{"id":95861,"date":"2018-05-31T07:58:30","date_gmt":"2018-05-31T06:58:30","guid":{"rendered":"https:\/\/www.stormshield.com\/?p=95861"},"modified":"2024-06-20T14:13:04","modified_gmt":"2024-06-20T13:13:04","slug":"lpm-nis-quand-la-cyber-securite-offre-un-avantage-concurrentiel","status":"publish","type":"post","link":"https:\/\/www.stormshield.com\/fr\/actus\/lpm-nis-quand-la-cyber-securite-offre-un-avantage-concurrentiel\/","title":{"rendered":"LPM\/NIS : quand la cyber-s\u00e9curit\u00e9 offre un avantage concurrentiel"},"content":{"rendered":"

\"\"<\/p>\n

S\u2019inspirant directement de la loi de programmation militaire (LPM) fran\u00e7aise, la directive europ\u00e9enne NIS (Network and Information Security) est effective depuis le 9 mai 2018. Et alors que le d\u00e9cret d\u2019application<\/a> en France vient de para\u00eetre ce 25 mai, Robert Wakim, offer manager Industry chez Stormshield, analyse l\u2019impact de cette s\u00e9rie de nouvelles r\u00e9glementations en mati\u00e8re de cyber-protection.<\/strong><\/p>\n

L\u2019entr\u00e9e en vigueur de la directive europ\u00e9enne NIS (Network and Information Security), vot\u00e9e en juillet 2016, ouvre une nouvelle page de la cyber protection. Celle-ci s\u2019inscrit dans la lign\u00e9e de la LPM (Loi de programmation militaire) instaur\u00e9e depuis 2013 en France, pays en l\u2019esp\u00e8ce pr\u00e9curseur en Europe.<\/p>\n

L\u2019exp\u00e9rience de la LPM devrait rassurer les plus inquiets. Son adoption a \u00e9t\u00e9 en effet meilleure qu\u2019attendue, si l\u2019on en croit l\u2019ANSSI (Agence nationale de la s\u00e9curit\u00e9 des syst\u00e8mes d'information). Sur les 249 OIV (Op\u00e9rateurs d\u2019Importance Vitale<\/a>) identifi\u00e9s, la grande majorit\u00e9 ont d\u00e9fini leur SIIV (Syst\u00e8me d\u2019Information d\u2019Importance Vitale) dans les trois mois requis apr\u00e8s la publication des d\u00e9crets.<\/p>\n

Mais cette LPM ne constitue pas une fin de soi ; elle est la premi\u00e8re \u00e9tape de la cyber-protection, par d\u00e9finition it\u00e9rative et cyclique. Une protection qui n\u00e9cessite des audits r\u00e9guliers pour faire face \u00e0 de nouvelles attaques inconnues, comme l\u2019ont encore d\u00e9montr\u00e9 les failles de s\u00e9curit\u00e9 Spectre et Meltdown<\/a>.<\/p>\n

 <\/p>\n

NIS : prot\u00e9ger les int\u00e9r\u00eats vitaux\u2026 d\u2019un point de vue \u00e9conomique<\/h2>\n

En cela, la NIS apporte sa pierre \u00e0 l\u2019\u00e9difice, mais sur des cibles diff\u00e9rentes. Alors que la LPM visaient les op\u00e9rateurs d\u2019importance vitale en cas d\u2019atteinte \u00e0 la s\u00e9curit\u00e9 nationale (pour les secteurs du transport, de l\u2019\u00e9nergie, de l\u2019alimentation, de la sant\u00e9\u2026), la NIS aborde le sujet d\u2019un point de vue \u00e9conomique : on bascule sur des int\u00e9r\u00eats vitaux davantage li\u00e9s \u00e0 des probl\u00e9matiques de commercialisation, de brevets, etc.<\/p>\n

Ce sont donc les grandes entreprises du CAC 40 et leurs homologues en Europe qui sont concern\u00e9es. Aux OIV de la LPM viennent ainsi s\u2019ajouter les OSE (Op\u00e9rateurs de Services Essentiels) de la NIS, \u00e9largissant le cercle des acteurs vis\u00e9s, m\u00eame si ce sont parfois les m\u00eames.<\/p>\n

\u00c0 noter que la directive europ\u00e9enne a \u00e9galement d\u00e9cid\u00e9 d\u2019inclure dans le syst\u00e8me les FSN (Fournisseurs de Services Num\u00e9riques). Non seulement l\u2019\u00e9conomie d\u00e9pend de plus en plus de leurs services mais, situ\u00e9s \u00e0 un endroit critique du syst\u00e8me en voyant passer l\u2019ensemble des flux r\u00e9seaux, ils sont dans une position strat\u00e9gique pour faire remonter les informations en cas d\u2019incident.<\/p>\n

Les \u00c9tats europ\u00e9ens ont d\u00e9sormais jusqu\u2019au 9 novembre 2018 pour r\u00e9aliser la liste de leurs OSE et FSN. En France, Guillaume Poupard, directeur g\u00e9n\u00e9ral de l\u2019ANSSI, d\u00e9clarait r\u00e9cemment \u00e0 l\u2019occasion des RIAMS (Rencontres de l\u2019Identit\u00e9, de l\u2019Audit et du Management de la S\u00e9curit\u00e9) d\u2019Orange Cyberd\u00e9fense : \u00ab Le nombre pr\u00e9cis des OSE n'est pas connu, mais il y en aura probablement plusieurs milliers. Et cette liste pourra grandir dans le temps \u00bb.<\/p>\n

Le nombre des OSE n'est pas connu mais il y en aura probablement plusieurs milliers<\/em><\/p>\n

Guillaume Poupard,<\/strong> directeur g\u00e9n\u00e9ral de l\u2019ANSSI<\/pre>\n<\/blockquote>\n
Si la LPM peut \u00eatre jug\u00e9e plus contraignante, du moins plus pr\u00e9cise, concernant les outils \u00e0 mettre en place, la NIS met quant \u00e0 elle l\u2019accent sur l\u2019effort de communication inter-\u00c9tats au travers de leurs agences. Les \u00c9tats n\u2019ayant pas d\u2019agences, comme l\u2019ANSSI en France ou le BSI en Allemagne, seront aid\u00e9s par l'ENISA<\/a>. Comme pour un incendie, l\u2019id\u00e9e est d\u2019intervenir le plus t\u00f4t possible afin d\u2019emp\u00eacher la propagation de l\u2019incident.<\/p>\n
Du c\u00f4t\u00e9 des entreprises, les d\u00e9crets de la LPM qui incitent \u00e0 r\u00e9aliser un inventaire de l\u2019infrastructure, une cartographie du r\u00e9seau et une d\u00e9finition des risques critiques peuvent \u00eatre utiles pour se pr\u00e9parer \u00e0 la directive europ\u00e9enne, mais sous un prisme \u00e9conomique.<\/p>\n
Cette pr\u00e9paration doit reposer sur trois piliers :<\/p>\n