22/01/2025
Actualité
Amossys accompagne Tranquil IT sur le renouvellement de certification CSPN
Découvrez le témoignage de Vincent Cardon, Président de Tranquil IT sur leur projet actuel de renouvellement de la certification CSPN de leur le produit WAPT.
Bonjour Vincent, pouvez-vous nous décrire en quelques lignes votre projet de certification CSPN ?
Notre projet actuel concerne un renouvellement de CSPN pour le produit WAPT, la première CSPN de WAPT ayant démarré en 2016 et ayant été obtenue en 2018.
WAPT est un logiciel pour aider les administrateurs système à automatiser le déploiement de logiciels, de configurations, le déploiement de patchs logiciels et système et le déploiement de systèmes d’exploitation Linux, macOS et Windows. WAPT propose également des mécanismes d’audit pour maîtriser la conformité des configurations sur la durée. Enfin, Tranquil IT participe à la sûreté des chaînes d’approvisionnement logicielles de ses clients en proposant plus de 1000 paquetages logiciels testés et provenant de sources vérifiées.
Un outillage comme WAPT agit au coeur du SI avec des niveaux de privilèges élevés, donc son fonctionnement sécurisé est essentiel. Ensuite, même si Tranquil IT pratique par défaut une approche « security by design » dans les développements, confier régulièrement son logiciel à un organisme tiers qui va le torturer impitoyablement apporte des garanties complémentaires aux travaux des développeurs et aux exploitants chez les clients.
Quelles ont été vos motivations initiales pour faire évaluer votre logiciel dans le cadre du schéma CSPN ?
Notre découverte du processus de certification est une histoire assez insolite et très unique. En effet et en 2016, c’est l’ANSSI qui a proposé à Tranquil IT de rentrer WAPT dans le processus CSPN, l’ANSSI ayant repéré dans le logiciel :
- une véritable capacité à servir utilement, simplement et efficacement le besoin des entreprises et des collectivités françaises
- et une adhésion déjà acquise par les développeurs de WAPT aux grands principes de sécurité que l’ANSSI promeut.
Tranquil IT a ainsi obtenu la CSPN et la Qualification Élémentaire en 2018 après leur avoir consacré 2 ans.
Quelles améliorations concrètes en termes de sécurité ou de développement avez-vous observées au sein de vos équipes depuis que vous avez entrepris cette démarche ?
Le bénéfice le plus inattendu de l’effort lié à la CSPN a été une adhésion quasi immédiate de toutes les équipes à une nouvelle culture d’entreprise : culture de la sécurité en général et notamment en sécurité informatique et une acceptation d’un nouvel avenir construit autour de l’édition logicielle et de l’expertise de haute voltige.
Comment l’évaluation a-t-elle influencé votre processus de développement, que ce soit en termes de pratiques, de qualité de code ou d’autres aspects ?
La CSPN a eu une influence déterminante sur le destin de Tranquil IT.
Jusqu’à 2018, le métier principal de Tranquil IT avait été l’infogérance et nous avions démarré le développement de WAPT en opensource en 2012 pour améliorer notre quotidien d’infogérant, espérant engager une communauté avec laquelle partager la charge de développement. Hors, passer une CSPN a posé des exigences qui ne permettraient plus à WAPT d’être un logiciel libre, d’autant plus que les contributions tant attendues ne sont jamais arrivées. Les exigences de la CSPN dont on parle ici sont la qualité et la performance du logiciel, la sécurité dans son fonctionnement et dans son exploitation, une documentation complète et fidèle, un support professionnel clairement identifié, un suivi rigoureux des failles dans les librairies internes et externes au logiciel. Donc poursuivre avec un modèle économique « gratuit » ne pouvait plus tenir.
C’est pourquoi Tranquil IT a choisi à partir de 2018 de changer de direction en abandonnant son activité historique d’infogérant pour se concentrer sur le développement et l’expertise autour de son produit WAPT, distribué désormais sous licence propriétaire et payante. Ce choix s’est avéré gagnant, les ventes de licences WAPT progressant organiquement de 40% par an.
Quels bénéfices spécifiques retirez-vous de la certification CSPN sur le plan de la sécurité du logiciel ?
