![\"Certifications,](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock-660792934-300x169.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
Le cyberscore d\u2019un c\u00f4t\u00e9, les certifications-qualifications des produits de l\u2019autre \u2013 sans m\u00eame parler des certifications individuelles\u00a0\u2013, les labels restent un sujet de fond en cybers\u00e9curit\u00e9. Mais alors que les deuxi\u00e8mes se multiplient aux \u00e9chelons nationaux et internationaux, il devient difficile pour les responsables informatiques de se rep\u00e9rer. Faut-il opter pour une certification plut\u00f4t qu\u2019une qualification\u00a0? \u00c0 quel organisme se fier\u00a0? Tous les labels se valent-ils\u00a0? Autant de questions qui interrogent.<\/strong><\/p>\n En parall\u00e8le face \u00e0 la recrudescence d\u2019arnaques en ligne, le grand public peine \u00e0 \u00e9valuer la s\u00e9curit\u00e9 des services en ligne qu\u2019il utilise. C\u2019est dans un souci de simplification que le projet de cyberscore<\/a> a \u00e9t\u00e9 lanc\u00e9 en France. Sur le papier\u00a0: une visualisation rapide du niveau de cybers\u00e9curit\u00e9 d\u2019un service num\u00e9rique. Mais dans les faits, le label navigue entre les questions de s\u00e9curit\u00e9 et de souverainet\u00e9, en attendant de pr\u00e9ciser les \u00e9l\u00e9ments \u00e0 prendre en compte dans cette notation \u00e0 destination des particuliers. Et du c\u00f4t\u00e9 des entreprises\u00a0?<\/p>\n <\/p>\n Certification CSPN, qualification \u00e9l\u00e9mentaire, standard et renforc\u00e9e ou Visa de S\u00e9curit\u00e9 en France, \u00ab\u2009Producto Aprobado\u2009\u00bb ou \u00ab\u2009Producto Cualificado\u2009\u00bb en Espagne, certifications Crit\u00e8res Communs, labels Restreint OTAN ou encore Restreint UE ; avec la multiplication des certifications des produits de cybers\u00e9curit\u00e9<\/a>, les responsables informatiques ont de plus en plus de mal \u00e0 savoir ce que recouvre exactement chacune d\u2019entre elles. Et donc du mal \u00e0 choisir la plus adapt\u00e9e \u00e0 leur organisation. Ce foisonnement reste n\u00e9anmoins un signe positif pour Julien Paffumi<\/strong>, Product Portfolio Manager chez Stormshield, qui analyse que \u00ab\u00a0la multiplication de ces certifications et qualifications est un indicateur de la prise de conscience du besoin de cybers\u00e9curit\u00e9 des entreprises. Et pas de n\u2019importe laquelle mais bien d\u2019une cybers\u00e9curit\u00e9 de confiance, garantie par un tiers<\/em>\u00a0\u00bb.<\/p>\n La multiplication de ces certifications et qualifications est un indicateur de la prise de conscience du besoin de cybers\u00e9curit\u00e9 des entreprises. Et pas de n\u2019importe laquelle mais bien d\u2019une cybers\u00e9curit\u00e9 de confiance, garantie par un tiers.<\/em><\/p>\n Sur ce sujet de la r\u00e8glementation cyber, une question revient souvent\u00a0: quelles diff\u00e9rences entre certification et qualification\u00a0?<\/strong> Au niveau fran\u00e7ais, la certification constitue une attestation de robustesse du produit de s\u00e9curit\u00e9 l\u00e0 o\u00f9 la qualification va plus loin.\u00a0Cette qualification<\/a> atteste d'une conformit\u00e9 du produit \u00e0 de fortes exigences r\u00e8glementaires, techniques et de s\u00e9curit\u00e9, et apporte une garantie de robustesse aux cyberattaques. Elle prend alors la forme d\u2019une v\u00e9ritable recommandation \u00e9manant de l\u2019ANSSI, d\u2019un gage de la confiance accord\u00e9e par l\u2019\u00c9tat (fran\u00e7ais, ici) au produit en question ainsi qu\u2019\u00e0 son \u00e9diteur. Important \u00e0 rappeler\u00a0: une qualification ANSSI<\/a> est notamment bas\u00e9e sur une revue du code source des solutions de cybers\u00e9curit\u00e9.<\/p>\n Cette attribution par une entit\u00e9 ind\u00e9pendante est fondamentale ici, car elle renvoie directement \u00e0 la notion de confiance, et de cr\u00e9dibilit\u00e9, accord\u00e9e \u00e0 une certification ou une qualification.