Combien de niveaux SESIP existe-t-il et a quoi correspondent-ils ?

SESIP definit cinq niveaux d'assurance numerotes 1 a 5, alignes sur l'echelle AVA_VAN des Criteres Communs. Le niveau 1 repose sur une auto-evaluation accompagnee d'AVA_VAN.1 (revue de vulnerabilites publiques). Le niveau 2 ajoute AVA_VAN.2 et l'intervention d'un laboratoire accredite. Le niveau 3 introduit AVA_VAN.3 et un test d'intrusion en boite noire. Le niveau 4 exige AVA_VAN.4 avec analyse par canaux auxiliaires et injection de fautes. Le niveau 5 cible la resistance a l'etat de l'art des attaques (AVA_VAN.5), typiquement pour les elements securises et eUICC.

Quelle difference entre SESIP et les Criteres Communs classiques ?

SESIP reutilise le langage des Criteres Communs (Security Target, Security Functional Requirements, AVA_VAN) mais simplifie le processus. Les Criteres Communs imposent un Protection Profile lourd et une evaluation par EAL (Evaluation Assurance Level) couvrant l'ensemble des classes ADV, AGD, ALC, ATE, AVA. SESIP definit un profil unique cible IoT, reduit les obligations documentaires aux preuves strictement utiles, et structure les paquets pour la composition (un composant SESIP peut etre integre dans une plateforme ou un produit SESIP sans reverification complete).

SESIP est-il reconnu par la reglementation europeenne ?

Oui, indirectement. La serie EN 18031, normes harmonisees pour l'article 3.3 de la directive RED, autorise pour les niveaux d'assurance superieurs le recours a une evaluation SESIP comme preuve de conformite. La norme europeenne ETSI EN 17927, publiee en 2023, derive directement de SESIP pour l'evaluation cybersecurite IoT a l'echelle europeenne. Le futur schema EUCC, place sous le Cybersecurity Act et le CRA, prevoit egalement l'usage de SESIP comme methodologie reconnue pour les composants et plateformes.

Quel est le lien entre SESIP et PSA Certified ?

PSA Certified, programme operationnel pilote par Arm et ses partenaires (Brightsight, Riscure, SGS, TrustCB, UL), aligne ses niveaux PSA niveau 2 et PSA niveau 3 sur des profils SESIP. PSA niveau 2 correspond pratiquement a SESIP niveau 3 (test en boite noire), PSA niveau 3 a SESIP niveau 4 ou 5 selon le perimetre. Un certificat PSA niveau 2 delivre depuis 2022 mentionne explicitement le profil SESIP applique, ce qui facilite la composition vers une evaluation produit final.

Combien de temps est valide un certificat SESIP ?

La duree de validite par defaut d'un certificat SESIP est fixee par le schema sous lequel l'evaluation a ete conduite. La pratique courante est une validite de cinq ans, conditionnee a un programme de maintenance des vulnerabilites tenu par le fabricant. Une decouverte de vulnerabilite critique sur le produit ou un composant reutilise peut suspendre le certificat. Une evolution majeure de la cible (changement de chip, mise a jour de firmware modifiant la surface d'attaque) declenche une re-evaluation au moins partielle.

SESIP convient-il a un microcontroleur seul, sans systeme ?

Oui. SESIP est explicitement concu pour permettre l'evaluation a trois niveaux de granularite : composant (puce, eUICC, element securise), plateforme (chip plus OS securise plus pile crypto), et produit (plateforme integree dans un dispositif IoT final). L'evaluation d'un microcontroleur seul produit un certificat composant reutilisable par les integrateurs en aval, avec un argument de composition documente. Cette modularite est l'apport principal de SESIP par rapport aux Criteres Communs traditionnels.

Quels sont les pieges les plus frequents d'une demarche SESIP ?

