convert_library_version: 'v2 ; Compat Mode: [0] {[v2.1] (DEFAULT) Don''t use any Compatibility
  Mode}'
urn: urn:intuitem:risk:library:pdis
locale: fr
ref_id: PDIS
name: "Prestataires de D\xE9tection des Incidents de S\xE9curit\xE9 (PDIS)"
description: "Prestataires de d\xE9tection des incidents de s\xE9curit\xE9, r\xE9\
  f\xE9rentiel d'exigences, version 2.0 du 21 12 2017 + Addendum N\xB042/ANSSI/SDE/NP\
  \ du 27 JAN 2025"
copyright: ANSSI
version: 1
publication_date: 2025-01-27
provider: ANSSI
packager: intuitem
objects:
  framework:
    urn: urn:intuitem:risk:framework:pdis
    ref_id: PDIS
    name: "Prestataires de D\xE9tection des Incidents de S\xE9curit\xE9 (PDIS)"
    description: "Prestataires de d\xE9tection des incidents de s\xE9curit\xE9, r\xE9\
      f\xE9rentiel d'exigences, version 2.0 du 21 12 2017 + Addendum N\xB042/ANSSI/SDE/NP\
      \ du 27 JAN 2025"
    implementation_groups_definition:
    - ref_id: E
      name: Exigences
      description: null
    - ref_id: R
      name: Recommandations
      description: null
    requirement_nodes:
    - urn: urn:intuitem:risk:req_node:pdis:iv.i
      assessable: false
      depth: 1
      ref_id: IV.I
      name: "Exigences g\xE9n\xE9rales"
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.a
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.a
      name: "Existence l\xE9gale du PDIS"
      description: "Le prestataire doit \xEAtre une entit\xE9 ou une partie d\u2019\
        une entit\xE9 dot\xE9e de la personnalit\xE9 morale de fa\xE7on \xE0 pouvoir\
        \ \xEAtre tenu juridiquement responsable de sa prestation."
      annotation: "Preuve(s):\n\u2022 Extrait K-Bis\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le dossier de candidature\
        \ contient un extrait de K-Bis.\n\u2022 Le centre d'\xE9valuation doit s'assurer\
        \ de l'existence l\xE9gale du PDIS.\n\nPr\xE9cision(s):\n\u2022 Si le PDIS\
        \ est une entit\xE9 appartenant \xE0 une structure plus importante (groupe,\
        \ filiale, etc.), alors le centre d'\xE9valuation doit s'assurer que l'attestation\
        \ de qualification est d\xE9livr\xE9e \xE0 l'entit\xE9 PDIS et non la structure\
        \ \xE0 laquelle elle appartient. \nExemple: Si le PDIS est un d\xE9partement\
        \ d'une filiale fran\xE7aise d'un groupe, alors l'attestation de qualification\
        \ doit clairement indiquer que c'est le d\xE9partement qui est qualifi\xE9\
        \ et non le groupe."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.b
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.b
      name: "Respect de la r\xE9glementation en vigueur sur le territoire national"
      description: "Le prestataire doit respecter la l\xE9gislation et la r\xE9glementation\
        \ en vigueur sur le territoire national."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Documentation\
        \ du service de d\xE9tection des incidents\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type indique explicitement que le PDIS s'engage \xE0 respecter la l\xE9\
        gislation et la r\xE9glementation en vigueur sur le territoire fran\xE7ais.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type identifie les textes l\xE9gaux et r\xE9glementaires que le PDIS s'engage\
        \ \xE0 respecter.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ convention de service type d\xE9crit les moyens mis en \u0153uvre pour respecter\
        \ les textes l\xE9gaux et r\xE9glementaires que le PDIS s'engage \xE0 respecter.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les moyens mis en \u0153\
        uvre pour respecter la l\xE9gislation et la r\xE9glementation sont document\xE9\
        s.\n\nPr\xE9cision(s):\n\u2022 Les textes l\xE9gaux et r\xE9glementaires que\
        \ le PDIS doit respecter peuvent concerner les donn\xE9es \xE0 caract\xE8\
        re personnel (CNIL), le secret professionnel, l'abus de confiance, le secret\
        \ des correspondances priv\xE9es, le secret m\xE9dical, l'atteinte \xE0 la\
        \ vie priv\xE9e, l'acc\xE8s ou le maintien frauduleux \xE0 un syst\xE8me d'information."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.c
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.c
      name: Description de l'organisation du PDIS
      description: "Le prestataire doit d\xE9crire l\u2019organisation de son activit\xE9\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 aupr\xE8s du commanditaire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Document\
        \ de pr\xE9sentation\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le document de pr\xE9sentation contient une description\
        \ de l'organisation du PDIS.\n\u2022 Le document de pr\xE9sentation doit d\xE9\
        crire :\n- son organisation ;\n- son appartenance \xE0 une filiale ou \xE0\
        \ un groupe fran\xE7ais ou \xE9tranger ;\n- ses implantations g\xE9ographiques\
        \ ;\n- la provenance de ses capitaux ;\n- ses \xE9ventuels partenariats (\xE9\
        diteurs, constructeurs, formation, etc.) ;\n- la liste des sous-traitants\
        \ et fournisseurs.\n\nPr\xE9cision(s):\n\u2022 Il est recommand\xE9 que le\
        \ PDIS d\xE9crive \xE9galement son organisation dans les conventions de service.\n\
        \u2022 Le document de pr\xE9sentation doit \xE9galement contenir les informations\
        \ permettant de juger de l'impartialit\xE9 du PDIS (cf. exigences IV.1.i et\
        \ IV.1.j)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.d
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.d
      name: "Devoir de conseil vis-\xE0-vis du commanditaire."
      description: "Le prestataire a, en sa qualit\xE9 de professionnel, un devoir\
        \ de conseil vis-\xE0-vis du commanditaire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Document\
        \ de pr\xE9sentation\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la convention de service type d\xE9finit l'engagement\
        \ du prestataire \xE0 respecter son devoir de conseil.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le document de pr\xE9sentation d\xE9taille\
        \ les qualit\xE9s et capacit\xE9s de conseil du PDIS.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.i:1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      name: "Responsabilit\xE9 des activit\xE9s dans le cadre de la prestation"
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i:1
      ref_id: IV.1.e
      description: "e) Le prestataire doit assumer la responsabilit\xE9 des activit\xE9\
        s qu\u2019il r\xE9alise pour le compte du commanditaire dans le cadre de sa\
        \ prestation et en particulier les \xE9ventuels dommages caus\xE9s au commanditaire.\
        \ \xC0 ce titre, le prestataire doit pr\xE9ciser les types de dommages concern\xE9\
        s et les modalit\xE9s de partage des responsabilit\xE9s dans la convention\
        \ de service, en tenant compte de toutes les \xE9ventuelles activit\xE9s sous-trait\xE9\
        es."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Attestation\
        \ d'assurance\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la convention de service type :\n- pr\xE9cise les modalit\xE9\
        s de partage des responsabilit\xE9s entre chacun des intervenants (commanditaire,\
        \ PDIS, sous-traitants, etc.) notamment en cas de dommages caus\xE9s lors\
        \ de la prestation\n- pr\xE9cise les types de dommages concern\xE9s\n\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que :\n- le prestataire poss\xE8\
        de une attestation d'assurance professionnelle,\n- cette assurance couvre\
        \ les \xE9ventuels dommages caus\xE9s au(x) commanditaire(s) et notamment\
        \ \xE0 leur syst\xE8me d'information dans le cadre de sa prestation\n\nPr\xE9\
        cision(s):\n\u2022 L'attestation d'assurance peut \xEAtre rattach\xE9e \xE0\
        \ la convention de service effective"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i:1
      ref_id: IV.1.f
      description: "f) Le prestataire doit souscrire une assurance professionnelle\
        \ couvrant les \xE9ventuels dommages caus\xE9s au commanditaire et notamment\
        \ \xE0 son syst\xE8me d\u2019information dans le cadre de sa prestation"
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Attestation\
        \ d'assurance\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la convention de service type :\n- pr\xE9cise les modalit\xE9\
        s de partage des responsabilit\xE9s entre chacun des intervenants (commanditaire,\
        \ PDIS, sous-traitants, etc.) notamment en cas de dommages caus\xE9s lors\
        \ de la prestation\n- pr\xE9cise les types de dommages concern\xE9s\n\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que :\n- le prestataire poss\xE8\
        de une attestation d'assurance professionnelle,\n- cette assurance couvre\
        \ les \xE9ventuels dommages caus\xE9s au(x) commanditaire(s) et notamment\
        \ \xE0 leur syst\xE8me d'information dans le cadre de sa prestation\n\nPr\xE9\
        cision(s):\n\u2022 L'attestation d'assurance peut \xEAtre rattach\xE9e \xE0\
        \ la convention de service effective"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.g
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.g
      name: Consentement du commanditaire
      description: "Le prestataire doit s\u2019assurer du consentement du commanditaire\
        \ avant toute communication d\u2019informations obtenues ou produites dans\
        \ le cadre de sa prestation."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Formulaire\
        \ de consentement\n\u2022 Processus de d\xE9livrance d'une prestation PDIS\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la convention de service type indique explicitement qu'aucune information\
        \ relative \xE0 la prestation ne sera communiqu\xE9e \xE0 des tierces parties\
        \ sans signature du formulaire de consentement par les parties int\xE9ress\xE9\
        es (commanditaire de la prestation, tierces parties, etc.).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier qu'un formulaire de consentement type est\
        \ \xE0 disposition des membres du service de d\xE9tection.\n\nPr\xE9cision(s):\n\
        \u2022 Il est recommand\xE9 que le formulaire de consentement soit une annexe\
        \ de la convention de service type."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.h
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.h
      name: "Absence de publicit\xE9 trompeuse"
      description: "Le prestataire doit garantir que les informations qu\u2019il fournit,\
        \ y compris la publicit\xE9, ne sont ni fausses ni trompeuses."
      annotation: "Preuve(s):\n\u2022 Documentation commerciale (proposition commerciale,\
        \ site internet du PDIS) \n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit mener une rapide recherche des informations publi\xE9es sur\
        \ le site Internet du PDIS pour v\xE9rifier qu'il n'y fait pas de publicit\xE9\
        \ trompeuse.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'il n'est\
        \ pas fait de publicit\xE9 trompeuse dans les supports de pr\xE9sentation\
        \ commerciale\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la pr\xE9\
        sentation commerciale des offres respecte les points suivants :\n- leur description\
        \ correspond \xE0 la description du r\xE9f\xE9rentiel ;\n- les offres qualifi\xE9\
        es et non qualifi\xE9es sont clairement distingu\xE9es ;\n- les avantages\
        \ d'une prestation qualifi\xE9e sont pr\xE9sent\xE9s ;\n- les risques de recourir\
        \ \xE0 une prestation non qualifi\xE9e sont pr\xE9sent\xE9s.\n\nPr\xE9cision(s):\n\
        \u2022 Des exemples de publicit\xE9 trompeuse (liste non exhaustive):\n- le\
        \ PDIS indique qu'il est qualifi\xE9 alors qu'il ne l'est pas ou pas encore\
        \ ;\n- le PDIS indique qu'il est en cours de qualification alors qu'il ne\
        \ l'est pas ou pas encore ;\n- le PDIS pr\xE9sente une offre non conforme\
        \ comme une offre qualifi\xE9e ou laisse le doute \xE0 ce sujet."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.i:2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      name: "Modalit\xE9s de fonctionnement (financi\xE8res, etc.)"
