2011113_IGI 1300_Protection du secret de la defense nationale_NP.pdf — page 70

70
1) Principes relatifs à l’organisation 
 
Ces principes comprennent : 
 
-  la prise en compte de la sécurité : la sécurité du système d’information doit être prise en 
compte dans toutes les phases de la vie du système, sous le contrôle de l’autorité 
d’homologation, notamment lors des études de conception et de spécification du système, tout 
au long de son exploitation et lors de son retrait du service ; 
- la politique de sécurité du système d’information : une politique de sécurité définissant les 
principes et les exigences, techniques et organisationnels, de sécurité du système doit être 
établie et approuvée par l’autorité d’homologation. Cette politique s’appuie sur une gestion des 
risques prenant en compte les menaces pesant sur le système et sur les informations, et les 
vulnérabilités identifiées sur le système ;  
- l’homologation du système : tout système doit être homologué138 par une autorité désignée 
conformément à l’article 90 avant sa mise en service opérationnel ; 
- l’organisation de la chaîne des responsabilités : il convient d’identifier clairement les 
personnes qui ont des responsabilités dans la sécurité du système d’information, de les habiliter 
au niveau requis et de veiller à les informer des menaces pesant sur le système et sur les 
informations ; 
- le contrôle de la sécurité du système en phase d’exploitation : la mise en œuvre des 
mesures de sécurité et le respect des conditions dont est assortie l’homologation sont contrôlés 
tout au long de l’exploitation du système d’information notamment en conduisant régulièrement 
des audits de sécurité ; 
- la gestion des incidents de sécurité : des procédures de détection et de traitement des 
incidents de sécurité susceptibles d’affecter la sécurité du système d’information doivent être 
mises en place. Il est rendu compte à l’autorité d’homologation des incidents rencontrés et des 
moyens mis en œuvre pour leur traitement. L’ANSSI est tenue informée des incidents et de 
leurs caractéristiques techniques affectant les systèmes d’information traitant d’informations 
classifiées. 
 
2) Principes relatifs aux moyens techniques  
 
Ces principes comprennent : 
- la protection technique du système : le système d’information doit être conçu de manière à 
protéger l’information qu’il traite et à garantir son intégrité,  sa disponibilité et la confidentialité 
des informations sensibles relatives à sa conception et à son paramétrage de sécurité;  
- la gestion des composants sensibles du système : une gestion des ACSSI et des autres 
composants sensibles du système d’information doit être mise en place, permettant d’en assurer 
la traçabilité tout au long de leur cycle de vie, conformément à l’article 91 ; 
- la protection physique du système : les mesures  de protection physique d’un système 
d’information doivent être appliquées ;   
- la gestion et le contrôle des accès au système : le système d’information doit être conçu et 
géré de manière à ne permettre son accès139 qu’aux seules personnes ayant le niveau 
d’habilitation requis et le besoin d’en connaître ;  
- l’agrément des dispositifs de sécurité : des dispositifs de sécurité agréés par l’ANSSI 
conformément à l’article 89 du présent chapitre doivent être utilisés140. 
 
                                                 
138 Article R. 2311-6-1 du code de la défense. 
139 Article R. 2311-7-1 du code de la défense. 
140 Article R. 2311-6-1 du code de la défense.