France Relance — quand la cybersécurité s’invite dans la relance économique française

Un projet d’envergure nationale

Le gouvernement français a lancé en septembre 2020 le projet France Relance, projet dont l’objectif est de redresser l’économie du pays de manière durable en investissant prioritairement dans les secteurs d’avenir. C’est dans ce contexte que le gouvernement a décidé d’attribuer 1,7 milliard d’euros à la transformation numérique de la France. De cette somme, 136 millions d’euros sont dédiés au pilotage du volet cybersécurité sur la période 2021–2022, pilotage confié à l’Agence Nationale de la Sécurité des Systèmes d’Information (ANSSI). L’ambition est claire : améliorer significativement et durablement le niveau de cybersécurité de l’État français, des collectivités territoriales, des établissements de santé et des organismes publics (social, santé, formation, audiovisuel, sécurité), tout en dynamisant l’écosystème industriel français. Concrètement, l’ANSSI va utiliser cette enveloppe pour :

• financer des prestations, produits et formations / sensibilisations cyber ;
• créer des centres régionaux de réponse aux incidents cyber (CSIRT ou «Computer Security Incident Response Team » ) pour accompagner les acteurs de taille intermédiaire.

Vaste programme !

Un ensemble d’offres pour accompagner les acteurs du secteur public

Pour atteindre les objectifs énoncés précédemment, l’ANSSI a construit un ensemble d’offres conjointement avec les partenaires étatiques et des associations de collectivités. Ces offres s’adaptent aux besoins des acteurs du secteur public ainsi qu’à leur niveau de maturité en cybersécurité. On distingue deux types d’offres :

• le dispositif de sécurisation, composée de deux sous offres que sont les Parcours de cybersécurité et les Appels à projets ;
• l’accompagnement à la création de CSIRT régionaux.

Représentation des offres de l’ANSSI dans le cadre du volet cybersécurité du plan France Relance.

Dispositif de sécurisation : les Parcours de cybersécurité

Il s’agit de l’offre qui intéressera probablement le plus de monde puisqu’elle concerne les collectivités territoriales et les organismes publics. Les Parcours de cybersécurité ont pour objectif d’élever le niveau de sécurité des systèmes d’information des bénéficiaires via la mise en œuvre de parcours de sécurité adaptés aux enjeux et aux besoins de ces derniers. Cette offre se décompose en trois grandes étapes : le pré-diagnostic, le pack initial et le(s) pack(s) relais.

Vue globale des étapes de l’offre Parcours de cybersécurité

Après un pré-diagnostic permettant d’évaluer la maturité en sécurité du SI du bénéficiaire (réalisé conjointement entre ce dernier et la Cellule Relation Candidats de l’ANSSI), une orientation vers un parcours initial adapté (parmi les quatre présentés ci-dessous) lui est proposée. La Cellule Relation Candidats élabore ensuite le contenu du parcours retenu de manière à ce que le bénéficiaire puisse communiquer au futur prestataire terrain (comme Pramana) les attendus en termes d’accompagnement. Le prestataire terrain est librement choisi par le bénéficiaire. Il réalisera le parcours initial et assurera les actions de sensibilisation, de formation et d’audit, puis élaborera un plan de sécurisation avec des mesures concrètes à mettre en œuvre. Les packs relais permettent ensuite de mettre en œuvre les mesures préalablement définis, soit par le même prestataire terrain, soit par un autre.

Liste des différents parcours initiaux de l’ANSSI. (Source de l’infographie : https://www.ssi.gouv.fr)

Tout le long du projet, un prestataire accompagnateur nommé par l’ANSSI, expert dans la démarche, accompagnera le bénéficiaire ainsi que le(s) futur(s) prestataire(s) terrain. Il pourra conseiller et guider le bénéficiaire dans le cadre de la contractualisation avec le(s) prestataire(s) terrain retenus. Le prestataire accompagnateur pourra également vérifier que le contenu proposé par le prestataire terrain est bien conforme aux besoins du bénéficiaire. Enfin, l’accompagnateur pourra apporter son expertise au prestataire terrain sur le déroulement du pack initial.

