HarfangLab EDR : renouvellement et extension de la certification CSPN

Cette certification, obtenue pour la première fois en 2020, avait marqué une étape cruciale dans notre développement. Aujourd'hui, elle demeure un jalon clé dans notre stratégie de sécurité, de fiabilité, et de reconnaissance sur le marché. 

Pourquoi la certification CSPN ? 

Lors de notre entrée sur le marché des solutions EDR, il était crucial de se distinguer dans un secteur où la concurrence est non seulement intense, mais où la confiance des utilisateurs repose sur des gages solides de qualité et de sécurité. Notre objectif était clair : rassurer nos prospects et partenaires en montrant que, bien que nouveaux dans ce domaine, nous avions une expertise solide et des pratiques exemplaires en matière de sécurité. 

La certification CSPN, obtenue en 2020, a ainsi joué un rôle fondamental. Elle a permis de démontrer que notre produit répondait aux exigences de sécurité les plus strictes, validées par une instance indépendante. Grâce à cela, nous sommes apparus sur le radar des RSSI comme une alternative sérieuse aux solutions déjà établies. 

Cette certification nous a offert des opportunités concrètes : 

• Elle a facilité de nombreuses rencontres commerciales et discussions autour de notre vision et des bénéfices apportés par notre solution. 
• Elle a aussi aidé nos utilisateurs convaincus à justifier leur choix technologique en interne, en rassurant les directions souvent hésitantes face à de nouveaux acteurs. 

En outre, il est important de souligner que la certification CSPN ne porte pas sur la capacité de détection de notre produit, mais sur sa sécurité et sa robustesse. Si c’est un élément important de réassurance pour nos prospects, ce sont les démonstrations du produit et ses performances opérationnelles de détection et de facilité d’usage qui ont su convaincre les profils techniques de nos clients - performances souvent éprouvées en phase de POC. 

Un processus de renouvellement nécessaire et l’opportunité d’une extension 

La certification CSPN n’est valable que pour une durée limitée, nécessitant un renouvellement périodique. Ce processus, bien qu’exigeant, est essentiel pour maintenir notre produit en conformité avec les standards de sécurité en constante évolution, et garantir un regard externe exigeant sur notre solution. 

La question qui se posait était donc : est-il toujours pertinent de renouveler cette certification ?

Aujourd’hui, après avoir consolidé notre position de leader sur différents marchés, nous avons pesé les avantages et les inconvénients de poursuivre cet engagement. Nous avons décidé d’aller plus loin qu’un simple renouvellement et d’étendre le périmètre de cette certification. En effet, en 2020, nous avions obtenu une certification uniquement sur l’agent, composant le plus critique d’un EDR qui se déploie sur tous les postes de travail et serveurs.

Avec le développement de l’EDR, le manager a commencé à jouer un rôle de plus en plus critique dans le pilotage des agents – mises à jour, configuration, administration, triage de données – et il était donc nécessaire d’apporter des garanties équivalentes de sécurité autant sur le manager que sur les agents. D’où ce choix stratégique de l’extension de notre certification. 

Des efforts structurants 

L’extension de la certification CSPN représente un engagement fort de notre part. Avec un démarrage en décembre 2021, ce projet a nécessité un peu plus de deux ans de travail intensif, impliquant des compétences variées : cryptographie, développement, DevOps, CTI, sans oublier la coordination documentaire et la gestion de projet. 

Outre les efforts humains, la certification demande aussi des échanges réguliers avec l’ANSSI et le CESTI (Centre d’Évaluation de la Sécurité des Technologies de l’Information).  

Le rôle de l’ANSSI dans ce processus est réalisé à titre gratuit, en tant qu’organisme d’État garantissant la sécurité des systèmes d’information en France. Cette “prestation” de l’Agence nous permet de bénéficier de leur expertise sans frais supplémentaires, renforçant ainsi la légitimité de la certification. 

En revanche, les tests réalisés par le CESTI, qui évalue de manière rigoureuse la sécurité et la robustesse de notre solution, sont payants. Cela étant, c’est un coût financier relativement modeste pour un audit aussi poussé.

Le véritable investissement réside donc dans l’engagement humain. Le travail de nos équipes techniques, la gestion de projet, et les diverses compétences mobilisées constituent le véritable effort à considérer dans ce processus de certification. 

Une complexité accrue 

Il peut être tentant de penser qu'ayant déjà réalisé une certification, cette extension serait plus facile. Cependant, l’évolution du périmètre de la certification pour inclure le manager du produit, alors que la première certification ne couvrait que l’agent, a engendré des travaux complémentaires. De plus, le contexte technique a changé, les versions d’OS se sont diversifiées, et les exigences de sécurité ont augmenté. C’était également l’occasion d’éprouver à nouveau notre agent qui a été ré-écrit intégralement en langage RUST entre les deux certifications – notamment pour en renforcer la sécurité. 

Qu'en est-il des clients ? 

Si la certification CSPN ne suffit pas à elle seule à convaincre les organisations de nous faire confiance, elle reste un élément clé dans le processus décisionnel. Certains de nos clients, notamment dans le secteur public, imposent même cette certification pour les produits qu'ils sélectionnent, bien que cela ne soit pas une obligation légale. Le renouvellement et l’extension de cette certification était donc non seulement une question de qualité pour nos équipes, mais aussi une réponse aux attentes de nos clients. 

Vers une vision européenne de la certification 

Aujourd'hui, le maintien d'une certification comme la CSPN contribue à une simplification dans le processus d'achat pour les organisations. Avec un tiers de confiance comme l’ANSSI qui valide le fait que nos produits sont à l’état de l’art, nous facilitons la présélection des solutions envisagées, raccourcissant ainsi les projets d’acquisition ou de renouvellement technologique. 

Néanmoins, il est impératif de se poser la question de la multiplicité des certifications dans chaque pays européen. Bien que certaines autorités, comme l’ANSSI et le BSI en Allemagne, aient des accords de reconnaissance mutuelle, la concrétisation d’une certification européenne pour les produits de sécurité, au travers des travaux de l’ENISA ainsi que de l’application du Cyber Resilience Act, permettra de réellement mutualiser ces efforts de certification coûteux pour les entreprises et les administrations.  

Un effort particulier sera nécessaire sur la promotion de ces certifications auprès des acheteurs afin d’éviter que chacun continue de donner préférence aux certifications émises par son autorité nationale, ce qui est encore trop souvent le cas aujourd’hui. 

Certification CSPN : plus qu'un simple tampon

L’extension de la certification CSPN est bien plus qu’un simple tampon sur notre produit. Il reflète notre engagement pour la sécurité et la robustesse de notre solution. C’est aussi un gage de confiance pour nos clients, tout en servant de levier stratégique pour notre développement futur. Chez HarfangLab, nous restons convaincus que ces efforts sont essentiels pour maintenir la qualité et l'excellence que nos utilisateurs attendent de nous. 

Vous voulez en savoir plus sur nos solutions ?