L’effort de sécurisation et la démarche d’homologation doivent être proportionnés aux besoins de sécurité d’un système d’information. Plus la criticité et l’exposition au risque d’un système sont élevés, plus l’effort de sécurisation sera important et la démarche d’homologation exigeante.

Évaluer les besoins de sécurité d’un système

Afin d’identifier l’effort de sécurisation nécessaire et la démarche d’homologation adaptée, les besoins de sécurité d’un système doivent être évalués en mettant en regard deux enjeux :

La criticité du système, établie sur la base d’une évaluation des impacts pour l’organisation d’une atteinte à la confidentialité, à l’intégrité ou à la disponibilité d’un système. Ces impacts peuvent être par exemple de nature juridique, financier, réputationnel. Ces impacts pouvant être identifiés dans le cadre de l’analyse de risques.

L’exposition aux sources de risques d’un système, incluant mais ne se limitant pas à son exposition depuis Internet.
Dans ce dernier cas de figure, 4 niveaux d’exposition sont identifiés :
a. Nul : aucune connexion réseau (« stand alone »), accès aux seules personnes habilitées.
b. Faible : ouverture à des réseaux maîtrisés, accessibles à des personnes habilitées
c. Important : indirectement ouvert à des réseaux non maîtrisés, accès nomades limités.
d. Total : ouverture complète sur internet.

La rencontre entre ces deux critères permet d’identifier les besoins de sécurité du système, à savoir les enjeux de sécurité de ce dernier et l’effort de sécurisation qui devra être mis en œuvre en conséquence.


Ainsi, dans le cas extrême ou la criticité d’un système serait maximale et son exposition absolument nulle, ses besoins de sécurité seraient considérés comme « seulement » avancés.

Exemples de systèmes d’information selon les besoins de sécurité :

En déduire la démarche de sécurisation et d’homologation adaptée

3 niveaux de démarches doivent être mis en œuvre en fonction des besoins de sécurité identifiés.


Quand bien même les besoins de sécurité d’un système auraient été identifié à un certain niveau (ex. élémentaire, modéré), une organisation peut toujours librement choisir de mettre en œuvre une démarche de sécurisation et d’homologation plus exigeante.

Mis à jour le : 31/03/2025