guide_homologation_de_securite_en_9_etapes

LA RÉALITÉ CORRESPOND-ELLE À L’ANALYSE ?Durant la sixième étape, vous devez mesurer l’écart entre les résultats de l’étudede risque et la réalité, en réalisant un contrôle plus ou moins formalisé du système.Ce contrôle peut intervenir à tout moment du cycle de vie du système : enamont, avant la mise en service voir au cours de la conception, mais égalementen aval, si le système est déjà opérationnel.Le degré de formalisation du contrôle dépend de la démarche entreprise.Vous avez déterminé lors de la quatrième étape quel type d’audit était adapté.Certains systèmes n’appellent qu’une vérification peu formelle. En revanche, unaudit complet et indépendant se justifie dans le cas de systèmes à fort enjeu desécurité.1 . Réalisation du contrôleDémarche PianissimoPour la démarche Pianissimo, un audit technique est optionnel.Démarche PianoPour la démarche Piano, il est recommandé de procéder à un audit formalisé surles segments les moins maîtrisés du système.Démarche Mezzo-fortePour la démarche Mezzo-Forte, il est fortement recommandé d’effectuer unaudit technique du système d’information. Cet audit permettra de mettre enévidence d’éventuelles failles et d’identifier rapidement les risques encourus parl’organisme.Les audits doivent être menés dans les formes prévues par le référentield’exigences relatif aux prestataires d’audit de la sécurité des systèmes d’information,disponible sur le site de l’ANSSI .34