kamrulkonok/evalllm2026-french-defense huggingface dataset:
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 50

DIR-39 SNSI – 2eme édition  
 
Page 50 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
PERS2 
ORG 
Former à la sécurité numérique le personnel amené à intervenir sur les systèmes 
industriels. La formation doit être adaptée à sa fonction, à son profil ou encore à 
ses droits d'accès dans le système. Un point d'attention est à porter sur :
- les administrateurs techniques et fonctionnels ainsi que sur les opérateurs* ;
- les RSSI (RSSI-A, RSSI-P) s'ils ne sont pas accompagnés de spécialistes en 
sécurité numérique des systèmes industriels. 
O
 
 
 
 
PERS3 
ORG 
Disposer d’administrateurs techniques et fonctionnels compétents et qualifiés. 
Tout système industriel doit être en effet administré par des personnels formés à 
cet effet. 
O
 
 
 
 
PERS4 
ORG 
Pour un système Non Protégé, disposer d'un contrôle élémentaire pour détenir des 
privilèges particuliers (compte administrateur). 
R  
 
 
 
Maîtriser les données 
INFO1 
ORG 
Identifier les données portant sur le procédé industriel*, le système numérique en 
lui-même, la sécurité numérique ou encore sur le projet, puis leur niveau de 
classification et enfin leur sensibilité en termes de confidentialité, de disponibilité, 
d’intégrité et de traçabilité. Les traiter en conséquence. 
O
 
 
 
Voir §3.6 de la directive 39. 
INFO2 
ORG 
Définir le niveau de sensibilité de la documentation et le faire apparaître clairement 
sur les documents. L’ensemble des documents relatifs à la conception, à la 
configuration ou au fonctionnement du système industriel sont à considérer 
comme des informations a minima sensibles. Les documents devraient être traités 
en conséquence. 
O
 
 
 
 
INFO3 
ORG 
Stocker les documents relatifs à la conception, à la configuration ou au 
fonctionnement dans un système d’information externe au système industriel. Le 
système doit satisfaire à leurs besoins de sécurité en matière de disponibilité, 
d’intégrité et de confidentialité.  
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 51

DIR-39 SNSI – 2eme édition  
 
Page 51 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
INFO4 
TECH 
Lorsqu’un équipement présente des risques non négligeables de perte, de vol ou 
de sabotage susceptibles de porter atteinte au système industriel, et qu'il contient 
des données a minima Diffusion Restreinte, chiffrer la mémoire de stockage. Cette 
règle est notamment applicable sur les postes de maintenance et les équipements 
mobiles susceptibles de quitter une zone sécurisée. 
R  
 
 
 
Intégrer la sécurité numérique dans le projet 
ISSIP1 
ORG 
Identifier la réglementation relative aux activités auxquelles concourt le système 
industriel et intégrer leurs exigences dans le socle de sécurité du SI (ensemble des 
exigences de sécurité applicables sur le système). 
O
 
 
 
 
ISSIP2 
ORG 
Définir des procédures et des moyens techniques pour permettre des opérations 
de maintenance préventive et curative et ainsi maintenir le niveau de sécurité dans 
la durée. 
O
 
 
 
Des modes dégradés pourraient être 
prévus pour réaliser des mises à jour. 
On pourra configurer les sorties d’un 
automate* pour qu’elles restent sur leurs 
derniers états, pendant la mise à jour de 
son firmware. 
ISSIP3 
ORG 
Prendre en compte le besoin de sécurité physique des équipements pour définir 
leur localisation et les moyens de protection physique. 
 
R 
O 
O 
 
ISSIP4 
ORG 
Exiger que les opérations non indispensables à la conduite du système industriel 
soient effectuées sur un autre système d’information. Les équipements et logiciels 
associés ne devraient pas être présents sur le système industriel. À titre 
d’exemple, des postes bureautiques non connectés au système industriel 
devraient être prévus pour permettre la consultation de la documentation, le 
remplissage de feuilles de suivi, etc. 
R  
 
 
 
ISSIP5 
ORG 
Insérer dans le cahier des charges la liste des documents attendus, au moins :  
-  une analyse fonctionnelle ou organique ;  
-  un dossier d’exploitation et de maintenance ; 
 
-  une ou des cartographies adaptées à la complexité du système et aux enjeux de 
sécurité. 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 52

DIR-39 SNSI – 2eme édition  
 
Page 52 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
ISSIP6 
ORG 
Insérer dans le cahier des charges des clauses demandant des tests de sécurité 
numérique, 
notamment 
lors 
des 
recettes 
usine 
et 
plateforme.
Des procédures de test de conformité en matière de cybersécurité doivent être 
définies et mises en place. 
 
C 
R 
O 
 
ISSIP7 
ORG 
En cas de prestation externalisée, insérer dans le cahier des charges un plan 
d’assurance sécurité (PAS). Celui-ci décrit toutes les mesures répondant aux 
exigences de sécurité numérique demandées. 
 
R 
O 
O 
 
ISSIP8 
ORG 
Insérer dans le cahier des charges une clause exigeant la fourniture 
d’équipements matériels et logiciels labellisés sur le plan de la sécurité numérique.
 
C 
C 
R 
 
ISSIP9 
ORG 
Inclure dans une clause que les supports d'un équipement informatique 
comportant une mémoire physique rémanente ayant vocation à stocker ou traiter 
des informations sensibles (DR, DCP) ou classifiées soient identifiables et ne 
retournent pas chez les tiers en cas de maintenance ou réparation. Cette mesure 
ne s'applique pas aux dispositifs agréés. 
O
 
 
 
Les 
mémoires 
rémanentes 
des 
composants systèmes (de type disques 
durs, 
mémoires 
flash, 
etc.) 
qui 
contiennent ou ont contenu des données 
classifiées de défense doivent pouvoir 
être extraites des équipements. Les 
modalités pratiques d’extraction dans le 
cas de l’envoi en maintenance ou de 
recyclage doivent être décrites dans les 
procédures d'exploitation et de soutien. 
ISSIP10 
ORG 
Définir, dès la phase de spécification, les modalités de démantèlement du système 
industriel, notamment la gestion des données et des procédés classifiés. Elles sont 
précisées au fur et à mesure du cycle de vie du système. 
O
 
 
 
 
ISSIP11 
ORG 
Intégrer au processus de choix les caractéristiques de sécurité numérique des 
équipements répondant aux clauses de sécurité. 
O
 
