Diffusion restreinte et secret défense : quelles différences ?

En France, la gestion des données sensibles est régie par des niveaux de classification, parmi lesquels figurent la diffusion restreinte et le secret défense. Ces mentions visent à protéger les informations critiques face aux cybermenaces, tant dans les secteurs civils que militaires. Découvrez tout ce qu’il faut savoir sur ces deux niveaux de classification, les enjeux de sécurité qui y sont liés, et les mesures de protection associées.

Qu'est-ce que la diffusion restreinte ?

Diffusion restreinte : détection et cadre juridique

La diffusion restreinte¹ désigne un niveau de protection appliqué aux informations sensibles qui nécessitent des mesures de sécurité spécifiques pour éviter leur divulgation non autorisée. Contrairement aux informations classées secret défense, les données portant la mention diffusion restreinte ne mettent pas en danger la défense nationale. Toutefois, leur exposition pourrait porter atteinte aux intérêts stratégiques, économiques ou opérationnels d'une organisation, ou compromettre la confidentialité de certaines informations sensibles.

La diffusion restreinte impose plusieurs mécanismes de sécurité :

• Le contrôle des accès : l’accès aux informations classées en diffusion restreinte est généralement limité à un groupe restreint d’individus, en fonction de leur rôle dans l'organisation. Des politiques de gestion des accès et des identités sont mises en place pour déterminer qui peut consulter ou manipuler ces données.
  
  
• Le chiffrement des données : les informations sensibles doivent être chiffrées aussi bien lorsqu'elles sont stockées (au repos) que lorsqu'elles sont transmises (en transit). Cela garantit que seules les personnes autorisées peuvent accéder aux données, même en cas d'interception.
  
  
• La formation des utilisateurs : les collaborateurs ayant accès à des informations portant la mention diffusion restreinte doivent suivre des formations spécifiques sur la sécurité de l'information. Ces formations incluent la reconnaissance des menaces, la gestion des informations sensibles et les protocoles à respecter en cas d'incident de sécurité. En France, la diffusion restreinte n'est pas un niveau de classification formel. Elle est encadrée par des réglementations et normes cyber issues du Code de la sécurité intérieure. Des réglementations sectorielles s'appliquent également, notamment dans des domaines comme la santé, l’énergie ou les télécommunications. L’objectif est de garantir un niveau de protection adéquat pour ces informations sensibles sans les classer sous le régime du secret défense.

Au niveau européen, la mention "EU Restricted" désigne des informations nécessitant des protections similaires. Pour l’OTAN, l’étiquette "NATO Restricted" assure que les informations sensibles partagées entre les États membres bénéficient d’une protection adéquate et respectent les engagements de sécurité collective.

Quelles sont les données concernées par la diffusion restreinte ?

Les informations classées en diffusion restreinte englobent une variété de données sensibles, parmi lesquelles :

• Les informations internes sensibles : cela peut inclure des stratégies commerciales, des analyses financières, des rapports de performance, ou des résultats d’audits. Par exemple, une entreprise en phase de fusion pourrait classer ses documents internes en diffusion restreinte pour éviter toute fuite d'informations qui pourrait influencer le marché.
  
  
• Les projets stratégiques : les données relatives à des projets de développement de nouveaux produits ou services peuvent également être concernées. Dans le secteur technologique, par exemple, des détails sur des innovations produits à venir peuvent être classés pour prévenir toute divulgation prématurée qui pourrait nuire à la position concurrentielle de l'entreprise.
  
  
• Les données personnelles : les informations concernant les collaborateurs, les clients ou les partenaires nécessitent une protection renforcée en vertu de lois sur la confidentialité comme le Règlement général sur la protection des données (RGPD), et peuvent également être classées en diffusion restreinte. Par exemple, des numéros de sécurité sociale, des coordonnées bancaires...
  
  
• Les informations industrielles non classifiées : les données industrielles, comme les techniques de fabrication, les plans de produit, ou les données de recherche et développement, peuvent être classées en diffusion restreinte pour protéger les intérêts commerciaux de l'entreprise contre la concurrence déloyale.

