Sommaire des news

France : Publication du décret nº 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information
Jeudi, 25 Avril 2002, par Sofian AZZABI

Subject : une

Résumé :
Ce présent décret qui modifie le décret du 30 mars 2001 à pour but de présenter les conditions de certification de la sécurité des produits et procédés technologiques qui est notamment liées à leur aptitude à assurer la disponibilité, l'intégrité ou la confidentialité des informations.

Corps de l'article :

 

France : Publication du décret nº 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information

Ce présent décret qui modifie le décret du 30 mars 2001 à pour but de présenter les conditions de certification de la sécurité des produits et procédés technologiques qui est notamment liées à leur aptitude à assurer la disponibilité, l'intégrité ou la confidentialité des informations.

Procédure d'évaluation :

Aux termes de ce décret, le demandeur (commanditaire) à la certification doit adresser un dossier d'évaluation à la Direction centrale de la sécurité des systèmes d'information (DCSSI). Le dossier comporte notamment la description du système de sécurité à évaluer, les dispositions prévues pour lui conférer sa pleine efficacité ainsi que le programme de travail prévisionnel permettant une évaluation.

Dès réception de ce dossier, si elle estime que les objectifs de sécurité ne sont pas définis de manière pertinente au regard des normes, prescriptions techniques ou règles de bonne pratique applicable au moment où commence l'évaluation, la DCSSI notifie au commanditaire qu'elle ne pourra pas en l'état du dossier procéder à la certification envisagée.

Les centres d'évaluation agréés :

Le commanditaire de l'évaluation choisit un ou plusieurs centres d'évaluation, agréés. Ces centres d'évaluation chargés de procéder à l'évaluation doivent démontrer leur conformité aux critères de qualité selon les règles et normes d'accréditation en vigueur, leur aptitude à appliquer les critères d'évaluation en vigueur et la méthodologie correspondante ainsi qu'à assurer la confidentialité requise par l'évaluation et enfin, leur compétence technique à conduire une évaluation appréciée par la DCSSI.

L'agrément qui est accordé pour une durée de deux ans renouvelable est délivré (ou retiré en cas de manquement) par le Premier ministre. Cet agrément peut bénéficier sous certaines conditions à un centre d'évaluation situé hors du territoire national.

Certification :

Au terme des travaux d'évaluation, chaque centre remet un rapport d'évaluation au commanditaire et à la DCSSI. Ce rapport est un document confidentiel dont les informations sont couvertes par le secret industriel et commercial. Lorsque l'ensemble des rapports prévus a été validé, la direction DCSSI élabore un rapport de certification dans un délai d'un mois. Ce rapport, qui précise les caractéristiques des objectifs de sécurité proposés, conclut soit à la délivrance d'un certificat, soit au refus de la certification. Le rapport de certification est, au choix du commanditaire, communiqué ou non à des tiers ou rendu public. Le certificat est délivré par le Premier ministre. Il atteste avec la compétence et l'impartialité requises, que l'exemplaire du produit ou du système soumis à évaluation répond aux caractéristiques de sécurité spécifiées.

Comité directeur de la certification en sécurité des technologies de l'information :

Le décret crée en outre un "Comité directeur de la certification en sécurité des technologies de l'information"qui a notamment pour mission de formuler des avis ou des propositions sur la politique de certification, sur les règles et normes utilisées pour les procédures d'évaluation et de certification, d'émettre un avis sur la délivrance et le retrait des agréments aux centres d'évaluation, d'examiner, à des fins de conciliation, tout litige relatif aux procédures d'évaluation qui lui est soumis par les parties et d'émettre un avis sur les accords de reconnaissance mutuelle conclus avec des organismes étrangers.

 

			Pour en savoir plus :
			Notre article du 19 avril 2002.
			Décret no 2002-535 du 18 avril 2002 relatif à l'évaluation et à la certification de la sécurité offerte par les produits et les systèmes des technologies de l'information.
			La loi du 13 mars 2000 sur la signature électronique.
			La directive communautaire du 13 décembre 1999.
			Direction centrale de la sécurité des systèmes d'information (DCSSI).
			Le décret nº 2001-272 du 30 mars 2001 pris pour l'application de l'article 1316-4 du code civil et relatif à la signature électronique

 

0KB (0 bytes)

Commenter