Avant de déployer un logiciel sur les réseaux de l’US Army, une simple validation technique ne suffisait pas : sécurité, compatibilité et conformité devaient être démontrées. Le Certificate of Networthiness, souvent confondu avec une homologation de cybersécurité, encadrait cette exigence. Que certifiait-il réellement, et à qui s’adressait-il ? Cet article en explique le rôle, les critères et l’évolution dans les procédures militaires américaines.
Qu’est-ce qu’un Certificate of Networthiness ?
Le Certificate of Networthiness, généralement abrégé en CoN, était un dispositif utilisé par l’US Army pour déterminer si un système, un logiciel, une application ou un équipement informatique pouvait être intégré à son environnement réseau sans créer de difficultés majeures de sécurité, de compatibilité ou d’exploitation.
La notion de « networthiness » désignait plus largement l’aptitude d’une technologie à fonctionner correctement au sein de l’infrastructure informatique de l’armée américaine. L’évaluation ne se limitait donc pas à rechercher des vulnérabilités de cybersécurité. Elle examinait également la manière dont le produit s’intégrait à l’architecture existante, son interopérabilité avec d’autres systèmes ou encore sa capacité à être administré et maintenu.
Dans la réglementation de l’Army, la networthiness reposait notamment sur cinq dimensions souvent regroupées sous l’acronyme SISSU :
- Security, pour la sécurité ;
- Interoperability, pour l’interopérabilité ;
- Supportability, pour la capacité de support ;
- Sustainability, pour la pérennité ;
- Usability, pour l’utilisabilité.
L’évaluation devait également vérifier le respect des politiques et exigences applicables au niveau fédéral, du Department of Defense et de l’US Army.
Le CoN concernait notamment des produits commerciaux, appelés COTS pour Commercial Off-The-Shelf, mais également des solutions gouvernementales ou développées pour les besoins de l’armée.
Un point est cependant essentiel pour comprendre ce certificat aujourd’hui : le Certificate of Networthiness est désormais un dispositif historique. Le processus traditionnel de CoN a été abandonné en 2018 au profit du Risk Management Framework Assess Only, généralement appelé RMF Assess Only.
Depuis le 2 juillet 2018, les nouvelles évaluations relevant auparavant du CoN passent donc par ce cadre plus récent. Les anciens certificats ont pu continuer à produire leurs effets jusqu’à leur échéance, mais ils ne constituent plus le mécanisme normal d’approbation des nouveaux produits informatiques de l’US Army.
À quoi sert le Certificate of Networthiness ?
Le Certificate of Networthiness avait pour fonction principale de protéger l’environnement informatique de l’US Army contre l’introduction de technologies incompatibles, difficiles à maintenir ou susceptibles de présenter des risques.
Dans un réseau militaire, l’installation d’un logiciel ne peut pas être considérée comme une opération isolée. Même une application relativement simple peut utiliser des ports réseau, échanger des données, installer des composants, modifier certaines configurations ou dépendre de bibliothèques particulières.
Ces changements peuvent affecter le fonctionnement d’autres applications ou créer des vulnérabilités. L’objectif de la networthiness était donc d’étudier les conséquences de l’intégration du produit à l’échelle de l’environnement Army.
Prévenir les incompatibilités techniques
Un logiciel parfaitement fonctionnel sur un ordinateur classique n’est pas nécessairement compatible avec les configurations utilisées par le Department of Defense.
Le processus vérifiait notamment que le produit pouvait être installé et exploité dans l’environnement prévu, sans perturber les autres composants ni imposer des modifications incompatibles avec les standards de l’organisation.
Cette démarche contribuait à la standardisation des postes de travail et des infrastructures.
Identifier les risques pour le réseau
Le CoN comportait également une dimension de cybersécurité. Ports utilisés, protocoles de communication, correctifs, configurations ou dépendances logicielles pouvaient faire partie des éléments examinés.
Cela ne signifie pas pour autant que le certificat constituait à lui seul une autorisation complète de cybersécurité.
Un produit networthy n’était pas automatiquement autorisé à fonctionner dans n’importe quel système ou environnement de l’US Army. D’autres procédures pouvaient être nécessaires en fonction du système, de la sensibilité des données et du contexte opérationnel.
Faciliter la maintenance
La capacité à soutenir une technologie sur la durée faisait également partie de l’évaluation.
Un produit pouvait être performant tout en posant des difficultés importantes s’il nécessitait une architecture particulière, des versions obsolètes de logiciels ou un support impossible à assurer dans les conditions habituelles du réseau Army.
La networthiness cherchait donc aussi à déterminer si le système pouvait être administré, mis à jour et maintenu de manière réaliste.
Quels systèmes nécessitent cette certification ?
À l’époque où le programme était en vigueur, les règles de l’US Army imposaient une évaluation de networthiness aux systèmes et logiciels destinés à être connectés à son environnement réseau.
