe les aspects d’architecture et de sécurité logique propres aux systèmes de contrôle d’accès utilisant des technologies sans contact, et aux systèmes de vidéoprotection. Comme lors de la rédaction du premier guide, l’ANSSI s’est associée au CNPP pour mener une réflexion intégrant l’ensemble des éléments qui composent ces systèmes. Ce guide est ainsi complémentaire aux référentiels CNPP intitulés :</p><ul><li class=\"text-align-justify\">« Référentiel APSAD D83 – Contrôle d’accès – Document technique pour la conception et l’installation » ;</li><li class=\"text-align-justify\">« Référentiel APSAD R82 – Vidéosurveillance – Règle d’installation » ;</li><li class=\"text-align-justify\">« Référentiel APSAD D32 – Cybersécurité – Document technique pour l’installation de systèmes de sécurité ou de sûreté sur un réseau informatique ».</li></ul><p class=\"text-align-justify\">Ce guide s’adresse : </p><ul><li class=\"text-align-justify\">aux chefs de projet ou personnes en charge de la mise en place d’un système de contrôle d’accès sans contact ou de vidéoprotection, que ce soit dans une entreprise privée ou un organisme public ;</li><li class=\"text-align-justify\">aux acheteurs, qui pourront imposer dans leurs appels d’offres les exigences détaillées en annexe afin de les rendre contraignantes pour le fournisseur ;</li><li class=\"text-align-justify\">aux installateurs ou intégrateurs, qui pourront tenir compte du contenu de ce guide afin de proposer des services adaptés ;</li><li class=\"text-align-justify\">aux exploitants, qui pourront s’intéresser aux aspects liés à l’exploitation et la maintenance du système.</li></ul><p class=\"text-align-justify\">Le guide est accompagné d'un outil d'aide et de suivi d'implémentation de la sécurité (OASIS) sous forme de tableur. Ce document aide les entités à donner des priorités aux recommandations, à les classer selon une approche graduelle, puis à faire le suivi de leur mise en œuvre. Chaque entité peut adapter cette approche à ses enjeux, moyens, compétences et SI existants. </p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.2","nomFichier":"recommandations-sur-la-sécurisation-des-systèmes-de-contrôle-d_acces-physique-et-vidéoprotection-v2.2.pdf"},{"libelle":"OASIS - Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.2","nomFichier":"anssi-oasis-controle_acces_videoprotection-v2.2.xlsx"},{"libelle":"(obsolète) Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.1 (5 juin 2025)","nomFichier":"Recommandations sur la sécurisation des systèmes de contrôle d'accès physique et vidéoprotection - v2.1.pdf"},{"libelle":"(obsolète) Guide sur la Sécurité des technologies sans-contact pour le contrôle des accès physiques (19 novembre 2012)","nomFichier":"anssi-guide-guide-securite-technologies-sans-contact-pour-controle-acces-physiques-v1.0-obsolete.pdf"},{"libelle":"(obsolète) Recommandations de sécurité pour la mise en oeuvre de dispositifs de vidéoprotection (14 février 2013)","nomFichier":"anssi-guide-recommandations-securite-pour-mise-en-oeuvre-dispositifs-videoprotection-obsolete.pdf"},{"libelle":"(obsolète) Recommandations sur la sécurisation des systèmes de contrôle d'accès physique et de vidéoprotection - v2.0 (5 juin 2025)","nomFichier":"anssi-guide-recommandations_securisation_systemes_controle_acces_physique_et_videoprotection-v2.0.pdf"},{"libelle":"(obsolète) OASIS - Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.1 (5 juin 2025)","nomFichier":"anssi-oasis-controle_acces_videoprotection-v2.1.xlsx"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-03-04T00:00:00.000Z","thematique":"Accès physique et vidéoprotection","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-controle-acces-videoprotection","image":{"petite":"/documents-guides/securisation-des-systemes-de-controle-dacces-physique-et-videoprotection/588.avif","grande":"/documents-guides/securisation-des-systemes-de-controle-dacces-physique-et-videoprotection/origine.avif"},"documents":[{"libelle":"Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.2","url":"https://messervices.cyber.gouv.fr/documents-guides/recommandations-sur-la-sécurisation-des-systèmes-de-contrôle-d_acces-physique-et-vidéoprotection-v2.2.pdf"},{"libelle":"OASIS - Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.2","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-oasis-controle_acces_videoprotection-v2.2.xlsx"},{"libelle":"(obsolète) Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.1 (5 juin 2025)","url":"https://messervices.cyber.gouv.fr/documents-guides/Recommandations sur la sécurisation des systèmes de contrôle d'accès physique et vidéoprotection - v2.1.pdf"},{"libelle":"(obsolète) Guide sur la Sécurité des technologies sans-contact pour le contrôle des accès physiques (19 novembre 2012)","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-guide-securite-technologies-sans-contact-pour-controle-acces-physiques-v1.0-obsolete.pdf"},{"libelle":"(obsolète) Recommandations de sécurité pour la mise en oeuvre de dispositifs de vidéoprotection (14 février 2013)","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations-securite-pour-mise-en-oeuvre-dispositifs-videoprotection-obsolete.pdf"},{"libelle":"(obsolète) Recommandations sur la sécurisation des systèmes de contrôle d'accès physique et de vidéoprotection - v2.0 (5 juin 2025)","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-recommandations_securisation_systemes_controle_acces_physique_et_videoprotection-v2.0.pdf"},{"libelle":"(obsolète) OASIS - Recommandations sur la sécurisation des systèmes de contrôle d&#039;accès physique et vidéoprotection - v2.1 (5 juin 2025)","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-oasis-controle_acces_videoprotection-v2.1.xlsx"}]},{"id":"securite-numerique-des-collectivites-territoriales-lessentiel-de-la-reglementation","nom":"Sécurité numérique des collectivités territoriales : l’essentiel de la réglementation","description":"<p>Les collectivités territoriales (CT) sont engagées dans une transformation numérique profonde, autant pour répondre à des obligations réglementaires qu’à un souci de rendre un meilleur service aux citoyens. Cette dépendance de plus en plus forte aux systèmes d’information (SI), couplée à l’hétérogénéité de la taille des communes crée une fragilité, soulignée dans la Revue stratégique de cyberdéfense (RSC) de 2018. Au même titre que les SI de l’Etat, des opérateurs d’importance vitale (OIV) ou des opérateurs de services essentiels (OSE), la protection des SI des collectivités territoriales fait partie des champs prioritaires définis par la RSC pour consolider le modèle national de cyberdéfense.<br> </p> <p> Au-delà de l’application de mesures, qu’elles soient d’hygiène ou techniques, de gouvernance, organisationnelles et humaines, la dimension réglementaire et juridique est essentielle pour assurer une meilleure prise en compte des risques numériques.<br> </p> <p>Pour répondre au défi de la sécurité du numérique des collectivités territoriales, la France, soit directement par son droit national soit via les règlements et directives pris au niveau de l’Union Européenne, s’est dotée d’un cadre règlementaire participant à la protection de ces systèmes d’information et dont les objectifs sont :</p><ul><li>le renforcement de la confiance des usagers dans l’utilisation des services numériques ;</li><li>le renforcement de la sécurité des données à caractère personnel ;</li><li>la transformation numérique des administrations l’État ;</li><li>le renforcement de la sécurité des acteurs critiques pour l’État.</li></ul><p>Ces réglementations s’architecturent autour de trois principes fondamentaux :</p><ul><li>la gouvernance qui vise à impliquer l’ensemble des acteurs (décideurs, agents, etc.) des collectivités territoriales à la sécurité par la définition et le suivi de politique de sécurité des systèmes d’information (PSSI) ;</li><li>la gestion des risques qui doit amener les collectivités territoriales à se poser la question sur les menaces auxquelles elle est soumise et quelles sont les mesures pour s’en protéger tout en tenant compte des contraintes auxquelles elle fait face (financière, humaine, sociale, etc.) ;</li><li>l’amélioration continue qui permet à l’organisation de régulièrement évaluer son niveau de sécurité afin d’identifier les domaines dans lesquels il est nécessaire monter en maturité.</li></ul><p>Ce cadre juridique de cybersécurité à destination des collectivités territoriales est également <a href=\"https://cyber.gouv.fr/actualites/collectivites-territoriales-face-la-menace-saisissez-vous-des-enjeux-cyber/\">illustré par une infographie</a> conçue par deux doctorants en droit, Camille Dubedout et Valentin Schabelman.</p><p>Il s’agit de synthétiser le contenu de ces réglementations, mais aussi leurs objectifs et leur portée. Car la cybersécurité est l’affaire de tous et les collectivités en sont des acteurs de premier plan.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Sécurité numérique des collectivités territoriales : l'essentiel de la réglementation","nomFichier":"anssi-guide-securite_numerique_collectivites_territoriales-reglementation1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2020-01-28T00:00:00.000Z","thematique":"Réglementation","besoins":["SECURISER","ETRE_SENSIBILISE"],"lienCourt":"https://cyber.gouv.fr/guide-ssi-collectivites-territoriales","image":{"petite":"/documents-guides/securite-numerique-des-collectivites-territoriales-lessentiel-de-la-reglementation/588.avif","grande":"/documents-guides/securite-numerique-des-collectivites-territoriales-lessentiel-de-la-reglementation/origine.avif"},"documents":[{"libelle":"Sécurité numérique des collectivités territoriales : l'essentiel de la réglementation","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-securite_numerique_collectivites_territoriales-reglementation1.pdf"}]},{"id":"maitrise-du-risque-numerique-latout-confiance","nom":"Maîtrise du risque numérique - l’atout confiance","description":"<p>Le risque numérique doit être pris en compte au plus haut niveau de l’organisation en adoptant une démarche de maîtrise du risque numérique propre à la structure de l’organisation et à ses missions.</p><p></p><p>L’évolutivité et la transversalité du risque numérique obligent dorénavant les dirigeants à reconsidérer leur modèle de gestion des risques, de telle sorte que le risque numérique rejoigne les préoccupations stratégiques, économiques ou juridiques des organisations. Pour acquérir cette vision transverse des risques et veiller à ce qu’ils soient clairement corrélés aux objectifs de l’organisation, qu’elle soit publique ou privée, un comité des risques numériques doit être mis en place, et une attention particulière doit être portée sur sa capacité à s’affranchir des silos fonctionnels, métiers et opérationnels existants.</p><h3>Une démarche sur mesure pour maîtriser le risque numérique</h3><p>L’ANSSI et l’<a href=\"https://www.amrae.fr/\">Association pour le Management des Risques et des Assurances de l’Entreprise</a> (AMRAE) s’associent dans la « Maîtrise du risque numérique – l’atout confiance» pour proposer aux dirigeants et aux risk managers une démarche progressive pour construire étape par étape une politique de gestion du risque numérique au sein de leur organisation. Il propose également tous les conseils et les ressources indispensables à cette mise en œuvre. Le guide accompagne ainsi chaque acteur avec réalisme, quels que soient son activité, la criticité de celle-ci, son niveau de maturité ou ses moyens pour lui permettre de :</p><ul><li>Prendre la mesure du risque numérique</li><li>Comprendre le risque et s’organiser</li><li>Bâtir son socle de sécurité</li><li>Piloter son risque numérique et valoriser sa Cybersécurité</li></ul>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Maîtrise du risque numérique - L'atout confiance","nomFichier":"anssi_amrae-guide-maitrise_risque_numerique-atout_confiance.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-11-18T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["ETRE_SENSIBILISE","SECURISER"],"image":{"petite":"/documents-guides/maitrise-du-risque-numerique-latout-confiance/588.avif","grande":"/documents-guides/maitrise-du-risque-numerique-latout-confiance/origine.avif"},"documents":[{"libelle":"Maîtrise du risque numérique - L'atout confiance","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_amrae-guide-maitrise_risque_numerique-atout_confiance.pdf"}]},{"id":"en-controlling-digital-risk-trust-advantage","nom":"Controlling the digital risk - the trust advantage","description":"<p>Digital technologies have become daily partners at work and at home. They provide incredible opportunities as well as sophisticated and destructive threats. Cyberattacks can jeopardize the survival of the organization or seriously compromise its image and its reliability. This encourages organisations to rethink themselves and to adopt a continuous improvement approach.</p><p>It is now impossible to ignore these issues and we do our best to guide each actor through this process, whatever their size, activity, maturity or resources.</p><h3>Controlling digital risk: an appropriate approach</h3><p>This guide, proposed by ANSSI and <a href=\"https://www.amrae.fr/\">AMRAE</a> (a French association of risk and insurance specialists), provides managers and risk managers with a progressive approach to build, Step by Step, a digital risk management policy within their organization.</p><p>The proposed approach makes it possible to:</p><ul><li>TAKING A READING OF THE DIGITAL RISK</li><li>UNDERSTANDING THE DIGITAL RISK AND GETTING ORGANISED</li><li>BUILDING YOUR SECURITY BASELINE</li><li>MANAGING ONE'S DIGITAL RISK AND ENHANCING ONE'S CYBERSECURITY</li></ul>","langue":"EN","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Controlling the digital risk - The trust advantage","nomFichier":"anssi_amrae-guide-controlling_digital_risk-trust_advantage.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-11-18T00:00:00.000Z","thematique":"Risks","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-controlling-digital-risk-trust-advantage/588.avif","grande":"/documents-guides/en-controlling-digital-risk-trust-advantage/origine.avif"},"documents":[{"libelle":"Controlling the digital risk - The trust advantage","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_amrae-guide-controlling_digital_risk-trust_advantage.pdf"}]},{"id":"en-ebios-risk-manager-method","nom":"EBIOS Risk Manager – The method","description":"<p>EBIOS RM makes it possible to assess digital risks and identify the security measures to be taken in order to control them. It also makes it possible to validate the acceptable level of risk and to carry on in the longer term in a continuous improvement approach. Finally, this method makes it possible to bring about resources and arguments that are useful for communication and decision-making within the organisation and with regards to its partners.</p><p><strong>The EBIOS RM method can be used for several purposes:</strong></p><ul><li>setting up or reinforcing a management process of the digital risk within an organisation;</li><li>assess and treat the risks relating to a digital project, in particular with the aim of a security accreditation;</li><li>define the level of security to be achieved for a product or service according to its use cases and the risks to be countered, in the perspective of a certification or accreditation for example.</li></ul><p>It applies to public as well as private organizations, regardless of their size, their sector of activity and whether their information systems are being developed or already exist.</p><h3>An iterative approach</h3><p>The EBIOS Risk Manager method adopts an approach to the management of the digital risk starting from the highest level (major missions of the studied object) to progressively reach the business and technical functions, by studying possible risk scenarios.<br> It aims to obtain a synthesis between \"conformity\" and \"scenarios\", by positioning these two complementary approaches where they provide the highest value added.</p><h3>Going Further - Methodological sheets</h3><p>In addition to the EBIOS Risk Manager guide, \"method sheets\" have been created to help users conduct each workshop described in the guide.</p><p>Designed as pedagogical support tools, these method sheets are regularly updated.</p>","langue":"EN","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"EBIOS Risk Manager – The method","nomFichier":"anssi-guide-ebios_risk_manager-en-v1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-11-18T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/ebios-rm","image":{"petite":"/documents-guides/en-ebios-risk-manager-method/588.avif","grande":"/documents-guides/en-ebios-risk-manager-method/origine.avif"},"documents":[{"libelle":"EBIOS Risk Manager – The method","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-ebios_risk_manager-en-v1.0.pdf"}]},{"id":"recommandations-pour-une-utilisation-securisee-de-zed","nom":"Recommandations pour une utilisation sécurisée de Zed!","description":"<p>Ce document fournit des recommandations pour un déploiement et une utilisation sécurisés du produit Zed. Il vient en complément des guides d’utilisation et documentations techniques fournis par Prim’X afin d’approfondir l’aspect sécurité. Il s’adresse en priorité aux équipes des SI qui devront mettre en place les recommandations, aux membres de la DSI qui participeront au déploiement du produit, à son support auprès des utilisateurs et à son administration, aux RSSI à qui reviennent les choix des mesures de sécurité, les modalités de leur mise en œuvre, ainsi que la gestion d’une éventuelle IGC. Des connaissances basiques en matière de politiques Windows et en cryptographie sont nécessaires pour appréhender certains des concepts présentés. Ce document décrit un ensemble de concepts ou de recommandations que chacun pourra adapter en fonction de ses contraintes et de ses enjeux.</p><p>Une partie dédiée à l'accès de secours et une note sur les vulnérabilités font leur apparition dans la version 1.1 du guide.