Qui est concerné par la diffusion restreinte ?

De nombreuses organisations, tant privées que publiques, sont amenées à manipuler des données en diffusion restreinte :

• Les entreprises privées : les sociétés opérant dans des secteurs sensibles, comme l'énergie, les télécommunications et la technologie traitent fréquemment des informations sensibles. 

• Les organismes publics ou gouvernementaux : des agences non liées à la défense, comme les ministères de la santé ou de l'économie, peuvent également manipuler des données sensibles. Ces organisations doivent veiller à la protection des informations qu'elles collectent et gèrent, qu'il s'agisse de données sur les citoyens ou d'informations sur la gestion des ressources publiques.
  
  

Ces entités sont responsables de la mise en œuvre de mesures de sécurité adéquates pour protéger les données classées en diffusion restreinte. Cela implique la création de politiques internes de sécurité de l'information, la réalisation d'audits réguliers pour évaluer l'efficacité de ces politiques, et la sensibilisation continue des collaborateurs aux bonnes pratiques en matière de sécurité.

Qu'est-ce-que la classification secret défense ? 

Classification secret défense : définition

Le secret défense² est un niveau de classification destiné à protéger des informations d'une sensibilité extrême, dont la divulgation pourrait compromettre la sécurité nationale, les opérations militaires, ou la souveraineté d'un État. En France, le cadre juridique qui régit cette classification est établi par le Code de la défense. Ce dernier définit non seulement les types d'informations concernées, mais aussi les mécanismes et les outils de sécurité associés.

Le secret défense est structuré autour de trois niveaux de classification :

• Confidentiel défense : ce niveau concerne les informations dont la divulgation non autorisée pourrait nuire à la défense nationale ou aux intérêts stratégiques de la France. Cela peut inclure des informations sur des projets de développement d'armement ou des collaborations internationales.
  
  
• Secret défense : les informations classées sous cette catégorie sont d'une sensibilité accrue. Leur divulgation pourrait gravement porter atteinte à la sécurité nationale. Des documents relatifs aux capacités militaires, aux opérations en cours, ou aux relations diplomatiques sensibles peuvent y figurer.
  
  
• Très secret défense : ce niveau, le plus élevé, est réservé aux informations dont la divulgation pourrait avoir des conséquences catastrophiques sur la défense nationale. Les détails sur des opérations militaires top secrètes, des stratégies de guerre ou des renseignements critiques sur des menaces existentielles sont classés à ce niveau.
  
  

Chaque niveau de classification impose des exigences strictes, avec notamment :

• Chiffrement : toutes les données secret défense doivent être protégées par des systèmes de chiffrement avancés certifiés par l’ANSSI.
  
  
• Contrôle d’accès : l’accès aux informations est réservé aux personnes habilitées et sécurisé par des systèmes d'authentification ultra-sécurisés.
  
  
• Surveillance et audits : des systèmes de surveillance détectent les tentatives d’intrusion, et des audits de sécurité réguliers vérifient la conformité.
  
  
• Stockage sécurisé : les documents et supports électroniques sont stockés dans des coffres-forts certifiés.
  
  
• Réseaux isolés : les informations sont traitées sur des réseaux informatiques séparés, appelés réseaux en entrefer. Ces réseaux sont physiquement isolés des autres systèmes et d'internet, garantissant qu'il n'existe aucune connexion directe avec des réseaux externes. Les échanges d’informations entre ces réseaux et d’autres systèmes ne peuvent se faire que par des moyens physiques contrôlés (comme des supports de stockage amovibles), soumis à des règles de sécurité strictes.
  
  
• Traçabilité : toutes les manipulations et consultations des informations sont tracées et enregistrées, permettant une surveillance complète des accès.

Quelles données sont concernées par le secret défense ?

