L’homologation d’un système d’information consiste à évaluer les risques encourus afin de les traiter ou d’accepter ceux ayant un caractère résiduel. Elle fournit un niveau de confiance dans l’usage et la protection des informations et du système numérique qui les contient.

Cette homologation est obligatoire pour les systèmes traitant des informations sensibles ou classifiées, nationales ou internationales. En tant qu’autorité contractante, la DGA est membre de droit des commissions d’homologation portant sur des systèmes d’information de la Base Industrielle et Technologique de Défense (BITD) contribuant à la réalisation des programmes d’armement.

L’ANSSI propose un guide de l’homologation de sécurité, avec de nombreuses explications et ressources. Le ministère des Armées encadre le processus d’homologation avec l’instruction ministérielle n°900 (IM900), en particulier son paragraphe 6.2. Le suivi des évolutions de cette instruction ministérielle par rapport à la version précédente a fait l’objet d’une analyse détaillée. Un prérequis de ce processus est une cartographie des systèmes d’information utilisés dans le cadre d’un programme d’armement, et de leurs interfaces. La désignation d’une Autorité d’Homologation est également nécessaire.

Sur la base de la cartographie, le questionnaire de catégorisation, permet d’identifier la démarche à suivre, en fonction de l’exposition et et de la criticité du système. Le contenu attendu du dossier d’homologation en découle directement. La transparence du dossier d’homologation est indispensable à une prise de décision éclairée de l’autorité d’homologation, qui engage sa responsabilité, et celle de son employeur.

La démarche d’homologation débute par la stratégie d’homologation, qui établit le périmètre à homologuer, et les objectifs de sécurité. Vous pouvez utiliser le guide de rédaction de la stratégie.

Les différentes démarches possibles sont : basique pour les systèmes les moins risqués ; adaptée pour les systèmes intermédiaires ; et standard pour les systèmes nécessitant un haut niveau de vigilance.
Le dossier d’homologation doit être transmis à un conseiller industrie DGA avec un préavis d’un mois avant la commission d’homologation. Un contact préalable à l’envoi du dossier est souhaité, pour garantir une bonne prise en compte de votre dossier, à l’adresse :

dga-ssdi-conseiller-industrie.contact.fct@intradef.gouv.fr

Dans le cas spécifique d’un système d’information simple et isolé, la démarche associée à la fiche méthode dédiée proposée par l’ANSSI, est également acceptable.