Annexe 1: Objectifs génériques de la sécurité de l’information par domaine Les objectifs de sécurité génériques ci-dessous, dégagés de la série de normes internationales ISO/IEC 27000, sont donnés à titre indicatif. Dans le cadre de l’implémentation et en tenant compte de la situation spécifique de l’entité et de sa situation risque, les objectifs applicables sont identifiés et les mesures de sécurité associées définies. À la demande, l’ANSSI, en concertation avec le CTIE, assiste les entités dans leur démarche d’implémentation. Organisation de la sécurité de l’information et sécurité des ressources humaines       la stratégie de l’entité en matière de sécurité de l’information est clairement définie et un cadre structuré de gestion de la sécurité de l’information, bénéficiant du soutien actif de la direction, est établi ; les rôles et responsabilités en matière de sécurité de l’information sont clairement définis et attribués à tous les niveaux de l’entité, et l’ensemble du personnel (interne et externe) en est systématiquement informé ; le personnel est régulièrement formé et sensibilisé à la sécurité de l’information ; la Charte de bonne conduite en matière de sécurité de l’information numérique est connue et respectée par tout le personnel ; les aspects de la sécurité de l’information, notamment la gestion des accès, font partie intégrante des processus de gestion de ressources humaines (arrivées, départs, mutations, changement de fonction du personnel, etc.) ; les aspects de la sécurité de l’information dans le contexte du télétravail, de l’accès à distance et de l’utilisation des appareils et technologies mobiles sont assurés par des moyens organisationnels et techniques appropriés. Gestion des actifs   les moyens de traitement de l’information de l’État et les actifs associés à la sécurité de l’information sont identifiés et gérés tout au long de leur cycle de vie ; les informations sont protégées en fonction de leur degré d’importance en ce qui concerne leur confidentialité, intégrité et disponibilité. Contrôle d’accès    l’accès à l’information et aux moyens de traitement de l’information est accordé en fonction des rôles et responsabilités du personnel, et selon un processus d’autorisation et de révision formalisé ; les identités des utilisateurs sont gérées et des moyens d’authentification adaptés au degré d’importance de l’information sont mis en œuvre ; l’attribution et l’utilisation d’accès privilégiés sont restreintes, contrôlées et tracées. Cryptographie  la confidentialité, l’authenticité et/ou l’intégrité de l’information sensible sont assurées par des mesures cryptographiques. Sécurité physique et environnementale   l’information et les moyens de traitement de l’information sont protégés par des mesures techniques et organisationnels appropriées contre tout accès physique non autorisé afin d’empêcher leur perte, endommagement, vol ou compromission ; les moyens de traitement de l’information et les supports d’information sensibles sont protégés contre les défaillances techniques (rupture de l’alimentation électrique, défaut du système de climatisation, etc.) et les risques environnementaux (incendie, inondation, etc.), les désastres naturels, les attaques malveillantes et les accidents. Politique générale de la sécurité de l’information de l’État luxembourgeois – Version 2.0 Page 8 de 11