Les informations classées secret défense englobent un large éventail de données stratégiques, parmi lesquelles :

• Les plans militaires : il peut s’agir de documents décrivant les stratégies de défense à long terme, les opérations militaires prévues, et la disposition des forces armées. Par exemple, les détails sur une opération militaire en préparation, y compris les objectifs et les ressources mobilisées sont strictement protégés.
  
  
• Les stratégies de défense : les informations sur la planification stratégique, y compris les évaluations des menaces, les capacités des adversaires, et les réponses potentielles à des crises, sont classées comme secret défense. Ces données sont stratégiques pour la prise de décision au plus haut niveau du gouvernement et des forces armées.
  
  
• Les renseignements nationaux : cela comprend des informations sur les menaces potentielles, comme les évaluations de l'état des forces adverses, des analyses de scénarios de conflit, et des informations sur des activités d'espionnage ou de cyberattaque. Par exemple, des rapports de renseignement sur les capacités nucléaires d'autres pays peuvent être classés au niveau secret défense pour garantir que ces informations ne tombent pas entre de mauvaises mains.

Qui a accès aux informations classées secret défense ?

L'accès aux informations classées secret défense est régi par des réglementations strictes et nécessite une habilitation spécifique. Cette dernière peut être attribuée à différents niveaux, allant de "Confidentiel défense" à "Très secret défense". Le processus d'obtention d'une habilitation est complexe et comprend plusieurs étapes :

• 1. Demande formelle : les individus souhaitant accéder à des informations classées doivent soumettre une demande d'habilitation, qui décrit leur besoin d'accès en fonction de leur rôle et des responsabilités associées.
  
  
• 2. Examen des antécédents : chaque demande fait l'objet d'une enquête approfondie sur les antécédents personnels, familiaux et professionnels de la personne. Cela passe notamment par une vérification des antécédents criminels, des enquêtes sur les relations personnelles et professionnelles, et l'évaluation de la stabilité financière.
  
  
• 3. Évaluations médicales et psychologiques : les candidats à une habilitation doivent également subir des examens médicaux et psychologiques pour évaluer leur capacité à gérer des informations sensibles et à respecter les protocoles de sécurité en place.

Par ailleurs, les détenteurs d'une habilitation secret défense ont des responsabilités en matière de sécurité. Ils doivent suivre des protocoles rigoureux pour la gestion des informations sensibles, mais aussi garantir la confidentialité des données auxquelles ils ont accès, et signaler tout incident de sécurité ou toute tentative d'accès non autorisé. Les professions qui accèdent généralement à ces informations sensibles incluent :

• Les officiers militaires supérieurs : ces individus sont souvent impliqués dans la planification stratégique et les opérations militaires, nécessitant un accès à des informations sensibles pour exécuter efficacement leurs fonctions.
  
  
• Les agents gouvernementaux : certains fonctionnaires, notamment dans les ministères de la défense ou des affaires étrangères, peuvent avoir besoin d'accéder à des informations classées secret défense pour assurer la sécurité nationale et gérer les relations internationales.
  
  
• Les agents de renseignement : les membres des agences de renseignement, chargés de collecter et d'analyser des informations sur les menaces potentielles, ont également un accès privilégié à des données classées secret défense.
  
  

Diffusion restreinte et secret défense : les principales différences

1. Une divergence de portée

La diffusion restreinte concerne des données sensibles mais non vitales pour la sécurité nationale. Par exemple, des informations financières internes peuvent être classées en diffusion restreinte. En revanche, le secret défense englobe des données critiques pour la défense et la souveraineté de l'État, comme les plans d'opération militaire, dont la divulgation pourrait compromettre la sécurité nationale.

2. Des niveaux de sécurité différents

Les niveaux de sécurité associés à la diffusion restreinte et au secret défense se distinguent principalement par la nature des accès et les exigences en matière de protection. 

Pour la diffusion restreinte, l'accès aux informations sensibles est généralement régulé par des politiques internes, sans nécessiter d'habilitations de sécurité formelles. Les organisations mettent en œuvre des contrôles d'accès spécifiques et des formations adaptées pour sensibiliser le personnel à la gestion de ces informations. Cela permet une certaine flexibilité tout en garantissant un niveau de protection approprié.

