Cybersécurité, gestion des identités et protection des données : audit, conseil, formation et réalisation pour l'enseignement et la recherche

Le cadre applicable à un établissement d'enseignement et de recherche

PSSI de l'État, ANSSI et prestataires qualifiés

La politique de sécurité des systèmes d'information de l'État (PSSIE) a été approuvée par la circulaire du Premier ministre n° 5725/SG du 17 juillet 2014. Il s'agit d'une circulaire, et non d'un arrêté. Elle s'adresse aux ministères et aux établissements publics placés sous leur tutelle, et de nombreux établissements d'enseignement supérieur la citent comme référence dans leur propre politique de sécurité. Le référentiel général de sécurité (RGS) complète ce cadre pour les échanges électroniques des autorités administratives. L'ANSSI présente le cadre de gouvernance de la sécurité numérique de l'État, que votre responsable de la sécurité des systèmes d'information doit connaître avant de rédiger ou de réviser une politique.

L'ANSSI qualifie par ailleurs des prestataires de services. Les référentiels d'exigences couvrent notamment l'audit de sécurité (PASSI), la réponse aux incidents (PRIS) et le conseil et l'accompagnement (PACS). Un acheteur public peut exiger cette qualification dans sa consultation. Ne la confondez pas avec le label SecNumEdu (label de l'ANSSI pour les formations de l'enseignement supérieur en cybersécurité), que l'ANSSI attribue à des formations initiales de l'enseignement supérieur spécialisées en cybersécurité, et qui figure dans un annuaire public. Un label voisin, SecNumEdu-FC, existe pour des formations continues courtes. Les critères sont décrits sur le site de l'ANSSI. Optédif ne se prévaut ni de la qualification d'un prestataire ni du label d'une formation.

NIS 2 : une directive européenne pas encore transposée

La directive (UE) 2022/2555, dite NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), n'est pas transposée en droit français. La transposition passe par le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, qui n'est pas adopté. Aucun décret d'application n'existe, et le champ exact pour les universités et les organismes de recherche dépendra du texte final.

Conséquence pratique : aucun établissement ne peut présenter aujourd'hui NIS 2 comme une obligation française à laquelle il serait soumis. Nous parlons donc de préparation et de diagnostic de préparation, jamais d'audit de conformité. Les mesures que la directive prévoit (gouvernance, gestion des risques, gestion des incidents, sécurité de la chaîne d'approvisionnement) recoupent largement ce qu'un établissement doit déjà faire par bonne pratique : s'y préparer ne se perd donc pas, quelle que soit la date d'entrée en vigueur.

Le RGPD et la loi Informatique et Libertés

Le règlement (UE) 2016/679, dit RGPD, et la loi n° 78-17 du 6 janvier 1978 modifiée encadrent les données des étudiants, des agents, des candidats et des participants à des études. Les principes sont connus : finalité déterminée, minimisation, durée de conservation limitée, sécurité, information des personnes, exercice des droits. Le registre des traitements en est le premier outil, l'analyse d'impact (AIPD) l'est pour les traitements à risque élevé, par exemple une surveillance à grande échelle ou le croisement de données sensibles.

Une autorité ou un organisme public doit désigner un délégué à la protection des données (DPO), selon l'article 37 du règlement. La CNIL décrit ce délégué comme le pilote de la conformité de l'organisme : il informe, conseille et contrôle, il ne décide pas à la place du responsable de traitement. La fonction n'est liée à aucun diplôme. Une certification volontaire des compétences existe, délivrée par des organismes tiers, et elle ne conditionne pas la désignation.

Rôles, gouvernance et gestion des risques

Qui décide quoi dans l'établissement

Le président ou le directeur de l'établissement porte la responsabilité finale. Le responsable de la sécurité des systèmes d'information (RSSI) propose la politique, anime les analyses de risques et suit les incidents. Le délégué à la protection des données conseille sur les traitements et sert d'interlocuteur à la CNIL (Commission nationale de l'informatique et des libertés). La direction du numérique exploite les systèmes. Les directeurs de laboratoire et de composante restent responsables de leurs usages. Pour les laboratoires situés dans des zones à régime restrictif, le dispositif de protection du potentiel scientifique et technique de la Nation (PPST, décret n° 2011-1425 du 2 novembre 2011) ajoute une autorisation d'accès et une procédure propre.

