Le PASSI (Prestataire d'Audit de la Sécurité des Systèmes d'Information) est une qualification délivrée par l'ANSSI après un processus d'évaluation rigoureux. Elle atteste que le prestataire possède les compétences, les processus et les moyens pour conduire des audits de sécurité dans les conditions les plus exigeantes. Elle est renouvelée tous les 3 ans.
L'ANSSI évalue le centre d'expertise lui-même : compétences techniques des auditeurs, méthodes d'audit, sécurité interne, gestion de la confidentialité des données clients. Seuls quelques prestataires en France obtiennent cette qualification.
Les audits RGS, les exigences LPM pour les OIV, NIS2 et les procédures d'homologation de sécurité doivent être conduits par un prestataire qualifié PASSI.
Le marché regorge de prestataires auto-proclamés experts. La qualification PASSI est la seule garantie vérifiable et indépendante de la qualité d'un audit de sécurité : l'ANSSI tranche objectivement.
Le référentiel PASSI distingue deux niveaux de qualification : substantiel et élevé, le niveau élevé couvrant le substantiel. Les audits des systèmes d'importance vitale (OIV, au titre de la LPM) exigent en plus un référentiel complémentaire dédié aux besoins de la sécurité nationale. ACCEIS est qualifié au niveau élevé et répond à ces exigences complémentaires : nous réalisons vos audits aux trois niveaux.
Un premier niveau de garantie sur la compétence du prestataire, la confiance qu'on peut lui accorder et sa capacité à protéger les informations de la mission. Recommandé face à une menace systémique, hacktiviste ou isolée.
Une garantie renforcée sur la compétence, la fiabilité et la protection des informations. Recommandé lorsque les risques sont élevés ou la menace de nature stratégique. Il impose notamment un système d'information homologué et une attestation de compétence pour chaque auditeur.
Pour auditer les systèmes d'information d'importance vitale (SIIV) des opérateurs d'importance vitale au titre de la Loi de programmation militaire, et les systèmes les plus sensibles. Ces audits exigent, au-delà du niveau élevé, un référentiel complémentaire dédié aux besoins de la sécurité nationale.
La qualification PASSI couvre 5 domaines d'audit distincts. ACCEIS est qualifié sur l'ensemble des 5 domaines, la couverture la plus complète possible. Chaque audit produit un rapport au format attendu par l'ANSSI, directement utilisable dans vos dossiers d'homologation.
Simulation d'attaque sur votre SI : applications web, infrastructure, Active Directory, cloud, IoT. Exploitation réelle des vulnérabilités, chaînage des vecteurs, mesure de l'impact métier de chaque compromission.
Revue manuelle et outillée du code applicatif. Identification des vulnérabilités non détectables par les scanners automatiques : logique métier, cryptographie mal implémentée, chaînes d'exploitation multi-composants.
Analyse des paramétrages des systèmes, équipements réseau et services d'infrastructure. Vérification du respect des référentiels de durcissement ANSSI, CIS Benchmarks et DISA STIG. Plan de remédiation priorisé.
Analyse de la conception de votre SI : segmentation, flux inter-composants, défense en profondeur, gestion des identités. Identification des chemins d'attaque cachés dans les choix de conception.
Revue des politiques de sécurité, de l'organisation SSI, des procédures et de la gouvernance, ainsi que des mesures de sécurité physique (contrôle d'accès aux locaux et aux salles serveurs). Vérification de l'application effective des mesures déclarées dans les dossiers d'homologation.
Chaque audit produit un rapport au format ANSSI : vulnérabilités et criticité, chemins d'exploitation, impact métier et plan de remédiation priorisé. Un livrable directement intégrable à votre dossier d'homologation (RGS, IGI 1300) ou à vos obligations NIS2 et LPM. Restitution orale incluse.
Un audit PASSI ne vaut que par ce qu'il vous laisse. Chaque mission produit des livrables au format attendu par l'ANSSI, directement exploitables par la direction, les équipes techniques et l'autorité d'homologation.
Chaque vulnérabilité documentée : preuve d'exploitation, criticité, impact métier et recommandation de remédiation. Au format et au niveau d'exigence attendus par l'ANSSI.
Exposition globale des risques et actions prioritaires en quelques pages, pour la direction et les décideurs non techniques.
Vulnérabilités classées par priorité, avec effort estimé et type d'action, pour planifier la correction sans perdre de temps.
Rapports directement versables à votre dossier d'homologation (RGS, IGI 1300) et à vos reportings NIS2 ou LPM, sans retraitement.
Restitution orale pour les équipes techniques et la direction, puis contre-vérification des correctifs après remédiation, sur demande.
Périmètre, objectifs, contraintes et calendrier. Lettre de mission formalisant le périmètre autorisé et les règles d'engagement. Accord préalable systématique.
Documentation (PSSI, architecture, schémas réseau) et entretiens avec les équipes, pour une image complète du système avant les tests.
Tests d'intrusion, revue de code, audit de configuration ou d'architecture selon le domaine. Constats critiques signalés immédiatement.
Rapport technique détaillé et rapport de synthèse pour la direction, relus en interne par un second expert.
Restitution technique et direction, priorisation des remédiations. Contre-vérification après correction disponible sur demande.