Présentation du contenu d’un pack initial. (Source de l’infographie : https://www.ssi.gouv.fr)

Dispositif de sécurisation : les Appels à projets

L’objectif de cette seconde offre est de cofinancer les projets de sécurisation de SI dont le niveau de sécurité est avancé. Les bénéficiaires ne sont donc pas les mêmes que pour les Parcours cybersécurité. On s’adresse ici aux ministères et à certaines collectivités territoriales dont le niveau de cybersécurité est suffisamment mature et dont le besoin suffisamment clair pour que le projet soit mené hors du cadre des Parcours de cybersécurité. Les projets en question peuvent notamment consister en l’acquisition de produits et de services en cybersécurité ainsi qu’en la réalisation d’audit et d’analyse de risque. Un apport minimum, à hauteur de 30 % du montant total de l’acquisition, sera attendu de la part du bénéficiaire. Le montant du cofinancement de l’ANSSI sera défini suivant la maturité du projet et des objectifs du plan de relance (il ne pourra néanmoins excéder 100 000 € par collectivité territoriale).

Création de CSIRT régionaux

L’ANSSI se tient à la disposition des régions pour les accompagner dans la création de centres de réponse aux incidents cybers (CSIRT ; aussi communément connus sous l’acronyme CERT ou « Computer Emergency Response Team »). Il s’agit de mettre en place dans chaque région une équipe composée d’entités volontaires, traitant les demandes d’assistance des acteurs de taille intermédiaire (PME, ETI, collectivités territoriales de plus de 5000 habitants et associations de dimension nationale) et mettant en relation ces acteurs avec des partenaires de proximité (prestataires et partenaires étatiques). Par ce biais, l’ANSSI souhaite encourager l’émergence de CSIRT pour fournir localement un service de réponse à incident de premier niveau, complémentaire à celui proposé par les prestataires locaux. Les CSIRT pourront de ce fait orienter et conseiller les acteurs concernés face à la menace cyber.

Frise chronologique de l’accompagnement de l’ANSSI dans la création de CSIRT régionaux.

L’ANSSI propose dans un premier temps d’incuber les CSIRT sur une période de quatre mois, méthodologiquement (création d’une feuille de route de mise en œuvre) mais aussi financièrement, toujours dans le cadre du plan France Relance. À l’issue du programme d’incubation, les entités volontaires auront conçu une feuille de route concrète leur permettant de créer puis de développer un centre de réponse aux incidents cybers. Dans un deuxième temps et via le programme InterCERT-FR, l’ANSSI propose de mettre en relation l’ensemble des CSIRT français dans l’objectif de créer une communauté et faire ainsi en sorte que chacun bénéficie de l’expertise de ses pairs.

Comment bénéficier du plan France Relance ?

Parcours de Cybersécurité

Les organismes qui souhaitent candidater à cette offre peuvent se rendre sur https://www.ssi.gouv.fr/FranceRelance pour demander un accompagnement. Sont concernés les organismes publics et les collectivités territoriales dont le niveau de maturité cyber n’est pas encore optimal.

Appels à projets

Le candidat (ministère ou collectivité territoriale ayant un niveau de sécurité avancé pour ses systèmes d’information) doit contacter son référent ANSSI ou le fonctionnaire de sécurité des systèmes d’information (FSSI) de son ministère de tutelle (selon sa situation). Les projets doivent être proposés par la chaîne SSI de son organisation et doivent s’intégrer dans une stratégie globale de sécurisation du système d’information.

Création de CSIRT régionaux

Un courrier a été envoyé par l’ANSSI à tous les président(e)s des conseils régionaux. Ils peuvent manifester en retour leur intérêt pour ce dispositif. Chaque région sera ensuite suivie pour identifier un projet d’intérêt et accompagner la création de la structure. Seules les régions, via les conseils régionaux, pourront bénéficier de cette offre.

Pramana, nouveau prestataire terrain de la région lyonnaise

Dans ce projet pharaonique, mais ô combien capital pour la sécurité informatique des acteurs du secteur public français, Pramana se positionne comme nouveau prestataire terrain sur la région lyonnaise. Nous intervenons à l’étape du Pack initial de l’offre Parcours cybersécurité afin d’aider au mieux les collectivités territoriales et les organismes publics dans la réalisation de l’état des lieux de leur SI (métier comme technique), dans l’élaboration du plan de sécurisation de ce dernier et dans la formation et la sensibilisation des collaborateurs (via notre branche dédiée, Pramana University, organisme de formation déclaré).

Pramana intervient à l’étape « Pack initial » de l’offre Parcours de cybersécurité.

Forts de nos expériences dans le contexte cyber et public (notamment pour des OIV), nos consultants disposent des clés de lecture pour comprendre les enjeux des acteurs du secteur public et conseiller au mieux ces derniers. N’hésitez pas à contacter nos spécialistes pour discuter du sujet ou pour plus d’informations sur nos offres en lien avec le plan France Relance.