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour une utilisation sécurisée de Zed! - v1.1","nomFichier":"anssi-zed-note_technique-v1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-11-14T00:00:00.000Z","thematique":"Zed!","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-zed","image":{"petite":"/documents-guides/recommandations-pour-une-utilisation-securisee-de-zed/588.avif","grande":"/documents-guides/recommandations-pour-une-utilisation-securisee-de-zed/origine.avif"},"documents":[{"libelle":"Recommandations pour une utilisation sécurisée de Zed! - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-zed-note_technique-v1.1.pdf"}]},{"id":"exigences-de-securite-materielles","nom":"Exigences de sécurité matérielles","description":"<p>Les exigences sont regroupées en différentes thématiques :</p><ul><li>maîtrise de la plate-forme : ces exigences permettent d’assurer au propriétaires des plate-formes<br> une maîtrise plus importante de celles-ci</li><li>caractéristiques matérielles : ces exigences s’appliquent à certains composants matériels spéci-<br> fiques de la plate-forme</li><li>caractéristiques firmware : ces exigences s’appliquent au BIOS et à sa configuration</li><li>maintien en condition de sécurité : ces exigences précisent les attendus en terme de mise à jour<br> des composants logiciels</li></ul>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Exigences de sécurité matérielles pour plate-formes x86","nomFichier":"anssi-guide-exigences_securite_materielle.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-11-08T00:00:00.000Z","thematique":"Sécurité matérielle","besoins":["SECURISER"],"image":{"petite":"/documents-guides/exigences-de-securite-materielles/588.avif","grande":"/documents-guides/exigences-de-securite-materielles/origine.avif"},"documents":[{"libelle":"Exigences de sécurité matérielles pour plate-formes x86","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-exigences_securite_materielle.pdf"}]},{"id":"en-hardware-security-requirements-x86-platforms","nom":"Hardware security requirements for x86 platforms","description":"<p>The requirements are consolidated in four themes :</p><ul><li>controls over the Platform : these requirements help ensure owners have the best control of their Platform</li><li>hardware specifications : these requirements apply to some specifical hardware components</li><li>firmware specifications : these requirements apply to BIOS configuration and protection</li><li>security update : these requirements apply to updates of software components</li></ul>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Hardware security requirements for x86 platforms","nomFichier":"anssi-guide-hardware_security_requirements.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-11-08T00:00:00.000Z","thematique":"x86 platforms","besoins":["SECURISER"],"image":{"petite":"/documents-guides/en-hardware-security-requirements-x86-platforms/588.avif","grande":"/documents-guides/en-hardware-security-requirements-x86-platforms/origine.avif"},"documents":[{"libelle":"Hardware security requirements for x86 platforms","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-guide-hardware_security_requirements.pdf"}]},{"id":"en-best-practices-business-travellers","nom":"Best Practices for Business Travellers","description":"<h3>To combine security and mobility</h3><p>This guide is at the crossroads of several issues: digital security and mobility. That’s why the Ministry for Europe and Foreign Affairs and the National Cybersecurity Agency of France (ANSSI) wished to remind with a single voice that security is a shared responsibility between individuals and organisations. To develop a culture of security in the professional field also allows to give rise or develop some reflexes among citizens. </p><h3>From risk origins to best practices</h3><p>This update gives birth to a concrete and useful document for all business travelers. Each of the nine best practices within it starts with a scenario. It depicts individuals facing various risks and consequences. Then, best practices are developed to avoid these incidents to occur. </p><h3>To be in touch with the realities of each professional</h3><p>To best reflect the reality of all business travellers – whether this entails merely going round the corner from your office or heading abroad – we have designed this new version of the passport together with you: employees, entrepreneurs, manufacturers, NGO members, State officials and students among others. By sharing your experiences, queries and needs with us, you have helped us to produce a document that is fully in tune with today’s practices. Thank you to all of you!</p><p></p><p> .box-photo {width: auto;}</p>","langue":"EN","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Digital security - Best practices for business travellers - 2019","nomFichier":"anssi-digital_security-best_practices_for_business_travellers-2019.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-08-01T00:00:00.000Z","thematique":"Mobility","besoins":["ETRE_SENSIBILISE","SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-deplacements-pro","image":{"petite":"/documents-guides/en-best-practices-business-travellers/588.avif","grande":"/documents-guides/en-best-practices-business-travellers/origine.avif"},"documents":[{"libelle":"Digital security - Best practices for business travellers - 2019","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi-digital_security-best_practices_for_business_travellers-2019.pdf"}]},{"id":"bonnes-pratiques-lusage-des-professionnels-en-deplacement","nom":"Bonnes pratiques à l’usage des professionnels en déplacement ","description":"<h3>Faire rimer sécurité et mobilité</h3><p>Le guide de <em>Bonnes pratiques à l’usage des professionnels en déplacement</em> se situe au carrefour de plusieurs enjeux à savoir la sécurité numérique et la mobilité. C’est pourquoi le ministère de l’Europe et des affaires étrangères et l’ANSSI ont souhaité y rappeler d’une même voix la responsabilité de tous et toutes vis-à-vis des informations que leur confient leurs organisations d’appartenance. Développer cette culture de la sécurité en milieu professionnel, c’est aussi faire naître ou renforcer certains réflexes chez les citoyens.</p><h3>Des origines du risque aux bonnes pratiques</h3><p>Cette mise à jour donne naissance à un document résolument concret, pratique pour tous les usagers en situation de mobilité. Chacune des neuf bonnes pratiques répertoriées débute donc par un scénario mettant en scène un individu exposé à un risque donné dont les origines et les conséquences varient d’une règle à l’autre. S’ensuivent les bonnes pratiques à respecter pour éviter que ne se produisent les incidents relatés par chaque scénario.</p><p></p><h3>Être au plus près des réalités de chaque professionnel</h3><p>L’ANSSI accompagne de très nombreux acteurs vers plus de sécurité numérique et cela passe notamment par le partage de bonnes pratiques. Pour toujours mieux répondre aux besoins et aux attentes de ces différents publics, l’agence mise sur la consultation. C’est ainsi qu’à l’issue d’un travail interne mobilisant de nombreuses expertises, elle a soumis à l’appréciation de plusieurs contributeurs externe (salariés, entrepreneurs, industriels, membres d’ONG, agents de l’Etat, étudiants, etc.) une première version du document. Les partages d’expériences, questions et suggestions issus de cette consultation ont largement participé à faire du document ce qu’il est aujourd’hui. </p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Bonnes pratiques à l'usage des professionnels en déplacement - 2019","nomFichier":"anssi_passeport_2019_1.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-05-17T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["ETRE_SENSIBILISE","SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-deplacements-pro","image":{"petite":"/documents-guides/bonnes-pratiques-lusage-des-professionnels-en-deplacement/588.avif","grande":"/documents-guides/bonnes-pratiques-lusage-des-professionnels-en-deplacement/origine.avif"},"documents":[{"libelle":"Bonnes pratiques à l'usage des professionnels en déplacement - 2019","url":"https://messervices.cyber.gouv.fr/documents-guides/anssi_passeport_2019_1.0.pdf"}]},{"id":"recommandations-de-securite-relatives-un-systeme-gnulinux","nom":"Recommandations de configuration d'un système GNU/Linux","description":"<p>Aujourd’hui les systèmes d’exploitation Unix et dérivés, et notamment GNU/Linux, jouent un rôle important dans l’écosystème des équipements, systèmes, réseaux et télécommunications. Ils sont en effet souvent déployés dans de nombreux produits (commutateurs, routeurs, téléviseurs, véhicules,...) Leur diversité et leur composition font qu’ils sont utilisés suivant un grand nombre de combinaisons possibles. Des règles de configuration permettent cependant d’obtenir des systèmes raisonnablement sûrs du moment que certains principes fondamentaux sont respectés, et de vérifier méthodologiquement qu’elles sont correctement appliquées par exemple à l’aide d’une liste de vérification. Le présent guide se concentre principalement sur des directives de configuration système génériques et des principes de bon sens qu’il convient d’appliquer lors du déploiement de services sur un système GNU/Linux. Il revient notamment sur les points suivants :</p><ul><li>Principes généraux de sécurité et de durcissement</li><li>Configuration matérielle avant installation</li><li>Installation du système</li><li>Configuration et services système</li><li>Solutions de cloisonnement et contrôle d’accès</li></ul><p> Ce document est également <a href=\"/guides/en-configuration-recommendations-gnulinux-system\">disponible en anglais</a>. Certaines des versions ci-dessous sont obsolètes et proposées uniquement à des fins d'archivage.</p><p>Ce guide est accompagné de l'outil \"Actionnable Linux\", disponible à l'URL <a href=\"https://github.com/ANSSI-FR/actionnable-linux\">https://github.com/ANSSI-FR/actionnable-linux</a>. Il s'agit d'un rôle Ansible qui fournit, à titre d'exemple uniquement, une façon d'implémenter certaines recommandations du guide. La publication de cet outil s’inscrit dans <a href=\"https://cyber.gouv.fr/enjeux-technologiques/open-source\">la politique open source de l’ANSSI</a> visant à partager avec la communauté cyber les codes qu’elle produit. Elle rend possible la réutilisation de l’outil par l’écosystème et participe ainsi à l’amélioration de la sécurité de ses SI.","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité relatives à un système GNU/Linux - v2.0","nomFichier":"fr_np_linux_configuration-v2.0.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-02-22T00:00:00.000Z","thematique":"GNU/Linux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-linux","image":{"petite":"/documents-guides/recommandations-de-securite-relatives-un-systeme-gnulinux/588.avif","grande":"/documents-guides/recommandations-de-securite-relatives-un-systeme-gnulinux/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité relatives à un système GNU/Linux - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/fr_np_linux_configuration-v2.0.pdf"}]},{"id":"en-configuration-recommendations-gnulinux-system","nom":"Configuration recommendations of a GNU/Linux system","description":"<p>A few configuration rules make it possible to obtain reasonably secure systems as long as some fundamental principles are respected. It should be checked methodologically that these are applied correctly, for example using a checklist.</p><p>This guide focuses primarily on generic system configuration guidelines and common sense principles that should be applied when deploying services on a GNU/Linux system.</p><p>In particular, the following points are discussed:</p><ul><li>General principles of security and hardening</li><li>Hardware and firmware configuration</li><li>Securing the boot chain</li><li>Configuring system services</li><li>Kernel configuration</li><li>Privilege and access management</li><li>Isolation</li></ul><p>The original version of the document, in French, <a href=\"/guides/recommandations-de-securite-relatives-un-systeme-gnulinux\" target=\"_blank\">can be found here</a>.</p><p>Some of the versions below are obsolete and offered for archival purposes only.</p><p>This guide is accompanied by the tool ‘Actionnable Linux’, available at the URL <a href=\"https://github.com/ANSSI-FR/actionnable-linux\">https://github.com/ANSSI-FR/actionnable-linux</a>. It is an Ansible role that provides, for illustrative purposes only, one way of implementing certain recommendations from the guide. The publication of this tool is part of ANSSI’s open-source policy, which aims to share with the cybersecurity community the code it produces. It enables the ecosystem to reuse the tool and thus contributes to improving the security of its information systems.</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Configuration recommendations of a gnu/linux system - v2","nomFichier":"linux_configuration-en-v2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2019-02-22T00:00:00.000Z","thematique":"GNU/Linux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-linux","image":{"petite":"/documents-guides/en-configuration-recommendations-gnulinux-system/588.avif","grande":"/documents-guides/en-configuration-recommendations-gnulinux-system/origine.avif"},"documents":[{"libelle":"Configuration recommendations of a gnu/linux system - v2","url":"https://messervices.cyber.gouv.fr/documents-guides/linux_configuration-en-v2.pdf"}]},{"id":"cartographie-du-systeme-dinformation","nom":"Cartographie du système d’information","description":"<p>De plus en plus nombreuses et complexes, les attaques informatiques interviennent dans un environnement en constante évolution. Pour répondre à ces enjeux, il est nécessaire de mettre en place une approche globale de gestion des risques au sein de l’organisation.<br> L’élaboration d’une cartographie participe à la protection, à la défense et à la résilience du système d’information. C’est aussi une étape nécessaire à la conduite d’homologation d’un SI. Le guide \"Cartographie du système d’information - Guide d’élaboration en cinq\" étapes publié par l’ANSSI a fait l’objet d’un appel à commentaires public et accompagne les organisations dans la mise en place de cette démarche.</p><h3>Un guide et une démarche pour accompagner la cartographie des SI</h3><p>Ce guide présente une démarche en cinq étapes adaptée aux besoins opérationnels des organisations. Illustré par un exemple concret, il propose une approche pratique et progressive pour avancer pas à pas dans l’élaboration d’une cartographie.<br> Ce support concerne en premier lieu les <a href=\"https://cyber.gouv.fr/publications/recommandations-pour-la-protection-des-systemes-dinformation-essentiels\">Opérateurs d’importance vitale (OIV)</a> mais est utile à toute organisation quelles que soient sa nature, sa taille, la complexité de son système d’information ou sa maturité en la matière.</p><p>Ce document est également accessible <a href=\"https://cyber.gouv.fr/en/guide/mapping-the-information-system/\">en anglais</a>.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guide pour la cartographie du système d'information","nomFichier":"20181213_anssi_guide_cartographie_v1b.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2018-11-21T00:00:00.000Z","thematique":"Cartographie","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-cartographie","image":{"petite":"/documents-guides/cartographie-du-systeme-dinformation/588.avif","grande":"/documents-guides/cartographie-du-systeme-dinformation/origine.avif"},"documents":[{"libelle":"Guide pour la cartographie du système d'information","url":"https://messervices.cyber.gouv.fr/documents-guides/20181213_anssi_guide_cartographie_v1b.pdf"}]},{"id":"en-mapping-information-system","nom":"Mapping the information system","description":"<p>At a time when cyberattacks are growing in number and complexity, it is necessary for organizations to develop a general risk management strategy. As part of an overall approach, <strong>mapping is a key tool in keeping control over the information system</strong>. It provides insight into all of the information system’s components and a clearer picture of the IS by presenting it from different angles.</p><h3>A guide to help organisations mapping their IS</h3><p>This guide outlines an approach to help organisations mapping their information systems in order for them to meet the operational requirements of cybersecurity. It explains how to build a map in five simple, practical steps. It can be used by any organisation, irrespective of their type, size, maturity in terms of cybersecurity or the complexity of their information system. It has been written for organisations in the public and private sectors alike. This document is also available <a href=\"https://cyber.gouv.fr/administration/guide/cartographie-du-systeme-dinformation/\">in French</a>.</p>","langue":"EN","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Mapping the information system","nomFichier":"mapping_the_information_system-anssi-pa-046.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2018-11-21T00:00:00.000Z","thematique":"Mapping","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-cartographie","image":{"petite":"/documents-guides/en-mapping-information-system/588.avif","grande":"/documents-guides/en-mapping-information-system/origine.avif"},"documents":[{"libelle":"Mapping the information system","url":"https://messervices.cyber.gouv.fr/documents-guides/mapping_the_information_system-anssi-pa-046.pdf"}]},{"id":"la-methode-ebios-risk-manager-le-guide","nom":"La méthode EBIOS Risk Manager - Le guide","description":"<p>EBIOS <em>Risk Manager</em> (EBIOS RM) est la méthode d’appréciation et de traitement du risque numérique publiée par l’Agence nationale de la sécurité et des systèmes d’information (ANSSI) avec le soutien du Club EBIOS. Elle propose une boite à outils adaptable, dont l’utilisation varie selon l’objectif du projet et est compatible avec les référentiels normatifs en vigueur, en matière de gestion des risques comme en matière de sécurité du numérique. EBIOS <em>Risk Manager</em> permet d’apprécier les risques numériques et d’identifier les mesures de sécurité à mettre en œuvre pour les maitriser. Elle permet aussi de valider le niveau de risque acceptable et de s’inscrire à plus long terme dans une démarche d’amélioration continue. Enfin, cette méthode permet de faire émerger les ressources et arguments utiles à la communication et à la prise de décision au sein de l’organisation et vis-à-vis de ses partenaires.</p><h3>Comment utiliser la Méthode EBIOS <em>Risk Manager</em> ?