Introduction
Les systèmes informatiques permettent d'obtenir rapidement et
subrepticement de grandes quantités d'informations sensibles. Cette
vulnérabilité est accrue par l'emploi d'ordinateurs individuels autonomes, en
réseau ou faisant fonction de terminaux intelligents pour un ordinateur central
ou un serveur.
Des utilisateurs autorisés peuvent perturber le fonctionnement du système ou
tenter d'obtenir des informations qu'ils n'ont pas besoin de connaître. Le risque
de compromission des informations s'accroît en proportion du nombre de
personnes qui peuvent avoir accès à toutes les informations contenues dans
le système. Le risque est d'autant plus élevé que la population en général et
les agents de l'entreprise en particulier connaissent de plus en plus le
domaine de l'informatique.
Le fait que les informations sont conservées par des moyens électroniques et
qu'elles peuvent, en conséquence, faire l'objet de nouvelles formes
d'agressions clandestines crée une tentation particulière pour ceux que l'on
appelle les "pirates". Les risques de détournement d'informations, de
manipulation de logiciel, d'introduction de virus sont élevés.
D'autre part, il existe des risques de mauvais fonctionnement du matériel ou
du logiciel par suite d'une défaillance, d'une erreur de conception ou d'une
intervention délibérée qui peuvent entraîner des altérations ou des
destructions de données, l'impossibilité de poursuivre le traitement, ou l'arrêt
du système.
Pour améliorer la sécurité face aux risques identifiés, les mesures à mettre en
œuvre doivent viser à assurer :
• la disponibilité, c'est-à-dire l'aptitude du système à remplir une fonction
dans des conditions prédéfinies d'horaires, de délais ou de
performances,
• l'intégrité qui garantit que l'information n'est modifiée que par une
action volontaire et autorisée,
• la confidentialité, c'est-à-dire la tenue secrète des informations avec
accès aux seules entités autorisées.
Les recommandations de ce document concernent les informations ne
relevant pas du secret de défense, mais dont la destruction, la falsification, le
détournement ou l'utilisation frauduleuse porterait atteinte aux intérêts
nationaux, au patrimoine scientifique et technique, ou à la vie privée ou
professionnelle des individus.
Ces informations sensibles peuvent, selon leur teneur, recevoir une mention
de protection "Diffusion Restreinte", "Confidentiel Spécifique" ou "Secret
Spécifique" au sein d'organismes civils et industriels.
Il appartient à chaque organisme, dans le cadre des prescriptions de la
réglementation existante et de ses règles internes, de préciser la nature des
informations devant recevoir une mention de protection Diffusion Restreinte,
Confidentiel ou Secret Spécifique.
D'une manière générale, toutes les informations d'un organisme qui ne sont
couvertes ni par le secret de défense, ni par une mention de protection de
confidentialité spécifique, mais qui sont considérées comme non
communicables au public, doivent recevoir la mention Diffusion Restreinte.
L'information traitée n'est pas seule à devoir être prise en compte ; un
système peut être sensible par lui-même. Une application donnée peut être
sensible sans que, pour autant, les informations traitées le soient.
Il est donc impératif que tout rédacteur, tout propriétaire d'information, tout
responsable de système, en détermine clairement le niveau de sensibilité et
en tire toutes les conséquences.