Les mesures de la catégorie BASIQUE de l’ENS, une à une

·

La catégorie BASIQUE de l’ENS exige 52 des 73 mesures de l’annexe II du décret royal 311/2022 : les 4 du cadre organisationnel sans exception, et la majorité du cadre opérationnel et des mesures de protection, avec ou sans renforcement obligatoire d’authentification. Ce n’est pas la catégorie sans exigence réelle : c’est celle qui compte le moins de mesures, mais plus des deux tiers du catalogue s’appliquent déjà dès le premier échelon.

Liste de contrôle sur un porte-bloc

Sur les 73 mesures de sécurité de l’annexe II du décret royal 311/2022, un système de catégorie BASIQUE doit en mettre en œuvre 52. Ce n’est pas la catégorie « sans exigence réelle » : c’est celle qui compte le moins de mesures, mais plus des deux tiers du catalogue complet s’appliquent déjà dès le premier échelon. Cet article les recense toutes, famille par famille, avec ce qu’exige chacune dans la pratique.

Ce que signifie la « catégorie BASIQUE » avant de lire la liste

Avant de parcourir la liste, il convient de confirmer que votre système est effectivement de catégorie basique : la catégorie est déterminée par le niveau le plus élevé atteint par l’une quelconque des cinq dimensions de sécurité — confidentialité, intégrité, traçabilité, authenticité et disponibilité —, pas par une estimation générale. Nous expliquons étape par étape comment calculer la catégorie (disponible en espagnol), sur la base de l’annexe I du décret royal 311/2022. Si l’une de vos cinq dimensions monte à MOYEN ou HAUT, la liste de cet article n’est pas celle qui s’applique à vous.

Nous avons déjà compté combien de mesures exige chaque catégorie en termes globaux (52 en basique, 68 en moyenne, 73 en haute) ; ici, nous allons mesure par mesure, avec le détail pratique que ce recensement, de par son format, ne pouvait pas donner. La structure complète de l’annexe II — organisationnel, opérationnel, protection — est déjà expliquée ici.

Cadre organisationnel : les 4 mesures qui s’appliquent toujours (org.1 à org.4)

Les quatre mesures du cadre organisationnel s’appliquent dans les trois catégories sans exception, car elles constituent le socle documentaire sur lequel repose tout le reste. En basique, les quatre mesures sont :

Cadre opérationnel — planification et exploitation (op.pl et op.exp en basique)

En planification, la catégorie basique exige quatre des cinq mesures de la famille op.pl :

(op.pl.5, composants certifiés, ne s’applique pas encore en basique : elle commence en moyenne.)

En exploitation, la catégorie basique exige neuf des dix mesures d’op.exp :

(op.exp.5, gestion des changements, ne s’applique pas en basique : elle commence en moyenne.)

Cadre opérationnel — contrôle d’accès, surveillance et cloud (op.acc, op.mon, op.nub en basique)

En contrôle d’accès s’appliquent op.acc.1 (identification), op.acc.2 (exigences d’accès), op.acc.4 (gestion des droits d’accès), op.acc.5 (authentification des utilisateurs externes) et op.acc.6 (authentification des utilisateurs de l’organisation). Les deux dernières comportent déjà un renforcement obligatoire dès la catégorie basique, et op.acc.6 exige en particulier une double authentification lorsque l’accès se produit depuis ou à travers une zone non contrôlée : nous avons déjà résolu toute la nuance, avec les renforcements R8 et R9, dans ce guide (disponible en espagnol) ; nous ne la répétons pas ici pour ne pas semer la confusion. (op.acc.3, séparation des fonctions, ne s’applique pas encore en basique.)

En surveillance, les trois mesures d’op.mon s’appliquent déjà en basique : op.mon.1 (détection d’intrusion), op.mon.2 (système de métriques) et op.mon.3 (vigilance), avec des renforcements croissants en moyenne et en haute. Détection d’intrusion, métriques et vigilance dépendent d’un socle de surveillance réel, pas d’un outil isolé que l’on installe puis oublie.