<\/p>\n <\/p>\n Et comme l\u2019ensemble de ces certifications nationales et internationales ne sont pas toutes \u00e9quivalentes et ne reposent pas sur les m\u00eames crit\u00e8res d\u2019\u00e9valuation, il n\u2019est pas rare d\u2019observer des \u00e9diteurs en qu\u00eate d\u2019obtentions multiples pour valoriser leur technologie. Une situation qui renforce la n\u00e9cessit\u00e9 de bien comprendre ce qui distingue les diff\u00e9rentes certifications disponibles et de se poser des questions l\u00e9gitimes\u00a0: comment comparer la valeur de deux certifications\u00a0? Une certification \u00e0 port\u00e9e internationale a-t-elle plus de poids qu\u2019une certification locale\u00a0?<\/strong> Pour Julien Paffumi, \u00ab\u00a0l\u2019arbitrage en faveur d\u2019une certification locale tient souvent \u00e0 un crit\u00e8re g\u00e9opolitique et \u00e0 la question de la souverainet\u00e9 nationale, alors que le choix de certifications internationales rel\u00e8ve plut\u00f4t de l\u2019int\u00e9r\u00eat \u00e9conomique. Pour un \u00e9diteur ou un client multinational, il est int\u00e9ressant de b\u00e9n\u00e9ficier d\u2019une certification reconnue dans tous les march\u00e9s sur lesquels il op\u00e8re.<\/em>\u00a0\u00bb<\/p>\n L\u2019arbitrage en faveur d\u2019une certification locale tient souvent \u00e0 un crit\u00e8re g\u00e9opolitique et \u00e0 la question de la souverainet\u00e9 nationale, alors que le choix de certifications internationales rel\u00e8ve plut\u00f4t de l\u2019int\u00e9r\u00eat \u00e9conomique.<\/em><\/p>\n Il faut \u00e9galement bien comprendre que toutes les certifications et qualifications sont diff\u00e9rentes. Il est tout \u00e0 fait normal qu\u2019une certification industrielle, par exemple, n\u2019ait pas les m\u00eames crit\u00e8res d\u2019obtention qu\u2019une qualification plus grand public puisque les enjeux et les environnements sont extr\u00eamement diff\u00e9rents. Le niveau d\u2019exigence va \u00e9galement varier d\u2019une certification \u00e0 l\u2019autre<\/strong>\u00a0: une certification CSPN ANSSI est par exemple moins exigeante qu\u2019une certification Crit\u00e8res Communs, elle-m\u00eame moins pouss\u00e9e qu\u2019une qualification standard ANSSI. Exigence diff\u00e9rente et p\u00e9rim\u00e8tre diff\u00e9rent ; dans le cadre d'une certification Crit\u00e8res Communs, c'est l'\u00e9diteur qui va d\u00e9finir le p\u00e9rim\u00e8tre d\u2019\u00e9valuation, alors que dans le cadre d\u2019une qualification standard ANSSI, il devra \u00eatre approuv\u00e9 par l\u2019ANSSI. Par ailleurs, un niveau d\u2019exigence diff\u00e9rent ne signifie pas pour autant qu\u2019un produit certifi\u00e9 CSPN soit n\u00e9cessairement moins bon qu\u2019un produit qualifi\u00e9 au niveau standard\u00a0: cela indique simplement qu\u2019il a subi des tests moins avanc\u00e9s. Des garanties obtenues en laboratoire quand le produit est test\u00e9 dans diff\u00e9rentes conditions par un tiers ind\u00e9pendant. \u00ab\u00a0Le fait que n\u2019importe quel produit, con\u00e7u par n\u2019importe quel \u00e9diteur, soit soumis au m\u00eame environnement de test fournit au client potentiel des \u00e9l\u00e9ments de comparaison objectifs et exploitables<\/em>\u00a0\u00bb, explique Julien Paffumi. Le choix d\u2019un label ou d\u2019une certification doit donc commencer par une d\u00e9finition claire du besoin\u00a0: une certification sp\u00e9cifique \u00e0 votre secteur d\u2019activit\u00e9<\/a> (industrie, milieu bancaire, etc.) est-elle requise\u00a0? correspondez-vous \u00e0 la cat\u00e9gorie d\u2019organisations certifi\u00e9es par le label vis\u00e9\u00a0? de quel niveau d\u2019exigence minimum avez-vous besoin\u00a0? de quel niveau de confiance avez-vous besoin\u00a0?