Conformité
Homologation de sécurité
Aussi appeléHomologation RGSHomologation SSI
En résumé
La décision formelle par laquelle l’autorité responsable d’un système d’information atteste qu’elle connaît ses risques de sécurité et accepte les risques résiduels. Elle s’appuie sur une analyse de risques, des audits et un dossier, et reste valable pour une durée définie ou jusqu’à une évolution notable du système.
Homologation de sécurité, en détail
La démarche est décrite par le guide d’homologation de sécurité en neuf étapes de l’ANSSI : définir la stratégie et le périmètre, analyser les risques, choisir et mettre en œuvre les mesures, vérifier par des audits, puis constituer un dossier présenté à une commission. L’autorité d’homologation, souvent le responsable de l’organisme, décide en connaissance des risques résiduels et des plans d’action. Le référentiel général de sécurité (RGS) l’attend des autorités administratives pour leurs systèmes.
L’homologation se distingue d’une certification : elle porte sur un système précis, n’est pas délivrée par un organisme accrédité, et chaque risque résiduel y est accepté nommément. Elle se revoit quand le système évolue ou à l’échéance fixée par la décision. Les audits qui la nourrissent sont parfois réservés à des prestataires qualifiés, par exemple PASSI : définition : vérifiez-le tôt dans le projet.
En pratique, le dossier réunit la stratégie d’homologation, l’analyse de risques, le plan d’action avec ses échéances, les rapports d’audit et la liste des risques résiduels proposés à l’acceptation. La commission l’examine et rend un avis ; l’autorité décide, par une décision datée qui fixe sa durée et ses éventuelles conditions. Un prestataire peut préparer ce dossier et conduire les audits, mais il ne prononce pas l’homologation : cette décision n’appartient qu’à l’autorité.
Qu’est-ce que cela change pour vous ?
L’homologation place la décision d’accepter un risque au niveau de la personne qui en répond, avec un dossier. Elle évite que la mise en service d’un système sensible repose sur un accord oral.
Exemple illustratif (fictif)
Imaginons une collectivité qui ouvre un téléservice destiné aux administrés. Avant la mise en service, le dossier arrive chez le responsable de l’organisme, qui constate que deux risques résiduels restent faute de budget cette année. Il les accepte par écrit pour une durée limitée et fixe la date du prochain réexamen : la décision est tracée plutôt que supposée.
La confusion fréquente
La confondre avec une certification, ou la lancer en fin de projet. Les constats d’audit arrivent alors trop tard pour modifier l’architecture sans retarder la mise en service.
Qui peut vous accompagner ?
- Homologation de sécurité : la prestationFaire accepter formellement les risques résiduels par l’autorité qui en répond.
- Analyse de risques EBIOS : la prestationDes risques décrits avec vos métiers, pas piochés dans un catalogue.
Aller plus loin
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- ArticleAutorisation de test d’intrusion : ce que doit contenir la lettrePérimètre, fenêtres, adresses IP sources, contacts, clause d’arrêt, données, signataires habilités : le contenu d’une autorisation écrite avant un test d’intrusion, et son cadre légal.
- ComparatifTest d’intrusion ou bug bounty : faut-il ouvrir un programme de primes ?Une mission cadrée et un programme de primes ont des modèles économiques opposés et des couvertures différentes. Ce que chacun apporte, ce qu’il suppose en interne, et quand l’un ne se justifie pas encore.
Termes liés
- MéthodeEBIOS Risk Manager : définitionLa méthode d’analyse de risques numériques publiée par l’ANSSI.
- ConformitéPASSI : définitionLa qualification française délivrée par l’ANSSI aux prestataires d’audit de la sécurité des systèmes d’information qui satisfont à un référentiel d’exigences.
- ConformitéPSSI : définitionLa politique de sécurité des systèmes d’information : le document de référence, approuvé par la direction, qui fixe les objectifs de sécurité, les règles applicables, les rôles et les responsabilités.
- MéthodeAudit de sécurité informatique : définitionUne évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début