</h3><p>La méthode EBIOS <em>Risk Manager</em> peut être utilisée à plusieurs fins :</p><ul><li>mettre en place ou renforcer un processus de management du risque numérique au sein d’une organisation ;</li><li>apprécier et traiter les risques relatifs à un projet numérique, notamment dans l’objectif d’une homologation de sécurité ;</li><li>définir le niveau de sécurité à atteindre pour un produit ou un service selon ses cas d’usage envisagés et les risques à contrer, dans la perspective d’une certification ou d’un agrément par exemple.</li></ul><p>Elle s’applique aussi bien aux organisations publiques ou privées, quels que soient leur taille, leur secteur d’activité et que leurs systèmes d’information soient en cours d’élaboration ou déjà existants.</p><h3> Les fiches méthodes pour compléter chaque atelier</h3><p>En complément du guide EBIOS Risk Manager, des « fiches méthodes » ont été créées pour aider les utilisateurs à réaliser chaque atelier décrit dans le guide. Conçues comme des outils d’accompagnement à vocation pédagogique, ces fiches méthodes sont régulièrement mises à jour. <a href=\"https://cyber.gouv.fr/la-methode-ebios-risk-manager\">En savoir plus sur la méthode EBIOS RM.</a></p><p>L’ANSSI met à disposition un modèle de tableur excel pour réaliser une analyse de risque cyber selon la méthodologie EBIOS Risk Manager. Pour rappel, des outils plus complets <u><a href=\"https://cyber.gouv.fr/securisation/analyse-des-risques/label-ebios-risk-manager/\">sont labellisés par l’ANSSI</a></u>.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"La méthode Ebios Risk Manager - Le Guide","nomFichier":"250129_np_anssi_guide_ebios_fr_final_collection_WEB.pdf"},{"libelle":"Fiche méthode - Identifier le périmètre métier et technique - atelier 1","nomFichier":"Fiche_methode-Identifier_le_perimetre_metier_et_technique-atelier_1.pdf"},{"libelle":"Fiche méthode - Evaluer la gravité des événements redouté - atelier 1","nomFichier":"Fiche_methode-Evaluer_la_gravite_des_evenements_redoute-atelier_1.pdf"},{"libelle":"Fiche méthode - Identifier et caractériser les sources de risque - atelier 2","nomFichier":"Fiche_methode-Identifier_et_caracteriser_les_sources_de_risque-atelier_2.pdf"},{"libelle":"Fiche méthode - Définir des mesures de sécurité pour l'écosystème - atelier 3","nomFichier":"Fiche_methode-Definir_des_mesures_de_securite_pour_l_ecosysteme-atelier_3.pdf"},{"libelle":"Fiche méthode - Construire l’estimation de la dangerosité des parties prenantes de l’écosystème - atelier 3","nomFichier":"Fiche_methode-Construire_lestimation_de_la_dangerosite_des_parties_prenantes_de_l_ecosysteme-atelier_3.pdf"},{"libelle":"Fiche méthode - Elaborer des graphes d'attaque - atelier 4","nomFichier":"Fiche_methode-Elaborer_des_graphes_d_attaque-atelier_4.pdf"},{"libelle":"Fiche méthode - Evaluer la vraisemblance des scénarios opérationnels - atelier 4","nomFichier":"Fiche_methode-Evaluer_la_vraisemblance_des_scenarios_operationnels-atelier_4.pdf"},{"libelle":"Fiche méthode - Structurer les mesures de traitement du risque - atelier 5","nomFichier":"Fiche_methode-Structurer_les_mesures_de_traitement_du_risque-atelier_5.pdf"},{"libelle":"Tableau modèle pour ateliers EBIOS RM","nomFichier":"EBIOS_RM_Ateliers_modele.xlsx"}],"nomsAnciensDocuments":["fiches-methodes-ebios_projet.pdf","Fiche_methode_8-Atelier_4-Evaluer_la_vraisemblance_des_scénarios_operationnels.docx","Fiche_methode_1-Atelier_1-Identifier_le_perimetre_metier_et_technique.docx","Fiche_methode_2-Atelier_1_4_5-Identifier_les_biens_supports.docx","Fiche_methode_3-Atelier_1-Evaluer_la_gravite_des_evenements_redoute.docx","Fiche_methode_4-Atelier_2-Identifier_et_caracteriser_les_sources_de_risque.docx","Fiche_methode_5-Atelier_3-Construire_l_estimation_de_la_dangerosite_des_parties_prenantes_de_l_ecosysteme.docx","Fiche_methode_6-Atelier_3-Definir_des_mesures_de_securite_pour_l_ecosysteme.docx","Fiche_methode_7-Atelier4-Elaborer_des_graphes_d_attaque.docx","Fiche_methode_8-Atelier_4-Evaluer_la_vraisemblance_des_scenarios_operationnels.docx","Fiche_methode_9-Atelier_5-Structurer_les_mesures_de_traitement_du_risque.docx","Fiche_methode-Identifier_et_caractériser_les_sources_de_risque-atelier_2.pdf","Fiche_méthode-Evaluer_la_gravite_des_evenements_redoute-atelier_1.pdf"],"dateMiseAJour":"2018-10-09T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/ebios-rm","image":{"petite":"/documents-guides/la-methode-ebios-risk-manager-le-guide/588.avif","grande":"/documents-guides/la-methode-ebios-risk-manager-le-guide/origine.avif"},"documents":[{"libelle":"La méthode Ebios Risk Manager - Le Guide","url":"https://messervices.cyber.gouv.fr/documents-guides/250129_np_anssi_guide_ebios_fr_final_collection_WEB.pdf"},{"libelle":"Fiche méthode - Identifier le périmètre métier et technique - atelier 1","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Identifier_le_perimetre_metier_et_technique-atelier_1.pdf"},{"libelle":"Fiche méthode - Evaluer la gravité des événements redouté - atelier 1","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Evaluer_la_gravite_des_evenements_redoute-atelier_1.pdf"},{"libelle":"Fiche méthode - Identifier et caractériser les sources de risque - atelier 2","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Identifier_et_caracteriser_les_sources_de_risque-atelier_2.pdf"},{"libelle":"Fiche méthode - Définir des mesures de sécurité pour l'écosystème - atelier 3","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Definir_des_mesures_de_securite_pour_l_ecosysteme-atelier_3.pdf"},{"libelle":"Fiche méthode - Construire l’estimation de la dangerosité des parties prenantes de l’écosystème - atelier 3","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Construire_lestimation_de_la_dangerosite_des_parties_prenantes_de_l_ecosysteme-atelier_3.pdf"},{"libelle":"Fiche méthode - Elaborer des graphes d'attaque - atelier 4","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Elaborer_des_graphes_d_attaque-atelier_4.pdf"},{"libelle":"Fiche méthode - Evaluer la vraisemblance des scénarios opérationnels - atelier 4","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Evaluer_la_vraisemblance_des_scenarios_operationnels-atelier_4.pdf"},{"libelle":"Fiche méthode - Structurer les mesures de traitement du risque - atelier 5","url":"https://messervices.cyber.gouv.fr/documents-guides/Fiche_methode-Structurer_les_mesures_de_traitement_du_risque-atelier_5.pdf"},{"libelle":"Tableau modèle pour ateliers EBIOS RM","url":"https://messervices.cyber.gouv.fr/documents-guides/EBIOS_RM_Ateliers_modele.xlsx"}]},{"id":"en-recommendations-secure-administration-it-systems","nom":"Recommendations to secure administration of IT systems","description":"<p>This guide describes the security objectives and the principles for developing a secure technical architecture for administration. It proposes elements that are useful in assisting with the design. It presents a few concrete use cases but does not intend to be complete.</p><p>This document is intended for readers that have a minimum amount of knowledge to apprehend the security recommendations that are presented and the ability to adapt these recommendations to their specific context and needs. One must also refer to its organisation's IT system security policy and to the results of the risk analysis in order to determine the most pertinent recommendations to implement.</p><p></p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Recommendations to secure administration of IT systems","nomFichier":"guide_anssi_secure_admin_is_pa_022_en_v2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2018-10-03T00:00:00.000Z","thematique":"Administration of IT systems","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-admin-si","image":{"petite":"/documents-guides/en-recommendations-secure-administration-it-systems/588.avif","grande":"/documents-guides/en-recommendations-secure-administration-it-systems/origine.avif"},"documents":[{"libelle":"Recommendations to secure administration of IT systems","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_anssi_secure_admin_is_pa_022_en_v2.pdf"}]},{"id":"recommandations-de-deploiement-du-protocole-8021x","nom":"Recommandations de déploiement du protocole 802.1X","description":"<p>Dès lors qu’il héberge des données sensibles telles que des secrets industriels, des numéros de cartes de crédit ou même des données personnelles, un système d’information devient une cible de choix pour un attaquant. Les menaces les plus courantes d’une analyse de risque prennent en compte le piégeage d’un équipement interne par une source externe, cependant la connexion d’équipements externes au système d’information local est souvent négligée pour les raisons suivantes :</p><ul><li>les utilisateurs sont considérés comme de confiance ;</li><li>des mesures techniques ou opérationnelles empêchent un visiteur de connecter son équipement à un réseau interne.</li></ul><p>Ces hypothèses sont souvent mises en avant mais l’architecture physique d’un système d’information évolue dans le temps, notamment au gré des différents déménagements. Une prise réseau précédemment affectée à un bureau peut se retrouver dans une zone publique et exposer le système d’information de l’entité à un visiteur. Un utilisateur légitime peut également connecter pour diverses raisons un équipement personnel ou un équipement réseau au système d’information interne ou fournir un secret d’authentification tel qu’un mot de passe d’accès à un réseau Wi-Fi à une personne extérieure, exposant également le système d’information à différentes menaces préalablement éludées. Afin de traiter ces différents problèmes, il est possible d’appliquer le principe de défense en profondeur et d’ériger des barrières supplémentaires sur le réseau du système d’information. Leurs rôles seront principalement de limiter les connexions d’équipements au strict nécessaire et de superviser les évènements intervenant sur le réseau afin de détecter des comportements suspects. Ces deux fonctions répondent à des objectifs de sécurité préventifs et réactifs afin d’augmenter le niveau de sécurité du système d’information. </p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Déploiement du protocole 802.1x pour le contrôle d&#039;accès à des réseaux locaux","nomFichier":"guide_802.1x_anssi_pa_043_v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2018-08-17T00:00:00.000Z","thematique":"Protocole 802.1X","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-802-1x","image":{"petite":"/documents-guides/recommandations-de-deploiement-du-protocole-8021x/588.avif","grande":"/documents-guides/recommandations-de-deploiement-du-protocole-8021x/origine.avif"},"documents":[{"libelle":"Déploiement du protocole 802.1x pour le contrôle d&#039;accès à des réseaux locaux","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_802.1x_anssi_pa_043_v1.pdf"}]},{"id":"protection-du-potentiel-scientifique-et-technique-de-la-nation","nom":"Protection du potentiel scientifique et technique de la nation","description":"<p>Face aux nombreuses vulnérabilités induites par une dépendance de plus en plus grande aux systèmes d’informations, il est nécessaire de préciser le cadre selon lequel il convient de protéger le potentiel scientifique et technique de la nation (PPST) et ses données numériques au sein des zones à régime restrictif (ZRR).</p><h3>Qu’est-ce que la PPST ?</h3><p>La protection contre l’espionnage technologique est l’objectif premier du dispositif de protection du potentiel scientifique et technique de la nation (PPST). Il a pour but de protéger, au sein des établissements publics et prives, les savoirs et savoir-faire stratégiques ainsi que les technologies sensibles qu’ils détiennent. Cette règlementation offre une protection juridique et administrative fondée sur le contrôle des accès aux informations stratégiques ou sensibles détenues.</p><h3>Que sont les ZRR ?</h3><p>Les locaux abritant des activités de recherche ou de production stratégiques reçoivent le statut de zones protégées, qualifiées de ZRR. Il peut s’agir notamment de bureaux, de laboratoires ou de plates-formes expérimentales.</p><p>Pour toute question sur les ZRR et la PPST, retrouvez la <a href=\"http://www.sgdsn.gouv.fr/missions/protection-du-potentiel-scientifique-et-technique-de-la-nation/\" target=\"_blank\">plaquette de présentation</a> et <a href=\"http://www.sgdsn.gouv.fr/missions/protection-du-potentiel-scientifique-et-technique-de-la-nation/le-dispositif-de-protection-du-potentiel-scientifique-et-technique-de-la-nation-faq/\" target=\"_blank\">la FAQ dédiée du SGDSN</a>.</p><p></p><p></p><h3>Le guide pour protection du potentiel scientifique et technique de la nation</h3><p>Ce guide vise à accompagner la prise en compte des besoins de protection d’informations numériques sensibles au titre de la protection du potentiel scientifique et technique de la nation.</p><p>Il présente pas à pas les étapes à suivre pour sécuriser les systèmes d’information d’une ZRR.</p><p>Vous pourrez y retrouver :</p><ul><li>Le contexte règlementaire pour les ZRR</li><li>Un rappel des règles d’hygiènes informatiques indispensables</li><li>Quelles mesures de sécurisation des systèmes d’information communes à toutes les zones à régime restrictif ?</li><li>Quelles mesures de sécurisation particulières à chaque zone à régime restrictif ?</li><li>Qu’est-ce que la politique de sécurité des systèmes d’information (PSSI) ?</li></ul><p></p><p><em>Ce guide a été élaboré sous l’impulsion du haut fonctionnaire de sécurité et de défense du ministère de l’Enseignement supérieur, de la Recherche et de l’Innovation, le présent guide a été élaboré conjointement par l’agence nationale de sécurité des systèmes d’information (ANSSI) et la direction des affaires internationales, stratégiques et technologiques du SGDSN.</em></p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Protection du potentiel scientifique et technique de la nation","nomFichier":"guide_protection_scientifique_technique_nation_anssi-pa-049_v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2018-05-17T00:00:00.000Z","thematique":"PPST","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-zrr","image":{"petite":"/documents-guides/protection-du-potentiel-scientifique-et-technique-de-la-nation/588.avif","grande":"/documents-guides/protection-du-potentiel-scientifique-et-technique-de-la-nation/origine.avif"},"documents":[{"libelle":"Protection du potentiel scientifique et technique de la nation","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_protection_scientifique_technique_nation_anssi-pa-049_v1.pdf"}]},{"id":"recommandations-pour-choisir-des-pare-feux-maitrises-dans-les-zones-exposees-internet","nom":"Recommandations pour choisir des pare-feux maîtrisés dans les zones exposées à Internet","description":"<p>Ces passerelles sécurisées mettent notamment en œuvre des dispositif de filtrage réseau communément désignés « pare-feux »ou « firewall » en anglais. Ce document donne des recommandations spécifiquement pour ces équipements et apporte des éléments de réponse aux questions suivantes :</p><ul><li>Est-il préférable d'utiliser des pare-feux de technologies différentes ?</li><li>La virtualisation des pare-feux peut-elle être envisagée ?</li><li>Doit-on mettre en œuvre des pare-feux qualifiés ou certifiés ? Dans l'affirmative, quel doit être le niveau du visa de sécurité (qualification ANSSI, certification critères communs, certification CSPN) ?</li></ul><p>Ce document est principalement destiné aux responsables de la sécurité des systèmes d’information ainsi qu'aux membres des directions informatiques intéressés par les questions d'architectures sécurisées.</p><p></p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour choisir des pare-feux maîtrisés dans les zones exposées à Internet - v1.0","nomFichier":"guide_preconisations-pare-feux-zone-exposee-internet_anssi_pa_044_v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2018-01-26T00:00:00.000Z","thematique":"Pare-feux","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-pare-feux-internet","image":{"petite":"/documents-guides/recommandations-pour-choisir-des-pare-feux-maitrises-dans-les-zones-exposees-internet/588.avif","grande":"/documents-guides/recommandations-pour-choisir-des-pare-feux-maitrises-dans-les-zones-exposees-internet/origine.avif"},"documents":[{"libelle":"Recommandations pour choisir des pare-feux maîtrisés dans les zones exposées à Internet - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_preconisations-pare-feux-zone-exposee-internet_anssi_pa_044_v1.pdf"}]},{"id":"recommandations-pour-la-mise-en-place-de-cloisonnement-systeme","nom":"Recommandations pour la mise en place de cloisonnement système","description":"<p>La fonction de sécurité de cloisonnement bénéficie d’une popularité bien moindre que celles de confidentialité et d’intégrité. Un mécanisme de cloisonnement permet de compartimenter un environnement d’exécution en plusieurs parties ne comportant pas les mêmes éléments et ne bénéficiant ni des mêmes droits ni des mêmes ressources. Intuitivement, il s’agit de découper un environnement monolithique à la manière d’un puzzle, sans impact sur le service rendu. L’avantage d’une telle démarche tient alors dans la possibilité de restreindre chaque partie de l’environnement aux actions dont elle a besoin. En d’autres termes, l’intérêt du découpage découle de l’application du principe de moindre privilège sur chaque sous-partie de l’environnement. Une fois ceci mis en œuvre, la compromission d’une sous-partie devient plus difficile car sa surface d’attaque est réduite. De plus, une corruption ne peut avoir que des conséquences limitées.</p><p>Cette démarche peut être appliquée à tout niveau, à l’échelle d’un système d’information entier comme à l’intérieur d’un processeur matériel dédié à des traitements spécifiques. Dans tous les cas, le même objectif est poursuivi : effectuer un découpage pertinent et choisir des mécanismes adaptés à la restriction des actions possibles pour chaque pièce du puzzle. Les mécanismes de cloisonnement se répartissent en trois grandes catégories qui sont complémentaires : le cloisonnement réseau, le cloisonnement cryptographique et le cloisonnement système. Seul le cloisonnement système est traité ici, bien qu’une grande majorité du document s’applique indifféremment aux trois catégories.