 
 
 
ISSIP12 
ORG 
Intégrer dans chaque temps contractuel, notamment lors du choix du candidat, le 
RSSI ou un expert en sécurité numérique selon la complexité du système et les 
enjeux de sécurité. 
O
 
 
 
 
ISSIP13 
ORG 
Définir des rôles pour les personnels accédant aux systèmes industriels.  
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 53

DIR-39 SNSI – 2eme édition  
 
Page 53 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
Les rôles doivent correspondre strictement aux missions de chacun selon la 
politique des moindres privilèges.  
Les rôles d'utilisateurs et d'administrateurs (techniques, fonctionnels) doivent être 
distincts. 
Intégrer les rôles dans la gestion des comptes informatiques. Les documenter et 
les implémenter. 
ISSIP14 
TECH 
En cas de développement réalisé au titre du système, appliquer les règles de 
bonnes pratiques, notamment la directive 40 (portant sur le développement des 
applications informatiques et des logiciels robustes du ministère). 
 
R 
O 
O 
Voir Directive DGNUM n°40 sur le 
développement robuste 
ISSIP15 
TECH 
Dédier un environnement de développement aux opérations de développement du 
système industriel. Cet environnement ne peut être utilisé pour d'autres activités. 
 
R 
O 
O 
 
ISSIP16 
TECH 
Séparer l’environnement de développement de l’environnement de production. 
O
 
 
 
 
ISSIP17 
TECH 
Protéger l’environnement de développement de manière à satisfaire aux mêmes 
besoins de sécurité du système industriel en matière de disponibilité, d'intégrité et 
de confidentialité. Il doit satisfaire aux mêmes exigences de sécurité auxquelles 
s'ajoutent des exigences de sécurité en matière de développement. En cas de 
prestation externe, fournir un plan d'assurance sécurité (PAS). 
O
 
 
 
 
ISSIP18 
ORG 
Vérifier le niveau de sécurité de l’environnement de développement. 
 
C 
R 
R 
 
ISSIP19 
ORG 
Intégrer dans le contrat une clause pour que l'entité responsable puisse auditer le 
contractant ou les fournisseurs afin de vérifier que l'ensemble des mesures de 
sécurité numérique demandées sont bien appliquées. 
 
C 
R 
R 
 
ISSIP20 
TECH 
Mettre en œuvre une analyse statique du code et des tests de robustesse avant la 
mise en production et préalablement à l'intégration de changements majeurs. 
C  
 
 
 
ISSIP21 
ORG 
Effectuer un audit de code par des prestataires labellisés. 
 
C 
C 
R 
 
Protéger physiquement le système et les contrôles d’accès aux locaux, aux équipements et aux câblages
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 54

DIR-39 SNSI – 2eme édition  
 
Page 54 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
PHY1 
ORG 
Appliquer les mesures de protection physique définies dans l’IGI 1300 et l’IM 900 
si le système industriel traite de données classifiées ou portant une mention de 
protection Diffusion Restreinte. 
O
 
 
 
 
PHY2 
ORG 
TECH 
Mettre en place des mécanismes de contrôle d’accès adaptés aux enjeux de 
sécurité du système industriel ou conformes aux réglementations selon la nature 
du système ou son niveau de confidentialité. 
O
 
 
 
 
PHY3 
ORG 
Définir et mettre en œuvre une politique de contrôle d’accès aux locaux, aux 
armoires et aux coffrets abritant des équipements du système industriel (gestion 
des accès aux locaux, mécanismes de contrôle d'accès, gestion des clés et des 
codes d’alarme, etc.).   
Les mécanismes de contrôle d’accès sont adaptés aux enjeux de sécurité du 
système industriel ou conformes aux réglementations selon la nature du système 
et son niveau de confidentialité. 
O
 
 
 
 
PHY4 
ORG 
Définir le personnel explicitement autorisé, voire habilité, à accéder sans 
accompagnement aux locaux abritant des équipements du système industriel. La 
liste de ce personnel doit être tenue à jour. 
O
 
 
 
 
PHY5 
ORG 
TECH 
Tracer l’accès aux locaux, notamment les locaux techniques, armoires, coffrets 
abritant des éléments sensibles du système industriel, y compris pour le personnel 
accompagné. Les traces sont conservées un an. 
O
 
 
 
 
PHY6 
ORG 
Mettre en place un dispositif de détection d'intrusion et de vidéosurveillance pour 
les locaux ou zones physiques les plus sensibles en cas de risques d'intrusion 
physique jugés non négligeables, en particulier pour les locaux et zones non 
occupés de manière permanente.  
 
C 
R 
O 
 
PHY7 
ORG 
Déployer les serveurs et les postes d’exploitation dans des locaux différents. 
 
R 
O 
O 
 
PHY8 
ORG 
Installer les serveurs dans des locaux fermés sous contrôle d’accès, si possible 
dans des salles informatiques ou locaux techniques. 
 
R 
O 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 55

DIR-39 SNSI – 2eme édition  
 
Page 55 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
PHY9 
ORG 
Insérer les locaux techniques et les locaux abritant des serveurs dans des zones 
protégées (ZP).  
 
R 
R 
O 
 
PHY10 
ORG 
Ne rendre accessibles les unités centrales des stations, les équipements réseaux 
industriels et les automates* qu'au personnel autorisé et ayant besoin d'y accéder. O
 
 
 
 
PHY11 
TECH 
Mettre en place un dispositif de détection d’ouverture avec remontée d’alarme sur 
les armoires des équipements sensibles. A minima, sur les coffrets extérieurs 
contenant des composants sensibles, un moyen de contrôle visuel, comme la pose 
de scellés par exemple, doit être installé. Le retrait de ces moyens visuels doit 
suivre une procédure bien définie et être soumis à autorisation préalable. 
 
C 
R 
O 
 
PHY12 
ORG 
Interdire la libre accessibilité aux prises d’accès au système industriel si les 
équipements sont accessibles au public ou dans des zones sans surveillance. 
O
 
 
 
 
PHY13 
ORG 
Protéger le câblage du système industriel pour prévenir ou détecter tout accès en 
vue d’une écoute, d’une modification ou d’une perturbation du fonctionnement du 
système. 
 