Trois ecueils reviennent. D'abord, une Security Target sous-cadree : le fabricant decrit insuffisamment l'environnement d'exploitation et les hypotheses, ce qui fragilise l'evaluation. Ensuite, la confusion entre niveaux SESIP et EAL Criteres Communs : SESIP niveau 4 n'equivaut pas a EAL 4, l'echelle est differente. Enfin, la composition mal justifiee : reutiliser un certificat de composant sans demontrer formellement que les hypotheses de ce certificat tiennent dans le contexte d'integration conduit a un refus du laboratoire ou de l'organisme de certification.

SESIP: methodologie d'evaluation cybersecurite IoT

Q: Qu'est-ce que SESIP et qui en est l'editeur ?

SESIP (Security Evaluation Standard for IoT Platforms) est une methodologie d'evaluation de cybersecurite publiee par GlobalPlatform, consortium industriel base a Redwood City. La version 1.0 publique a ete publiee en mai 2020 sous la reference GP_FST_070. SESIP est derivee des Criteres Communs ISO/IEC 15408 mais optimisee pour les plateformes IoT contraintes : composants silicium, systemes d'exploitation embarques, piles applicatives et produits IoT complets. Elle vise des delais d'evaluation plus courts et la reutilisation des resultats par composition le long de la pile.

Auteur Hugues Orgitello Mis à jour le 27 mai 2026 ~17 min de lecture

Guide. SESIP / GlobalPlatform

SESIP (Security Evaluation Standard for IoT Platforms) est la methodologie d'evaluation de cybersecurite que GlobalPlatform a publiee en mai 2020 sous la reference GP_FST_070. Derivee des Criteres Communs ISO/IEC 15408 mais optimisee pour les plateformes IoT contraintes, elle organise l'evaluation en cinq niveaux d'assurance alignes sur l'echelle AVA_VAN. Sa specificite reside dans la composition : un composant evalue (puce, OS securise, pile crypto) peut etre integre dans une plateforme puis dans un produit final sans reverification complete. SESIP est aujourd'hui la methodologie reconnue par la serie EN 18031 pour les niveaux d'assurance superieurs, et l'ossature technique d'ETSI EN 17927 et du futur schema EUCC. Ce guide expose son origine, sa structure d'evaluation, l'articulation avec PSA Certified et les Criteres Communs, et les pieges les plus frequents.

Origine et probleme adresse

Jusqu'a la fin des annees 2010, l'evaluation formelle de cybersecurite des composants electroniques relevait essentiellement de la Common Criteria Recognition Arrangement (CCRA). Les Criteres Communs (CC), formalises par la norme ISO/IEC 15408 et son corpus methodologique ISO/IEC 18045, restent la reference mondiale pour les evaluations a fort niveau d'assurance, notamment dans les domaines bancaire, gouvernemental et identitaire.

Trois caracteristiques des CC les rendent toutefois difficilement applicables au marche IoT de masse :

la duree typique d'une evaluation EAL 4 ou superieure (douze a vingt-quatre mois) est incompatible avec les cycles de mise sur le marche d'un capteur connecte ou d'un dispositif domotique ;
le cout d'une evaluation CC complete (de l'ordre de plusieurs centaines de milliers d'euros pour une cible non triviale) ne se justifie pas economiquement sur un produit IoT de moyenne diffusion ;
l'absence de mecanisme natif de composition oblige a re-evaluer integralement la pile a chaque iteration produit, alors que l'IoT repose precisement sur l'empilement standardise de briques (silicium, OS, middleware, application).

GlobalPlatform, consortium industriel deja editeur des specifications Card Specification (carte a puce) et TEE (Trusted Execution Environment), a engage en 2018 le projet SESIP pour combler ce vide. La version 1.0 publique a ete publiee le 26 mai 2020 sous la reference GP_FST_070, sous-titree "Security Evaluation Standard for IoT Platforms". Une revision incrementale est en preparation, avec un alignement attendu sur la version 2022 d'ISO/IEC 15408 (revision majeure des CC).

SESIP herite du vocabulaire CC : Security Target, Security Problem Definition, Security Objectives, Security Functional Requirements, classe AVA_VAN. Elle introduit en revanche un profil unique cible IoT (au lieu du Protection Profile sur mesure des CC), un ensemble reduit et fixe de classes d'assurance, et un mecanisme explicite de composition de certificats.