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.i
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i:2
      ref_id: IV.1.i
      description: "i) Le prestataire doit apporter une preuve suffisante que les\
        \ modalit\xE9s de son fonctionnement, notamment financi\xE8res, ne sont pas\
        \ susceptibles de compromettre son impartialit\xE9 et la qualit\xE9 de sa\
        \ prestation \xE0 l\u2019\xE9gard du commanditaire ou de provoquer des conflits\
        \ d\u2019int\xE9r\xEAts."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Extrait K-Bis\n\
        \u2022 Document de pr\xE9sentation\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le document de pr\xE9sentation contient\
        \ des \xE9l\xE9ments attestant de l'impartialit\xE9 du PDIS\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans l'extrait K-bis que l'activit\xE9\
        \ du PDIS, ses organes de direction, administration, gestion ou contr\xF4\
        le, ainsi que l'existence ou non d'une proc\xE9dure collective engag\xE9e\
        \ \xE0 son encontre ne sont pas susceptibles de compromettre sont impartialit\xE9\
        \ et la qualit\xE9 de sa prestation\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que les \xE9l\xE9ments fournis par le PDIS pour prouver son\
        \ impartialit\xE9 sont suffisants.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la convention de service type indique explicitement que\
        \ la prestation fournie par le PDIS est r\xE9alis\xE9e en toute impartialit\xE9\
        .\n\nPr\xE9cision(s):\n\u2022 Parmi les \xE9l\xE9ments \xE0 prendre en compte\
        \ pour juger de l'impartialit\xE9 du PDIS, \xE0 la libre appr\xE9ciation du\
        \ centre d'\xE9valuation (liste non exhaustive):\n- structure juridique,\n\
        - provenance des capitaux,\n- partenariats,\n- appartenance \xE0 une filiale\
        \ ou \xE0 un groupe fran\xE7ais ou \xE9tranger, etc.          \n\u2022 Un\
        \ point d'attention sera apport\xE9 \xE0 la sous-traitance, et aux potentiels\
        \ conflits d'int\xE9r\xEAts li\xE9s \xE0 la sous-traitance par le prestataire\
        \ d'une partie des missions qui lui incombent \xE0 une entit\xE9 ou une filiale\
        \ de l'organisme commanditaire."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.j
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i:2
      ref_id: IV.1.j
      description: "j) Le prestataire doit r\xE9aliser la prestation de mani\xE8re\
        \ impartiale, en toute bonne foi et dans le respect du commanditaire, de son\
        \ personnel et de son infrastructure."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Extrait K-Bis\n\
        \u2022 Document de pr\xE9sentation\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le document de pr\xE9sentation contient\
        \ des \xE9l\xE9ments attestant de l'impartialit\xE9 du PDIS\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans l'extrait K-bis que l'activit\xE9\
        \ du PDIS, ses organes de direction, administration, gestion ou contr\xF4\
        le, ainsi que l'existence ou non d'une proc\xE9dure collective engag\xE9e\
        \ \xE0 son encontre ne sont pas susceptibles de compromettre sont impartialit\xE9\
        \ et la qualit\xE9 de sa prestation\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que les \xE9l\xE9ments fournis par le PDIS pour prouver son\
        \ impartialit\xE9 sont suffisants.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la convention de service type indique explicitement que\
        \ la prestation fournie par le PDIS est r\xE9alis\xE9e en toute impartialit\xE9\
        .\n\nPr\xE9cision(s):\n\u2022 Parmi les \xE9l\xE9ments \xE0 prendre en compte\
        \ pour juger de l'impartialit\xE9 du PDIS, \xE0 la libre appr\xE9ciation du\
        \ centre d'\xE9valuation (liste non exhaustive):\n- structure juridique,\n\
        - provenance des capitaux,\n- partenariats,\n- appartenance \xE0 une filiale\
        \ ou \xE0 un groupe fran\xE7ais ou \xE9tranger, etc.          \n\u2022 Un\
        \ point d'attention sera apport\xE9 \xE0 la sous-traitance, et aux potentiels\
        \ conflits d'int\xE9r\xEAts li\xE9s \xE0 la sous-traitance par le prestataire\
        \ d'une partie des missions qui lui incombent \xE0 une entit\xE9 ou une filiale\
        \ de l'organisme commanditaire."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.k
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.k
      name: Licences valides (outils, logiciels)
      description: "Le prestataire doit disposer des licences valides des outils (logiciels\
        \ ou mat\xE9riels) utilis\xE9s pour la r\xE9alisation de la prestation."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9\n\u2022\
        \ Liste des outils sous licence\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la convention de service type que le prestataire\
        \ s'engage \xE0 disposer des licences valides des outils (logiciels ou mat\xE9\
        riels) utilis\xE9s pour la r\xE9alisation de la prestation\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier les moyens pour assurer le renouvellement\
        \ syst\xE9matique des licences des outils utilis\xE9s pour la prestation avant\
        \ expiration sont document\xE9s dans le processus de maintien en conditions\
        \ op\xE9rationnelles et de s\xE9curit\xE9 et mis en \u0153uvre.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier qu'il existe une liste des outils\
        \ sous licence.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ prestataire dispose d'une licence valide pour chaque outil de la liste des\
        \ outils sous licence.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.l
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.l
      name: "Exigences l\xE9gales et r\xE9glementaires sp\xE9cifiques au commanditaire"
      description: "Le prestataire doit demander au commanditaire de lui communiquer\
        \ les \xE9ventuelles exigences l\xE9gales et r\xE9glementaires sp\xE9cifiques\
        \ auquel il est soumis et notamment celles li\xE9es \xE0 son secteur d\u2019\
        activit\xE9."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans la convention de service type\
        \ que celle-ci indique les mentions l\xE9gales et r\xE9glementaires que doit\
        \ respecter le prestataire PDIS dans le cadre de sa prestation.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS inclut l'\xE9tape de demande au commanditaire de lui\
        \ communiquer des \xE9ventuelles exigences l\xE9gales et r\xE9glementaires\
        \ sp\xE9cifiques auquel il est soumis et notamment celles li\xE9es \xE0 son\
        \ secteur d\u2019activit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.m
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.m
      name: "D\xE9claration d\u2019un incident de s\xE9curit\xE9 \xE0 une instance\
        \ gouvernementale"
      description: "Le prestataire doit informer le commanditaire lorsque ce dernier\
        \ est tenu de d\xE9clarer un incident de s\xE9curit\xE9 \xE0 une instance\
        \ gouvernementale et doit l\u2019accompagner dans cette d\xE9marche si ce\
        \ dernier en fait la demande."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la convention de service type\
        \ contient l'engagement du prestataire \xE0 avertir le commanditaire dans\
        \ le cas o\xF9 ce dernier est tenu de d\xE9clarer l\u2019incident de s\xE9\
        curit\xE9 \xE0 une instance gouvernementale.\n\u2022 La convention de service\
        \ type doit \xE9galement contenir l'engagement du prestataire \xE0 accompagner\
        \ le commanditaire dans cette d\xE9marche si ce dernier en fait la demande.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les types d'incidents\
        \ de s\xE9curit\xE9 concern\xE9s et les modalit\xE9s de d\xE9claration d'un\
        \ tel incident \xE0 une instance gouvernementale sont document\xE9s, par exemple\
        \ dans le processus de d\xE9livrance d'une prestation PDIS\n\nPr\xE9cision(s):\n\
        \u2022 Les types d'incidents peuvent \xEAtre, par exemple : infections virales\
        \ g\xE9n\xE9ralis\xE9es, APT, fuite d'informations class\xE9es Secret D\xE9\
        fense, etc.\n\u2022 Les modalit\xE9s de remont\xE9e de l'incident peuvent\
        \ \xEAtre : responsabilit\xE9s pour la remont\xE9e, informations \xE0 communiquer,\
        \ formulaires \xE0 remplir, etc."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.1.n
      assessable: true
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.i
      ref_id: IV.1.n
      name: "\xC9laboration d'une convention de service"
      description: "Le prestataire doit \xE9tablir une convention de service avec\
        \ le commanditaire. La convention de service doit \xEAtre conforme aux exigences\
        \ du chapitre IV.5.3 et approuv\xE9e formellement et par \xE9crit par le commanditaire\
        \ avant l\u2019ex\xE9cution de la prestation."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier :\n- l'existence d'une\
        \ convention de service type,\n- que cette convention de service respecte\
        \ l'ensemble des exigences du chapitre IV.5.3 du r\xE9f\xE9rentiel\n- que\
        \ cette convention de service doit \xEAtre approuv\xE9e formellement et par\
        \ \xE9crit par le commanditaire,\n- que la date d'approbation formelle par\
        \ le commanditaire doit \xEAtre ant\xE9rieure au d\xE9but de la prestation.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2
      assessable: false
      depth: 1
      ref_id: IV.2
      name: "Activit\xE9s du service de d\xE9tection des incidents de s\xE9curit\xE9"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2
      ref_id: IV.2.1
      name: Gestion des incidents
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Liste des incidents redout\xE9s"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:1
      ref_id: IV.2.1.a
      description: "a) Le prestataire doit \xE9tablir avec le commanditaire une liste\
        \ des incidents redout\xE9s et des impacts et cons\xE9quences associ\xE9s\
        \ bas\xE9s sur les r\xE9sultats d\u2019une appr\xE9ciation des risques \xE9\
        labor\xE9e par le commanditaire. Le prestataire doit recommander au commanditaire\
        \ de mettre \xE0 jour son appr\xE9ciation des risques dans le cas d\u2019\
        un changement de son infrastructure."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des incidents redout\xE9s type et \xE9chelles d'impact/de\
        \ gravit\xE9 type associ\xE9es\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier l'existence :\n- d'une liste des incidents redout\xE9\
        s type,  \n- d'une \xE9chelle d'impact type,\n- de la mention pour chaque\
        \ incident redout\xE9 de son impact, en s'appuyant sur l'\xE9chelle d'impact\
        \ type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit, au d\xE9marrage d'une\
        \ prestation :\n- l'\xE9tablissement d'une liste des incidents redout\xE9\
        s et des impacts et cons\xE9quences associ\xE9s avec le commanditaire, bas\xE9\
        e sur une appr\xE9ciation des risques r\xE9alis\xE9e au pr\xE9alable par le\
        \ commanditaire,\n- la prise en compte au minimum des incidents de s\xE9curit\xE9\
        \ redout\xE9s suivants :\n     - exploitation d\u2019une vuln\xE9rabilit\xE9\
        \ ; \n     - \xE9l\xE9vation de privil\xE8ges ;\n     - exfiltration de donn\xE9\
        es ; \n     - propagation virale ;\n     - utilisation d\u2019un m\xE9canisme\
        \ de persistance ; \n     - d\xE9ni de service ;\n     - acc\xE8s non autoris\xE9\
        \ \xE0 une ressource ;\n     - usurpation d\u2019identit\xE9 ;\n     - actions\
        \ non conformes \xE0 la politique de s\xE9curit\xE9 du\n       commanditaire.\n\
        - la recommandation au commanditaire de mettre \xE0 jour son appr\xE9ciation\
        \ des risques dans le cas d\u2019un changement de son infrastructure.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier :\n- la pertinence des \xE9l\xE9\
        ments de la liste des incidents redout\xE9s type ;\n- qu'il existe une description\
        \ pr\xE9cise des incidents de la liste (menace / vuln\xE9rabilit\xE9 / impact\
        \ / cons\xE9quence) ;\n- qu'une cat\xE9gorisation des incidents est employ\xE9\
        e ; \n- la pertinence des impacts et cons\xE9quences associ\xE9es \xE0 chaque\
        \ incident redout\xE9 type ;\n- qu'il existe des crit\xE8res de choix des\
        \ \xE9l\xE9ments de la liste des incidents redout\xE9s pour un client donn\xE9\
        \ \xE0 partir de la liste des incidents redout\xE9s type en fonction du contexte\
        \ client ;\n- qu'il est pr\xE9vu l'utilisation de l'appr\xE9ciation de risque\
        \ client ;\n- la pertinence de la d\xE9marche d'utilisation de l'appr\xE9\
        ciation de risque client.\n\nPr\xE9cision(s):\n\u2022 Le prestataire peut\
        \ proposer l'accompagnement de son commanditaire dans l'\xE9laboration/la\
        \ revue de l'appr\xE9ciation des risques."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:1
      ref_id: IV.2.1.b
      description: "b) Le prestataire doit \xEAtre capable de prendre en compte au\
        \ minimum les cat\xE9gories d\u2019incidents de s\xE9curit\xE9 redout\xE9\
        s suivants :\n- exploitation d\u2019une vuln\xE9rabilit\xE9 ; \n- \xE9l\xE9\
        vation de privil\xE8ges ;\n- exfiltration de donn\xE9es ; \n- propagation\
        \ virale ;\n- utilisation d\u2019un m\xE9canisme de persistance ; \n- d\xE9\
        ni de service ;\n- acc\xE8s non autoris\xE9 \xE0 une ressource ;\n- usurpation\
        \ d\u2019identit\xE9 ;\n- actions non conformes \xE0 la politique de s\xE9\
        curit\xE9 du commanditaire."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des incidents redout\xE9s type et \xE9chelles d'impact/de\
        \ gravit\xE9 type associ\xE9es\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier l'existence :\n- d'une liste des incidents redout\xE9\
        s type,  \n- d'une \xE9chelle d'impact type,\n- de la mention pour chaque\
        \ incident redout\xE9 de son impact, en s'appuyant sur l'\xE9chelle d'impact\
        \ type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit, au d\xE9marrage d'une\
        \ prestation :\n- l'\xE9tablissement d'une liste des incidents redout\xE9\
        s et des impacts et cons\xE9quences associ\xE9s avec le commanditaire, bas\xE9\
        e sur une appr\xE9ciation des risques r\xE9alis\xE9e au pr\xE9alable par le\
        \ commanditaire,\n- la prise en compte au minimum des incidents de s\xE9curit\xE9\
        \ redout\xE9s suivants :\n     - exploitation d\u2019une vuln\xE9rabilit\xE9\
        \ ; \n     - \xE9l\xE9vation de privil\xE8ges ;\n     - exfiltration de donn\xE9\
        es ; \n     - propagation virale ;\n     - utilisation d\u2019un m\xE9canisme\
        \ de persistance ; \n     - d\xE9ni de service ;\n     - acc\xE8s non autoris\xE9\
        \ \xE0 une ressource ;\n     - usurpation d\u2019identit\xE9 ;\n     - actions\
        \ non conformes \xE0 la politique de s\xE9curit\xE9 du\n       commanditaire.\n\
        - la recommandation au commanditaire de mettre \xE0 jour son appr\xE9ciation\
        \ des risques dans le cas d\u2019un changement de son infrastructure.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier :\n- la pertinence des \xE9l\xE9\
        ments de la liste des incidents redout\xE9s type ;\n- qu'il existe une description\
        \ pr\xE9cise des incidents de la liste (menace / vuln\xE9rabilit\xE9 / impact\
        \ / cons\xE9quence) ;\n- qu'une cat\xE9gorisation des incidents est employ\xE9\
        e ; \n- la pertinence des impacts et cons\xE9quences associ\xE9es \xE0 chaque\
        \ incident redout\xE9 type ;\n- qu'il existe des crit\xE8res de choix des\
        \ \xE9l\xE9ments de la liste des incidents redout\xE9s pour un client donn\xE9\
        \ \xE0 partir de la liste des incidents redout\xE9s type en fonction du contexte\
        \ client ;\n- qu'il est pr\xE9vu l'utilisation de l'appr\xE9ciation de risque\
        \ client ;\n- la pertinence de la d\xE9marche d'utilisation de l'appr\xE9\
        ciation de risque client.\n\nPr\xE9cision(s):\n\u2022 Le prestataire peut\
        \ proposer l'accompagnement de son commanditaire dans l'\xE9laboration/la\
        \ revue de l'appr\xE9ciation des risques."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.c
      name: "Prise en compte de la liste des incidents redout\xE9s de l'ISO 27035\
        \ et de de [ETSI_ISG_ISI]"
      description: "Il est recommand\xE9 que le prestataire prenne en compte la liste\
        \ des incidents de s\xE9curit\xE9 et de leurs causes de l\u2019annexe B de\
        \ [ISO27035] et celle de [ETSI_ISG_ISI]"
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Strat\xE9gie d'analyse"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:2
      ref_id: IV.2.1.d
      description: "d) Le prestataire doit \xE9laborer avec le commanditaire et mettre\
