L'ANSSI met à jour son processus de qualification de produits et de services de sécurité
Pour prendre en compte le retour d’expérience des industriels, des utilisateurs et des évolutions réglementaires, l’ANSSI met à jour son processus de qualification de produits et services de sécurité.
La qualification est un processus permettant d’attester à la fois du niveau de robustesse d’un produit ou d’un service de sécurité et du niveau de confiance dans le fournisseur du produit ou du service.
La qualification de produits et services est une mission prévue à l’article 4 du décret n°2009-834 du 7 juillet 2009 portant création de l'ANSSI.
Il a pour objectif de mettre à disposition de l’Administration et des opérateurs d’importance vitale des produits et services qui répondent à leurs besoins en matière de sécurité des systèmes d’information.
Des besoins croissants face à l'évolution de la menace et des enjeux, mais aussi face aux évolutions de la règlementation au profit de la sécurité du numérique.
Face aux évolutions règlementaires et suites aux échanges avec les industriels et les utilisateurs, l’ANSSI publie aujourd’hui un nouveau processus de qualification.
Parmi les nouveautés et améliorations apportées, ce nouveau processus :
- regroupe pour les produits, les trois processus antérieurs (élémentaire, standard et renforcé) en un seul ;
- harmonise les jalons entre les qualifications de produits et celles de services ;
- couvre les différents champs réglementaires (RGS, eIDAS et LPM) ;
- instaure, pour chaque produit ou service qualifié, un niveau de recommandation représentant les prescriptions de l’ANSSI pour l’utilisation et l’acquisition du produit ou du service au regard de son niveau de sécurité et de pérennité. Ce niveau évolue dans le temps, en fonction d’éléments issus du suivi de la qualification, par exemple l’identification de nouvelles vulnérabilités, une évolution de l’état de l’art des techniques d’attaque, ou la mise à disposition d’une nouvelle version du produit. Le catalogue des produits et services qualifiés sera mis à jour prochainement afin de faire apparaître ce niveau de recommandation ;
- simplifie la qualification d’une nouvelle version d’un produit précédemment qualifié.
En outre il prévoit :
- que les fournisseurs de produits et services déposent leur demande de qualification à l’aide de formulaires accessibles en ligne ;
- que les fournisseurs de produits et services respectent un ensemble d’engagements permettant de garantir le bon déroulement de la qualification.
En savoir plus sur la qualification d’un produit ou d'un service par l’ANSSI.