Homologation de systèmes d'informations (SI), systèmes d'informations d'importance vitale (SIIV)

L’homologation d’un système d'information (SI) atteste que celui-ci est apte à protéger des informations conformément aux documents réglementaires applicables, aux objectifs de sécurité établis, et que les risques de sécurité résiduels sont acceptés et maîtrisés :

(mettre l'image avec le cycle du processus de gestion des risques - Ajouter (C) SCASSSI)

La démarche d'homologation s'applique particulièrement aux SI sensibles, par exemple traitant des données marquées diffusion restreinte, Restreint UE/EU Restricted ou tout équivalant, SI classifiés, en application de la Politique de Sécurité des SI de l'Etat, ou la PSSI des armées, ou de l'instruction générale interministérielle n°1300 (et des instructions associées).

Elle s'applique également aux Systèmes d'Information d'Importance Vitale (SIIV) en application des arrêtés sectoriels qui viennent compléter la loi de programmation militaire (LPM)

Elle s'applique également au Système national des données de santé (SNDS) et tous les systèmes d'information traitant des données de santé issues du SNDS existants à la date d'entrée en vigueur du présent arrêté devront être en conformité totale avec le référentiel publié par l'arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé.

Elle s'applique également à toute autorité administrative qui met en œuvre des certificats électroniques ou des contremarques de temps conformes aux annexes du Référentiel Général de Sécurité (RGS).

L’homologation est un processus de gestion de projet qui comporte les étapes suivantes:

Activité 1 : Établissement du périmètre, du type de démarche et du planning

Activité 2 : Lancement

Activité 3 : Appréciation des risques et plan de traitement

Activité 4 : Audits de vérification

Activité 5 : Restitution et décision d’homologation

Activité 6 : Suivi de l’homologation

Bénéfices

Les bénéfices d’une homologation sont multiples :

Mise en conformité réglementaire, évitement du volet « sanctions »
Maitrise des risques et des coûts, arbitrage des plans d’actions par l'autorité d'homologation
Maitrise de la chaine d’alerte & traitement lors d’incidents
Instauration de la confiance dans les systèmes d’information et dans leur exploitation
Possibilité de mutualisation de la démarche avec plusieurs réglementations