Le périmètre pouvait comprendre :
- les applications logicielles ;
- les systèmes d’information ;
- certains équipements matériels ;
- les produits COTS disponibles dans le commerce ;
- les produits GOTS développés ou fournis par le gouvernement ;
- les nouvelles versions ou évolutions importantes de produits déjà approuvés.
La certification ne concernait donc pas uniquement les logiciels développés spécifiquement pour l’armée. Un produit commercial pouvait également nécessiter une évaluation avant d’être installé dans l’environnement concerné.
Une nouvelle version pouvait nécessiter une nouvelle évaluation
Le CoN était généralement associé à une configuration précise du produit. Une évolution importante du matériel, du logiciel, de ses fonctions ou de ses méthodes de connexion pouvait remettre en cause la validité de l’évaluation précédente.
Une mise à niveau majeure d’un programme pouvait donc nécessiter une nouvelle analyse.
Cette logique est importante : l’autorisation ne portait pas uniquement sur le nom commercial d’une solution, mais sur une version et une configuration données dans un environnement déterminé.
Une certification qui ne concernait pas tous les réseaux du DoD de manière identique
Le Certificate of Networthiness était avant tout un mécanisme de l’US Army. Il ne doit pas être compris comme une certification universelle permettant automatiquement d’installer une solution sur tous les réseaux du Department of Defense.
Les autres composantes militaires et organismes du DoD pouvaient appliquer leurs propres procédures d’évaluation ou d’autorisation.
Aujourd’hui, le recours au Risk Management Framework contribue à harmoniser davantage la gestion des risques, même si les procédures concrètes dépendent toujours du type de système et de l’autorité compétente.
Comment obtenir un Certificate of Networthiness ?
Le processus historique reposait sur une demande transmise à l’autorité de l’US Army compétente, notamment au Network Enterprise Technology Command, ou NETCOM.
Le responsable du système ou du programme devait fournir les informations permettant aux équipes d’évaluer la solution et son impact sur l’environnement réseau.
Le dossier variait selon le type et la complexité du produit, mais il devait généralement décrire suffisamment précisément :
- le logiciel ou l’équipement concerné ;
- sa version ;
- son architecture ;
- les conditions prévues pour son déploiement ;
- les composants nécessaires à son fonctionnement ;
- les flux et connexions réseau ;
- les exigences techniques ;
- les mécanismes de sécurité ;
- les méthodes de maintenance et de mise à jour.
Les évaluateurs pouvaient alors demander des informations supplémentaires ou l’intervention de spécialistes lorsque certains aspects nécessitaient une analyse approfondie.
Une analyse avant la décision
L’évaluation ne consistait pas simplement à remplir un formulaire administratif.
Les informations fournies devaient permettre de déterminer si le produit pouvait être intégré sans affecter négativement l’environnement informatique. Les résultats de l’analyse servaient ensuite à établir une recommandation avant la décision finale.
Un certificat pouvait également contenir des restrictions ou conditions particulières.
Par exemple, une approbation pouvait être liée à une configuration déterminée, à l’utilisation de certains mécanismes de protection ou à des conditions précises de fonctionnement.
Le processus actuel est différent
Pour une entreprise ou un développeur qui souhaite aujourd’hui déployer une solution dans l’environnement de l’US Army, rechercher simplement « comment obtenir un Certificate of Networthiness » peut donc conduire à des informations dépassées.
L’US Army a remplacé le processus CoN par RMF Assess Only en juillet 2018.
Ce dispositif concerne notamment des produits, services informatiques et certaines technologies qui doivent être évalués avant leur intégration dans un système autorisé, sans nécessairement passer eux-mêmes par l’intégralité d’un processus d’autorisation de système.
Selon la nature du projet, un processus RMF plus complet peut également être nécessaire.
Il faut donc déterminer en premier lieu quel type d’actif informatique est concerné et quelle procédure RMF lui est applicable, plutôt que chercher à déposer une nouvelle demande de CoN.
Quels critères faut-il respecter pour l’obtenir ?
Le Certificate of Networthiness reposait sur une approche plus large que la simple détection de vulnérabilités.
L’objectif était de déterminer si le produit était réellement adapté à l’écosystème informatique de l’US Army.
La sécurité
Le produit devait respecter les exigences de sécurité applicables à son environnement.
Cette analyse pouvait concerner la configuration, les vulnérabilités connues, les correctifs, les méthodes de communication, les ports et protocoles utilisés ou encore certaines exigences relatives au développement sécurisé.
Pour les logiciels développés ou maintenus par le gouvernement, les règles de l’Army prévoyaient également des exigences relatives à la validation du code et à la correction des vulnérabilités.
L’interopérabilité
Un système militaire fonctionne rarement de manière totalement indépendante. Il doit souvent communiquer avec différentes infrastructures, applications ou services.