</p><p>L’ambition de ce document est d’aborder le cloisonnement système de manière générique, en présentant son intérêt et ses objectifs. En effet, il n’existe pas de méthode universelle de mise en place du cloisonnement. Le lecteur est donc invité à s’approprier une démarche et à développer un esprit critique sur des choix de découpage et de mécanismes. Des définitions et des critères de comparaison sont proposés au fil du document.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour la mise en place de cloisonnement système - v1.0","nomFichier":"guide_cloisonnement_systeme_anssi_pg_040_v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-12-22T00:00:00.000Z","thematique":"Cloisonnement","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-cloisonnement-systeme","image":{"petite":"/documents-guides/recommandations-pour-la-mise-en-place-de-cloisonnement-systeme/588.avif","grande":"/documents-guides/recommandations-pour-la-mise-en-place-de-cloisonnement-systeme/origine.avif"},"documents":[{"libelle":"Recommandations pour la mise en place de cloisonnement système - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_cloisonnement_systeme_anssi_pg_040_v1.pdf"}]},{"id":"en-best-current-practices-acquiring-and-using-domain-names","nom":"Best current practices for acquiring and using domain names","description":"<p>Domain names enable the association of a computer resource such as an IP address to a user-friendly readable and easy-to-remember name, such as <a href=\"http://www.cyber.gouv.fr\">www.cyber.gouv.fr</a>.</p><p>Recent news showed that domain name service providers are significant risk vectors. Their compromise can lead to traffic and e-mail interception, denial of service, or even website defacement.</p><p>The stakes related to the acquisition of domain names from service providers and their usage must be fully understood by CISO and system and network architects of all entities having an Internet presence.</p><p>To answer these pitfalls, the French Network and Information Security Agency (ANSSI) publishes these guidelines: \"Best Current Practices for Acquiring and Using Domain Names\". This document provides general guidance covering both organizational and technical aspects.</p><p>Recommendations cover:</p><ul><li>contractual requirements that domain name holders should consider during the acquisition process of a domain name from a service provider, including the availability of security mechanisms (registry lock, hardened authentication procedure, etc.) and service level agreements.</li><li>guidance regarding system and network architecture for a robust and resilient deployment of authoritative name servers, including system hardening, deployment of mitigation strategies against distributed denial of service attacks, infrastructure diversification, and state-of-the-art follow-ups.</li></ul><p></p><p>ANSSI encourages Internet stakeholders to internalize these guidelines and to follow them as closely and as soon as possible.</p><p></p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Best current practices for acquiring and using domain names - v.1.3","nomFichier":"guide_dns_en_anssi_1.3.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-11-17T00:00:00.000Z","thematique":"Domain names","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-dns","image":{"petite":"/documents-guides/en-best-current-practices-acquiring-and-using-domain-names/588.avif","grande":"/documents-guides/en-best-current-practices-acquiring-and-using-domain-names/origine.avif"},"documents":[{"libelle":"Best current practices for acquiring and using domain names - v.1.3","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_dns_en_anssi_1.3.pdf"}]},{"id":"mise-en-oeuvre-des-fonctionnalites-de-securite-de-windows-10-reposant-sur-la","nom":"Mise en œuvre des fonctionnalités de sécurité de Windows 10 reposant sur la virtualisation","description":"<p>Les technologies de virtualisation permettent d'opérer un cloisonnement entre des domaines fonctionnels différents, indépendamment des multiples couches physiques et logiques sous-jacentes. Pour cela, elles s'appuient sur des mécanismes logiciels ou des technologies embarquées au niveau du matériel. Plusieurs systèmes d'exploitation peuvent ainsi être virtualisés, c'est-à-dire exécutés sur une seule machine physique tout en étant isolés les uns des autres. La virtualisation a ainsi connu un essor important ces dernières années, lié notamment au développement de nouveaux usages comme l’informatique en nuage (cloud computing) mais également à la flexibilité qu'elle apporte à l'administration des systèmes d'information.</p><p>Les technologies de virtualisation ne sont toutefois pas l'apanage de l'informatique en nuage ou des infrastructures des systèmes d'information. Elles peuvent également être utilisées sur des postes de travail afin d'y exécuter différents environnements cloisonnés entre eux. Il s'agit d'un usage notamment illustré dans le guide d'administration sécurisée des systèmes d'information de l'ANSSI. Des solutions de sécurité peuvent également tirer profit des technologies de virtualisation pour isoler certains processus, qu'ils soient sensibles et critiques ou, à l'inverse, dangereux voire assurément malveillants.</p><p>Sous Windows 10, Microsoft met à profit les technologies de virtualisation à travers des fonctionnalités de sécurité reposant sur la virtualisation (VBS, Virtualization Based Security). À la date de publication de ce guide, Microsoft a regroupé ces fonctionnalités en deux ensembles : Device Guard et Credential Guard, qui ont tous deux un objectif général d'isolation de certains processus du système d'exploitation. Ils sont décrits dans ce document de manière à expliquer leurs apports et leurs limites en matière de sécurité. Les modalités de leur mise en œuvre sur des postes de travail exécutant le système d'exploitation Windows 10 de Microsoft dans un environnement Active Directory (AD) sont également détaillées. Au préalable, une présentation de la VBS et du VSM est toutefois indispensable à la compréhension du fonctionnement des mécanismes de sécurité mis en œuvre et leurs prérequis.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Mise en œuvre des fonctionnalités de sécurité de Windows 10 reposant sur la virtualisation - v.1","nomFichier":"np_securisation_windows10_securite_reposant_sur_la_virtualisation_v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-11-10T00:00:00.000Z","thematique":"Virtualisation","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-windows10-vsm","image":{"petite":"/documents-guides/mise-en-oeuvre-des-fonctionnalites-de-securite-de-windows-10-reposant-sur-la/588.avif","grande":"/documents-guides/mise-en-oeuvre-des-fonctionnalites-de-securite-de-windows-10-reposant-sur-la/origine.avif"},"documents":[{"libelle":"Mise en œuvre des fonctionnalités de sécurité de Windows 10 reposant sur la virtualisation - v.1","url":"https://messervices.cyber.gouv.fr/documents-guides/np_securisation_windows10_securite_reposant_sur_la_virtualisation_v1.pdf"}]},{"id":"bonnes-pratiques-pour-lacquisition-et-lexploitation-de-noms-de-domaine","nom":"Bonnes pratiques pour l’acquisition et l’exploitation de noms de domaine","description":"<p>Les noms de domaine permettent d’associer à une ressource informatique telle qu’une adresse IP, un nom lisible et mémorisable par les utilisateurs, tel que : <a href=\"http://www.cyber.gouv.fr\">www.cyber.gouv.fr</a> L’actualité récente a démontré que les prestataires intervenant dans la gestion des noms de domaine sont d'importants vecteurs de risque. Leur compromission peut entraîner l’interception de trafic et de courriers électroniques, des dénis de service, ou encore des défigurations de sites Web. Les enjeux de l’acquisition des noms de domaine auprès d’un prestataire et de leur exploitation doivent être maîtrisés par les responsables de la sécurité des systèmes d’information et des architectes système et réseau ; ils concernent potentiellement toute entité ayant une présence sur Internet. Pour répondre à ces problématiques, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) publie le guide <em>Bonnes pratiques pour l’acquisition et l’exploitation de noms de domaines</em>. Ce document adopte une approche globale en offrant des recommandations organisationnelles, juridiques et techniques. Les recommandations revêtent la forme :</p><ul><li>d’exigences contractuelles que le titulaire devrait prendre en compte lors de l’acquisition des noms de domaine auprès d’un prestataire, comme la présence de fonctionnalités de sécurité (verrou, authentification, etc.) ou des garanties de niveaux de service.</li><li>de conseils d’architecture système et réseau pour l’hébergement sécurisé et résilient des serveurs DNS faisant autorité : notamment le durcissement du système, la mise en place de mesures anti-dénis de service distribués, la diversification des infrastructures et la prise en compte de l’état de l’art du protocole DNS.</li><li>de points d’attention particuliers lors de l’enregistrement d’un nom de domaine, notamment eu égard aux risques juridiques liés au droit des marques et à la propriété intellectuelle.</li></ul><p>L’ANSSI encourage les acteurs de l’Internet à s’approprier ces recommandations pour les appliquer au mieux et au plus tôt.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Bonnes pratiques pour l&#039;acquisition et l&#039;exploitation de noms de domaine - v1.3","nomFichier":"guide_dns_fr_anssi_1.3.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-11-10T00:00:00.000Z","thematique":"Noms de domaine","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-dns","image":{"petite":"/documents-guides/bonnes-pratiques-pour-lacquisition-et-lexploitation-de-noms-de-domaine/588.avif","grande":"/documents-guides/bonnes-pratiques-pour-lacquisition-et-lexploitation-de-noms-de-domaine/origine.avif"},"documents":[{"libelle":"Bonnes pratiques pour l&#039;acquisition et l&#039;exploitation de noms de domaine - v1.3","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_dns_fr_anssi_1.3.pdf"}]},{"id":"en-guideline-healthy-information-system-42-measures","nom":"Guideline for a healthy information system in 42 measures","description":"<p>This new edition has been updated as regards both new and growing technologies and practices, which must be addressed in terms of security (mobile working, separation of uses, etc.) and also the introduction of tools (indicators of a standard or strengthened level) to enlighten the reader in the appreciation of the specified measures. Although the purpose of this guide is not information security as such, applying the proposed measures maximises the security of the information system, the information cradle of your organization.</p><p></p><h3>IS security is no longer optional</h3><p>To this end, IS security stakes must come to occupy a similar level as the economic, strategic and even image concerns of decision makers. By contextualising the need, giving a reminder of the intended aim and responding to it by applying the corresponding concrete measure, this document is a roadmap which is in the interest of all organizations aware of the value of their data.</p><p></p><p></p>","langue":"EN","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guideline for a healthy information system in 42 measures - v.2","nomFichier":"guideline-for-a-healthy-information-system-in-42-measures_v2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-10-13T00:00:00.000Z","thematique":"Hygiene","besoins":["ETRE_SENSIBILISE","SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/hygiene-informatique","image":{"petite":"/documents-guides/en-guideline-healthy-information-system-42-measures/588.avif","grande":"/documents-guides/en-guideline-healthy-information-system-42-measures/origine.avif"},"documents":[{"libelle":"Guideline for a healthy information system in 42 measures - v.2","url":"https://messervices.cyber.gouv.fr/documents-guides/guideline-for-a-healthy-information-system-in-42-measures_v2.pdf"}]},{"id":"restreindre-la-collecte-de-donnees-sous-windows-10","nom":"Restreindre la collecte de données sous Windows 10","description":"<p>Mise à jour du 06 juillet 2017 : Prise en compte des différents retours et de la version \"Creators Update\" 1703.</p><p>----</p><p>À la date d'écriture de cette note et selon les informations rendues publiques par Microsoft, plusieurs données sont collectées et corrélées entre elles sous Windows 10. Les données recueillies peuvent être stockées et traitées dans tout pays dans lequel Microsoft, ses filiales ou prestataires de service sont implantés.</p><p>Les recommandations présentées dans ce document permettent de guider le lecteur dans la configuration de son système d'exploitation pour limiter les données recueillies par l'éditeur. Bien entendu, il est du ressort de chaque entité d'apprécier son propre besoin en matière de confidentialité des données, idéalement par une analyse de risques (menée par exemple avec la méthode EBIOS) dont les conclusions doivent permettre de prendre une décision au plus haut niveau.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Restreindre la collecte de données sous Windows 10 - v1.2","nomFichier":"np_securisation_windows10_collecte_de_donnees_v1.2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-07-06T00:00:00.000Z","thematique":"Windows 10","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-windows10-collecte-donnees","image":{"petite":"/documents-guides/restreindre-la-collecte-de-donnees-sous-windows-10/588.avif","grande":"/documents-guides/restreindre-la-collecte-de-donnees-sous-windows-10/origine.avif"},"documents":[{"libelle":"Restreindre la collecte de données sous Windows 10 - v1.2","url":"https://messervices.cyber.gouv.fr/documents-guides/np_securisation_windows10_collecte_de_donnees_v1.2.pdf"}]},{"id":"guide-delaboration-dune-charte-dutilisation-des-moyens-informatiques-et-des-outils","nom":"Guide d’élaboration d’une charte d’utilisation des moyens informatiques et des outils numériques","description":"<p>Les attaques informatiques n’ont de cesse de progresser en nombre, en efficacité et en complexité avec des conséquences parfois dramatiques : atteinte à l’image et à la réputation, indisponibilité des infrastructures ou encore impact financier.</p><p>La sécurité du numérique est un enjeu qui doit être partagé par l’ensemble des utilisateurs d’une organisation (salariés, partenaires, sous-traitants, etc.). La mise en œuvre d’un socle de bonnes pratiques informatiques irriguant toute l’entreprise selon un processus vertueux nécessite de passer par certaines étapes fondamentales. L’élaboration d’une charte d’utilisation des moyens informatiques et des outils numériques en fait partie.</p><p>Issu des premiers constats réalisés par <a href=\"/agence/cybersecurite/action-territoriale/\">les référents de l'ANSSI en région</a>, le \"guide d'élaboration en 8 points clés d'une charte d'utilisation\" des moyens informatiques et des outils numériques est une première réponse apportée aux PME et ETI. Ce nouveau guide mis à disposition par l’ANSSI constitue le point de départ indispensable pour la mise en place ou la réactualisation des bonnes pratiques à adopter face aux risques numériques.</p><p>S’il s’adresse avant tout aux PME et ETI, ce guide ne manquera pas également d’intéresser l’ensemble des organisations invariablement soumises aux mêmes problématiques.</p><p>Ce nouvel outil mis à la disposition des entreprises est complémentaire <a href=\"https://cyber.gouv.fr/entreprise/guide/guide-des-bonnes-pratiques-de-linformatique/\" target=\"_blank\">au guide des bonnes pratiques de l’informatique</a>, pour favoriser la prévention des incidents et attaques informatiques par l’application de réflexes simples, qui concourent à la protection globale de l’entreprise.</p><p></p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Charte d'utilisation des moyens informatiques et des outils numériques","nomFichier":"guide-charte-utilisation-moyens-informatiques-outils-numeriques_anssi.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-06-19T00:00:00.000Z","thematique":"Charte","besoins":["SECURISER","ETRE_SENSIBILISE"],"image":{"petite":"/documents-guides/guide-delaboration-dune-charte-dutilisation-des-moyens-informatiques-et-des-outils/588.avif","grande":"/documents-guides/guide-delaboration-dune-charte-dutilisation-des-moyens-informatiques-et-des-outils/origine.avif"},"documents":[{"libelle":"Charte d'utilisation des moyens informatiques et des outils numériques","url":"https://messervices.cyber.gouv.fr/documents-guides/guide-charte-utilisation-moyens-informatiques-outils-numeriques_anssi.pdf"}]},{"id":"elections-legislatives-candidats-assurez-votre-securite-numerique","nom":"Élections législatives : Candidats, assurez votre sécurité numérique !","description":"<p>L’hameçonnage (ou <em>phishing</em>) est le vol d’identités ou d’informations confidentielles (codes d’accès, coordonnées bancaires) par subterfuge : un système d’authentification est simulé par un utilisateur malveillant, qui essaie alors de convaincre des usagers de l’utiliser et de communiquer des informations confidentielles, comme s’il s’agissait d’un système légitime.</p><p><br> L’ANSSI constate une recrudescence de ces attaques qui visent sans discernement l’ensemble des acteurs politiques, économiques, de toute importance, mais également les particuliers.<br> Face à ce constat, l’agence a élaboré une fiche de prévention à destination des candidats aux législatives, qui rappelle les réflexes indispensables à adopter pour ne plus rester vulnérable face au phishing.</p><p><br><em>Vous êtes candidat aux élections législatives et recevez sur votre messagerie un courriel dont l’origine vous est inconnue. Mis en confiance par le logo officiel apposé dans la signature de l’émetteur, vous répondez favorablement à la requête de ce dernier et lui transmettez les codes d’accès à votre messagerie ainsi qu’à d’autres comptes personnels.</em></p><p><br> Que s’est-il passé ? Comment vous protéger face à ce type d’attaque ? Que faire en cas d’incident ?</p><p>Consultez la fiche « <strong>Candidats, assurez votre sécurité numérique ! »</strong></p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Élections législatives : Candidats, assurez votre sécurité numérique","nomFichier":"messagerie_phishing_fiche_anssi.