Homologation de sécurité des systèmes d'information
Définition de la stratégie d'homologation, analyse de risques, constitution du dossier et préparation de la décision de l'autorité d'homologation.
L'homologation de sécurité est la décision par laquelle un responsable, l'autorité d'homologation, atteste que les risques pesant sur un système d'information ont été identifiés, que les mesures nécessaires sont prises et que les risques résiduels sont acceptés. Elle est prononcée avant la mise en service, pour une durée déterminée.
Elle s'impose dans plusieurs cadres, notamment pour les systèmes d'information de l'administration et pour certains systèmes sensibles ou d'importance vitale. Des entreprises y sont aussi confrontées lorsqu'elles fournissent ou exploitent un système pour le compte d'un donneur d'ordre qui doit l'homologuer.
L'homologation n'est pas un exercice documentaire : c'est une décision éclairée. Notre rôle est d'apporter à l'autorité d'homologation les éléments qui lui permettent de décider, à un niveau de détail proportionné aux enjeux du système.
Les situations auxquelles nous répondons
- Vous devez homologuer un système avant sa mise en service et ne savez pas par où commencer.
- Un donneur d'ordre public vous demande les éléments de sécurité nécessaires à son homologation.
- Votre homologation arrive à échéance ou le système a évolué de manière significative.
- Vous voulez une démarche proportionnée, sans constituer un dossier démesuré.
Les étapes de l'accompagnement
-
Définir la stratégie d'homologation
Périmètre du système, cadre réglementaire applicable, acteurs, calendrier et niveau de détail attendu.
-
Analyser les risques
Appréciation des risques, avec EBIOS Risk Manager lorsque le contexte le demande, et identification des mesures de sécurité.
-
Constituer le dossier
Rassemblement et rédaction des pièces : analyse de risques, politique de sécurité, procédures d'exploitation, résultats d'audits.
-
Traiter les écarts
Plan d'action, suivi de sa mise en œuvre et formalisation des risques résiduels.
-
Préparer la décision
Présentation à la commission d'homologation et préparation de la décision de l'autorité d'homologation.
-
Suivre l'homologation
Maintien des conditions de sécurité, revue périodique et préparation du renouvellement.
La décision d'homologation appartient à l'autorité d'homologation désignée par votre organisation ou par votre donneur d'ordre. Nous préparons les éléments de la décision ; nous ne la prenons pas.
Livrables possibles
Les livrables sont arrêtés avec vous avant le démarrage, en fonction de votre besoin et de ce qui existe déjà.
- Stratégie d'homologation
- Analyse de risques du système
- Dossier d'homologation
- Plan d'action et état des risques résiduels
- Support de présentation à la commission
- Projet de décision d'homologation
Le guide de l'ANSSI
Denis Lasman, fondateur d'ISOTOPIC, est l'auteur principal du guide de l'ANSSI « L'homologation de sécurité des systèmes d'information ». Notre accompagnement s'appuie sur la démarche qui y est décrite.
Questions fréquentes
Qui prononce l'homologation ?
L'autorité d'homologation, c'est-à-dire un responsable de l'organisation qui a le pouvoir d'accepter les risques au nom de celle-ci. Elle s'appuie le plus souvent sur une commission d'homologation, qui instruit le dossier et émet un avis.
L'homologation est-elle définitive ?
Non. Elle est prononcée pour une durée limitée et doit être réexaminée à son échéance ou lorsque le système, son usage ou les menaces évoluent de manière significative. Une homologation provisoire, assortie de conditions, est parfois prononcée lorsque des actions restent à mener.
Quelle différence avec une certification ISO 27001 ?
La certification ISO 27001 est délivrée par un organisme extérieur et porte sur un système de management. L'homologation est une décision interne, qui porte sur un système d'information précis. Les deux démarches partagent une même base, l'analyse de risques, et peuvent se nourrir l'une l'autre.