Conformément aux dispositions du décret n° 2-21-406 pour l’application de la loi n°05-20 relative à la cybersécurité, les entités et infrastructures d’importance vitale disposant de systèmes d’information sensibles doivent mener des audits périodiques de leurs systèmes par des prestataires d’audit qualifiés par la DGSSI. Cette qualification, qui constitue un gage de qualité et de confiance s’appuie sur la vérification des critères attestant, notamment :
Prestataire | Audit Organisationnel et Physique | Audit d'Architecture | Audit de configuration | Tests d’intrusion | Audit du code source | Audit des systèmes industriels | Date de fin de qualification | Classe des SI | Décision de qualification |
---|---|---|---|---|---|---|---|---|---|
En outre, le prestataire d’audit doit, afin de fournir des prestations d’audit de la sécurité des systèmes d’information ayant la classification « CLASSE A », remplir les conditions suivantes :
La qualification se déroule en deux étapes avec l’obligation de valider une phase pour passer à la suivante, comme indiqué ci-après :
Cette étape consiste en l’analyse des éléments constituant le dossier de la demande de qualification. Après s’être assuré que le dossier de la demande comprend tous les documents et informations requis, l’autorité nationale soumet le prestataire d’audit de la sécurité des systèmes d’information, à ses frais, à une évaluation des prestations objet de la demande par l’un des organismes qu’elle désigne à cet effet. L'évaluation précitée s’effectue conformément au référentiel d’exigences relatif à la qualification des prestataires d’audit de la sécurité des systèmes d’information.
Consiste en l’évaluation par l’organisme évaluateur désigné par la DGSSI :
Ces évaluation sont effectuées sous la supervision de la DGSSI.
Au vu des résultats des évaluations précitées la DGSSI délivre la décision de qualification en indiquant notamment :
Conformément à l’article 25 du décret n° 2-21-406 pour l’application de la loi 05.20 relative à la cybersécurité, tout prestataire d’audit de la sécurité des systèmes d’information (PASSI) informe, sans délai, l’autorité nationale (DGSSI) de toute modification intervenue dans l’un des éléments sur la base desquels la qualification a été délivrée. A cet effet, le formulaire de déclaration de modification doit être déposé par le PASSI auprès de la DGSSI, accompagné d’un dossier comportant les documents suivants, selon les cas :
Il sied de préciser que, suite au changement d’adresse du siège sociale, l’évaluation de la sécurité physique des locaux de la société est requise afin de mettre à jour la décision de qualification. Cette évaluation se fera par un organisme évaluateur désigné par la DGSSI.
Il sied de préciser que, suite à l’ajout d’un nouveau domaine d’audit, l’évaluation des processus et de la sécurité physique des locaux de la société est requise afin de mettre à jour la décision de qualification. Cette évaluation se fera par un organisme évaluateur désigné par ladite direction. Par ailleurs, l’octroi de la qualification dans le(s) domaine(s) sollicitée(s) reste tributaire de la réussite des auditeurs candidats dans les examens d’évaluation dans ce(s) domaine(s).
وفقا لأحكام المرسوم رقم 406-21-2 لتطبيق القانون رقم 20-05 المتعلق بالأمن السيبراني، يتعين على الهيئات والبنيات التحتية ذات الأهمية الحيوية المتوفرة على نظم معلومات حساسة أن تجري افتحاصات دورية لنظمها من طرف متعهدي افتحاص أمن نظم المعلومات المؤهلين من قبل المديرية العامة لأمن نظم المعلومات. ويستند هذا التأهيل، الذي يضمن الجودة والثقة، إلى التحقق من عدة معايير من بينها:
مقدمي الخدمة | المراجعة التنظيمية | مراجعة البنى | مراجعة التكوينات | اختبارات الاختراق | مراجعة الرموز المصدرية | مراجعة النظم الصناعية | تاريخ انتهاء التأهيل | فئة معلومات النظام | قرار التأهيل |
---|---|---|---|---|---|---|---|---|---|
بالإضافة إلى ذلك، يجب على متعهدي الإفتحاص الراغبين في تقديم خدمات إفتحاص أمن نظم المعلومات ذات التصنيف "فئة أ"، استيفاء الشروط التالية:
يتم التأهيل على مرحلتين مع الالتزام بإنهاء المرحلة الأولى بنجاح قبل الانتقال إلى المرحلة الموالية، كما هو موضح أدناه:
تتمثل هذه المرحلة في تحليل عناصر ملف طلب التأهيل. بعد التأكد من أن ملف الطلب يتضمن جميع المستندات والمعلومات المطلوبة، تقوم السلطة الوطنية للأمن السيبراني وعلى نفقتها الخاصة، بإخضاع متعهد افتحاص أمن نظم المعلومات صاحب الطلب لتقييم الخدمات المتعلقة بطلبه من طرف إحدى المؤسسات التي تحددها لهذا الغرض. يتم إجراء التقييم المذكور أعلاه وفقا لمعيار شروط أهلية مقدمي خدمات افتحاص أمن نظم المعلومات.
