Dans cet article Dans cet article
- Ce qu’un niveau EAL garantit réellement
- Les sept paliers de l’échelle, de EAL1 à EAL7
- Qui évalue et qui certifie en France
- Organiser un projet de certification côté entreprise
- Le signe « + » et les niveaux augmentés
- EAL, CSPN et schéma européen EUCC : situer chaque dispositif
- La preuve par un évaluateur tiers, une méthode qui dépasse l’informatique
- Fixer le niveau adapté sans surinvestir
L’evaluation assurance level (EAL) est l’échelle de 1 à 7 définie par les Critères Communs (norme ISO/IEC 15408). Elle indique le degré de rigueur avec lequel un produit informatique a été évalué : tests fonctionnels pour EAL1, conception formellement vérifiée pour EAL7. Un niveau élevé signifie que l’évaluation a été plus profonde, pas forcément que le produit résiste mieux aux attaques. En France, les évaluations sont menées par des laboratoires agréés et les certificats délivrés par l’ANSSI.
Dans un appel d’offres, sur la fiche technique d’une carte à puce ou d’un pare-feu, la mention « certifié EAL4+ » revient souvent sans être expliquée. Elle désigne un niveau d’assurance d’évaluation, c’est-à-dire la quantité de preuves qu’un éditeur a dû apporter, et la sévérité avec laquelle un évaluateur indépendant les a examinées. Comprendre cette échelle permet de lire correctement un certificat, de comparer deux offres sans se laisser impressionner par un chiffre, et, côté éditeur, de dimensionner un projet de certification qui mobilise plusieurs équipes pendant des mois. Voici les repères utiles pour un décideur, un acheteur ou un chef de projet.
Ce qu’un niveau EAL garantit réellement
Les Critères Communs séparent deux notions que l’on confond volontiers. D’un côté, les exigences fonctionnelles de sécurité : ce que le produit est censé faire (authentifier, chiffrer, journaliser). De l’autre, les exigences d’assurance : la manière dont on vérifie qu’il le fait correctement. L’EAL ne relève que de la seconde catégorie.
Concrètement, un niveau EAL est un paquet prédéfini de composants d’assurance. Plus on monte, plus l’évaluateur exige de documents de conception, plus il inspecte le code et le cycle de développement, plus ses propres tests de pénétration sont poussés. Le niveau mesure donc la confiance que l’on peut accorder aux affirmations de l’éditeur, dans un périmètre précis.
Ce périmètre est le point que les acheteurs négligent le plus. L’évaluation porte sur une « cible d’évaluation » (TOE, Target of Evaluation) décrite dans un document appelé cible de sécurité. Un routeur peut être certifié EAL4+ pour sa seule fonction de filtrage, dans une configuration donnée, avec une version de micrologiciel figée. Hors de ce cadre, le certificat ne dit rien.
Les sept paliers de l’échelle, de EAL1 à EAL7
Chaque niveau reprend les exigences du précédent et en ajoute. Le tableau ci-dessous résume l’intitulé officiel et ce qu’il implique en pratique.
| Niveau | Intitulé officiel | Ce que cela implique | Usages typiques |
|---|---|---|---|
| EAL1 | Testé fonctionnellement | Vérification sur la base de la documentation et de tests, sans examen de la conception | Produits à faible enjeu, premier pas |
| EAL2 | Testé structurellement | Analyse de la conception de haut niveau, recherche de vulnérabilités évidentes | Logiciels commerciaux courants |
| EAL3 | Testé et vérifié méthodiquement | Contrôle de l’environnement de développement et de la gestion de configuration | Produits d’infrastructure |
| EAL4 | Conçu, testé et revu méthodiquement | Examen d’une partie de l’implémentation, analyse de vulnérabilités plus poussée | Systèmes d’exploitation, pare-feu, équipements réseau |
| EAL5 | Conçu et testé de façon semi-formelle | Modélisation semi-formelle, résistance à des attaquants aux moyens élevés | Microcontrôleurs sécurisés, cartes à puce |
| EAL6 | Conception vérifiée de façon semi-formelle et testée | Développement très structuré, analyse de vulnérabilités approfondie | Composants pour environnements à haut risque |
| EAL7 | Conception vérifiée formellement et testée | Preuves mathématiques de la conception, périmètre souvent réduit | Composants critiques de taille limitée |
Le saut le plus marquant se situe entre EAL4 et EAL5. Jusqu’à EAL4, un éditeur peut atteindre le niveau en appliquant de bonnes pratiques d’ingénierie sans refondre son produit. Au-delà, la sécurité doit avoir été pensée dès la conception, avec une documentation semi-formelle ou formelle qu’il est presque impossible de produire après coup.
