MonServiceSécurisé est l’outil en ligne de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) qui aide les entités publiques à sécuriser et à homologuer leurs services numériques : systèmes d’information, sites web, applications mobiles et API. Il guide l’équipe du premier ajout d’un service jusqu’à la signature de la décision d’homologation.
L’homologation de sécurité est obligatoire pour les entités publiques au titre du référentiel général de sécurité (RGS). Pourtant, beaucoup de communes et d’établissements la jugent hors de portée. Cet article explique ce que fait l’outil, ce que vaut son indice cyber et la place du DPO dans la démarche.
MonServiceSécurisé, né au laboratoire d’innovation de l’ANSSI
L’ANSSI a lancé MonServiceSécurisé en décembre 2022. Incubé dans son laboratoire d’innovation, l’outil est accessible gratuitement sur inscription. Il vise les responsables de la sécurité des systèmes d’information (RSSI), les délégués à la protection des données (DPO) et les équipes de projet du secteur public.
Le service se décrit comme l’outil pour piloter en équipe la sécurité de tous vos services numériques et les homologuer rapidement. Selon son site, il compte plus de 8 000 utilisateurs et permet de démarrer une homologation et de générer un premier dossier en 5 minutes. De plus, la direction interministérielle du numérique lui a attribué le statut de service à impact national.
Un outil pensé pour le travail à plusieurs
Le responsable du service peut ajouter des contributeurs : direction des systèmes d’information, chef de projet, prestataire, DPO. De cette façon, chacun voit les mesures qui le concernent dès la conception du projet. Désignez donc ces contributeurs avant de remplir la première fiche.
Homologation de sécurité : de la description à la décision signée
L’équipe décrit d’abord le service : nature, données traitées, hébergement, prestataires. L’outil propose ensuite des besoins de sécurité, classés en trois niveaux depuis juillet 2024 : basiques, modérés ou avancés. Choisissez le niveau suggéré par l’ANSSI, ou un niveau plus élevé si l’évaluation vous paraît insuffisante.
MonServiceSécurisé en déduit une liste personnalisée de mesures de sécurité proposées par l’ANSSI et la CNIL. Ensuite, l’équipe indique pour chacune si elle est faite, partielle, à lancer ou non prise en compte. Enfin, l’outil génère le dossier et la décision d’homologation, à soumettre à la signature.
Qui signe la décision d’homologation
Selon la fiche méthode de l’ANSSI Identifier l’autorité d’homologation, l’autorité d’homologation occupe un niveau hiérarchique suffisamment élevé pour assumer les responsabilités de l’homologation et des choix stratégiques et financiers. Le directeur général peut déléguer sa signature. Il reste toutefois responsable, notamment en cas d’incident. Dans une commune, le maire peut ainsi tenir ce rôle, et dans un ministère, un directeur général.
En pratique, identifiez cette autorité avant de lancer le dossier. Une décision signée par une personne sans pouvoir d’engager l’entité perd son intérêt.
L’indice cyber de MonServiceSécurisé : une évaluation indicative
L’indice cyber résume l’avancement des mesures. En effet, il ne compte que les mesures cochées faites ou partielles, et une mesure partielle vaut la moitié d’une mesure faite. Il se calcule d’abord sur 5 points pour chaque catégorie : gouvernance, protection, défense et résilience.
Les mesures indispensables pèsent davantage, avec un coefficient de 0,6 contre 0,4 pour les mesures recommandées. Par ailleurs, les mesures recommandées ne comptent qu’à proportion des mesures indispensables réalisées. Un service qui a appliqué toutes les mesures recommandées et aucune mesure indispensable obtient donc 0. L’aide en ligne détaille la formule dans L’indice cyber ANSSI : que représente-t-il et comment est-il calculé ?.
Traitez donc l’indice comme un tableau de bord interne. Il ne remplace ni un audit ni un test d’intrusion.
Quels services homologuer, et lesquels MonServiceSécurisé exclut
Le RGS appelle téléservice un service public numérique. Une autorité administrative doit l’homologuer s’il permet des échanges de données avec les usagers ou entre administrations. Les démarches administratives en ligne en font partie. L’origine du service ne change rien : développement interne, prestataire, logiciel gratuit sur étagère ou achat à un fournisseur.