Trois niveaux de granularite d'evaluation

SESIP distingue formellement trois niveaux de cible d'evaluation, qui correspondent aux trois etages typiques d'une pile IoT.

Niveau de cible	Description	Exemples typiques
Composant	Bloc atomique de la pile, materiel ou logiciel	MCU avec secure boot, eUICC, element securise, OS de confiance
Plateforme	Assemblage materiel et logiciel offrant des services de securite	MCU + bootloader + OS securise + bibliotheque crypto
Produit	Dispositif IoT complet integrant une plateforme	Compteur intelligent, passerelle domotique, capteur industriel

Cette granularite a une consequence economique directe : un fournisseur de silicium peut faire certifier son composant une fois, puis fournir le certificat et la documentation associee a tous ses integrateurs en aval. L'integrateur reutilise ce certificat dans l'evaluation de sa plateforme ou de son produit, en demontrant par un argument de composition que les hypotheses du certificat amont restent satisfaites dans le contexte d'integration.

Les cinq niveaux d'assurance SESIP

SESIP definit cinq niveaux d'assurance numerotes 1 a 5, alignes sur les composants d'assurance AVA_VAN des Criteres Communs. AVA_VAN designe la classe "Vulnerability Analysis" des CC, declinee en cinq niveaux gradues selon le potentiel d'attaque resiste.

Niveau SESIP	AVA_VAN equivalent	Type d'evaluation	Intervention laboratoire	Resistance attendue
SESIP 1	AVA_VAN.1	Auto-evaluation guidee	Optionnelle	Vulnerabilites publiques connues
SESIP 2	AVA_VAN.2	Evaluation par laboratoire accredite	Obligatoire	Attaquant disposant d'un potentiel basique
SESIP 3	AVA_VAN.3	Laboratoire + test d'intrusion en boite noire	Obligatoire	Attaquant disposant d'un potentiel renforce
SESIP 4	AVA_VAN.4	SESIP 3 + analyse par canaux auxiliaires et injection de fautes	Obligatoire, equipement specialise	Attaquant disposant d'un potentiel moyen, materiel modere
SESIP 5	AVA_VAN.5	Resistance a l'etat de l'art des attaques	Obligatoire, equipement avance	Attaquant a fort potentiel, materiel et expertise eleves

L'echelle AVA_VAN est documentee dans le Common Methodology for Information Technology Security Evaluation (CEM, ISO/IEC 18045). Le potentiel d'attaque est estime selon cinq facteurs : temps de preparation, expertise requise, connaissance de la cible, fenetre d'opportunite, equipement materiel necessaire. Un score agrege determine le niveau AVA_VAN auquel la cible resiste.

SESIP 1 : auto-evaluation outillee

Le niveau 1 vise la conformite documentaire et la revue des vulnerabilites publiques. Le fabricant produit lui-meme la Security Target, decrit les mesures de securite, et fournit la preuve que les vulnerabilites publiques connues (CVE, CWE) applicables a son produit sont traitees. Aucune intervention de laboratoire n'est obligatoire. L'evaluation est revue par l'organisme de certification sur la base du dossier seul.

SESIP 2 : laboratoire accredite, test fonctionnel

Le niveau 2 introduit l'examen par un laboratoire d'essai accredite par un schema GlobalPlatform. Le laboratoire verifie la coherence de la Security Target, exerce les fonctions de securite declarees, et conduit une revue de vulnerabilites etendue. La resistance attendue couvre un attaquant disposant d'un potentiel basique : outils standards, sans equipement specialise, sans expertise approfondie de la cible.

SESIP 3 : test d'intrusion en boite noire

Le niveau 3 ajoute un test d'intrusion logique en boite noire (penetration test). Le laboratoire tente activement de contourner les fonctions de securite en utilisant des interfaces accessibles a l'attaquant, sans connaissance du code source ou des cles. La resistance attendue couvre un attaquant disposant d'un potentiel renforce : expertise non triviale, outils logiciels avances, mais sans equipement materiel sophistique.

