2352
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
⎯ Être alignée avec le schéma de classification de l'information en place ; ⎯ Spécifier des exigences pour la génération, le stockage, l'archivage, la récupération, la distribution, le retrait et la suppression des clés ; ⎯ Tenir compte des exigences juridiques en vigueur concernant la cryptographie, notamment la loi n°43-20 relative aux services de confiance pour les transactions électroniques et du décret n°2-22-687 du 21 rabii II 1444 (16 novembre 2022) pris pour son application. 3.6.2. Chiffrement des données en transmission Le prestataire de services doit établir des procédures et des mesures techniques pour garantir que les données transmises sur les réseaux publics soient cryptées de manière sécurisée. L'accent est mis sur l'authentification et le cryptage des données en transit. Le prestataire de services doit utiliser les versions les plus récentes et réputées sécurisées des protocoles de chiffrement des communications. 3.6.3. Chiffrement des données stockées Le prestataire de services doit établir et déployer un mécanisme de chiffrement qui empêche la récupération des données des commanditaires lors de la réattribution d'une ressource ou de la récupération du support physique. Dans le cas de service de Niveau 2, les clés privées utilisées pour ce cryptage doivent être uniquement connues du commanditaire : ▪
▪
Dans le cas d’un service IaaS, cet objectif pourra être atteint : − Par un chiffrement du disque ou du système de fichier, lorsque le protocole d’accès en mode fichiers garantit que seuls des blocs vides peuvent être alloués (par exemple stockage de type NAS « Network Attached Storage ou serveur de stockage en réseau » dans lequel un bloc physique n’est effectivement affecté qu’au moment de l’écriture), − Par un chiffrement par volume dans le cas d’un accès en mode bloc (par exemple stockage de type SAN « Storage Area Network » ou stockage local), avec au moins une clé par commanditaire ; Dans le cas d'un service PaaS ou SaaS, cet objectif pourrait être atteint en mettant en œuvre un chiffrement applicatif au sein du périmètre du prestataire de services, où chaque commanditaire dispose au moins d'une clé de chiffrement dédiée.
Le prestataire de services doit utiliser une méthode de chiffrement des données respectant les règles et les bonnes pratiques de sécurité, à savoir : ⎯ Utiliser des algorithmes de chiffrement reconnus pour leur fiabilité au niveau international ; ⎯ S’assurer que les longueurs de clé sont suffisantes pour garantir la sécurité des données contre les attaques connues. Suivre les recommandations en matière de longueur de clé pour chaque algorithme utilisé ; ⎯ Adapter le choix des mécanismes cryptographiques en fonction des besoins spécifiques de sécurité de chaque application ou contexte, en tenant compte de la sensibilité des données traitées. Le prestataire de services doit appliquer un chiffrement aux données stockées sur les supports amovibles et les supports de sauvegarde qui doivent quitter le périmètre de sécurité physique du 11