Un point d'organisation revient souvent : le RSSI et le délégué à la protection des données n'ont pas les mêmes missions. Le premier protège les systèmes, le second protège les personnes. Leurs intérêts peuvent diverger, par exemple lorsqu'une journalisation poussée, utile pour la sécurité, collecte des données sur les usages des agents. Il faut un arbitrage écrit, et une direction qui le rend.

Analyse de risques, ISO et décisions traçables

La méthode EBIOS Risk Manager, publiée par l'ANSSI, procède en cinq ateliers : cadrage et socle de sécurité, sources de risque, scénarios stratégiques, scénarios opérationnels, traitement du risque. La norme ISO/IEC 27005 fournit une autre démarche de gestion des risques. La norme ISO/IEC 27001 décrit un système de management de la sécurité de l'information ; sa certification, lorsqu'un établissement la vise pour un périmètre donné, est délivrée par un organisme de certification accrédité, jamais par le prestataire qui accompagne la démarche.

Concrètement : un laboratoire de 80 personnes qui héberge des données d'enquête sur 2 500 volontaires lance une analyse de risques. Le scénario retenu comme le plus grave n'est pas l'attaque sophistiquée, mais la perte d'un ordinateur portable non chiffré. La conséquence pour le directeur d'unité : une décision simple et peu coûteuse (chiffrement systématique des postes) avant un projet lourd. Pour les doctorants : une contrainte d'usage, mais aussi une protection de leurs propres travaux. Pour le RSSI : une priorité argumentée, que la direction peut valider.

Identités, cryptographie et données personnelles

Annuaires, authentification et fédération

Les identités sont le cœur d'un campus. Un annuaire (LDAP, Active Directory) tient les comptes ; un fournisseur d'identité, comme Keycloak, un projet open source accepté en 2023 par la fondation CNCF comme projet en incubation et fondé sur OpenID Connect et OAuth 2.0, permet l'authentification unique. Renater (Réseau national de télécommunications pour la technologie, l'enseignement et la recherche), groupement d'intérêt public au service de la communauté de l'éducation et de la recherche, propose notamment eduroam, service d'accès réseau en mobilité, et un CERT dédié à ses membres. Une infrastructure à clés publiques (PKI) émet les certificats des serveurs et des personnes.

Concrètement : une université de 30 000 étudiants recrée ses comptes à chaque rentrée. Si 4 % des comptes d'anciens étudiants, soit 1 200, restent actifs un an après le départ, la surface d'attaque grandit sans bénéfice. Mais les supprimer trop vite prive les anciens étudiants de leurs attestations et de leur bibliothèque. La politique doit distinguer la durée de vie du compte, celle des données, et ce qui est archivé. La direction y gagne un risque réduit, le service de scolarité une règle claire, l'ancien étudiant un accès limité mais utile.

Cryptographie post-quantique

Le NIST américain a publié le 13 août 2024 les standards FIPS (Federal Information Processing Standards) 203 (ML-KEM, échange de clés), FIPS 204 (ML-DSA, signature) et FIPS 205 (SLH-DSA, signature à base de fonctions de hachage). Il a retenu HQC (Hamming Quasi-Cyclic) pour standardisation le 11 mars 2025, et FIPS 206 (FN-DSA) reste en cours d'élaboration. L'ANSSI consacre à la cryptographie post-quantique une foire aux questions qui traite notamment de l'hybridation, c'est-à-dire de la combinaison d'un algorithme classique et d'un algorithme post-quantique.

