Ce qu’ajoute la catégorie MOYENNE de l’ENS par rapport à la BASIQUE, mesure par mesure

·

Passer de la catégorie basique à la catégorie moyenne dans l’ENS ne consiste pas seulement à ajouter les 16 mesures de l’annexe II qui étaient « non applicables » en basique : plusieurs mesures déjà mises en œuvre en basique exigent en moyenne un renforcement supplémentaire. Se contenter d’ajouter les 16 nouvelles mesures en pensant que c’est suffisant est exactement le mythe que cet article corrige, mesure par mesure.

Liste de contrôle sur un porte-bloc

Passer de la catégorie BASIQUE à la catégorie MOYENNE dans l’ENS ne consiste pas seulement à ajouter les 16 mesures de l’annexe II qui étaient « non applicables » en basique. Il existe une seconde couche d’effort que l’on oublie souvent : plusieurs mesures déjà mises en œuvre en basique exigent en moyenne un renforcement supplémentaire, c’est-à-dire davantage de rigueur dans leur exécution. Se contenter d’ajouter les 16 nouvelles mesures en pensant que c’est suffisant est exactement le mythe que cet article corrige.

Deux façons de monter de niveau : des mesures entièrement nouvelles et des renforcements sur des mesures déjà en place

Avant d’envisager le passage de catégorie, confirmez comment se calcule la vôtre : la procédure étape par étape est disponible ici (en espagnol), sur la base de l’annexe I du décret royal 311/2022. Et si votre système est aujourd’hui de catégorie basique, voici la liste complète de ce que vous avez déjà mis en œuvre : les 52 mesures de la catégorie basique, une par une.

Nous avons déjà compté combien de mesures s’appliquent par catégorie et laissé une question ouverte — les 16 nouvelles mesures suffisent-elles pour passer de basique à moyenne ? — ; nous y répondons ici avec le détail mesure par mesure que cet article, de par son format, ne pouvait pas apporter. Le concept de renforcement et la structure complète de l’annexe II — organisationnel, opérationnel, protection — sont déjà expliqués ici.

Les 16 mesures qui ne commencent à s’appliquer qu’en MOYENNE

Par famille, voici exactement ce qui s’active en passant à la catégorie moyenne :

Un exemple concret : deux mesures nouvelles, deux efforts très différents

Les 16 nouvelles mesures ne coûtent pas toutes le même effort à mettre en œuvre, et confondre « mesure nouvelle » et « effort homogène » est une autre erreur fréquente lors de la planification du passage de catégorie. Comparez deux cas : mp.eq.2, le verrouillage du poste de travail, se résout presque toujours par une stratégie de groupe ou une configuration centralisée qui verrouille l’écran après un délai d’inactivité ; c’est une mesure technique, rapide à déployer et peu coûteuse. op.ext.1, en revanche, exige de négocier et de signer un accord de niveau de service formel avec chaque prestataire externe concerné, ce qui implique de revoir des contrats déjà existants, de négocier des clauses que le prestataire n’offrait peut-être pas jusque-là, et de mettre en place une procédure de mesure continue du respect de ce SLA. Ce sont deux mesures du même échelon de catégorie, mais l’une se règle en un après-midi de configuration et l’autre peut prendre des semaines de négociation contractuelle avec plusieurs prestataires à la fois.

Cette asymétrie est la raison pour laquelle il convient de planifier le passage de basique à moyenne avec suffisamment de marge pour les mesures de nature contractuelle ou organisationnelle, pas seulement techniques : un projet qui ne budgète que du temps de configuration se retrouve, à mi-parcours, avec des négociations de SLA auprès de trois ou quatre prestataires qui n’ont même pas encore commencé.

Pourquoi les « ressources externes » (op.ext) s’activent presque entièrement en moyenne

Sur les quatre mesures de la famille op.ext, trois s’activent en moyenne (op.ext.1, op.ext.2 et op.ext.4), et une seule reste pour la haute : op.ext.3, protection de la chaîne d’approvisionnement. C’est une nuance importante pour ne pas promettre plus que ce qui est dû : la famille s’active presque entièrement en moyenne, mais c’est précisément la mesure qui porte le nom « chaîne d’approvisionnement » qui n’est toujours pas obligatoire avant la catégorie haute. Cela ne veut pas dire que la chaîne d’approvisionnement soit sans importance en moyenne, ni même en basique : l’article 2.3 du décret royal peut exiger des précautions contractuelles envers les prestataires bien avant, si l’analyse de risques le justifie, indépendamment du fait que la mesure formelle de l’annexe II soit active. Nous traitons cette relation dans son intégralité, avec les clauses concrètes qui découlent de chaque obligation, dans ce guide sur l’ENS et les prestataires.

