Préalable à la sécurisation et l’homologation d’un système, une phase de cadrage est nécessaire afin de définir les objectifs du projet, son périmètre, les parties prenantes concernées.

Étape 1 - Évaluer

L’évaluation des besoins de sécurité d’un système consistant à évaluer sa criticité et son exposition aux sources de risques. Cette étape est indispensable en vue de proportionner l’effort de sécurisation et la profondeur de la démarche d’homologation.

Dans le cas où les besoins de sécurité identifiés seraient modérés (voir « Identifier la démarche adaptée », la réalisation d’une analyse de risques rapide est
recommandée en vue d’affiner la compréhension des risques et identifier à l’étape suivante des mesures additionnelles susceptibles d’être mises en œuvre. Pour les systèmes aux besoins de sécurité avancés ou élevés, la réalisation d’une analyse de risque approfondie est indispensable.

L’analyse de risque peut également conduire à réévaluer à la hausse les besoins de sécurité identifiés.

Etape 2 - Sécuriser

La sécurisation du système par la mise en œuvre, dès le début du projet de mesures de sécurité adaptées aux risques identifiés et contre lesquels l’entité souhaite se protéger. Plus l’effort de sécurisation sera mené dès le début du projet (« by design ») plus celui-ci sera performant et réduira les coûts ultérieurs.

La réalisation d’une analyse de risque peut permettre de préciser les risques pour un système et de prioriser leur traitement. Dans le cadre du plan d’action de renforcement de la sécurité du système, il convient toujours de prioriser les actions ayant le plus d’impact et permettant de réduire les risques les plus critiques.

Dans le cadre d’une démarche d’homologation renforcée adaptée aux systèmes aux besoins de sécurité avancés et élevés (voir « identifier la démarche adaptée »), une évaluation du niveau de sécurité effectif (audits) du système doit être réalisée avant toute décision d’homologation via la réalisation a minima de tests de sécurité automatiques ou d’audits plus approfondis, adaptés aux besoins de sécurité et aux caractéristiques d’un système (ex. audit de configuration, d’architecture, de code, test d’intrusion, etc.).

La fréquence des audits ultérieurs doit répondre à la même logique.

Etape 3 - Préparer

La démarche d’homologation en tant que telle, consistant à préparer l’ensemble des éléments permettant à l’autorité d’homologation de prendre sa décision, incluant à minima la définition du périmètre de l’homologation, la constitution d’un « dossier d’homologation », la collecte des avis – notamment du comité d’homologation – et la préparation de la commission d’homologation.
La décision d’homologation est prise par l’autorité d’homologation ou par délégation :

Sur la base d’un dossier d’homologation dont la profondeur varie en fonction du niveau de démarche et de l’avis du comité d’homologation.

À l’issue d’un contrôle de la matérialité des mesures mises en œuvre pour les démarches de niveau intermédiaire ou approfondi (voir « Identifier la démarche adaptée »).
Lors d’une « commission d’homologation » pouvant prendre la forme.
- D’une réunion réunissant les différentes parties prenantes, pouvant être consacrée à une seule décision ou mutualiser plusieurs décisions.
- Dématérialisée, notamment dans le cadre d’une démarche initiale ou intermédiaire.

Mis à jour le : 31/03/2025