        \ en \u0153uvre une strat\xE9gie d\u2019analyse permettant de d\xE9tecter\
        \ l'ensemble des incidents de la liste des incidents redout\xE9s (voir exigence\
        \ IV.2.1.a). La strat\xE9gie d\u2019analyse doit \xEAtre revue avec le commanditaire\
        \ lors des comit\xE9s op\xE9rationnels d\xE9finis au chapitre IV.4.3."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\u2022\
        \ Strat\xE9gie d'analyse type\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier qu'il existe une strat\xE9gie d'analyse type et\
        \ des r\xE8gles de classification des incidents type\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit la construction et la mise en \u0153uvre d'une strat\xE9\
        gie d'analyse permettant de d\xE9tecter l'ensemble des incidents de la liste\
        \ des incident redout\xE9s pr\xE9alablement \xE9tablie avec le commanditaire.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la construction d'une\
        \ strat\xE9gie d'analyse pour un commanditaire s'appuie sur la strat\xE9gie\
        \ d'analyse type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de d\xE9livrance d'une prestation PDIS pr\xE9voit que soient pr\xE9\
        cis\xE9es dans la strat\xE9gie d'analyse les modalit\xE9s de mise en \u0153\
        uvre des r\xE8gles de d\xE9tection permettant de d\xE9tecter les incidents\
        \ de s\xE9curit\xE9 sur la base des incidents redout\xE9s.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit que soient d\xE9finies avec le commanditaire\
        \ et formalis\xE9es les r\xE8gles de classification des incidents de s\xE9\
        curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la d\xE9\
        finition des r\xE8gles de classification des incidents de s\xE9curit\xE9 pour\
        \ un commanditaire s'appuie sur les r\xE8gles de classification des incidents\
        \ type pr\xE9sentes dans la strat\xE9gie d'analyse type.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la revue de la strat\xE9gie d'analyse lors des\
        \ comit\xE9s op\xE9rationnels    \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d\u2019un support et/ou compte-rendu type d'un comit\xE9\
        \ op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend la revue de\
        \ la strat\xE9gie d'analyse\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que pour un incident de la strat\xE9gie d'analyse type, il est pr\xE9sent\xE9\
        \ :\n- la description de l'incident ;\n- des exemples d'occurrence ;\n- des\
        \ fichiers de test pour tester la r\xE8gle de d\xE9tection ;\n- comment l'\xE9\
        v\xE9nement de s\xE9curit\xE9 que l'on veut d\xE9tecter est d\xE9tect\xE9\
        \ via la r\xE8gle de d\xE9tection et ses composants (source de collecte, type\
        \ ou n\xB0 d'\xE9v\xE9nement(s), ...) ;\n- quand un incident est d\xE9tect\xE9\
        \ par une r\xE8gle de d\xE9tection donn\xE9e, la marche \xE0 suivre pour les\
        \ \xE9quipes du centre de d\xE9tection (exemples : fiche r\xE9flexe pour le\
        \ N1, modalit\xE9s d'escalade, actions N2 et N3 pour qualifier).\n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:2
      ref_id: IV.2.1.e
      description: "e) Le prestataire doit d\xE9finir avec le commanditaire les r\xE8\
        gles de classification des incidents de s\xE9curit\xE9 au sens de [IGI_1300]\
        \ et [II_901] et formaliser ces r\xE8gles dans la strat\xE9gie d\u2019analyse.\
        \ Ces r\xE8gles de classification doivent \xEAtre revues avec la strat\xE9\
        gie d\u2019analyse lors des comit\xE9s op\xE9rationnels d\xE9finis au chapitre\
        \ IV.4.3."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\u2022\
        \ Strat\xE9gie d'analyse type\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier qu'il existe une strat\xE9gie d'analyse type et\
        \ des r\xE8gles de classification des incidents type\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit la construction et la mise en \u0153uvre d'une strat\xE9\
        gie d'analyse permettant de d\xE9tecter l'ensemble des incidents de la liste\
        \ des incident redout\xE9s pr\xE9alablement \xE9tablie avec le commanditaire.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la construction d'une\
        \ strat\xE9gie d'analyse pour un commanditaire s'appuie sur la strat\xE9gie\
        \ d'analyse type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de d\xE9livrance d'une prestation PDIS pr\xE9voit que soient pr\xE9\
        cis\xE9es dans la strat\xE9gie d'analyse les modalit\xE9s de mise en \u0153\
        uvre des r\xE8gles de d\xE9tection permettant de d\xE9tecter les incidents\
        \ de s\xE9curit\xE9 sur la base des incidents redout\xE9s.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit que soient d\xE9finies avec le commanditaire\
        \ et formalis\xE9es les r\xE8gles de classification des incidents de s\xE9\
        curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la d\xE9\
        finition des r\xE8gles de classification des incidents de s\xE9curit\xE9 pour\
        \ un commanditaire s'appuie sur les r\xE8gles de classification des incidents\
        \ type pr\xE9sentes dans la strat\xE9gie d'analyse type.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la revue de la strat\xE9gie d'analyse lors des\
        \ comit\xE9s op\xE9rationnels    \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d\u2019un support et/ou compte-rendu type d'un comit\xE9\
        \ op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend la revue de\
        \ la strat\xE9gie d'analyse\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que pour un incident de la strat\xE9gie d'analyse type, il est pr\xE9sent\xE9\
        \ :\n- la description de l'incident ;\n- des exemples d'occurrence ;\n- des\
        \ fichiers de test pour tester la r\xE8gle de d\xE9tection ;\n- comment l'\xE9\
        v\xE9nement de s\xE9curit\xE9 que l'on veut d\xE9tecter est d\xE9tect\xE9\
        \ via la r\xE8gle de d\xE9tection et ses composants (source de collecte, type\
        \ ou n\xB0 d'\xE9v\xE9nement(s), ...) ;\n- quand un incident est d\xE9tect\xE9\
        \ par une r\xE8gle de d\xE9tection donn\xE9e, la marche \xE0 suivre pour les\
        \ \xE9quipes du centre de d\xE9tection (exemples : fiche r\xE9flexe pour le\
        \ N1, modalit\xE9s d'escalade, actions N2 et N3 pour qualifier).\n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:2
      ref_id: IV.2.1.f
      description: "f) La strat\xE9gie d\u2019analyse doit d\xE9crire pr\xE9cis\xE9\
        ment la mise en \u0153uvre de r\xE8gles de d\xE9tection permettant de d\xE9\
        tecter les incidents de s\xE9curit\xE9 sur la base des \xE9v\xE9nements collect\xE9\
        s."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\u2022\
        \ Strat\xE9gie d'analyse type\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier qu'il existe une strat\xE9gie d'analyse type et\
        \ des r\xE8gles de classification des incidents type\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit la construction et la mise en \u0153uvre d'une strat\xE9\
        gie d'analyse permettant de d\xE9tecter l'ensemble des incidents de la liste\
        \ des incident redout\xE9s pr\xE9alablement \xE9tablie avec le commanditaire.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la construction d'une\
        \ strat\xE9gie d'analyse pour un commanditaire s'appuie sur la strat\xE9gie\
        \ d'analyse type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de d\xE9livrance d'une prestation PDIS pr\xE9voit que soient pr\xE9\
        cis\xE9es dans la strat\xE9gie d'analyse les modalit\xE9s de mise en \u0153\
        uvre des r\xE8gles de d\xE9tection permettant de d\xE9tecter les incidents\
        \ de s\xE9curit\xE9 sur la base des incidents redout\xE9s.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit que soient d\xE9finies avec le commanditaire\
        \ et formalis\xE9es les r\xE8gles de classification des incidents de s\xE9\
        curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la d\xE9\
        finition des r\xE8gles de classification des incidents de s\xE9curit\xE9 pour\
        \ un commanditaire s'appuie sur les r\xE8gles de classification des incidents\
        \ type pr\xE9sentes dans la strat\xE9gie d'analyse type.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la revue de la strat\xE9gie d'analyse lors des\
        \ comit\xE9s op\xE9rationnels    \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d\u2019un support et/ou compte-rendu type d'un comit\xE9\
        \ op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend la revue de\
        \ la strat\xE9gie d'analyse\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que pour un incident de la strat\xE9gie d'analyse type, il est pr\xE9sent\xE9\
        \ :\n- la description de l'incident ;\n- des exemples d'occurrence ;\n- des\
        \ fichiers de test pour tester la r\xE8gle de d\xE9tection ;\n- comment l'\xE9\
        v\xE9nement de s\xE9curit\xE9 que l'on veut d\xE9tecter est d\xE9tect\xE9\
        \ via la r\xE8gle de d\xE9tection et ses composants (source de collecte, type\
        \ ou n\xB0 d'\xE9v\xE9nement(s), ...) ;\n- quand un incident est d\xE9tect\xE9\
        \ par une r\xE8gle de d\xE9tection donn\xE9e, la marche \xE0 suivre pour les\
        \ \xE9quipes du centre de d\xE9tection (exemples : fiche r\xE9flexe pour le\
        \ N1, modalit\xE9s d'escalade, actions N2 et N3 pour qualifier).\n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:3
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Cr\xE9ation et marquage des r\xE8gles de d\xE9tection"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:3
      ref_id: IV.2.1.g
      description: "g) Le prestataire doit cr\xE9er des r\xE8gles de d\xE9tection\
        \ en s\u2019appuyant sur : \n- la liste des incidents de s\xE9curit\xE9 redout\xE9\
        s du commanditaire ;\n- des bases de connaissances acquises aupr\xE8s d\u2019\
        \xE9diteurs et de soci\xE9t\xE9s sp\xE9cialis\xE9es en s\xE9curit\xE9 des\
        \ syst\xE8mes d\u2019information ;\n- des bases de connaissances internes\
        \ issues de l\u2019expertise du prestataire :\n     - veille et qualification\
        \ de vuln\xE9rabilit\xE9s, en priorit\xE9\n        celles relatives \xE0 l\u2019\
        ex\xE9cution de code arbitraire,\n        localement ou \xE0 distance ;\n\
        \     - veille et qualification de protocoles de contr\xF4le\n        commande\
        \ ;\n     - veille sur les modes op\xE9ratoires d\u2019attaque et les\n  \
        \      codes malveillants.\n- les \xE9l\xE9ments de contexte sp\xE9cifiques\
        \ du commanditaire ;\n- les r\xE8gles provenant directement du commanditaire,\
        \ \xE9valu\xE9es au pr\xE9alable par le prestataire (bon fonctionnement par\
        \ rapport au comportement \xE0 d\xE9tecter, impact sur les performances, correction\
        \ des alertes, exploitabilit\xE9 des alertes produites, etc.) ;\n- les incidents\
        \ de s\xE9curit\xE9 d\xE9tect\xE9s aupr\xE8s des \xE9ventuels autres commanditaires."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9cise\
        \ que la cr\xE9ation d'une r\xE8gle doit s'appuyer sur les sources list\xE9\
        es dans l'exigence IV.2.1.g).\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9cise\
        \ les m\xE9thodes de cr\xE9ation de r\xE8gles en fonction de chaque source\
        \ et/ou la contribution de chaque source \xE0 la cr\xE9ation des r\xE8gles,\
        \ selon leur type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ les bases de connaissances sont identifi\xE9es dans le processus de d\xE9\
        livrance d'une prestation PDIS.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ l'\xE9valuation des r\xE8gles provenant du commanditaire avant toute mise\
        \ en \u0153uvre.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les\
        \ m\xE9thodes d'\xE9valuation des r\xE8gles provenant du commanditaire sont\
        \ formalis\xE9es et adapt\xE9es au contexte technique du commanditaire.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier qu'il existe une politique de\
        \ marquage des r\xE8gles de d\xE9tection type qui contient pour chaque r\xE8\
        gle l'ensemble des \xE9l\xE9ments informationnels list\xE9s \xE0 l'exigence\
        \ IV.2.1.h)\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:3
      ref_id: IV.2.1.h
      description: "h) Le prestataire doit \xE9laborer et mettre en \u0153uvre une\
        \ politique de marquage des r\xE8gles de d\xE9tection. Cette politique doit\
        \ d\xE9finir pour chaque r\xE8gle de d\xE9tection :\n- un identifiant unique\
        \ de la r\xE8gle de d\xE9tection, permettant de faire le lien entre les diff\xE9\
        rents outils et bases de connaissances associ\xE9es ;\n- un num\xE9ro de version\
        \ de la r\xE8gle de d\xE9tection ;\n- le propri\xE9taire de la r\xE8gle de\
        \ d\xE9tection, c\u2019est-\xE0-dire celui qui dispose des droits sur la r\xE8\
        gle de d\xE9tection ;\n- l\u2019auteur de la r\xE8gle de d\xE9tection, c\u2019\
        est-\xE0-dire celui qui a cr\xE9\xE9 la r\xE8gle de d\xE9tection ;\n- la source\
        \ de la r\xE8gle de d\xE9tection, c\u2019est-\xE0-dire celui qui est \xE0\
        \ l\u2019origine des informations permettant de cr\xE9er la r\xE8gle de d\xE9\
        tection et qui n\u2019est pas n\xE9cessairement le propri\xE9taire ou l\u2019\
        auteur de la r\xE8gle de d\xE9tection (par exemple, un partenaire, un fournisseur,\
        \ le commanditaire, etc.) ;\n- la date de cr\xE9ation de la r\xE8gle de d\xE9\
        tection ;\n- la date de derni\xE8re modification de la r\xE8gle de d\xE9tection\
        \ ;\n- le niveau de sensibilit\xE9 ou de classification, au sens de [IGI_1300]\
        \ et [II_901], de la r\xE8gle de d\xE9tection ;\n- les modalit\xE9s de diffusion\
        \ de la r\xE8gle de d\xE9tection, par exemple \xAB diffusable sans restriction\
        \ \xBB, \xAB diffusable au sein d\u2019une communaut\xE9 mais non publique\
        \ \xBB, \xAB diffusable en interne en respectant le besoin d\u2019en conna\xEE\
        tre \xBB, \xAB diffusion nominative sans rediffusion \xBB  \xBB ou sous la\
        \ forme de Traffic Light Protocol (TLP) ou autre, en accord avec les conventions\
        \ d\xE9finies avec les sources de la r\xE8gle de d\xE9tection ;\n- la possibilit\xE9\
        \ ou non d\u2019effectuer des recherches en source ouverte en fonction du\
        \ niveau de sensibilit\xE9 et des modalit\xE9s de diffusion ; \n- les \xE9\
        l\xE9ments descriptifs du comportement que la r\xE8gle vise \xE0 d\xE9tecter\
        \ :\n     - la description de la menace ;\n     - le cas \xE9ch\xE9ant, les\
        \ descriptions et les identifiants (CVE par exemple) des vuln\xE9rabilit\xE9\
        s dont les tentatives d\u2019exploitation ou les exploitations sont d\xE9\
        tect\xE9es par la r\xE8gle ;\n     - les phases d\u2019attaque d\xE9tect\xE9\
        es par la r\xE8gle, par exemple : reconnaissance, infiltration initiale, interaction\
        \ avec le contr\xF4le commande, \xE9l\xE9vation de privil\xE8ges,\n      \
        \ d\xE9placements lat\xE9raux, exfiltration, etc. ;\n     - toute autre information\
        \ n\xE9cessaire \xE0 la description du comportement vis\xE9 par la r\xE8gle\
        \ ;\n- les \xE9l\xE9ments descriptifs de l\u2019impl\xE9mentation de la r\xE8\
        gle dans les outils techniques d\u2019analyse :\n     - la m\xE9thode d'analyse\
        \ des \xE9v\xE9nements et de d\xE9clenchement de la r\xE8gle de d\xE9tection\
        \ ;\n     - les limitations \xE9ventuelles du fonctionnement li\xE9es \xE0\
        \ des crit\xE8res techniques ;\n- les consignes d\u2019analyse et qualification\
        \ \xE0 appliquer par l\u2019op\xE9rateur en cas de d\xE9clenchement de la\
        \ r\xE8gle de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9cise\
        \ que la cr\xE9ation d'une r\xE8gle doit s'appuyer sur les sources list\xE9\
        es dans l'exigence IV.2.1.g).\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9cise\
        \ les m\xE9thodes de cr\xE9ation de r\xE8gles en fonction de chaque source\
        \ et/ou la contribution de chaque source \xE0 la cr\xE9ation des r\xE8gles,\
        \ selon leur type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ les bases de connaissances sont identifi\xE9es dans le processus de d\xE9\
        livrance d'une prestation PDIS.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ l'\xE9valuation des r\xE8gles provenant du commanditaire avant toute mise\
        \ en \u0153uvre.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les\
        \ m\xE9thodes d'\xE9valuation des r\xE8gles provenant du commanditaire sont\
        \ formalis\xE9es et adapt\xE9es au contexte technique du commanditaire.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier qu'il existe une politique de\
        \ marquage des r\xE8gles de d\xE9tection type qui contient pour chaque r\xE8\
