guide_homologation_de_securite_en_9_etapes

Objectifs de l’homologation de sécuritéEn informatique, comme dans les autres domaines, le risque zéro n’existe pas.L’objectif de la démarche d’homologation d’un système d’information (SI) est detrouver un équilibre entre le risque acceptable et les coûts de sécurisation, puisde faire arbitrer cet équilibre, de manière formelle, par un responsable qui aautorité pour le faire.Cette démarche permet d’améliorer la sécurité pour un coût optimal, enévitant la « sur-sécurité », mais en prenant également en compte le coût d’unéventuel incident de sécurité. Elle permet de s’assurer que les risques pesantsur le SI, dans son contexte d’utilisation, sont connus et maîtrisés de manièreactive, préventive et continue.La démarche d’homologation doit s’intégrer dans le cycle de vie du systèmed’information. Elle comprend plusieurs étapes clés, détaillées au sein duprésent document. Il est nécessaire de les suivre en même temps que les phasesde développement du système : opportunité, faisabilité, conception, réalisation,validation, exploitation, maintenance et fin de vie. En outre cette démarchedoit être lancée suffisamment tôt, afin de pouvoir déterminer les exigences desécurité qui seront intégrées dans les cahiers des charges de développement oud’acquisition.La décision d’homologation est le résultat du processus. Son objet est devérifier que le responsable a analysé les risques de sécurité et a mis en œuvre lesdispositifs adaptés à la menace.Le terme « homologation » recouvre donc deux notions distinctes :••la démarche d’homologation, avant tout destinée à faire connaître etfaire comprendre aux responsables les risques liés à l’exploitation d’unsystème d’information. Elle se conclut par une décision, soutenue par laconstitution et l’analyse d’un dossier de sécurité ;••la décision formelle d’homologation (également appelée attestation formelle).7