2021 IM 1300 revue suite loi PATR JO 11aout21.pdf — page 104

11 août 2021 
JOURNAL OFFICIEL DE LA RÉPUBLIQUE FRANÇAISE 
Texte 1 sur 86 
 
 
 
101 
Pour les systèmes d’information classifiés au niveau Très Secret, les mécanismes d’importation 
et d’exportation d’informations par support amovible permettent d’identifier l’émetteur et les 
destinataires de l’information classifiée. 
L’utilisation de supports amovibles entre un système d’information classifié et un système 
d’information non classifié ou de classification différente est par principe interdite.
Toute dérogation à l’interdiction de principe doit être justifiée par un besoin opérationnel 
strictement nécessaire. La justification est versée au dossier d’homologation et les mesures de 
protection minimales suivantes s’appliquent : 
-
une analyse de risques est conduite pour identifier les mesures techniques et 
organisationnelles visant à prévenir tout risque de sortie incontrôlée d’information 
classifiée lié aux cas d’usage de ces supports amovibles ; 
-
les échanges d’information entre un système d’information classifié et un système 
d’information non classifié ou de classification différente s’effectuent au moyen de 
points de connexion des supports amovibles mettant en œuvre des dispositifs de sécurité 
utilisés comme moyens essentiels de protection contre les accès non-autorisés aux 
informations classifiées. Ces dispositifs de sécurité sont agréés (cf. 6.5.2). En absence 
de dispositifs agréés et après en avoir rendu compte à l’autorité qualifiée en sécurité des 
systèmes d’information et au service du haut fonctionnaire de défense et de sécurité 
compétents, des mesures palliatives sont prises et décrites dans le dossier 
d’homologation. 
AUDIT DES SYSTEMES D’INFORMATION
En complément des tâches de maintien en condition de sécurité, l’autorité d’homologation 
réalise ou fait réaliser, en lien avec la chaîne fonctionnelle de la sécurité des systèmes 
d’information classifiés, des audits de sécurité périodiques des systèmes d’information 
classifiés, avant chaque homologation ou renouvellement d’homologation. 
L’autorité d’emploi du système d’information visé précise les conditions du déroulement de 
l’audit, notamment de l’utilisation et de la restitution des équipements nécessaires à l’audit.  
L’autorité d’homologation et l’autorité d’emploi du système d’information formalisent les 
conditions de réalisation de l’audit, le cas échéant, par une convention d’audit. Ces audits de 
sécurité doivent, au-delà de la conformité aux règles de la présente instruction, évaluer le niveau 
de robustesse des systèmes d’information eu égard aux évolutions de la menace informatique. 
Il s’agit de vérifier l’application de mesures de défense en profondeur, de les éprouver par des 
techniques et outils à l’état de l’art et de réaliser des tests complémentaires qui peuvent être 
conduits inopinément en fonction des relevés d’audit initiaux. 
Les risques associés à l’utilisation des outils d’audit, des privilèges et de communication des 
relevés techniques nécessaires à la réalisation de l’audit de sécurité figurent dans le dossier 
d’homologation du système visé, quel que soit son niveau de classification et sans préjudice 
des dispositions de la présente instruction. Les rapports d’audit portant sur des systèmes 
d’information classifiés sont classifiés au moins au niveau Secret. Les relevés techniques 
d’audit sont classifiés au maximum au même niveau que le rapport. 
L’autorité d’homologation et l’officier de la sécurité des systèmes d’information tiennent les 
rapports d’audit à disposition de l’agence nationale de la sécurité des systèmes d’information, 
du service du haut fonctionnaire de défense et de sécurité et du service enquêteur compétents. 
Les modalités de consultation des rapports d’audit sont déterminées en accord avec le service 
du haut fonctionnaire de défense et de sécurité.