N° 6332 – 15 rabii II 1436 (5-2-2015) BULLETIN OFFICIEL 735
Chapitre VIII
Conditions de remise des conventions secrètes à un autre organisme agréé en cas de cessation d'activité, de retrait d'agrément ou à la demande de l'utilisateur
ART. 16. – En cas de cessation d'activité, de retrait d'agrément ou à la demande de l'utilisateur, la remise des conventions secrètes de cryptographie est effectuée comme suit :
– il communique à ses clients la liste des prestataires agréés offrant les mêmes services et les mêmes garanties ;
– il confie au prestataire choisi, après accord du client, les conventions secrètes qu'il détenait, sur un support électronique standardisé ;
– il informe les utilisateurs de la remise de leurs conventions secrètes à un autre organisme agréé ;
– il indique le format électronique standardisé dans lequel doivent être transcrites les conventions secrètes.
Chapitre IX
Conditions techniques d'utilisation des conventions secrètes, des moyens ou des prestations de cryptographie et mesures prises pour assurer leur intégrité et leur sécurité
ART. 17. – Le prestataire s'engage à effectuer la gestion des conventions secrètes, objet de l'agrément, dans les locaux suivants :
– ....................(indiquer le ou les locaux affectés à chaque type d'activité)....................
Ces locaux doivent être aménagés de façon à assurer la sécurité des conventions secrètes suivant les prescriptions ci-après :
– disposer d'au moins une zone à accès contrôlé, contre toute intrusion extérieure, pour abriter les activités de gestion, de mise en œuvre ou de remise des conventions secrètes. L'accès à cette zone est contrôlé par tout moyen physique et enregistré. Le personnel autorisé à y accéder est limité au strict besoin du bon fonctionnement du service et figure sur une liste établie et mise à jour à cet effet ;
– renforcer la sécurité de cette zone, en dehors des heures ouvrables, par la mise en œuvre de moyens de détection d'intrusion physique ;
– communiquer à la Direction générale de la sécurité des systèmes d'information la localisation de cette zone, la description des dispositifs de sécurité mis en place et la liste du personnel autorisé à y accéder ;
– ouvrir une enquête interne et, le cas échéant, déposer une plainte auprès de l'autorité compétente dans les vingt-quatre (24) heures qui suivent, en cas de constatation de toute intrusion ou de toute tentative d'intrusion visant à pénétrer dans cette zone.
ART. 18. – Le prestataire prépare et tient à jour des manuels détaillés décrivant les procédures à suivre pour toutes ses activités et doit s'y conformer. Ces manuels doivent être communiqués, sur sa demande, à la Direction générale de la sécurité des systèmes d'information.
ART. 19. – Le prestataire s'engage à définir et à appliquer des procédures administratives et techniques visant à garantir la sécurité et la disponibilité des conventions secrètes et à prévenir tout manquement de la part de ses agents. A cet effet, il élabore et tient à jour un document décrivant sa politique de sécurité, qui comporte, notamment, ses objectifs de sécurité, en particulier ceux concernant son activité principale et la gestion des conventions secrètes, les règles de sécurité applicables et l'organisation de sécurité interne adoptée.
ART. 20. – Le prestataire met en place un système de contrôle d'accès et d'intégrité, en particulier des détecteurs d'intrusions, de recherche de virus, de prévention des attaques par déni de service et des mesures de sécurité physique, aussi bien pour les systèmes de sauvegarde et de traitement des informations fournies par les clients, que pour les systèmes de cryptographie.
ART. 21. – Le prestataire doit garder des enregistrements de toutes ses activités et s'assurer de leur mise à jour afin de détecter toute anomalie de son système.
ART. 22. – Lorsque le prestataire emploie un système informatique, pour accomplir des fonctions de détention, de mise en œuvre et de remise des conventions secrètes de cryptographie, il s'engage à n'utiliser ledit système pour aucune autre application.
Il doit s'assurer que le système comporte des fonctions de sécurité permettant :
– l'identification et l'authentification des utilisateurs des systèmes informatiques ;
– la limitation des droits d'accès au strict besoin du service. Pendant toute la durée de leur détention, les conventions secrètes sont chiffrées. Elles ne sont déchiffrées que pour être mises en œuvre ou remises ;
– l'imputabilité de toute opération permettant d'accéder aux conventions secrètes ou autres ressources de sécurité du système à son auteur ;
– l'audit au moyen d'un enregistrement, sauvegardé régulièrement et archivé, de toute opération permettant l'accès aux conventions secrètes ou aux autres ressources de sécurité du système ;
– la mise à zéro au moyen d'un dispositif, de tous les objets de stockage ayant contenu une ressource sensible du système informatique avant toute utilisation ultérieure desdits objets. Lorsqu'il n'est plus utilisé, le dispositif de mise à zéro est détruit et sa destruction fait l'objet d'un compte rendu.
Le prestataire doit disposer d'un lieu sécurisé spécialement aménagé, pour la conservation des dispositifs servant à déchiffrer les conventions secrètes et dont l'accès est réservé aux seules personnes qu'il a autorisées.
* * *