Qualification PASSI
Qualification délivrée par l'agence nationale de cybersécurité aux prestataires d'audit de sécurité, exigée pour certains opérateurs et regardée comme un gage de sérieux des tests d'intrusion et audits présentés à un assureur.
La qualification de prestataire d'audit de la sécurité des systèmes d'information est délivrée par l'agence nationale de la sécurité des systèmes d'information aux sociétés d'audit qui satisfont un référentiel d'exigences portant sur leurs compétences, leurs méthodes, la confidentialité de leurs travaux et l'indépendance de leurs auditeurs. Elle couvre plusieurs activités : audit d'architecture, de configuration, de code source, tests d'intrusion, audit organisationnel et physique. Les opérateurs d'importance vitale et d'autres entités réglementées doivent recourir à des prestataires qualifiés pour certains audits, et les administrations le privilégient. La qualification ne garantit pas qu'un système audité est sûr, mais que l'audit a été mené selon une méthode reconnue par des personnes dont les compétences ont été vérifiées. Pour l'assurance, elle fournit un critère de lecture des pièces que produit un candidat : un rapport de test d'intrusion établi par un prestataire qualifié, récent et accompagné d'un plan de correction suivi, pèse davantage dans le dossier de souscription qu'une auto-évaluation. Il en va de même pour l'expertise après sinistre, où la méthode et l'indépendance de l'auditeur conditionnent la valeur probante de ses conclusions.
Cas d'école : deux candidats à une police cyber joignent un rapport de test d'intrusion. Le premier a été réalisé il y a trois mois par un prestataire qualifié et montre la correction des huit vulnérabilités relevées ; le second est un scan automatique d'il y a deux ans sans suivi. Le souscripteur accorde au premier de meilleures conditions et impose au second un audit préalable.
PASSI, prestataire d'audit de la sécurité des systèmes d'information, ANSSI-qualified auditor
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.