Pour les services en nuage, op.nub.1 (protection des services en nuage) est l’unique mesure de cette famille et s’applique déjà en basique, sans renforcement. C’est une donnée importante : de nombreuses organisations pensent que le nuage « ne compte pas » avant les catégories supérieures, ce qui est faux.

Pour les ressources externes (op.ext), aucune des quatre mesures de la famille ne s’applique en basique : les quatre commencent en moyenne ou en haute.

Mesures de protection — installations, personnel et équipements (mp.if, mp.per, mp.eq)

Pour les installations (mp.if), six des sept mesures s’appliquent : mp.if.1 (zones séparées et à accès contrôlé), mp.if.2 (identification des personnes), mp.if.3 (conditionnement des locaux), mp.if.4 (alimentation électrique), mp.if.5 (protection contre l’incendie) et mp.if.7 (registre d’entrée et de sortie des équipements). (mp.if.6, protection contre les inondations, ne s’applique qu’à partir de la catégorie moyenne.)

Pour le personnel (mp.per), trois des quatre mesures s’appliquent : mp.per.2 (devoirs et obligations), mp.per.3 (sensibilisation) et mp.per.4 (formation). (mp.per.1, caractérisation du poste de travail, ne s’applique qu’à partir de la catégorie moyenne.)

Pour les équipements (mp.eq), trois des quatre mesures s’appliquent : mp.eq.1 (poste de travail dégagé), mp.eq.3 (protection des appareils portables) et mp.eq.4 (autres appareils connectés au réseau). La donnée contre-intuitive ici : mp.eq.2, le verrouillage automatique du poste de travail, n’est pas obligatoire au titre de l’annexe II avant la catégorie moyenne : de nombreuses organisations le mettent en œuvre dès la catégorie basique par bonne pratique, mais l’annexe II ne l’exige pas encore.

Mesures de protection — communications, supports, applications, information et services

Pour les communications (mp.com), trois des quatre mesures s’appliquent : mp.com.1 (périmètre sécurisé), mp.com.2 (protection de la confidentialité) et mp.com.3 (protection de l’intégrité et de l’authenticité, sans renforcement en basique). Le périmètre sécurisé exigé par l’ENS repose sur une configuration correcte du pare-feu, pas seulement sur le fait d’en avoir un installé. (mp.com.4, séparation des flux d’information sur le réseau, ne s’applique qu’à partir de la catégorie moyenne.)

Pour les supports (mp.si), trois des cinq mesures s’appliquent : mp.si.3 (garde), mp.si.4 (transport) et mp.si.5 (effacement et destruction). La donnée importante ici : ni le marquage des supports (mp.si.1) ni la cryptographie des supports (mp.si.2) ne sont obligatoires au titre de l’annexe II en basique, bien que chiffrer les supports puisse rester recommandé au titre du RGPD s’ils contiennent des données personnelles.

Pour les applications (mp.sw), seule mp.sw.2 s’applique (acceptation et mise en service) ; mp.sw.1, développement d’applications, ne s’applique pas encore en basique.

Pour l’information (mp.info), quatre des six mesures s’appliquent : mp.info.1 (données personnelles), mp.info.3 (signature électronique), mp.info.5 (nettoyage des documents) et mp.info.6 (sauvegardes). Cette dernière exige des sauvegardes ; comment mettre en place un plan de sauvegarde qui restaure réellement est la partie technique qui sous-tend cette mesure, pas seulement le fait d’avoir une copie enregistrée quelque part.

Pour les services (mp.s), trois des quatre mesures s’appliquent : mp.s.1 (protection du courrier électronique), mp.s.2 (protection des services et applications web, avec un renforcement obligatoire dès la catégorie basique) et mp.s.3 (protection de la navigation web). mp.s.2 partage le même type de nuance de renforcement conditionnel qu’op.acc.6, la même recommandation s’applique donc : consultez le guide dédié (disponible en espagnol) avant de considérer le renforcement comme acquis. (mp.s.4, protection contre le déni de service, ne s’applique qu’à partir de la catégorie moyenne.)

