L’agence nationale de la sécurité des systèmes d’information délivre des labels de sécurité à des produits informatiques, comme les logiciels de chiffrement permettant de protéger des données sur un ordinateur portable, les boîtiers permettant de chiffrer les informations lors de leur transmission sur un réseau, ou les cartes à puce, destinées à des applications bancaires ou d’identité électronique.
Autorité gouvernementale, l’ANSSI s’appuie sur des évaluations menées par des laboratoires privés dont elle vérifie la compétence technique par un suivi permanent. Tout commanditaire peut solliciter un label de sécurité sur un produit, à condition de s’adresser à un laboratoire dûment agréé par l’ANSSI. La qualité des évaluations conduites, la profondeur des tests de vulnérabilités, l’impartialité et l’indépendance de l’évaluateur sont alors sanctionnées par un label appelé "certificat" qui donne lieu à une publication dans un catalogue ouvert à tous.
Reposant sur la norme internationale des Critères Communs (ISO/IEC 15408), le certificat prononcé par l’ANSSI par délégation du Premier ministre bénéficie d’une reconnaissance internationale. Seules les technologies conçues avec un souci de sécurité peuvent répondre à ces critères exigeants.
Afin d’ouvrir le catalogue à d’autres produits, dont les étapes de conception et de développement sont moins documentées, un label de premier niveau a été mis en place sous l’impulsion du gouvernement : la certification de sécurité de premier niveau (CSPN) est un label obtenu au terme d’une expertise moins formelle que celle des Critères Communs et dont la charge est limitée à 25 homme.jour.
Dans le domaine des applications de défense, l’ANSSI, autorité nationale en matière de sécurité des systèmes d’information, prononce l’aptitude de certains produits à protéger les informations classifiées, au vu des résultats d’une évaluation conduite par les laboratoires gouvernementaux.
