![\"Diff\u00e9rences](\"https:\/\/www.stormshield.com\/wp-content\/uploads\/shutterstock-2346695075-300x150.jpg\" "\\"Contributeur")
<\/p>\n<\/p>\n
Faire appel \u00e0 des solutions certifi\u00e9es ou qualifi\u00e9es est autant un gage de confiance qu\u2019une garantie d\u2019un niveau de s\u00e9curit\u00e9 \u00e9prouv\u00e9 pour les informations strat\u00e9giques des soci\u00e9t\u00e9s et organisations les plus sensibles. Mais entre certification et qualification, il n\u2019est pas toujours simple d\u2019y voir clair. \u00c9clairage et explication.<\/strong><\/p>\n Les solutions de cybers\u00e9curit\u00e9 sont nombreuses, mais toutes n\u2019offrent pas le m\u00eame niveau d\u2019efficacit\u00e9, de robustesse et\u00a0\u2013 surtout\u00a0\u2013 de confiance. C\u2019est pour cela que l'ANSSI recommande de \u00ab\u00a0recourir \u00e0 des produits et des services r\u00e9pondant \u00e0 des exigences de s\u00e9curit\u00e9 et de confiance<\/em>\u00a0\u00bb.<\/p>\n <\/p>\n Derri\u00e8re les intitul\u00e9s simples de certification et qualification, se cachent en fait plusieurs subtilit\u00e9s et particularit\u00e9s<\/a>. Dans les deux approches, l\u2019\u00e9valuation se fait en r\u00e9ponse \u00e0 un niveau de comp\u00e9tences et de ressources pr\u00e9d\u00e9fini pour un attaquant (c'est-\u00e0-dire le potentiel de cyber-malveillance de l'attaquant).<\/strong><\/p>\n Du point de vue strict de la d\u00e9finition, la certification est une attestation que le produit offre un certain niveau de s\u00e9curit\u00e9, l\u00e0 o\u00f9 la qualification<\/a> atteste d'une conformit\u00e9 du produit \u00e0 des exigences r\u00e8glementaires, organisationnelles, administratives ou encore techniques. Cette qualification est une v\u00e9ritable recommandation d\u2019usage et un gage de la confiance accord\u00e9e au produit en question ainsi qu\u2019\u00e0 son \u00e9diteur. En d\u2019autres termes, \u00ab\u00a0la certification, c\u2019est l\u2019attestation d\u2019un niveau de s\u00e9curit\u00e9, niveau choisi par l\u2019\u00e9diteur<\/em>, r\u00e9sume S\u00e9bastien Viou<\/strong>, Directeur Cybers\u00e9curit\u00e9 et Management Produits Stormshield. La qualification, c\u2019est la conformit\u00e9 \u00e0 un besoin et \u00e0 des exigences sp\u00e9cifiques, ici gouvernementales.<\/em>\u00a0\u00bb<\/p>\n La certification, c\u2019est l\u2019attestation d\u2019un niveau de s\u00e9curit\u00e9, niveau choisi par l\u2019\u00e9diteur<\/em>. La qualification, c\u2019est la conformit\u00e9 \u00e0 un besoin et \u00e0 des exigences sp\u00e9cifiques, ici gouvernementales.<\/em><\/p>\n Dans le d\u00e9tail, le terme de certification renvoie en m\u00eame temps aux certifications nationales (comme par exemple la Certification de S\u00e9curit\u00e9 de Premier Niveau fran\u00e7aise \u2013 CSPN<\/a>) et internationales (comme les Crit\u00e8res Communs \u2013 CC). Ces m\u00eames certifications Crit\u00e8res Communs<\/a> se d\u00e9clinent \u00e0 leur tour au travers de sept niveaux d'assurance d'\u00e9valuation, allant d\u2019EAL1 \u00e0 EAL7, augmentant graduellement en complexit\u00e9. Le terme de qualification renvoie quant \u00e0 lui \u00e0 la qualification ANSSI<\/a>, divis\u00e9e en trois niveaux pour les produits de s\u00e9curit\u00e9 (\u00e9l\u00e9mentaire, standard et renforc\u00e9e), chacun repr\u00e9sentant un degr\u00e9 de r\u00e9sistance aux cyberattaques. Au niveau \u00e9l\u00e9mentaire, le produit doit d\u00e9montrer sa capacit\u00e9 \u00e0 se d\u00e9fendre contre un cyber-attaquant dot\u00e9 de comp\u00e9tences techniques rudimentaires et de ressources limit\u00e9es. Pour le niveau standard, le cyber-attaquant est consid\u00e9r\u00e9 comme ayant des comp\u00e9tences techniques plus pouss\u00e9es, ainsi que des ressources plus importantes. Au niveau renforc\u00e9, les comp\u00e9tences techniques de l\u2019attaquant sont plus sophistiqu\u00e9es, avec des ressources illimit\u00e9es, et \u00e9ventuellement un soutien \u00e9tatique ou l'appui de groupes criminels.