Qui évalue et qui certifie en France
Trois acteurs interviennent. Le commanditaire, généralement l’éditeur ou le fabricant, finance l’évaluation et fournit les preuves. Le CESTI (centre d’évaluation de la sécurité des technologies de l’information) est un laboratoire agréé qui mène les travaux techniques et rédige un rapport d’évaluation. L’ANSSI, enfin, joue le rôle d’organisme de certification : elle supervise l’évaluation, valide le rapport et délivre le certificat.
Deux documents structurent tout le processus. La cible de sécurité, rédigée par le commanditaire, décrit le produit, les menaces envisagées, les hypothèses sur son environnement et les fonctions de sécurité revendiquées. Le profil de protection, lui, est un modèle d’exigences rédigé pour une famille de produits (lecteurs biométriques, modules de signature, pare-feu) : s’y conformer facilite la comparaison entre offres concurrentes et la reconnaissance du certificat à l’étranger.
Organiser un projet de certification côté entreprise
Une évaluation Critères Communs se gère comme un projet transverse, pas comme un audit ponctuel. Elle mobilise le développement, la qualité, la documentation, parfois la logistique et le juridique. Les entreprises qui la réussissent du premier coup ont souvent respecté quelques principes d’organisation.
- Figer le périmètre tôt. Chaque fonction ajoutée à la cible d’évaluation alourdit les preuves à fournir. Mieux vaut un périmètre restreint et défendable qu’une ambition large qui fait dériver le calendrier.
- Nommer un pilote unique. Il fait l’interface avec le laboratoire, arbitre entre les équipes et tient le registre des livrables demandés.
- Geler une version. Le certificat s’applique à une version précise. Continuer à publier des correctifs pendant l’évaluation oblige à rejouer une partie des travaux.
- Préparer la gestion de configuration et la sécurité du site de développement. À partir d’EAL3, l’évaluateur vérifie comment le code est versionné, qui y accède et comment le produit est livré au client.
- Prévoir la suite. Maintenance du certificat, surveillance des vulnérabilités, réévaluation des versions futures : ces coûts reviennent chaque année.
Côté calendrier, une évaluation EAL4 s’étale couramment sur six mois à plus d’un an selon la maturité de la documentation. Les budgets varient beaucoup selon le produit et le laboratoire, et se chiffrent souvent en dizaines, voire en centaines de milliers d’euros pour les niveaux élevés. Un devis du CESTI, établi après lecture d’une première version de la cible de sécurité, reste la seule base fiable.
Le signe « + » et les niveaux augmentés
Un certificat affiche souvent « EAL4+ » ou « EAL5+ ». Le plus signifie que le commanditaire a ajouté au paquet standard un ou plusieurs composants d’assurance d’un niveau supérieur. Les deux ajouts les plus fréquents sont ALC_FLR, qui encadre la correction des failles après mise sur le marché, et AVA_VAN.5, qui porte l’analyse de vulnérabilités au niveau d’un attaquant aux moyens élevés.
Le plus ne dit donc rien en lui-même : il faut lire la liste des augmentations dans le rapport de certification. Un EAL4 augmenté d’AVA_VAN.5 peut, sur la résistance aux attaques, se rapprocher de ce qu’exigerait un EAL5, tandis qu’un EAL4 augmenté du seul ALC_FLR apporte surtout une garantie sur le suivi des correctifs.
EAL, CSPN et schéma européen EUCC : situer chaque dispositif
L’échelle EAL n’est plus le seul repère. En France, la CSPN (certification de sécurité de premier niveau) propose une évaluation en temps contraint, de l’ordre de quelques semaines de travail du laboratoire, centrée sur la résistance du produit à des attaques réalistes. Elle convient aux produits qui évoluent vite et pour lesquels une évaluation Critères Communs complète serait disproportionnée.