L’évaluation cherchait donc à déterminer si la technologie pouvait s’intégrer dans l’architecture existante sans empêcher le fonctionnement d’autres systèmes.
L’interopérabilité pouvait concerner les formats de données, les interfaces, les protocoles réseau ou les dépendances techniques.
La supportabilité
La supportabilité mesure la capacité de l’organisation à exploiter et maintenir correctement le produit.
Une technologie difficile à administrer ou exigeant des ressources indisponibles dans l’environnement cible peut présenter un problème, même si elle fonctionne correctement sur le plan technique.
L’évaluation pouvait ainsi prendre en compte les besoins en support, administration, documentation ou compétences spécialisées.
La pérennité
La sustainability s’intéressait à la possibilité de conserver la solution dans le temps.
Les questions relatives aux mises à jour, au cycle de vie des composants ou à la disponibilité future du support pouvaient donc être importantes.
Un produit reposant sur des technologies déjà obsolètes ou difficilement maintenables pouvait représenter un risque pour l’environnement informatique.
L’utilisabilité
L’utilisabilité constituait également une composante du concept de networthiness.
Il ne suffisait pas qu’un produit soit techniquement sécurisé et compatible. Il devait aussi pouvoir être utilisé dans les conditions prévues et répondre aux besoins opérationnels concernés.
La conformité réglementaire
Enfin, le système devait respecter les politiques, standards et directives applicables.
Ces exigences pouvaient évoluer avec le temps. Il était donc possible qu’une solution précédemment certifiée nécessite une réévaluation après une modification importante ou lors de l’expiration de son certificat.
La conformité était ainsi considérée comme liée à un produit, une version et un contexte précis, et non comme un label définitif attribué une fois pour toutes.
Quelle différence avec les autres certifications de sécurité ?
Le Certificate of Networthiness est fréquemment présenté comme une certification de cybersécurité. Cette description est incomplète.
La cybersécurité faisait bien partie des critères examinés, mais le CoN évaluait également l’interopérabilité, la capacité de support, la pérennité et l’intégration technique dans le réseau de l’US Army.
Il faut notamment le distinguer de plusieurs mécanismes utilisés dans l’univers informatique du Department of Defense.
CoN et Authority to Operate
L’Authority to Operate, ou ATO, constitue une distinction particulièrement importante.
Une ATO correspond à une décision d’autorisation permettant à un système d’information de fonctionner dans un environnement donné après acceptation du niveau de risque associé.
Le CoN répondait à une question différente : le produit ou système était-il compatible et acceptable du point de vue de son intégration dans l’environnement réseau Army ?
Un système pouvait donc disposer de plusieurs documents ou validations répondant à des objectifs différents. Des exemples historiques montrent d’ailleurs que certaines solutions possédaient simultanément une ATO et un Certificate of Networthiness.
En résumé, un CoN ne devait pas être assimilé à une ATO.
CoN et STIG
Les Security Technical Implementation Guides, ou STIG, définissent des recommandations et configurations de sécurité techniques utilisées dans l’environnement du Department of Defense.
Une STIG peut, par exemple, préciser comment configurer de manière sécurisée un système d’exploitation, une base de données ou une application.
Le CoN constituait pour sa part un processus d’évaluation plus global.
Respecter les STIG applicables pouvait contribuer à démontrer la conformité d’une solution, mais une vérification STIG et un Certificate of Networthiness n’étaient pas équivalents.
CoN et Risk Management Framework
Le Risk Management Framework représente aujourd’hui la comparaison la plus importante puisque c’est dans ce cadre que l’ancien processus de networthiness a été remplacé.
Le RMF fournit une méthode structurée de gestion des risques de cybersécurité appliquée aux systèmes et technologies du Department of Defense. Il repose sur l’identification des risques, la sélection et l’évaluation des contrôles de sécurité ainsi que sur leur suivi.
Pour certains produits informatiques qui n’ont pas vocation à recevoir leur propre autorisation complète de fonctionnement, le processus RMF Assess Only permet d’évaluer les contrôles et risques avant leur intégration dans un système déjà autorisé.
C’est ce mécanisme qui a remplacé le processus traditionnel de Certificate of Networthiness au sein de l’US Army à compter du 2 juillet 2018.
Le changement ne signifie donc pas que les exigences d’évaluation ont disparu. Au contraire, la logique de contrôle subsiste, mais elle s’inscrit désormais dans un cadre de gestion des risques plus largement utilisé au sein du Department of Defense.
Le Certificate of Networthiness reste ainsi important pour comprendre les anciens contrats, documents techniques, dossiers de programmes et appels d’offres de l’US Army. Pour un nouveau déploiement, il faut toutefois se référer aux procédures RMF actuellement applicables plutôt qu’essayer d’obtenir un nouveau CoN selon l’ancien modèle.
