1. Présentation générale et guide d'usage.

1.1. Présentation.

La présente directive définit la politique à mettre en œuvre par les organismes du ministère de la défense en matière d\'utilisation de solutions Wi-Fi ⁽¹⁾. Elle fournit les critères de décision pour mener à bien tout processus de déploiement, permettant ainsi d\'identifier, d\'atteindre, puis de maintenir un niveau de risque acceptable pour le système d\'information considéré. Les éléments techniques figurent dans le guide technique de mise en œuvre de réseaux Wi-Fi [guide ministériel n° 9/DEF/DGSIC du 6 février 2012 relatif à la mise en oeuvre des réseaux Wi-Fi ⁽²⁾].

Cette directive s\'inscrit dans les missions de la direction générale des systèmes d\'information et de communication (DGSIC), aux termes du décret n° 2006-497 du 2 mai 2006 portant création de la direction générale des systèmes d\'information et de communication et fixant l\'organisation des systèmes d\'information et de communication du ministère de la défense.

Elle tient compte du référentiel général de sécurité (RGS) dans sa version 1.0 du 6 mai 2010 ⁽²⁾.

1.2. Niveaux de préconisation.

Les règles définies dans ce document ont différents niveaux de préconisation et sont conformes au référentiel général d\'intéropérabilité (RGI) et à la request for comments (RFC) 2119 :

• obligatoire : ce niveau de préconisation signifie que la règle édictée indique une exigence absolue de la directive ;

• recommandé : ce niveau de préconisation signifie qu\'il peut exister des raisons valables, dans des circonstances particulières, pour ignorer la règle édictée, mais les conséquences doivent être comprises et pesées soigneusement avant de choisir une voie différente ;

• déconseillé : ce niveau de préconisation signifie que la règle édictée indique une prohibition qu\'il est toutefois possible, dans des circonstances particulières, de ne pas suivre, mais les conséquences doivent être comprises et le cas soigneusement pesé ;

• interdit : ce niveau de préconisation signifie que la règle édictée indique une prohibition absolue de la directive.

1.3. Gestion du document.

Ce document est maintenu et mis à jour par le sous-comité architecture et services du comité directeur des intranets. Les modifications sont soumises pour approbation au directeur général des systèmes d\'information et de communication.

Ce document est disponible sur le site DGSIC.

1.4. Champ et modalités d'application.

Cette directive est applicable à tout système d\'information des organismes du ministère de la défense, des établissements ou organismes sous tutelle et des sociétés titulaires de contrats sensibles au sens de l\'arrêté du 30 novembre 2011 ^(A) portant approbation de l\'instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale. Elle fait partie de la politique de sécurité du système d\'information (SI).

Elle est valable dans l\'état des connaissances sur ces technologies à la date de publication ou de mise à jour.

L\'utilisation du Wi-Fi inclut dans son périmètre tout ce qui peut avoir un impact sur la sécurité du système, de nature technique ou organisationnelle.

La directive abroge, pour ce qui concerne le Wi-Fi, la note n° 259/DEF/DGSIC du 15 juin 2006 ⁽²⁾ relative à la spécification de sécurisation et au régime dérogatoire pour les nouvelles technologies.

1.5. Gestion des dérogations.

Elles font l\'objet d\'une approbation par le directeur général de la DGSIC. Elles concernent :

• les circonstances et justifications du non respect d\'une règle recommandée ou déconseillée ;

• les justifications des exceptions à toute règle absolue (obligatoire ou interdit).

---

2. Cadre documentaire.

2.1. Documents applicables.

CP : code pénal ⁽²⁾ (http://www.legifrance.gouv.fr/affichCode.do?cidTexte=LEGITEXT000006070719).

CPI : code de propriété intellectuelle ⁽²⁾ (http://www.legifrance.gouv.fr/affichCode.do?cidTexte=LEGITEXT000006069414&dateTexte=20111216).

CPCE : code des postes et communications électroniques ⁽²⁾ (http://www.legifrance.gouv.fr/affichCode.do?cidTexte=LEGITEXT000006070987).

CNIL : loi n° 78-17 du 6 janvier 1978 modifiée, relative à l\'informatique, aux fichiers et aux libertés (http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000886460).

LOI : loi n° 2004-575 du 21 juin 2004 modifiée, pour la confiance dans l\'économie numérique ^(B) (www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000000801164).

