Vertrauenswürdige Anbieter
In ihrer Aufgabe, das digitale Vertrauen und die Informationssicherheit zu fördern und zu gewährleisten, die ANSSI den Allgemeinen Sicherheitsstandard (RGS) eingeführt hat sowie eine Reihe von Referenzen, die den Rahmen für sogenannte Vertrauensprodukte und -dienste bilden. In Bezug auf Dienstleister umfassen diese Standards unter anderem :
Anbieter von Cyberverteidigungsdiensten :
- Anbieter von Prüfungen der Sicherheit von Informationssystemen (PASSI)
- Anbieter für die Erkennung von Sicherheitsvorfällen (PDIS)
- Anbieter für die Reaktion auf Sicherheitsvorfälle (PRIS)
- Anbieter von Cloud-Computing-Diensten (SecNumCloud).
- Und bald (derzeit noch in experimentellen Phasen) :
- Anbieter von sicherer Verwaltung und Wartung (PAMS)
- Anbieter von Begleitung und Beratung im Bereich der Sicherheit von Informationssystemen (PACS)
Anbieter von Diensten im Zusammenhang mit digitalem Vertrauen :
- Anbieter elektronischer Zertifikate (PSCE)
- Anbieter von elektronischen Zeitstempeln (PSHE)
- Anbieter von Validierungsdiensten für elektronische Signaturen und Stempel
- Anbieter von Dienstleistungen zur Aufbewahrung von elektronischen Signaturen und Stempeln,
- Anbieter für den Versand von elektronischen Einschreiben
Für einen Dienstleister oder einen Anbieter digitaler Dienste (FSN) bedeutet der Schritt, sich nach einem oder mehreren dieser anspruchsvollen Standards zu qualifizieren, den starken Willen, seinen Märkten, seinen Kunden in Frankreich und Europa die Qualität seines Angebots und die Kompetenz seiner Teams bei der Bereitstellung eines sicheren und vertrauenswürdigen Dienstes zu demonstrieren.
Das SecNumCloud-Referenzsystem
Geschichte des Referenzrahmens
SecNumCloud wurde in seiner ersten offiziellen Version im Jahr 2016 vorgestellt und erfuhr 2018 eine Überarbeitung bis hin zur derzeit verwendeten Version 3.1. Diese Qualifikation ist eine Weiterentwicklung des Secure-Cloud-Labels, das 2014 von der ANSSI vorgestellt wurde. Das Label stützt sich auf über die ISO-Norm 27001Die Richtlinie enthält Anforderungen und bewährte Praktiken für das Management der Informationssicherheit, fügt jedoch neue zusätzliche Anforderungen hinzu, die speziell für Cloud-Akteure gelten.
Was bedeutet Qualifikation für einen Anbieter?
Die Qualifikation ist die Empfehlung bewährter und von der ANSSI genehmigter Dienstleistungen durch den französischen Staat. Die Qualifikation eines Dienstleisters bescheinigt, dass er die Anforderungen der Nationalen Agentur für die Sicherheit von Informationssystemen (ANSSI) erfüllt. Sie beurteilt die Kompetenz eines Dienstleisters auf lange Sicht und ermöglicht den Nachweis seiner Fähigkeit, Bedrohungen und Risiken zu identifizieren und zu kontrollieren, um die in den fachspezifischen Referenzen festgelegten Anforderungen zu erfüllen.
Was bringt die Qualifikation?
Die Qualifikation gibt den Verbrauchern qualifizierter Dienste die Gewissheit, Lösungen zu wählen, deren Sicherheits- und Vertrauensniveau überprüft wurde. Sie garantiert die Nutzung von Lösungen, die vom Staat empfohlen und von der französischen Verwaltung, Betreibern von lebenswichtigen Diensten (OIV), Betreibern von wesentlichen Diensten (OSE) und Unternehmen in den sensibelsten Sektoren eingesetzt werden.
Qualifizierten Anbietern verschafft sie die Möglichkeit, sich um regulierte Märkte in Frankreich und Europa zu bewerben.
Die SecNumCloud-Qualifikation
Die SecNumCloud-Qualifizierung ist ein langer und anspruchsvoller Prozess, der sehr große finanzielle und personelle Anstrengungen erfordert, um die technischen Herausforderungen bei der Erfüllung der Anforderungen des Referenzsystems zu meistern. Der Prozess selbst wird von der ANSSI streng überwacht.
Der Prozess ist in Meilensteine unterteilt:
- J0: Annahme des Qualifikationsantrags nach Einreichung einer konformen Akte
- J1: Annahme der Bewertungsstrategie und Wahl eines COFRAC-akkreditierten Bewertungszentrums
- J2: Annahme der Bewertungsarbeit und damit des Berichts des Bewertungszentrums durch die ANSSI
- J3: Qualifikationsentscheidung (ausgesprochen mit oder ohne Vorbehalt im Lichte des berichteten Konformitätsniveaus)
Welcher Markt für SecNumCloud?
Der Markt für vertrauenswürdige Clouds würde 2019 ein Volumen von über 250 Millionen Euro haben. Darüber hinaus können die Ankündigungen der Regierung vom 17. Mai 2021 die Größe dieses Marktes in den kommenden Jahren nur noch weiter steigern.
Heute zeigt sich, dass :
- Die Nutzung der vertrauenswürdigen Cloud wird zur Priorität des Staates
- Die qualifizierten SecNumCloud-Dienste werden für Behörden und Körperschaften, die ihre Aktivitäten außerhalb der vom Staat bereitgestellten Cloud hosten wollen, obligatorisch sein.
- Die qualifizierten SecNumCloud-Dienste werden aufgrund der von diesen Verordnungen geforderten Voraussetzungen, die bereits durch die anspruchsvolle Konformität von SecNumCloud erfüllt werden, die bevorzugten Dienste von CIOs, CSOs und ganz allgemein von Akteuren sein, die der europäischen NIS-Richtlinie unterliegen.
- Unternehmen, die mit sehr sensiblen (strategischen, gesundheitsbezogenen usw.) Daten umgehen, die ihre Operationen in einer sicheren und souveränen Umgebung unterbringen möchten (insbesondere im Hinblick auf den Schutz vor extraterritorialen Gesetzen).