Évaluateur de sécurité TI : tester et certifier la robustesse des produits numériques

Qu’est-ce qu’un évaluateur de la sécurité des technologies de l’information ?

C’est l’un des métiers les plus spécialisés et les plus méconnus de la cybersécurité française. L’évaluateur intervient au sein de laboratoires qui réalisent des évaluations de sécurité de produits, en vue de leur certification.

Le Panorama des métiers de la cybersécurité de l’ANSSI décrit ce profil sous l’intitulé « Évaluateur de la sécurité des technologies de l’information », dans la famille « Conseil, services et recherche ». Il précise que l’évaluateur intervient de façon indépendante des développeurs de produits et des commanditaires de l’évaluation, et qu’il peut être spécialisé sur l’évaluation de produits matériels.

Ce n’est ni un pentester, ni un auditeur SSI, ni un AppSec Engineer, ni un chercheur. Son travail consiste à appliquer une méthodologie formelle pour rendre un verdict opposable.

Les appellations rencontrées

• Évaluateur de la sécurité des technologies de l’information, dans la terminologie ANSSI
• Évaluateur sécurité TI
• Évaluateur Critères Communs
• Évaluateur de produits de sécurité
• Security Evaluator
• IT Security Evaluator

Qu’est-ce qu’une évaluation de sécurité ?

Le mot « évaluation » circule beaucoup en cybersécurité, souvent pour désigner des exercices très différents. Sur cette fiche, il a un sens précis, et il vaut la peine de le distinguer des démarches voisines.

1. Le test de sécurité ponctuel

   Vérifie un point précis à un instant donné. Utile, rapide, sans prétention d’exhaustivité ni de reproductibilité.

2. L’audit

   Confronte un système ou une organisation à un référentiel. Produit des constats et des recommandations, remis au commanditaire.

3. Le test d’intrusion

   Cherche à démontrer ce qu’un attaquant pourrait obtenir, avec une grande liberté de méthode et dans un temps contraint. Sa valeur tient à ce qu’il a trouvé, pas à l’exhaustivité de la recherche.

4. L’évaluation formelle en vue d’une certification

   Applique une méthodologie imposée, sur une cible de sécurité définie à l’avance, avec des résultats reproductibles. Aboutit à un rapport destiné à une autorité de certification, qui décidera de délivrer ou non le certificat.

La différence la plus structurante est celle de la finalité. Un pentest sert le client qui l’a commandé. Une évaluation sert un tiers : l’acheteur futur du produit, qui s’appuiera sur le certificat pour décider d’en faire un usage sensible sans pouvoir lui-même vérifier le produit.

CSPN, Critères Communs et CESTI : le cadre français

En France, le travail de l’évaluateur s’inscrit dans des schémas de certification pilotés par l’ANSSI, qui définissent la méthodologie, le niveau d’exigence et la durée de validité des certificats.

1. La CSPN

   Certification de Sécurité de Premier Niveau, mise en place par l’ANSSI en 2008. Elle consiste en des tests en boîte noire réalisés en temps et délais contraints, et constitue une alternative aux Critères Communs, dont le coût et la durée peuvent être un obstacle. Le certificat est valable trois ans au maximum.

2. Les Critères Communs

   Schéma d’évaluation plus approfondi et reconnu internationalement, à plusieurs niveaux d’exigence. Le certificat est valable cinq ans au maximum. Les travaux sont réalisés par des laboratoires agréés par le Premier ministre et accrédités par le Comité français d’accréditation selon la norme NF EN ISO/CEI 17025.

3. Les CESTI

   Centres d’Évaluation de la Sécurité des Technologies de l’Information : les laboratoires où exercent les évaluateurs. Ils sont agréés par le Centre de certification national de l’ANSSI, et chacun dispose d’un ou plusieurs domaines de compétences.

L’indépendance, condition de validité

C’est le point qui structure l’organisation du métier. L’ANSSI exige qu’un centre d’évaluation soit impartial et indépendant de toute pression extérieure. Les évaluateurs impliqués dans le développement d’un produit ou d’un service — y compris à titre de conseil — ne doivent en aucun cas être impliqués dans son évaluation. Un cloisonnement du centre d’évaluation vis-à-vis des autres activités de l’organisme est également requis.

Conséquence pratique pour une carrière : on ne peut pas conseiller un éditeur sur son produit puis l’évaluer. C’est une contrainte réelle sur les trajectoires professionnelles dans ce domaine.

Le déroulement d’une évaluation

1. Prise de connaissance de la cible de sécurité

   Ce document définit le périmètre exact de l’évaluation : quelles fonctions de sécurité, quelles hypothèses sur l’environnement, quelles menaces considérées. Tout le reste de l’évaluation en découle.

2. Vérification de la documentation

   S’assurer que la documentation fournie par le développeur est conforme aux exigences du schéma. Une documentation incomplète bloque l’évaluation avant même les tests.

3. Mise en place de la plateforme

   Installer le produit dans la configuration décrite, et uniquement celle-ci. Une évaluation porte sur une configuration précise, pas sur un produit en général.