Si la ressource externe que vous contractez est une infrastructure en nuage — le cas le plus fréquent en pratique pour op.ext.1 et op.ext.2 —, cela renvoie directement à notre infrastructure et migration vers le nuage, et il convient en outre de vérifier ce que l’ENS exige spécifiquement de ce prestataire : nous le traitons dans ce guide sur l’ENS dans le nuage. Et pour comprendre quel type de prestataire cloud vous contractez, ce guide sur AWS, Azure et Google Cloud aide à le situer avant de négocier le SLA qu’exige op.ext.1 par écrit.

Les renforcements qui s’ajoutent à des mesures déjà appliquées en basique

C’est la partie que le simple décompte de « 16 nouvelles mesures » ne capture pas. Ce n’est pas une liste exhaustive — ce serait redondant avec l’annexe II complète —, mais les exemples ayant le plus d’impact pratique :

Ce qui NE change PAS entre basique et moyenne

Tout n’augmente pas en exigence. Un exemple clair : mp.eq.3, protection des appareils portables, s’applique en basique sans renforcement et continue de s’appliquer en moyenne sans renforcement nouveau. Confirmer quelles mesures restent identiques est tout aussi important que de savoir lesquelles montent, car cela évite de dupliquer un effort inutile : il est fréquent qu’un plan de mise en conformité mal planifié révise « au cas où » des mesures déjà correctement mises en œuvre en basique et que l’annexe II n’exige pas de renforcer en moyenne, tout en laissant sans révision d’autres mesures qui en auraient besoin.

La façon la plus fiable de ne pas confondre les deux groupes est de travailler avec le tableau complet de l’annexe II sous les yeux, colonne par colonne — basique, moyenne, haute —, plutôt que de se fier à la mémoire de ce qui a été mis en œuvre la première fois. Un changement de responsable de la sécurité entre le projet basique et celui de moyenne est, dans la pratique, le moment où cette traçabilité se perd le plus souvent : celui qui planifie le passage n’est pas toujours celui qui a documenté la mise en œuvre initiale.

Comment planifier le passage sans perdre ce qui est déjà en place

L’ordre recommandé est le suivant : d’abord confirmer par l’analyse de risques que le système passe effectivement en catégorie moyenne (la catégorie est déterminée par le responsable de la sécurité selon l’évaluation d’impact, pas selon une préférence de l’organisation) ; ensuite revoir, mesure par mesure, lesquelles parmi celles déjà mises en œuvre en basique nécessitent un renforcement supplémentaire ; et enfin mettre en œuvre les 16 mesures jusque-là « non applicables ». Faire l’inverse — mettre en œuvre d’abord les nouveautés et revoir les renforcements à la fin — est la façon la plus courante de laisser des trous dans une déclaration d’applicabilité. Avant de planifier le passage, vérifiez avec notre autodiagnostic ENS (en espagnol) si votre système est toujours basique ou devrait déjà être moyen.

Planifier ce passage sans laisser de trous — ni dans les nouvelles mesures, ni dans les renforcements de celles déjà en place — est le travail que nous réalisons dans notre service de mise en œuvre technique de l’ENS.

Questions fréquentes

Suffit-il d’ajouter les 16 nouvelles mesures pour passer de basique à moyenne ?

Non. Outre les 16 mesures qui passent de « non applicable » à exigible, il existe des renforcements supplémentaires sur plusieurs mesures déjà appliquées en basique — authentification, communications, surveillance, analyse de risques, entre autres. Le saut d’effort réel est plus important que le simple décompte de mesures nouvelles.

Pourquoi la protection de la chaîne d’approvisionnement (op.ext.3) ne s’applique-t-elle pas encore en moyenne ?

Parce que c’est ce que fixe le tableau d’applicabilité de l’annexe II : op.ext.3 est « non applicable » en basique et en moyenne, et ne devient une exigence formelle qu’en catégorie haute. Cela ne vous exempte pas de précautions contractuelles envers les prestataires avant la haute si l’analyse de risques prévue à l’article 2.3 du décret royal le justifie.

Qui décide qu’un système passe de basique à moyenne ?

La catégorie n’est pas une décision commerciale de l’entreprise : elle est déterminée par le responsable de la sécurité en fonction de l’évaluation d’impact sur les cinq dimensions de sécurité, conformément aux articles 40 et 41 et à l’annexe I du décret royal 311/2022.

Ce contenu a un caractère informatif et pédagogique. Il ne constitue pas un conseil juridique et ne remplace pas l’analyse d’un professionnel qualifié pour votre cas concret.