🎬Démo-MonServiceSécurisé: un outil public pour piloter la sécurité de ses services numériques et faciliter l’homologation

Démo MonServiceSécurisé : un outil public pour piloter la sécurité de ses services numériques et faciliter l’homologation

Dans le cadre de notre cycle d’ateliers autour du socle numérique, de la souveraineté numérique et de la cybersécurité, nous avons consacré une session de démonstration à MonServiceSécurisé, le service de l’ANSSI conçu pour aider les entités publiques à piloter la sécurité de leurs services numériques et à préparer plus simplement leur homologation. Présenté sur son site comme un outil gratuit, 100 % en ligne, collaboratif et accessible à toutes les entités publiques, MonServiceSécurisé a également été reconnu service à impact national. ( (Ouvre une nouvelle fenêtre) MonServiceSécurisé)

Animée par Antoine Dupuy, responsable du déploiement au sein du laboratoire d’innovation de l’ANSSI, cette démo a permis de mieux comprendre la logique du service : proposer un cadre opérationnel, progressif et outillé pour sécuriser les services numériques publics, sans laisser les équipes seules face à des démarches souvent jugées complexes. L’outil se présente en effet comme un service permettant de “piloter en équipe la sécurité de tous vos services numériques et les homologuer rapidement”. ( (Ouvre une nouvelle fenêtre) MonServiceSécurisé)

👉 Voir la vidéo de la démonstration

Une approche guidée pour sécuriser les services numériques

La démonstration a montré que MonServiceSécurisé repose sur une logique simple en trois temps : décrire le service, mettre en œuvre les mesures de sécurité adaptées, puis préparer l’homologation.

La première étape consiste à caractériser le service concerné : type de service, exposition, hébergement, données traitées, volumétrie, audience, criticité ou encore localisation des données. À partir de ces éléments, l’outil détermine un besoin de sécurité et propose des mesures cohérentes avec le profil du service. L’enjeu n’est pas de tout traiter de manière uniforme, mais de positionner l’effort de sécurité au bon niveau. Cette promesse est d’ailleurs explicitement mise en avant sur le site du service. ( (Ouvre une nouvelle fenêtre) MonServiceSécurisé)

Un outil de pilotage, pas seulement de documentation

L’un des apports les plus concrets de la démonstration a été de montrer que MonServiceSécurisé n’est pas seulement un outil déclaratif. Il permet aussi de piloter dans le temps la mise en œuvre des mesures de sécurité.

Chaque mesure peut être documentée, suivie, priorisée, affectée à un contributeur et intégrée dans un plan d’action. L’outil permet ainsi de travailler de manière collaborative entre plusieurs profils : équipes projet, métiers, RSSI, DPO, voire prestataires lorsqu’ils sont associés à la démarche. Cette logique collaborative est bien au cœur du service, qui se présente comme un outil pensé pour le travail en équipe. ( (Ouvre une nouvelle fenêtre) MonServiceSécurisé)

Autre point fort présenté pendant la démo : la possibilité d’obtenir un indice cyber indicatif, permettant de visualiser le niveau de sécurisation d’un service en fonction de l’état d’avancement des mesures renseignées. Cette approche offre un repère utile pour suivre la progression, objectiver le niveau atteint et alimenter le dialogue avec l’autorité d’homologation.

Faciliter l’homologation de sécurité

La démonstration a également permis de voir comment l’outil accompagne la dernière étape du processus : l’homologation.

Une fois les informations renseignées et les mesures documentées, MonServiceSécurisé permet de générer les éléments nécessaires au dossier : synthèse de sécurité, description détaillée, avis, références documentaires, et surtout décision d’homologation prête à signer. Le site met clairement en avant cette capacité à simplifier l’homologation et à accélérer la production des documents nécessaires. ( (Ouvre une nouvelle fenêtre) MonServiceSécurisé)

Cet aspect est particulièrement utile pour les structures qui fonctionnaient jusque-là avec des pratiques hétérogènes, dispersées entre plusieurs tableaux, fichiers ou supports. L’outil permet ici de disposer d’un cadre homogène, réutilisable et partagé.

Un service pensé pour passer à l’échelle

La session a aussi montré l’intérêt de MonServiceSécurisé pour les organisations qui gèrent plusieurs services numériques. Tableau de bord, suivi du taux de complétion, gestion des homologations en cours ou expirées, import en masse de services ou de mesures personnalisées : plusieurs fonctions permettent de passer d’une logique service par service à une vision plus globale du parc numérique.

