La CSPN est délivrée par l'ANSSI après une évaluation conduite par un laboratoire agréé CESTI. Elle constitue l'un des visas de sécurité ANSSI et l'un des gages de confiance les plus reconnus sur le marché français, aux côtés des Critères Communs.
La CSPN délivre un certificat ANSSI reconnu par les organismes publics, les OIV et les entreprises de défense. Elle est souvent exigée contractuellement pour des projets sensibles et ouvre les marchés réglementés.
L'évaluation est conduite par un laboratoire (CESTI) agréé par l'ANSSI, selon une méthodologie et une charge de travail encadrées. Le certificat atteste d'un niveau de sécurité vérifié par un tiers de confiance, pas d'une simple déclaration de l'éditeur.
Comptez 2 à 4 mois de travaux d'évaluation technique selon la complexité du produit, dans un processus global d'environ 1 à 1,5 an, du dossier d'évaluation à la publication du certificat par l'ANSSI. Un périmètre délimité dès le cadrage.
Notre agrément CESTI couvre deux portées d'évaluation : Logiciel (avec les options plateformes mobiles et web) et Matériel.
Nous évaluons une large gamme de produits de sécurité, des plus techniques (pare-feux, détection d'intrusion, administration et supervision de la sécurité, chiffrement) aux plus grand public (messagerie et communication sécurisées, stockage sécurisé, moyens d'authentification numérique), y compris les applications mobiles (Android, iOS) et web au titre des options plateformes mobiles et web.
Nous évaluons la sécurité au niveau de la carte électronique et du logiciel embarqué : identification des composants d'un PCB, décapage et soudure, extraction de mémoire flash, attaque des interfaces (JTAG, UART, Ethernet, USB), ouverture de boîtiers sécurisés et rétro-ingénierie de protocole et de mémoire.
Quelques solutions évaluées et certifiées CSPN sous notre agrément CESTI. Un certificat CSPN a une durée de validité limitée : certaines certifications doivent être renouvelées.
Solution de visioconférence et de communication temps réel sécurisée (WebRTC), évaluée et certifiée CSPN sous notre agrément CESTI.
Solution SCADA de supervision et de contrôle industriel, évaluée et certifiée CSPN sous notre agrément CESTI.
Solution de traçabilité et de contrôle des accès à privilèges, certifiée CSPN sous notre agrément CESTI.
L'évaluation CSPN suit un processus rigoureux défini par l'ANSSI, détaillé dans les documents applicables à la CSPN. Nous accompagnons le commanditaire tout au long de ce processus.
Analyse du produit, définition du périmètre d'évaluation et identification des fonctionnalités de sécurité à évaluer. Estimation du budget et du calendrier.
Accompagnement à la rédaction de la cible de sécurité (fonctionnalités évaluées, environnement supposé, menaces couvertes) et constitution du dossier soumis à l'ANSSI.
Revue amont facultative pour identifier tôt les écarts et sécuriser le passage en évaluation, avant l'engagement formel.
Tests de pénétration ciblés, fuzzing, tests de robustesse selon le type de produit, et analyse de code limitée aux fonctions cryptographiques ou au code accessible. Échanges ponctuels et cadrés avec l'éditeur si nécessaire.
Rédaction du rapport technique complet (résultats, constats et recommandations) et envoi à l'ANSSI. Le rapport n'est transmis au commanditaire qu'une fois l'évaluation validée par l'ANSSI.
L'ANSSI examine le rapport, échange avec le laboratoire et peut demander des corrections. Après validation, le certificat CSPN est émis et publié, et le rapport transmis au commanditaire. En cas d'échec, l'éditeur peut corriger les vulnérabilités puis, via une analyse d'impact différentiel, ne faire revérifier que ces corrections : un chemin de réévaluation raccourci, sans refaire l'évaluation complète.
