ISO/IEC 19790:2025 : les évolutions majeures de la norme sur les modules cryptographiques

Introduction

La norme ISO/IEC 19790:2025 introduit une nouvelle approche de la sécurité des modules cryptographiques. Dès l’ouverture de cet article, il apparaît que cette révision renforce les exigences techniques et propose une vision plus moderne de la cryptographie. Elle remplace la version précédente, qui n’intégrait pas encore certains enjeux liés à la montée des risques cyber et au développement de la cryptographie post-quantique. Grâce à cette mise à jour, les organisations disposent d’un cadre plus clair pour sécuriser leurs composants cryptographiques.

Comprendre ISO/IEC 19790:2025

ISO/IEC 19790 définit les exigences de sécurité applicables aux modules cryptographiques. Ces modules protègent les clés, les opérations cryptographiques et les données sensibles utilisées dans les systèmes d’information. La version antérieure posait déjà les bases de la sécurité matérielle et logicielle, mais elle reflétait un contexte technologique différent. La révision de 2025 actualise la norme afin de tenir compte des matériels modernes, des attaques émergentes et des nouveaux besoins industriels.

Modifications principales de la norme ISO/IEC 19790:2025

1. Renforcement de la sécurité physique et logique

La nouvelle version apporte une clarification des exigences de durcissement physique. Elle précise les niveaux de résistance attendus face aux attaques par sondes, par canaux auxiliaires ou par extraction physique. Dans la version précédente, les critères existaient, mais ils manquaient parfois de précision. Grâce à cette révision, les fabricants disposent désormais de niveaux de conformité plus lisibles et plus faciles à appliquer.

2. Intégration des enjeux liés à l’informatique quantique

La version 2025 met en avant la nécessité d’anticiper les attaques futures, notamment celles liées au « quantum threat ». Ainsi, la norme encourage une meilleure préparation des architectures cryptographiques face aux algorithmes post-quantiques. Avant 2025, la norme ne tenait pas compte de ces scénarios, car ils n’étaient pas encore considérés comme critiques.

3. Mise à jour des niveaux d’assurance

La révision 2025 réorganise les niveaux d’assurance pour les rendre plus cohérents. Elle précise aussi les méthodes de test que les laboratoires doivent appliquer pour vérifier la robustesse des modules. Dans la version antérieure, certains tests manquaient d’harmonisation. Désormais, la norme propose un alignement plus clair avec les pratiques internationales d’évaluation.

4. Harmonisation avec d’autres normes de cybersécurité

La version 2025 améliore la cohérence avec les normes ISO/IEC 27001, 24759 et 18045. Grâce à cette harmonisation, les organisations peuvent intégrer la validation cryptographique dans un système de management de la sécurité plus large. La version précédente permettait cette intégration, mais avec davantage d’interprétation.

5. Clarification du cycle de vie des modules cryptographiques

ISO/IEC 19790:2025 décrit avec précision les exigences liées au cycle de vie complet d’un module : conception, développement, mise à jour, retrait et gestion des clés. La version antérieure mentionnait ces étapes, mais de manière plus succincte. La révision offre donc un cadre plus opérationnel, mieux adapté aux environnements industriels.

Mise en œuvre dans les organisations

Pour appliquer ISO/IEC 19790:2025, l’organisation doit commencer par analyser ses modules cryptographiques existants. Ensuite, elle compare leurs caractéristiques avec les exigences de la version 2025. Elle met à jour les spécifications techniques, renforce le durcissement et adapte les procédures de gestion des clés. Elle doit aussi former les équipes techniques afin d’assurer une mise en conformité réussie. Enfin, elle intègre les nouvelles exigences dans ses audits internes.

Compétences nécessaires

La mise en œuvre de la norme développe plusieurs compétences :

• maîtrise des mécanismes cryptographiques modernes ;

• compréhension des modèles d’attaque physiques et logiques ;

• capacité à évaluer la conformité technique des modules ;

• connaissance des tests d’assurance et de validation cryptographique.

Public concerné

ISO/IEC 19790:2025 s’adresse à plusieurs professionnels :

• fabricants de matériels cryptographiques ;

• éditeurs de logiciels de chiffrement ;

• équipes sécurité, architectes SSI et cryptographes ;

• laboratoires d’évaluation et organismes de certification ;

• industriels des secteurs défense, énergie, finance et télécoms.

Passerelles avec d’autres normes

Cette version s’intègre dans l’écosystème normatif de la cryptographie. Elle complète :

• ISO/IEC 27001, qui définit les exigences du SMSI ;

• ISO/IEC 24759 sur les tests de conformité ;

• ISO/IEC 18045 (méthodes d’évaluation) ;

• les normes liées à la gestion des clés (série ISO/IEC 11770).

Grâce à ces passerelles, l’organisation peut structurer un dispositif cryptographique cohérent et homogène.

Bénéfices pour les organisations

Avec la norme ISO/IEC 19790:2025, les organisations renforcent leur résilience face aux attaques modernes. Elles améliorent aussi la fiabilité de leurs dispositifs cryptographiques. Elles gagnent en confiance auprès de leurs partenaires, car elles adoptent un standard reconnu. Enfin, elles anticipent les évolutions vers la cryptographie post-quantique.

Conclusion

La norme ISO/IEC 19790:2025 marque une avancée importante dans la sécurité des modules cryptographiques. Elle modernise les exigences, clarifie les niveaux d’assurance et intègre les nouveaux enjeux technologiques. Par conséquent, elle permet aux organisations de structurer une défense cryptographique plus robuste. En conclusion, cette version de 2025 représente un socle essentiel pour toute structure souhaitant sécuriser durablement ses infrastructures.