Articles
Certification CSPN ANSSI : pourquoi est-ce un gage de confiance pour une solution WAAP ?
La Certification de Sécurité de Premier Niveau (CSPN), délivrée par l’ANSSI, permet d’évaluer la robustesse d’un produit à travers une démarche indépendante et encadrée. Mais que vérifie concrètement cette certification ? Comment se déroule son évaluation ? Et pourquoi le renouvellement de la CSPN d’UBIKA WAAP Gateway constitue-t-il un élément différenciant pour les organisations à la recherche d’une solution WAAP fiable ?
Qu’est-ce que la Certification de Sécurité de Premier Niveau (CSPN) de l’ANSSI ?
Une certification pour évaluer la sécurité d’un produit
La CSPN (Certification de Sécurité de Premier Niveau) est une certification délivrée par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), l’organisme public français de référence en matière de cybersécurité. Elle atteste du niveau de sécurité d’un produit (logiciel, équipement ou solution informatique) après une évaluation technique indépendante menée par un laboratoire reconnu.
Concrètement, la CSPN permet de vérifier que :
- les protections annoncées par l’éditeur fonctionnent réellement ;
- le produit résiste aux principales tentatives d’attaque prévues dans le cadre de l’évaluation ;
- les résultats sont validés par un organisme extérieur, garantissant l’objectivité de l’analyse.
À la clé : une validation indépendante du niveau de sécurité du produit.
Un dispositif créé pour répondre aux besoins des organisations
La CSPN constitue une alternative plus rapide aux Critères Communs (Common Criteria), un référentiel international utilisé pour évaluer la sécurité des produits informatiques selon des processus généralement plus longs et plus complexes.
Son objectif est de trouver un équilibre entre rigueur et accessibilité : permettre aux organisations de disposer d’une preuve indépendante du niveau de sécurité d’un produit, sans imposer systématiquement les démarches les plus lourdes.
Comment se déroule une évaluation CSPN ?
L’évaluation d’un produit dans le cadre d’une certification CSPN suit un processus structuré en plusieurs étapes :
- Étape 1 — La définition de la cible de sécurité : cette première étape consiste à définir précisément le périmètre du produit évalué ainsi que les fonctions de sécurité revendiquées par l’éditeur. Ce document de référence servira de base à l’ensemble de l’évaluation.
- Étape 2 — Le choix d’un laboratoire CESTI indépendant : l’éditeur sélectionne un laboratoire CESTI (Centre d’Évaluation de la Sécurité des Technologies de l’Information) agréé par l’ANSSI. Une dizaine de centres sont actuellement habilités en France, chacun disposant de domaines de compétence spécifiques selon les types de produits évalués.
- Étape 3 — La réalisation des tests techniques de sécurité : le laboratoire mène les différentes analyses prévues, notamment des tests d’intrusion et des évaluations de robustesse. Réalisés en boîte noire, ces tests sont encadrés par des contraintes de temps et de charge, généralement entre 25 et 50 jours-homme répartis sur environ deux mois.
- Étape 4 — La rédaction du Rapport Technique d’Évaluation (RTE) : le laboratoire synthétise ses conclusions dans un Rapport Technique d’Évaluation. Celui-ci présente les résultats des tests, les éventuelles vulnérabilités identifiées et le niveau de conformité des fonctions de sécurité analysées.
- Étape 5 — La validation par l’ANSSI : sur la base du rapport transmis par le laboratoire, l’ANSSI décide de délivrer ou non le certificat CSPN. L’agence ne réalise pas directement les tests techniques, mais contrôle la qualité et la conformité du processus d’évaluation.
- Étape 6 — La publication du certificat : une fois attribué, le certificat CSPN est publié dans les Visas de Sécurité de l’ANSSI. Cette publication rend l’évaluation officielle, accessible et vérifiable par les organisations intéressées.
Ce processus garantit une évaluation homogène et rigoureuse, quel que soit le produit ou l’éditeur concerné.
Pourquoi le renouvellement d’une certification CSPN est-il un véritable enjeu ?
La CSPN n’est jamais acquise définitivement. Elle est attribuée à une version précise d’un produit, pour une durée limitée.
Une certification liée à une version, pas à un éditeur
Chaque évolution majeure du produit nécessite en principe une nouvelle évaluation complète, puisque le certificat porte sur une version technique donnée, à un instant précis. Un éditeur ne peut donc pas se contenter d’obtenir la certification une fois pour bénéficier indéfiniment de cette reconnaissance.
La preuve apportée par un renouvellement
UBIKA WAAP Gateway a ainsi vu sa certification renouvelée pour sa version 6.11.1, sous le certificat ANSSI-CSPN-2023/23, délivré le 1er février 2024 et valable jusqu’au 1er février 2027, couvrant les appliances 1450 et 4450. Ce renouvellement démontre la capacité de l’éditeur à maintenir un haut niveau de sécurité à chaque évolution majeure de son produit, plutôt qu’un niveau de sécurité figé à un instant donné.
Quels sont les bénéfices concrets pour les entreprises, administrations et OIV ?
La certification CSPN apporte des bénéfices concrets à chaque type d’organisation.
- Pour les OIV, les administrations et les organisations soumises à des exigences réglementaires : la CSPN constitue un élément de preuve utile dans les démarches de sécurité et de conformité. Elle apporte une évaluation indépendante du produit, qui peut notamment faciliter les audits, les analyses de risques ou les processus de sélection de solutions.
