L'ANSSI publie un guide sur l'homologation de sécurité

Le guide "l’Homologation de sécurité en neuf étapes simples" que vient de publier l'ANSSI donne un mode d'emploi pour s'engager dans la démarche d'homologation de sécurité.

Des outils d'autodiagnostic sur le besoin de sécurité et le niveau de maturité de l'organisation sont fournis.
La méthodologie de la démarche d'homologation de sécurité est détaillée au niveau de chaque étape :

• Étape n° 1 : Quel système d’information dois-je homologuer et pourquoi ?
  Définir le référentiel réglementaire applicable et délimiter le périmètre du système à homologuer.

• Étape n° 2 : Quel type de démarche dois-je mettre en œuvre ?
  Estimer les enjeux de sécurité du système et en déduire la profondeur nécessaire de la démarche à mettre en œuvre.

• Étape n° 3 : Qui contribue à la démarche ?
  Identifier les acteurs de l’homologation et leur rôle (décisionnaire, assistance, expertise technique, etc.).

• Étape n° 4 : Comment s’organise-t-on pour recueillir et présenter les informations ?
  Détailler le contenu du dossier d’homologation et définir le planning

• Étape n° 5 : Quels sont les risques pesant sur le système ?
  Analyser les risques pesant sur le système en fonction du contexte et de la nature de l’organisme et fixer les objectifs de sécurité

• Étape n° 6 : La réalité correspond-elle à l’analyse ?
  Mesurer l’écart entre les objectifs et la réalité.

• Étape n° 7 : Quelles sont les mesures de sécurité supplémentaires à mettre en œuvre pour couvrir ces risques ?
  Analyser et mettre en œuvre les mesures nécessaires à la réduction des risques pesant sur le système d’information. Identifier les risques résiduels

• Étape n° 8 : Comment réaliser la décision d’homologation ?
  Accepter les risques résiduels : l’autorité d’homologation signe une attestation formelle autorisant la mise en service du système d’information, du point de vue de la sécurité

• Étape n° 9 : Qu’est-il prévu pour maintenir la sécurité et continuer de l’améliorer ?
  Mettre en place une procédure de révision périodique de l’homologation et un plan d’action pour traiter les risques résiduels et les nouveaux risques qui apparaîtraient.