RGS : référentiel général de sécurité, version 1.0 du 6 mai 2010 ⁽²⁾ (http://www.references.modernisation.gouv.fr/rgs-securite).

HADOPI : loi n° 2009-669 du 12 juin 2009 ^(C) modifiée, favorisant la diffusion et la protection de la création sur internet (http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000020735432 - http://www.hadopi.fr/).

HADOPI 2 : loi n° 2009-1311 du 28 octobre 2009 ^(D) modifiée, relative à la protection pénale de la propriété littéraire et artistique sur internet (http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000021208046).

DECRET : décret n° 2010-695 du 25 juin 2010 ^(E) modifié, instituant une contravention de négligence caractérisée protégeant la propriété littéraire et artistique sur internet (http://www.legifrance.gouv.fr/affichTexte.do?cidTexte=JORFTEXT000022392027).

IGI 1300 : instruction générale interministérielle n° 1300/SGDSB/PSE/SSD du 30 novembre 2011 ⁽²⁾ sur la protection du secret de la défense nationale (http://www.ssi.gouv.fr/reglementation-ssi/systemes-d-information/).

EBIOS : expression des besoins et identification des objectifs de sécurité - agence nationale de sécurité des systèmes d\'information (ANSSI) (http://www.ssi.gouv.fr/fr/bonnes-pratiques/outils-methodologiques/).

FEROS : fiche d\'expression rationnelle des objectifs de sécurité des systèmes d\'information - guide technique n° 150/SGDN/DISSI/SCSSI du 10 février 1991 ⁽²⁾ (http://www.ssi.gouv.fr/IMG/pdf/ebiosv2-mp-feros-2005-04-18.pdf - http://www.ssi.defense.gouv.fr/_dirsic/textes/mis_sec_dir_sic/secur_sys_info/textes_base/ref_regl/textes_nationaux_europeens/textes_intermin_guides/guide_n__150.pdf).

PSSI : instruction n° 133/DEF/SEC/DIR/SIC du 18 mars 2002 relative à la politique de sécurité des systèmes d\'information du ministère de la défense.

http://www.ssi.defense.gouv.fr/_dirsic/textes/mis_sec_dir_sic/secur_sys_info/textes_base/ref_regl/textes_ministere/politique_generale/im_n__133_def_sec.dir.sic_du_18_mars_2002.pdf

IM 900 : instruction ministérielle n° 900/DEF/CAB/DR du 26 janvier 2012 ⁽²⁾ relative à la protection du secret de la défense nationale au sein du ministère de la défense^.

PROC AGR : processus d\'agrément des produits de sécurité à usage gouvernemental n° 1047/SGDN/DCSSI du 16 mai 2003 ⁽²⁾.

DM : directives ministérielles - site DGSIC (http://www.dgsic.defense.gouv.fr/rubrique.php3?id_rubrique=171).

2.2. Document abrogé.

NOTE 259 : note n° 259/DEF/DGSIC du 15 juin 2006 ⁽²⁾ relative à la spécification de sécurisation et au régime dérogatoire pour les nouvelles technologies. Pour la partie Wi-Fi.

2.3. Document technique.

GUIDE-WIFI : guide ministériel n° 9/DEF/DGSIC du 6 févirer 2012 ⁽²⁾ relatif à la mise en œuvre des réseaux Wi-Fi.

2.4. Sites de référence.

Sites SSI : site SSI de l\'agence nationale de la sécurité des systèmes d\'information et de communication (ANSSI) à l\'adresse internet (www.ssi.gouv.fr).

3. Domaine couvert et emploi.

La directive vise à définir les principes et les procédures à suivre pour tout déploiement d\'un réseau local sans fil répondant à la norme 802.11 et relevant des autorités qualifiées du ministère de la défense, des établissements ou organismes sous tutelle et des sociétés titulaires de contrats sensibles ou classifiés.

3.1. Principes fondamentaux.

La responsabilité du ministère et notamment des autorités qualifiées peut être engagée à la suite d\'une méconnaissance des règles élémentaires de protection des informations sensibles et de la responsabilité des organismes et agents des administrations.

Le recours aux technologies sans fil sur les réseaux sensibles non classifiés est possible mais nécessite de mener des analyses préalables de sécurité.

L\'application des règles lors d\'un déploiement doit s\'appuyer sur les recommandations du guide ministériel n° 9/DEF/DGSIC du 6 février 2012 ⁽²⁾ pour la mise en œuvre des réseaux Wi-Fi.

