Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
système d'information du service en fonction des exigences de sécurité liées à la classification des données (voir exigence 3.4.2 du présent référentiel). 3.6.4. Hachage des mots de passe Le prestataire de services doit uniquement conserver les empreintes des mots de passe des utilisateurs et des comptes techniques. Le prestataire de services doit mettre en œuvre une fonction de hachage respectant les règles et les bonnes pratiques de sécurité, à savoir : ⎯ Choisir des fonctions de hachage reconnues comme sûres et à jour, en évitant les algorithmes obsolètes ; ⎯ Ajoutez un sel unique (une valeur aléatoire) à chaque mot de passe avant de le hacher pour empêcher les attaques par tables arc-en-ciel et renforcer la sécurité contre les attaques par dictionnaire ; ⎯ S’assurer que la longueur du résultat du hachage est suffisante pour éviter les collisions (deux entrées produisant le même haché). 3.6.5. Non répudiation Lorsque le prestataire de services met en œuvre un mécanisme de signature électronique pour assurer la non répudiation, il est recommandé que celui-ci fasse appel à des tiers prestataires de confiance déclarés auprès de l’autorité nationale en charge des services de confiance pour les transactions électroniques ou agréés par elle selon le niveau de signature adopté. 3.6.6. Gestion des clés Le prestataire de services doit mettre en place des procédures et des mesures techniques pour la gestion complète du cycle de vie des clés, incluant la génération, la distribution, le stockage, l'utilisation, la révocation et la destruction. Ces procédures doivent tenir compte des éléments suivants : ⎯ Stocker les clés de manière sécurisée en utilisant des dispositifs de protection appropriée ou des environnements sécurisés ; ⎯ Utiliser des générateurs de clés cryptographiquement sécurisés et conformes aux standards internationaux relatifs à la cryptographie pour garantir l'imprévisibilité et la robustesse des clés ; ⎯ S’assurer que les clés sont transmises de manière sécurisée, en utilisant des mécanismes de chiffrement appropriés pour éviter les interceptions ; ⎯ Limiter l'accès aux clés aux seules personnes ou systèmes autorisés. Mettre en place des contrôles d'accès rigoureux et des politiques d'utilisation adéquates ; ⎯ Mettre en place des procédures pour révoquer rapidement les clés compromises ou obsolètes. S’assurer que les clés révoquées ne peuvent plus être utilisées ; ⎯ Définir des politiques d'expiration des clés pour garantir que les clés utilisées sont toujours valides et pertinentes ; ⎯ Détruire les clés de manière sécurisée lorsqu'elles ne sont plus nécessaires, en s’assurant qu'elles ne peuvent pas être récupérées ou reconstituées.
12
2353