        gle l'ensemble des \xE9l\xE9ments informationnels list\xE9s \xE0 l'exigence\
        \ IV.2.1.h)\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:4
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Suivi des r\xE8gles de d\xE9tection"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:4
      ref_id: IV.2.1.i
      description: "i) Le prestataire doit \xE9laborer et tenir \xE0 jour pour chaque\
        \ commanditaire la liste de l\u2019ensemble des r\xE8gles de d\xE9tection\
        \ mises en \u0153uvre ou ayant \xE9t\xE9 mises en \u0153uvre dans le cadre\
        \ de la prestation. Cette liste doit pr\xE9ciser pour chaque r\xE8gle identifi\xE9\
        e par son identifiant et son num\xE9ro de version :\n- la ou les date(s) auxquelles\
        \ la r\xE8gle de d\xE9tection a \xE9t\xE9 introduite dans les outils techniques\
        \ d\u2019analyse ;\n- si le prestataire a proc\xE9d\xE9 \xE0 une analyse a\
        \ posteriori avec cette r\xE8gle de d\xE9tection (voir exigence IV.2.1.bb)\
        \ et la date de cette analyse le cas \xE9ch\xE9ant ;\n- la ou les date(s)\
        \ auxquelles la r\xE8gle de d\xE9tection a \xE9t\xE9 retir\xE9e des outils\
        \ techniques d\u2019analyse.\nCette liste doit permettre d\u2019\xE9tablir\
        \ un historique des r\xE8gles de d\xE9tection, permettant d\u2019identifier\
        \ les r\xE8gles qui \xE9taient activ\xE9es \xE0 un instant ou sur une p\xE9\
        riode donn\xE9s. Une r\xE8gle de d\xE9tection retir\xE9e des outils techniques\
        \ d\u2019analyse doit \xEAtre marqu\xE9e comme retir\xE9e et ne doit par cons\xE9\
        quent pas \xEAtre supprim\xE9e de cette liste.\nRemarque : le cas o\xF9 des\
        \ modifications sont apport\xE9es \xE0 une r\xE8gle de d\xE9tection uniquement\
        \ pour des sous-p\xE9rim\xE8tres du p\xE9rim\xE8tre supervis\xE9 est \xE0\
        \ d\xE9tailler dans la liste."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des r\xE8gles de d\xE9tection d'une prestation type\n\
        \u2022 Bulletin d'\xE9tat des r\xE8gles type\n\nV\xE9rification(s): \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la cr\xE9ation d'une liste des r\xE8gles\
        \ de d\xE9tection d'une prestation, bas\xE9e sur la liste des r\xE8gles de\
        \ d\xE9tection d'une prestation type\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la liste des r\xE8gles de d\xE9tection d'une prestation\
        \ contient pour chaque r\xE8gle :\n- son identifiant et num\xE9ro de version\
        \ ;\n- les dates li\xE9es au cycle de vie de la r\xE8gle de d\xE9tection :\
        \ introduction dans les outils d'analyse, recherche \xE0 posteriori et retrait\
        \ des outils d'analyse.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la mise\
        \ \xE0 jour de la liste des r\xE8gles \xE0 chaque :\n- introduction ou r\xE9\
        introduction d'une r\xE8gle de d\xE9tection dans les outils techniques d\u2019\
        analyse ;\n- analyse a posteriori ;\n- retrait d'une r\xE8gle de d\xE9tection\
        \ des outils techniques d\u2019analyse. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit au minimum une fois par mois la construction et l'envoi au commanditaire\
        \ d'un bulletin d'\xE9tat des r\xE8gles de d\xE9tection contenant les informations\
        \ suivantes :\n- le nombre de r\xE8gles de d\xE9tection cr\xE9\xE9es, modifi\xE9\
        es ou retir\xE9es des outils d\u2019analyse ;\n- l\u2019identifiant et la\
        \ description de chaque r\xE8gle cr\xE9\xE9e, modifi\xE9e ou retir\xE9e des\
        \ outils d\u2019analyse ;\n- le motif de la cr\xE9ation, de la modification\
        \ ou du retrait de la r\xE8gle de s\xE9curit\xE9 (ex. : cr\xE9ation, modification\
        \ ou retrait \xE0 la demande du commanditaire, etc.).\n\nPr\xE9cision(s):\n\
        \u2022 Une r\xE8gle de d\xE9tection retir\xE9e des outils techniques d\u2019\
        analyse doit \xEAtre marqu\xE9e comme retir\xE9e et ne doit par cons\xE9quent\
        \ pas \xEAtre supprim\xE9e de la liste des r\xE8gles.\nRemarque : le cas o\xF9\
        \ des modifications sont apport\xE9es \xE0 une r\xE8gle de d\xE9tection uniquement\
        \ pour des p\xE9rim\xE8tres particuliers est \xE0 prendre en compte.\n\u2022\
        \ Il est recommand\xE9 que le prestataire transmette au commanditaire le bulletin\
        \ d\u2019\xE9tat des r\xE8gles de d\xE9tection une fois par semaine."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:4
      ref_id: IV.2.1.j
      description: "j) Le prestataire doit transmettre au minimum une fois par mois\
        \ au commanditaire un bulletin d\u2019\xE9tat des r\xE8gles de d\xE9tection\
        \ pr\xE9sentant :\n- le nombre de r\xE8gles de d\xE9tection cr\xE9\xE9es,\
        \ modifi\xE9es ou retir\xE9es des outils d\u2019analyse ;\n- l\u2019identifiant,\
        \ le num\xE9ro de version et la description de chaque r\xE8gle cr\xE9\xE9\
        e, modifi\xE9e ou retir\xE9e des outils d\u2019analyse ;\n- le motif de la\
        \ cr\xE9ation, de la modification ou du retrait de la r\xE8gle de s\xE9curit\xE9\
        \ (ex. : cr\xE9ation, modification ou retrait \xE0 la demande du commanditaire,\
        \ etc.)."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des r\xE8gles de d\xE9tection d'une prestation type\n\
        \u2022 Bulletin d'\xE9tat des r\xE8gles type\n\nV\xE9rification(s): \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la cr\xE9ation d'une liste des r\xE8gles\
        \ de d\xE9tection d'une prestation, bas\xE9e sur la liste des r\xE8gles de\
        \ d\xE9tection d'une prestation type\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la liste des r\xE8gles de d\xE9tection d'une prestation\
        \ contient pour chaque r\xE8gle :\n- son identifiant et num\xE9ro de version\
        \ ;\n- les dates li\xE9es au cycle de vie de la r\xE8gle de d\xE9tection :\
        \ introduction dans les outils d'analyse, recherche \xE0 posteriori et retrait\
        \ des outils d'analyse.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la mise\
        \ \xE0 jour de la liste des r\xE8gles \xE0 chaque :\n- introduction ou r\xE9\
        introduction d'une r\xE8gle de d\xE9tection dans les outils techniques d\u2019\
        analyse ;\n- analyse a posteriori ;\n- retrait d'une r\xE8gle de d\xE9tection\
        \ des outils techniques d\u2019analyse. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit au minimum une fois par mois la construction et l'envoi au commanditaire\
        \ d'un bulletin d'\xE9tat des r\xE8gles de d\xE9tection contenant les informations\
        \ suivantes :\n- le nombre de r\xE8gles de d\xE9tection cr\xE9\xE9es, modifi\xE9\
        es ou retir\xE9es des outils d\u2019analyse ;\n- l\u2019identifiant et la\
        \ description de chaque r\xE8gle cr\xE9\xE9e, modifi\xE9e ou retir\xE9e des\
        \ outils d\u2019analyse ;\n- le motif de la cr\xE9ation, de la modification\
        \ ou du retrait de la r\xE8gle de s\xE9curit\xE9 (ex. : cr\xE9ation, modification\
        \ ou retrait \xE0 la demande du commanditaire, etc.).\n\nPr\xE9cision(s):\n\
        \u2022 Une r\xE8gle de d\xE9tection retir\xE9e des outils techniques d\u2019\
        analyse doit \xEAtre marqu\xE9e comme retir\xE9e et ne doit par cons\xE9quent\
        \ pas \xEAtre supprim\xE9e de la liste des r\xE8gles.\nRemarque : le cas o\xF9\
        \ des modifications sont apport\xE9es \xE0 une r\xE8gle de d\xE9tection uniquement\
        \ pour des p\xE9rim\xE8tres particuliers est \xE0 prendre en compte.\n\u2022\
        \ Il est recommand\xE9 que le prestataire transmette au commanditaire le bulletin\
        \ d\u2019\xE9tat des r\xE8gles de d\xE9tection une fois par semaine."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.k
      name: "Protection du bulletin d'\xE9tat des r\xE8gles de d\xE9tection"
      description: "Le prestataire doit prot\xE9ger le bulletin d\u2019\xE9tat des\
        \ r\xE8gles de d\xE9tection, en particulier en mati\xE8re de confidentialit\xE9\
        , en tenant compte du niveau de sensibilit\xE9 ou de classification des r\xE8\
        gles de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ de prot\xE9ger le bulletin d\u2019\xE9tat des r\xE8gles de d\xE9tection,\
        \ en particulier en mati\xE8re de confidentialit\xE9, en tenant compte du\
        \ niveau de sensibilit\xE9 ou de classification des r\xE8gles de d\xE9tection.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.l
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.l
      name: "Fr\xE9quence de transmission du bulletin d'\xE9tat des r\xE8gles de d\xE9\
        tection"
      description: "Il est recommand\xE9 que le prestataire transmette au commanditaire\
        \ le bulletin d\u2019\xE9tat des r\xE8gles de d\xE9tection une fois par semaine."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:5
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Impl\xE9mentation des r\xE8gles de d\xE9tection dans les outils techniques\
        \ d'analyse"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.m
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:5
      ref_id: IV.2.1.m
      description: "m) Le prestataire doit impl\xE9menter dans les outils techniques\
        \ d\u2019analyse l\u2019ensemble des r\xE8gles de d\xE9tection identifi\xE9\
        es dans la liste mentionn\xE9e \xE0 l\u2019exigence IV.2.1.i), sauf les r\xE8\
        gles marqu\xE9es comme retir\xE9es."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation ou d'administration\n\u2022 Liste des\
        \ r\xE8gles de d\xE9tection d'une prestation type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9\
        livrance d'une prestation PDIS pr\xE9voit l'impl\xE9mentation syst\xE9matique,\
        \ dans les outils techniques d'analyse, des r\xE8gles de d\xE9tection d\xE9\
        finies dans la liste des r\xE8gles de d\xE9tection d'une prestation.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour de la liste des r\xE8\
        gles de d\xE9tection d'une prestation suite \xE0 l'ajout d'une r\xE8gle de\
        \ d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence\
        \ de guides d'exploitation ou d'administration pr\xE9cisant les modalit\xE9\
        s d'impl\xE9mentation des r\xE8gles de d\xE9tection dans les outils techniques\
        \ d'analyse.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la notification au commanditaire\
        \ en cas d'impossibilit\xE9 ou de difficult\xE9 d'impl\xE9mentation d'une\
        \ r\xE8gle.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que l'impossibilit\xE9\
        \ ou la difficult\xE9 d'impl\xE9mentation de r\xE8gles est document\xE9e concernant\
        \ les raisons de l'\xE9chec/difficult\xE9 d'impl\xE9mentation. \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.n
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:5
      ref_id: IV.2.1.n
      description: "n) Le prestataire doit de mani\xE8re autonome ajouter dans les\
        \ outils techniques d\u2019analyse de nouvelles r\xE8gles de d\xE9tection.\n\
        Suite \xE0 un ajout de ce type, le prestataire doit mettre \xE0 jour le corpus\
        \ documentaire et renseigner le d\xE9tail des ajouts effectu\xE9s de fa\xE7\
        on \xE0 assurer le suivi et la tra\xE7abilit\xE9 de ces ajouts."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation ou d'administration\n\u2022 Liste des\
        \ r\xE8gles de d\xE9tection d'une prestation type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9\
        livrance d'une prestation PDIS pr\xE9voit l'impl\xE9mentation syst\xE9matique,\
        \ dans les outils techniques d'analyse, des r\xE8gles de d\xE9tection d\xE9\
        finies dans la liste des r\xE8gles de d\xE9tection d'une prestation.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour de la liste des r\xE8\
        gles de d\xE9tection d'une prestation suite \xE0 l'ajout d'une r\xE8gle de\
        \ d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence\
        \ de guides d'exploitation ou d'administration pr\xE9cisant les modalit\xE9\
        s d'impl\xE9mentation des r\xE8gles de d\xE9tection dans les outils techniques\
        \ d'analyse.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la notification au commanditaire\
        \ en cas d'impossibilit\xE9 ou de difficult\xE9 d'impl\xE9mentation d'une\
        \ r\xE8gle.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que l'impossibilit\xE9\
        \ ou la difficult\xE9 d'impl\xE9mentation de r\xE8gles est document\xE9e concernant\
        \ les raisons de l'\xE9chec/difficult\xE9 d'impl\xE9mentation. \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.o
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:5
      ref_id: IV.2.1.o
      description: "o) Le prestataire doit, en cas de difficult\xE9 ou d\u2019impossibilit\xE9\
        \ d\u2019impl\xE9mentation d\u2019une r\xE8gle de d\xE9tection, avertir le\
        \ commanditaire dans les meilleurs d\xE9lais, et d\xE9tailler les raisons\
        \ de l\u2019\xE9chec d\u2019impl\xE9mentation. Le d\xE9lai maximum entre la\
        \ d\xE9cision d\u2019impl\xE9mentation de la r\xE8gle de d\xE9tection et la\
        \ notification au commanditaire de l\u2019\xE9chec d\u2019impl\xE9mentation\
        \ doit \xEAtre d\xE9fini dans la convention de service."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation ou d'administration\n\u2022 Liste des\
        \ r\xE8gles de d\xE9tection d'une prestation type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9\
        livrance d'une prestation PDIS pr\xE9voit l'impl\xE9mentation syst\xE9matique,\
        \ dans les outils techniques d'analyse, des r\xE8gles de d\xE9tection d\xE9\
        finies dans la liste des r\xE8gles de d\xE9tection d'une prestation.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour de la liste des r\xE8\
        gles de d\xE9tection d'une prestation suite \xE0 l'ajout d'une r\xE8gle de\
        \ d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence\
        \ de guides d'exploitation ou d'administration pr\xE9cisant les modalit\xE9\
        s d'impl\xE9mentation des r\xE8gles de d\xE9tection dans les outils techniques\
        \ d'analyse.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la notification au commanditaire\
        \ en cas d'impossibilit\xE9 ou de difficult\xE9 d'impl\xE9mentation d'une\
        \ r\xE8gle.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que l'impossibilit\xE9\
        \ ou la difficult\xE9 d'impl\xE9mentation de r\xE8gles est document\xE9e concernant\
        \ les raisons de l'\xE9chec/difficult\xE9 d'impl\xE9mentation. \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.p
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.p
      name: "Suivi de l'impl\xE9mentation des r\xE8gles de d\xE9tection dans les outils\
        \ techniques d'analyse"
      description: "Le prestataire doit \xE9laborer et tenir \xE0 jour pour chaque\
        \ commanditaire la liste des ajouts de r\xE8gles dans les outils techniques\
        \ d\u2019analyse faisant figurer le r\xE9sultat de l\u2019impl\xE9mentation\
        \ (impl\xE9ment\xE9 / \xE9chec) et les raisons de l\u2019\xE9chec d\u2019\
        impl\xE9mentation le cas \xE9ch\xE9ant."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des r\xE8gles de d\xE9tection d'une prestation type\n\
        \nV\xE9rification(s): \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la mise\
        \ \xE0 jour syst\xE9matique de la liste des ajouts de r\xE8gles dans les outils\
        \ techniques d'analyse \xE0 chaque tentative d'impl\xE9mentation (r\xE9ussie\
        \ ou \xE9chou\xE9e), avec les informations suivantes :\n- r\xE9sultat de l\u2019\
        impl\xE9mentation (impl\xE9ment\xE9 / \xE9chec)\n- raisons de l\u2019\xE9\
        chec d\u2019impl\xE9mentation le cas \xE9ch\xE9ant.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la liste des r\xE8gles de d\xE9tection d'une\
        \ prestation type permet la maintien du statut de chaque r\xE8gle avec la\
        \ possibilit\xE9 de documenter les raisons d'un \xE9chec d'impl\xE9mentation\
        \ ou les difficult\xE9s de mise en \u0153uvre rencontr\xE9es.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:6
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Qualification des incidents de s\xE9curit\xE9"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.q
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:6
      ref_id: IV.2.1.q
      description: "q) Le prestataire doit qualifier les incidents de s\xE9curit\xE9\
        \ d\xE9tect\xE9s en vue d\u2019appr\xE9cier leur v\xE9racit\xE9 (faux positif\
        \ ou incident r\xE9el) et leur niveau de gravit\xE9 (impacts fonctionnels,\
        \ informationnels, etc.)."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des incidents redout\xE9s type et \xE9chelles d'impact/de\
        \ gravit\xE9 type associ\xE9es\n\u2022 Guides d'exploitation ou d'administration\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la qualification\