R 
O 
O 
Par exemple, mise en place du capotage 
pour le câblage. 
Il 
est 
possible 
de 
s’inspirer 
des 
exigences 
portant 
sur 
les 
circuits 
approuvés (cf. DTM 63). Dans le cas de 
systèmes classifiés, ces exigences sont 
obligatoires. 
PHY14 
TECH 
Obturer les prises dédiées à la maintenance lorsqu’elles ne sont pas utilisées 
(bouchons, plaques d’occultation, etc.). Le retrait de l’obturateur suit une 
procédure bien définie et il est soumis à autorisation préalable. 
O
 
 
 
 
PHY15 
ORG 
En cas de locaux mutualisés ou partagé avec un organisme, mettre en place une 
convention de services définissant les responsabilités en matière de sécurité entre 
entité hébergée et hébergeant. 
O
 
 
 
 
PHY16 
ORG 
En cas de locaux mutualisés ou partagés avec un autre organisme, mettre en place 
des réseaux physiquement séparés. 
O
 
 
 
 
Maîtriser les zones de sécurité au sein du système industriel
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 56

DIR-39 SNSI – 2eme édition  
 
Page 56 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
RSO1 
TECH 
Découper les systèmes industriels par zones de sécurité auxquelles est attribué 
un niveau de classe*. 
O
 
 
 
Un système industriel peut être réduit à 
une seule zone de sécurité*. 
RSO2 
TECH 
Mettre en place un cloisonnement* entre les zones de sécurité*.  
Le cloisonnement* est physique entre les zones de classe 3 et les zones de classe* 
inférieure. L’utilisation de cloisonnement* logique est alors interdite.  
Pour les autres niveaux de classe*, privilégier autant que possible un 
cloisonnement* physique entre les zones de sécurité.  
O
 
 
 
 
RSO3 
ORG 
Lorsque la séparation physique n'est pas possible entre des zones de sécurité de 
classes* différentes, mettre en place une solution de tunnel VPN labellisée. 
 
R 
O 
O 
 
RSO4 
ORG 
Lorsque la séparation de tunnel VPN n'est pas possible entre des zones de 
sécurité de classes* différentes, mettre en place un cloisonnement* logique de 
type VLAN. 
 
R 
O 
O 
 
RSO5 
TECH 
Mettre en place une politique de filtrages* entre les zones de sécurité. Les flux sont 
limités au strict besoin.  
O
 
 
 
Pour définir une politique de filtrage*, on 
pourra notamment se reporter au guide 
de l’ANSSI. 
 
Pour les flux utilisant le protocole IP, on 
en rappelle néanmoins ici quelques 
grands principes : 
 
- un flux est identifié par l’adresse IP 
source, l’adresse IP destination, le 
protocole de transport (par exemple 
UDP ou TCP) et, le cas échéant, les 
numéros de port source et destination ;
 
 
- les flux sont refusés par défaut ;
- 
seuls 
les 
flux 
nécessaires 
au 
fonctionnement du système industriel 
sont autorisés ; 
 
- les flux rejetés doivent être journalisés 
et analysés ;
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 57

DIR-39 SNSI – 2eme édition  
 
Page 57 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
- tous les flux entrants ou sortants du 
système 
industriel 
doivent 
être 
journalisés. 
Les moyens assurant le filtrage peuvent 
être physiques et/ou dédiés selon les 
risques à couvrir et dans la mesure du 
possible. 
RSO6 
TECH 
Lorsque des flux non-IP doivent transiter entre deux zones distinctes, effectuer un 
filtrage* sur les identifiants source et destination, ou un filtrage* sur les protocoles 
autorisés. 
 
R 
O 
O 
Dans le cas d’Ethernet, on pourra 
effectuer le filtrage* sur les adresses 
MAC source et destination. 
RSO7 
TECH 
Mettre en place des flux unidirectionnels entre deux zones de classes* différentes 
afin de n'autoriser les flux que de la zone de classe* la plus élevée vers la zone de 
classe* la moins élevée. Dans le cas de zones de classe 3, l’unidirectionnalité est 
assurée par une diode labellisée. 
R  
 
 
L’unidirectionnalité des flux pourra être 
assurée par un pare-feu. 
RSO8 
TECH 
Former au moins une zone de sécurité* à part entière pour le réseau 
d’administration.  
 
R 
O 
O 
 
RSO9 
TECH 
Cloisonner le réseau d’administration des équipements des autres réseaux de 
manière physique.  
 
C 
R 
O 
Le périmètre porte sur les équipements 
d’informatique classique comme les 
commutateurs, passerelles, routeurs, 
pare-feu, etc. 
RSO10 
TECH 
Protéger le système industriel du système d’information de gestion* (niveau 4) par 
un dispositif de filtrage* (pare-feu). Les flux sont limités au strict minimum. 
 
R 
O 
O 
 
RSO11 
TECH 
Proscrire l’usage de protocoles non sécurisés (telnet, http, ftp, etc.) en leur 
privilégiant des protocoles garantissant confidentialité, intégrité, authenticité des 
points communicants (https, ssh, sftp, bacnets-c).   
Si l'usage de protocoles non sécurisés est nécessaire pour des raisons techniques 
et opérationnelles, mettre en place des mesures compensatoires comme : 
 
-  mettre en place des protections paramétriques (pare-feu) ; 
 
-  encapsuler les flux dans un VPN pour en assurer l’authenticité et l’intégrité. 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 58

DIR-39 SNSI – 2eme édition  
 
Page 58 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
Maîtriser l’accès au réseau 
RSO12 
ORG 
Identifier, localiser et recenser les points d’accès réseau ainsi que leur statut 
(obstrué, désactivé, etc.) 
O
 
 
 
 
RSO13 
TECH 
Désactiver les points d’accès réseau non utilisés (commutateurs, automates*, 
baies de brassage, prise de maintenance sur les bus de terrain, etc.). 
O
 
 
 
 
RSO14 
TECH 
En cas de liens sans protection physique, déployer des passerelles VPN aux 
extrémités des liaisons pour protéger l’intégralité du trafic. L’équipement devrait 
être positionné derrière un pare-feu ne laissant passer que les flux strictement 
indispensables. En particulier, le trafic externe au VPN devrait être bloqué. 
 
R 
O 
O 
 
RSO15 
ORG 
Protéger l’accessibilité des points d’accès réseau. Ils ne doivent être accessibles 
que dans des locaux, armoires ou coffrets à accès maîtrisés. 
 
