Article 4. Principes de base de l'ENS-AD

Article 4. Principes de base de l'ENS-AD

1. La sécurité de l'information traitée et des services fournis conformément à l'ENS-AD repose sur les principes de base suivants :

a) Sécurité entendue comme un processus intégral et systématique, qui inclut tous les éléments techniques, humains, matériels et organisationnels liés aux réseaux et aux systèmes d'information nécessaires pour fournir les services essentiels ou importants (principe de sécurité intégrale et systématique).

b) Gestion de la sécurité fondée sur la gestion des risques auxquels ces services sont exposés, de manière proportionnée à la nature de l'information traitée et aux services à fournir (principe de proportionnalité).

c) Modélisation des actifs d'information de base au moyen d'actifs d'information standard pour lesquels ils disposent de mesures standard de prévention, pour éliminer ou réduire la possibilité que les menaces se matérialisent ; de mesures standard de détection, pour découvrir la présence d'un cyberincident ; de mesures standard de réponse, pour restaurer l'information et les services qui auraient pu être affectés, et de mesures standard pour garantir la conservation des données et informations sur support électronique (principe de modélisation standard).

d) Stratification de la défense, en constituant des mesures qui forment des couches de sécurité, en ajoutant de nouvelles mesures à la couche de base pour construire la couche de niveau de sécurité moyen, et en ajoutant à nouveau davantage de mesures sur cette dernière pour constituer la couche de sécurité élevée, de manière à réduire la probabilité que la brèche dans une couche compromette tous les actifs d'information qui supportent les services auxquels s'applique l'ENS-AD (principe de stratification des mesures).

e) Surveillance continue pour détecter des activités ou des comportements anormaux, et réévaluation périodique pour adapter les mesures en fonction de l'évolution des risques auxquels sont exposés à chaque moment l'information traitée et les services à fournir (principe d'amélioration continue).

f) Différenciation des responsabilités concernant la fourniture des services et la sécurité des actifs d'information qui supportent ces services (principe de propriété des services et des actifs).