2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 72

72
l’ANSSI. Cette évaluation a pour objectif de vérifier la cohérence des objectifs de sécurité, 
identifiés dans la cible de sécurité, au regard des menaces, et d’évaluer l’efficacité des fonctions 
et des mécanismes de sécurité. En fonction des résultats de l’évaluation, l’ANSSI peut 
prononcer un agrément qui atteste de l’aptitude du dispositif à protéger les informations 
classifiées à un niveau spécifié, dans des conditions d’emploi identifiées. A l’issue de sa 
période de validité, un agrément doit faire l’objet d’un renouvellement pouvant nécessiter de 
réévaluer le dispositif. En raison de l’évolution des menaces ou de la découverte de 
vulnérabilités, un agrément peut être retiré avant son échéance. 
 
Pour assurer le bon déroulement de la procédure d’agrément ou de son renouvellement, 
l’autorité l’ayant demandé doit mettre en place une commission d’agrément réunissant, outre 
cette autorité, l’ANSSI, les laboratoires d’évaluation concernés et, le cas échéant, l’autorité 
d’emploi du système. 
 
Art. 90 : L’homologation de sécurité 
 
1) Démarche d’homologation  
 
Il est nécessaire de mettre en œuvre une démarche, dite d’homologation, pour permettre 
d’identifier, d’atteindre puis de maintenir un niveau de risque de sécurité acceptable pour le 
système d’information considéré, compte tenu du besoin de protection requis. Cette démarche 
s’appuie sur une gestion globale des risques de sécurité concernant l’ensemble du système 
d’information tout au long de son cycle de vie.  
 
L’homologation de sécurité d’un système est globale en ce qu’elle inclut dans son périmètre 
tout ce qui peut avoir un impact sur la sécurité du système, de nature technique ou 
organisationnelle. En particulier, il devra être tenu le plus grand compte : 
- 
des interconnexions avec d’autres systèmes ; 
- 
des supports amovibles ; 
- 
des accès à distance par des utilisateurs « nomades » ;  
- 
des opérations de maintenance, d’exploitation ou de télégestion du système, notamment 
lorsqu’elles sont effectuées par des prestataires externes. 
 
Tout système d’information traitant d’informations classifiées doit faire l’objet d’une 
homologation, consistant en la déclaration par une autorité, dite d’homologation, que le système 
d’information considéré est apte à traiter des informations classifiées du niveau de classification 
retenu conformément aux objectifs de sécurité visés, et que cette autorité accepte les risques 
résiduels de sécurité. Lorsque le système recourt à des dispositifs de sécurité agréés par 
l’ANSSI, l’autorité d’homologation prend en compte les conditions attachées à ces agréments. 
 
2) Autorité et commission d’homologation  
 
L’homologation est prononcée par une autorité désignée dans les conditions suivantes : 
− dans le cas où le système d’information traite d’informations classifiées au niveau Très 
Secret Défense, le SGDSN est l’autorité d’homologation ; 
− dans le cas où le système d’information appartient à une administration, un service, un 
organisme ou un établissement relevant de la responsabilité d’un ministre, l’autorité 
qualifiée concernée désigne l’autorité d’homologation ; 
− dans le cas où le système d’information relève de la responsabilité de plusieurs ministres, 
une autorité d’homologation unique est désignée conjointement par les ministres intéressés ;