<\/p>\n Pour autant, \u00ab\u00a0on ne peut pas r\u00e9sumer en disant que la qualification est toujours mieux que la certification<\/em>, pr\u00e9cise S\u00e9bastien Viou, cela d\u00e9pendra du niveau des deux labels que l\u2019on veut comparer. Par contre, par rapport aux questions de souverainet\u00e9 nationale, une qualification sera toujours plus rassurante pour un OIV qu\u2019une certification Crit\u00e8res Communs.<\/em>\u00a0\u00bb<\/p>\n <\/p>\n L\u2019objectif diff\u00e8re donc entre certification et qualification\u00a0: l\u00e0 o\u00f9 un \u00e9diteur va pouvoir utiliser la certification pour promouvoir la robustesse de son produit, la qualification sera utilis\u00e9e pour attester que le produit peut \u00eatre utilis\u00e9 dans un environnement sp\u00e9cifique<\/strong>.<\/p>\n Une diff\u00e9rence qui prend sa source dans le cycle d\u2019\u00e9valuation des deux labels. Pour une certification, qu\u2019elle soit au niveau international (CC, Crit\u00e8res Communs) ou national (CSPN, Certification de S\u00e9curit\u00e9 de Premier Niveau), le processus d\u2019\u00e9valuation dans le cadre d\u2019une certification vise \u00e0 attester de la r\u00e9sistance du produit face aux cyberattaques.<\/strong> Autrement dit, que les fonctions de s\u00e9curit\u00e9 du produit correspondent aux attentes d\u00e9finies dans la cible de s\u00e9curit\u00e9. Cette cible de s\u00e9curit\u00e9 r\u00e9pond \u00e0 des profils de protection<\/a>, mod\u00e8les standards d'objectifs et d'exigences de s\u00e9curit\u00e9. Toutefois, il est \u00e9galement possible de d\u00e9finir une cible de s\u00e9curit\u00e9 ad hoc<\/em> pour aller plus proche du p\u00e9rim\u00e8tre de protection attendu par un utilisateur final. Pour une qualification, le processus se d\u00e9cline en deux \u00e9tapes\u00a0: l'\u00e9valuation de la robustesse (comme pour une certification donc) et l'\u00e9valuation de la conformit\u00e9 \u00e0 un cahier des charges sp\u00e9cifique.<\/strong> Et d\u00e8s cette premi\u00e8re phase d\u2019\u00e9valuation de la robustesse, la qualification se d\u00e9marque de la certification puisque la cible de s\u00e9curit\u00e9 va \u00eatre d\u00e9finie entre l\u2019\u00e9diteur et le bureau de qualification de l\u2019ANSSI. La confiance dans la capacit\u00e9 de l\u2019\u00e9diteur \u00e0 respecter des engagements pris en mati\u00e8re de confidentialit\u00e9, de protection des donn\u00e9es de l'utilisateur, de correction des vuln\u00e9rabilit\u00e9s\u00a0et la qualit\u00e9 du code source (comme la conformit\u00e9 du code sur la partie cryptographie aux r\u00e9f\u00e9rentiels de l\u2019ANSSI) sont ainsi \u00e9valu\u00e9es. Cette \u00e9valuation, via des sessions de pentests et analyses de code, peut m\u00eame s\u2019int\u00e9resser \u00e0 l\u2019outil d\u2019administration des solutions. De quoi donner du poids au principe de souverainet\u00e9 num\u00e9rique.<\/p>\n Contrairement \u00e0 la certification qui repr\u00e9sente l\u2019attestation d\u2019un niveau d\u2019exigence dans sa conception, la qualification est donc une recommandation formelle d\u2019une agence gouvernementale autour d\u2019un produit de s\u00e9curit\u00e9<\/strong> ou d\u2019un service sp\u00e9cifique, qui \u00ab\u00a0r\u00e9siste \u00e0 des attaques informatiques selon un contexte d\u2019emploi et un niveau de menace d\u00e9finis<\/em>\u00a0\u00bb.