N° 6332 – 15 rabii II 1436 (5-2-2015) BULLETIN OFFICIEL 739
– PKCS#12 Personal Information Exchange Syntax Standard ;
– PKCS#13 Elliptic Curve Cryptography Standard ;
– PKCS#15 Cryptographic Token Information Format Standard.
g) Recommandations FIPS (Federal Information Processing Standard) :
– FIPS 180-3, Secure Hash Standard ;
– FIPS 186-3, Digital Signature Standard ;
– FIPS 140-2, Security Requirements for Cryptographic Modules (niveau 3) pour la sauvegarde de la clé privée du prestataire ;
– FIPS 198-1, the Keyed-Hash Message Authentication Code (HMAC) ;
– FIPS 197, Advanced Encryption Standard ;
h) Syntaxe standard pour le certificat électronique :
Les certificats délivrés par le prestataire doivent se conformer au format du standard de l’UIT X.509 v3 ;
k) Syntaxe standard pour la liste des certificats révoqués :
Les certificats délivrés par le prestataire doivent se conformer au format du standard de l’UIT X.509 v2 ;
i) Standard pour la fourniture de service d’horodatage :
– La fourniture de services d’horodatage doit être conforme à la référence IETF RFC 3161 : Internet X.509 Public Key Infrastructure Time-Stamp Protocol (TSP).
Le prestataire doit indiquer, dans une annexe B jointe au présent cahier des charges, intitulée : « conditions techniques », les modalités selon lesquelles il entend appliquer les spécifications techniques et les standards susmentionnés.
Chapitre IV
Enumération des moyens ou des prestations de cryptographie
ART. 8. – Les moyens ou les prestations de cryptographie que le prestataire peut fournir, utiliser ou exploiter sont énumérés à l’annexe C jointe au présent cahier des charges, intitulée : « Moyens ou prestations de cryptographie ».
Chapitre V
Caractéristiques techniques des équipements et des dispositifs utilisés pour la fourniture des services
ART. 9. – Les caractéristiques techniques des équipements et des dispositifs à utiliser par le prestataire pour la fourniture des services sont décrites à l’annexe D jointe au présent cahier des charges, intitulée : « Caractéristiques techniques des équipements et des dispositifs utilisés ».
Chapitre VI
Description des procédures et des moyens mis en œuvre pour émettre des certificats électroniques
ART. 10. – Le prestataire doit :
a) ajuster ses opérations et son fonctionnement pour permettre l’émission des certificats électroniques sécurisés ;
b) porter à la connaissance des personnes auxquelles il délivre des certificats électroniques les montants de l’assurance souscrite couvrant les dommages résultant de sa faute professionnelle ;
c) respecter et contrôler les mesures de sécurité concernant aussi bien la sécurité relative au personnel employé dans la fourniture des services de certification électronique que les mesures prises en cas de gestion d’incidents et ce, afin de prévenir les fraudes et les failles de sécurité.
A cet effet, il prépare et tient à jour des manuels détaillés décrivant les procédures à suivre et énumérant les moyens à mettre en œuvre pour toutes ses activités. Ces manuels doivent être communiqués à la Direction générale de la sécurité des systèmes d’information, à sa demande.
En outre, il met en place un système de contrôle d’accès et d’intégrité, en particulier des détecteurs d’intrusions, de recherche de virus, de prévention des attaques par déni de service et des mesures de sécurité physique pour les systèmes de sauvegarde et de traitement des informations fournies par les clients.
ART. 11. – Le prestataire doit garder des enregistrements de toutes ses activités et s’assurer de leur mise à jour afin de détecter toute anomalie de son système.
Chapitre VII
Conditions techniques et organisationnelles de gestion des certificats électroniques sécurisés
ART. 12. – Le prestataire doit :
– s’assurer de l’intégrité des certificats électroniques sécurisés qu’il émet, en utilisant les spécifications techniques et les standards visés à l’article 7 ci-dessus et ce, lors de l’enregistrement, de la génération, de la création, de la publication, du renouvellement, de la suspension, de la révocation et de l’archivage desdits certificats ;
– s’assurer que les personnes auxquelles un certificat électronique est délivré peuvent vérifier ledit certificat ;
– conserver les données afférentes à la création des certificats électroniques révoqués et les listes desdits certificats, de manière à permettre la fourniture des éléments de preuve pour les différents types d’actes traités, en application de la loi précitée n° 53-05 et des textes pris pour son application. Toutefois, le prestataire ne doit pas conserver les données afférentes à la création de signature électronique des personnes auxquelles il fournit le service.