REVUE

Les acteurs régaLiens
LES ACTEurS réGALIEnS DE LA CyBErSéCurITé ET SA GouVErnAnCE
y a des capacités d’audit à peu près
comparables. même si on voulait se
passer du secteur privé dans ce domaine,
cela n’aurait aucun sens. La cybersécurité
est une question qui doit être normalisée,
traitée comme les autres et les
prestataires privés ont un rôle
fondamental à jouer. Comment peut-on
promouvoir cela ? Tout d’abord, nous
avons des liens étroits avec la plupart des
personnes qui produisent des
équipements de sécurité ou qui
proposent des services de sécurité.
Ensuite, nous considérons que le rôle de
l’état n’est pas de tout faire mais
d’indiquer vers qui se tourner pour faire le
travail efficacement. C’est exactement la
démarche de qualification qui est en place
et qui consiste à vérifier qu’un acteur qui
propose des produits ou des services est
à la fois compétent et de confiance, ainsi
que le disait l’amiral. Il y a des personnes
très compétentes mais d’une confiance
très limitée de notre point de vue national.
Il y a également des personnes qui sont
de confiance mais pas compétentes :
celles-là je vous les déconseille, c’est
évident, avec eux vous allez dépenser
votre argent pour rien. nous avons
vraiment besoin de ces deux qualités qui
sont complètement orthogonales. Cela ne
se décrète bien évidemment pas sur la
bonne tête des uns et des autres ou sur
les bonnes relations que nous pouvons
avoir. Ce n’est que le fruit d’un processus
sérieux d’évaluation sur la base de règles
du jeu claires et ouvertes.
Concrètement, nous produisons des
référentiels qui sont publics et qui
expliquent ce que nous attendons d’un
prestataire de services de sécurité.
Ensuite, nous évaluons les prestataires,
au vu de ce référentiel, ou, plus
exactement, nous les faisons évaluer de
manière indirecte par des laboratoires
indépendants, comme pour les produits
de sécurité. Parfois même, nous sommes
obligés d’évaluer les experts, un par un,
parce que nous savons très bien, dans le
cas type des audits, des pentests qu’il
faut avoir confiance dans l’entité mais
également dans la personne qui va mener
le test lui-même. C’est extrêmement
compliqué et lourd, mais in fine, quand on
a fait tout ce travail, on peut dire, au nom
de l’état français, au nom du Premier
ministre que tel prestataire a la
compétence et le potentiel pour mener,
par exemple, des audits. C’est tout
(17) référentiel d’exigence
applicable aux prestataires
d’audit de la sécurité des
systèmes
d’information
l’intérêt du référentiel
PASSI 17 et du
dispositif PASSI qui
sont en place et déjà
opérationnels. Arnaud CouSTILLIErE se
plaint un peu du manque d’acteurs. En
ce qui me concerne, je suis au contraire
agréablement surpris du nombre
d’acteurs qualifiés et de la qualité du
travail réalisé aujourd’hui .
on peut se demander si c’est encore
suffisant pour répondre à la demande,
mais il s’agit plutôt ici d’un problème
positif. La même démarche est amorcée
4 e trimestre 2016 Revue de la Gendarmerie Nationale
37