Le renouvellement de notre CSPN pour WAPT s’est accompagné d’une élévation significative du niveau de jeu dans la qualité et la sécurité du logiciel. Plusieurs facteurs y ont contribué :
- Premièrement, les retours d’expérience des exploitants de WAPT en clientèle nous ont conduit à réduire les options de configuration du logiciel, permettant d’introduire des défauts plus sécurisés et plus sûrs.
- Deuxièmement, nous nous sommes rendus compte que le logiciel était aussi sécurisé que ses composants externes les moins sécurisés, ce qui a éveillé notre vigilance et nous a conduit à sélectionner avec davantage de soin nos approvisionnements.
- Enfin, l’expérience accumulée au fil des années des équipes de développement a abouti à leur maîtrise quasi scientifique des concepts complexes de chiffrement, de durcissement et généralement à une maîtrise quasi instinctive du principe du « security by design ».
Avez-vous noté des effets de l’évaluation CSPN dans vos interactions avec vos clients ou partenaires ? Dans quelle mesure cette certification influence-t-elle leur perception de la fiabilité de votre logiciel ?
La label CSPN n’a d’effet que sur les individus et les organisations qui le connaissent et le comprennent, et par conséquent ils respecteront a priori les efforts et la persévérance de l’éditeur qui a obtenu ce label.
De nombreux clients n’intègrent pas encore très bien certains critères véritables de sécurité dans leurs choix de solutions, se rangeant souvent derrière une grande marque à la notoriété réconfortante et qui saura offusquer le vrai coût de ses produits en les embarquant dans des packs « généreux ».
Sinon, la CSPN nous a souvent été utile pour écarter d’un geste les objections de nos clients et partenaires qui s’interrogeaient sur les fonctions de sécurité du logiciel.
Si vous deviez résumer en quelques mots les principaux avantages d’une évaluation CSPN, que diriez-vous ?
S’il faut employer un mot pour définir le principal avantage d’une évaluation CSPN, je dirais SÉRIEUX.
Pour vous, en quoi une telle évaluation dépasse-t-elle la simple conformité réglementaire et apporte-t-elle une valeur ajoutée durable à votre produit ?
Les réels bénéfices d’une CSPN sont indirects et vont concerner plutôt des enjeux de motivations individuelles et organisationnelles autour d’un objectif ambitieux et structurant.
Je souhaiterais ajouter ici que la démarche CSPN et son effet positif sur la culture de l’entreprise ont permis à l’équipe d’identifier sa menace existentielle, celle qui nécessiterait de fermer boutique par honte et par remord, une histoire de Vents Solaires si vous avez la référence.
Tranquil IT a donc choisi de s’associer avec d’autres partenaires de l’ANSSI, appelés PASSI (Prestataire d’Audit de la Sécurité des Systèmes d’Information) pour l’aider à identifier ses biens sensibles et mettre en place des mesures de protection adaptées.
Quel a été l’apport d’Amossys ?
Tranquil IT, basée à Nantes, avait choisi initialement Amossys pour sa proximité géographique, elle étant basée à Rennes. Les travaux d’un CESTI (Centre d’Évaluation de la Sécurité des Technologies de l’Information) étant très encadrés par l’ANSSI, il s’agit de dire que Tranquil IT a bénéficié d’une prestation conforme sur le point de la CSPN.
Les apports d’Amossys apparaissent davantage à la marge, comme la co-rédaction de documents (Cible d’Évaluation, document de spécifications cryptographiques, échanges formels avec l’ ANSSI, etc), l’aide à la compréhension des processus d’audit, l’aide à la compréhension des RTE (Rapports Techniques d’Évaluation), etc.
En complément de son accompagnement vers la CSPN, Amossys nous a permis d’adopter les réflexes de vocabulaire de l’univers de l’audit en cybersécurité et a largement contribué à faire connaître et reconnaître les travaux de Tranquil IT auprès de l’ANSSI. Cette reconnaissance a une grande valeur à une époque de durcissement du contexte géopolitique, réglementaire et de recherche par les clients de solutions sérieuses de résilience stratégique numérique.
Vincent CARDON
Directeur Tranquil IT
Alexandre DELOUP
Directeur SEAL Amossys
L’évaluation de sécurité : centre de coût ou création de valeur ?
La sécurité informatique peut paraître, pour beaucoup, comme un centre de coût et de complexité : plan d’audits à mettre en place annuellement, déploiement de politiques de sécurité, patch management, etc. L’évaluation cyber n’échappe pas à cette règle […]