En revanche, le secret défense requiert des habilitations strictes, avec des enquêtes approfondies pour s'assurer de la fiabilité et de l'intégrité des individus accédant à des informations critiques. Les exigences en matière de cybersécurité sont nettement plus rigoureuses, incluant des systèmes de surveillance avancés, des protocoles de sécurité renforcés, ainsi que des audits de sécurité réguliers. Ce double mécanisme assure que seuls les individus ayant démontré leur capacité à gérer des informations sensibles peuvent y accéder, tout en maintenant les plus hauts standards de protection tant physiques que numériques.

3. Des contrôles et sanctions à deux niveaux

Les différences entre la diffusion restreinte et le secret défense se manifestent aussi dans les mécanismes de contrôle de conformité et les sanctions qui en découlent en cas de manquement. 

Pour la diffusion restreinte, les contrôles de conformité sont généralement moins rigoureux. Les organisations mettent en place des audits de sécurité internes pour s'assurer que les politiques de protection des informations sensibles sont respectées. En cas de violation, les conséquences peuvent varier, allant d'avertissements internes à des sanctions disciplinaires, selon la gravité de l'infraction. Cependant, ces sanctions ont tendance à être moins sévères et peuvent souvent être gérées au sein de l'organisation sans implication des autorités judiciaires.

En revanche, les manquements relatifs aux informations classées sous le secret défense entraînent des répercussions bien plus graves.

Prenons l’affaire Snowden³, qui s’est déroulée il y a quelques années aux Etats-Unis : en 2013, Edward Snowden, employé de la NSA, a divulgué des informations classifiées sur le programme PRISM, qui permettait l'accès aux communications en ligne de millions d'utilisateurs à travers le monde. Ces documents, classés sous des niveaux de sécurité "Top Secret" (l’équivalent de « secret défense » aux USA), révélaient que la NSA recueillait des informations sur les citoyens américains et étrangers sans leur consentement explicite, soulevant des inquiétudes majeures sur la violation des droits civils et de la vie privée.

Cette fuite de données a provoqué un scandale international, engendrant des tensions diplomatiques entre les États-Unis et plusieurs de leurs alliés, tout en fragilisant la perception publique de la sécurité nationale américaine. Snowden, en révélant ces informations secrètes, a enfreint les lois sur la protection des informations classifiées, et a depuis été accusé d'espionnage et de vol de biens du gouvernement. Son exil en Russie, où il a obtenu l'asile politique, montre aussi l'ampleur des répercussions qu'un acte de cette nature peut avoir sur la vie de l'individu et la sécurité nationale d'une grande puissance mondiale. Si Snowden revenait aux États-Unis, il risquerait plusieurs décennies de prison pour ses actes, démontrant ainsi la sévérité des sanctions pour des violations du secret défense. 

En France, la divulgation d'informations classées sous le secret défense peut entraîner une peine allant de 3 à 30 ans de réclusion criminelle, et une amende comprise entre 45 000 et 450 000€. ⁴

Tableau comparatif : diffusion restreinte et secret défense : quelles différences ?

La suite LockSelf, pour échanger et sécuriser les données classifiées

Des données chiffrées au repos et en transit avec LockTransfer et LockFiles

L'adoption de solutions comme LockFiles et LockTransfer permet d'assurer une sécurité renforcée des données classifiées à travers le chiffrement.

Le coffre-fort de stockage sécurisé LockFiles permet de chiffrer les données au repos. Cela signifie que les fichiers stockés sur les serveurs ou dispositifs de stockage sont protégés par un cryptage robuste. Même si un cyberattaquant parvient à accéder physiquement aux dispositifs de stockage, les données restent illisibles sans la clef de déchiffrement appropriée.