Cette dimension est importante, car elle permet non seulement de gagner du temps, mais aussi de mieux identifier les services les plus critiques, ceux qui doivent être traités en priorité, et ceux qui nécessitent un renouvellement d’homologation.

Un outil accompagné par une équipe et une communauté

Un autre message fort de la démonstration est que MonServiceSécurisé ne se limite pas à une plateforme à utiliser seul. Le site met en avant un accompagnement proposé par l’équipe du service, ainsi qu’une démarche de co-construction dans la durée. ( (Ouvre une nouvelle fenêtre) MonServiceSécurisé)

Antoine Dupuy a rappelé pendant la session que les utilisateurs peuvent solliciter l’équipe, poser des questions, faire remonter des besoins d’évolution, et rejoindre une communauté d’échange sur Tchap. Pour celles et ceux qui souhaitent s’inscrire dans cette dynamique, il a partagé le lien vers la communauté ANSSI/Innovation : (Ouvre une nouvelle fenêtre) rejoindre la communauté. ( (Ouvre une nouvelle fenêtre) Tally Forms)

À retenir

Cette démonstration a permis de découvrir un outil particulièrement utile pour les acteurs publics qui souhaitent :

• mieux structurer la sécurisation de leurs services numériques ;
• embarquer plusieurs contributeurs dans une démarche commune ;
• objectiver leur niveau de maturité ;
• préparer plus facilement l’homologation ;
• disposer d’un cadre de pilotage réutilisable à l’échelle de plusieurs services.

MonServiceSécurisé apparaît ainsi comme un outil concret pour transformer une obligation parfois perçue comme lourde en une démarche plus lisible, plus outillée et plus collective.

💬 Échanges avec les participants

Peut-on avancer progressivement dans la démarche d’homologation ?

Oui. Il est même recommandé de procéder progressivement.

Il est possible, par exemple, de réaliser une première homologation de courte durée (6 mois), afin de se mettre en conformité, puis de renforcer la sécurité dans le temps avant une nouvelle homologation.

Peut-on relancer une homologation avant son échéance ?

Oui. Une homologation peut être refaite à tout moment, même si elle est encore valide.

La nouvelle démarche vient alors remplacer la précédente, ce qui permet d’intégrer les évolutions du service ou les améliorations apportées.

L’homologation est-elle obligatoire pour tous les services ?

Oui, en principe, tout service numérique public est concerné.

Cela inclut par exemple :

• les sites web,
• les téléservices,
• les applications,
• et plus largement les systèmes d’information.

En revanche, une seule homologation couvre généralement l’ensemble du service (y compris le back-office).

L’objectif est-il uniquement réglementaire ?

Non, pas seulement. L’homologation correspond à une acceptation du risque par l’autorité responsable, mais l’enjeu principal reste la sécurisation effective du service.

L’outil permet justement de rendre visibles les risques et d’identifier les actions à mettre en œuvre pour les réduire.

Peut-on homologuer un service avec un faible niveau de sécurité ?

Oui. L’autorité peut décider d’homologuer un service même avec un niveau de sécurité faible, à condition que le risque soit connu et assumé.

Cependant, l’indice cyber permet d’objectiver la situation et d’identifier les améliorations nécessaires.

Peut-on modifier le niveau de sécurité proposé par l’outil ?

Oui, avec certaines limites.

Il est possible d’augmenter le niveau de sécurité, mais il n’est pas toujours possible de le diminuer. L’objectif est d’éviter de sous-estimer les risques.

Dans la pratique, les utilisateurs peuvent adapter la mise en œuvre via les mesures de sécurité et l’indice personnalisé.

Combien de temps faut-il pour homologuer un service ?

Cela dépend fortement du contexte :

• quelques jours si le service est bien connu et déjà sécurisé ;
• plusieurs semaines si la démarche est engagée pour la première fois.

L’outil permet dans tous les cas de progresser au rythme de l’organisation.

Quels types de systèmes peut-on intégrer dans l’outil ?

Au-delà des sites web, MonServiceSécurisé couvre désormais :

• applications,
• API,
• infrastructures,
• postes de travail,
• systèmes d’information au sens large.

L’outil s’adapte au périmètre de chaque organisation.