4. Conduite des tests techniques

   Vérifier que les fonctions de sécurité atteignent le niveau de robustesse requis, en adéquation avec la cible de sécurité et le niveau de certification visé.

5. Recherche de vulnérabilités

   Analyse des faiblesses potentielles, avec une profondeur proportionnée au niveau visé. Plus le niveau est élevé, plus l’effort d’analyse attendu est important.

6. Évaluation des mécanismes cryptographiques

   Activité citée explicitement par l’ANSSI : apprécier la robustesse des mécanismes cryptologiques du produit, ce qui suppose une culture cryptographique réelle.

7. Consignation reproductible

   Chaque résultat doit pouvoir être reproduit par un tiers : conditions exactes, outils, versions, étapes. C’est ce qui distingue une évaluation d’un rapport d’expertise.

8. Rédaction du rapport

   Le rapport est destiné à l’autorité de certification. C’est sur cette base que le certificat sera délivré ou refusé, ce qui impose une grande précision de formulation.

9. Amélioration continue

   L’ANSSI cite également la participation à l’amélioration continue des moyens d’évaluation du laboratoire : outillage, méthodes, plateformes de test.

Les domaines d’évaluation

Un évaluateur se spécialise. Personne ne couvre l’ensemble de ces domaines, et chaque CESTI dispose de ses propres compétences reconnues.

L’évaluation matérielle constitue une spécialité à part : elle mobilise des compétences en électronique, parfois des attaques par canaux auxiliaires ou par injection de fautes, et un outillage de laboratoire coûteux. C’est l’un des domaines où les profils sont les plus rares.

Évaluateur, pentester, auditeur, AppSec, chercheur

1. Évaluateur de sécurité TI

   Applique une méthodologie imposée sur une cible définie, produit des résultats reproductibles, rend compte à une autorité de certification.

2. Pentester

   Grande liberté de méthode, temps court, objectif de démonstration d’impact. Rend compte au client.

3. Auditeur de sécurité organisationnelle

   Évalue une organisation et ses processus face à un référentiel, pas un produit.

4. AppSec Engineer

   Travaille avec les équipes de développement pour éviter les vulnérabilités. Position interne et continue, à l’opposé de l’indépendance exigée de l’évaluateur.

5. Chercheur en sécurité

   Produit de la connaissance nouvelle, sans cadre méthodologique imposé ni obligation de verdict dans un délai donné.

Les qualités attendues

Ce métier attire des profils particuliers : techniquement solides, méthodiques, et à l’aise avec un cadre contraignant qui laisse peu de place à l’improvisation.

• Rigueur méthodologique : suivre un cadre sans le contourner, même quand une intuition suggère autre chose
• Goût de la reproductibilité : un résultat non reproductible ne vaut rien ici
• Patience : plusieurs semaines sur un même produit, parfois sans découverte marquante
• Précision rédactionnelle : le rapport engage le laboratoire devant une autorité
• Honnêteté intellectuelle : conclure ce que les tests démontrent, ni plus ni moins
• Indépendance d’esprit : résister à la pression commerciale d’un commanditaire
• Curiosité technique : les produits évalués changent de nature en permanence
• Anglais technique : documentation, méthodologies et littérature du domaine

Comment accède-t-on à ce métier ?

Le Panorama de l’ANSSI indique une formation de niveau Bac+3 à doctorat avec spécialisation en cybersécurité, et précise que le métier est accessible à partir d’une expérience professionnelle en audit de sécurité.

L’amplitude du niveau d’études — de Bac+3 à doctorat — s’explique par la diversité des spécialités. Une évaluation logicielle dans un schéma de premier niveau n’appelle pas le même bagage qu’une évaluation de mécanismes cryptographiques ou de composants matériels, où un profil de niveau doctorat est fréquent.

Point pratique : le nombre de laboratoires agréés en France est limité. Chercher un poste dans ce métier suppose d’accepter une contrainte géographique réelle, et parfois une procédure d’habilitation.

Où exerce-t-on ce métier ?

Une nuance importante : travailler chez un éditeur pour préparer un produit à la certification est un métier voisin mais distinct, puisque l’exigence d’indépendance interdit d’évaluer un produit que l’on a contribué à concevoir. Certains professionnels passent d’un côté à l’autre au cours de leur carrière, jamais sur le même produit.

Avantages et contraintes du métier

• Technicité élevée et travail en profondeur sur des produits réels
• Compétences rares, très recherchées dans un marché de niche
• Cadre méthodologique clair, qui protège de l’arbitraire
• Contribution directe à la confiance dans les produits de sécurité
• Peu d’astreintes : le rythme est celui des campagnes d’évaluation
• Passerelles vers la cryptologie, la recherche ou la sécurité matérielle

• Nombre de postes limité et fortement concentré géographiquement
• Cadre méthodologique contraignant, peu de place pour l’improvisation
• Charge rédactionnelle importante
• Pression possible du commanditaire, à laquelle il faut résister
• Restrictions de carrière liées à l’exigence d’indépendance
• Habilitation parfois requise, avec des délais associés