Les autres moyens de propagation ne sont pas pris en compte [worldwide interoperability for microware access ⁽³⁾ (WIMAX), bluetooth ⁽⁴⁾ etc.].

3.2. Services attendus.

L\'application de la directive permet de mettre en œuvre un système d\'information dans les conditions de sécurité minimales suivantes :

• considérations générales du déploiement ;

• aspect authentification et cryptographie ;

• bandes de fréquences.

3.3. Types de déploiement.

Indépendamment du réseau raccordé (internet, sensible, autre) deux cas d\'utilisation sont répertoriés :

• réseau dédié de postes totalement maîtrisés : c\'est la réponse au besoin de raccordement de postes identifiés et de nomadisme ⁽⁵⁾ interne. Dans ce cas, tous les matériels sont configurés par un administrateur « système et réseaux ».

En fonction du nombre de postes, l\'architecture correspondante peut devenir lourde à implémenter et nécessite une bonne prise en compte de l\'aspect humain. Un exemple est le raccordement d\'une zone difficile d\'accès ou d\'un réseau spécifique ;

• réseau de postes non totalement maîtrisés : c\'est la réponse au besoin de nomadisme externe. Dans ce cas, les postes peuvent ne pas être tous configurés par un administrateur « système et réseaux » et seul un raccordement à internet est possible.

Un exemple est le raccordement au réseau internet pour du personnel de passage.

3.4. Emploi autorisé du Wi-Fi.

Sous réserve du respect des règles et recommandations de la présente directive, l\'emploi du Wi-Fi est autorisé aux conditions suivantes :

1. la disponibilité n\'est pas un objectif primordial ;

2. le SI connecté par Wi-Fi ne donne pas accès à des données classifiées ;

3. si des postes non totalement maîtrisés peuvent accéder au SI, ce dernier ne donne pas accès à des données sensibles non classifiées ;

4. le système d\'information et de communication (SIC) fait l\'objet d\'une homologation dont la décision est communiquée au fonctionnaire de sécurité des systèmes d\'information (FSSI) par l\'autorité qualifiée (AQ).

Tout autre contexte doit faire l\'objet d\'une demande de dérogation auprès de la DGSIC.

Cette dérogation comprend :

1. un document précisant le(s) contexte(s) d\'emploi envisagé(s) ;

2. une analyse de risques menée selon la méthodologie EBIOS (expression des besoins et identification des objectifs de sécurité) ou M@RGERIDE (méthode d\'analyse rapide et de gestion évolutive des risques dérivés d\'EBIOS) ;

3. une fiche d\'expression rationnelle des objectifs de sécurité des systèmes d\'information (FEROS) ;

4. un avis de la direction générale de l\'armement / maitrise de l\'information (DGA/MI) sur les 3 documents précédents.

4. Les règles.

La directive est déclinée sous 2 angles : technique (RT) et organisationnel (RO). Les règles sont numérotées séquentiellement par catégorie. L\'application technique de certaines règles à l\'aide des recommandations du guide Wi-Fi [guide ministériel n° 9/DEF/DGSIC du 6 février 2012 ⁽²⁾ relatif à la mise en œuvre des réseaux Wi-Fi] est spécifiée en fin de règle :

• RT0 : libellé (WF0).

4.1. Maîtrise de l'architecture.

Devant la sensibilité aux attaques des réseaux utilisant la technologie Wi-Fi, il est indispensable de protéger de façon appropriée les échanges au sein de tels réseaux.

RT 1 : il est recommandé de privilégier une architecture contrôlée par un point d\'accès autonome (WF1).

RT 2 : il est recommandé, lorsque les fonctionnalités sont présentes au niveau des points d\'accès, de privilégier des virtual local area network (VLAN) Wi-Fi en créant, sur un même point d\'accès, plusieurs réseaux Wi-Fi « virtuels » disposant chacun de leurs propres paramètres de sécurité et « mappés » sur les VLANs filaires de l\'architecture (WF3).

À noter : l\'étude de la couverture doit être menée avec une attention particulière lorsqu\'il y a un besoin de mobilité.

RT 3 : il est interdit d\'utiliser une architecture ad hoc ⁽⁶⁾ (WF2).

