Dans le cadre d’une approche d’implémentation structurée qui tient compte de la situation spécifique de l’entité et de sa situation de risque, l’ANSSI assiste, en concertation avec le CTIE, et à leur demande, les entités à identifier les objectifs applicables et à définir les mesures de sécurité appropriées. 2.3 Politiques générales par domaine A la demande des acteurs ayant dans leurs attributions des domaines spécifiques et en concertation étroite avec ceuxci, l’ANSSI définit des politiques de sécurité de l’information par domaine, qui détaillent les objectifs génériques de la sécurité de l’information. 3 3.1 Principes fondateurs de la sécurité de l’information de l’État Sécurité bien comprise Le personnel de l’État est régulièrement sensibilisé et formé1 aux aspects de la sécurité de l’information ainsi qu’aux consignes de base relatives à l’utilisation des systèmes d’information de l’État énoncées dans la Charte de bonne conduite en matière de sécurité de l’information numérique. 3.2 Respect des normes et des bonnes pratiques La politique de sécurité de l’information de l’État est inspirée des normes, standards et bonnes pratiques internationalement reconnus et approuvés dans le domaine de la sécurité de l’information, notamment les normes de la série ISO/IEC 27000. 3.3 Approche basée sur le risque Les mesures de sécurité de l’information sont sélectionnées en fonction d’une analyse de risque effectuée selon une méthode confirmée2, de façon à minimiser les risques et à maintenir les coûts de sécurité à un niveau acceptable. L’État cherche à réduire les risques selon le principe de la proportionnalité et de la nécessité, mais se réserve le droit d'assumer les risques résiduels. En fonction de l’évaluation des risques et du niveau de résilience visé, un ensemble de mesures de prévention, de détection, de réponse et de récupération est mis en œuvre. 3.4 Ressources Les entités veillent à consacrer à la sécurité de l’information de l’État les moyens humains et financiers adaptés en fonction de la situation de risque spécifique. 3.5 Développement continu vers l’excellence L’environnement de gestion de l’information de l’État change continuellement. Il convient d’adopter une approche itérative et d’amélioration continue pour rester en phase avec les défis actuels et futurs. 3.6 Sécurité intégrée et transversale La sécurité de l’information n’est pas une fin en soi, mais elle fait partie intégrante de toute activité de l’État, de la conception à la maintenance en passant par la spécification, l'implémentation, le déploiement et la mise en service 1 Formations dans le domaine de la sécurité de l’information de l’Institut national d’administration publique (INAP) en collaboration avec CASES 2 L’ANSSI met à disposition des entités intéressées l’outil d’analyse et de gestion des risques MONARC de CASES hébergé au sein du GOVCLOUD et propose, à la demande, un accompagnement professionnel à la réalisation d’une première analyse des risques. Politique générale de la sécurité de l’information de l’État luxembourgeois – Version 2.0 Page 6 de 11