        \ syst\xE9matique des incidents de s\xE9curit\xE9 d\xE9tect\xE9s.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans les guides d'exploitation\
        \ la pr\xE9sence de m\xE9thodologies de qualification des incidents de s\xE9\
        curit\xE9\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier les m\xE9thodologies\
        \ de qualification des incidents de s\xE9curit\xE9 sont coh\xE9rentes par\
        \ rapport \xE0 l'organisation du service de d\xE9tection (niveaux de traitement\
        \ N1, N2, N3 ...) et les \xE9ventuelles particularit\xE9s de certaines prestations\
        \ (particularit\xE9s techniques, technologiques, organisationnelles ...).\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier les m\xE9thodologies de\
        \ qualification des incidents de s\xE9curit\xE9 s'emploient \xE0 appr\xE9\
        cier la v\xE9racit\xE9, via, entre-autres, l'identification de faux positifs\
        \ et le niveau de gravit\xE9 des incidents de s\xE9curit\xE9 d\xE9tect\xE9\
        s (impacts et cons\xE9quences).\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d'une \xE9chelle de gravit\xE9 type associ\xE9e \xE0 la\
        \ liste des incidents redout\xE9s type.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit et d\xE9crive, au d\xE9marrage d'une prestation, l'\xE9tablissement\
        \ d'une \xE9chelle de gravit\xE9 avec le commanditaire, prenant en compte\
        \ :\n- l'appr\xE9ciation des risques \xE9tablie par le commanditaire, notamment\
        \ les menaces, les actifs, les impacts potentiels et leur niveau de gravit\xE9\
        .\n- une \xE9chelle de gravit\xE9 type associ\xE9e aux incidents redout\xE9\
        s.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.r
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:6
      ref_id: IV.2.1.r
      description: "r) Le prestataire doit \xE9tablir avec le commanditaire une \xE9\
        chelle de gravit\xE9 associ\xE9e aux incidents redout\xE9s, en prenant en\
        \ compte l\u2019appr\xE9ciation des risques et notamment les menaces, les\
        \ actifs, les impacts potentiels et leur niveau de gravit\xE9."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des incidents redout\xE9s type et \xE9chelles d'impact/de\
        \ gravit\xE9 type associ\xE9es\n\u2022 Guides d'exploitation ou d'administration\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la qualification\
        \ syst\xE9matique des incidents de s\xE9curit\xE9 d\xE9tect\xE9s.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans les guides d'exploitation\
        \ la pr\xE9sence de m\xE9thodologies de qualification des incidents de s\xE9\
        curit\xE9\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier les m\xE9thodologies\
        \ de qualification des incidents de s\xE9curit\xE9 sont coh\xE9rentes par\
        \ rapport \xE0 l'organisation du service de d\xE9tection (niveaux de traitement\
        \ N1, N2, N3 ...) et les \xE9ventuelles particularit\xE9s de certaines prestations\
        \ (particularit\xE9s techniques, technologiques, organisationnelles ...).\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier les m\xE9thodologies de\
        \ qualification des incidents de s\xE9curit\xE9 s'emploient \xE0 appr\xE9\
        cier la v\xE9racit\xE9, via, entre-autres, l'identification de faux positifs\
        \ et le niveau de gravit\xE9 des incidents de s\xE9curit\xE9 d\xE9tect\xE9\
        s (impacts et cons\xE9quences).\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d'une \xE9chelle de gravit\xE9 type associ\xE9e \xE0 la\
        \ liste des incidents redout\xE9s type.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit et d\xE9crive, au d\xE9marrage d'une prestation, l'\xE9tablissement\
        \ d'une \xE9chelle de gravit\xE9 avec le commanditaire, prenant en compte\
        \ :\n- l'appr\xE9ciation des risques \xE9tablie par le commanditaire, notamment\
        \ les menaces, les actifs, les impacts potentiels et leur niveau de gravit\xE9\
        .\n- une \xE9chelle de gravit\xE9 type associ\xE9e aux incidents redout\xE9\
        s.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.s
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.s
      name: "Utilisation de l'\xE9chelle de gravit\xE9 de l'ISO 27035"
      description: "Il est recommand\xE9 que le prestataire utilise l\u2019\xE9chelle\
        \ de gravit\xE9 des incidents de s\xE9curit\xE9 de l\u2019annexe C de [ISO27035]."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:7
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: Recherches en sources ouvertes
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.t
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:7
      ref_id: IV.2.1.t
      description: "t) Dans le cadre de la qualification d\u2019un incident de s\xE9\
        curit\xE9, le prestataire peut \xEAtre amen\xE9 \xE0 r\xE9aliser des recherches\
        \ en sources ouvertes, sur Internet notamment, \xE0 partir d\u2019informations\
        \ collect\xE9es ou issues des analyses (empreintes cryptographiques, noms\
        \ de fichiers ou de codes malveillants, cha\xEEnes de caract\xE8res contenues\
        \ dans des codes malveillants, noms de domaines et adresses IP, etc.). \n\
        Les recherches en sources ouvertes \xE0 partir d\u2019informations collect\xE9\
        es ou issues des analyses peuvent \xE9veiller l\u2019attention d\u2019un attaquant.\
        \ Il est donc important que le prestataire observe la plus grande prudence\
        \ en les effectuant. Ainsi, il doit tenir compte du marquage des r\xE8gles\
        \ de d\xE9tection indiquant la possibilit\xE9 au non de r\xE9aliser une telle\
        \ recherche (voir IV.2.1 h)).\nLe prestataire doit d\xE9finir une m\xE9thodologie\
        \ pour la recherche en sources ouvertes \xE0 partir d\u2019informations collect\xE9\
        es ou issues des analyses. Elle doit pr\xE9ciser les types d\u2019informations\
        \ pouvant \xEAtre recherch\xE9s et les modalit\xE9s associ\xE9es."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation ou d'administration\n\u2022 M\xE9thode\
        \ de recherche en sources ouvertes\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la possibilit\xE9 de recourir \xE0 des recherches\
        \ en sources ouvertes.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la m\xE9thodologie de recherche en sources ouvertes est document\xE9\
        e, par exemple dans les guides d'exploitation.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la m\xE9thodologie de recherche en sources ouvertes\
        \ pr\xE9cise\n  - les conditions techniques et organisationnelles de ces recherches\
        \ ;\n  - les types d'information qui peuvent \xEAtre recherch\xE9s ou qui\
        \ ne le doivent pas ;\n  - les bases d'information internes \xE0 la disposition\
        \ des op\xE9rateurs\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la m\xE9thodologie de recherche en sources ouvertes d\xE9crit la gestion\
        \ du niveau de discr\xE9tion et de confidentialit\xE9 via l'usage du marquage\
        \ des r\xE8gles de d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la m\xE9thodologie de recherche en sources ouvertes pr\xE9voit\
        \ de privil\xE9gier le recours \xE0 des bases d'informations internes pour\
        \ toute op\xE9ration de recherche \xE0 des fins de qualification d'un incident\
        \ de s\xE9curit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.u
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:7
      ref_id: IV.2.1.u
      description: "u) Le prestataire doit utiliser, autant que possible, des bases\
        \ d\u2019informations internes issues de sources ouvertes (bases RIPE, plateformes\
        \ antivirales hors ligne, bases de r\xE9solution DNS, etc.) afin de limiter\
        \ au maximum les recherches sur Internet."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation ou d'administration\n\u2022 M\xE9thode\
        \ de recherche en sources ouvertes\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la possibilit\xE9 de recourir \xE0 des recherches\
        \ en sources ouvertes.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la m\xE9thodologie de recherche en sources ouvertes est document\xE9\
        e, par exemple dans les guides d'exploitation.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la m\xE9thodologie de recherche en sources ouvertes\
        \ pr\xE9cise\n  - les conditions techniques et organisationnelles de ces recherches\
        \ ;\n  - les types d'information qui peuvent \xEAtre recherch\xE9s ou qui\
        \ ne le doivent pas ;\n  - les bases d'information internes \xE0 la disposition\
        \ des op\xE9rateurs\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la m\xE9thodologie de recherche en sources ouvertes d\xE9crit la gestion\
        \ du niveau de discr\xE9tion et de confidentialit\xE9 via l'usage du marquage\
        \ des r\xE8gles de d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la m\xE9thodologie de recherche en sources ouvertes pr\xE9voit\
        \ de privil\xE9gier le recours \xE0 des bases d'informations internes pour\
        \ toute op\xE9ration de recherche \xE0 des fins de qualification d'un incident\
        \ de s\xE9curit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.v
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.v
      name: "Int\xE9gration des r\xE9sultats des tests de vuln\xE9rabilit\xE9s et\
        \ d'intrusion r\xE9alis\xE9s par le commanditaire"
      description: "Le prestataire doit \xEAtre en mesure d\u2019int\xE9grer les r\xE9\
        sultats des tests de vuln\xE9rabilit\xE9s et d\u2019intrusion r\xE9alis\xE9\
        s par le commanditaire sur son syst\xE8me d\u2019information. Cela peut notamment\
        \ se traduire par :\n- la cr\xE9ation de r\xE8gles de d\xE9tection associ\xE9\
        es aux vuln\xE9rabilit\xE9s identifi\xE9es ;\n- la constitution de bases de\
        \ connaissances sur les vuln\xE9rabilit\xE9s existantes pour am\xE9liorer\
        \ le diagnostic, que ce soit par les outils techniques d\u2019analyse (corr\xE9\
        lation) ou les op\xE9rateurs (capitalisation et utilisation des connaissances\
        \ contextuelles du SI supervis\xE9)."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ l'int\xE9gration des r\xE9sultats de tests de vuln\xE9rabilit\xE9s et d'intrusion\
        \ r\xE9alis\xE9s par le commanditaire sur son SI \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9cise les modalit\xE9s d'int\xE9gration des r\xE9sultats :\n-\
        \ d\xE9lai de prise en compte des r\xE9sultats\n- cr\xE9ation de r\xE8gles\
        \ de d\xE9tection associ\xE9es aux vuln\xE9rabilit\xE9s identifi\xE9es ;\n\
        - constitution de bases de connaissances sur les vuln\xE9rabilit\xE9s existantes\n\
        - etc.\n\u2022 Dans le cas o\xF9 il ne serait pas possible de cr\xE9er des\
        \ r\xE8gles de d\xE9tection imm\xE9diatement, par exemple pour des questions\
        \ d'ordre technique portant sur les capacit\xE9s de d\xE9tection (ex : besoin\
        \ d'un d\xE9veloppement sur mesure), le centre d'\xE9valuation doit v\xE9\
        rifier que les \xE9volutions n\xE9cessaires sont planifi\xE9es ou d\xE9ja\
        \ r\xE9alis\xE9es.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:8
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Cr\xE9ation de ticket pour chaque incident de s\xE9curit\xE9 d\xE9tect\xE9"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.w
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:8
      ref_id: IV.2.1.w
      description: "w) Le prestataire doit cr\xE9er un ticket pour chaque incident\
        \ de s\xE9curit\xE9 d\xE9tect\xE9 et le mettre \xE0 disposition du commanditaire.\
        \ Ce ticket d\u2019incident de s\xE9curit\xE9 doit au minimum comprendre les\
        \ \xE9l\xE9ments suivants : \n- la date de cr\xE9ation du ticket et des diff\xE9\
        rentes op\xE9rations r\xE9alis\xE9es sur celui-ci (tra\xE7abilit\xE9 des actions)\
        \ ;\n- la date et l\u2019heure de la d\xE9tection de l\u2019incident de s\xE9\
        curit\xE9 ;\n- la date effective de l\u2019\xE9v\xE9nement ou des \xE9v\xE9\
        nements ayant donn\xE9 lieu \xE0 l\u2019incident de s\xE9curit\xE9 ;\n- la\
        \ description de l\u2019incident de s\xE9curit\xE9 ;\n- le niveau de classification\
        \ de l\u2019incident [IGI_1300] [II_901] ;\n- la gravit\xE9 de l\u2019incident\
        \ de s\xE9curit\xE9 ;\n- la description de l\u2019impact de l\u2019incident\
        \ de s\xE9curit\xE9 pour le commanditaire ;\n- les identifiants et num\xE9\
        ros de version des r\xE8gles de d\xE9tection d\xE9clench\xE9es ;\n- les \xE9\
        quipements ayant g\xE9n\xE9r\xE9 et collect\xE9 les \xE9v\xE9nements de l\u2019\
        incidents ; \n- les identifiants des \xE9v\xE9nements ayant permis la d\xE9\
        tection de l\u2019incident ;\n- le risque induit par l\u2019incident."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Ticket d'incident type\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la cr\xE9ation d'un ticket d'incident pour chaque\
        \ incident de s\xE9curit\xE9 d\xE9tect\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le ticket d'incident type comprend a minima les informations\
        \ suivantes :\n- la date de cr\xE9ation du ticket et des diff\xE9rentes op\xE9\
        rations r\xE9alis\xE9es sur celui-ci (tra\xE7abilit\xE9 des actions) ;\n-\
        \ la date et l\u2019heure de la d\xE9tection de l\u2019incident de s\xE9curit\xE9\
        \ ;\n- la date effective de l\u2019\xE9v\xE9nement ou des \xE9v\xE9nements\
        \ ayant donn\xE9 lieu \xE0 l\u2019incident de s\xE9curit\xE9 ;\n- la description\
        \ de l\u2019incident de s\xE9curit\xE9 ;\n- le niveau de classification de\
        \ l\u2019incident [IGI_1300] [II_901] ;\n- la gravit\xE9 de l\u2019incident\
        \ de s\xE9curit\xE9 ;\n- l\u2019impact de l\u2019incident de s\xE9curit\xE9\
        \ pour le commanditaire ;\n- les identifiants des r\xE8gles de d\xE9tection\
        \ d\xE9clench\xE9es ;\n- les \xE9quipements ayant g\xE9n\xE9r\xE9 et collect\xE9\
        \ les \xE9v\xE9nements de l\u2019incidents ; \n- les identifiants des \xE9\
        v\xE9nements ayant permis la d\xE9tection de l\u2019incident ;\n- le risque\
        \ induit par l\u2019incident.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ en d\xE9but de prestation, la d\xE9finition du format des tickets d'incident\
        \ de s\xE9curit\xE9 avec le commanditaire.\n\nPr\xE9cision(s):\n\u2022 Le\
        \ processus de d\xE9livrance d'une prestation PDIS doit permettre au commanditaire\
        \ de demander des modifications ou adaptations du format du ticket d'incident.\n\
        \u2022 Le processus de d\xE9livrance d'une prestation PDIS peut exiger l'ajout\
        \ de mesure de r\xE9solution de l'incident d\xE9tect\xE9 \xE0 un ticket d'incident\
        \ (issue d'une liste type de mesures associ\xE9es \xE0 des incidents types)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.x
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:8
      ref_id: IV.2.1.x
      description: "x) Le prestataire doit d\xE9finir avec le commanditaire le format\
        \ des tickets d\u2019incident de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Ticket d'incident type\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la cr\xE9ation d'un ticket d'incident pour chaque\
        \ incident de s\xE9curit\xE9 d\xE9tect\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le ticket d'incident type comprend a minima les informations\
        \ suivantes :\n- la date de cr\xE9ation du ticket et des diff\xE9rentes op\xE9\
        rations r\xE9alis\xE9es sur celui-ci (tra\xE7abilit\xE9 des actions) ;\n-\
        \ la date et l\u2019heure de la d\xE9tection de l\u2019incident de s\xE9curit\xE9\
        \ ;\n- la date effective de l\u2019\xE9v\xE9nement ou des \xE9v\xE9nements\
        \ ayant donn\xE9 lieu \xE0 l\u2019incident de s\xE9curit\xE9 ;\n- la description\
        \ de l\u2019incident de s\xE9curit\xE9 ;\n- le niveau de classification de\
        \ l\u2019incident [IGI_1300] [II_901] ;\n- la gravit\xE9 de l\u2019incident\
        \ de s\xE9curit\xE9 ;\n- l\u2019impact de l\u2019incident de s\xE9curit\xE9\
        \ pour le commanditaire ;\n- les identifiants des r\xE8gles de d\xE9tection\
        \ d\xE9clench\xE9es ;\n- les \xE9quipements ayant g\xE9n\xE9r\xE9 et collect\xE9\
        \ les \xE9v\xE9nements de l\u2019incidents ; \n- les identifiants des \xE9\
        v\xE9nements ayant permis la d\xE9tection de l\u2019incident ;\n- le risque\
        \ induit par l\u2019incident.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ en d\xE9but de prestation, la d\xE9finition du format des tickets d'incident\
        \ de s\xE9curit\xE9 avec le commanditaire.\n\nPr\xE9cision(s):\n\u2022 Le\
        \ processus de d\xE9livrance d'une prestation PDIS doit permettre au commanditaire\
