Rapport de l'ANSSI concernant les serveurs de France identité

Actuellement en attente de réponse de la part de l'autorité Premier ministre, ils devraient répondre rapidement et normalement au plus tard le (détails).

Demande envoyée

Message reçu

Madame Prevot,

Au titre du droit d’accès aux documents administratifs, je sollicite auprès de vous la communication du document suivant :
- Le rapport d'évaluation spécifique aux serveurs (« backend ») du Service de garantie de l'identité numérique (France identité), réalisé par la société AMOSSYS le 19 septembre 2023 et de référence RTC-Backend France Identité-DR-1.00.

Ce dernier a été transmis à l'Agence nationale de la sécurité des systèmes d’information (ANSSI), qui est sous la direction du Secrétariat général de la Défense et de la Sécurité nationale (SGDSN), lui même sous la direction du Premier ministre.

En effet, l'ANSSI mentionne ce rapport sur la deuxième page de sa décision de qualification de produit N° 792/ANSSI/SDE/NP du 21 mai 2025, disponible via ce lien : https://messervices.cyber.gouv.fr/visas/... ; pour autant, ce dernier ne semble pas avoir fait l'objet d'une diffusion publique.

Je vous prie agréer, Madame, l'expression de mes sentiments distingués.

Nathan Birot

Nathan Birot a posté un commentaire ()

Selon ce tweet d'un administrateur système DevOps de la Police nationale (https://nitter.net/tydoo34/status/201821...), le document demandé serait en Diffusion restreinte. Il s'agirait donc ici de demander aux services du Premier ministre de déclassifier ce document.

Sinon, comment avoir confiance en un système traitant les données de millions de français et dont une poignée de personnes connaissent réellement les rouages ? Comment justifier que ce rapport, au vu de son caractère sensible, ait été réalisé par une entreprise privée de consulting (AMOSSYS CONSULTING SERVICES) ?

Nathan Birot a posté un commentaire ()

ERRATUM :

- La société qui a réalisé le rapport n'est pas AMOSSYS CONSULTING SERVICES mais AMOSSYS - ALMOND. La confusion vient du fait que AMOSSYS avait été acquise par Almond le 1er février 2023 (avant l'écriture rapport donc) et qu'Amossys a fusionné avec la société Almond le 31 décembre 2025, soit avant mon précédent commentaire. Almond est une société reconnue dans les audits de sécurité et réalise également du consulting en cybersécurité.
Source : https://www.amossys.fr/insights/communiq...

- Le rapport demandé est sous le régime de la Diffusion restreinte, pas du secret défense. Il n'est pas classifié et donc nul besoin de le « déclassifier ». Le régime de la Diffusion restreinte est introduit par le dispositif interministériel de protection du potentiel scientifique et technique de la nation (PPST) et plus précisément par l'instruction interministérielle n° 901/SGDSN/ANSSI (II 901) du 28 janvier 2015.

La Diffusion restreinte sert globalement à protéger des informations civiles sensibles comme les systèmes d'information, son périmètre est volontairement large. Théoriquement, le rapport n'est ni soumis à l'exception de la sécurité défense ni à celle de la sécurité nationale mais bien à celle de la sécurité des systèmes d'informations. Ainsi, le document serait communicable après occultation des mentions sensibles.
Sources :
Instruction interministérielle n° 901/SGDSN/ANSSI : https://cyber.gouv.fr/reglementation/cyb...
Guide de l'ANSSI sur les recommandations pour les systèmes d'informations sous Diffusion restreinte :
https://messervices.cyber.gouv.fr/guides...