L’ANSSI lance un appel à manifestation d’intérêt sur la certification de sécurité de niveaux substantiel et élémentaire

En tant qu’autorité nationale en matière de sécurité et de défense des systèmes d’information, l’ANSSI oriente les utilisateurs dans leurs choix de solutions. Elle délivre ainsi des Visas de sécurité permettant d’identifier facilement des solutions fiables et reconnues comme telles à l’issue d’une évaluation réalisée par des laboratoires agréés.

Pour ce faire, elle dispose d’un :

• centre de certification national (CCN) qui met en œuvre le schéma d’évaluation et de certification de la sécurité offerte par les produits des technologies de l’information,
• bureau « Qualifications et agréments » , qui a notamment mis en place un schéma parallèle de qualification pour les services.

La création de nouveaux schémas de certification de sécurité

Les évolutions des technologies et du marché, la maturité des acteurs dans la perception des risques et les propositions de certification de niveaux substantiel et élémentaire apparaissant dans le projet de règlement de la Commission européenne en matière de certification de sécurité soulignent la nécessité de créer de nouveaux schémas de certification de sécurité.

Ils viendraient compléter les dispositifs actuellement opérés par l’ANSSI, notamment pour certifier des prestataires de service, ou des produits soumis à des exigences de sécurité plus faibles.

Plusieurs acteurs privés ou institutionnels sont susceptibles de se positionner sur ces nouveaux segments. Face à ces évolutions inévitables, il convient que l’ANSSI détermine sa posture, accompagne la mise en place cohérente et ordonnée de ces nouvelles pratiques, et fasse évoluer au besoin le cadre de son activité.

Appel à manifestation d’intérêt

L'ANSSI lance un appel à manifestation d’intérêt pour consulter les acteurs qui souhaitent se positionner sur la certification de sécurité de niveaux substantiel  et élémentaire et l’opérer en France.

Objectifs : identifier ces acteurs et recueillir leurs recommandations en matière de :

• conditions de notification par une autorité nationale, en complément de leur accréditation par le Comité français d’accréditation (COFRAC), en fonction des niveaux ;
• conditions de rattachement d'un acteur à plusieurs autorités nationales et opportunités de développement international ;
• identification des activités d’évaluation pertinentes à mener, selon les niveaux, en relation avec les autres activités d’évaluation de conformité qui seraient déjà en vigueur sur les mêmes gammes d’offres ;
• compétences attendues pour les tests d'évaluation ;
• mode de supervision des activités permettant de s’assurer d’une homogénéité dans les travaux accomplis, et du traitement adéquat des anomalies ;
• protection des activités liées à l'évaluation et à la certification de sécurité ;
• moyens d'harmonisation des méthodes et pratiques d'analyse de risques, d'évaluation et de certification ;
• accompagnement de la montée en puissance des acteurs par l'ANSSI et l'écosystème existant (CESTI), et détermination des informations pertinentes qui pourraient être échangées (guides, vulnérabilités par exemple) avec l'ANSSI dans le fonctionnement d’un schéma ;
• outils qui permettraient d’automatiser les activités, et compétences nécessaires pour le développement et l'exploitation de ces outils.

Comment contribuer ?

1. Faites-vous connaître
Vous envisagez de développer une activité en lien avec la certification de sécurité ? Vous travaillez pour un organisme de certification ou d’évaluation, vous êtes développeur de bancs de tests d’évaluation de sécurité ?
Faites-vous connaître auprès de l’ANSSI avant le 7 septembre 2018 (contact : philippe.blot[at]ssi.gouv.fr).

2. Participez au(x) point(s) d’information
L’ANSSI organisera fin août un point d’information collectif sur les travaux européens en cours, et répondra à toutes vos questions.
Si cela s’avère utile, l’agence en organisera un second fin novembre.

3. Transmettez vos recommandations
Vous pourrez transmettre, seuls ou à plusieurs, vos recommandations pour la fin d’année 2018, en rendant si vous le souhaitez un rapport intermédiaire à l’ANSSI.
En février 2019, l’ANSSI vous restituera son analyse, sur la base des recommandations reçues, et les actions qui en découlent.