SESIP 4 : canaux auxiliaires et injection de fautes

Le niveau 4 introduit deux familles de tests materiels :

l'analyse par canaux auxiliaires (side-channel analysis), qui exploite les fuites d'information par mesure de consommation electrique (Simple Power Analysis, Differential Power Analysis), emission electromagnetique ou temps de reponse pour extraire des secrets cryptographiques ;
l'analyse par perturbation (fault injection), qui injecte volontairement des perturbations (variation de tension, impulsion electromagnetique, laser focalise) pour faire devier l'execution du circuit et contourner les controles de securite.

Ces tests requierent un equipement de laboratoire specialise (oscilloscopes haut de gamme, banc EM, banc laser, stations de micro-positionnement) et une expertise pointue. Le niveau 4 est typiquement vise par les composants de paiement, les eUICC haut de gamme et les elements securises commerciaux.

SESIP 5 : resistance a l'etat de l'art

Le niveau 5 cible la resistance aux attaques de l'etat de l'art mondial : potentiel d'attaquant tres eleve, temps de preparation prolonge, equipement de pointe (microscope electronique a balayage, FIB pour edition de circuit, analyse au substrat). Ce niveau est typique des composants d'identite gouvernementale, de cartes bancaires haut de gamme et de modules de securite materielle (HSM) certifies. Tres peu de produits IoT grand public visent ce niveau, dont le cout d'evaluation se compte en centaines de milliers d'euros.

Comparaison SESIP, Criteres Communs, PSA Certified

Le tableau ci-dessous met en regard les trois cadres d'evaluation cybersecurite les plus utilises pour les composants et plateformes IoT.

Dimension	SESIP	Criteres Communs (ISO/IEC 15408)	PSA Certified
Editeur	GlobalPlatform	ISO, CCRA, schemas nationaux	Arm et partenaires
Reference	GP_FST_070 v1.0 (mai 2020)	ISO/IEC 15408:2022 et CEM	PSA Certified specifications
Cible	Plateformes et composants IoT	Tous produits IT	Plateformes IoT et MCU Arm
Profil	Profil SESIP unique	Protection Profile sur mesure	Profil PSA + reference SESIP
Niveaux	5 (SESIP 1 a 5)	7 EAL + AVA_VAN.1 a .5	3 (PSA niveau 1, 2, 3)
Composition native	Oui, mecanisme explicite	Composition CC (rare, lourde)	Oui, herite de SESIP
Duree typique d'evaluation	Quelques semaines a quelques mois	Six a vingt-quatre mois	Quelques semaines a quelques mois
Cout typique d'evaluation	Decizaines a centaines de milliers d'euros	Centaines de milliers d'euros	Decizaines a centaines de milliers d'euros
Reconnaissance reglementaire	EN 18031 (UE), EUCC (en cours)	CCRA, EUCC, schemas nationaux	Reconnu via SESIP par EN 18031
Cas d'usage typique	MCU IoT, eUICC, OS securise, dispositif IoT	Carte a puce, HSM, OS gouvernemental	MCU et plateformes Arm Cortex-M, Cortex-A

L'equivalence approximative entre niveaux SESIP et niveaux PSA est la suivante : PSA niveau 1 est une auto-attestation alignee sur la 10-Question Assessment du PSA Functional API, sans mapping SESIP direct ; PSA niveau 2 correspond pratiquement a SESIP niveau 3 (laboratoire plus penetration test) ; PSA niveau 3 correspond a SESIP niveau 4 (canaux auxiliaires et injection de fautes), avec extension possible vers SESIP niveau 5 pour les cibles les plus exigeantes. Cette equivalence n'est pas absolue et depend du perimetre de la Security Target.

L'equivalence entre niveaux SESIP et EAL Criteres Communs n'existe pas formellement. SESIP niveau 4 n'equivaut pas a EAL 4. Les EAL agregent l'assurance sur sept classes (ADV, AGD, ALC, ATE, AVA, et anciennement ACM, ASE, APE), tandis que les niveaux SESIP se concentrent sur l'echelle AVA_VAN. Confondre les deux echelles dans une declaration de conformite est un piege courant et un motif frequent de refus par les organismes de certification.

