Recommandations pour les architectures des systèmes d'information sensibles ou Diffusion Restreinte
L'instruction interministérielle n° 901/SGDSN/ANSSI (II 901) du 28 janvier 2015 définit les objectifs et les mesures de sécurité minimales relatifs à la protection des informations sensibles, notamment celles relevant du niveau Diffusion Restreinte (DR). Le présent guide donne des recommandations pour la conception de l'architecture des systèmes d'information (SI) qui hébergent des informations sensibles ou DR. De manière générale, il apporte des conseils techniques pour la mise en pratique de l'II 901.
L'II 901 s'applique :
- aux administrations de l'État1 qui mettent en oeuvre des systèmes d'information sensibles ;
- aux entités publiques ou privées soumises à la réglementation relative à la protection du potentiel scientifique et technique de la nation (PPST) qui mettent en oeuvre des systèmes d'information sensibles ;
- à toute autre entité publique ou privée qui met en oeuvre des systèmes d'information Diffusion Restreinte.
Les recommandations du présent guide sont destinées en premier lieu à ces différentes entités, pour lesquelles l'II 901 s'applique pleinement. L'II 901 ayant valeur de recommandation pour toute autre entité publique ou privée qui met en oeuvre des systèmes d'informations sensibles, ces bonnes pratiques pourront être utilement déclinées sur tous les types SI sensibles (p.ex. SI hébergeant des informations protégées au titre du secret des affaires, SI hébergeant des informations couvertes par le secret professionnel, etc.).
Le présent guide a été conçu comme un outil destiné à aider une entité à mettre en oeuvre une architecture de SI conforme à l'II 901. Attention toutefois car certains champs de l'II 901 ne sont volontairement pas traités dans ce guide2.
Cette version du guide n'aborde pas la problématique de protection des données sensibles ou DR lorsqu'elles sont hébergées dans un cloud.
Un fichier tableur complète ce guide. Il liste l'ensemble des recommandations du guide. Pensé lui-aussi comme un outil, ce fichier tableur a pour vocation de fournir aux personnes en charge de la mise en oeuvre et de l'homologation d'un SI sensible un moyen concret et simple de :
- distinguer les mesures de sécurité réglementairement imposées de celles qui relèvent des bonnes pratiques ;
- justifier des écarts si certaines mesures ne sont pas retenues ou doivent être adaptées au contexte de l'entité ;
- évaluer le niveau de mise en oeuvre réel des exigences réglementaires retenues.
1 Les administrations de l'État au sens de l'II 901 sont les administrations centrales, les établissements publics nationaux, les services déconcentrés de l'État et les autorités administratives indépendantes.
2 Les champs non traités sont par exemple la sécurité physique et environnementale, la sécurité liée aux développements informatiques. En conséquence, il n'est pas suffisant qu'un SI soit conforme aux recommandations de ce guide pour attester de sa conformité à l'ensemble des exigences réglementaires II 901. Un travail complémentaire est nécessaire pour s'assurer de la conformité exhaustive du SI considéré, si un niveau d'homologation sensible ou DR est visé.
Ce guide est également disponible en anglais : « Recommendations for the architecture of sensitive or Restricted Distribution information systems »