R 
O 
O 
 
RSO16 
TECH 
Remonter une alerte en cas de tentative de connexion et de déconnexion sur les 
ports réseau, et la traiter. 
 
R 
R 
O 
 
Maîtriser les interconnexions 
RSO17 
TECH 
Assurer un cloisonnement* entre le système industriel et d’autres systèmes 
(industriels ou d’information).  
O
 
 
 
 
RSO18 
TECH 
Limiter strictement les flux d’informations entre le système industriel et d’autres 
systèmes, uniquement lorsqu’ils sont fonctionnellement requis, et durant la plage 
horaire autorisée, et au bénéfice du système industriel, sous réserve : 
  
- d’en maîtriser la nature, le sens et le chemin suivi (les flux unidirectionnels 
devront être privilégiés) ; 
 
- d’authentifier les interfaces participant aux échanges ; 
 
- d’en préserver l’intégrité des échanges, voire leur confidentialité ; 
 
- de détecter les intrusions éventuelles ; 
 
- d’assurer la traçabilité des échanges. 
 
Dans tous les autres cas, ces flux d’informations sont interdits. 
 
R 
O 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 59

DIR-39 SNSI – 2eme édition  
 
Page 59 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
RSO19 
TECH 
Protéger les interconnexions entre des systèmes répartis sur des localisations 
différentes pour garantir la confidentialité, l’intégrité, la disponibilité, et l’authenticité 
des communications.  
 
R 
O 
O 
On pourra utiliser un VPN IPsec par 
exemple. 
RSO20 
TECH 
Dans le cadre d’interconnexions entre des systèmes répartis sur des localisations 
différentes, mettre en place un dispositif de filtrage* (pare-feu). 
 
R 
O 
O 
 
RSO21 
TECH 
Configurer les passerelles d’interconnexion selon le guide de l’ANSSI relatif à 
l’interconnexion d’un système d’information à Internet. 
 
R 
O 
O 
Guide ANSSI relatif à l’interconnexion 
d’un SI à Internet. 
RSO22 
TECH 
Interdire l’interconnexion d’un système industriel avec Internet de manière 
permanente sauf en cas de besoins dûment justifiés et sur autorisation de l’autorité 
d’homologation (AH). 
O
 
 
 
 
RSO23 
TECH 
Ne pas autoriser une interconnexion directe entre un système industriel de classe 
3 (ou zones de classe 3) et Internet. 
O
 
 
 
 
RSO24 
TECH 
En cas d’interconnexion autorisée entre un système industriel de classe 1 ou 2 (ou 
zones de classe 1 et 2) avec Internet, limiter les accès au strict nécessaire vers 
Internet depuis le système industriel. 
O
 
 
 
 
RSO25 
TECH 
Réciproquement, limiter les accès depuis Internet vers le système industriel au 
strict nécessaire. 
O
 
 
 
 
RSO26 
TECH 
Pour l’interconnexion, utiliser des équipements labellisés. 
 
C 
R 
O 
 
Maîtriser l’usage de la technologie sans fil 
RSO27 
TECH 
Limiter l’usage de la technologie sans fil au strict nécessaire ; 
En cas d’usage de la technologie sans fil, limiter sa période d’activation au strict 
nécessaire. 
O
 
 
 
 
RSO28 
TECH 
Si la technologie sans fil est utilisée, appliquer la directive 23 (DGNUM) portant sur 
les technologies sans fil.  
O
 
 
 
Directive 23 du 2 février 2021 portant sur 
la sécurité de technologies sans fil.
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 60

DIR-39 SNSI – 2eme édition  
 
Page 60 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
RSO29 
TECH 
Constituer une zone de sécurité* contenant le réseau sans-fil.  
O
 
 
 
Les communications sans fil devraient 
être cloisonnées au maximum en isolant 
les périphériques sans fil dans un 
réseau physique ou logique séparé. 
RSO30 
TECH 
Les points d’accès sans fil devraient mettre en place les mécanismes suivants :  
- l’authentification du point d’accès et du dispositif qui se connecte à l’infrastructure 
; 
- les fonctionnalités de contrôle d’accès réseau (ex : EAP) ; 
 
- la journalisation des connexions. 
 
R 
O 
O 
 
RSO31 
ORG 
Lorsque les événements de sécurité ne sont pas supervisés par un dispositif 
centralisé, examiner régulièrement les événements générés par les équipements 
sans fil. 
 
R 
O 
O 
 
Maîtriser les équipements 
EXP1 
TECH 
Durcir la configuration des équipements en désactivant ou supprimant :  
-  les comptes par défaut ou non utilisés ; 
 
-  les ports physiques inutilisés (ports de maintenance inclus) ; 
 
-  les supports amovibles, s’ils ne sont pas utilisés ; 
 
-  les services non indispensables (service Web par exemple) ; 
 
-  les logiciels non indispensables. 
 
R 
O 
O 
 
EXP2 
TECH 
Restreindre la connexion d’équipement en désactivant ou bloquant les ports 
physiques (ports USB, port maintenance) lorsque leur utilisation n’est pas 
nécessaire. 
 
R 
O 
O 
Mesures possibles :  
Par exemple, on pourrait envisager les 
mesures suivantes :  
- blocage des ports USB à l’aide de 
mécanismes de sécurité physiques ou 
logiques, comme les verrous USB 
physiques (avec clés) ou par un logiciel
- de 
sécurité 
capable 
de 
bloquer 
l’utilisation de clés USB et autres 
périphériques ;
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 61

DIR-39 SNSI – 2eme édition  
 
Page 61 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
-  le retrait ou la déconnexion des 
lecteurs de médias amovibles. 
EXP3 
TECH 
Sur les postes et serveurs,   
-  désactiver l’ensemble des programmes non indispensables ; 
 
-  supprimer les données de tests ainsi que les comptes crées lors des tests, 
désormais inutiles. 
 
R 
O 
O 
 
EXP4 
TECH 
Supprimer les données de tests, toutes les fonctions de développement, les outils 
temporaires liés aux tests et aux évolutions (débogueur, script de configuration, 
…) ou fonctions locales de maintenance non utiles à la production sur les 
équipements (automates*, postes SCADA*, postes maintenance, serveurs, etc.) 
d’un système en production. 
 
