Guide-Integration-risque-cyber_2025.pdf — page 23

Pôle d’excellence cyber
45
44
La prolifération des attaques cyber concerne toutes les structures. Les collectivités territoriales ne sont pas épargnées. Les 
plus grandes comme les métropoles, ont en leur sein des services permettant de prendre en compte ce risque, tant en 
mettant en place les moyens pour se protéger, en sensibilisant leurs agents qu’en s’entrainant à gérer une crise cyber. Celles 
de taille intermédiaire ont l’opportunité de pouvoir profiter de mesures très efficaces mises en place en particulier par l’ANSSI 
pour monter en compétence. Par contre les plus petites communes restent l’angle mort. Or, que ce soit en termes d’impact 
sur le fonctionnement de la commune, de responsabilité pénale ou de confiance entre l’institution et le citoyen, le sujet est 
de même nature que pour les autres collectivités.
Dans le cadre du Comité Stratégique de Filière des industries de sécurité, et plus particulièrement dans le grand projet 
collectivités territoriales, les travaux menés depuis 2018 eu sein du groupe de travail “villes et territoires numériques de 
confiance face à la menace cyber” piloté par Rennes Ville & Métropole ont bien mis en lumière cette difficulté, typiquement 
pour les communes de moins de 3500 habitants, et la nécessité de les accompagner à mieux appréhender les risques cyber.
Les aider à faire figurer ce risque dans leur plan communal de sauvegarde (PCS) a été identifié comme l’approche la plus 
pragmatique, tant par sa dimension politique (c’est un document de responsabilité des élus) que par sa finalité très pragmatique 
(c’est une déclinaison opérationnelle locale des plans ORSEC). Par ailleurs, c’est un document dont la construction, par 
nature, embarque l’ensemble des protagonistes concernés, élus, services techniques, organismes externes impliqués par les 
différents sujets abordés.
Il est à noter que le risque cyber n’étant pas du périmètre ORSEC, nativement rien n’est prévu dans les plans types des PCS.
C’est sur cet axe qu’a souhaité, en priorité, travailler le “GT collectivités territoriales” du PEC en partenariat avec le 
CSF, en y apportant également quelques éléments permettant d’appréhender leur analyse de risque ainsi que quelques 
recommandations, voire d’identifier les supports permettant à un agent ou un élu volontaire de monter en compétence sur 
ce sujet.
Le présent document est le premier livrable de ce GT. Cette première version a vocation à être éprouver auprès de collectivités 
puis amendé au regard de leurs remarques afin qu’il soit encore plus une aide pour la prise en compte du risque cyber au 
sein de petites collectivités.
Annexe F : Origine de la démarche
ANSSI - Agence Nationale de la Sécurité et des Systèmes d’Information.
Évènement redouté - Un événement redouté est associé à une valeur métier et porte atteinte à un critère ou besoin de 
sécurité de la valeur métier.
Exemple : indisponibilité d’un service, modification illégitime de données, divulgations de données classifiées. Les événements 
redoutés à exploiter sont ceux des scénarios stratégiques et se rapportent à l’impact d’une attaque sur une valeur métier. 
Chaque événement redouté est évalué selon le niveau de gravité des conséquences, à partir d’une métrique.
Gravité - Estimation du niveau et de l’intensité des effets d’un risque. La gravité fournit une mesure des impacts préjudiciables 
perçus, qu’ils soient directs ou indirects.
Menace - Terme générique utilisée pour désigner toute intention hostile de nuire dans le cyber espace. Une menace peut 
être ciblée ou non sur l’objet de l’étude.
Mesures de sécurité - Moyen de traiter un risque prenant les formes de solutions ou d’exigences pouvant être inscrite dans 
un contrat.
Nota : une mesure peut être d’ordre fonctionnel, technique ou organisationnel ; elle peut agir sur une valeur métier, un bien 
support, une partie prenante de l’écosystème, certaines mesures peuvent se renforcer mutuellement en agissant selon les 
axes complémentaires (gouvernance, protection, défense, résilience).
Plan de continuité d’activité (PCA) - Le PCA représente l’ensemble des mesures visant à assurer, selon divers scénarios de 
crises, y compris face à des chocs extrêmes, le maintien, le cas échéant de façon temporaire selon un mode dégradé, des 
prestations de services ou d’autres tâches opérationnelles essentielles ou importantes de l’entreprise, puis la reprise planifiée 
des activités.
Plan de reprise d’activité (PRA) - Un PRA représente un ensemble de procédures, sous forme de plan d’actions structuré et 
documenté, qui vise à aider une entreprise à faire face à une catastrophe ou un incident tout en relançant rapidement son 
activité professionnelle.
Valeur métier - Dans le cadre de l’étude, composante importante pour l’organisation dans l’accomplissement de sa mission. 
Cela peut être un service, une fonction support, une étape dans un projet ou toute information ou savoir-faire associé.
Nota : les valeurs métier représentent le patrimoine informationnel qu’une source de risque aurait intérêt à attaquer pour 
porter atteinte à l’objet de l’étude.
Vulnérabilité - Faute, par malveillance ou maladresse, dans les spécifications, la conception, la réalisation, l’installation ou la 
configuration d’un système, ou dans la façon de l’utiliser. Une vulnérabilité peut être utilisée par un code d’exploitation et 
conduire à une intrusion dans le système.
Annexe G : Lexique