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-05-24T00:00:00.000Z","thematique":"Elections","besoins":["SECURISER","ETRE_SENSIBILISE"],"image":{"petite":"/documents-guides/elections-legislatives-candidats-assurez-votre-securite-numerique/588.avif","grande":"/documents-guides/elections-legislatives-candidats-assurez-votre-securite-numerique/origine.avif"},"documents":[{"libelle":"Élections législatives : Candidats, assurez votre sécurité numérique","url":"https://messervices.cyber.gouv.fr/documents-guides/messagerie_phishing_fiche_anssi.pdf"}]},{"id":"recommandations-pour-une-utilisation-securisee-de-cryhod","nom":"Recommandations pour une utilisation sécurisée de Cryhod","description":"<p>Cryhod est un outil de chiffrement de disque édité par la société Prim'X. Il permet de protéger en confidentialité les données présentes sur un support de stockage en chiffrant l'ensemble du support ou certaines de ses partitions. Le produit protège principalement l’utilisateur contre la fuite de données issue du vol de son disque dur. Il est donc particulièrement adapté à la protection des données sur les postes nomades. Le produit peut également être employé pour augmenter le niveau de sécurité de postes de travail. Il peut aisément se déployer sur un parc informatique en environnement Active Directory, sa configuration pouvant s’effectuer par le mécanisme de GPO.</p><p>Ce document fournit des recommandations pour un déploiement et une utilisation sécurisés du produit Cryhod sous Windows 7 et Windows 10. Il vient en complément des documents fournis par Prim’X afin d’approfondir l’aspect sécurité. Il s’applique aux systèmes d’information sur lesquels Cryhod sera installé et s’adresse :</p><ul><li>aux équipes des SI qui devront mettre en place les recommandations ;</li><li>aux membres de la DSI qui participeront au déploiement du produit, à son support auprès des utilisateurs et à son administration ;</li><li>aux RSSI à qui reviennent les choix des mesures de sécurité, les modalités de leur mise en œuvre, ainsi que la gestion d’une éventuelle IGC.</li></ul><p></p><p>Cryhod est inclus dans la licence globale acquise par l'État auprès de Prim'X. Cette licence permet aux ministères, aux administrations centrales et à leurs services déconcentrés de bénéficier des trois produits de chiffrement de Prim'X (Cryhod, Zone Central et Zed!) et du support de l'éditeur.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour une utilisation sécurisée de Cryhod - v1.1","nomFichier":"np_cryhod_notetech.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-05-12T00:00:00.000Z","thematique":"CryHod","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-cryhod","image":{"petite":"/documents-guides/recommandations-pour-une-utilisation-securisee-de-cryhod/588.avif","grande":"/documents-guides/recommandations-pour-une-utilisation-securisee-de-cryhod/origine.avif"},"documents":[{"libelle":"Recommandations pour une utilisation sécurisée de Cryhod - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/np_cryhod_notetech.pdf"}]},{"id":"en-security-recommendations-tls","nom":"Security Recommendations for TLS","description":"<p>In this client–server model, the application data is encapsulated in such a way as to ensure confidentiality and integrity of the exchanges. The server is necessarily authenticated, and additional functions allow for authenticating the client when such a need has been identified.</p><p>Since the appearance of its predecessor SSL** in 1995, TLS has been adopted by many Internet stakeholders in order to secure traffic linked to websites and electronic messaging.</p><p>This is furthermore a privileged solution for protecting internal infrastructure traffic. For these reasons, the protocol and its implementations are subject to constant research. Over the years, several vulnerabilities have been discovered, motivating the development of corrections and countermeasures in order to prevent compromising exchanges.</p><p>The TLS deployment that provides the most assurance in terms of security is therefore based on the use of up-to-date software, but also on adjusting the parameters of the protocol according to the context. The explanations provided by this guide are supplemented with several recommendations aimed at reaching a level of security that is compliant with the state of the art, in particular concerning the cipher suites to be retained.</p><p><strong>This guide is also available in French : </strong> « <a href=\"https://cyber.gouv.fr/guide/recommandations-de-securite-relatives-a-tls/\"><em>Recommandations de sécurité relatives à TLS</em></a> »</p><p></p><p>*Transport Layer Security.<br> **Secure Sockets Layer.</p><p></p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Security Recommendations for TLS - v1.1","nomFichier":"security-recommendations-for-tls_v1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-02-06T00:00:00.000Z","thematique":"TLS","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-tls","image":{"petite":"/documents-guides/en-security-recommendations-tls/588.avif","grande":"/documents-guides/en-security-recommendations-tls/origine.avif"},"documents":[{"libelle":"Security Recommendations for TLS - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/security-recommendations-for-tls_v1.1.pdf"}]},{"id":"guide-dhygiene-informatique","nom":"Guide d’hygiène informatique","description":"<p>Les enjeux de sécurité numérique doivent se rapprocher des préoccupations économiques, stratégiques ou encore d’image qui sont celles des décideurs. En contextualisant le besoin, en rappelant l’objectif poursuivi et en y répondant par la mesure concrète correspondante, ce guide d’hygiène informatique est une feuille de route qui épouse les intérêts de toute entité consciente de la valeur de ses données. </p><h3>Le guide vous accompagne dans la sécurisation de votre système d’information</h3><p>Vous êtes responsable de la sécurité des systèmes d’information de votre organisation ou, plus simplement, c’est à vous que revient la responsabilité du bon fonctionnement de son informatique. Ce guide s’adresse à vous. Il vous présente les 42 mesures d’hygiène informatique essentielles pour assurer la sécurité de votre système d’information et les moyens de les mettre en œuvre, outils pratiques à l’appui. </p><h3>Renforcer la sécurité de son système d’information en 42 mesures</h3><p>Non exhaustives, ces mesures représentent cependant le socle minimum à respecter pour protéger les informations de votre organisation. Une fois ces règles partagées et appliquées, vous aurez accompli une part importante de votre mission : permettre à votre organisation d’interagir avec ses partenaires et de servir ses clients en respectant l’intégrité et la confidentialité des informations qui les concernent. </p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guide d&#039;hygiène informatique - v.2","nomFichier":"guide_hygiene_informatique_anssi.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-01-23T00:00:00.000Z","thematique":"Gestion des risques cyber","besoins":["ETRE_SENSIBILISE","SECURISER"],"lienCourt":"https://cyber.gouv.fr/hygiene-informatique","image":{"petite":"/documents-guides/guide-dhygiene-informatique/588.avif","grande":"/documents-guides/guide-dhygiene-informatique/origine.avif"},"documents":[{"libelle":"Guide d&#039;hygiène informatique - v.2","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_hygiene_informatique_anssi.pdf"}]},{"id":"mettre-en-oeuvre-une-politique-de-restrictions-logicielles-sous-windows","nom":"Mettre en œuvre une politique de restrictions logicielles sous Windows","description":"<p>Le principe d’une liste blanche procure plusieurs avantages :</p><ul><li>une meilleure protection contre les programmes malveillants : en empêchant systématiquement l’exécution des programmes non répertoriés dans la liste, on bloque également ceux susceptibles de contenir un code malveillant, que ce dernier soit connu ou non des bases de signature de l’antivirus ;</li><li>un blocage de l’installation ou de l’utilisation de logiciels indésirables, en particulier ceux qui sont susceptibles de ralentir ou de rendre instables les configurations, et qui dans tous les cas augmentent la surface d’attaque des configurations ;</li><li>un blocage de l’installation ou de l’utilisation de logiciels sans licence.</li></ul><p>Sur un système à jour de ses correctifs de sécurité et respectant le principe de séparation des privilèges, l’activation des mécanismes de restriction logicielle augmente sensiblement la maîtrise des configurations. Enfin, en règle générale, l’activation des mécanismes de restriction logicielle n’engendre pas de ralentissement sur la machine, cette mesure est totalement transparente pour l’utilisateur.</p><p>Bien que les mécanismes de restriction logicielle puissent s'appliquer sur des systèmes serveurs, c'est essentiellement sur les postes de travail utilisateurs qu'ils présentent un intérêt. Il s'agit du périmètre de déploiement abordé dans ce document.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour la mise en œuvre d'une politique de restrictions logicielles sous Windows - v2.0","nomFichier":"np_applocker_notetech-v2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-01-16T00:00:00.000Z","thematique":"Restriction logicielle","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-windows-restrictions-logicielles","image":{"petite":"/documents-guides/mettre-en-oeuvre-une-politique-de-restrictions-logicielles-sous-windows/588.avif","grande":"/documents-guides/mettre-en-oeuvre-une-politique-de-restrictions-logicielles-sous-windows/origine.avif"},"documents":[{"libelle":"Recommandations pour la mise en œuvre d'une politique de restrictions logicielles sous Windows - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/np_applocker_notetech-v2.pdf"}]},{"id":"la-tele-assistance-securisee","nom":"La télé-assistance sécurisée","description":"<p>Il en résulte un besoin prégnant d’assistance des utilisateurs de manière à solutionner les problèmes qu’ils peuvent rencontrer sur leurs postes.</p><p>Par manque de ressources humaines et parce que les technologies employées le permettent, les services informatiques y répondent dans la majorité des cas par des opérations réalisées à distance. Force est de constater que la sécurité n’est pas toujours bien appréhendée pour réaliser ce type d’interventions alors que les solutions utilisées amènent des vulnérabilités et octroient aux intervenants des droits importants.</p><p>Le document ci-dessous précise les recommandations de sécurité relative à la télé-assistance :</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité relatives à la télé-assistance - v1.1","nomFichier":"np_teleassistance_notetech_v1.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2017-01-16T00:00:00.000Z","thematique":"La télé-assistance sécurisée","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-teleassistance","image":{"petite":"/documents-guides/la-tele-assistance-securisee/588.avif","grande":"/documents-guides/la-tele-assistance-securisee/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité relatives à la télé-assistance - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/np_teleassistance_notetech_v1.1.pdf"}]},{"id":"crypto-le-webdoc","nom":"CRYPTO : LE WEBDOC’","description":"<p>À l’heure du tout numérique (ou presque), la sécurité des systèmes d’information de tout notre écosystème est garante de la confiance accordée aux technologies actuelles et à venir. Messagerie électronique, e-commerce, procédures en ligne et cartes à puce sont autant d’applications de tous les jours à travers lesquelles vous recourrez, plus ou moins consciemment, à des moyens de cryptographie, mesures de sécurité au premier rang desquelles figure le chiffrement. <a href=\"https://cyber.gouv.fr/crypto-le-webdoc/\">Découvrir le document</a></p>","langue":"FR","collections":["Cryptographie"],"listeDocuments":[],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-10-10T00:00:00.000Z","thematique":"Crypto","besoins":["SECURISER","ETRE_SENSIBILISE","SE_FORMER"],"image":{"petite":"/documents-guides/crypto-le-webdoc/588.avif","grande":"/documents-guides/crypto-le-webdoc/origine.avif"},"documents":[]},{"id":"en-best-practices-cybersecurity-board-ships","nom":"Best Practices for cybersecurity on-board ships","description":"<p>This tremendous evolution has involved the emergence of new risks, still underestimated by shipping companies: network intrusion, data theft, remote takeover of computer systems, etc.</p><h3>Protection against these threats can however be achieved most of the time through simple reflexes.</h3><p>The measures presented in this guide, accessible to non-specialists, contribute to significantly raise the level of computer security on-board ships. The first measures address the crew and, for the most part, should be applied by all its members. The following ones are rather aimed at IT systems managers. This distinction, however, depends on the distribution of roles and responsibilities regarding information systems within the company, between the ship and the headquarters.</p><p>Each company is thus invited to make these various recommendations its own and to adapt them to its context and its specific organization.</p><p></p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Best Practices for Cyber Security On-board Ships","nomFichier":"best-practices-for-cyber-security-on-board-ships_anssi.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-10-10T00:00:00.000Z","thematique":"Cybersecurity on-board ships","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-ssi-navires","image":{"petite":"/documents-guides/en-best-practices-cybersecurity-board-ships/588.avif","grande":"/documents-guides/en-best-practices-cybersecurity-board-ships/origine.avif"},"documents":[{"libelle":"Best Practices for Cyber Security On-board Ships","url":"https://messervices.cyber.gouv.fr/documents-guides/best-practices-for-cyber-security-on-board-ships_anssi.pdf"}]},{"id":"guide-des-bonnes-pratiques-de-securite-informatique-bord-des-navires","nom":"Guide des bonnes pratiques de sécurité informatique à bord des navires","description":"<p>Systèmes d’information et réseaux informatiques ont progressivement envahi le milieu maritime et sont désormais omniprésents sur les navires. Cette évolution expose chaque jour les équipages à de nouveaux risques : vol d’informations, prise de contrôle à distance de systèmes informatiques, sabotage, etc.</p><p>La prévention des incidents et attaques informatiques relève pourtant la plupart du temps de réflexes simples, qui concourent à une protection globale du navire. Le Guide des bonnes pratiques de sécurité informatique à bord des navires, dans sa version bilingue français-anglais, adapte aux spécificités du transport maritime le précédent Guide des bonnes pratiques de l’informatique (CPME – ANSSI, mars 2015).</p><p>Il est le fruit d’une coopération entre l’ANSSI et la Direction des affaires maritimes (ministère de l’Environnement, de l’Energie et de la Mer) et a bénéficié de la contribution d’une douzaine de compagnies maritimes françaises.</p><p></p><p><a href=\"https://cyber.gouv.fr/en/guide-ssi-navires\">Ce guide est également disponible en version anglaise.</a></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Bonnes pratiques de sécurité informatique à bord des navires","nomFichier":"bonnes_pratiques_securite_informatique_maritime_anssi.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-10-04T00:00:00.000Z","thematique":"Maritime","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-ssi-navires","image":{"petite":"/documents-guides/guide-des-bonnes-pratiques-de-securite-informatique-bord-des-navires/588.avif","grande":"/documents-guides/guide-des-bonnes-pratiques-de-securite-informatique-bord-des-navires/origine.avif"},"documents":[{"libelle":"Bonnes pratiques de sécurité informatique à bord des navires","url":"https://messervices.cyber.gouv.fr/documents-guides/bonnes_pratiques_securite_informatique_maritime_anssi.pdf"}]},{"id":"recommandations-et-methodologie-pour-le-nettoyage-dune-politique-de-filtrage-reseau","nom":"Recommandations et méthodologie pour le nettoyage d’une politique de filtrage réseau d’un pare-feu","description":"<p>Ce document s’incrit dans la suite logique d’une précédente publication ANSSI intitulée <a href=\"/politique-filtrage-parefeu/\">Recommandations pour la définition d’une politique de filtrage réseau d’un pare-feu</a>. Il a pour objectif de proposer un cadre permettant « d’assainir » la politique de filtrage réseau d’un pare-feu d’interconnexion dont la maîtrise ou la compréhension n’est plus garantie.</p><p>Les pare-feux ont connu des évolutions récentes importantes et sont par exemple maintenant dotés de fonctionnalités permettant l’analyse des flux au niveau applicatif. Cependant, les politiques de filtrage au niveau réseau jouent encore un rôle très important dans la sécurisation des systèmes d’information et doivent à ce titre être parfaitement maîtrisées avant de mettre en place des contrôles avancés des flux. La perte de contrôle d’une politique de filtrage d’un pare-feu d’interconnexion peut avoir différentes causes, parmi lesquelles :</p><ul><li>la complexité de la politique de filtrage, qui peut dans certains cas contenir plusieurs centaines (voire des milliers) de règles ;</li><li>l’absence de conventions précises régissant la rédaction des politiques de pare-feu (règles techniques ou organisationnelles) ;</li><li>le renouvellement trop fréquent des personnes en charge de l’exploitation des pare-feux ;</li><li>le manque de maîtrise de la cartographie des systèmes d’information.</li></ul><p>La conséquence évidente de la perte de contrôle d’une politique de filtrage d’un pare-feu est l’autorisation de flux illégitimes. La présence de ce type de flux expose davantage le système d’information à de nombreuses attaques (intrusion, vol de données, etc.). Mais cela peut également faciliter l’exploration du réseau par un utilisateur mal intentionné ou par un attaquant qui aurait déjà compromis une partie du système d’information. Enfin, maintenir une politique de filtrage la plus simple possible permet de réduire les coûts de maintenance du système d’information.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations et méthodologie pour le nettoyage d'une politique de filtrage réseau d'un pare-feu - v1.0","nomFichier":"np_nettoyage-politique-pare-feu.