Annexe A : considérations relatives à la réglementation en matière de cybersécurité
Système d’information hybride et sécurité : un retour à la réalité

Cette annexe rappelle quels sont les périmètres et les principaux objectifs des réglementations relatives à la cybersécurité votées au cours de la décennie écoulée. Tous ces textes ont des conséquences concrètes sur les architectures des SI.

Citons tout d’abord les Lois de programmation militaires ou LPM. S’appuyant sur les orientations stratégiques contenues dans le Livre blanc sur la Défense et la Sécurité nationale 2013 , la LPM 2014-2019 précise les règles de sécurité imposées aux Opérateurs d’Importance Vitale (OIV) qui opèrent des SI d’Importance Vitale (SIIV). Ces règles concernent différents champs de la SSI et nombreuses sont celles qui ont un impact direct sur la conception de l’architecture d’un SIIV (règles relatives à la journalisation, à la corrélation et à l’analyse des journaux, à la détection, à l’identification, à l’authentification, aux droits d’accès, au SI d’administration, au cloisonnement, au filtrage ou aux accès distants). En outre, un OIV a l’obligation de mettre en œuvre un système de détection exploité sur le territoire national par des prestataires de service qualifiés en matière de SSI par l’ANSSI (Article 22 de la loi n^o 2013-1168 du 18 décembre 2013). La section 2.3 de cet article souligne l’importance de la détection des incidents de sécurité dans les systèmes d’information contemporains.