Un schéma qui se répète : presque toutes les familles ont au moins une mesure qui « ne s’applique pas » en basique

En parcourant la liste précédente famille par famille, on remarque un schéma : presque aucune famille de mesures de l’annexe II ne s’applique à cent pour cent en basique. Le cadre organisationnel fait exception (les quatre s’appliquent toujours) ; dans le reste, il reste toujours au moins une mesure — parfois plusieurs — qui ne commence qu’en moyenne. Ce n’est pas un défaut de conception de la norme : cela reflète le fait que les mesures laissées pour les catégories supérieures sont, en général, celles qui exigent une plus grande maturité organisationnelle (séparation des fonctions, gestion formelle des changements) ou un coût de mise en œuvre plus élevé (chiffrement des supports, certification des composants), tandis que la catégorie basique conserve le socle de mesures que tout système, quelle que soit sa taille, peut et doit mettre en œuvre.

Les mesures qui NE s’appliquent PAS en basique (et à partir de quelle catégorie)

Au total, 21 mesures ne s’appliquent pas encore en basique : op.pl.5, op.acc.3, op.exp.5, les quatre mesures d’op.ext, mp.if.6, mp.per.1, mp.eq.2, mp.com.4, mp.si.1, mp.si.2, mp.sw.1, mp.info.2, mp.info.4, mp.s.4, ainsi que les mesures de continuité de service (op.cont). La plupart commencent en catégorie moyenne ; le détail complet de ce qui s’ajoute exactement en passant de basique à moyenne — y compris les renforcements qui s’ajoutent à des mesures déjà en place, ce qui n’est pas la même chose que simplement ajouter des mesures nouvelles — est traité dans notre guide sur ce qu’ajoute la catégorie moyenne par rapport à la basique.

Comment se démontre la conformité en basique : autoévaluation, pas d’audit par un tiers

La voie de conformité pour la catégorie basique est l’autoévaluation : l’organisation elle-même déclare sa conformité, sans qu’un audit de certification par un organisme accrédité par l’ENAC soit nécessaire, ce qui est en revanche obligatoire en moyenne et en haute. Cela ne signifie pas qu’il suffit de remplir un questionnaire de mémoire : le guide CCN-STIC 808 (vérification du respect des mesures de l’ENS) exige des preuves réelles pour chaque mesure mise en œuvre, et le décret royal comme ce guide prévoient une révision périodique, pas un régime d’exception permanent. Autoévaluation ne signifie pas « sans exigence » ; cela signifie « sans auditeur externe obligatoire ».

Si vous voulez voir cette liste déjà filtrée pour votre propre système, plutôt que de parcourir les 52 mesures une à une, utilisez notre autodiagnostic ENS (disponible en espagnol), gratuit et sans inscription.

Questions fréquentes

Puis-je mettre en œuvre des mesures supplémentaires même si ma catégorie est basique ?

Oui. Qu’une mesure ne soit pas exigible dans votre catégorie ne signifie pas qu’elle soit interdite : mettre en œuvre volontairement des mesures supplémentaires — par exemple de continuité ou de ressources externes — est courant lorsque le fonctionnement de l’organisation le justifie, même si ce n’est pas nécessaire pour la conformité.

Toutes les mesures basiques exigent-elles le même effort ?

Non. Les quatre mesures du cadre organisationnel sont surtout documentaires ; celles de contrôle d’accès et de surveillance exigent un développement technique continu ; et celles d’installations ou de personnel dépendent davantage de procédure que de technologie. L’effort de mise en œuvre varie beaucoup d’une famille à l’autre, même si l’annexe II les présente dans une seule et même liste.

Que se passe-t-il si mon système a des dimensions de sécurité à des niveaux différents ?

La catégorie du système dans son ensemble est fixée par la dimension la plus élevée, pas par la moyenne : si quatre dimensions sont en BAS et une en MOYEN, le système est de catégorie moyenne et cette liste de la catégorie basique ne s’applique pas à vous. Consultez comment se calcule la catégorie (disponible en espagnol) avant de considérer la liste de cet article comme définitive.

Ce contenu a un caractère informatif et pédagogique. Il ne constitue pas un conseil juridique et ne remplace pas l’analyse d’un professionnel qualifié pour votre cas concret.