Fornitori di servizi affidabili
Nella sua missione di promuovere e garantire la fiducia digitale e la sicurezza delle informazioni, L'ANSSI ha istituito il Sistema di riferimento generale per la sicurezza (RGS) nonché una serie di standard per prodotti e servizi affidabili. Per quanto riguarda i fornitori di servizi, questi standard riguardano in particolare :
Fornitori di servizi di difesa informatica :
- Auditor della sicurezza dei sistemi informativi (PASSI)
- Servizi di rilevamento degli incidenti di sicurezza (PDIS)
- Fornitori di servizi di risposta agli incidenti di sicurezza (PRIS)
- Fornitori di servizi di cloud computing (SecNumCloud).
- E prossimamente (attualmente in fase sperimentale):
- Fornitori di servizi di amministrazione e manutenzione sicuri (PAMS)
- Servizi di supporto e consulenza per la sicurezza dei sistemi informativi (PACS)
Fornitori di servizi fiduciari digitali :
- Fornitori di servizi di certificazione elettronica (ECSP)
- Fornitori di servizi di marcatura temporale elettronica (PSHE)
- Fornitori di servizi di convalida di firme e sigilli elettronici
- Fornitori di servizi per l'archiviazione di firme e timbri elettronici,
- Fornitori di servizi di posta raccomandata
Per un fornitore di servizi o un Digital Service Provider (DSP), intraprendere un percorso di qualificazione rispetto a uno o più di questi esigenti standard è una forte indicazione della volontà di dimostrare ai propri mercati e clienti in Francia e in Europa la qualità della propria offerta e le competenze dei propri team nel fornire un servizio sicuro e affidabile.
Il repository SecNumCloud
Storia del sistema di riferimento
SecNumCloud è stato presentato nella sua prima versione ufficiale nel 2016, ed è stato rivisto nel 2018 per arrivare alla versione 3.1, attualmente in uso. Questa qualifica è un'evoluzione dell'etichetta Secure Cloud presentata da ANSSI nel 2014. L'etichetta si basa su su ISO 27001che definisce i requisiti e le best practice per la gestione della sicurezza delle informazioni, ma aggiunge nuovi requisiti specifici per i player del cloud.
Cosa significa qualificazione per un fornitore di servizi?
La qualificazione è la raccomandazione del governo francese per i servizi che sono stati testati e approvati dall'ANSSI. La qualificazione di un fornitore di servizi attesta la sua conformità ai requisiti dell'Agence nationale de la sécurité des systèmes d'information (ANSSI). Valuta la competenza del fornitore di servizi a lungo termine e dimostra la sua capacità di identificare e controllare le minacce e i rischi al fine di soddisfare i requisiti stabiliti negli standard aziendali.
Cosa comporta la qualificazione?
La qualificazione offre ai consumatori di servizi qualificati la certezza di scegliere soluzioni il cui livello di sicurezza e fiducia è stato verificato. È la garanzia di utilizzare soluzioni raccomandate dal governo francese e utilizzate dall'amministrazione francese, dagli operatori di importanza vitale (OIV), dagli operatori di servizi essenziali (OSE) e dalle aziende dei settori più sensibili.
Per i fornitori di servizi qualificati, questo dà loro la possibilità di competere nei mercati regolamentati francesi ed europei, rendendo la qualificazione un vantaggio competitivo in termini di requisiti di sicurezza.
Qualificazione SecNumCloud
La qualificazione di SecNumCloud è un processo lungo e impegnativo, che richiede un notevole sforzo finanziario e umano per affrontare le sfide tecniche di conformità ai requisiti dello standard. Il processo stesso è strettamente supervisionato dall'ANSSI.
Il processo è suddiviso in tappe fondamentali:
- D0: Accettazione della domanda di qualificazione a seguito della presentazione di un fascicolo conforme
- Giorno 1: accettazione della strategia di valutazione e scelta di un centro di valutazione accreditato dal COFRAC.
- D2: Accettazione del lavoro di valutazione e quindi del rapporto del Nucleo di Valutazione da parte dell'ANSSI.
- J3: Decisione di qualificazione (emessa con o senza riserve alla luce del livello di conformità riportato)
Qual è il mercato per SecNumCloud?
Si prevede che nel 2019 il mercato del trusted cloud avrà un valore di oltre 250 milioni di euro. Inoltre, gli annunci del governo del 17 maggio 2021 non potranno che aumentare le dimensioni di questo mercato negli anni a venire.
Oggi sembra che :
- L'utilizzo del trusted cloud diventa una priorità per il governo
- I servizi qualificati SecNumCloud saranno obbligatori per le autorità pubbliche che desiderano ospitare le proprie attività altrove rispetto al cloud fornito dallo Stato.
- I servizi qualificati da SecNumCloud saranno i servizi preferiti dagli OIV, dagli OSE e, più in generale, dagli operatori soggetti alla Direttiva NIS europea, grazie ai prerequisiti richiesti da questa normativa, già soddisfatti dall'esigente conformità di SecNumCloud.
- Aziende che gestiscono dati altamente sensibili (strategici, sanitari, ecc.) e che vogliono che le loro operazioni siano ospitate con fiducia dal punto di vista della sicurezza e della sovranità (in particolare per quanto riguarda la protezione dalle leggi extraterritoriali).