Concrètement : des données de recherche chiffrées aujourd'hui et qui doivent rester confidentielles vingt ans peuvent être copiées dès maintenant par un attaquant qui compte les déchiffrer plus tard. Pour la direction, le premier geste est un inventaire des algorithmes et des certificats utilisés, pas un remplacement immédiat ; pour l'équipe système, c'est une liste datée ; pour le chercheur, rien ne change tant que l'inventaire n'est pas fait.

Violations de données et transferts hors Union européenne

Le responsable de traitement notifie une violation de données à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, lorsqu'elle présente un risque pour les personnes. Si le risque est élevé, les personnes sont informées. Chaque violation, notifiée ou non, doit être documentée. La CNIL explique la démarche sur sa page de notification.

Concrètement : un vendredi à 17 h, un enseignant-chercheur découvre qu'un tableur de 1 800 étudiants est accessible sur un dépôt public. Le délai de 72 heures court depuis cette prise de connaissance et ne s'arrête pas pendant le week-end. Il faut donc une astreinte décisionnelle, pas seulement technique. Contre-intuitif : notifier sans toutes les informations est possible, un complément suit ensuite.

Pour les transferts hors Union européenne, les outils sont la décision d'adéquation, les clauses contractuelles types et les règles d'entreprise contraignantes. Le cadre de protection des données UE (Union européenne) États-Unis repose sur une décision d'adéquation de la Commission européenne qui a fait l'objet de recours devant les juridictions de l'Union : suivez l'état du contentieux sur le site de la Cour de justice avant de fonder un choix de fournisseur sur ce seul cadre, et prévoyez une solution de repli dans le contrat.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, nous réalisons des audits d'organisation et de pratiques, du conseil, la conception de politiques et d'architectures, le déploiement d'outils (fédération d'identités, supervision avec Wazuh, balayage de vulnérabilités avec Nessus, filtrage avec pfSense), des évaluations de maturité, des exercices de crise et des formations. Nous aidons à tenir un registre, à rédiger une analyse d'impact ou une procédure de violation, à préparer un dossier de décision. Un établissement public achète sur devis, au prix ferme du devis, dans le respect du Code de la commande publique.

Le travail se fait au forfait ou en récurrent, avec des livrables datés. Première réponse sous 48 heures ouvrées, devis après l'échange.

Ce que nous ne faisons pas

Optédif n'est pas prestataire qualifié par l'ANSSI, ni pour l'audit de sécurité (PASSI), ni pour la réponse à incident (PRIS), ni pour le conseil (PACS). Nous ne réalisons donc pas d'audit qualifié, de test d'intrusion qualifié ni de réponse à une attaque réelle au sens de ces qualifications. Les outils techniques que nous déployons (Wazuh, Nessus, pfSense) donnent lieu à des missions d'organisation et de documentation, pas à un audit qualifié. Nous ne délivrons ni certification, ni label, ni titre. Nous ne sommes pas organisme de certification ISO/IEC 27001. Nous n'assurons pas la fonction de délégué à la protection des données d'un client, par risque de conflit d'intérêts.

Enfin, nous ne décrivons aucune intrusion réelle ni aucun établissement victime, et nous ne promettons ni niveau de détection ni conformité à un texte : une conformité se prépare, se diagnostique et s'accompagne. Pour un texte non transposé comme NIS 2, nous proposons un diagnostic de préparation et jamais un dossier destiné à un évaluateur.

Références officielles

Sources à consulter

• ANSSI, méthode EBIOS Risk Manager
• ANSSI, référentiels d'exigences pour la qualification
• ANSSI, la formation initiale en cybersécurité et le label SecNumEdu
• CNIL, notifier une violation de données personnelles
• CNIL, le délégué à la protection des données
• NIST, standardisation de la cryptographie post-quantique

Les textes évoluent

Les textes de sécurité et de protection des données sont régulièrement modifiés, et les dispositions européennes en attente de transposition peuvent changer de contenu avant leur adoption. Consultez la version en vigueur sur les sites officiels cités avant toute décision engageante. Votre responsable de la sécurité et votre délégué à la protection des données restent les relecteurs naturels des documents que nous produisons avec vous.