Conformité
PASSI
Aussi appeléPrestataire d’audit de la sécurité des systèmes d’informationQualification PASSI
En résumé
La qualification française délivrée par l’ANSSI aux prestataires d’audit de la sécurité des systèmes d’information qui satisfont à un référentiel d’exigences. Elle couvre l’audit d’architecture, de configuration, de code source, les tests d’intrusion et l’audit organisationnel et physique.
PASSI, en détail
PASSI signifie prestataire d’audit de la sécurité des systèmes d’information. La qualification est attribuée par l’ANSSI après évaluation d’un prestataire sur son organisation, ses compétences, ses méthodes, sa confidentialité et la qualité de ses livrables, pour une ou plusieurs activités d’audit. Les prestataires qualifiés figurent sur une liste publique tenue par l’ANSSI, que l’on consulte pour confirmer la qualification et les activités couvertes.
La qualification est exigée dans certains cadres, notamment pour des audits imposés à des opérateurs soumis à une réglementation sectorielle, et parfois par un appel d’offres. Elle est précieuse quand elle est exigée, mais elle n’est pas la seule preuve de sérieux : un prestataire non qualifié n’est pas pour autant incompétent, et la qualification ne dispense pas de juger la méthode et la qualité des rapports.
Qu’est-ce que cela change pour vous ?
Avant de comparer des offres, vérifiez si une qualification vous est opposable. Si c’est le cas, une offre non qualifiée est écartée quel que soit son prix.
Exemple illustratif (fictif)
Imaginons un établissement de santé qui lance un appel d’offres pour l’audit de son portail patients, avec la qualification exigée dans le cahier des charges. Sur trois offres reçues, une seule émane d’un prestataire inscrit sur la liste publique pour l’activité « tests d’intrusion » : les deux autres sont écartées d’office, quels que soient leur prix et leur méthode.
La confusion fréquente
Penser que « qualifié PASSI » assure une mission adaptée à votre application, ou à l’inverse que l’absence de qualification disqualifie tout prestataire quand rien ne l’impose.
Qui peut vous accompagner ?
- Pentest de conformité : la prestationUn test d’intrusion dont le périmètre et le rapport répondent à ce que votre auditeur va lire.
- Pentest web : la prestationSavoir ce qu’un attaquant obtiendrait sur votre application.
Aller plus loin
- ArticleChoisir un prestataire de test d’intrusion : PASSI et les bonnes questionsPASSI, certifications, références, assurance, méthode : les questions à poser à un prestataire de test d’intrusion avant de signer, et ce que chaque réponse doit vous dire.
- ArticleComparer des devis de test d’intrusion : la grille en neuf pointsPérimètre, jours-homme, boîte noire ou grise, rôles testés, contre-audit, livrables, qualification, cadre et prix : la grille qui rend deux devis comparables autrement que par leur total.
- ComparatifTester sa sécurité en interne ou faire appel à un prestataire externe ?Faire tester par l’équipe qui a construit le système, ou par un tiers. Le biais de l’équipe constructrice, le coût réel d’un recrutement offensif, et les cas où une équipe interne suffit.
Termes liés
- MéthodeTest d’intrusion : définitionUne simulation d’attaque autorisée et encadrée, menée par des analystes, qui cherche à démontrer ce qu’un attaquant pourrait obtenir sur un périmètre défini.
- MéthodeRapport de test d’intrusion : définitionLe document livré à l’issue d’un test d’intrusion : synthèse de direction, périmètre et méthode, et pour chaque constat une description, une preuve reproductible, l’impact démontré, une gravité justifiée et une recommandation.
- MéthodeAudit de sécurité informatique : définitionUne évaluation structurée, sur un périmètre convenu à l’avance, de la capacité d’un système d’information à résister à une attaque.
- ConformitéNIS 2 : définitionLa directive européenne (UE) 2022/2555 sur la cybersécurité, qui impose aux entités « essentielles » et « importantes » de nombreux secteurs des mesures de gestion des risques, une responsabilité de la direction et une notification rapide des incidents importants.
Réponse à toute demande sous 24 h ouvrées
Un périmètre à faire tester ?
Le cadrage est gratuit et sans engagement. Trente minutes suffisent à savoir si une mission est pertinente, laquelle, et ce qu’elle coûterait.
- Accord de confidentialité systématique
- Cadrage gratuit et sans engagement
- Périmètre et prix écrits avant le début