Le dossier d'homologation : quelles pièces, pour quel niveau

Le dossier d'homologation est l'ensemble des documents qui permettent de comprendre le système et les risques liés à son emploi, puis de formuler un avis. Le guide de l'ANSSI et de la DINUM pose quatre principes :

• les pièces existent déjà : elles servent à suivre et sécuriser le système, et ne doivent pas être écrites pour la seule homologation ;
• elles sont écrites par ceux qui savent : équipes de conception et d'exploitation, tout au long du projet, puis tenues à jour ;
• la qualité prime sur la quantité : des documents clairs et utiles aux équipes valent mieux qu'un classeur épais ;
• elles sont protégées au juste niveau et réservées aux personnes qui ont besoin d'en connaître, car elles décrivent aussi les faiblesses du système.

Le comité n'a pas à produire la documentation ni à auditer lui-même le système : il collecte, lit, questionne et évalue.

C'est la porte d'entrée du dossier et le support de la commission. Rédigé en général par le RSSI ou par le responsable métier, il tient en une à deux pages et répond au minimum aux questions suivantes, que nous regroupons par thème :

Il justifie aussi le niveau de démarche retenu, comme on l'a vu au chapitre 3, et il est mis à jour avant chaque commission.

Le guide fixe la liste des pièces que le comité doit rassembler et étudier pour chacun des trois niveaux :

Les notes du tableau apportent quatre précisions utiles :

• la conformité au socle de sécurité, aux textes et aux politiques internes est examinée dans le cadre de l'analyse de risques ;
• aux niveaux simplifié et intermédiaire, une analyse allégée suffit : avec EBIOS RM, tous les ateliers ne sont pas nécessaires, et le guide cite l'exemple des seuls atelier 1 et atelier 5 ;
• les procédures d'exploitation, le MCO et le MCS sont généralement communs à toute l'organisation : on y renvoie plutôt que de les réécrire ;
• pour un système déjà en service, l'historique regroupe au minimum ses événements et incidents de sécurité marquants, ses changements techniques et organisationnels et ses précédentes homologations.

Le guide note par ailleurs que, pour un système de criticité mineure dont l'exposition est quasi nulle, une approche par la conformité et l'application du guide d'hygiène informatique peuvent remplacer l'analyse de risques. Le contenu de chaque pièce est décrit au chapitre 2.

Pour les services numériques simples, notamment ceux des collectivités, le service gratuit MonServiceSécurisé de l'ANSSI guide une équipe pas à pas et génère un premier dossier d'homologation. Quand les systèmes se comptent par dizaines et que chacun a son niveau, ses échéances et ses réserves, il faut surtout un endroit unique où retrouver chaque pièce, chaque décision et l'état de chaque action.