guide_homologation_de_securite_en_9_etapes

ANNEXE 3Cette documentation doit être mise à jour afin de suivre les modificationssubies par le SI.Par exemple, si le périmètre de l’homologation est une application de téléservice,il faut fournir les éléments suivants :••les procédures d’exploitation de sécurité (PES) ;••le plan du maintien en condition opérationnelle ;••la matrice des flux entrant/sortant (interconnexions) ;••la documentation de la gestion des comptes de l’application ;••la documentation de l’administration du SI et de l’installation ;••plan de sauvegarde et d’archivage des données ;••plan de continuité ou de reprise d’activité.9 . Le document présentant les risquesidentifiés et les objectifs de sécuritéCe document doit être élaboré à l’issue d’une analyse de risques, réalisée (saufpour la démarche Pianissimo) en suivant une méthode éprouvée et maintenue,si possible respectant la norme ISO 27005. Il présente les caractéristiques suivantes:• • il décrit les besoins et objectifs de sécurité du système en termes de disponibilité,d’intégrité et de confidentialité par rapport aux menaces identifiées.Au besoin, il peut être présenté sous la forme d’une Fiche d’ExpressionRationnelle des Objectifs de Sécurité (FEROS) .• • il indique la nature et la sensibilité des informations traitées par le systèmeet précise les contraintes qui restreignent la conception, l’exploitation et lamaintenance du système.• • il doit prendre en compte les architectures d’interconnexion, les moyenspartagés avec d’autres entités, leurs conditions d’exploitation et de contrôle.• • sa rédaction nécessite la participation des acteurs clés du système à homologuer,qui sont interrogés sur leurs besoins, le contexte d’emploi du systèmeet les événements susceptibles d’impacter positivement ou négativement lesystème.65