        \ de demander des modifications ou adaptations du format du ticket d'incident.\n\
        \u2022 Le processus de d\xE9livrance d'une prestation PDIS peut exiger l'ajout\
        \ de mesure de r\xE9solution de l'incident d\xE9tect\xE9 \xE0 un ticket d'incident\
        \ (issue d'une liste type de mesures associ\xE9es \xE0 des incidents types)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.y
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.y
      name: Utilisation des format de l'ETSI
      description: "Il est recommand\xE9 que le prestataire utilise le format des\
        \ tickets d\u2019incident de s\xE9curit\xE9 propos\xE9 dans [ETSI_ISG_ISI]."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.z
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      ref_id: IV.2.1.z
      name: Outil de gestion des tickets
      description: "Le prestataire doit disposer au sein de la zone d\u2019analyse\
        \ d\u2019un outil de gestion de tickets d\u2019incident de s\xE9curit\xE9"
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier sur le document d'architecture du service de d\xE9tection qu'un outil\
        \ de gestion des tickets d'incident de s\xE9curit\xE9 est bien d\xE9ploy\xE9\
        \ dans la zone d'analyse.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:9
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Stockage centralis\xE9 des incidents de s\xE9curit\xE9"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.aa
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:9
      ref_id: IV.2.1.aa
      description: "aa) Le prestataire doit associer \xE0 chaque ticket d\u2019incident\
        \ de s\xE9curit\xE9 son contexte (\xE9v\xE9nements associ\xE9s et rapport(s)\
        \ d\u2019analyse(s) de qualification) et stocker de mani\xE8re centralis\xE9\
        e ces \xE9l\xE9ments, que les incidents de s\xE9curit\xE9 soient en cours\
        \ de qualification, av\xE9r\xE9s ou cl\xF4tur\xE9s."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\u2022\
        \ Processus de gestion de la capacit\xE9 des ressources IT\n\u2022 Guides\
        \ d'exploitation et d'administration\n\u2022 Registre des incidents de s\xE9\
        curit\xE9 type\n\nV\xE9rification(s):\n\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit le stockage centralis\xE9 des incidents de s\xE9curit\xE9 associ\xE9\
        s \xE0 leur contexte\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le document d'architecture du service de d\xE9tection pr\xE9sente des \xE9\
        l\xE9ments techniques permettant le stockage centralis\xE9 des incidents de\
        \ s\xE9curit\xE9\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les\
        \ modalit\xE9s de r\xE9cup\xE9ration, d'association et de stockage des \xE9\
        v\xE9nements et autres \xE9l\xE9ments de contexte (ex : rapports d'analyse)\
        \ associ\xE9s \xE0 un incidents de s\xE9curit\xE9 sont formalis\xE9es, par\
        \ exemple dans le processus de d\xE9livrance d'une prestation PDIS ou dans\
        \ les guides d'exploitation\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ qu'il existe un registre des incidents de s\xE9curit\xE9 type permettant\
        \ la gestion centralis\xE9e, chronologique et par commanditaire.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour d'un registre centralis\xE9\
        \ et chronologique par commanditaire \xE0 chaque incident d\xE9tect\xE9  \
        \  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de\
        \ gestion de la capacit\xE9 des ressources IT pr\xE9voit de suivre la capacit\xE9\
        \ de stockage des incidents de s\xE9curit\xE9 et de leur contexte et de l\u2019\
        adapter pour assurer leur conservation sur toute la dur\xE9e de la prestation,\
        \ dans la limite du respect de la l\xE9gislation et la r\xE9glementation en\
        \ vigueur sur le territoire national (voir exigence IV.1.b)).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les modalit\xE9s de mise \xE0 jour\
        \ du registre centralis\xE9 et chronologique des incidents par commanditaire\
        \ sont document\xE9es, par exemple dans les guides d'exploitation et d'administration.\n\
        \         \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.bb
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:9
      ref_id: IV.2.1.bb
      description: "bb) Le prestataire doit mettre en place et tenir \xE0 jour un\
        \ registre centralis\xE9 et chronologique par commanditaire identifiant l\u2019\
        ensemble des incidents de s\xE9curit\xE9 d\xE9tect\xE9s."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\u2022\
        \ Processus de gestion de la capacit\xE9 des ressources IT\n\u2022 Guides\
        \ d'exploitation et d'administration\n\u2022 Registre des incidents de s\xE9\
        curit\xE9 type\n\nV\xE9rification(s):\n\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit le stockage centralis\xE9 des incidents de s\xE9curit\xE9 associ\xE9\
        s \xE0 leur contexte\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le document d'architecture du service de d\xE9tection pr\xE9sente des \xE9\
        l\xE9ments techniques permettant le stockage centralis\xE9 des incidents de\
        \ s\xE9curit\xE9\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les\
        \ modalit\xE9s de r\xE9cup\xE9ration, d'association et de stockage des \xE9\
        v\xE9nements et autres \xE9l\xE9ments de contexte (ex : rapports d'analyse)\
        \ associ\xE9s \xE0 un incidents de s\xE9curit\xE9 sont formalis\xE9es, par\
        \ exemple dans le processus de d\xE9livrance d'une prestation PDIS ou dans\
        \ les guides d'exploitation\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ qu'il existe un registre des incidents de s\xE9curit\xE9 type permettant\
        \ la gestion centralis\xE9e, chronologique et par commanditaire.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour d'un registre centralis\xE9\
        \ et chronologique par commanditaire \xE0 chaque incident d\xE9tect\xE9  \
        \  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de\
        \ gestion de la capacit\xE9 des ressources IT pr\xE9voit de suivre la capacit\xE9\
        \ de stockage des incidents de s\xE9curit\xE9 et de leur contexte et de l\u2019\
        adapter pour assurer leur conservation sur toute la dur\xE9e de la prestation,\
        \ dans la limite du respect de la l\xE9gislation et la r\xE9glementation en\
        \ vigueur sur le territoire national (voir exigence IV.1.b)).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les modalit\xE9s de mise \xE0 jour\
        \ du registre centralis\xE9 et chronologique des incidents par commanditaire\
        \ sont document\xE9es, par exemple dans les guides d'exploitation et d'administration.\n\
        \         \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.cc
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:9
      ref_id: IV.2.1.cc
      description: "cc) Le prestataire doit mettre en place un processus de gestion\
        \ de la capacit\xE9 de stockage des tickets d\u2019incidents de s\xE9curit\xE9\
        \ et de leur contexte, permettant de suivre son \xE9volution et d\u2019\xEA\
        tre en mesure de l\u2019adapter pour assurer leur conservation sur toute la\
        \ dur\xE9e de la prestation, dans la limite du respect de la l\xE9gislation\
        \ et la r\xE9glementation en vigueur sur le territoire national (voir exigence\
        \ IV.1.b))."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\u2022\
        \ Processus de gestion de la capacit\xE9 des ressources IT\n\u2022 Guides\
        \ d'exploitation et d'administration\n\u2022 Registre des incidents de s\xE9\
        curit\xE9 type\n\nV\xE9rification(s):\n\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit le stockage centralis\xE9 des incidents de s\xE9curit\xE9 associ\xE9\
        s \xE0 leur contexte\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le document d'architecture du service de d\xE9tection pr\xE9sente des \xE9\
        l\xE9ments techniques permettant le stockage centralis\xE9 des incidents de\
        \ s\xE9curit\xE9\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les\
        \ modalit\xE9s de r\xE9cup\xE9ration, d'association et de stockage des \xE9\
        v\xE9nements et autres \xE9l\xE9ments de contexte (ex : rapports d'analyse)\
        \ associ\xE9s \xE0 un incidents de s\xE9curit\xE9 sont formalis\xE9es, par\
        \ exemple dans le processus de d\xE9livrance d'une prestation PDIS ou dans\
        \ les guides d'exploitation\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ qu'il existe un registre des incidents de s\xE9curit\xE9 type permettant\
        \ la gestion centralis\xE9e, chronologique et par commanditaire.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour d'un registre centralis\xE9\
        \ et chronologique par commanditaire \xE0 chaque incident d\xE9tect\xE9  \
        \  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de\
        \ gestion de la capacit\xE9 des ressources IT pr\xE9voit de suivre la capacit\xE9\
        \ de stockage des incidents de s\xE9curit\xE9 et de leur contexte et de l\u2019\
        adapter pour assurer leur conservation sur toute la dur\xE9e de la prestation,\
        \ dans la limite du respect de la l\xE9gislation et la r\xE9glementation en\
        \ vigueur sur le territoire national (voir exigence IV.1.b)).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les modalit\xE9s de mise \xE0 jour\
        \ du registre centralis\xE9 et chronologique des incidents par commanditaire\
        \ sont document\xE9es, par exemple dans les guides d'exploitation et d'administration.\n\
        \         \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1:10
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1
      name: "Analyse a posteriori sur l'ensemble des \xE9v\xE9nements stock\xE9s"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.dd
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:10
      ref_id: IV.2.1.dd
      description: "dd) La strat\xE9gie d\u2019analyse doit pr\xE9voir qu\u2019\xE0\
        \ chaque r\xE8gle de d\xE9tection cr\xE9\xE9e ou modifi\xE9e, le prestataire\
        \ proc\xE8de \xE0 une analyse a posteriori, c\u2019est-\xE0-dire \xE0 une\
        \ analyse sur l\u2019ensemble des \xE9v\xE9nements stock\xE9s depuis une p\xE9\
        riode d\xE9finie avec le commanditaire dans la strat\xE9gie d\u2019analyse.\n\
        Cette exigence ne s\u2019applique pas aux r\xE8gles de d\xE9tection n\xE9\
        cessitant des types d\u2019\xE9v\xE9nements non encore pr\xE9sents dans les\
        \ syst\xE8mes de stockage des \xE9v\xE9nements. \nLe prestataire doit \xEA\
        tre en mesure de rechercher a minima les indicateurs de compromission des\
        \ types suivants : \n- Fichiers : empreinte (MD5, SHA1, SHA256), empreinte\
        \ du nom, chemin d\u2019acc\xE8s, taille, extension, nombre magique (magic\
        \ number) ;\n- Adresses IP publiques ;\n- Domaines pour les protocoles suivants\
        \ : HTTP, SMTP et DNS ;\n- URL ;\n- Agent utilisateur (User-Agent) ;\n- Champs\
        \ d\u2019emails : domaine source, domaine destination, empreinte du sujet,\
        \ horodate ;\n- Champs de certificats X509 : empreinte, \xE9metteur, date\
        \ de validit\xE9, sujet, extensions, nom d\u2019h\xF4te, horodate.\nIl est\
        \ recommand\xE9 que le prestataire soit en mesure de rechercher des combinaisons\
        \ de ces indicateurs de compromission."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS :\n- pr\xE9voit de pouvoir lancer une analyse sur l'ensemble\
        \ des \xE9v\xE9nements stock\xE9s depuis une p\xE9riode d\xE9finie avec le\
        \ commanditaire dans la strat\xE9gie d\u2019analyse,\n- d\xE9finit les modalit\xE9\
        s de cette analyse (d\xE9lai, profondeur, etc.), \n- pr\xE9cise que cette\
        \ analyse est obligatoire et syst\xE9matique lors de la cr\xE9ation ou de\
        \ la modification d'une r\xE8gle de d\xE9tection.   \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier le processus de d\xE9livrance d'une prestation\
        \ PDIS, pr\xE9voit que l'analyse sur l'ensemble des \xE9v\xE9nements stock\xE9\
        s est r\xE9alisable sur six mois, au minimum. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce processus d\xE9finit les modalit\xE9s de demande\
        \ d'une analyse sur les \xE9v\xE9nements collect\xE9s des six derniers mois\
        \ par le commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s de recherche a posteriori, a minima des indicateurs\
        \ de compromission cit\xE9s dans l'exigence IV.2.1.bb), sont formalis\xE9\
        es, par exemple dans les guides d'exploitation.                    \n    \
        \    \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.1.ee
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.1:10
      ref_id: IV.2.1.ee
      description: "ee) Le prestataire doit \xEAtre capable sur demande du commanditaire\
        \ de proc\xE9der \xE0 une analyse sur l\u2019ensemble des \xE9v\xE9nements\
        \ stock\xE9s depuis six mois."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS :\n- pr\xE9voit de pouvoir lancer une analyse sur l'ensemble\
        \ des \xE9v\xE9nements stock\xE9s depuis une p\xE9riode d\xE9finie avec le\
        \ commanditaire dans la strat\xE9gie d\u2019analyse,\n- d\xE9finit les modalit\xE9\
        s de cette analyse (d\xE9lai, profondeur, etc.), \n- pr\xE9cise que cette\
        \ analyse est obligatoire et syst\xE9matique lors de la cr\xE9ation ou de\
        \ la modification d'une r\xE8gle de d\xE9tection.   \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier le processus de d\xE9livrance d'une prestation\
        \ PDIS, pr\xE9voit que l'analyse sur l'ensemble des \xE9v\xE9nements stock\xE9\
        s est r\xE9alisable sur six mois, au minimum. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce processus d\xE9finit les modalit\xE9s de demande\
        \ d'une analyse sur les \xE9v\xE9nements collect\xE9s des six derniers mois\
        \ par le commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s de recherche a posteriori, a minima des indicateurs\
        \ de compromission cit\xE9s dans l'exigence IV.2.1.bb), sont formalis\xE9\
        es, par exemple dans les guides d'exploitation.                    \n    \
        \    \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2
      ref_id: IV.2.2
      name: "Gestion des \xE9v\xE9nements"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      name: "D\xE9finition et mise en \u0153uvre d'une strat\xE9gie de collecte"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:1
      ref_id: IV.2.2.a
      description: "a) Le prestataire doit \xE9laborer avec le commanditaire et mettre\
        \ en \u0153uvre une strat\xE9gie de collecte bas\xE9e sur la liste des incidents\
        \ de s\xE9curit\xE9 redout\xE9s (voir exigence IV.2.1.a). La strat\xE9gie\
        \ de collecte doit \xEAtre revue avec le commanditaire lors des comit\xE9\
        s op\xE9rationnels d\xE9finis au chapitre IV.4.3."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\u2022\
        \ Liste des sources de collecte support\xE9es par le prestataire\n\u2022 M\xE9\
        thodes de collecte\n\u2022 Strat\xE9gie de collecte type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'une strat\xE9gie de collecte\
        \ type existe.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la construction et la\
        \ mise en \u0153uvre d'une strat\xE9gie de collecte bas\xE9e sur la liste\
        \ des incidents de s\xE9curit\xE9 redout\xE9s, utilisant la strat\xE9gie de\
        \ collecte type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ strat\xE9gie de collecte type permet que soient pr\xE9cis\xE9s les sources\
        \ de collecte, les collecteurs, les \xE9v\xE9nements \xE0 collecter, les m\xE9\
        thodes de collecte (protocoles, applications, propri\xE9t\xE9s de s\xE9curit\xE9\
        , etc.) et les fr\xE9quences de collecte.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9cise o\xF9 trouver la documentation des m\xE9thodes de collecte (protocoles,\
        \ applications, propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux\
        \ diff\xE9rentes sources de collecte support\xE9es.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9cise que la revue de la strat\xE9gie de collecte est \xE0 l'ordre\
        \ du jour des comit\xE9s op\xE9rationnels.         \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier l'existence d\u2019un support et/ou compte-rendu\
        \ type d'un comit\xE9 op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend\
        \ la revue de la strat\xE9gie de collecte.                      \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la liste des sources de collecte\
        \ support\xE9es par le prestataire existe et contient au minimum les produits\