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-08-09T00:00:00.000Z","thematique":"Filtrage","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-nettoyage-politique-fw","image":{"petite":"/documents-guides/recommandations-et-methodologie-pour-le-nettoyage-dune-politique-de-filtrage-reseau/588.avif","grande":"/documents-guides/recommandations-et-methodologie-pour-le-nettoyage-dune-politique-de-filtrage-reseau/origine.avif"},"documents":[{"libelle":"Recommandations et méthodologie pour le nettoyage d'une politique de filtrage réseau d'un pare-feu - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/np_nettoyage-politique-pare-feu.pdf"}]},{"id":"securiser-un-environnement-dexecution-java-sous-windows","nom":"Sécuriser un environnement d’exécution Java sous Windows","description":"<p>La technologie Java, rachetée en 2009 par Oracle Corporation, reste aujourd’hui très répandue et utilisée par de nombreuses applications. Ces applications peuvent se présenter sous la forme d’appliquettes exécutées depuis des clients légers (navigateurs Web) ou bien d’applications lourdes installées sur les postes utilisateurs ou téléchargées à l’exécution par Java Web Start via JNLP.</p><p>L’exécution de ces applications nécessite l’installation préalable des environnements d’exécution Java (appelés JRE, acronyme de <em>Java Runtime Environment</em>) sur les postes utilisateurs, on trouve par conséquent ces JRE souvent déployés dans les environnements professionnels.</p><p>Comme tout composant logiciel utilisé pour la navigation Web, ces environnements d’exécution Java sont une cible privilégiée des attaquants, ils font régulièrement l’actualité informatique de par les vulnérabilités fréquentes qui les touchent ainsi que leur exploitation facile et massive.</p><p>Qui plus est, les appliquettes Java ont une obsolescence annoncée qu’il convient d’anticiper tant par les développeurs d’applications Java que par les équipes d’administration des systèmes d’information.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité relatives aux environnements d'exécution Java sur les postes de travail Microsoft Windows - v2.0","nomFichier":"np_securiser_jre_notetech.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-07-28T00:00:00.000Z","thematique":"Java","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-securite-poste-java","image":{"petite":"/documents-guides/securiser-un-environnement-dexecution-java-sous-windows/588.avif","grande":"/documents-guides/securiser-un-environnement-dexecution-java-sous-windows/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité relatives aux environnements d'exécution Java sur les postes de travail Microsoft Windows - v2.0","url":"https://messervices.cyber.gouv.fr/documents-guides/np_securiser_jre_notetech.pdf"}]},{"id":"recommandations-de-securite-pour-les-architectures-basees-sur-vmware-vsphere-esxi","nom":"Recommandations de sécurité pour les architectures basées sur VMware vSphere ESXi","description":"<p>Les technologies de virtualisation sont de plus en plus utilisées pour l’hébergement mutualisé de services dans les datacenter. La société VMware est un des principaux éditeurs de solutions de virtualisation et propose, à ce titre, une gamme de produits relativement étendue.</p><p>Seuls certains produits ont été étudiés et testés par l’ANSSI et sont décrits dans cette note technique :</p><ul><li>VMware vSphere ESXi 5.5 (ESX) ;</li><li>VMware vCenter Server 5.5 ;</li><li>VMware vSphere Client 5.5.</li></ul><p>Il convient de préciser que ces produits n’ont fait l’objet d’aucune évaluation ou certification de sécurité par l’ANSSI. L’ANSSI n’est donc pas en mesure de formuler un avis sur le niveau d’assurance sécurité des solutions VMware.</p><p>Les recommandations de sécurité mentionnées dans ce document visent à diminuer autant que possible la surface d’attaque de telles solutions.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Sécurité des architectures basées sur VMware vSphere ESXi","nomFichier":"np_vmwareesx_notetech_v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-07-12T00:00:00.000Z","thematique":"VMware vSphere ESXi","besoins":["SECURISER"],"image":{"petite":"/documents-guides/recommandations-de-securite-pour-les-architectures-basees-sur-vmware-vsphere-esxi/588.avif","grande":"/documents-guides/recommandations-de-securite-pour-les-architectures-basees-sur-vmware-vsphere-esxi/origine.avif"},"documents":[{"libelle":"Sécurité des architectures basées sur VMware vSphere ESXi","url":"https://messervices.cyber.gouv.fr/documents-guides/np_vmwareesx_notetech_v1.pdf"}]},{"id":"recommandations-pour-la-securisation-dun-commutateur-de-desserte","nom":"Recommandations pour la sécurisation d’un commutateur de desserte","description":"<p>Les commutateurs sont des équipements réseau très répandus au sein des systèmes d’information.<br> Ils distribuent une grande partie des données qui y transitent. S’ils ne doivent pas être considérés comme des équipements de sécurité, leur rôle est souvent trop négligé dans la mise en place des mesures de sécurisation du SI. Étant donnés leur positionnement et leur rôle dans le SI de l’entité (entreprise, administration, association, etc.), à la fois physiquement proche des utilisateurs pour certains et véhiculant beaucoup d’informations, ils ont potentiellement un impact important sur la sécurité et le fonctionnement du SI (déni de service, écoute du trafic réseau, intrusion dans le SI, etc.).</p><p>Il convient donc de veiller à les sécuriser du mieux possible afin de renforcer leur robustesse face à des actions malveillantes (venant du SI interne ou de l’extérieur) ou à des erreurs de configuration.</p><p>Le but de cette note est d’améliorer le niveau de sécurité des SI en accompagnant les administrateurs réseau dans leurs tâches de configuration de ces équipements. Elle n’a pas vocation à être un guide technique de configuration des commutateurs.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Sécurisation d'un commutateur de desserte","nomFichier":"nt_commutateurs.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-07-12T00:00:00.000Z","thematique":"Commutateur de desserte","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-commutateurs","image":{"petite":"/documents-guides/recommandations-pour-la-securisation-dun-commutateur-de-desserte/588.avif","grande":"/documents-guides/recommandations-pour-la-securisation-dun-commutateur-de-desserte/origine.avif"},"documents":[{"libelle":"Sécurisation d'un commutateur de desserte","url":"https://messervices.cyber.gouv.fr/documents-guides/nt_commutateurs.pdf"}]},{"id":"definition-dune-politique-de-pare-feu","nom":"Définition d’une politique de filtrage réseau d'un pare-feu","description":"<p>Cette note est indépendante de la fonction du pare-feu (accès internet, cloisonnement de datacenter, isolation d’un partenaire) ; elle fait l’abstraction des solutions techniques qui peuvent être employées (logiciel, équipement dédié) et ne tient pas compte de son mode d’administration (ligne de commande, interface web, client lourd).</p><p>Certaines des préconisations mentionnées dans ce document ne seront donc applicables que si la technologie utilisée le permet ; il appartient au lecteur d’apprécier et de déterminer si les différentes recommandations sont adaptées à son cas d’usage. Ceci dépend notamment de la famille à laquelle appartient le pare-feu.</p><p>Cette note technique s’adresse à l’ensemble des personnes qui ont la charge de définir, de mettre en œuvre ou d’administrer des architectures d’interconnexion sécurisées et qui souhaitent inscrire dans leur démarche la volonté d’assurer la pérennité des politiques de filtrage réseau appliquées sur les pare-feux<strong><em>.</em></strong></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour la définition d'une politique de filtrage réseau d'un pare-feu - v1.0","nomFichier":"NP_Politique_pare_feu_NoteTech.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-04-05T00:00:00.000Z","thematique":"Pare-feu","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-politique-filtrage-pare-feu","image":{"petite":"/documents-guides/definition-dune-politique-de-pare-feu/588.avif","grande":"/documents-guides/definition-dune-politique-de-pare-feu/origine.avif"},"documents":[{"libelle":"Recommandations pour la définition d'une politique de filtrage réseau d'un pare-feu - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_Politique_pare_feu_NoteTech.pdf"}]},{"id":"en-bgp-configuration-best-practices","nom":"BGP configuration best practices","description":"<p>It is intended first and foremost for BGP router administrators, as well as for those familiar with the BGP deployment architectures. Readers who would like information about the BGP protocol may refer to the report from the French observatory of Internet resilience.</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"BGP configuration best practices","nomFichier":"bgp-configuration-best-practices.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-03-22T00:00:00.000Z","thematique":"BGP","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-bgp","image":{"petite":"/documents-guides/en-bgp-configuration-best-practices/588.avif","grande":"/documents-guides/en-bgp-configuration-best-practices/origine.avif"},"documents":[{"libelle":"BGP configuration best practices","url":"https://messervices.cyber.gouv.fr/documents-guides/bgp-configuration-best-practices.pdf"}]},{"id":"referentiel-dexigences-de-securite-pour-les-prestataires-dintegration-et-de","nom":"Référentiel d’exigences de sécurité pour les prestataires d’intégration et de maintenance de systèmes industriels","description":"<p>Conçu par le groupe de travail sur la cybersécurité des systèmes industriels et publié à titre de recommandation, ce document s’adresse aux prestataires d'intégration et de maintenance de systèmes industriels, dans le cadre du positionnement et de l’amélioration de leurs prestations, ainsi qu’aux bénéficiaires de telles prestations de services, en particulier pour la conception de cahiers des charges adaptés.</p><p>Pour tout commentaire et retour d'expérience, merci de contacter :<br> systemes_industriels[at]ssi.gouv.fr.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Référentiel des exigences pour les prestataires d'intégration et de maintenance de systèmes industriels","nomFichier":"Referentiel_exigences_prestataires_integration_maintenance_V1_0.1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2016-03-09T00:00:00.000Z","thematique":"Systèmes industriels","besoins":["SECURISER"],"image":{"petite":"/documents-guides/referentiel-dexigences-de-securite-pour-les-prestataires-dintegration-et-de/588.avif","grande":"/documents-guides/referentiel-dexigences-de-securite-pour-les-prestataires-dintegration-et-de/origine.avif"},"documents":[{"libelle":"Référentiel des exigences pour les prestataires d'intégration et de maintenance de systèmes industriels","url":"https://messervices.cyber.gouv.fr/documents-guides/Referentiel_exigences_prestataires_integration_maintenance_V1_0.1.pdf"}]},{"id":"en-recommendations-securing-networks-ipsec","nom":"Recommendations for securing networks with IPsec","description":"<p>As these building blocks can be critical to an IT system, the data they exchange can also be highly critical. These streams include a lot of sensitive data (authentication data, confidential business information, industrial control systems commands...). The interception or alteration of such sensitive ata by potentially malicious individuals are significant risks in a context where cyber attacks are increasingly numerous and sophisticated. The protection of these sensitive data streams is, therefore, paramount.</p><p>However, this issue is not always correctly addressed, and many sensitive network data streams are not as protected as they should be. IPsec is a set of secure communication protocols aiming at protecting network data streams. This technology is field proven, but often poorly mastered, and is still hardly used or poorly employed.</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"Recommendations for securing networks with IPsec","nomFichier":"NT_IPsec_EN.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-09-04T00:00:00.000Z","thematique":"IPsec","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-ipsec","image":{"petite":"/documents-guides/en-recommendations-securing-networks-ipsec/588.avif","grande":"/documents-guides/en-recommendations-securing-networks-ipsec/origine.avif"},"documents":[{"libelle":"Recommendations for securing networks with IPsec","url":"https://messervices.cyber.gouv.fr/documents-guides/NT_IPsec_EN.pdf"}]},{"id":"en-openssh-secure-use-recommendations","nom":"(Open)SSH secure use recommendations","description":"<p>Therefore, it is critical to control its configuration, harden its installation and apply strict hygiene rules for its operation. The recommendations presented in this document cover all these different aspects.</p><p>This technical document is intended for network and system administrators and integrators who care about properly installing and administrating an infrastructure with the help of the SSH protocol and its reference implementation: OpenSSH.</p>","langue":"EN","collections":["Autre"],"listeDocuments":[{"libelle":"(Open)SSH secure use recommendations","nomFichier":"NT_OpenSSH_en.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-09-04T00:00:00.000Z","thematique":"(Open)SSH","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/en/guide-ssh","image":{"petite":"/documents-guides/en-openssh-secure-use-recommendations/588.avif","grande":"/documents-guides/en-openssh-secure-use-recommendations/origine.avif"},"documents":[{"libelle":"(Open)SSH secure use recommendations","url":"https://messervices.cyber.gouv.fr/documents-guides/NT_OpenSSH_en.pdf"}]},{"id":"recommandations-de-securite-relatives-ipsec","nom":"Recommandations de sécurité relatives à IPsec","description":"<p>Les systèmes d’information adoptent généralement aujourd’hui une architecture distribuée. Les différentes briques logicielles et matérielles qui les composent sont de plus en plus communicantes, non seulement entre elles, mais également avec des systèmes d’information distants et à travers l’Internet.</p><p>La montée en puissance de l’informatique en nuage et de l’externalisation ne font qu’accélérer cette tendance. Tout comme ces différentes briques peuvent être critiques pour un système d’information, les flux de communication entre elles peuvent l’être également. Ces flux regroupent de nombreuses informations sensibles (données d’authentification, informations métier confidentielles, commandes de pilotage d’installations industrielles, etc.). L’interception ou l’altération de ces informations par des individus potentiellement malveillants représentent des risques non négligeables dans un contexte où les cyberattaques sont de plus en plus nombreuses et sophistiquées. La protection de ces flux sensibles est alors primordiale.</p><p>Force est pourtant de constater que cette problématique n’est pas toujours bien appréhendée, et que de nombreux flux réseau sensibles ne sont pas protégés comme ils le devraient. IPsec est une suite de protocoles de communication sécurisée permettant la protection des flux réseau. Elle est éprouvée, mais souvent mal maîtrisée et reste encore trop peu ou mal employée.</p><p>Le document ci-dessous précise les recommandations relatives à un usage sécurisé d'IPSec :</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité relatives à IPsec - v1.1","nomFichier":"NT_IPsec.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-08-03T00:00:00.000Z","thematique":"IPsec","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-ipsec","image":{"petite":"/documents-guides/recommandations-de-securite-relatives-ipsec/588.avif","grande":"/documents-guides/recommandations-de-securite-relatives-ipsec/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité relatives à IPsec - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/NT_IPsec.pdf"}]},{"id":"securiser-son-ordiphone","nom":"Sécuriser son ordiphone","description":"<p>L’usage des ordiphones (smartphones) ou des tablettes est de plus en plus répandu en environnement professionnel. Ces terminaux disposent de nombreuses fonctionnalités :</p><ul><li>capteurs divers (GPS, altimètre, gyromètre, accéléromètre, microphone, caméra, etc.) ;</li><li>communication par liaison sans-fil ;</li><li>grande capacité de stockage ;</li><li>performances permettant l’usage d’applications sophistiquées.</li></ul><p>Ces terminaux permettent par exemple, en plus d’être joignable, de consulter ses courriels et de naviguer sur internet à la recherche de tout type d’information. Plus encore, ils rendent possible la connexion à un réseau d’entreprise pour travailler sur des applications métier ou accéder à des documents comme tout un chacun le ferait depuis son poste de travail professionnel. En parallèle, de nombreux usages personnels, souvent ludiques, de ces appareils sont entrés dans les mœurs.</p><p>On observe une volonté des utilisateurs de pouvoir bénéficier de toutes ces fonctionnalités, dans la sphère privée comme dans la sphère professionnelle, ce qui se traduit par une demande accrue auprès des directions de systèmes d’information de déployer les moyens nécessaires. Leur usage est toutefois problématique. En effet, les solutions de sécurisation actuelles sont peu efficaces pour assurer une protection correcte des données professionnelles.</p><p>En outre, les vulnérabilités engendrées sur les systèmes d’information de l’entreprise étant fréquemment mal appréhendées, ce document a pour objectif de sensibiliser le lecteur aux principaux risques de sécurité des terminaux mobiles et d’indiquer des recommandations de sécurité génériques à appliquer pour les limiter.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"(obsolète) Recommandations de sécurité relatives aux ordiphones - v1.2","nomFichier":"NP_Ordiphones_NoteTech_v1.2.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-07-15T00:00:00.000Z","thematique":"Ordiphone smartphone","besoins":["SECURISER","ETRE_SENSIBILISE"],"image":{"petite":"/documents-guides/securiser-son-ordiphone/588.avif","grande":"/documents-guides/securiser-son-ordiphone/origine.avif"},"documents":[{"libelle":"(obsolète) Recommandations de sécurité relatives aux ordiphones - v1.2","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_Ordiphones_NoteTech_v1.2.pdf"}]},{"id":"recommandations-de-configuration-materielle-de-postes-clients-et-serveurs-x86","nom":"Recommandations de configuration matérielle de postes clients et serveurs x86","description":"<p>Certaines de ces nouvelles fonctionnalités sont susceptibles d’engendrer des vulnérabilités du fait de défauts de spécification claire ou de problèmes d’implémentation. Si de nombreuses fonctions ajoutées au fil du temps constituent une menace au regard des vulnérabilités qu’elles peuvent engendrer, d’autres en revanche peuvent contribuer à améliorer la sécurité des systèmes d’exploitation qui les utilisent.