PASSI (prestataire d'audit de sécurité des systèmes d'information)

Définition

Le PASSI, prestataire d'audit de sécurité des systèmes d'information, est une qualification délivrée par l'ANSSI attestant qu'un prestataire répond à un référentiel d'exigences précis en matière de compétences techniques, d'organisation et de déontologie pour réaliser des audits de sécurité informatique. Cette qualification couvre plusieurs types d'audits distincts, correspondant chacun à une mention spécifique de la qualification : audit d'architecture, audit de configuration, audit de code source, tests d'intrusion et audit organisationnel et physique. Le processus de qualification repose sur l'évaluation d'un organisme d'évaluation de la conformité accrédité, portant sur les compétences des auditeurs, la méthodologie employée, la gestion de la confidentialité des données traitées lors des missions et l'absence de conflit d'intérêts, avant délivrance d'un certificat valable pour une durée déterminée et soumis à surveillance périodique. Le recours à un prestataire PASSI est exigé dans plusieurs contextes réglementaires, notamment pour les audits demandés par l'ANSSI aux opérateurs d'importance vitale au titre de la loi de programmation militaire, ou pour certains audits requis dans le cadre de la qualification SecNumCloud. Pour une organisation cherchant un auditeur de confiance, la qualification PASSI constitue un critère de sélection objectif garantissant un niveau minimal de rigueur méthodologique et de fiabilité du prestataire retenu.