<\/p>\n <\/p>\n R\u00e9pondre \u00e0 cette question est simple pour les plus grosses entreprises, tant les diff\u00e9rentes r\u00e9glementations qui r\u00e9gissent leurs activit\u00e9s leur imposent de faire appel \u00e0 des solutions de s\u00e9curit\u00e9 souveraines et de confiance<\/strong>. Les communications de l'ANSSI<\/a> y r\u00e9pondent\u00a0: doivent faire appel \u00e0 un produit de cybers\u00e9curit\u00e9 qualifi\u00e9 les organismes dont l'activit\u00e9 rel\u00e8ve du r\u00e9f\u00e9rentiel g\u00e9n\u00e9ral de s\u00e9curit\u00e9 (RGS), du r\u00e8glement europ\u00e9en eIDAS ou encore de la Loi de programmation militaire (LPM).<\/p>\n Derni\u00e8rement, la directive europ\u00e9enne NIS2<\/a> met la lumi\u00e8re sur les acteurs de la cha\u00eene d\u2019approvisionnement (sous-traitants et prestataires de services) ayant un acc\u00e8s \u00e0 une infrastructure critique. Face \u00e0 ces risques de Supply Chain Attack<\/em>, rappelons que la qualification d'un produit de cybers\u00e9curit\u00e9 comprend un audit de la cha\u00eene de production de l\u2019\u00e9diteur.<\/strong> Et en attendant la prochaine application de la directive NIS2, il est possible de s\u2019inspirer des recommandations existantes pour NIS1. Le guide de Recommandations pour la protection des syst\u00e8mes d'information essentiels<\/em><\/a> d\u00e9taille ainsi les diff\u00e9rentes sections du chapitre relatif \u00e0 la protection des r\u00e9seaux des op\u00e9rateurs de service essentiels (OSE)\u00a0: s\u00e9curit\u00e9 de l'architecture, s\u00e9curit\u00e9 de l'administration, gestion des identit\u00e9s et acc\u00e8s, maintien en conditions de s\u00e9curit\u00e9. Surtout, il donne un contexte d'application des recommandations. Dans la rubrique Utilisation de produits et services de confiance<\/em>, il est \u00ab\u00a0fortement recommand\u00e9 de privil\u00e9gier des produits ayant obtenu un visa de s\u00e9curit\u00e9 ANSSI\u00a0\u2013 et en particulier ceux ayant obtenu une qualification\u00a0\u2013 lorsqu\u2019ils existent<\/em>\u00a0\u00bb.<\/p>\n Si votre activit\u00e9 ne rel\u00e8ve pas d'un cadre l\u00e9gislatif, il n\u2019y a pas de produits de s\u00e9curit\u00e9 impos\u00e9s mais l'ANSSI recommande d'utiliser au moins un produit de cybers\u00e9curit\u00e9 certifi\u00e9. Car la cybers\u00e9curit\u00e9 non-souveraine expose \u00e0 plusieurs risques\u00a0: l'espionnage, l'interruption de la continuit\u00e9 de service ou encore la d\u00e9pendance \u00e0 des solutions \u00e9trang\u00e8res. Pour autant, faire appel \u00e0 un produit de cybers\u00e9curit\u00e9 qualifi\u00e9 reste une bonne pratique g\u00e9n\u00e9rale pour am\u00e9liorer votre cybers\u00e9curit\u00e9.<\/strong> Car la qualification est synonyme de confiance dans un produit de cybers\u00e9curit\u00e9 mais \u00e9galement d\u2019audit de toute l\u2019entreprise. Le choix d\u2019un produit de cybers\u00e9curit\u00e9 qualifi\u00e9 vous garantit de recourir \u00e0 des solutions souveraines pertinentes<\/a>, utilis\u00e9es par l\u2019administration fran\u00e7aise, les op\u00e9rateurs d\u2019importance vitale (OIV<\/a>) et les entreprises des secteurs les plus sensibles.<\/p>\n <\/p>\nQuelles promesses derri\u00e8re les intitul\u00e9s\u00a0?<\/h2>\n
S\u00e9bastien Viou<\/strong>, Directeur Cybers\u00e9curit\u00e9 et Management Produits Stormshield<\/pre>\n<\/blockquote>\n
Quelles m\u00e9thodes d'\u00e9valuation\u00a0?<\/h2>\n
Dans quel cas choisir un produit qualifi\u00e9\u00a0?<\/h2>\n
![\"\"](\"https:\/\/cyber.gouv.fr\/sites\/default\/files\/2022-10\/quel-solution-me-tourner.png\")
<\/a><\/p>\n