Cyberscore : Comment préparer sa mise en place ?

AVIS D’EXPERT – Sujet d’actualité ces derniers mois, le cyberscore annoncé par le Ministre délégué chargé de la transition numérique et des télécommunications, Jean-Noël Barrot, entrera en vigueur le 1er octobre 2023. Indicateur visuel, simple à lire, affiché prochainement sur les sites Web pour en estimer la sécurité, le cyberscore reprend clairement les codes du Nutri-score : A = plateforme Web saine, E = plateforme Web en mauvaise santé. Anaïs Azirou, consultante gouvernance chez Akerva, nous donne quelques conseils pour se préparer à cette nouvelle exigence.

Dans les faits, l’évaluation du cyberscore sera réalisée via un audit fait par un prestataire qualifié PASSI (Prestataires d’audit de la sécurité des systèmes d’information) par  l’Agence nationale de la sécurité des systèmes d’information (Anssi).

L’audit s’appuiera sur une grille d’audit regroupant 9 thématiques :

• Organisation et gouvernance
• Protection des données
• Connaissance et maîtrise du service numérique
• Niveau d’externalisation
• Niveau d’exposition sur Internet
• Dispositif de traitement des incidents de sécurité
• Audit du service numérique étudié
• Sensibilisation aux risques Cyber et lutte anti-fraude
• Développement sécurisé

Qui est concerné ?

Sont concernés par ce cyberscore les grandes plateformes numériques, les messageries instantanées et les sites de visioconférence sur toutes les plateformes numériques à destination du grand public. L’objectif de cette nouvelle certification sera d’informer au mieux les internautes sur les sites Internet qu’ils consultent et sur leur fiabilité, notamment en ce qui concerne la sécurisation de leurs données. Cette loi, appelée Loi Lafon, entrera en vigueur le 1er octobre 2023.

Trois principaux axes de travail

La protection des données : Pour avoir un bon cyberscore, il sera primordial d’assurer une bonne protection des données des utilisateurs, surtout les données à caractère personnel. Se conformer au règlement européen RGPD (Règlement Général sur la Protection des Données) est déjà obligatoire lorsque l’on traite des données à caractère personnel d’individus au sein de l’Union Européenne. Parmi les critères permettant d’assurer une bonne note, on retrouve notamment :

• L’existence de mesures techniques, organisationnelles et juridiques assurant la conformité du service aux recommandations de l’EDPB (European Data Protection Board), le comité européen de la protection des données, en matière d’hébergement et de traitement des données.
• L’existence d’une cartographie des informations traitées par le service numérique étudié et de leur sensibilité.

Les cookies : Lorsque l’on souhaite naviguer sur votre site internet, doit-on d’emblée faire face à une fenêtre pop-up avec « Accepter les cookies » en police 62, tandis que l’option « Continuer sans accepter » se cache en italique quelque part dans un coin de la page ? Si c’est le cas, il y a de fortes chances que cela impacte votre cyberscore. Parmi les critères de notation, on retrouve en effet la capacité à naviguer sur un site internet sans avoir à accepter les cookies.

Organisation et gouvernance  : Plusieurs critères d’organisation et de gouvernance de la sécurité seront pris en compte comme :

• L’assujettissement ou non de la société délivrant le service au droit européen.
• L’organisation de la maîtrise des risques de cybersécurité.
• L’existence ou non d’une assurance permettant de couvrir les risques numériques pour le service numérique.

Quelques pistes complémentaires

Pour espérer obtenir un bon cyberscore. D’autres critères seront pris en compte comme :

• Les certificats de sécurité et protocoles de chiffrement utilisés.
• La localisation des infrastructures d’hébergement du service numérique.
• La gestion de l’identification/authentification des administrateurs techniques et fonctionnels du service.
• La prise en compte des règles de l’OWASP dans les développements.
• Mais aussi la convivialité du site !

Anaïs Azirou, consultante gouvernance chez Akerva