De generelle sikkerhetsstandardene (RGS) er spesifisert i rekkefølgen nr . 2005-1516 av8. desember 2005knyttet til elektronisk utveksling mellom brukere og administrative myndigheter. Hans vilkår for utvikling, godkjenning, modifikasjon og publisering er fastlagt i dekret nr . 2010-112 av2. februar 2010 tatt for anvendelse av artiklene 9, 10 og 12 i den nevnte forordningen om sikkerhet for informasjon som utveksles elektronisk.
Versjon 2.0 av RGS er i kraft og ble offisiell ved statsministerens dekret datert13. juni 2014. Denne versjonen erstatter den av6. mai 2010. Dette er resultatet av et felles arbeid mellom Generaldirektoratet for statlig modernisering (DGME) og National Agency for the Security of Information Systems (ANSSI).
Dette depotet setter, avhengig av sikkerhetsnivået som kreves, reglene som visse funksjoner som bidrar til informasjonssikkerhet må overholde, inkludert elektronisk signatur , autentisering , konfidensialitet og til og med tidsstempling . Reglene formulert i RGS gjelder og justeres i henhold til sikkerhetsnivået som administrativ myndighet opprettholder i sammenheng med å sikre de elektroniske tjenestene det er ansvarlig for. I tillegg til disse reglene inneholder RGS god praksis innen informasjonssystemsikkerhet (ISS), for å veilede de administrative myndighetene og tjenesteleverandørene som bistår dem i valgene som blir presentert for dem med hensyn til SSI. RGS belyser også fremgangsmåten som skal følges for å ta fullstendig hensyn til forskriftsbestemmelsene, særlig når det gjelder risikoanalyse og sikkerhetssertifisering av et informasjonssystem.
Målet med RGS-referanse er å legge til rette for sikker elektronisk utveksling mellom brukere og administrative myndigheter, men også mellom administrative myndigheter ved å tilby en katalog med interoperable refererte sikkerhetsløsninger.
I samsvar med dekret nr. 2010-112 av 2. februar 2010(kjent som “RGS-dekretet”), blir henvisningen utført under tilsyn av DGME og inkluderer et obligatorisk innledende trinn for kvalifisering av sikkerhetsproduktet eller tjenesten som ANSSI retter seg mot. Denne kvalifiseringen bekrefter at den er i samsvar med et sikkerhetsnivå i RGS.
Som en del av migrasjonen til RGS-depotet (erstatter retningslinjen for intersektoriell sikkerhetshenvisning, PRIS, foreldet av mai 2013), er agenter for administrative myndigheter pålagt å bruke refererte løsninger og produkter til deres informasjonssystemer.
Dermed vil selskaper som lister opp sine produkter kunne tilby sine tjenester og produkter for statlige plattformer, men også til enkeltpersoner og bedrifter som ønsker å koble seg til disse plattformene.
Til syvende og sist opprettes dermed et interoperabelt miljø av tillit med et sett med markedsløsninger som er referert til for bruk av administrative myndigheter.
Siden Juli 2012, bare Dhimyotis-selskapet er referert .
Henvisning er en operasjon utført under DGMEs ansvar. Det tar sikte på å sertifisere at et produkt eller et sikkerhetstjenestetilbud fungerer riktig med informasjonssystemene til administrative myndigheter. Det utføres på grunnlag av spesifikasjoner som spesifiserer de interoperabilitetsreglene som skal overholdes.
Henvisningsanmodningen er en frivillig handling fra leverandøren av produkter eller tjenester eller av tillitsleverandøren (PSCO). Den er laget i forhold til en sikkerhetsfunksjon (autentisering, signatur, etc.) og et sikkerhetsnivå, identifisert av et tall fra en til tre stjerner (*, ** eller ***), og definert som beskrevet i RGS.
Bare produkter og tilbud som tidligere er kvalifisert av ANSSI kan refereres til.
Oppføringen uttales etter verifisering av samsvar med reglene i spesifikasjonene for oppføring av sikkerhetsprodukter eller tilbud fra pålitelige tjenesteleverandører. Dette offisielle dokumentet ble godkjent ved dekret av18. januar 2012 undertegnet for statsråden og ved delegasjon av generaldirektøren for statlig modernisering, og dermed gitt den regulatorisk verdi.
Det finnes 3 typer RGS-sertifikater:
Sertifikatnivået tilsvarer sikkerhetsnivået det kan tilby klienten.
Sertifikatene brukes i en sammenheng der klienten ønsker å utveksle konfidensiell informasjon på en sikker måte med en spesialisert struktur. Faktisk, ved hjelp av denne metoden, vil de fysiske dokumentene dematerialiseres, men ha samme juridiske verdi som på papiret. Disse sertifikatene utstedes i en kryptografisk nøkkel som inneholder kundens elektroniske signatur som han kan bruke og feste på alle digitale dokumenter.
Her er en ikke-uttømmende liste over sektorer som bruker elektroniske signaturer:
For absolutt konfidensialitet og optimal sikkerhet er det en prosedyre som er etablert av det nøkkelutstedende selskapet for å levere nøkkelen til kunden. Denne prosedyren, som kan variere fra et selskap til et annet, men som i det hele tatt er like, dekker den essensielle delen av prosessen og som aktørene må respektere nøye. De aktuelle aktørene er som følger: