Homologation de sécurité d’un système d’information (RGS)
Faire accepter formellement les risques résiduels par l’autorité qui en répond.
Réponse courte
Homologation de sécurité : de quoi s’agit-il, pour qui, à quel prix ?
Conduite de la démarche d’homologation de l’ANSSI pour un système d’information : stratégie, analyse de risques, mesures, audits, dossier pour la commission. Durée indicative : 2 à 6 mois selon la taille du système et le niveau d’exigence. Prix : sur devis, après un cadrage gratuit. Reconmind conduit la mission depuis Paris, sur site en Île-de-France et à distance ailleurs.
L’homologation de sécurité : définition est la décision par laquelle une autorité, le plus souvent le responsable de l’organisme, atteste qu’elle connaît les risques d’un système d’information et accepte ceux qui restent. Le référentiel général de sécurité (RGS) demande aux autorités administratives de conduire cette démarche pour leurs systèmes, et d’autres projets sensibles la reprennent.
Nous conduisons la démarche décrite dans le guide d’homologation de sécurité en neuf étapes de l’ANSSI : stratégie d’homologation, analyse de risques (le plus souvent avec EBIOS Risk Manager : définition), choix des mesures, audits de vérification, plan d’action, puis dossier présenté à la commission d’homologation. Nous préparons le dossier et les preuves ; la décision appartient à l’autorité d’homologation, que nous ne remplaçons pas.
Un point est souvent mal compris : l’homologation ne se confond pas avec une certification et ne se délègue pas à un prestataire. Elle est datée, assortie des risques résiduels acceptés, et se revoit quand le système change ou à l’échéance fixée par la décision. Un dossier tenu à jour permet de la renouveler sans repartir de zéro.
En résumé
- Durée indicative
- 2 à 6 mois selon la taille du système et le niveau d’exigence
- Prix
- sur devissur devis après cadrage
- Référentiels appliqués
- Guide d’homologation de sécurité en neuf étapes (ANSSI)Référentiel général de sécurité (RGS)EBIOS Risk ManagerISO/IEC 27001:2022
Mission conduite sous accord de confidentialité, sur un périmètre écrit au cadrage.
Réponse à toute demande sous 24 h ouvrées.
Homologation de sécurité : que couvre la mission ?
Le détail exact est fixé au cadrage, en fonction de votre contexte. Les axes traités systématiquement sont listés ci-dessous.
Stratégie d’homologation
Périmètre, niveau d’exigence, autorité d’homologation, composition de la commission, calendrier jusqu’à la décision.
Analyse de risques
Analyse selon EBIOS Risk Manager, risques résiduels à faire accepter, lien avec les exigences du RGS.
Mesures de sécurité
Choix et état de mise en œuvre des mesures techniques et organisationnelles, écarts avec le référentiel applicable.
Audits de vérification
Tests d’intrusion, audits de configuration et d’architecture pour vérifier les mesures. Quand un audit par un prestataire qualifié PASSI est exigé, nous le disons dès le cadrage et ne le réalisons pas.
Dossier d’homologation
Constitution du dossier présenté à la commission : stratégie, analyse, plan d’action, résultats d’audit, risques résiduels.
Maintien en conditions d’homologation
Suivi du plan d’action, déclenchement d’une révision quand le système évolue, préparation du renouvellement.
Homologation de sécurité : que livre la mission ?
- Stratégie d’homologation validée par l’autorité
- Analyse de risques EBIOS RM et plan de traitement
- Dossier d’homologation complet pour la commission
- Plan d’action des audits et suivi des risques résiduels
- Support de présentation à la commission d’homologation
Qu’est-ce que cela change pour vous ?
- Une décision d’homologation fondée sur un dossier complet et lisible
- Des risques résiduels connus, nommés et acceptés par la bonne personne
- Un dossier de départ pour le renouvellement ou l’évolution du système
Homologation de sécurité : pour qui est-ce utile ?
- Collectivités, établissements publics et organismes en charge de téléservices
- Éditeurs et prestataires qui fournissent des systèmes au secteur public
- Directions de projet d’un système d’information sensible avant sa mise en service
- Responsables sécurité chargés de constituer un dossier d’homologation
Votre situation ne figure pas dans cette liste ? Le cadrage tranchera : il nous arrive de recommander une autre prestation, ou d’attendre.
Homologation de sécurité : combien de temps dure la mission ?