Profil SESIP et evaluation par composition

Le profil SESIP joue le role qu'un Protection Profile (PP) joue dans les Criteres Communs : il definit le cadre de la Security Target. Mais la, ou un PP CC est specifique au produit ou a la famille de produit consideree, le profil SESIP est unique et generique, applicable a toute plateforme IoT. La Security Target instancie le profil pour un produit donne en remplissant les sections obligatoires :

TOE description (Target Of Evaluation) : ce qui est evalue, ce qui ne l'est pas, frontiere precise du perimetre ;
Security problem definition : menaces considerees, hypotheses sur l'environnement, politiques organisationnelles ;
Security objectives : objectifs de securite couverts par le produit, ceux couverts par l'environnement ;
Security functional requirements (SFR) : exigences fonctionnelles selectionnees dans le catalogue SESIP (qui reprend une partie de ISO/IEC 15408-2) ;
TOE security functionality (TSF) : description concrete des mecanismes implementes.

Composition de certificats

Le mecanisme de composition est l'apport central de SESIP. Soit un composant evalue SESIP niveau X avec un certificat C1. Soit une plateforme integrant ce composant et evaluee SESIP niveau Y (avec Y inferieur ou egal a X). L'evaluation de la plateforme reutilise le certificat C1 comme element de preuve, sans reverifier integralement le composant, a deux conditions :

les hypotheses environnementales du composant (operating environment assumptions) doivent etre satisfaites dans le contexte d'integration de la plateforme ;
les politiques de securite declarees par le composant doivent etre coherentes avec celles de la plateforme.

Ces deux conditions sont documentees dans un argument de composition (composition rationale) ajoute a la Security Target de la plateforme. Le laboratoire qui evalue la plateforme verifie cet argument, mais n'a pas a refaire les tests dont le composant a deja fait l'objet.

Exemple : composition silicium vers plateforme vers produit

L'exemple ci-dessous illustre la composition typique le long d'une pile IoT.

Etage	Cible d'evaluation	Niveau vise	Element reutilise
Silicium	MCU avec secure boot et stockage securise	SESIP 4 (canaux auxiliaires)	Certificat composant, Security Target chip
Plateforme	MCU + bootloader + OS securise + pile crypto	SESIP 3	Certificat MCU + Security Target plateforme
Produit	Capteur IoT integrant la plateforme + firmware applicatif	SESIP 2	Certificat plateforme + Security Target produit

Le fabricant final, qui integre un MCU certifie SESIP 4 dans son produit, peut viser SESIP 2 sur le produit complet en s'appuyant sur le certificat amont. L'effort d'evaluation porte alors sur le firmware applicatif et l'integration, pas sur le MCU lui-meme.

Cette logique transforme l'economie de la certification IoT : un effort initial concentre chez le fournisseur silicium est valorise sur l'ensemble des produits aval. Un produit final non certifie aujourd'hui peut viser un niveau SESIP modeste avec un effort raisonnable des lors qu'il integre des composants certifies SESIP de niveau egal ou superieur.

SESIP dans le paysage europeen : EN 17927, EN 18031, EUCC

L'integration de SESIP dans le cadre reglementaire europeen s'est faite par trois canaux distincts.

ETSI EN 17927

Publiee en 2023, ETSI EN 17927 ("Methods and protocols, security evaluation of IoT") est une norme europeenne derivee directement de SESIP. Le texte reprend la structure des cinq niveaux, le mecanisme de composition et le catalogue d'exigences fonctionnelles. EN 17927 constitue le pendant europeen normatif de SESIP, exploitable dans les schemas reglementaires de l'UE.

Serie EN 18031

La serie EN 18031-1/-2/-3, publiee en aout 2024 et listee au Journal officiel de l'Union europeenne en janvier 2025, definit les normes harmonisees pour la conformite a l'article 3.3 de la directive RED (cybersecurite des equipements radio). EN 18031 distingue plusieurs niveaux d'assurance et autorise, pour les niveaux superieurs, l'usage d'une evaluation SESIP niveau 3 ou plus comme preuve de conformite. Concretement, un dispositif radio IoT vise par RED 3.3 peut s'appuyer sur le certificat SESIP de sa plateforme pour demontrer le respect des exigences essentielles, en complement de la documentation prevue par EN 18031.

