Les enjeux de la sécurité de l’information dans les établissements d’enseignement supérieur et de recherche

Les supports de présentation des interventions de la conférence du 28 novembre 2012, organisée par l’Amue, en partenariat avec Renater et le ministère de l'enseignement supérieur et de la recherche, sont en ligne.

Cette conférence était la réédition, avec quelques variantes dans le programme et certains changements dans les intervenants, de celle qui avait eu lieu le 14 mars dernier. Les participants ont apprécié les différentes interventions et manifesté le souhait d’approfondir les thèmes abordés au travers des exposés.

Dans son discours d’ouverture, le président de la CPU a insisté  sur le fait que la question de la sécurité de l’information ne devait plus être seulement celle des professionnels de l’informatique, mais également celle des utilisateurs et des gouvernances des établissements. L’importance des données recueillies dans les systèmes d’information des établissements et leur sensibilité font de cette question un enjeu important.

Les interventions

L’exposé sur les axes stratégiques de développement des établissements et la sécurité de l’information a été illustré par l’exemple d’une université, avec  les risques qui y ont été recensés, susceptibles d’affecter le fonctionnement du service public de l’enseignement supérieur, et les éléments  de politique de sécurité de l’information mis en œuvre pour y remédier.

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) qui  est l’autorité nationale en matière de défense et de sécurité des systèmes d’information - rattachée au secrétariat général de la défense et de la sécurité nationale relevant du Premier ministre-, et assure une mission de prévention au profit, notamment, des administrations, a présenté l’état de la menace (les attaques des systèmes d’information et les six menaces contemporaines) et la stratégie nationale de cyber-sécurité.

Les deux interventions de la fin de matinée ont permis d’appréhender les chaînes fonctionnelle et opérationnelle auxquelles participent, d’une part, le réseau des fonctionnaires de défense et de sécurité (FSD), d’autre part, le réseau de la sécurité des systèmes d’information (RSSI), ces deux réseaux étant animés par le haut fonctionnaire de défense et de sécurité.

Si ces deux chaînes doivent être en principe distinctes, l’exemple de l’INRIA, avec le cumul de fonctions FSD-RSSI, démontre qu’une politique de sécurité des systèmes d’information (PSSI) doit être mise en place en fonction du contexte et des moyens de chaque établissement.

Tel a également été le sens des deux autres interventions de l’après-midi :

• celle de RENATER  qui a présenté le projet de PSSI générique selon la méthode EBIOS, les relations entre la PSSI générique et les normes ISO 27000, fait le distinguo entre la PSSI et la PMSI (politique de management de la sécurité informatique) qui encadre l’évolution et la mise en œuvre des mesures définies dans la PSSI, étant précisé que celle-ci peut se construire progressivement, à partir des mesures de sécurité existantes dans l’établissement, l’approche pragmatique étant à privilégier par rapport  à la PSSI idéale qui ne serait pas appliquée ;
• celle de l’ANSSI qui, parmi les sept recommandations pour bien transposer une PSSI, a souligné celle relative à la nécessité de prendre en compte la particularité de chaque périmètre et de chaque contexte.

En conclusion, le directeur de RENATER a annoncé, parallèlement à l’augmentation prévue de la capacité du réseau, le renforcement de sa sécurité et présenté les trois axes de travail du groupement pour l’année 2013, parmi lesquels figurent les objectifs pour les services sécurité.

Télécharger

Les axes stratégiques de développement des établissements et la sécurité de l’information
Alain BRILLARD, ancien président de l’université de Mulhouse

Etat de la menace et stratégie nationale de cyber-sécurité
David CROCHEMORE, coordinateur sectoriel Enseignement supérieur et recherche, à l’Agence nationale de la sécurité des systèmes d’information (ANSSI)

Le rôle du Haut fonctionnaire adjoint de défense et de sécurité (HFDS) et la sécurité des systèmes d’information
Frédéric MORINIERE, Haut fonctionnaire adjoint de défense et de sécurité pour l’enseignement supérieur et la recherche

Le rôle du fonctionnaire de sécurité de défense (FSD) au sein de l’établissement d’enseignement supérieur et de recherche et les missions de sécurité
Daniel THOUROUDE, professeur des universités, FSD de l’université Rennes-I

La politique de sécurité des systèmes d’information (PSSI) générique, la présentation du référentiel et la formalisation de la gestion des risques
Dominique LAUNAY, RENATER, Adjoint au responsable de la sécurité des systèmes d'information

La synergie des actions menées par le fonctionnaire de sécurité de défense et le responsable de la sécurité des systèmes d’information (RSSI)
Bertrand WALLRICH, FSD et RSSI à l’Institut national de recherche en informatique et en automatique (INRIA)

L’appui de l’Agence nationale de la sécurité des systèmes d’information
David CROCHEMORE, coordinateur sectoriel Enseignement supérieur et recherche, ANSSI

Conclusion
Patrick DONATH, directeur de RENATER