La plateforme de partage sécurisée LockTransfer permet quant à elle de protéger les données en transit (c'est-à-dire lors de leur échange entre utilisateurs et serveurs). LockTransfer utilise des protocoles de sécurisation des communications comme TLS (Transport Layer Security). TLS chiffre les données pendant leur transit entre deux points, comme un navigateur et un serveur web, ou un utilisateur et un serveur de messagerie. Avec cette protection, les échanges de fichiers critiques restent sécurisés à chaque étape de leur transit.

LockTransfer offre également la possibilité de réceptionner des documents sensibles de façon chiffrée auprès de ses différentes parties prenantes. L’ensemble des projets nécessitant une protection particulière sont ainsi en sécurité.

Une segmentation stricte des droits d'accès avec LockPass

La gestion des droits d'accès est un pilier de la sécurité des données classifiées. Avec le gestionnaire de mots de passe centralisés LockPass, les entreprises peuvent stocker, partager et gérer les accès de manière centralisée et sécurisée.

LockPass utilise des technologies de chiffrement pour protéger les mots de passe, garantissant qu'ils restent confidentiels et inaccessibles aux utilisateurs non autorisés. L'outil permet également de partager des identifiants avec d'autres utilisateurs de manière sécurisée, en maintenant un contrôle strict sur qui accède à quoi, à quel moment, et sous quelles conditions.

Ce type de gestion des mots de passe est indispensable pour les organisations manipulant des données classées en diffusion restreinte ou secret défense, car il permet de minimiser les risques liés à l'utilisation de mots de passe faibles ou mal sécurisés. 

Une traçabilité fine des actions grâce au Dashboard de suivi

Comme évoqué plus haut, la gestion des données classées en diffusion restreinte ou relevant du secret défense nécessite des mécanismes de contrôle stricts. Dans ce contexte, la suite LockSelf offre une traçabilité avancée des actions effectuées sur ces données sensibles.

• LockFiles permet de suivre de manière précise chaque action sur les fichiers classés. Grâce à ces logs complets, les administrateurs peuvent savoir exactement qui a accédé à quelles données protégées et à quel moment.
  
  
• LockTransfer assure la traçabilité des échanges de données lors de leur transfert. Chaque fichier envoyé ou partagé fait l’objet d’un enregistrement détaillé, permettant à la DSI de suivre en temps réel l’ensemble des flux de données, qu’ils soient internes ou externes. Une gestion fine concernant la consultation, l’envoi et le nombre de téléchargements d’un fichier.
  
  
• LockPass offre une vision d’ensemble sur les politiques de mots de passe mises en place dans l’organisation, leur robustesse ainsi que les mots de passe faibles à changer rapidement. Des notifications sur l’utilisation, la consultation et la modification d’accès hautement sensibles peuvent également être mises en place. Pour une gestion globale de la cybersécurité de l’entreprise, l’ensemble des logs peuvent être remontés automatiquement dans votre SIEM.

Ces solutions maintiennent un historique des actions réalisées sur les données, qu'il s'agisse de dépôts, de téléchargements, ou de transferts de fichiers classifiés. Cela permet aux entreprises de se conformer aux exigences de traçabilité imposées par les régulations en matière de protection des données sensibles, et notamment celles en lien avec le secret défense.

Par ailleurs, la suite LockSelf offre la possibilité de déclencher des alertes automatiques via son API en cas d’anomalies. Par exemple, un accès non autorisé à un fichier classé secret défense ou une tentative de transfert de données en dehors des heures prévues déclenchera immédiatement une alerte, permettant aux équipes de sécurité de réagir rapidement et efficacement.

Sources : 

1 https://cyber.gouv.fr/sites/default/files/2021/09/anssi-guide-recommandations_architectures_systemes_information_sensibles_ou_diffusion_restreinte-v1.2.pdf

2 https://cyber.gouv.fr/instruction-generale-interministerielle-n1300

3 https://www.lemonde.fr/pixels/article/2019/09/13/ce-que-les-revelations-snowden-ont-change-depuis-2013_5509864_4408996.html

4https://www.legifrance.gouv.fr/codes/section_lc/LEGITEXT000006070719/LEGISCTA000006165357/