À l’échelle de l’Union européenne, le schéma EUCC, adopté par le règlement d’exécution 2024/482 et applicable depuis février 2025, s’appuie sur les Critères Communs. Il définit deux niveaux d’assurance, « substantiel » et « élevé », reliés aux composants d’analyse de vulnérabilités, et organise la reconnaissance des certificats entre États membres. Les niveaux EAL continuent d’apparaître dans les certificats, mais la lecture se fait désormais aussi à travers ces deux catégories européennes.
La preuve par un évaluateur tiers, une méthode qui dépasse l’informatique
Retirée de son vocabulaire technique, la logique EAL est simple : un périmètre délimité, un évaluateur indépendant et habilité, un référentiel public, un rapport daté dont la validité est limitée. On retrouve cette architecture dans bien d’autres domaines où une partie doit rassurer l’autre avant une transaction. La cession d’un logement en France en offre une illustration parlante : la loi y impose un dossier technique établi par des professionnels certifiés, chaque rapport couvrant un champ précis (amiante, plomb, performance énergétique, installations électriques) pour une durée déterminée, et préparer les diagnostics nécessaires avant une vente obéit au même raisonnement qu’une cible de sécurité bien rédigée. Dans les deux cas, l’acheteur ne reçoit pas une promesse globale de qualité, mais la preuve qu’un point identifié a été contrôlé selon une méthode connue.
Prestataires Le jour de l’expulsion : comment s’organise une opération que personne ne souhaite
Ce parallèle aide à transmettre la notion à des interlocuteurs non techniques, direction générale ou service achats : un certificat vaut pour ce qu’il couvre, à la date où il a été émis, et sa valeur dépend de la qualification de celui qui l’a signé.
Fixer le niveau adapté sans surinvestir
Viser le plus haut niveau possible est rarement une bonne stratégie. Le choix dépend d’abord des exigences du marché visé : certains marchés publics, les produits de sécurité destinés aux administrations ou les composants de cartes bancaires imposent un niveau ou un profil de protection précis. Lorsque rien n’est imposé, la question devient économique : quel niveau les clients reconnaissent-ils, et quel effort documentaire l’entreprise peut-elle soutenir dans la durée ?
Pour un acheteur, la démarche inverse s’applique. Plutôt que de comparer deux chiffres, il vaut mieux vérifier que la cible d’évaluation couvre bien la configuration qui sera déployée, que la version certifiée correspond à celle livrée, et que le certificat est toujours en cours de validité. Un EAL2 parfaitement aligné sur l’usage réel apporte parfois plus d’information qu’un EAL5 portant sur un sous-ensemble du produit.
Un produit EAL5 est-il forcément plus sûr qu’un produit EAL4+ ?
Pas nécessairement. Le niveau indique la profondeur de l’évaluation, pas la force des mécanismes. Deux produits peuvent aussi avoir été évalués sur des périmètres et des menaces très différents. La comparaison n’a de sens qu’en lisant les deux cibles de sécurité et la liste des composants augmentés.
Combien de temps faut-il compter pour obtenir un certificat Critères Communs ?
Pour un niveau intermédiaire comme EAL4, prévoir généralement six à dix-huit mois entre le lancement et la délivrance du certificat. La durée dépend surtout de la qualité de la documentation fournie au départ et du nombre d’allers-retours avec le laboratoire.
Un certificat EAL a-t-il une date d’expiration ?
Le certificat reste attaché à une version précise, et les nouvelles attaques peuvent rendre ses conclusions obsolètes. Le schéma européen EUCC limite la validité des certificats à cinq ans au maximum, avec une surveillance pendant cette période. Il faut donc toujours vérifier la date et le statut du certificat avant de s’y fier.
Une entreprise peut-elle faire évaluer un logiciel qu’elle a développé pour son propre usage ?
Rien ne l’interdit, mais l’intérêt est limité : les Critères Communs servent surtout à rassurer des clients ou une autorité. Pour un outil interne, un audit de sécurité ou un test d’intrusion ciblé répond souvent mieux au besoin, pour un coût et un délai bien inférieurs.