Durée indicative : 2 à 6 mois selon la taille du système et le niveau d’exigence. Les 6 étapes de cette mission, dans l’ordre.
- 01
Cadrage et périmètre
Préciser l’exigence visée, les entités et les systèmes concernés, et la date à tenir.
- 02
Analyse de l’existant
Lire vos documents, vos pratiques et vos contrats pour mesurer l’écart avec le référentiel visé.
- 03
Plan d’action
Écrire les actions à mener, leur ordre, leur coût estimé et la personne qui porte chacune.
- 04
Production et accompagnement
Rédiger avec vos équipes les documents, les procédures ou le dossier, ou les guider dans leur rédaction.
- 05
Revue et validation
Faire relire par les décideurs, corriger, puis remettre la version finale.
- 06
Préparation de l’échéance
Préparer l’audit, la certification ou la présentation au client, et prévoir la mise à jour du dispositif.
Qu’est-ce qui est vérifiable avant de signer ?
Nous n’annonçons ni certification, ni nom de client, ni chiffre que nous ne saurions pas montrer. Le détail est écrit une seule fois, sur deux pages.
- Accord de confidentialité systématiqueLes éléments collectés sont chiffrés, conservés le temps convenu au contrat, puis détruits.
- Ce que nous ne promettons pasLes limites écrites avant la signature, et des référentiels appliqués plutôt que des certifications annoncées.
- Références sur demandeAucun nom de client n’est publié : une référence est donnée après accord écrit du client concerné.
Comment démarrer cette mission ?
Trois étapes, et le cadrage est gratuit et sans engagement.
- 1
Vous décrivez le périmètre
Un formulaire court ou un e-mail suffit : ce que vous voulez traiter, et pourquoi maintenant.
- 2
Nous répondons avec un créneau
Réponse à toute demande sous 24 h ouvrées, avec une proposition de créneau de cadrage.
- 3
Le cadrage débouche sur un devis
Cette prestation se chiffre sur devis : le prix se fixe pour votre périmètre, après le cadrage.
Homologation de sécurité : ce qu’on nous demande
Qui prononce l’homologation de sécurité ?
L’autorité d’homologation, c’est-à-dire le responsable de l’organisme ou son délégataire, sur la base du dossier et de l’avis de la commission d’homologation. Le consultant prépare le dossier et les preuves, il ne décide pas. L’ANSSI publie la démarche et accompagne le secteur public, mais elle ne prononce pas l’homologation à la place de l’organisme qui exploite le système.
Quelle différence entre homologation, certification et qualification ?
L’homologation est une décision de l’autorité sur un système précis, avec des risques résiduels acceptés. La certification d’ISO 27001 porte sur un système de management et est délivrée par un organisme accrédité. La qualification ou la certification de produits et de prestataires de sécurité relève de l’ANSSI ou d’organismes accrédités, selon les cas. Un système peut être homologué sans produit certifié, et inversement.
À quel moment lancer l’homologation dans un projet ?
Dès la conception, bien avant la mise en service. La décision est attendue avant l’ouverture du système, et les constats d’audit arrivent tard si la démarche commence en fin de projet : corriger l’architecture à ce stade coûte cher et retarde la mise en production. Un fournisseur de solution peut préparer en amont des éléments réutilisables : analyse de risques, résultats d’audit, documentation de sécurité.
Pour comprendre avant de décider
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- ComparatifConformité ou sécurité technique : ISO 27001, NIS 2 ou test d’intrusion ?On peut être conforme et vulnérable, solide et non conforme. Ce que couvre une démarche de conformité (ISO 27001, NIS 2), ce que mesure une démarche technique, et dans quel ordre les mener.
Quelles prestations s’y associent ?
Analyse de risques EBIOS
Des risques décrits avec vos métiers, pas piochés dans un catalogue.
2 à 6 semaines selon l’objet analysésur devis
PSSI et procédures
Des règles courtes, que l’on retrouve dans les pratiques.
3 à 8 semaines selon le nombre de politiques et de procéduressur devis
Pentest interne
Simuler ce qui se passe après l’ouverture de la première pièce jointe.
3 à 12 joursdès 2 400 €
Réponse à toute demande sous 24 h ouvrées
Parler de votre besoin
Trente minutes de cadrage suffisent à savoir si « Homologation de sécurité » correspond à votre besoin, sur quel périmètre, et ce que cela coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début