R 
R 
O 
 
EXP5 
TECH 
Sur les automates* et les applications SCADA*, ne pas charger dans les 
équipements les mnémoniques et commentaires  
 
R 
O 
O 
 
EXP6 
ORG 
Privilégier les équipements labellisés. 
 
R 
R 
O 
 
EXP7 
TECH 
Pour sécuriser les systèmes d’exploitation des équipements, appliquer les guides 
de configuration rédigés ou recommandés par le ministère ou l’ANSSI s’ils 
existent. 
O
 
 
 
Voir référentiels Guide et configuration 
et Référentiel ANSSI 
EXP8 
TECH 
Appliquer sur les paramètres de durcissement de configuration une étude 
d’impacts fonctionnels pour ne pas remettre en cause la sûreté de fonctionnement* 
du système industriel. 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 62

DIR-39 SNSI – 2eme édition  
 
Page 62 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP9 
TECH 
Appliquer le principe du moindre privilège sur les applications. Elles doivent 
s’exécuter avec des privilèges strictement nécessaires à leur fonctionnement. 
 
R 
O 
O 
 
EXP10 
TECH 
Pour les automates*, lorsque les équipements le permettent, activer les 
mécanismes suivants : 
 
-  protection d’accès à la CPU et/ou au programme ; 
 
-  restriction des adresses IP pouvant se connecter (liste blanche) ; 
 
-  désactivation du mode de programmation à distance. 
 
R 
R 
O 
 
EXP11 
TECH 
Mettre en place, dans le processus de livraison, un mécanisme de vérification de 
contrôle d’intégrité des équipements et programmes applicatifs, et d’authenticité 
de l’émetteur des composants du système industriel (signature), notamment dans 
le processus de livraison. 
 
La vérification doit s’effectuer au chargement du composant et de manière 
périodique par mesure de contrôle. 
 
C 
R 
O 
Éléments 
concernés 
: 
firmwares, 
systèmes 
d'exploitation 
et 
logiciels 
standards, 
progiciels 
SCADA*, 
programmes 
d'automates 
et 
de 
SCADA*, fichier de configuration des 
équipements réseau, etc. 
EXP12 
TECH 
Vérifier l’intégrité des équipements et logiciels au chargement du composant et de 
manière périodique par mesure de contrôle. Cette vérification concerne :  
-  les systèmes d’application et firmware ;  
-  les logiciels et progiciels SCADA* ; 
 
-  les paramètres de configuration durcis. 
 
R 
O 
O 
 
EXP13 
TECH 
Ne pas installer d’outils de développement sur les machines de production. Seuls 
les environnements de production (runtime) doivent être installés sur les serveurs 
et stations SCADA* par exemple. En cas d’impossibilité, mettre en place des 
mesures palliatives pour réduire la surface d’attaque. 
 
R 
O 
O 
 
EXP14 
TECH 
Dédier les consoles de programmation*, les stations d’ingénierie*, les postes 
d’administration et les stations de maintenance, fixes ou nomades, à leur seul 
usage. 
O
 
 
 
 
Maîtriser les postes sensibles du système (consoles de programmation, stations d’ingénierie, poste de maintenance, poste d’administration) 
EXP15 
TECH 
Durcir la configuration des consoles de programmation*, des stations d’ingénierie*, 
des postes d’administration et des stations de maintenance 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 63

DIR-39 SNSI – 2eme édition  
 
Page 63 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP16 
TECH 
Appliquer les règles suivantes aux stations d’ingénierie* :  
-  ne pas les connecter à Internet ;  
-  les installer dans des locaux maîtrisés (sous contrôle d’accès) ;  
-  les éteindre lorsqu’elles ne sont pas utilisées. 
 
Activer la veille avec verrouillage de session si la station et l’activité le permettent
O
 
 
 
 
EXP17 
TECH 
Appliquer les règles suivantes aux consoles de programmation* :  
-  ne pas les connecter à Internet ;  
-  ne pas les connecter à d’autres systèmes que le système industriel ; 
 
Appliquer les règles pour les terminaux mobiles ;  
-  les stocker dans un local sécurisé ; 
 
-  les rendre facilement identifiables (marquage visuel par exemple) ; 
Activer la veille avec verrouillage de session si la station et l’activité le permettent
O
 
 
 
 
EXP18 
TECH 
Appliquer les règles suivantes aux postes d’administration : 
 
- ne pas les connecter  à Internet ;  
- ne pas les connecter à un réseau de gestion ; 
 
- les installer dans des locaux maîtrisés (sous contrôle d’accès) ;  
- les éteindre lorsqu’ils ne sont pas utilisés ; 
Activer la veille avec verrouillage de session si la station et l’activité le permettent
O
 
 
 
 
Maîtriser la gestion des accès et des comptes 
EXP19 
ORG 
Définir et gérer les droits d’accès aux ressources selon les principes du besoin 
d’en connaître et du moindre privilège. 
O
 
 
 
 
EXP20 
ORG 
Décrire dans la documentation du système les processus d'affectation, de révision 
et de suppression des droits d'accès applicables aux utilisateurs et 
administrateurs. 
O
 
 
 
 
EXP21 
ORG 
Définir et maintenir la liste des utilisateurs autorisés à accéder au système 
industriel, notamment aux postes sensibles (stations d'ingénierie*, consoles de 
programmation*, postes d'administration). 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 64

DIR-39 SNSI – 2eme édition  
 
Page 64 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP22 
ORG 
Effectuer une revue régulière des intervenants et de leurs comptes, au minimum 
une fois par an pour vérifier :  
- l'application des règles portant sur les comptes et les accès ;
- la pertinence des comptes. Si des comptes appartiennent à des personnels 
n’intervenant plus sur le système industriel, ils sont désactivés et supprimés au 
bout d’un temps défini afin de garantir la traçabilité de leurs actions..
Porter une attention particulière sur les comptes d’administration. 
O
 
 
 
Les comptes doivent être désactivés dès 
le départ d'un personnel. Le circuit 
départ de l'entité prévoit une notification 
aux administrateurs des systèmes. 
EXP23 
ORG 
Dans le cas où un appel doit être fait, exceptionnellement et pour des raisons de 
savoir-faire exclusif, à des personnes non habilitées (étrangères par exemple) pour 
effectuer un dépannage ou une opération particulière sur des matériels ou 
logiciels, mettre en place toutes mesures utiles pour qu'elles ne puissent avoir 
connaissance, même fortuitement d'informations sensibles ou classifiées. De plus, 
leur accès physique et leur intervention doivent être effectués sous la surveillance 
continue de personnels habilités et qualifiés. 
O
 
