Après la décision : suivre, renouveler, arrêter

Le guide de l'ANSSI et de la DINUM liste ce qui doit se passer pendant la période d'homologation : réaliser le plan d'action validé en commission, lever les réserves éventuelles, ajouter des actions quand le périmètre ou l'écosystème change, tenir le MCO et le MCS, corriger les vulnérabilités découvertes, tirer les leçons des incidents et mettre la documentation à jour.

Tout événement qui modifie les risques liés à l'emploi du système doit faire évoluer le plan d'action et, dans certains cas, conduire à repasser devant une commission. En revanche, un changement d'autorité d'homologation pendant la période n'impose pas, sauf demande particulière, de nouvelle commission.

Le guide demande de revoir la sécurité de tous les systèmes de l'organisation au moins une fois par an, en dehors de toute commission. La revue est présidée par l'autorité d'homologation ou son délégué ; la fiche méthode consacrée à la revue la fait animer par le RSSI, avec des représentants des deux premières lignes de maîtrise, et conseille la présence des autorités. Elle la compare à la revue de direction d'un SMSI certifié ISO 27001.

La revue se termine par la validation d'un plan d'action et par la date de la revue suivante. Un tableau de bord SSI bien tenu en fournit l'essentiel des indicateurs.

Avant la date de fin, l'autorité doit se prononcer à nouveau. Si la démarche précédente a donné satisfaction, on peut la reprendre ; sinon, même aux niveaux simplifié et intermédiaire, une commission en présentiel peut se justifier. Un système bien suivi pendant sa période d'homologation demande peu d'efforts de documentation, mais un comité, souvent composé des mêmes personnes, doit rafraîchir trois sujets :

• l'histoire du système depuis la dernière décision : incidents, changements notables, améliorations ;
• l'avancement des actions présentées lors de la commission précédente ;
• l'évolution du contexte pour la période qui s'ouvre.

L'avis et la durée peuvent différer de la fois précédente : ils dépendent de la situation au jour de la commission. Le guide est net sur un point : il n'est pas recommandé de renouveler l'homologation d'un système pour lequel rien n'a été fait afin de corriger ses faiblesses. La fiche destinée aux décideurs rappelle les trois déclencheurs d'une nouvelle homologation : la fin de la période, un changement notable qui modifie les risques, et un incident de sécurité.

Certains systèmes sont conçus pour être déployés à l'identique : postes isolés, petits sites, stations de décontamination de supports. Une fiche méthode de l'ANSSI permet d'homologuer un système de référence et d'en faire bénéficier ses copies, à condition d'annoncer dès le départ le rôle de modèle et le nombre approximatif de copies, de tenir l'inventaire à jour, et de garder identiques au minimum la mission, la classification des données, le type de local, le MCS, le mode d'administration, le profil des utilisateurs et l'autorité d'homologation.

Un système est considéré comme arrêté quand toutes ses données ont été détruites, déclassifiées, transférées vers un autre système ou confiées à un service d'archives, et que ses composants ont été démantelés, avec des preuves à l'appui. Les procédures de démantèlement sont écrites avant l'opération, et le comité d'homologation les évalue ; la destruction des données suit leur niveau de classification. L'homologation prend fin avec le retrait du service, et la fiche destinée aux décideurs demande que le dirigeant en soit informé.

Un système en service sans être homologué, à l'inverse, doit être arrêté ou homologué dans un délai raisonnable, que le guide définit comme le temps nécessaire pour présenter un plan d'action de sécurisation.

Pour une organisation qui homologue tous ses services numériques, la revue annuelle suppose de savoir en quelques minutes quels systèmes arrivent à échéance, lesquels portent des réserves et où en sont leurs plans d'action. Les tableurs y suffisent rarement au-delà de quelques systèmes.