À noter : une architecture de type ad hoc, où les clients Wi-Fi constituent un réseau peer-to-peer ⁽⁷⁾ est difficile à maîtriser et à administrer.

RT 4 : il est recommandé, lorsque l\'utilisation choisie interdit le nomadisme, d\'établir un plan d\'adressage différent entre le réseau local filaire et le réseau Wi-Fi, dans le cas où le point d\'accès utilisé intègre la fonction de routeur, ou si le point d\'accès est connecté sur un routeur interne au réseau local.

4.2. Maîtrise des équipements non connectés à un réseau Wi-Fi.

RT 5 : il est obligatoire, pour les équipements n\'étant pas connectés à un réseau Wi-Fi, de désactiver la fonctionnalité Wi-Fi ou wireless généralement active par défaut (WF6,7).

À noter : la technologie sans fils Wi-Fi (802.11) est désormais intégrée dans la majeure partie des matériels. Par défaut elle est activée et non sécurisée se traduisant par :

• l\'interrupteur d\'activation/désactivation du chipset sur la position « on » ;
  
• l\'activation de la fonction Wi-Fi dans le basic input/output system (BIOS) de l\'appareil en ce qui concerne les personal computer (PC) ;
  
• l\'activation de l\'option de connexion automatique aux réseaux non préférés via l\'utilitaire de paramétrage du Wi-Fi en ce qui concerne les assistants personnels et smartphone.

Ne pas confondre équipements Wi-Fi et équipements "radio sans fils" dont le paramétrage et la sécurisation sont difficiles.

4.3. Maîtrise des terminaux Wi-Fi.

RT 6 : il est obligatoire de désactiver l\'option de connexion automatique aux réseaux non préférés (WF18).

À noter : lorsqu\'une connexion Wi-Fi est en cours sur l\'interface « eth0 », les autres interfaces (RJ45, bluetooth, etc.) doivent être neutralisées.

RT 7 : il est obligatoire que les postes clients soient équipés de mécanismes de protections à jour (WF19).

4.4. Protection et configuration des points d'accès.

4.4.1. Équipements.

RT 8 : il est recommandé de mettre en œuvre des équipements qui ont fait l\'objet d\'une certification.

À noter : la certification doit prendre en compte la protection des boîtiers, le contrôle des firmwares ⁽⁸⁾, la robustesse des mécanismes d\'administration etc.

4.4.2. Protection.

RT 9 : il est obligatoire de désactiver les comptes « usine » ⁽⁹⁾ ou, dans le cas où la désactivation du compte usine n\'est pas possible, de modifier les mots de passe par défaut des équipements.

RT 10 : il est obligatoire, lorsque les fonctionnalités sont présentes, d\'interdire les communications directes entre les nœuds Wi-Fi d\'une même borne ⁽¹⁰⁾ (WF5).

A noter : les nœuds Wi-Fi utilisent la borne pour avoir accès à des services situés sur le réseau filaire ; dans ce cas, les communications Wi-Fi à Wi-Fi n\'ont pas d\'utilité et peuvent être bloquées au niveau du point d\'accès.

RT 11 : il est recommandé, lorsque l\'utilisation choisie interdit le nomadisme, de mettre en place, au niveau des points d\'accès sur base de liste de contrôle d\'accès [access control list (ACL)], un filtrage autorisant uniquement la connexion de machines dont l\'adresse medium access control (MAC) ⁽¹¹⁾ est connue (WF24).

RT 12 : il est recommandé de protéger efficacement le point d\'accès (approche, vol) (WF12).

À noter : les points d\'accès Wi-Fi sont considérés comme des éléments actifs du réseau à part entière. On ne doit pas pouvoir y accéder facilement.

RT 13 : il est obligatoire de sécuriser les accès réseau à la borne, en activant les mécanismes de protection intrinsèques et en mettant en place un mot de passe administrateur robuste (WF13).

À noter : les solutions d\'administration par un lien physique direct comme un port console étant rarement disponibles, les points d\'accès Wi-Fi proposent des services destinés à les administrer au sens large [configuration des paramètres internet protocol (IP) et Wi-Fi, téléchargement de firmware etc.]. L\'accès à ces services depuis le réseau filaire, ou depuis un poste déjà inséré dans le réseau Wi-Fi, peut permettre de visualiser des paramètres sensibles de la configuration (clé de chiffrement, plan d\'adressage, adresses MAC autorisées...) ou de désactiver des fonctions de sécurité implémentées sur la partie sans fil et ainsi faciliter l\'insertion dans le réseau sans fil de postes tiers.