<\/p>\n Apr\u00e8s ces premi\u00e8res questions, viennent ensuite l\u2019estimation du s\u00e9rieux et de la comp\u00e9tence de l\u2019organisme qui le d\u00e9livre\u00a0ainsi que l\u2019\u00e9tude du processus d\u2019obtention\u00a0: combien de tests ont \u00e9t\u00e9 r\u00e9alis\u00e9s\u00a0? sur quelle p\u00e9riode\u00a0? par qui\u00a0? Et d\u2019autre part, il faut analyser la pertinence de la cible de certification dans le d\u00e9tail des points pr\u00e9cis qui ont \u00e9t\u00e9 v\u00e9rifi\u00e9s lors du processus. Or, comme l\u2019indique Julien Paffumi, \u00ab\u00a0en creusant, il devient difficile de suivre les d\u00e9tails\u00a0: m\u00eame pour un expert cyber, il n\u2019est pas toujours facile de comprendre les subtilit\u00e9s d\u2019une cible de certification<\/em>\u00a0\u00bb. D\u2019o\u00f9 l\u2019importance d\u2019identifier des tiers de confiance fiables et rigoureux.<\/strong> Pour lui, \u00ab\u00a0la d\u00e9marche d\u2019une qualification aupr\u00e8s de l\u2019ANSSI par exemple est tr\u00e8s exigeante. La barre est plac\u00e9e haut et les organismes \u00e9valuateurs ainsi que le bureau charg\u00e9 de la qualification sont tr\u00e8s stricts. En tant qu\u2019\u00e9diteurs, nous devons faire nos preuves et parfois apporter des modifications \u00e0 nos produits qui peuvent \u00eatre co\u00fbteuses pour pouvoir obtenir le fameux tampon. C\u2019est ce qui en fait une vraie marque de qualit\u00e9 et de confiance<\/em>\u00a0\u00bb.<\/p>\n La d\u00e9marche d\u2019une qualification aupr\u00e8s de l\u2019ANSSI est tr\u00e8s exigeante. La barre est plac\u00e9e haut et les organismes \u00e9valuateurs ainsi que le bureau charg\u00e9 de la qualification sont tr\u00e8s stricts. C\u2019est ce qui en fait une vraie marque de qualit\u00e9 et de confiance<\/em><\/p>\n La confiance est donc primordiale \u00e0 l\u2019heure de choisir un label.<\/strong> Et dans certains contextes, il est pr\u00e9f\u00e9rable que les garanties soient apport\u00e9es par un tiers de confiance local. C\u2019est le cas par exemple en France o\u00f9 le fait d\u2019\u00eatre certifi\u00e9 ou qualifi\u00e9 par l\u2019ANSSI est important vis-\u00e0-vis des enjeux de souverainet\u00e9<\/a>\u00a0et peut m\u00eame figurer parmi les crit\u00e8res d\u2019appels d\u2019offres pour certains secteurs critiques. L\u2019agence fran\u00e7aise jouit d\u2019une excellente r\u00e9putation \u00e0 l\u2019\u00e9chelle europ\u00e9enne, ce qui fait \u00e9galement de la certification\/qualification ANSSI un argument commercial \u00e0 cette m\u00eame \u00e9chelle. Le m\u00eame ph\u00e9nom\u00e8ne est \u00e0 l\u2019\u0153uvre en Espagne par exemple, o\u00f9 les agences gouvernementales et les infrastructures critiques doivent imp\u00e9rativement utiliser des solutions certifi\u00e9es par l\u2019agence de cybers\u00e9curit\u00e9 nationale (Centro Criptol\u00f3gico Nacional<\/em> \u2013 CCN). Heureusement, des reconnaissances mutuelles existent entre certains pays et permettent d\u2019all\u00e9ger l\u2019effort de certification. C\u2019est le cas des agences allemandes (BSI) et fran\u00e7aise (ANSSI) qui reconnaissent d\u00e9sormais mutuellement<\/a> leur certificat de premier niveau.<\/p>\n Ce genre d\u2019initiatives bilat\u00e9rales pose la question d\u2019avancer vers un cadre de certification unique, international et intersectoriel.