Pour plus de detail sur la mise sur le marche radio europeenne, voir notre guide ETSI EN 303 645, qui couvre le referentiel volontaire complementaire pour l'IoT consommateur.

Schema EUCC sous le Cybersecurity Act

Le Common Criteria scheme europeen (EUCC) est le premier schema de certification adopte sous le Cybersecurity Act (reglement (UE) 2019/881). Adopte par reglement d'execution (UE) 2024/482 et applicable depuis fevrier 2025, EUCC reprend la structure des Criteres Communs et prevoit l'incorporation de SESIP pour les evaluations IoT.

La connexion entre EUCC, SESIP et le Cyber Resilience Act (CRA, reglement (UE) 2024/2847, applicable a partir du 11 decembre 2027) est en cours de definition par l'ENISA. L'esquisse actuelle prevoit que pour les produits "importants" et "critiques" au sens du CRA, une certification sous EUCC ou un programme reconnu (incluant SESIP) sera presomption de conformite. Le calendrier precis et le perimetre exact dependent des actes d'execution attendus en 2026 et 2027.

SESIP et PSA Certified : un alignement operationnel

PSA Certified est le programme de certification operationnelle pilote par Arm et un consortium de laboratoires (Brightsight, Riscure, SGS Brightsight, TrustCB, UL). Initialement structure autour de trois niveaux PSA propres, le programme a aligne en 2022 ses niveaux PSA niveau 2 et PSA niveau 3 sur les profils SESIP.

Niveau PSA	Mapping SESIP indicatif	Type de cible	Methode dominante
PSA niveau 1	Pas de mapping SESIP direct	Auto-attestation guidee par 10-Question Assessment	Documentaire
PSA niveau 2	SESIP niveau 3	Chip plus PSA Root of Trust	Penetration test boite noire
PSA niveau 3	SESIP niveau 4 (parfois 5)	Chip vise pour applications haute exigence	Canaux auxiliaires et injection de fautes

Un certificat PSA Certified niveau 2 ou niveau 3 delivre depuis 2022 mentionne explicitement le profil SESIP applique, ce qui permet a un integrateur en aval de reutiliser ce certificat dans une composition SESIP. Inversement, un fabricant qui souhaite obtenir un certificat PSA passe par un laboratoire accredite SESIP. PSA Certified et SESIP ne sont donc pas concurrents mais complementaires : SESIP est la methodologie, PSA un programme operationnel qui l'instancie pour l'ecosysteme Arm.

Pour les cas non-Arm (RISC-V, MIPS, x86 embarque), l'evaluation passe directement par SESIP sans intermediaire PSA.

Ecosysteme des laboratoires accredites

L'evaluation SESIP requiert l'intervention d'un laboratoire accredite par GlobalPlatform (sauf au niveau 1, ou l'auto-evaluation est admise). GlobalPlatform tient une liste publique des laboratoires accredites, mise a jour periodiquement sur le portail sesip.globalplatform.org. Les principaux acteurs au moment de la redaction de ce guide incluent :

Brightsight (Pays-Bas, filiale SGS), historiquement laboratoire de reference pour les composants securises bancaires et eUICC ;
Riscure (Pays-Bas), specialiste reconnu de l'analyse par canaux auxiliaires et de l'injection de fautes, notamment pour le niveau 4 ;
SGS (groupe international), portefeuille etendu couvrant la certification produit IoT ;
TrustCB (Pays-Bas), schema de certification ITSEF et organisme de delivrance de certificats ;
UL Solutions (Etats-Unis et Europe), laboratoire diversifie couvrant le segment IoT consommateur et industriel.