Dans le cas d\'utilisation de matériels professionnels, la protection des accès est spécifique au système.

4.4.3. Administration.

RT 14 : il est recommandé de créer un VLAN dédié à l\'administration (WF13).

RT 15 : il est obligatoire d\'administrer la borne depuis un poste situé sur le réseau filaire (WF14).

4.4.4. Configuration.

RT 16 : il est recommandé, lorsque le point d\'accès en est muni, de filtrer les flux à l\'aide des fonctions de pare-feu (WF4).

RT 17 : il est obligatoire de désactiver les services disponibles non utilisés [simple network management protocol (SNMP)] ⁽¹²⁾,  [telecommunication network (TELNET) ⁽¹³⁾ etc.] (WF15, 17)].

RT 18 : il est obligatoire de mettre en place une authentification forte (mot de passe à usage unique au minimum et différent du mot de passe constructeur) pour l\'accès à l\'exploitation du point d\'accès (WF13).

RT 19 : il est recommandé de centraliser les configurations et les politiques de sécurité des bornes afin de s\'assurer de leur homogénéité (WF16).

---

4.4.5. Gestion des correctifs.

RT 20 : il est obligatoire de rechercher la solution la plus stable et sécurisée lorsqu\'il s\'agit de mise en place de correctifs de sécurité ou de mises à jour (derniers correctifs sur dernière version logicielle, dernière version stable connue...).

4.5. Authentification.

4.5.1. Cas des réseaux maîtrisés.

RT 21 : il est obligatoire, afin de gérer de façon centralisée les comptes des utilisateurs et les droits d\'accès associés, de recourir au protocole 802.1x, en utilisant extensible authentification protocol-transport layer security (EAT-TLS).

RT 22 : il est recommandé d\'utiliser l\'infrastructure de gestion de clé (IGC) défense pour le service précisé dans la RT précédente.

4.5.2. Cas des réseaux non maîtrisés.

RT 23 : il est recommandé de mettre en place un pare-feu authentifiant (WF28).

RT 24 : il est interdit de raccorder le réseau Wi-Fi en question à un réseau autre qu\'internet.

RT 25 : il est obligatoire de mettre en place au minimum un portail captif gérant tous les accès (WF28).

RT 26 : il est recommandé de mettre en place une authentification centralisée 802.1x via un serveur d\'authentification (WF21, 22, 23, 25, 26, 27).

À noter : il s\'agit d\'un serveur remote authentification dial-in user server (RADIUS). La clé de chiffrement sera automatiquement distribuée au client après validation de son authentification. Ce serveur permet aussi d\'effectuer la traçabilité des accès vers internet.

RT 27 : il est obligatoire que le client puisse utiliser l\'une des deux méthodes d\'authentification suivantes (WF20, 29, 30, 32) :

• certificat du serveur d\'authentification et couple login/mot de passe de l\'utilisateur, préalablement enregistré par le responsable du service ;

• certificat du serveur d\'authentification et certificat du client (avec de préférence un mot de passe associé) permettant dans ce cas l\'authentification mutuelle.

4.6. Protection des flux.

Le problème majeur des réseaux sans-fil est la diffusion des informations. Si aucune protection n\'est apportée, l\'interception des données est facile.

RT 28 : il est obligatoire, pour les réseaux maîtrisés, de chiffrer les données transmises en utilisant le mode de chiffrement WPA2 (Wi-Fi protected access) [counter mode with cliper block chaining message authentification code protocol (CCMP)] (WF30).

RT 29 : il est interdit, pour chiffrer les données transmises, d\'utiliser le protocole WEP (wired equivalent privacy) ou WPA (WF31).

RT 30 : il est obligatoire, pour les réseaux non maîtrisés, d\'informer l\'utilisateur de la nature, chiffrée ou en clair, des informations transmises.

RT 31 : il est obligatoire, pour l\'accès à un intranet sensible du ministère de la défense et des anciens combattants, de recourir à un chiffrement approuvé des données au niveau IP en mettant en place un réseau privé virtuel de type internet protocol security (IPsec) (WF33).

4.7. Zone de couverture et niveau de discrétion.

RT 32 : il est obligatoire d\'évaluer les risques liés aux signaux parasites compromettants lors de l\'étude de l\'installation des points d\'accès.