 
 
 
EXP24 
ORG 
Créer 
des 
comptes 
selon 
le 
principe 
de 
moindre 
privilège.
Porter une attention particulière sur les comptes de privilèges élevés. 
O
 
 
 
Exemples de comptes de privilèges 
élevés 
: 
- « administrateur système » permettant 
l’administration 
informatique 
des 
équipements 
(serveurs, 
stations 
et 
équipements réseau par exemple) et 
des systèmes d’exploitation ;  
- « ingénieur de procédé » permettant 
d’accéder 
à 
des 
fonctions 
de 
configuration ou de programmation des 
applications SCADA* et automates* par 
exemple. 
EXP25 
ORG 
Affecter des comptes de manière individuelle. Chaque compte doit être attribué à 
une seule personne bien identifiée, via un compte nominatif dans la mesure du 
possible. En cas de compte non nominatif, le faire prendre en compte à son 
détenteur. 
 
R 
O 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 65

DIR-39 SNSI – 2eme édition  
 
Page 65 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP26 
TECH 
Interdire les comptes génériques disposant de privilèges comme les comptes 
administrateurs . 
O
 
 
 
 
EXP27 
TECH 
Pour les comptes ne disposant pas de privilèges, ne pas employer de compte 
générique ou fonctionnel sauf besoins dûment justifiés.  
 
R 
O 
O 
 
EXP28 
ORG 
Si les comptes génériques ou fonctionnels doivent être utilisés en raison de 
besoins dûment justifiés : 
 
-  limiter son usage au strict nécessaire (fonctionnel, temporel) ;  
-  désactiver le compte en dehors des périodes autorisées d’utilisation ;  
-  mettre en place des mesures permettant de tracer les accès ;  
-  documenter l’usage des comptes. 
 
R 
O 
O 
 
EXP29 
TECH 
Protéger les comptes, et plus particulièrement les comptes à privilège (comptes 
administrateur, comptes de service), par un mécanisme d’authentification. 
O
 
 
 
 
EXP30 
TECH 
Séparer strictement les comptes utilisateurs et administrateurs.  
O
 
 
 
 
EXP31 
TECH 
Mettre en place un audit des événements liés à l’utilisation des comptes. 
O
 
 
 
 
EXP32 
ORG 
Valider l’usage de comptes à privilèges par le responsable hiérarchique de 
l’utilisateur. 
R  
 
 
 
EXP33 
TECH 
Lorsque cela est possible, configurer un accès en lecture seule pour les 
interventions de maintenance de premier niveau. 
R  
 
 
 
EXP34 
TECH 
Si la gestion des comptes est centralisée, contrôler régulièrement, au moins une 
fois par an, la configuration de l’annuaire centralisé. 
O
 
 
 
 
Maîtriser l’accès au système 
EXP35 
ORG 
Lorsque le système n’offre pas de mécanisme d’identification, mettre en place des 
mesures organisationnelles permettant d’identifier l’auteur des actions associées. 
Contrôler leur application au moins une fois par an. 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 66

DIR-39 SNSI – 2eme édition  
 
Page 66 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP36 
TECH 
Mettre en place une authentification forte (carte à puce, OTP) ou multifacteur pour 
accéder, et lorsque cela est possible : 
 
- à des comptes à privilège sur les postes, les serveurs ;   
- aux équipements de terrain (automates*, entrées/sorties, déportés, etc.) ; 
 
- aux équipements exposés (ordinateurs portables, consoles de programmation*, 
pare-feu, VPN, etc.). 
 
N
A 
R 
R 
 
EXP37 
TECH 
Mettre en place une authentification pour accéder aux différents composants 
(équipements 
et 
logiciels) 
lorsque 
cela 
est 
techniquement 
possible.
Elle s’appuie sur des identifiants personnels afin de permettre une imputabilité 
individuelle des accès et des actions. 
O
 
 
 
 
EXP38 
ORG 
TECH 
En cas d’impossibilité d’authentification forte, renforcer le paramétrage de mots de 
passe et appliquer des mesures compensatoires. Celles-ci sont définies dans les 
procédures d’exploitation de sécurité (PES). 
 
C 
O 
O 
À titre d’exemple : 
 
- contrôle d’accès physique ;  
- 
limitation 
des 
fonctionnalités 
accessibles 
(consultation 
sans 
modification, par exemple) ;  
- mise en place d’une authentification 
par 
carte 
à 
puce 
sans 
code 
;
- cloisonnement* de l’équipement plus 
fort ; 
  
- etc. 
EXP39 
TECH 
Configurer les paramètres des mots de passe de manière à les rendre robustes 
(durée de validité minimale et maximale, nombre de mots de passe non 
réutilisable, …) en tenant compte des risques et des dérives possibles des 
pratiques des utilisateurs en cas de règles trop contraignantes (changement trop 
fréquent de mots de passe). 
O
 
 
 
 
EXP40 
TECH 
Modifier les mots de passe par défaut si cela est réalisable. Identifier ceux qui ne 
peuvent être modifiés afin d'y appliquer une surveillance particulière. 
O
 
 
 
 
EXP41 
TECH 
Privilégier une temporisation d’inhibition par rapport au blocage en cas d’échec 
d’authentification. 
R
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 67

DIR-39 SNSI – 2eme édition  
 
Page 67 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP42 
TECH 
Protéger les mots de passe (ou leur empreinte) en confidentialité et en intégrité, 
en particulier lorsqu’ils sont transmis en réseau ou stockés dans un fichier. 
O
 
 
 
 
EXP43 
ORG 
Définir une procédure garantissant la sécurité pour la réinitialisation des mots de 
passe en cas de perte ou d’oubli. 
R  
 
 
 
EXP44 
TECH 
Enregistrer les échecs d’authentification et les authentification réussies des 
comptes à privilèges. 
 
R 
O 
O 
 
Journaliser et surveiller 
EXP45 
ORG 
Définir une politique de journalisation. Elle doit permettre :  
-  de définir les responsabilités ; 
 
-  de déterminer les événements pertinents à journaliser ;  
-  d’organiser le stockage et l’archivage des données journalisées (volumétrie, 
durée, conservation, protection, etc.) ; 
 
-  de définir les conditions d’analyse (en préventif, post-incident, etc.) 
 