- Pour les entreprises privées : la certification permet de réduire les incertitudes liées au choix d’une solution de sécurité. Les équipes informatiques et SSI disposent d’un indicateur objectif sur les mécanismes de protection réellement évalués avant un déploiement.
- Pour toutes les organisations : la CSPN facilite la comparaison entre différentes solutions de cybersécurité en apportant un référentiel commun d’évaluation. Elle aide ainsi les décideurs à faire des choix plus éclairés, en s’appuyant sur une analyse réalisée par un tiers indépendant.
Au final, la certification CSPN aide les organisations à mieux choisir leurs solutions de cybersécurité, à maîtriser leurs risques et à renforcer leur conformité réglementaire.
Pourquoi UBIKA WAAP Gateway se différencie sur le marché ?
Au-delà de la certification CSPN elle-même, plusieurs éléments renforcent le positionnement d’UBIKA WAAP Gateway auprès des organisations à la recherche d’une solution robuste et reconnue.
Une reconnaissance déjà validée par le marché
UBIKA WAAP Gateway a été reconnu comme « Strong Performer » par Gartner Peer Insight pour les solutions WAAP (protection des applications Web et des API), ce qui vient s’ajouter à la certification CSPN comme second niveau de validation externe — l’un porté par un organisme d’État, l’autre par les retours du marché lui-même.
Une couverture réglementaire large
La solution est conçue pour répondre aux exigences de conformité et d’audit les plus strictes, couvrant notamment :
- PCI DSS, pour les organisations traitant des paiements par carte bancaire.
- PSD2, pour le secteur des services de paiement.
- NIS2, pour les entités essentielles et importantes soumises à la directive européenne.
- DORA, pour le secteur financier.
- RGPD, pour la protection des données personnelles.
Cette couverture transversale permet à une même solution de répondre à plusieurs référentiels réglementaires simultanément, plutôt que de multiplier les outils par obligation. C’est notamment le cas de la directive NIS2, dont les exigences de prévention et de détection concernent directement les applications web et les API.
Un éditeur souverain, basé en France
UBIKA WAAP Gateway s’inscrit dans une démarche de souveraineté numérique qui va au-delà de la seule certification technique :
| Critère | UBIKA WAAP Gateway | Solutions non-européennes |
|---|---|---|
| Certification CSPN ANSSI | ✅ Oui (v6.11.1, valide jusqu’en 2027) | ❌ Non |
| Soumission au Cloud Act | ❌ Non (droit français) | ✅ Oui (extraterritorialité US) |
| Siège social en France/UE | ✅ France (Meudon) | ❌ États-Unis |
| R&D localisée en France | ✅ Oui | ❌ Principalement US |
| Compatible doctrine OIV/LPM | ✅ Oui | ⚠️ Risque réglementaire |
| Compatible loi SREN | ✅ Oui | ⚠️ Potentiellement non |
Cette combinaison (certification indépendante, siège social et R&D en France, non-soumission à des législations extraterritoriales) constitue un ensemble de garanties structurelles particulièrement recherchées par les organisations traitant des données sensibles ou soumises à des exigences de souveraineté. Ces garanties s’inscrivent dans une démarche plus large de souveraineté numérique, que porte également UBIKA Cloud Protector avec un hébergement exclusivement européen.
Un déploiement flexible, y compris sur cloud souverain
UBIKA WAAP Gateway est compatible avec les principaux fournisseurs cloud (AWS, Microsoft Azure, Google Cloud Platform), ainsi qu’avec des clouds souverains comme OVHcloud et Outscale. Les organisations peuvent ainsi choisir leur infrastructure d’hébergement sans compromettre leur niveau de protection applicative.
Quelle est la différence entre la qualification et la certification CSPN de l’ANSSI ?
La certification et la qualification répondent à deux logiques différentes, même si elles sont souvent confondues.
La certification (comme la CSPN) atteste qu’un produit a été évalué techniquement par un laboratoire indépendant — un CESTI pour la CSPN — à un instant donné, sur une version précise. Elle valide que les fonctions de sécurité revendiquées par l’éditeur fonctionnent réellement, à travers des tests encadrés (intrusion, robustesse). C’est une preuve technique, centrée sur le produit lui-même.
La qualification, délivrée par l’ANSSI selon trois niveaux (Élémentaire, Standard, Renforcée), va plus loin. Elle s’appuie généralement sur une certification préalable, mais y ajoute une évaluation plus large portant sur la conformité réglementaire du produit, la fiabilité de l’éditeur, et les conditions d’usage et de déploiement. Elle peut également conditionner l’usage du produit dans certains contextes sensibles, notamment pour les OIV ou certaines administrations.
En résumé : la certification valide le produit sur le plan technique, tandis que la qualification valide plus globalement le produit, son éditeur et son contexte d’usage, avec un niveau d’exigence souvent supérieur.
La CSPN garantit-elle finalement une sécurité absolue ?
La certification CSPN ne garantit pas une protection absolue contre toutes les cyberattaques : aucune certification ne le peut. Elle atteste en revanche d’une évaluation indépendante et rigoureuse, réalisée par un tiers de confiance selon une méthodologie reconnue. Pour UBIKA WAAP Gateway, le renouvellement de cette certification traduit une capacité à maintenir cette exigence dans la durée, à chaque évolution majeure du produit. C’est un signal de confiance particulièrement précieux pour les organisations évaluant une solution WAAP dans un contexte réglementaire ou de souveraineté numérique.