        \ courants de chaque type de la liste suivante : \n- \xE9quipements de s\xE9\
        curit\xE9 : pare-feu r\xE9seau, pare-feu applicatifs, chiffreurs, sondes et\
        \ en particulier les sondes agr\xE9\xE9es par l\u2019ANSSI au niveau ad\xE9\
        quat, antivirus, serveurs d\u2019authentification, concentrateurs VPN, passerelles\
        \ SSL, mandataires (proxy), mandataires inverses (proxy inverse) ;\n- \xE9\
        quipements r\xE9seau : routeurs, commutateurs, netflow, serveurs DNS, r\xE9\
        partiteurs de charge, serveurs de temps ;\n- serveurs d\u2019infrastructure\
        \ : authentification, annuaires, t\xE9l\xE9distribution, t\xE9l\xE9gestion,\
        \ supervision, virtualisation, serveurs de fichiers, sauvegardes, messagerie,\
        \ impression ;\n- serveurs m\xE9tier : serveurs Web, bases de donn\xE9es,\
        \ serveurs de fichiers, collecteurs ;\n- postes de travail : principaux syst\xE8\
        mes d\u2019exploitation ;\n- terminaux mobiles.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les m\xE9thodes de collecte (protocoles, applications,\
        \ propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux diff\xE9rentes\
        \ sources de collecte support\xE9es sont document\xE9es.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les m\xE9thodes de collecte associ\xE9\
        es aux sources de collecte pr\xE9voient, a minima, pour chaque source de collecte,\
        \ la journalisation des \xE9v\xE9nements identifi\xE9s dans l\u2019annexe\
        \ A de la note technique de l\u2019ANSSI consacr\xE9e \xE0 la mise en \u0153\
        uvre d\u2019un syst\xE8me de journalisation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:1
      ref_id: IV.2.2.b
      description: "b) La strat\xE9gie de collecte doit identifier la liste des sources\
        \ de collecte, des collecteurs, des \xE9v\xE9nements \xE0 collecter, d\xE9\
        crire les m\xE9thodes de collecte (protocoles, applications, propri\xE9t\xE9\
        s de s\xE9curit\xE9, etc.) et identifier les fr\xE9quences de collecte."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\u2022\
        \ Liste des sources de collecte support\xE9es par le prestataire\n\u2022 M\xE9\
        thodes de collecte\n\u2022 Strat\xE9gie de collecte type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'une strat\xE9gie de collecte\
        \ type existe.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la construction et la\
        \ mise en \u0153uvre d'une strat\xE9gie de collecte bas\xE9e sur la liste\
        \ des incidents de s\xE9curit\xE9 redout\xE9s, utilisant la strat\xE9gie de\
        \ collecte type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ strat\xE9gie de collecte type permet que soient pr\xE9cis\xE9s les sources\
        \ de collecte, les collecteurs, les \xE9v\xE9nements \xE0 collecter, les m\xE9\
        thodes de collecte (protocoles, applications, propri\xE9t\xE9s de s\xE9curit\xE9\
        , etc.) et les fr\xE9quences de collecte.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9cise o\xF9 trouver la documentation des m\xE9thodes de collecte (protocoles,\
        \ applications, propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux\
        \ diff\xE9rentes sources de collecte support\xE9es.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9cise que la revue de la strat\xE9gie de collecte est \xE0 l'ordre\
        \ du jour des comit\xE9s op\xE9rationnels.         \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier l'existence d\u2019un support et/ou compte-rendu\
        \ type d'un comit\xE9 op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend\
        \ la revue de la strat\xE9gie de collecte.                      \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la liste des sources de collecte\
        \ support\xE9es par le prestataire existe et contient au minimum les produits\
        \ courants de chaque type de la liste suivante : \n- \xE9quipements de s\xE9\
        curit\xE9 : pare-feu r\xE9seau, pare-feu applicatifs, chiffreurs, sondes et\
        \ en particulier les sondes agr\xE9\xE9es par l\u2019ANSSI au niveau ad\xE9\
        quat, antivirus, serveurs d\u2019authentification, concentrateurs VPN, passerelles\
        \ SSL, mandataires (proxy), mandataires inverses (proxy inverse) ;\n- \xE9\
        quipements r\xE9seau : routeurs, commutateurs, netflow, serveurs DNS, r\xE9\
        partiteurs de charge, serveurs de temps ;\n- serveurs d\u2019infrastructure\
        \ : authentification, annuaires, t\xE9l\xE9distribution, t\xE9l\xE9gestion,\
        \ supervision, virtualisation, serveurs de fichiers, sauvegardes, messagerie,\
        \ impression ;\n- serveurs m\xE9tier : serveurs Web, bases de donn\xE9es,\
        \ serveurs de fichiers, collecteurs ;\n- postes de travail : principaux syst\xE8\
        mes d\u2019exploitation ;\n- terminaux mobiles.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les m\xE9thodes de collecte (protocoles, applications,\
        \ propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux diff\xE9rentes\
        \ sources de collecte support\xE9es sont document\xE9es.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les m\xE9thodes de collecte associ\xE9\
        es aux sources de collecte pr\xE9voient, a minima, pour chaque source de collecte,\
        \ la journalisation des \xE9v\xE9nements identifi\xE9s dans l\u2019annexe\
        \ A de la note technique de l\u2019ANSSI consacr\xE9e \xE0 la mise en \u0153\
        uvre d\u2019un syst\xE8me de journalisation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:1
      ref_id: IV.2.2.c
      description: "c) Le prestataire doit \xEAtre au minimum capable de collecter\
        \ les \xE9v\xE9nements en provenance des sources de collecte suivantes :\n\
        - \xE9quipements de s\xE9curit\xE9 : pare-feux r\xE9seau, pare-feux applicatifs,\
        \ chiffreurs, sondes dont celles qualifi\xE9es par l\u2019ANSSI au niveau\
        \ ad\xE9quat, antivirus, concentrateurs VPN, passerelles SSL, mandataires\
        \ (proxies), mandataires inverses (proxies inverses) ;\n- \xE9quipements r\xE9\
        seau : routeurs, commutateurs, \xE9quipements g\xE9n\xE9rant des donn\xE9\
        es netflow, serveurs DNS, r\xE9partiteurs de charge, serveurs de temps ;\n\
        - serveurs d\u2019infrastructure : authentification, annuaires, t\xE9l\xE9\
        distribution, t\xE9l\xE9gestion, supervision, virtualisation, serveurs de\
        \ fichiers, sauvegardes, messagerie, impression ;\n- serveurs m\xE9tier :\
        \ serveurs Web, bases de donn\xE9es, serveurs applicatifs, collecteurs ;\n\
        - postes de travail : principaux syst\xE8mes d\u2019exploitation, applications\
        \ de s\xE9curit\xE9 ;\n- terminaux mobiles via les serveurs de gestion de\
        \ flotte mobile."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\u2022\
        \ Liste des sources de collecte support\xE9es par le prestataire\n\u2022 M\xE9\
        thodes de collecte\n\u2022 Strat\xE9gie de collecte type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'une strat\xE9gie de collecte\
        \ type existe.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la construction et la\
        \ mise en \u0153uvre d'une strat\xE9gie de collecte bas\xE9e sur la liste\
        \ des incidents de s\xE9curit\xE9 redout\xE9s, utilisant la strat\xE9gie de\
        \ collecte type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ strat\xE9gie de collecte type permet que soient pr\xE9cis\xE9s les sources\
        \ de collecte, les collecteurs, les \xE9v\xE9nements \xE0 collecter, les m\xE9\
        thodes de collecte (protocoles, applications, propri\xE9t\xE9s de s\xE9curit\xE9\
        , etc.) et les fr\xE9quences de collecte.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9cise o\xF9 trouver la documentation des m\xE9thodes de collecte (protocoles,\
        \ applications, propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux\
        \ diff\xE9rentes sources de collecte support\xE9es.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9cise que la revue de la strat\xE9gie de collecte est \xE0 l'ordre\
        \ du jour des comit\xE9s op\xE9rationnels.         \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier l'existence d\u2019un support et/ou compte-rendu\
        \ type d'un comit\xE9 op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend\
        \ la revue de la strat\xE9gie de collecte.                      \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la liste des sources de collecte\
        \ support\xE9es par le prestataire existe et contient au minimum les produits\
        \ courants de chaque type de la liste suivante : \n- \xE9quipements de s\xE9\
        curit\xE9 : pare-feu r\xE9seau, pare-feu applicatifs, chiffreurs, sondes et\
        \ en particulier les sondes agr\xE9\xE9es par l\u2019ANSSI au niveau ad\xE9\
        quat, antivirus, serveurs d\u2019authentification, concentrateurs VPN, passerelles\
        \ SSL, mandataires (proxy), mandataires inverses (proxy inverse) ;\n- \xE9\
        quipements r\xE9seau : routeurs, commutateurs, netflow, serveurs DNS, r\xE9\
        partiteurs de charge, serveurs de temps ;\n- serveurs d\u2019infrastructure\
        \ : authentification, annuaires, t\xE9l\xE9distribution, t\xE9l\xE9gestion,\
        \ supervision, virtualisation, serveurs de fichiers, sauvegardes, messagerie,\
        \ impression ;\n- serveurs m\xE9tier : serveurs Web, bases de donn\xE9es,\
        \ serveurs de fichiers, collecteurs ;\n- postes de travail : principaux syst\xE8\
        mes d\u2019exploitation ;\n- terminaux mobiles.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les m\xE9thodes de collecte (protocoles, applications,\
        \ propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux diff\xE9rentes\
        \ sources de collecte support\xE9es sont document\xE9es.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les m\xE9thodes de collecte associ\xE9\
        es aux sources de collecte pr\xE9voient, a minima, pour chaque source de collecte,\
        \ la journalisation des \xE9v\xE9nements identifi\xE9s dans l\u2019annexe\
        \ A de la note technique de l\u2019ANSSI consacr\xE9e \xE0 la mise en \u0153\
        uvre d\u2019un syst\xE8me de journalisation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:1
      ref_id: IV.2.2.e
      description: "e) Le prestataire doit \xEAtre au minimum capable de journaliser\
        \ pour chacune des sources de collecte identifi\xE9es \xE0 l\u2019exigence\
        \ IV.2.2.c) les \xE9v\xE9nements identifi\xE9s dans l\u2019annexe A de la\
        \ note technique de l\u2019ANSSI consacr\xE9e \xE0 la mise en \u0153uvre d\u2019\
        un syst\xE8me de journalisation [NT_JOURNAL]."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\u2022\
        \ Liste des sources de collecte support\xE9es par le prestataire\n\u2022 M\xE9\
        thodes de collecte\n\u2022 Strat\xE9gie de collecte type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'une strat\xE9gie de collecte\
        \ type existe.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la construction et la\
        \ mise en \u0153uvre d'une strat\xE9gie de collecte bas\xE9e sur la liste\
        \ des incidents de s\xE9curit\xE9 redout\xE9s, utilisant la strat\xE9gie de\
        \ collecte type.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ strat\xE9gie de collecte type permet que soient pr\xE9cis\xE9s les sources\
        \ de collecte, les collecteurs, les \xE9v\xE9nements \xE0 collecter, les m\xE9\
        thodes de collecte (protocoles, applications, propri\xE9t\xE9s de s\xE9curit\xE9\
        , etc.) et les fr\xE9quences de collecte.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9cise o\xF9 trouver la documentation des m\xE9thodes de collecte (protocoles,\
        \ applications, propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux\
        \ diff\xE9rentes sources de collecte support\xE9es.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9cise que la revue de la strat\xE9gie de collecte est \xE0 l'ordre\
        \ du jour des comit\xE9s op\xE9rationnels.         \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier l'existence d\u2019un support et/ou compte-rendu\
        \ type d'un comit\xE9 op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend\
        \ la revue de la strat\xE9gie de collecte.                      \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la liste des sources de collecte\
        \ support\xE9es par le prestataire existe et contient au minimum les produits\
        \ courants de chaque type de la liste suivante : \n- \xE9quipements de s\xE9\
        curit\xE9 : pare-feu r\xE9seau, pare-feu applicatifs, chiffreurs, sondes et\
        \ en particulier les sondes agr\xE9\xE9es par l\u2019ANSSI au niveau ad\xE9\
        quat, antivirus, serveurs d\u2019authentification, concentrateurs VPN, passerelles\
        \ SSL, mandataires (proxy), mandataires inverses (proxy inverse) ;\n- \xE9\
        quipements r\xE9seau : routeurs, commutateurs, netflow, serveurs DNS, r\xE9\
        partiteurs de charge, serveurs de temps ;\n- serveurs d\u2019infrastructure\
        \ : authentification, annuaires, t\xE9l\xE9distribution, t\xE9l\xE9gestion,\
        \ supervision, virtualisation, serveurs de fichiers, sauvegardes, messagerie,\
        \ impression ;\n- serveurs m\xE9tier : serveurs Web, bases de donn\xE9es,\
        \ serveurs de fichiers, collecteurs ;\n- postes de travail : principaux syst\xE8\
        mes d\u2019exploitation ;\n- terminaux mobiles.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les m\xE9thodes de collecte (protocoles, applications,\
        \ propri\xE9t\xE9s de s\xE9curit\xE9, etc.) associ\xE9es aux diff\xE9rentes\
        \ sources de collecte support\xE9es sont document\xE9es.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les m\xE9thodes de collecte associ\xE9\
        es aux sources de collecte pr\xE9voient, a minima, pour chaque source de collecte,\
        \ la journalisation des \xE9v\xE9nements identifi\xE9s dans l\u2019annexe\
        \ A de la note technique de l\u2019ANSSI consacr\xE9e \xE0 la mise en \u0153\
        uvre d\u2019un syst\xE8me de journalisation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      ref_id: IV.2.2.d
      name: "Capacit\xE9 de collecte des \xE9v\xE9nements en provenance de SI industriels"
      description: "Il est recommand\xE9 que le prestataire soit capable de collecter\
        \ les \xE9v\xE9nements en provenance des \xE9quipements constituant les syst\xE8\
        mes d\u2019information industriels : automates programmables industriels,\
        \ pare-feux industriels, commutateurs industriels et routeurs industriels"
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      name: "Capacit\xE9 de collecte"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:2
      ref_id: IV.2.2.f
      description: "f) Le prestataire doit de mani\xE8re autonome faire \xE9voluer\
        \ sa capacit\xE9 de collecte (sources de collecte et \xE9v\xE9nements collect\xE9\
        s), en lien avec la liste des incidents redout\xE9s."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ de faire \xE9voluer de mani\xE8re autonome la capacit\xE9 de collecte du\
        \ prestataire, en coh\xE9rence avec la liste des incidents redout\xE9s du\
        \ commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de d\xE9livrance d'une prestation PDIS pr\xE9voit, en cas de difficult\xE9\
        \ ou d\u2019incapacit\xE9 \xE0 mettre en \u0153uvre la collecte d\u2019un\
        \ ou plusieurs \xE9v\xE9nement(s) sur une source de collecte, la notification\
        \ du commanditaire dans les meilleurs d\xE9lais, et dans un d\xE9lai imp\xE9\
        rativement inf\xE9rieur \xE0 celui fix\xE9 dans la convention de service.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que l'impossibilit\xE9 ou\
        \ la difficult\xE9 de mise en \u0153uvre d'une collecte est document\xE9e\
        \ concernant les raisons de l'\xE9chec/difficult\xE9 d'impl\xE9mentation.\n\
        \              \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:2
      ref_id: IV.2.2.g
      description: "g) Le prestataire doit, en cas de difficult\xE9 ou d\u2019incapacit\xE9\
        \ \xE0 mettre en \u0153uvre la collecte d\u2019un ou plusieurs \xE9v\xE9nement(s)\
        \ sur une source de collecte, avertir le commanditaire dans les meilleurs\
        \ d\xE9lais, et d\xE9tailler les raisons de l\u2019\xE9chec. Le d\xE9lai maximum\
        \ entre la d\xE9cision de mise en \u0153uvre de la collecte et la notification\
        \ au commanditaire de l\u2019\xE9chec d\u2019impl\xE9mentation doit \xEAtre\
        \ d\xE9fini dans la convention de service."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ de faire \xE9voluer de mani\xE8re autonome la capacit\xE9 de collecte du\
        \ prestataire, en coh\xE9rence avec la liste des incidents redout\xE9s du\