-  de définir les événements qui devront déclencher des alertes. 
 
R 
O 
O 
Voir la liste d’événements possibles en 
annexe B du guide ANSSI sur les 
mesures détaillées à appliquer sur les 
systèmes industriels. 
EXP46 
TECH 
Activer les fonctions de traçabilité sur les équipements et logiciels s’ils le 
permettent (Syslog, Windows Event, etc.). 
 
R 
O 
O 
 
EXP47 
TECH 
Mettre en place un système de gestion centralisée et sécurisée des journaux 
d’événements. Les besoins de sauvegarde, de confidentialité, d’intégrité et de 
disponibilités doivent être évalués et garantis. 
 
C 
R 
O 
 
EXP48 
TECH 
Journaliser les modifications de paramètres des capteurs*, actionneurs*, fonctions 
d’asservissement et de régulation. 
 
C 
R 
O 
 
EXP49 
TECH 
Analyser régulièrement les journaux d’événements de sécurité selon une 
fréquence adaptée aux besoins. Les  fréquence de l’analyse ainsi que les 
événements recherchés doivent être préalablement définis par le RSSI. 
 
R 
O 
O 
 
Maîtriser l’usage des supports amovibles
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 68

DIR-39 SNSI – 2eme édition  
 
Page 68 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP51 
ORG 
Identifier les supports amovibles (clé USB, disquette, carte (micro-)SD, disque dur, 
etc.) nécessaires au système industriel et limiter leur usage au strict nécessaire. 
O
 
 
 
 
EXP52 
ORG 
Définir explicitement l’emploi des supports amovibles, notamment : 
 
-  les supports autorisés ; 
 
-  le personnel autorisé à les utiliser ; 
 
-  les procédures de gestion et de contrôles ; 
 
-  les utilisations légitimes. 
O
 
 
 
 
EXP53 
ORG 
Dédier les supports amovibles au système industriel. Sont interdites :
- 
la 
connexion 
de 
tout 
autre 
support 
sur 
le 
système 
;
- leur connexion sur un autre système non maîtrisé par le ministère ;
- 
leur 
utilisation 
pour 
tout 
autre 
usage.
Les supports dédiés sont mis à disposition des personnes intervenant sur le 
système industriel. 
O
 
 
 
 
EXP54 
ORG 
Avant toute connexion sur le système industriel, contrôler l’innocuité du contenu 
du support et « décontaminer » les supports amovibles sur une station blanche. 
O
 
 
 
 
EXP55 
ORG 
En cas d’échange de données à partir d’un support amovible non dédié vers le 
système industriel, transférer les données depuis une station blanche vers un 
support dédié au système industriel après avoir effectué un contrôle d’innocuité.  
O
 
 
 
 
Maîtriser l’usage des équipements mobiles 
EXP56 
ORG 
Faire prendre en compte les équipements mobiles (supports amovibles, poste de 
maintenance, nomadisme, etc.). 
O
 
 
 
 
EXP57 
ORG 
Identifier les équipements mobiles nécessaires au système industriel et limiter leur 
usage au strict nécessaire. 
O
 
 
 
 
EXP58 
ORG 
Définir l’emploi des équipements mobiles autorisés à se connecter sur le système 
en s’assurant de leur traçabilité. 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 69

DIR-39 SNSI – 2eme édition  
 
Page 69 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
EXP59 
ORG 
Dédier les équipements mobiles autorisés à se connecter sur le système industriel, 
y compris ceux utilisés par des prestataires extérieurs. 
 
R 
O 
O 
 
EXP60 
ORG 
Proscrire la connexion ou le raccordement d’équipements personnels sur le 
système industriel. 
O
 
 
 
 
EXP61 
TECH 
Faire signer par le fournisseur les éléments dont l’intégrité et l’authenticité doivent 
être vérifiées (équipementier, développeur, intégrateur, etc.). La signature doit être 
vérifiée par l’entité responsable à la réception et par l’équipement au chargement.
Le fournisseur doit fournir un certificat d'innocuité. Celui-ci présente le résultat 
d'une analyse antivirale et sa date, et précise l'éditeur du produit, la version du 
moteur, la date et la version de la base de signature. 
 
C 
R 
O 
 
Maîtriser la maintenance 
MAINT1 
ORG 
Mettre en place une procédure de gestion des interventions afin de pouvoir les 
tracer en identifiant :  
-  la personne qui exécute le travail et son donneur d’ordre ; 
 
-  la date et l’heure de l’intervention ; 
 
-  le périmètre sur lequel le travail est exécuté ; 
 
-  les actions réalisées ; 
 
-  la liste des équipements retirés ou remplacés (y compris, le cas échéant, les 
numéros d’identification) ; 
 
-  les modifications apportées et leur impact. 
 
Ces informations sont enregistrées dans un registre d’accès qui peut être sous 
forme numérique. 
O
 
 
 
Pour certaines emprises, certaines de 
ces 
informations 
seront 
déjà 
enregistrées 
via 
les 
procédures 
inhérentes 
aux 
sites. 
Les entités déclineront ces règles en 
fonction 
de 
leurs 
spécificités 
et 
procédures 
afin 
d’éviter 
des 
redondances inutiles. 
MAINT2 
ORG 
Définir les modalités des interventions, en particulier le processus d'autorisation, 
et les faire valider par le RSSI.  
 
R 
O 
O 
 
MAINT3 
ORG 
Interdire l’utilisation d’outils particuliers hors d’un cadre prévu par les politiques de 
sécurité mises en place. 
O
 
 
 
 
MAINT4 
ORG 
Pour les cas particuliers où l’intervenant apporte ses propres outils (des outils de 
diagnostic propres à l’équipementier par exemple), une procédure, même 
succincte, doit être mise en place pour vérifier que les équipements de l’intervenant 
 
R 
O 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 70

DIR-39 SNSI – 2eme édition  
 
Page 70 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
ont un niveau de sécurité satisfaisant. Leur innocuité virale doit être garantie. 
L'intervenant doit alors fournir un certificat d'innocuité. Celui-ci présente le résultat 
d'une analyse antivirale et sa date, et précise l'éditeur du produit, la version du 
moteur, la date et la version de la base de signature. 
MAINT5 
ORG 
Contrôler le processus d’intervention avant d’homologuer ou de ré-homologuer le 
système industriel. 
O
 
 
 
