734 | BULLETIN OFFICIEL | N° 6332 – 15 rabii II 1436 (5-2-2015)
– copie des contrats conclus par lui avec l'utilisateur pour la gestion de ses conventions secrètes. Les contrats conclus doivent obligatoirement comprendre :
• les références de l'agrément, sa durée de validité et sa date d'expiration, ainsi que tout élément d'information que le présent cahier des charges impose de communiquer aux utilisateurs ;
• des clauses relatives à la sécurité des conventions secrètes que le prestataire gère pour le compte de l'utilisateur ;
• les modalités selon lesquelles l'utilisateur ou toute autre personne mandatée par lui à cet effet pourra se faire délivrer copie de ses conventions secrètes durant la période de validité de son contrat avec l'organisme agréé ou après la fin dudit contrat ;
• les références du contrat d'assurance souscrit par le prestataire pour couvrir les risques encourus au titre des prestations fournies.
– copie des polices d'assurance souscrites par lui, pour couvrir ses responsabilités civile et professionnelle contre les risques encourus dans le cadre de l'exercice de ses activités ;
– la liste de ses clients indiquant leur identité et la nature de la prestation, actualisée à la suite de toute modification.
Tout changement concernant le personnel, les locaux, les prestations fournies, les procédures et les moyens relatifs à la fourniture desdites prestations doit être communiqué, sans délai, à la Direction générale de la sécurité des systèmes d'information.
Section 2. – Conditions techniques
ART. 7. – Le prestataire doit respecter et contrôler les mesures de sécurité qu'il met en place pour le bon fonctionnement de ses activités et notamment celles qui concernent la sécurité relative au personnel employé dans la fourniture des prestations de cryptographie et les locaux utilisés, ainsi que les mesures prises en cas de gestion d'incidents en vue de prévenir les fraudes et les failles de sécurité.
– ....................(indiquer ou joindre en annexe, le cas échéant, le schéma de contrôle des mesures de sécurité ou le protocole proposé à cet effet).....................
ART. 8. – Le module cryptographique permettant de procéder à la génération et la gestion des conventions secrètes doit répondre aux exigences de sécurité suivantes :
– garantir la robustesse cryptographique des conventions secrètes générées ;
– détecter les défauts lors des phases d'initialisation, de personnalisation et d'opération et disposer de techniques sûres de destruction des conventions secrètes qui ne sont plus utilisées ;
– garantir la confidentialité et l'intégrité des conventions secrètes ;
– assurer l'accès aux conventions secrètes exclusivement aux utilisateurs autorisés et protéger lesdites conventions contre toute utilisation par des tiers.
ART. 9. – Le module cryptographique permettant le chiffrement symétrique des données à protéger doit répondre aux exigences de sécurité suivantes :
– garantir la confidentialité et l'intégrité des données à chiffrer ;
– assurer l'accès aux conventions secrètes exclusivement aux utilisateurs autorisés et protéger lesdites conventions contre toute utilisation par des tiers.
ART. 10. – Le module de déchiffrement, permettant de procéder au déchiffrement symétrique des données qui ont été protégées en intégrité et en confidentialité avec des conventions secrètes, doit répondre aux exigences de sécurité suivantes :
– détecter les défauts d'intégrité des données restituées ;
– assurer l'accès aux conventions secrètes exclusivement aux utilisateurs autorisés et protéger lesdites conventions contre toute utilisation par des tiers.
Chapitre IV
Enumération des prestations de cryptographie fournies par le prestataire
ART. 11. – Le prestataire entend fournir les prestations de cryptographie suivantes :
– ....................(énumérer toutes les prestations de cryptographie à fournir).....................
Chapitre V
Liste des moyens de cryptographie utilisés ou exploités par le prestataire
ART. 12. – Le prestataire utilise ou exploite, pour la fourniture de ses prestations de cryptographie visées à l'article 11 ci-dessus, les moyens de cryptographie ci-après listés :
– ....................(énumérer les moyens ou renvoyer à une annexe, le cas échéant).....................
Chapitre VI
Description des procédures et moyens mis en œuvre pour la fourniture des prestations
ART. 13. – Pour fournir les prestations visées à l'article 11 ci-dessus, le prestataire suit les procédures suivantes :
– ....................(description des procédures).....................
ART. 14. – Pour fournir les prestations visées à l'article 11 ci-dessus, les moyens mis en œuvre par le prestataire sont les suivants :
– ....................(indiquer, pour chaque prestation, la nature de celle-ci et les moyens utilisés).....................
Chapitre VII
Caractéristiques techniques des équipements et des dispositifs utilisés pour la fourniture des prestations
ART. 15. – Les caractéristiques techniques des équipements et des dispositifs utilisés pour la fourniture des prestations de cryptographie sont les suivantes :
– ....................(indiquer pour chaque prestation la nature de celle-ci et les caractéristiques techniques des équipements et des dispositifs correspondants utilisés ou, le cas échéant, renvoyer à une annexe).....................