تتمثل هذه المرحلة في تقييم ما يلي وذلك من طرف هيئة تقييم معيَّنة من قبل المديرية العامة لأمن نظم المعلومات :
في ضوء نتائج التقييمات المذكورة أعلاه، تصدر المديرية العامة لأمن نظم المعلومات قرار التأهيل بالإشارة الى :
وفقا لمقتضيات المادة 25 من المرسوم رقم 406-21-2 لتطبيق القانون 20-05 المتعلق بالأمن السيبراني، يقوم متعهد افتحاص أمن نظم المعلومات بإخبار السلطة الوطنية، فورا، بكل تغيير يطرأ على أحد العناصر التي تم على أساسها منح التأهيل. تحقيقا لهذه الغاية، يجب على متعهد الإفتحاص تقديم استمارة الإبلاغ عن التعديل لدى المديرية العامة لأمن نظم المعلومات، مصحوبة بملف يحتوي على المستندات التالية، حسب الحالة :
توضيح: بعد تغيير عنوان المقر الرئيسي، يشترط تقييم الأمن المادي لمباني الشركة لتحديث قرار التأهيل. وذلك من طرف هيئة تقييم يتم تعيينها من قبل المديرية العامة لأمن نظم المعلومات .
يظل منح التأهيل في المجال (المجالات) المطلوب (ة) مرهون بنجاح المفتحصين المرشحين في امتحانات التقييم في هذا(ه) المجال (المجالات).
وفقا لأحكام المادتين 8 و17 من القانون 43.20 تتكلف المديرية العامة لأمن نظم المعلومات بإصدار شهادات المطابقة لآليات إنشاء التوقيع الإلكتروني او الخاتم الإلكتروني المؤهلة. تثبت هذه الشهادات التزام الآليات المذكورة بالمعايير الواردة في المواد المذكورة أعلاه من القانون 43.20
وفقا لأحكام المادة 46 من القانون 43.20 المتعلق بخدمات الثقة بشأن المعاملات الإلكترونية، يخضع استيراد وسائل التشفير وتحليل الشفرات أو تصديرها أو توريدها، وكذا تقديم خدمات التشفير وتحليل الشفرات، حسب كل حالة، لنظامي التصريح المسبق أو الترخيص من طرف السلطة الوطنية.
تُعفى بعض وسائل وخدمات التشفير وتحليل الشفرات من الإجراءات السالفة الذكر. تحدد لائحة هذه الوسائل والخدمات في الملحق 6 من المرسوم رقم2.22.687 بتطبيق القانون القانون رقم 43.20.
وفقا لأحكام المادة 34 من المرسوم رقم2.22.687 بتطبيق القانون القانون رقم 43.20، تظل التراخيص المسبقة لاستيراد أو تصدير أو توريد أو استغلال أو استخدام وسائل أو خدمات التشفير، المسلمة وفقا لمقتضيات المرسوم رقم 2.08.518 لتطبيق القانون رقم 53.05 سارية المفعول إلى حين انتهاء صلاحيتها.
للتبليغ عن المحتويات الرقمية الإجرامية أوالعنيفة، أو تلك التي تتضمن تحريضا على المساس بسلامة الأفراد والجماعات، أو تنطوي على إشادة بالإرهاب أوالتحريض عليه، أو تمس بحقوق وحريات الأطفال. يرجى استعمال منصة التبليغ الرقمي التالية : www.e-blagh.ma
DGSSI2024 All rights reserved