N° 6732 – 28 rabii I 1440 (6-12-2018) BULLETIN OFFICIEL 1913
ART.2. – Le ministre de l'agriculture, de la pêche maritime, du développement rural et des eaux et forêts est chargé de l'exécution du présent décret qui sera publié au Bulletin officiel.
Fait à Rabat, le 14 rabii I 1440 (22 novembre 2018). SAAD DINE EL OTMANI.
Pour contreseing : Le ministre de l'agriculture, de la pêche maritime, du développement rural et des eaux et forêts, AZIZ AKHANNOUCH.
Arrêté du Chef du gouvernement n° 3-44-18 du 21 safar 1440 (31 octobre 2018) fixant les critères d'homologation des prestataires d'audit privés des systèmes d'information sensibles des infrastructures d'importance vitale ainsi que les modalités de déroulement de l'audit.
LE CHEF DU GOUVERNEMENT,
Vu le dahir n° 1-17-08 du 21 rejeb 1438 (19 avril 2017) portant délégation de pouvoir en matière d'administration de la défense nationale ;
Vu le décret n° 2-82-673 du 28 rabii I 1403 (13 janvier 1983), tel qu'il a été modifié et complété notamment par le décret n° 2-11-509 du 22 chaoual 1432 (21 septembre 2011) relatif à l'organisation de l'Administration de la défense nationale et portant création de la direction générale de la sécurité des systèmes d'information ;
Vu le décret n° 2-15-712 du 12 joumada II 1437 (22 mars 2016) fixant le dispositif de protection des systèmes d'information sensibles des infrastructures d'importance vitale et notamment son article 7,
ARRÊTE:
Chapitre premier Dispositions générales
ARTICLE PREMIER. – Conformément aux dispositions de l'article 7 du décret n° 2-15-712 cité ci-dessus, cet arrêté fixe les critères d'homologation des prestataires d'audit privés des systèmes d'information sensibles des infrastructures d'importance vitale ainsi que les modalités de déroulement de l'audit.
ART. 2. – Au sens du présent arrêté, on entend par :
Autorité compétente : autorité gouvernementale chargée de l'Administration de la défense nationale (direction générale de la sécurité des systèmes d'information) ;
Prestataire d'audit : société établie selon le droit marocain, délivrant une ou toutes les prestations d'audit des systèmes d'informations. Cet audit peut selon le cas être : un audit organisationnel et physique, un audit d'architecture, un audit de configuration, un audit de code source, tests d'intrusion, ou un audit des systèmes industriels ;
Audit organisationnel et physique : consiste à s'assurer que les politiques et procédures de sécurité définies et mises en place par l'entité auditée sont conformes aux directives nationales de la sécurité des systèmes d'information et aux normes et standards en la matière ;
Audit d'architecture : consiste en la vérification de la conformité des pratiques de sécurité relatives au choix, au positionnement et à la mise en œuvre des dispositifs matériels et logiciels déployés dans un système d'information, aux pratiques en vigueur, aux exigences et aux règles internes de l'entité auditée ;
Audit de configuration : permet de vérifier la mise en œuvre de pratiques de sécurité conformes aux pratiques en vigueur et aux exigences de sécurité et règles internes de l'entité auditée en matière de configuration des dispositifs matériels et logiciels déployés dans un système d'information ;
Audit de code source : consiste en l'analyse de tout ou partie du code source ou des conditions de compilation d'une solution logicielle dans le but de s'assurer du respect des règles précises du codage ou d'analyser les vulnérabilités liées au développement ;
Test d'intrusion : permet d'évaluer la sécurité d'un système d'information ou d'un réseau en simulant les conditions réelles d'une attaque sur le système d'information. Ce test permet de découvrir des vulnérabilités sur le système d'information d'une entité auditée et de vérifier leur exploitabilité et leur impact sur l'entité ;
Audit des systèmes industriels : consiste en l'évaluation du niveau de sécurité d'un système industriel et des dispositifs de contrôle associés. Il se compose d'un audit d'architecture, d'un audit de la configuration des éléments composant l'architecture ainsi que d'un audit organisationnel et physique ;
Commissaire d'audit : entité faisant appel au service d'audit de la sécurité des systèmes d'information ;
Entité auditée : organisme(s) responsable(s) de tout ou partie du système d'information de l'entité auditée. Le commissaire peut être l'entité auditée ;