RT 33 : il est obligatoire d\'adapter la puissance d\'émission de la borne au minimum de la zone de couverture souhaitée (WF9).

RT 34 : il est interdit de mettre en œuvre un réseau Wi-Fi dans un environnement de réseaux classifiés.

RT 35 : il est recommandé de ne pas laisser la diffusion automatique du nom de réseau service set identifier (SSID) si elle est inutile (WF10).

RT 36 : il est obligatoire d\'adopter un nom de réseau SSID banalisé ne possédant aucun lien avec l\'environnement du ministère (WF11).

À noter : par défaut, le point d\'accès diffuse régulièrement le nom de son réseau par des paquets nommés "beacon". Cette diffusion automatique rend le réseau "bruyant" vu de l\'extérieur.

4.8. Bandes de fréquence.

Les recommandations liées aux fréquences diffèrent de la réglementation fixée pour le cadre civil. Elles s\'appliquent pour un usage dans un contexte opérationnel, qui tient compte de la présence de réseaux de communication militaires et de systèmes d\'arme en émission. Elles sont susceptibles d\'évoluer en fonction des directives publiées par la DGSIC.

RT 37 : il est obligatoire de n\'utiliser que les bandes de fréquences autorisées (WF8).

À noter : les équipements proposés doivent être conformes à la réglementation en vigueur.

RT 38 : il est obligatoire, concernant les canaux de fréquences utilisables, de suivre les recommandations du guide ministériel n° 9/DEF/DGSIC du 6 février 2012 ⁽²⁾ relatif à la mise en oeuvre des réseaux Wi-FI.

RO 1 : il est recommandé de prendre en compte la problématique sanitaire liée aux niveaux des émissions permanentes et au temps d\'exposition dans des locaux occupés par du personnel.

À noter : il s\'agit là de mesures de précaution, même si la démonstration de la nocivité des signaux 2,4 Ghz à longue échéance n\'a pas été formellement prouvée.

4.9. Journalisation et imputabilité.

RT 39 : il est obligatoire de mettre en œuvre la journalisation de l\'activité du point d\'accès (WF34, 36).

RT 40 : il est obligatoire d\'exporter le fichier de journalisation sur une machine de confiance, sécurisée dans cette optique (WF35).

RT 41 : il est obligatoire de conserver les journaux un an et de les détruire au-delà.

4.10. Périmètre.

RO 2 : il est obligatoire, lors de la définition du périmètre de déploiement, de tenir compte en particulier :

• de la proximité d\'autres systèmes ;

• des opérations de maintenance, d\'exploitation ou de télégestion du système, notamment lorsqu\'elles sont effectuées par des prestataires externes.

4.11. Sécurité.

RO 3 : il est recommandé, afin de conserver le niveau de sécurité du réseau Wi-Fi, d\'appliquer les mêmes procédures que pour les réseaux filaires, en ce qui concerne l\'information des utilisateurs et la mise en place de ressources matérielles et humaines pour gérer, surveiller et auditer le réseau.

RO 4 : il est obligatoire, lors des audits et inspection, de vérifier le zonage et la puissance d\'émission.

4.12. Documentation.

RO 5 : il est obligatoire de procéder à une homologation de tout réseau Wi-Fi avant sa mise en service.

RO 6 : il est interdit de recourir à la technologie Wi-Fi sur des réseaux classifiés de défense.

RO 7 : il est obligatoire, dans le cas d\'une demande de dérogation à la DGSIC, de produire les documents suivants :

• un document précisant le(s) contexte(s) d\'emploi envisagé(s) ;

• une analyse de risques menée selon la méthodologie EBIOS ou M@RGERIDE ;

• une FEROS ;

• un avis de la DGA/MI sur les 3 documents précédents.

À noter : une analyse contextuelle exhaustive des conditions d\'emploi est à mener en regard de la préservation de l\'intégrité, de la disponibilité et de la confidentialité des données, ainsi que de l\'authenticité de l\'émetteur ou du correspondant.

4.13. Commission nationale de l'informatique et des libertés.

RO 8 : il est obligatoire d\'informer les utilisateurs sur les règles de conservation des données.

RO 9 : il est obligatoire, lors de l\'étude, de vérifier la nécessité de faire une déclaration à la commission nationale de l\'informatique et des libertés (CNIL).