</p><p>Ce document est constitué de deux parties :</p><ul><li>le premier chapitre traite essentiellement de mécanismes matériels présents ou prévus sur architecture x86. Certains sont accompagnés de recommandations quant à leur usage ;</li><li>le deuxième chapitre aborde des éléments de configuration qu’il convient de vérifier lors du paramétrage du BIOS d’un ordinateur.</li></ul><p>Les recommandations émises dans cette note technique, particulièrement celles associées à l’activation de fonctions matérielles, sont établies à l’état de l’art des connaissances sur leur sécurité et leurs vulnérabilités. Bien que certaines apportent une réelle plus-value en terme de durcissement sur le système, ces recommandations ne peuvent être considérées seules comme gage de fiabilité quant à leur robustesse. En effet, aucune évaluation de sécurité de ces fonctions n’a aujourd’hui été réalisée par l’ANSSI.<br> Cette note se concentre sur les fonctions de sécurité implantées au sein des processeurs et ne prétend donc pas à l’exhaustivité quant aux mécanismes de sécurité dont la mise en œuvre s’appuie sur des composants externes à ceux-ci. En particulier le TPM ainsi que les mécanismes qui l’utilisent (par exemple : Intel TXT ou le SecureBoot) ne sont pas abordés ici.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de configuration matérielle de postes clients et serveurs x86 - v1.0","nomFichier":"NP_ConfigMateriel.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-03-31T00:00:00.000Z","thematique":"x86","besoins":["SECURISER"],"image":{"petite":"/documents-guides/recommandations-de-configuration-materielle-de-postes-clients-et-serveurs-x86/588.avif","grande":"/documents-guides/recommandations-de-configuration-materielle-de-postes-clients-et-serveurs-x86/origine.avif"},"documents":[{"libelle":"Recommandations de configuration matérielle de postes clients et serveurs x86 - v1.0","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_ConfigMateriel.pdf"}]},{"id":"comprendre-et-anticiper-les-attaques-ddos","nom":"Comprendre et anticiper les attaques DDoS","description":"<p>Les attaques par déni de service distribué (<em>Distributed Denial of Service</em> ou DDoS) sont aujourd’hui fréquentes, notamment du fait de la relative simplicité de leur mise en œuvre, et de leur efficacité contre une cible non préparée. Ces attaques peuvent engendrer des pertes financières non négligeables par l’interruption de service ou encore indirectement, par l’atteinte portée à l’image de la cible. Pour cette raison, il est nécessaire d’anticiper cette menace, et de prendre un certain nombre de mesures techniques et organisationnelles afin d’y faire face. Ce document présente les attaques par déni de service distribué ainsi que la liste des éléments à prendre en compte afin de s’en protéger. Par ailleurs, le dernier chapitre du document rappelle les bonnes pratiques à mettre en œuvre afin de ne pas participer involontairement à une attaque DDoS. Ce document est principalement destiné aux responsables de la sécurité des systèmes d’information des sociétés et organismes clients d’opérateurs de transit ou de fournisseurs d’accès à Internet, et cherchant à se protéger contre les attaques DDoS.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Comprendre et anticiper les attaques DDoS","nomFichier":"NP_Guide_DDoS.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-03-20T00:00:00.000Z","thematique":"DDos","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-ddos","image":{"petite":"/documents-guides/comprendre-et-anticiper-les-attaques-ddos/588.avif","grande":"/documents-guides/comprendre-et-anticiper-les-attaques-ddos/origine.avif"},"documents":[{"libelle":"Comprendre et anticiper les attaques DDoS","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_Guide_DDoS.pdf"}]},{"id":"guide-pour-une-formation-sur-la-cybersecurite-des-systemes-industriels","nom":"Guide pour une formation sur la cybersécurité des systèmes industriels","description":"<p>Parmi les mesures de renforcement de la cybersécurité des systèmes industriels, la formation des intervenants occupe une place importante. Le groupe de travail sur la cybersécurité des systèmes industriels, piloté par l'ANSSI, a donc élaboré un guide précisant le contenu pédagogique attendu, ainsi que d'autres aspects annexes afin d'aider les organismes souhaitant délivrer de telles formations.</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Guide pour une formation sur la cybersécurité des systèmes industriels","nomFichier":"Guide_pour_une_formation_sur_la_cybersécurité_des_systèmes_industriels.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-03-05T00:00:00.000Z","thematique":"Systèmes industriels","besoins":["SECURISER"],"image":{"petite":"/documents-guides/guide-pour-une-formation-sur-la-cybersecurite-des-systemes-industriels/588.avif","grande":"/documents-guides/guide-pour-une-formation-sur-la-cybersecurite-des-systemes-industriels/origine.avif"},"documents":[{"libelle":"Guide pour une formation sur la cybersécurité des systèmes industriels","url":"https://messervices.cyber.gouv.fr/documents-guides/Guide_pour_une_formation_sur_la_cybersécurité_des_systèmes_industriels.pdf"}]},{"id":"profils-de-protection-pour-les-systemes-industriels","nom":"Profils de protection pour les systèmes industriels","description":"<p>Dans le cadre de ses travaux, le groupe de travail sur la cybersécurité des systèmes industriels (GTCSI), sous l’égide de l’ANSSI, a produit des profils de protection pour l’équipements et logiciels les plus courants dans les systèmes industriels.</p><p>Ces profils de protection visent à fournir une référence pour l’élaboration de cibles de sécurité pour de tels équipements, en vue de l’obtention d’une Certification de Sécurité de Premier Niveau (CSPN).</p><p><strong>Le profil de protection à court terme</strong> correspond à un niveau de sécurité strictement minimal que l’on peut exiger dès à présent dans les équipements.</p><p><strong>Le profil de protection à moyen terme</strong> correspond à un objectif de sécurité plus ambitieux, permettant notamment de mettre en œuvre les recommandations émises par le GTCSI dans son guide de mesures détaillé, publié en janvier 2014. Ces profils peuvent être utilisés pour guider les équipementiers et éditeurs afin que leurs produits atteignent le niveau de sécurité requis par ces profils dans les cinq années à venir.</p><p>À ce stade, des profils de protection sont fournis pour les équipements suivants :</p><ul><li>automate programme industriel ;</li><li>système de contrôle d'accès physique ;</li><li>borne sans-fil ;</li><li>commutateur ;</li><li>diode ;</li><li>pare-feu ;</li><li>passerelle VPN.</li></ul><p>et les logiciels suivants :</p><ul><li>serveur d’historique ;</li><li>server MES ;</li><li>serveur SCADA ;</li><li>client SCADA ;</li><li>logiciel d’ingénierie.</li></ul><p></p><p>Cette liste sera complétée ultérieurement par des profils complémentaires, portant sur d’autres équipements et logiciels.</p><p>NB :<br> Des versions RTF des profils de protection sont à disposition des équipementiers et éditeurs devant élaborer des cibles de sécurité pour leurs produits. La référence reste le fichier au format PDF.<br> Voir ci-dessous les archives ZIP « Modèle de profils de protection moyen terme » et « Modèle de profils de protection court terme ».</p>","langue":"FR","collections":["Systèmes industriels"],"listeDocuments":[{"libelle":"Modèle de profils de protection court terme","nomFichier":"PP_composants-industriels_court-terme_modele.zip"},{"libelle":"Modèle de profils de protection moyen terme","nomFichier":"PP_composants-industriels_moyen-terme_modele.zip"},{"libelle":"Automate court terme v1.2-fr","nomFichier":"20230614_np_anssi_sde_automate_court_terme_v1-2-fr.pdf"},{"libelle":"Automate moyen terme v1.2-fr","nomFichier":"20230613_np_anssi_sde_automate_moyen_terme_v1-2-fr.pdf"},{"libelle":"PLC short term v1.1-en","nomFichier":"20150713_NP_ANSSI_SDE_plc_short_term_v1.1-en.pdf"},{"libelle":"PLc mid term v1.1-en","nomFichier":"20150713_NP_ANSSI_SDE_plc_mid_term_v1.1-en.pdf"},{"libelle":"Commutateur court terme v1.1-fr","nomFichier":"20220117_np_anssi_sde_commutateur_court_terme_v1-1-fr.pdf"},{"libelle":"Commutateur moyen terme v1.1-fr","nomFichier":"20220117_np_anssi_sde_commutateur_moyen_terme_v1-1-fr.pdf"},{"libelle":"Diode court terme v1.0-fr","nomFichier":"20151005_NP_ANSSI_SDE_4067_PJ1_diode_court_terme_PJ1.vfp_.pdf"},{"libelle":"Diode moyen terme v1.0-fr","nomFichier":"20151005_NP_ANSSI_SDE_4067_PJ2_diode_moyen_terme_PJ2.vfp_.pdf"},{"libelle":"Pare-feu court terme v1.1-fr","nomFichier":"20220117_np_anssi_sde_pare_feu_court_terme_v1-1-fr.pdf"},{"libelle":"Pare-feu moyen terme v1.1-fr","nomFichier":"20220117_np_anssi_sde_pare_feu_moyen_terme_v1-1-fr.pdf"},{"libelle":"Firewall short term v1.0-en","nomFichier":"20150713_NP_ANSSI_SDE_firewall_short_term_v1.0-en.pdf"},{"libelle":"Firewall mid term v1.0-en","nomFichier":"20150713_NP_ANSSI_SDE_firewall_mid_term_v1.0-en.pdf"},{"libelle":"VPN court terme v1.0-fr","nomFichier":"20150713_NP_ANSSI_SDE_vpn_court_terme_v1.0-fr.pdf"},{"libelle":"VPN moyen terme v1.0-fr","nomFichier":"20150713_NP_ANSSI_SDE_vpn_moyen_terme_v1.0-fr.pdf"},{"libelle":"VPN short term v1.0-en","nomFichier":"20150713_NP_ANSSI_SDE_vpn_short_term_v1.0-en.pdf"},{"libelle":"VPN mid term v1.0-en","nomFichier":"20150713_NP_ANSSI_SDE_vpn_mid_term_v1.0-en.pdf"},{"libelle":"Système de contrôle d&#039;accès physique v1.1-fr","nomFichier":"Système de contrôle d_accès physique v1-1-fr.pdf"},{"libelle":"Vidéo IP Caméra v1-0-fr.pdf","nomFichier":"Vidéo IP Caméra v1-0-fr.pdf"},{"libelle":"Vidéo IP VMS v1-0-fr.pdf","nomFichier":"Vidéo IP VMS v1-0-fr.pdf"},{"libelle":"Serveur SCADA moyen terme v-1.1-fr","nomFichier":"20241001_NP_ANSSI_SDE_serveur_scada_moyen_terme_v1-1-fr.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2015-03-03T00:00:00.000Z","thematique":"PP","besoins":["SECURISER"],"image":{"petite":"/documents-guides/profils-de-protection-pour-les-systemes-industriels/588.avif","grande":"/documents-guides/profils-de-protection-pour-les-systemes-industriels/origine.avif"},"documents":[{"libelle":"Modèle de profils de protection court terme","url":"https://messervices.cyber.gouv.fr/documents-guides/PP_composants-industriels_court-terme_modele.zip"},{"libelle":"Modèle de profils de protection moyen terme","url":"https://messervices.cyber.gouv.fr/documents-guides/PP_composants-industriels_moyen-terme_modele.zip"},{"libelle":"Automate court terme v1.2-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20230614_np_anssi_sde_automate_court_terme_v1-2-fr.pdf"},{"libelle":"Automate moyen terme v1.2-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20230613_np_anssi_sde_automate_moyen_terme_v1-2-fr.pdf"},{"libelle":"PLC short term v1.1-en","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_plc_short_term_v1.1-en.pdf"},{"libelle":"PLc mid term v1.1-en","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_plc_mid_term_v1.1-en.pdf"},{"libelle":"Commutateur court terme v1.1-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20220117_np_anssi_sde_commutateur_court_terme_v1-1-fr.pdf"},{"libelle":"Commutateur moyen terme v1.1-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20220117_np_anssi_sde_commutateur_moyen_terme_v1-1-fr.pdf"},{"libelle":"Diode court terme v1.0-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20151005_NP_ANSSI_SDE_4067_PJ1_diode_court_terme_PJ1.vfp_.pdf"},{"libelle":"Diode moyen terme v1.0-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20151005_NP_ANSSI_SDE_4067_PJ2_diode_moyen_terme_PJ2.vfp_.pdf"},{"libelle":"Pare-feu court terme v1.1-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20220117_np_anssi_sde_pare_feu_court_terme_v1-1-fr.pdf"},{"libelle":"Pare-feu moyen terme v1.1-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20220117_np_anssi_sde_pare_feu_moyen_terme_v1-1-fr.pdf"},{"libelle":"Firewall short term v1.0-en","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_firewall_short_term_v1.0-en.pdf"},{"libelle":"Firewall mid term v1.0-en","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_firewall_mid_term_v1.0-en.pdf"},{"libelle":"VPN court terme v1.0-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_vpn_court_terme_v1.0-fr.pdf"},{"libelle":"VPN moyen terme v1.0-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_vpn_moyen_terme_v1.0-fr.pdf"},{"libelle":"VPN short term v1.0-en","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_vpn_short_term_v1.0-en.pdf"},{"libelle":"VPN mid term v1.0-en","url":"https://messervices.cyber.gouv.fr/documents-guides/20150713_NP_ANSSI_SDE_vpn_mid_term_v1.0-en.pdf"},{"libelle":"Système de contrôle d&#039;accès physique v1.1-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/Système de contrôle d_accès physique v1-1-fr.pdf"},{"libelle":"Vidéo IP Caméra v1-0-fr.pdf","url":"https://messervices.cyber.gouv.fr/documents-guides/Vidéo IP Caméra v1-0-fr.pdf"},{"libelle":"Vidéo IP VMS v1-0-fr.pdf","url":"https://messervices.cyber.gouv.fr/documents-guides/Vidéo IP VMS v1-0-fr.pdf"},{"libelle":"Serveur SCADA moyen terme v-1.1-fr","url":"https://messervices.cyber.gouv.fr/documents-guides/20241001_NP_ANSSI_SDE_serveur_scada_moyen_terme_v1-1-fr.pdf"}]},{"id":"achat-de-produits-de-securite-et-de-services-de-confiance-qualifies-dans-le-cadre-du","nom":"Achat de produits de sécurité et de services de confiance qualifiés dans le cadre du RGS","description":"<p>Le Référentiel général de sécurité (RGS) comporte un ensemble de règles en matière de sécurité des systèmes d’information qui s'imposent aux autorités administratives. Ces règles portent notamment sur les produits et les prestataires auxquels ces autorités recourent pour protéger leurs systèmes d’information.</p><p>Le <em>Guide d’achat de produits de sécurité et de services de confiance qualifiés dans le cadre du RGS</em> facilite la mise en conformité des administrations avec le Référentiel général de sécurité : il présente, au regard du code des marchés publics, la méthodologie relative à l’achat de produits de sécurité (chiffreurs, cartes à puces, pare-feux, infrastructures de gestion de clés, etc. ) et de services de confiance (prestataires de service de certification électronique, prestataires d’audit, en particulier) ayant eux-mêmes fait l’objet d’une qualification.</p><p>Le guide a été élaboré par l’ANSSI, en concertation avec le service des achats de l’État (SAE) et la direction des affaires juridiques (DAJ) des ministères économiques et financiers.</p><p>Il comporte :</p><ul><li>un rappel de la réglementation relative aux produits de sécurité et aux prestations de services de confiance ;</li><li>des éléments de méthode afin de faciliter l’acquisition, dans le respect du code des marchés publics, de produits et de services conformes au RGS.</li></ul><p>Le <em>Guide d’achat de produits de sécurité et de services de confiance qualifiés dans le cadre du RGS</em> s’adresse d’abord à l’ensemble des responsables chargés de l’achat de produits ou de prestations liés à la sécurité des systèmes d’information pour les autorités administratives.</p><p>L’ANSSI encourage toutes les personnes concernées à s’approprier au plus tôt les recommandations présentées dans ce guide.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Achat de produits de sécurité et de services de confiance qualifiés","nomFichier":"guide_achat_produits-securite-services-confiance-qualifies_anssi.pdf"}],"nomsAnciensDocuments":["generique_cyber_secu.jpg"],"dateMiseAJour":"2015-02-12T00:00:00.000Z","thematique":"RGS","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/achat-rgs","image":{"petite":"/documents-guides/achat-de-produits-de-securite-et-de-services-de-confiance-qualifies-dans-le-cadre-du/588.avif","grande":"/documents-guides/achat-de-produits-de-securite-et-de-services-de-confiance-qualifies-dans-le-cadre-du/origine.avif"},"documents":[{"libelle":"Achat de produits de sécurité et de services de confiance qualifiés","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_achat_produits-securite-services-confiance-qualifies_anssi.pdf"}]},{"id":"recommandations-de-securite-concernant-lanalyse-des-flux-https","nom":"Recommandations de sécurité concernant l’analyse des flux HTTPS","description":"<p>Le protocole HTTPS correspond à la déclinaison sécurisée de HTTP encapsulé à l’aide d’un protocole de niveau inférieur nommé TLS <em>(Transport Layer Security)</em> - anciennement SSL <em>(Secure Socket Layer)</em>. Ce protocole est conçu pour protéger en confidentialité et en intégrité des communications de bout en bout (entre un client et un serveur). Il apporte également des fonctions d’authentification du serveur, mais aussi optionnellement du client.</p><p>La protection de bout en bout qu’apporte TLS est a priori incompatible avec d’autres exigences de sécurité complémentaires visant à inspecter le contenu des échanges. L’analyse d’un contenu (web par exemple) sécurisé à l’aide de TLS, peut toutefois se justifier afin de s’assurer que les données provenant d’un réseau non maîtrisé (Internet par exemple) ne représentent pas une menace pour le système d’information interne. Les architectures visant à déchiffrer les flux TLS, pour permettre leur analyse, « tordent » donc le modèle pour lequel ce protocole est conçu.</p><p>Pour pouvoir mettre en œuvre le déchiffrement de flux TLS de façon maîtrisée, il est nécessaire de disposer, entre autres, d’un niveau de connaissance suffisant dans les deux domaines spécifiques et évolutifs que sont les IGC <em>([Infrastructure de Gestion de Clés)</em>] et la cryptographie. Quel que soit le contexte, la mise en place de mécanismes de déchiffrement HTTPS présente des risques dans la mesure où cette opération entraîne la rupture d’un canal sécurisé et expose des données en clair au niveau de l’équipement en charge de l’opération. Lorsqu’un tel déchiffrement est nécessaire, sa mise en œuvre doit s’accompagner de beaucoup de précautions et se faire uniquement après validation de la direction des systèmes d’information voire d’une autorité de niveau supérieur.