Démarche de mise en conformité RGS d'un téléservice : retour d'expérience

Overview & Synopsis

Depuis mai 2013, tout télé-service offert par une autorité administrative à ses usagers doit être conforme au RGS (Référentiel Général de Sécurité) et homologué. Pourtant, un sondage effectué au printemps 2013 auprès de leur RSSI a montré que très peu d'établissements universitaires avaient entamé (ou annonçaient avoir entamé) une démarche d'homologation. Le document central, ou corps du RGS, décrit très clairement le contexte d'application et l'intégration du RGS dans la SSI d'un établissement. Le cheminement proposé est descendant et se décline à partir de la politique SSI de l'établissement. Le corps du RGS est concis mais il se réfère en permanence à des méthodes et nomenclatures (PSSI, EBIOS, GISSIP, FEROS, etc) dont la documentation couvre quelques milliers de pages. L'INSA de Toulouse a décidé à la mi-2013 de se lancer dans l'homologation d'un premier service simple afin de constituer un socle de compétences et de pouvoir envisager par la suite l'homologation de l'ensemble de ses télé-services. L'exposé présente la démarche ascendante retenue, car ne partant pas d'une PSSI formalisée : * processus de décision initiale ; * formation aux méthodes ; * choix d'un télé-service ; * communication interne et constitution de la commission d'homologation ; * points clés retenus pour la conduite de l'analyse ; * éléments pour l'audit des travaux ; * dossier de sécurité, proposition d'homologation et publication. A la date de soumission de cet article, les travaux ne sont pas achevés mais la présentation traitera des étapes déjà réalisées et des éléments mis en place pour parvenir rapidement à l'homologation.