<\/p>\n <\/p>\n Au niveau europ\u00e9en, ce processus d\u2019harmonisation a d\u00e9j\u00e0 commenc\u00e9 avec un accord de reconnaissance mutuelle europ\u00e9en baptis\u00e9 SOG-IS<\/a>. Celui-ci est loin d\u2019\u00eatre \u00ab\u00a0universel\u00a0\u00bb puisque ses plus hauts niveaux de reconnaissance ne concernent que deux domaines techniques sp\u00e9cifiques (les \u00ab\u00a0microcontr\u00f4leurs s\u00e9curis\u00e9s et produits similaires<\/em>\u00a0\u00bb et les \u00ab\u00a0\u00e9quipements mat\u00e9riels avec bo\u00eetiers s\u00e9curis\u00e9s<\/em>\u00a0\u00bb). Mais c\u2019est un d\u00e9but. \u00a0L\u2019harmonisation des labels, certifications et qualifications constitue donc un horizon d\u00e9sirable pour le niveau de cybers\u00e9curit\u00e9 g\u00e9n\u00e9ral sous r\u00e9serve d\u2019\u00e9viter l\u2019\u00e9cueil d\u2019un nivellement par le bas ou d\u2019une simplification \u00e0 l\u2019extr\u00eame. Voil\u00e0 qui explique peut-\u00eatre les longues discussions et le retard pris par l\u2019Union europ\u00e9enne dans l\u2019\u00e9laboration de la future certification europ\u00e9enne par l\u2019ENISA<\/strong>\u00a0: suivra-t-elle les exigences d\u2019une CSPN fran\u00e7aise, d\u2019une certification crit\u00e8res communs\u00a0EAL3+, EAL4+, d\u2019une qualification standard\u00a0? R\u00e9ponse d\u00e9finitive attendue d\u2019ici 2024 \u2013 au m\u00eame moment que la sortie attendue du U.S. Cyber Trust Mark<\/em><\/a>, autre label de cybers\u00e9curit\u00e9 venu de l\u2019autre c\u00f4t\u00e9 de l\u2019Atlantique.<\/p>\n <\/p>\n Des initiatives encourageantes en faveur de l\u2019harmonisation. Car elles lancent le mouvement de fond pour permettre d\u2019\u00e9tablir des normes de cybers\u00e9curit\u00e9 communes de qualit\u00e9 et de rigueur.<\/strong> \u00ab\u00a0Il faudra n\u00e9anmoins trouver un juste milieu entre certification pour tous et sur-mesure\u2009pour garantir la pertinence sur chaque secteur d\u2019activit\u00e9<\/em>\u00a0\u00bb, pr\u00e9vient Julien Paffumi. Cet effort d\u2019harmonisation des certifications et qualifications pourrait alors faire \u00e9merger un label commun, re connu par le plus grand nombre. En parall\u00e8le, en r\u00e9duisant les efforts n\u00e9cessaires pour se conformer aux exigences r\u00e9glementaires de cybers\u00e9curit\u00e9 de chaque march\u00e9, il favoriserait en plus l\u2019adoption de bonnes pratiques cyber au sein d\u2019un plus grand nombre d\u2019entreprises. Une initiative saine, insuffl\u00e9e entre-autres par le mod\u00e8le de l\u2019ANSSI en France, car comme conclut Julien Paffumi\u00a0: \u00ab\u00a0les r\u00e9glementations et certifications cyber partent souvent d\u2019une \u00e9chelle locale avant d\u2019\u00eatre copi\u00e9es ou g\u00e9n\u00e9ralis\u00e9es \u00e0 d\u2019autres secteurs et\/ou d\u2019autres zones g\u00e9ographiques<\/em>\u00a0\u00bb.<\/p>\n","protected":false},"excerpt":{"rendered":" Le cyberscore d\u2019un c\u00f4t\u00e9, les certifications-qualifications des produits de l\u2019autre \u2013 sans m\u00eame parler des certifications individuelles\u00a0\u2013, les labels restent un sujet de fond en cybers\u00e9curit\u00e9. Mais alors que les deuxi\u00e8mes se multiplient aux \u00e9chelons nationaux et internationaux, il devient difficile pour les responsables informatiques…<\/p>\n","protected":false},"author":31,"featured_media":451751,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[1612],"tags":[4368],"business_size":[],"industry":[],"help_mefind":[],"features":[],"type_security":[],"maintenance":[],"offer":[],"administration_tools":[],"cloud_offers":[],"listing_product":[1570,1565,1530],"class_list":["post-451756","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-veille-securite","tag-la-cybersecurite-par-stormshield","listing_product-sds-fr","listing_product-ses-fr","listing_product-sns-fr"],"acf":[],"yoast_head":"\nUn (trop\u00a0?) large panorama de certifications et qualifications en cybers\u00e9curit\u00e9<\/h2>\n
Julien Paffumi<\/strong>, Product Portfolio Manager Stormshield<\/pre>\n<\/blockquote>\n
L\u2019\u00e9valuation et la reconnaissance des certifications et qualifications en cybers\u00e9curit\u00e9<\/h2>\n
Julien Paffumi<\/strong>, Product Portfolio Manager Stormshield<\/pre>\n<\/blockquote>\n
Julien Paffumi<\/strong>, Product Portfolio Manager Stormshield<\/pre>\n<\/blockquote>\n
Les enjeux de l\u2019harmonisation des labels, certifications et qualifications<\/h2>\n