</p><p>Cette note présente donc les recommandations d’ordre technique à suivre lorsque l’analyse des flux HTTPS échangés entre un système d’information maîtrisé et des réseaux externes est indispensable. Deux scénarios sont présentés. Le premier, en théorie plus rare, détaille le cas où les flux HTTPS sont déchiffrés après avoir été initiés par des clients présents sur le système d’information en direction des sites web externes. Le second, plus fréquent, présente le cas où des clients externes souhaitent se connecter à l’aide du protocole HTTPS à des sites web hébergés au sein d’un système d’information maîtrisé. Ce document n’a pas pour objectif de décrire à nouveau en détail le fonctionnement du protocole TLS. Le guide de l’ANSSI « <a href=\"https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-tls\"><em>Recommandations de sécurité relatives à TLS</em></a> » présente ce protocole et les problématiques associées. Par contre, certains aspects juridiques relatifs au déchiffrement de flux HTTPS sont abordés à la fin de ce document.</p><p></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité concernant l'analyse des flux HTTPS - v1.1","nomFichier":"NP_TLS_NoteTech.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2014-10-02T00:00:00.000Z","thematique":"Flux HTTPS","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-analyse-https","image":{"petite":"/documents-guides/recommandations-de-securite-concernant-lanalyse-des-flux-https/588.avif","grande":"/documents-guides/recommandations-de-securite-concernant-lanalyse-des-flux-https/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité concernant l'analyse des flux HTTPS - v1.1","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_TLS_NoteTech.pdf"}]},{"id":"recommandations-de-securite-relatives-active-directory","nom":"Recommandations de sécurité relatives à Active Directory","description":"<p>AD est un annuaire introduit par Windows 2000 Server. Son implémentation permet de centraliser des informations relatives aux utilisateurs et aux ressources d’une entreprise en fournissant des mécanismes d’identification et d’authentification tout en sécurisant l’accès aux données.</p><p>La diversité des informations qu’un annuaire AD contient et le rôle central qu’il occupe dans le système d’information ont induit la création d’un véritable écosystème applicatif pour l’administrer, le maintenir et le surveiller. Il est important de souligner qu’un annuaire Active Directory contient des secrets des utilisateurs, comme, par exemple, leurs informations d’identification. De fait, il constitue une cible privilégiée pour une personne malveillante.</p><p>En effet, s’il dispose des droits d’administration du domaine, un attaquant est libre de mener toutes les opérations souhaitées telles que l’exfiltration de données ou le sabotage. La compromission d’un seul compte avec des droits privilégiés peut ainsi faire perdre la maîtrise totale du système d’information. Par conséquent, il est primordial de maîtriser et de bien sécuriser son annuaire AD.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"(obsolète) Recommandations de sécurité relatives à Active Directory","nomFichier":"NP_ActiveDirectory_NoteTech.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2014-08-29T00:00:00.000Z","thematique":"Active Directory","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/publications/recommandations-de-securite-relatives-active-directory","image":{"petite":"/documents-guides/recommandations-de-securite-relatives-active-directory/588.avif","grande":"/documents-guides/recommandations-de-securite-relatives-active-directory/origine.avif"},"documents":[{"libelle":"(obsolète) Recommandations de sécurité relatives à Active Directory","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_ActiveDirectory_NoteTech.pdf"}]},{"id":"usage-securise-dopenssh","nom":"Usage sécurisé d’(Open)SSH","description":"<p>Il est donc vital d’en maîtriser sa configuration, de durcir son installation et d’appliquer des règles d’hygiène strictes pour son exploitation. Tout cela se traduit par les recommandations présentées dans ce document.</p><p>Cette note technique s’adresse aux intégrateurs et administrateurs système et réseaux, soucieux d’installer et d’administrer correctement un parc grâce au protocole SSH et à son implémentation de référence : OpenSSH.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations pour un usage sécurisé d'(Open)SSH - v1.3","nomFichier":"NT_OpenSSH.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2014-01-23T00:00:00.000Z","thematique":"(Open)SSH","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-ssh","image":{"petite":"/documents-guides/usage-securise-dopenssh/588.avif","grande":"/documents-guides/usage-securise-dopenssh/origine.avif"},"documents":[{"libelle":"Recommandations pour un usage sécurisé d'(Open)SSH - v1.3","url":"https://messervices.cyber.gouv.fr/documents-guides/NT_OpenSSH.pdf"}]},{"id":"securiser-une-architecture-de-telephonie-sur-ip","nom":"Sécuriser une architecture de téléphonie sur IP","description":"<p>La mise en place de ce type de technologie au sein d’une entreprise ou d’une administration implique des modifications profondes du système d’information (remplacement des PABX, installation de serveurs applicatifs, changement des postes téléphoniques, câblage, etc.), et doit à ce titre être conduite comme un projet à part entière.</p><p>L’utilisation de la ToIP a souvent pour objectif d’apporter des gains en termes de coûts, de souplesse de déploiement et de fonctionnalités offertes aux usagers. La ToIP reposant sur une infrastructure IP, elle rapproche deux types de réseaux historiquement disjoints : les réseaux de données et les réseaux de téléphonie. Ce rapprochement accroît les risques auxquels sont exposés les services de téléphonie (fraude, écoute, intrusion, usurpation d’identité, etc.).</p><p>Ce document a pour objectifs de présenter ces risques ainsi que les mesures de sécurisation qui doivent accompagner la mise en œuvre d’une infrastructure de téléphonie sur IP. Il s’adresse à un public très large, mais il n’a pas pour but de présenter en détail le fonctionnement de la téléphonie sur IP. Il suppose que le lecteur dispose de connaissances minimales sur le sujet pour comprendre les recommandations de sécurité présentées. La responsabilité de la mise en œuvre des recommandations proposées dans ce document incombe au lecteur. Il pourra s’appuyer sur la politique de sécurité du système d’information existante et sur les résultats d’une analyse de risques pour déterminer les recommandations les plus pertinentes dans le contexte auquel il est soumis. Des tests pourront aussi être réalisés afin d’apprécier l’impact lié à la mise en œuvre de ces recommandations. Étant donnée la nature évolutive des systèmes d’information et des menaces portant sur ceux-ci, ce document présente un savoir-faire à un instant donné et a pour ambition d’être régulièrement amélioré et complété.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Sécuriser une architecture de téléphonie sur IP","nomFichier":"NP_securiser_ToIP_NoteTech-v1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2014-01-21T00:00:00.000Z","thematique":"Téléphonie sur IP","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-archi-toip","image":{"petite":"/documents-guides/securiser-une-architecture-de-telephonie-sur-ip/588.avif","grande":"/documents-guides/securiser-une-architecture-de-telephonie-sur-ip/origine.avif"},"documents":[{"libelle":"Sécuriser une architecture de téléphonie sur IP","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_securiser_ToIP_NoteTech-v1.pdf"}]},{"id":"le-guide-des-bonnes-pratiques-de-configuration-de-bgp","nom":"Le guide des bonnes pratiques de configuration de BGP","description":"<p>Les travaux de l’observatoire de la résilience de l’Internet français ont conduit l’ANSSI et les opérateurs de communication partenaires l’Association Kazar, France-IX, Jaguar Network, Neo Telecoms, Orange, RENATER et SFR à concevoir une définition des bonnes pratiques d’interconnexion entre opérateurs (interconnexion BGP).</p><p>En effet, la façon dont sont configurés les équipements qui assurent les échanges entre opérateurs conditionne aussi les capacités de détection ou de prévention des erreurs. Cela signifie donc qu’elle contribue à la résilience de l’Internet.</p><p>Le guide propose des exemples concrets de configuration correspondant aux bonnes pratiques à développer pour les principaux équipements du commerce.</p><p>L’ANSSI encourage les acteurs de l’Internet à s’approprier ces recommandations pour les appliquer dès que cela est envisageable<strong><em>.</em></strong></p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Bonnes pratiques de configuration de BGP","nomFichier":"guide_configuration_BGP.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2013-10-01T00:00:00.000Z","thematique":"BGP","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-bgp","image":{"petite":"/documents-guides/le-guide-des-bonnes-pratiques-de-configuration-de-bgp/588.avif","grande":"/documents-guides/le-guide-des-bonnes-pratiques-de-configuration-de-bgp/origine.avif"},"documents":[{"libelle":"Bonnes pratiques de configuration de BGP","url":"https://messervices.cyber.gouv.fr/documents-guides/guide_configuration_BGP.pdf"}]},{"id":"securiser-les-acces-wi-fi","nom":"Sécuriser les accès Wi-Fi","description":"<p>Le développement des objets communicants et leur usage quotidien sont aujourd’hui à l’origine de l’omniprésence des réseaux sans-fil Wi-Fi, tant chez les particuliers que dans le monde professionnel.</p><p>Ces réseaux permettent de connecter tout type de matériel (ordinateurs portables, téléphones mobiles, consoles de jeux, télévisions, équipements électroménagers, automates industriels, etc.) à des réseaux privés ainsi qu’au réseau public Internet. Le Wi-Fi est largement utilisé au sein des réseaux domestiques (par les modems routeurs Internet et autres « Box »), mais également dans le monde professionnel pour la commodité d’accès au réseau interne de l’entreprise, ainsi que pour s’épargner le coût d’une infrastructure filaire.</p><p>Ces réseaux Wi-Fi sont toutefois souvent vulnérables, et utilisables par des personnes malveillantes afin d’intercepter des données sensibles (informations personnelles, codes de cartes de paiement, données entreprise, etc.). Début 2013, près de la moitié des réseaux Wi-Fi n’utilisent aucun moyen de chiffrement ou utilisent un moyen de chiffrement obsolète. Force est de constater que la problématique de sécurisation des réseaux sans-fil n’est pas toujours bien appréhendée et que les risques encourus restent souvent méconnus. Pourtant, quel que soit l’usage envisagé, et si l’équipement utilisé n’est pas trop ancien, il est souvent possible de procéder assez simplement à un paramétrage robuste et sécurisé d’une borne Wi-Fi.</p><p>Le particulier non averti trouvera dans ce document des recommandations simples à appliquer pour la mise en place d’un réseau Wi-Fi personnel, tandis que l’administrateur réseau en entreprise y trouvera des informations et recommandations complémentaires applicables à un système d’information.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Recommandations de sécurité relatives aux réseaux Wi-Fi - v1.2","nomFichier":"NP_WIFI_NoteTech.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2013-04-03T00:00:00.000Z","thematique":"Wi-Fi","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-wifi","image":{"petite":"/documents-guides/securiser-les-acces-wi-fi/588.avif","grande":"/documents-guides/securiser-les-acces-wi-fi/origine.avif"},"documents":[{"libelle":"Recommandations de sécurité relatives aux réseaux Wi-Fi - v1.2","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_WIFI_NoteTech.pdf"}]},{"id":"securite-des-systemes-de-virtualisation","nom":"Sécurité des systèmes de virtualisation","description":"<p>Virtualiser un ensemble de serveurs est devenu aujourd’hui relativement aisé, et de nombreuses entreprises ont choisi de « virtualiser » leurs serveurs pour faire des économies de place, d’énergie et de budget. Mais les risques associés à l’utilisation de ces nouvelles technologies sont-ils systématiquement pris en compte ? Les conséquences de la virtualisation sont-elles correctement comprises et acceptées ?</p><p>L’objet de ce document est de présenter ces risques et les principaux moyens de s’en prémunir.<br> Des points de contrôle, listés à la fin de ce document, permettent d’apprécier le niveau de sécurité d’un système informatique virtualisé. Il conviendra de se référer aux chapitres précédents pour plus de détail sur chacun de ces points.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Problématiques de sécurité associées à la virtualisation des systèmes d'information","nomFichier":"NP_Virtualisation_NoteTech_v1-1.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2012-07-13T00:00:00.000Z","thematique":"Virtualisation","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/virtualisation","image":{"petite":"/documents-guides/securite-des-systemes-de-virtualisation/588.avif","grande":"/documents-guides/securite-des-systemes-de-virtualisation/origine.avif"},"documents":[{"libelle":"Problématiques de sécurité associées à la virtualisation des systèmes d'information","url":"https://messervices.cyber.gouv.fr/documents-guides/NP_Virtualisation_NoteTech_v1-1.pdf"}]},{"id":"externalisation-et-securite-des-systemes-dinformation-un-guide-pour-maitriser-les","nom":"Externalisation et sécurité des systèmes d’information : un guide pour maîtriser les risques","description":"<p>Les entreprises et les administrations peuvent choisir de confier à un tiers tout ou partie d’une activité qui pourrait être réalisée en interne. Dans le domaine des systèmes d’information (SI), cette externalisation est appelée infogérance.<br> Ces prestations peuvent induire, en fonction du contexte dans lequel elles sont réalisées, des risques pour le système d’information comme pour les données (intégrité, disponibilité, confidentialité).</p><p>On identifie trois grands domaines de risques (plus d’informations à l’intérieur) :</p><ul><li>la perte de maîtrise du système d’information ;</li><li>les interventions à distance ;</li><li>l’hébergement mutualisé.</li></ul><p>Pour autant, externalisation et sécurité des systèmes d’information ne doivent pas être opposées, et le recours à un prestataire est même souhaitable lorsque les compétences en interne sont absentes ou insuffisantes.<br> Le guide propose une démarche pour apprécier les risques et fixer les exigences qu’appelle votre contexte, afin de garantir la sécurité de votre système d’information et des données qu’il traite. Il s’appuie pour cela sur le plan d’assurance sécurité et fournit des clauses types permettant d’obtenir du prestataire des engagements contractuels.</p>","langue":"FR","collections":["Gestion des risques cyber"],"listeDocuments":[{"libelle":"Guide de l&#039;externalisation","nomFichier":"2010-12-03_Guide_externalisation.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2010-12-03T00:00:00.000Z","thematique":"Externalisation","besoins":["SECURISER"],"lienCourt":"https://cyber.gouv.fr/guide-externalisation","image":{"petite":"/documents-guides/externalisation-et-securite-des-systemes-dinformation-un-guide-pour-maitriser-les/588.avif","grande":"/documents-guides/externalisation-et-securite-des-systemes-dinformation-un-guide-pour-maitriser-les/origine.avif"},"documents":[{"libelle":"Guide de l&#039;externalisation","url":"https://messervices.cyber.gouv.fr/documents-guides/2010-12-03_Guide_externalisation.pdf"}]},{"id":"tdbssi-guide-delaboration-de-tableaux-de-bord-de-securite-des-systemes-dinformation","nom":"TDBSSI — Guide d’élaboration de tableaux de bord de sécurité des systèmes d’information","description":"<p>Bien que publié en 2009, le guide d’élaboration de tableaux de bord de sécurité des systèmes d’information conserve sa pertinence. Il offre un panorama des dimensions techniques ou fonctionnelles (couverture des risques, qualité de la politique de sécurité, suivi des audits, des actions et des alertes…).</p><p>Un TDBSSI constitue en effet un outil de synthèse et de visualisation indispensable pour suivre toutes les actions liées à la SSI. Il contribue à contrôler que la stratégie définie dans la politique de sécurité est mise en œuvre par les niveaux de pilotage et opérationnel, et à la remontée d’informations pertinentes jusqu’aux décideurs.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Méthodologie","nomFichier":"tdbssi-section1-methodologie-2004-02-05.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2009-07-09T00:00:00.000Z","thematique":"TDBSSI","besoins":["SECURISER"],"image":{"petite":"/documents-guides/tdbssi-guide-delaboration-de-tableaux-de-bord-de-securite-des-systemes-dinformation/588.avif","grande":"/documents-guides/tdbssi-guide-delaboration-de-tableaux-de-bord-de-securite-des-systemes-dinformation/origine.avif"},"documents":[{"libelle":"Méthodologie","url":"https://messervices.cyber.gouv.fr/documents-guides/tdbssi-section1-methodologie-2004-02-05.pdf"}]},{"id":"guide-relatif-la-maturite-ssi","nom":"Guide relatif à la maturité SSI","description":"<p>Elle permet également de mesurer l’écart avec la situation actuelle (niveau effectif des processus SSI) et d’élaborer un plan d’action pour le combler.</p><p>À l’aide de questionnements pragmatiques, le présent guide a pour objectifs de déterminer rapidement les enjeux liés au système d’information de l’organisme, de mesurer l’écart entre ce qui devrait être fait et ce qui est fait, et d’expliquer les actions à mettre en œuvre pour gérer la SSI de manière adéquate.</p><p>L’approche s’inspire de l’ISO 21827. Cette norme définit des niveaux de maturité, dits « cumulatifs », de la gestion de la SSI.</p><p>Bien que publié en 2009, ce guide conserve sa pertinence.</p>","langue":"FR","collections":["Autre"],"listeDocuments":[{"libelle":"Approche méthodologique","nomFichier":"maturitessi-methode-2007-11-02.pdf"}],"nomsAnciensDocuments":[],"dateMiseAJour":"2009-07-09T00:00:00.000Z","thematique":"Maturité SSI","besoins":["SECURISER"],"image":{"petite":"/documents-guides/guide-relatif-la-maturite-ssi/588.avif","grande":"/documents-guides/guide-relatif-la-maturite-ssi/origine.avif"},"documents":[{"libelle":"Approche méthodologique","url":"https://messervices.cyber.gouv.fr/documents-guides/maturitessi-methode-2007-11-02.pdf"}]}]