Plusieurs laboratoires europeens additionnels (Serma Safety and Security en France, T-Systems en Allemagne, applus+ Laboratories en Espagne) sont accredites ou en cours d'accreditation pour les niveaux SESIP 2 et 3. La couverture geographique du SESIP scheme s'etend a mesure que les normes EN 17927 et EN 18031 montent en puissance.

Cycle de vie du certificat et maintenance

Un certificat SESIP n'est pas un acte fige. Sa validite repose sur trois conditions tenues dans la duree.

Duree initiale

La duree de validite par defaut est fixee par le schema sous lequel l'evaluation est conduite. La pratique courante observe une validite initiale de cinq ans pour les niveaux SESIP 1 a 3, parfois reduite a deux ou trois ans pour les niveaux 4 et 5 dont la cible est plus exposee a l'evolution rapide des techniques d'attaque.

Maintenance des vulnerabilites

Le fabricant doit tenir un programme de surveillance et de traitement des vulnerabilites (vulnerability management) couvrant la duree de validite. Toute vulnerabilite publiquement decouverte affectant la cible ou un composant reutilise doit etre evaluee pour son impact sur le certificat. Une vulnerabilite critique non corrigible peut conduire a la suspension ou au retrait du certificat par l'organisme de certification.

Re-evaluation sur evolution

Une evolution majeure de la cible declenche une re-evaluation au moins partielle :

changement de chip silicium ou de revision majeure ;
modification du bootloader ou de la chaine de confiance ;
mise a jour du firmware ajoutant des fonctions accessibles a l'attaquant ;
introduction de nouvelles interfaces externes (radio additionnelle, debug port).

Les evolutions mineures (correctifs de securite, ajustements applicatifs sans changement de surface d'attaque) sont en general traitees par un avenant au certificat, plus rapide qu'une re-evaluation complete.

Pieges frequents d'une demarche SESIP

L'experience terrain des premieres annees du programme fait emerger plusieurs ecueils recurrents pour les fabricants qui abordent SESIP. Le respect de la methodologie ne s'improvise pas, et un cadrage rigoureux en amont evite des refus tardifs couteux. AESTECHNO concoit des produits IoT et suit la maturite de ces methodologies pour les choix d'architecture cybersecurite.

Voir aussi

1. Sous-cadrage de la Security Target

Le piege le plus frequent est une Security Target incomplete ou floue. Le fabricant decrit les fonctions de securite implementees mais neglige les sections environnementales (hypotheses, politiques organisationnelles, menaces non couvertes). Le laboratoire retourne alors la cible pour completion, retardant l'evaluation. Une Security Target solide consacre autant d'effort a definir le perimetre (TOE) et son environnement qu'a decrire les mecanismes techniques.

2. Confusion entre niveaux SESIP et EAL Criteres Communs

La tentation de presenter "SESIP 4 equivalent EAL 4" dans une plaquette commerciale conduit a un refus quasi immediat. Les deux echelles ne sont pas equivalentes. SESIP niveau 4 garantit une resistance AVA_VAN.4 mais ne couvre pas l'ensemble des classes d'assurance d'un EAL 4. Une declaration de conformite doit citer SESIP avec son niveau, sans equivalence numerique avec les EAL. Les Criteres Communs (sujet d'un guide dedie sur spilma) restent un cadre distinct, complementaire mais non equivalent.

3. Composition mal justifiee

La composition est l'apport central de SESIP mais aussi le point ou les fabricants achoppent le plus souvent. Reutiliser un certificat composant sans demontrer formellement que toutes les hypotheses d'environnement de ce certificat sont satisfaites dans le contexte d'integration conduit au refus. Un certificat MCU peut stipuler que le boitier est cense etre protege contre les attaques physiques (hypothese environnementale) ; si l'integration place le MCU dans un boitier ouvert (ex. capteur exterieur facilement demontable), l'hypothese n'est pas satisfaite et la composition ne tient pas. L'argument de composition doit etre explicitement redige et verifie par le laboratoire.