 
MAINT6 
ORG 
Assurer la protection du système industriel et des données sensibles en respectant 
les exigences minimales suivantes :  
-  cloisonnement* des informations ;  
-  habilitation des entreprises responsables de l’exécution des prestations ; 
 
-  habilitation et qualification des intervenants ; 
 
-  surveillance de l’intervention et contrôle des travaux réalisés. 
O
 
 
 
 
Maîtriser la télémaintenance 
MAINT7 
ORG 
Insérer dans le périmètre d’homologation les fonctions de télégestion*, de 
télémaintenance* ou de télédiagnostic*.  
O
 
 
 
 
MAINT8 
TECH 
Insérer les dispositifs de télégestion*, de télémaintenance* ou de télédiagnostic* 
dans une ou des zones de sécurité spécifiques. 
O
 
 
 
 
MAINT9 
ORG 
Vérifier les exigences d’habilitation (au sens métier et de la protection du secret de 
la défense nationale) des intervenants et des entreprises responsables de 
l’exécution des prestations (télégestion*, télémaintenance* ou télédiagnostic*) et 
des personnels effectuant les prestations.  
O
 
 
 
 
MAINT1
0 
TECH 
Limiter les prestations (télégestion*, télémaintenance* ou télédiagnostic*) au strict 
nécessaire et pendant une durée limitée.  
O
 
 
 
 
MAINT1
1 
TECH 
Activer la liaison de télémaintenance* autant que de besoin sous la responsabilité 
d’un administrateur du système industriel. La liaison ne doit pas être permanente. O
 
 
 
 
MAINT1
2 
TECH 
En cas d’opérations de télégestion*, télémaintenance* ou télédiagnostic*, 
appliquer les règles suivantes : 
 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 71

DIR-39 SNSI – 2eme édition  
 
Page 71 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
-  les modalités de l’intervention (motif, durée, fichiers modifiés, procédure de tests, 
procédure 
de 
restauration) 
doivent 
être 
définies 
et 
autorisées ;
- les connexions doivent être réalisées à la demande de l’entité responsable ;
- le télémainteneur doit utiliser un ID de connexion nominatif, non générique ;
-  l’équipement de connexion distant et l’administrateur distant doivent être 
authentifiés ;  
-  le mot de passe de connexion doit être changé régulièrement ;  
-  la journalisation des événements de sécurité doit être activée ;  
- après un délai précis d’inactivité, la connexion doit être fermée ; 
- l’équipement doit être cloisonné du reste du système industriel et seuls les flux 
indispensables pour l'opération doivent être autorisés entre l’équipement et le reste 
du système industriel ; 
 
-  les opérations de télémaintenance* ne doivent réalisées qu’à l’aide de protocoles 
sécurisés, assurant notamment l’intégrité, la confidentialité et l’authenticité des 
échanges.  
MAINT1
3 
TECH 
Mettre en œuvre une authentification forte à deux facteurs pour opérer la 
télémaintenance*. 
 
R 
O 
O 
 
MAINT1
4 
ORG 
Dans le cas d’une connexion par modem n’offrant pas de système 
d’authentification satisfaisant, utiliser un système de rappel (call-back) pour valider 
le numéro de téléphone appelant. 
 
R 
O 
O 
 
MAINT1
5 
TECH 
Utiliser pour la télémaintenance* un équipement de connexion labellisé. 
 
C 
R 
O 
 
MAINT1
6 
TECH 
Interdire toute possibilité de modification non autorisée du cloisonnement*, du 
filtrage*, des mécanismes d’authentification et de la journalisation par le prestataire 
(depuis l'extérieur du système industriel). 
O
 
 
 
 
MAINT1
7 
TECH 
Déployer une sonde de détection au niveau de la passerelle de connexion pour 
pouvoir analyser l’ensemble du trafic entrant et sortant. 
 
C 
R 
O 
 
MAINT1
8 
TECH 
Si des opérations de télémaintenance* sont impérativement nécessaires, les 
équipements distants et la liaison doivent être intégrés dans le périmètre et être 
 
C 
R 
O
20230609_np_dpid_2eme_edition_de_la_directive_ndeg_39.pdf — page 72

DIR-39 SNSI – 2eme édition  
 
Page 72 | 79 
N° 
Nature
Intitulé 
SI C1 C2 C3 Remarque 
inclus dans une zone de classe 3. L’ensemble des mesures de classe 3 doivent 
leur être appliquées. 
MAINT1
9 
TECH 
Mettre en place des solutions de télédiagnostic* sous réserve d’appliquer les 
règles suivantes  
: 
-  la connexion distante ne s’effectue que sur un serveur cloisonné ; 
 
-  les données nécessaires au télédiagnostic sont poussées sur ce serveur au 
travers d’une diode labellisée. 
 
N
A 
C 
O 
 
MAINT2
0 
ORGT
ECH 
En cas d’opérations de télégestion*, télémaintenance* ou télédiagnostic*, contrôler 
les travaux réalisés. 
O
 
 
 
 
MAINT2
1 
TECH 
Dans le cas d’un système industriel classifié ou portant une mention spécifique 
(Spécial France, Diffusion Restreinte), utiliser une passerelle homologuée pour 
réaliser des actions de télémaintenance*, de télégestion* ou de télédiagnostic*. 
O
 
 
 
 
Garantir le maintien en condition de sécurité 
MCS1 
ORG 
Définir une stratégie de maintien en condition de sécurité (MCS) à partir de la 
directive 47 de la DGNUM ou d’une directive portant sur le MCS et émanant des 
EMDS. 
O
 
 
 
Voir Directive 47 portant sur le MCS 
MCS2 
ORG 
Assurer une continuité contractuelle dans le maintien en condition de sécurité 
(MCS) des systèmes industriels. Le cas échant, les ruptures doivent être identifiés 
et donner lieu à une plus grande vigilance, voire à des mesures palliatives et 
défensives supplémentaires. 
O
 
 
 
 
Garantir la connaissance du système 
MCS3 
ORG 
Établir une cartographie physique et logique du système industriel. Le niveau de 
granularité des informations à fournir dépend des enjeux du système. La stratégie 
d’homologation définit les éléments de la cartographie. 
O
 
 
 
 
MCS4 
ORG 
Mettre à jour les informations insérées dans l’outil ministériel de patrimoine 
applicatif (ou de l’outil de suivi de l’AQSSI). 
O