PASSI (prestataire d'audit qualifié)
Qualification de l'ANSSI attestant qu'un prestataire d'audit de sécurité est compétent, impartial et suit une méthode rigoureuse.
Définition complète
Un PASSI (prestataire d'audit de la sécurité des systèmes d'information) est un prestataire dont l'offre d'audit a été qualifiée par l'ANSSI, sur la base d'un référentiel d'exigences portant sur le prestataire, ses auditeurs et le déroulement des audits. La qualification apporte aux clients des garanties sur l'impartialité et la compétence de l'auditeur, ainsi que sur la confidentialité des informations recueillies.
Elle est délivrée par portées d'audit : audit d'architecture, audit de configuration, audit de code source, test d'intrusion, audit organisationnel et physique, et audit des systèmes industriels. Un prestataire peut être qualifié pour certaines portées seulement.
La version 2.2 du référentiel, publiée par l'ANSSI en novembre 2024, introduit deux niveaux de qualification, substantiel et élevé, pour mieux adapter la prestation au besoin du bénéficiaire. La liste des prestataires qualifiés est publiée par l'ANSSI.
Source : ANSSI, mise à jour des référentiels PASSI (version 2.2) et PRIS (version 3.0)
Exemple concret
Une PME de 90 salariés fournit une plateforme de dématérialisation à des hôpitaux publics. Son client lui demande un test d'intrusion réalisé par un prestataire qualifié PASSI sur la portée « tests d'intrusion ». La PME consulte la liste de l'ANSSI, vérifie que la qualification couvre bien cette portée, et joint au rapport d'audit la convention signée, qui précise le périmètre et les règles d'intervention.
Comment se protéger
- Vérifier sur la liste de l'ANSSI que la qualification couvre la portée d'audit demandée
- Préciser le niveau attendu (substantiel ou élevé) si un client ou un texte l'exige
- Définir par écrit le périmètre, les dates et les règles d'intervention avant tout test
- Informer l'hébergeur et les prestataires concernés avant un test d'intrusion
- Prévoir du temps et un budget pour corriger les failles, puis un contre-audit
- Protéger le rapport d'audit, qui décrit précisément vos faiblesses
Questions fréquentes
Non, sauf exigence d'un client, d'un marché public ou d'une réglementation sectorielle. La qualification reste un repère fiable pour choisir un auditeur, en particulier pour un test d'intrusion.
Souvent un peu, car la méthode impose une documentation et des garanties supplémentaires. L'écart dépend surtout du périmètre audité et du niveau de qualification demandé.
Termes liés
ISO 27001
Norme internationale de gestion de la sécurité de l'information.
NIS2
Directive européenne renforçant la cybersécurité des organisations.
Scanner de vulnérabilités
Outil qui analyse automatiquement serveurs, postes et sites web pour repérer les failles connues et les mauvaises configurations.
SecNumCloud
Qualification de l'ANSSI pour les offres cloud au plus haut niveau de sécurité, incluant une protection contre les lois extraterritoriales.
Vous avez besoin d'un expert en PASSI (prestataire d'audit qualifié) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.