4. Choix de niveau inadapte

Viser SESIP 4 ou 5 sans necessite economique ou reglementaire est un autre piege. Le surcout d'evaluation est significatif : les tests de canaux auxiliaires et d'injection de fautes mobilisent des semaines d'equipement specialise. Un produit IoT grand public (capteur domotique, ampoule connectee) atteint son objectif reglementaire avec SESIP 2 ou 3 et n'a pas a viser plus haut. Le niveau doit decouler d'une analyse de risque produit et de la cartographie reglementaire visee, pas d'une volonte marketing.

5. Sous-estimation de la maintenance

Un certificat SESIP n'est pas un livrable de fin de projet. La duree de validite de cinq ans implique un engagement de surveillance des vulnerabilites, de gestion des CVE affectant les composants reutilises, et de re-evaluation lors des evolutions majeures. Le budget d'evaluation initial doit etre complete d'un budget de maintenance, faute de quoi le certificat est suspendu en cours de vie commerciale du produit.

Lecture conseillee et integration au projet

SESIP s'inscrit dans une pile cybersecurite IoT plus large. Pour un fabricant qui aborde le sujet pour la premiere fois, l'ordre de lecture conseille est le suivant :

Cadrage reglementaire europeen : comprendre l'article 3.3 de la directive RED, la serie EN 18031 et l'horizon CRA. Voir notre actualite sur la publication des normes EN 18031 et le guide ETSI EN 303 645 pour le referentiel volontaire complementaire.
Methodologie d'evaluation : ce guide SESIP, complete pour les besoins haut de gamme par les Criteres Communs (sujet d'un guide dedie a venir, dont la reference ISO/IEC 15408 est citee en sources).
Programme operationnel : PSA Certified pour les plateformes Arm (sujet d'un guide dedie a venir), SESIP direct pour les autres ecosystemes.
Mise en oeuvre projet : architecture cybersecurite du produit, choix des composants certifies, redaction de la Security Target, planification de l'evaluation avec un laboratoire accredite.

Le glossaire spilma regroupe les definitions des termes techniques manipules ici (TOE, SFR, AVA_VAN, Protection Profile, composition rationale).

Synthese

SESIP est aujourd'hui la methodologie d'evaluation cybersecurite la mieux adaptee a la realite industrielle de l'IoT : elle reprend la rigueur des Criteres Communs, simplifie la mise en oeuvre, autorise la composition de certificats le long de la pile silicium-plateforme-produit, et beneficie d'une reconnaissance reglementaire europeenne croissante via EN 17927, EN 18031 et le futur EUCC. Pour un fabricant IoT qui anticipe les obligations CRA de 2027, la connaissance de SESIP n'est plus optionnelle. Les choix d'architecture en phase de conception, notamment le choix d'un composant silicium deja certifie SESIP, conditionnent directement le cout et la duree de l'evaluation produit. Le suivi des actes d'execution du Cybersecurity Act et du CRA, attendus en 2026 et 2027, completera le tableau reglementaire et figera la place precise de SESIP dans le paysage de certification europeen.

Pour aller plus loin

Publication des normes EN 18031 : presomption de conformite RED 3.3 et reference a SESIP pour les niveaux superieurs
Guide ETSI EN 303 645 : referentiel volontaire IoT consommateur, complementaire de SESIP
Glossaire spilma : definitions des termes ISO/IEC 15408, AVA_VAN, Protection Profile, composition

Sources & références

GlobalPlatform SESIP methodology, programme overview , GlobalPlatform globalplatform.org/sesip/
GP_FST_070 v1.0 Public Release, SESIP methodology specification , GlobalPlatform globalplatform.org/wp-content/uploads/2020/05/GP_FST_070_SESIP_v1.0.0_PublicRelease.pdf
ETSI EN 17927, security evaluation standard for IoT platforms , ETSI www.etsi.org/standards-search?search=EN+17927
ISO/IEC 15408, evaluation criteria for IT security , ISO www.iso.org/standard/72891.html
CENELEC, portail des normes harmonisees (serie EN 18031) , CENELEC www.cenelec.eu/
PSA Certified, certification programme operated under SESIP , Arm and partners www.psacertified.org/
ENISA, EUCC candidate scheme under the Cybersecurity Act , ENISA www.enisa.europa.eu/topics/certification