Les services exclus de l’outil
Selon l’aide en ligne de MonServiceSécurisé, l’outil ne couvre pas tous les services. D’abord, il écarte ceux des opérateurs de services essentiels. Ces opérateurs relèvent de la loi n° 2018-133 du 26 février 2018 et du décret n° 2018-384 du 23 mai 2018. Ensuite, il écarte les services liés au potentiel scientifique et technique de la nation. Le décret n° 2011-1425 du 2 novembre 2011 encadre ce potentiel, en application de l’article 413-7 du code pénal.
De même, l’outil exclut les services qui touchent au potentiel de guerre ou économique, à la sécurité ou à la survie de la Nation. Ils relèvent de l’article 22 de la loi de programmation militaire n° 2013-1168 du 18 décembre 2013. Enfin, il exclut les informations classifiées ou de diffusion restreinte. Les instructions IGI 1300, IGI 2102, II 2100 et IGI 901 les régissent.
Pour ces services, suivez la méthode de l’ANSSI. Elle figure dans L’homologation de sécurité en neuf étapes simples et dans le guide Agilité et sécurité numérique, conçu pour les projets agiles. En revanche, les entités publiques soumises à la directive NIS2 pourront utiliser l’outil pour leurs autres services.
Au lancement, Emmanuel Naëgelen, directeur général adjoint de l’ANSSI, voyait dans l’outil un soutien pour tous les agents publics, quel que soit leur niveau. Il le décrivait comme un outil pédagogique qui simplifie la sécurisation et l’homologation. Selon lui, il apporte aussi un gage de confiance aux partenaires et aux usagers, d’après Solutions numériques.
Le rôle du DPO dans une homologation MonServiceSécurisé
L’homologation porte sur la sécurité. Elle croise donc directement l’article 32 du Règlement général sur la protection des données (RGPD), qui impose des mesures de sécurité adaptées au risque. De plus, une partie des mesures proposées par l’outil vient de la CNIL.
Associez le DPO dès l’ajout du service. Il vérifie que le traitement figure au registre, que la durée de conservation est fixée et que les sous-traitants ont signé un contrat conforme. Si le service présente un risque élevé pour les personnes, il demande une analyse d’impact. Notre pilier sur l’analyse d’impact AIPD détaille la méthode.
Enfin, gardez le dossier d’homologation avec la documentation RGPD du service. En cas de violation de données, il prouve les mesures décidées et leur date. Pour les communes, notre page sur le DPO des collectivités présente l’accompagnement possible.
Sources consultées
Le fonctionnement, le nombre d’utilisateurs, le délai de 5 minutes et le statut de service à impact national viennent du site officiel MonServiceSécurisé de l’ANSSI.
Le calcul de l’indice cyber et l’avertissement de l’ANSSI figurent dans l’aide en ligne, L’indice cyber ANSSI : que représente-t-il et comment est-il calculé ?.
Les trois niveaux de besoins de sécurité figurent dans l’aide en ligne, Les besoins de sécurité de vos services.
Le lancement de décembre 2022 et l’obligation d’homologation au titre du RGS sont rapportés par Le Monde Informatique, Avec MonServiceSécurisé, l’Anssi aide les services publics en ligne dans leur cybersécurité.
Le rôle de l’autorité d’homologation figure dans la fiche ANSSI Identifier l’autorité d’homologation.
L’article 32 figure dans le règlement (UE) 2016/679, texte publié sur EUR-Lex.
Questions fréquentes
Qu’est-ce que MonServiceSécurisé ?
MonServiceSécurisé est un outil en ligne gratuit de l’ANSSI qui aide les entités publiques à sécuriser et homologuer leurs services numériques, du premier ajout jusqu’à la signature de la décision d’homologation.
Quels services peut-on homologuer avec MonServiceSécurisé ?
L’outil couvre les systèmes d’information, sites web, applications mobiles et API des entités publiques, qu’ils soient en projet, en développement ou déjà en ligne.
Qui signe la décision d’homologation ?
L’autorité d’homologation, une personne dont le niveau hiérarchique est suffisamment élevé pour assumer les choix stratégiques et financiers. Le directeur général peut déléguer sa signature tout en restant responsable.
L’indice cyber prouve-t-il la sécurité d’un service ?
Non. Selon l’ANSSI, l’indice cyber est une évaluation indicative fondée sur les déclarations de l’équipe, et non une preuve du niveau de sécurité.
Le DPO doit-il participer à l’homologation de sécurité ?
Oui, nous le recommandons. L’homologation rejoint l’article 32 du RGPD, et le DPO vérifie le registre, les durées de conservation, les sous-traitants et le besoin d’une analyse d’impact.
Comments 1