Mettre en règle
Le RGS pour le public, les mêmes réflexes pour tous.
Pour les administrations de l'État, les collectivités territoriales et les établissements publics administratifs, le référentiel général de sécurité, le RGS, fixe les règles que doivent respecter les fonctions de sécurité de leurs systèmes d'information : identification, signature électronique, confidentialité, horodatage. Il découle de l'ordonnance du 8 décembre 2005 sur les échanges électroniques avec les usagers.
L'ANSSI, l'agence nationale de la sécurité des systèmes d'information, publie des guides de bonnes pratiques. Pour un site, ils reviennent à quelques gestes tenus dans la durée : mettre à jour, limiter les accès, chiffrer, sauvegarder, surveiller.
Le travail
Ce qu'on pose, et ce qu'on contrôle.
Les en-têtes de sécurité.
Connexion chiffrée imposée, interdiction d'afficher le site dans le cadre d'un autre, politique de contenu, permissions du navigateur verrouillées. Ce site les porte ; un développeur peut le vérifier dans son navigateur.
Des accès fermés.
Comptes nominatifs, double authentification sur l'administration, et des versions de travail fermées par une porte d'accès plutôt que laissées ouvertes à qui devine l'adresse.
Rien d'interne en public.
Sauvegardes, journaux, fichiers de configuration, liste des logiciels et de leurs versions : rien de tout cela ne doit être servi à un visiteur. On le contrôle sur chaque site, à chaque mise en ligne.
Une restauration essayée.
Savoir remettre le site en ligne depuis une copie se vérifie en le faisant, une fois, avant d'en avoir besoin.
Les correctifs.
Quand une faille est publiée sur une brique de votre site, le correctif passe vite ; le rythme ordinaire des mises à jour relève de la maintenance.
Ce qu'on ne promet pas
L'invulnérabilité n'existe pas. Ce qui existe : des protections posées et vérifiées, et un plan pour remettre le site debout si le pire arrive.
Les expertises voisines
- 12Hébergement sécuriséLe serveur et le nom de domaine, à l'abri.
- 06RGPDCe que la loi attend quand des données fuient.
- 11Connecteurs et APILes clés d'accès aux autres services, rangées hors du code.
On en parle ?
Un mot suffit pour démarrer. On répond en personne.