Certification de sécurité de premier niveau

La Certification de Sécurité de Premier Niveau (CSPN), aussi appelée « Visa de Sécurité de l'ANSSI », est une des certifications délivrée par l'Agence nationale de la sécurité des systèmes d'information pour des produits des technologies de l'information. La CSPN, mise en place par l’ANSSI en 2008, permet d’attester que le produit (logiciel, système d'exploitation, appliance, matériel...) a subi avec succès une évaluation de sécurité par un centre d’évaluation (CESTI) agréé par l’ANSSI.

Visa de Sécurité ANSSI

La CSPN consiste en des tests en « boîte noire » effectués en temps et délais contraints. La CSPN est une alternative aux évaluations Critères Communs, dont le coût et la durée peuvent être un obstacle, et lorsque le niveau de confiance visé est moins élevé. Cette certification s’appuie sur des critères, une méthodologie et un processus élaborés par l’ANSSI.

Produits certifiés

Les produits sont répartis en plusieurs catégories^[1]

• Effacement de données
• Matériel et logiciel embarqué
• Stockage sécurisé
• Systèmes d'exploitation et de virtualisation
• Pare-feu
• Détection d'intrusions
• Anti-virus, protection contre les codes malicieux
• Identification, authentification et contrôle d'accès
• Communication sécurisée
• Messagerie sécurisée
• Environnement d'exécution sécurisé
• Automate programmable industriel
• Commutateur industriel

La liste des produits certifiés est disponible sur le site internet de l'ANSSI^[2].

La certification

L'ANSSI précise^[3] qu'elle délivre des certifications à l’état de l’art réalisées en fonction d’une cible de sécurité et d’un niveau de sécurité visé. En particulier, l'obtention d'une certification pour un produit se fait pour une version donnée et ne s'applique pas aux versions suivantes ou aux éventuelles mises à jour .

Les produits certifiés bénéficient d'un Visa de sécurité^[4] et sont référencés dans un catalogue^[5] édité chaque année par l'ANSSI.

Procédure

La procédure est régie par le Décret n^o 2002-535 du 18 avril 2002^[6]. La première étape est le dépôt d'une demande de certification auprès d'un centre agréé.

Obtention

En se basant notamment sur le rapport technique d'évaluation du CESTI, l'ANSSI délivre éventuellement le certificat et rédige un rapport de certification publié sur son site.