        \ commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de d\xE9livrance d'une prestation PDIS pr\xE9voit, en cas de difficult\xE9\
        \ ou d\u2019incapacit\xE9 \xE0 mettre en \u0153uvre la collecte d\u2019un\
        \ ou plusieurs \xE9v\xE9nement(s) sur une source de collecte, la notification\
        \ du commanditaire dans les meilleurs d\xE9lais, et dans un d\xE9lai imp\xE9\
        rativement inf\xE9rieur \xE0 celui fix\xE9 dans la convention de service.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que l'impossibilit\xE9 ou\
        \ la difficult\xE9 de mise en \u0153uvre d'une collecte est document\xE9e\
        \ concernant les raisons de l'\xE9chec/difficult\xE9 d'impl\xE9mentation.\n\
        \              \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2:3
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      name: "Devoir de conseil vis-\xE0-vis de\nla strat\xE9gie de collecte"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:3
      ref_id: IV.2.2.h
      description: "h) Le prestataire doit exercer un devoir de conseil envers le\
        \ commanditaire dans l\u2019\xE9laboration, l\u2019application et la revue\
        \ de la strat\xE9gie de collecte. \xC0 ce titre, il doit conseiller le commanditaire\
        \ dans l\u2019\xE9laboration et la revue de la politique de journalisation\
        \ (sources de collecte, types d\u2019\xE9v\xE9nements \xE0 journaliser, dur\xE9\
        es de conservation, normalisation des informations, synchronisation des sources\
        \ de temps, etc.) et dans le d\xE9ploiement de dispositifs de journalisation\
        \ sur le p\xE9rim\xE8tre supervis\xE9 au sein du syst\xE8me d\u2019information\
        \ du commanditaire."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Base de connaissance conseil\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit d'\xEAtre force de proposition et de fournir\
        \ des conseils adapt\xE9s \xE0 la situation du commanditaire sur :\n- l'\xE9\
        laboration, \n- l'application, \n- la revue de la politique de journalisation\
        \ (types d\u2019\xE9v\xE9nements \xE0 journaliser, dur\xE9es de r\xE9tention,\
        \ normalisation des informations, synchronisation des sources de temps, etc.),\n\
        - le d\xE9ploiement de dispositifs de journalisation sur son syst\xE8me d\u2019\
        information.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le prestataire\
        \ dispose d'une base de connaissance conseil qui couvre le sujet de la strat\xE9\
        gie de collecte et couvre les sujet \xE9voqu\xE9s \xE0 la pr\xE9c\xE9dente\
        \ v\xE9rification.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit de recommander\
        \ au commanditaire, lors de l'\xE9laboration de la strat\xE9gie de collecte\
        \ et des revues en comit\xE9 op\xE9rationnel, la mise en \u0153uvre de sondes\
        \ \xE0 chacune des interconnexions de son SI en particulier celles avec :\
        \ \n- Internet ;\n- les syst\xE8mes d\u2019information tiers (partenaires,\
        \ sous-traitants, etc.) ;\n- les autres syst\xE8mes d\u2019information du\
        \ commanditaire de niveau de sensibilit\xE9 ou de classification moindre ou\
        \ plus expos\xE9s.  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la recommandation\
        \ au commanditaire de la mise en \u0153uvre de sondes qualifi\xE9es par l\u2019\
        ANSSI au niveau ad\xE9quat et utilis\xE9es conform\xE9ment \xE0 leur instruction\
        \ technique d\u2019emploi, aliment\xE9es en trafic via des \xE9quipements\
        \ de type tap totalement passifs et non administrables \xE0 distance. \n \
        \             \nPr\xE9cision(s):\nLa base de connaissance conseil peut \xEA\
        tre compl\xE9t\xE9e par un strat\xE9gie/politique de collecte type."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:3
      ref_id: IV.2.2.i
      description: "i) Le prestataire doit recommander au commanditaire d\u2019int\xE9\
        grer dans la strat\xE9gie de collecte la mise en \u0153uvre de sondes \xE0\
        \ chacune des interconnexions du p\xE9rim\xE8tre supervis\xE9 et en particulier\
        \ celles avec :\n- Internet ;\n- les syst\xE8mes d\u2019information tiers\
        \ (partenaires, sous-traitants, etc.) ;\n- les autres syst\xE8mes d\u2019\
        information du commanditaire de niveau de sensibilit\xE9 ou de classification\
        \ moindre ou plus expos\xE9s."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Base de connaissance conseil\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit d'\xEAtre force de proposition et de fournir\
        \ des conseils adapt\xE9s \xE0 la situation du commanditaire sur :\n- l'\xE9\
        laboration, \n- l'application, \n- la revue de la politique de journalisation\
        \ (types d\u2019\xE9v\xE9nements \xE0 journaliser, dur\xE9es de r\xE9tention,\
        \ normalisation des informations, synchronisation des sources de temps, etc.),\n\
        - le d\xE9ploiement de dispositifs de journalisation sur son syst\xE8me d\u2019\
        information.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le prestataire\
        \ dispose d'une base de connaissance conseil qui couvre le sujet de la strat\xE9\
        gie de collecte et couvre les sujet \xE9voqu\xE9s \xE0 la pr\xE9c\xE9dente\
        \ v\xE9rification.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit de recommander\
        \ au commanditaire, lors de l'\xE9laboration de la strat\xE9gie de collecte\
        \ et des revues en comit\xE9 op\xE9rationnel, la mise en \u0153uvre de sondes\
        \ \xE0 chacune des interconnexions de son SI en particulier celles avec :\
        \ \n- Internet ;\n- les syst\xE8mes d\u2019information tiers (partenaires,\
        \ sous-traitants, etc.) ;\n- les autres syst\xE8mes d\u2019information du\
        \ commanditaire de niveau de sensibilit\xE9 ou de classification moindre ou\
        \ plus expos\xE9s.  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la recommandation\
        \ au commanditaire de la mise en \u0153uvre de sondes qualifi\xE9es par l\u2019\
        ANSSI au niveau ad\xE9quat et utilis\xE9es conform\xE9ment \xE0 leur instruction\
        \ technique d\u2019emploi, aliment\xE9es en trafic via des \xE9quipements\
        \ de type tap totalement passifs et non administrables \xE0 distance. \n \
        \             \nPr\xE9cision(s):\nLa base de connaissance conseil peut \xEA\
        tre compl\xE9t\xE9e par un strat\xE9gie/politique de collecte type."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:3
      ref_id: IV.2.2.j
      description: "j) Le prestataire doit recommander au commanditaire le choix de\
        \ sondes qualifi\xE9es par l\u2019ANSSI au niveau ad\xE9quat qui seront utilis\xE9\
        es conform\xE9ment aux conditions de leur qualification. Ces sondes doivent\
        \ \xEAtre aliment\xE9es en trafic via des \xE9quipements de type Tap totalement\
        \ passifs et non administrables \xE0 distance."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Base de connaissance conseil\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit d'\xEAtre force de proposition et de fournir\
        \ des conseils adapt\xE9s \xE0 la situation du commanditaire sur :\n- l'\xE9\
        laboration, \n- l'application, \n- la revue de la politique de journalisation\
        \ (types d\u2019\xE9v\xE9nements \xE0 journaliser, dur\xE9es de r\xE9tention,\
        \ normalisation des informations, synchronisation des sources de temps, etc.),\n\
        - le d\xE9ploiement de dispositifs de journalisation sur son syst\xE8me d\u2019\
        information.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le prestataire\
        \ dispose d'une base de connaissance conseil qui couvre le sujet de la strat\xE9\
        gie de collecte et couvre les sujet \xE9voqu\xE9s \xE0 la pr\xE9c\xE9dente\
        \ v\xE9rification.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit de recommander\
        \ au commanditaire, lors de l'\xE9laboration de la strat\xE9gie de collecte\
        \ et des revues en comit\xE9 op\xE9rationnel, la mise en \u0153uvre de sondes\
        \ \xE0 chacune des interconnexions de son SI en particulier celles avec :\
        \ \n- Internet ;\n- les syst\xE8mes d\u2019information tiers (partenaires,\
        \ sous-traitants, etc.) ;\n- les autres syst\xE8mes d\u2019information du\
        \ commanditaire de niveau de sensibilit\xE9 ou de classification moindre ou\
        \ plus expos\xE9s.  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la recommandation\
        \ au commanditaire de la mise en \u0153uvre de sondes qualifi\xE9es par l\u2019\
        ANSSI au niveau ad\xE9quat et utilis\xE9es conform\xE9ment \xE0 leur instruction\
        \ technique d\u2019emploi, aliment\xE9es en trafic via des \xE9quipements\
        \ de type tap totalement passifs et non administrables \xE0 distance. \n \
        \             \nPr\xE9cision(s):\nLa base de connaissance conseil peut \xEA\
        tre compl\xE9t\xE9e par un strat\xE9gie/politique de collecte type."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      ref_id: IV.2.2.k
      name: Qualification des Tap par l'ANSSI
      description: "Il est recommand\xE9 que les \xE9quipements de type Tap alimentant\
        \ les sondes soient qualifi\xE9s par l\u2019ANSSI au niveau ad\xE9quat et\
        \ utilis\xE9es conform\xE9ment aux conditions de leur qualification."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.l
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      ref_id: IV.2.2.l
      name: "Capacit\xE9 \xE0 op\xE9rer des sondes aliment\xE9es par des Tap"
      description: "Le prestataire doit \xEAtre capable d\u2019op\xE9rer des sondes\
        \ aliment\xE9es en trafic via des \xE9quipements de type Tap totalement passifs\
        \ et non administrables \xE0 distance\nRemarque : s\u2019il souhaite utiliser\
        \ un agr\xE9gateur de flux interm\xE9diaire entre les Tap et la (les) sonde(s),\
        \ le prestataire doit d\xE9dier l\u2019\xE9quipement \xE0 la fonction d\u2019\
        agr\xE9gation et respecter les r\xE8gles relatives \xE0 l\u2019utilisation\
        \ d\u2019un agr\xE9gateur de flux pr\xE9cis\xE9es dans l\u2019Annexe 5."
      annotation: "Preuve(s):\n\u2022 Guides d'exploitation et d'administration\n\u2022\
        \ Documents d'architecture du service de d\xE9tection\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence de guides d'exploitation\
        \ et d'administration d\xE9taillant les modalit\xE9s d'utilisation et d'administration\
        \ de sondes aliment\xE9es en trafic via des \xE9quipements de type Tap\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que les guides d'exploitation\
        \ et d'administration d\xE9taillant les modalit\xE9s d'utilisation et d'administration\
        \ de ces sondes sont conformes avec les instructions techniques d'emploi associ\xE9\
        es\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ si le prestataire utilise un ou plusieurs agr\xE9gateurs.\n\u2022 En cas\
        \ d'administration par le prestataire d'un agr\xE9gateur, le centre d'\xE9\
        valuation doit v\xE9rifier que les modalit\xE9s d'administration sont document\xE9\
        es, par exemple dans le guide d'administration des sondes associ\xE9es\n\u2022\
        \ En cas d'administration par le prestataire d'un agr\xE9gateur, le centre\
        \ d'\xE9valuation doit v\xE9rifier que la documentation d'administration associ\xE9\
        e pr\xE9cise que :\n- l\u2019agr\xE9gateur doit \xEAtre utilis\xE9 exclusivement\
        \ pour assurer la fonction d\u2019agr\xE9gation\n- l\u2019agr\xE9gateur doit\
        \ \xEAtre administr\xE9 de la m\xEAme mani\xE8re et dans les m\xEAmes conditions\
        \ de s\xE9curit\xE9 que pour les sondes qualifi\xE9es par l\u2019ANSSI\n-\
        \ l'agr\xE9gateur doit \xEAtre administr\xE9 depuis la zone d'administration\
        \ du SI PDIS\n- l\u2019agr\xE9gateur doit \xEAtre supervis\xE9 afin d\u2019\
        identifier des \xE9ventuelles pertes de paquets\n- les mises \xE0 jour doivent\
        \ \xEAtre r\xE9alis\xE9es hors ligne (via support amovible ou port s\xE9rie)\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.m
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      ref_id: IV.2.2.m
      name: "Capacit\xE9 \xE0 op\xE9rer des sondes d\xE9di\xE9es aux SI industriels"
      description: "Il est recommand\xE9 que le prestataire soit capable d\u2019op\xE9\
        rer des sondes d\xE9di\xE9es aux syst\xE8mes d\u2019information industriels."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2:4
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      name: "Centralisation et filtrage des \xE9v\xE9nements dans un ou plusieurs\
        \ collecteurs"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.n
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:4
      ref_id: IV.2.2.n
      description: "n) Les \xE9v\xE9nements en provenance de sources de collecte doivent\
        \ \xEAtre centralis\xE9s sur un ou plusieurs collecteurs situ\xE9s dans l\u2019\
        enclave de collecte d\xE9crite dans l\u2019exigence IV.3.15."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation et d'administration\n\u2022 Documents\
        \ d'architecture du service de d\xE9tection\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit, lors de la d\xE9finition de l'architecture\
        \ de l'enclave de collecte, la mise en place d'un ou plusieurs collecteurs\
        \ dans cette enclave pour centraliser la collecte des \xE9v\xE9nements en\
        \ provenance de l'ensemble des sources de collecte.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit la mise en \u0153uvre de r\xE8gles de filtrage au niveau\
        \ des collecteurs de l'enclave de collecte.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les documents d'architecture du service de d\xE9tection\
        \ d\xE9taillent les architectures type d'enclave de collecte et en particulier\
        \ l'usage des collecteurs, dans chacun des cas.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les modalit\xE9s d'administration et d'exploitation\
        \ des collecteurs et d'impl\xE9mentation de r\xE8gles de filtrage sont document\xE9\
        es, par exemple dans les guides d'exploitation et d'administration.\n\u2022\
        \ Si le filtrage soit \xE9galement mis en \u0153uvre \xE0 un niveau diff\xE9\
        rent du collecteur (\xE0 l'entr\xE9e de l'outil d'analyse), le centre d'\xE9\
        valuation doit s'assurer de la coh\xE9rence des deux niveaux de filtrage.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.o
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:4
      ref_id: IV.2.2.o
      description: "o) Le collecteur de l\u2019enclave de collecte doit permettre\
        \ de r\xE9aliser un premier filtrage des \xE9v\xE9nements afin de ne transmettre\
        \ \xE0 la zone de collecte et aux outils d\u2019analyse que les \xE9v\xE9\
        nements utiles au service de d\xE9tection et identifi\xE9s dans la strat\xE9\
        gie de collecte"
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Guides d'exploitation et d'administration\n\u2022 Documents\
        \ d'architecture du service de d\xE9tection\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit, lors de la d\xE9finition de l'architecture\
        \ de l'enclave de collecte, la mise en place d'un ou plusieurs collecteurs\
        \ dans cette enclave pour centraliser la collecte des \xE9v\xE9nements en\
        \ provenance de l'ensemble des sources de collecte.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit la mise en \u0153uvre de r\xE8gles de filtrage au niveau\
        \ des collecteurs de l'enclave de collecte.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les documents d'architecture du service de d\xE9tection\
        \ d\xE9taillent les architectures type d'enclave de collecte et en particulier\
        \ l'usage des collecteurs, dans chacun des cas.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les modalit\xE9s d'administration et d'exploitation\
        \ des collecteurs et d'impl\xE9mentation de r\xE8gles de filtrage sont document\xE9\
        es, par exemple dans les guides d'exploitation et d'administration.\n\u2022\
        \ Si le filtrage soit \xE9galement mis en \u0153uvre \xE0 un niveau diff\xE9\
        rent du collecteur (\xE0 l'entr\xE9e de l'outil d'analyse), le centre d'\xE9\
        valuation doit s'assurer de la coh\xE9rence des deux niveaux de filtrage.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2:5
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      name: "Suivi des r\xE8gles de filtrage"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.p
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:5
      ref_id: IV.2.2.p
      description: "p) Le prestataire doit \xE9laborer et tenir \xE0 jour pour chaque\
        \ commanditaire la liste de l\u2019ensemble des r\xE8gles de filtrage mises\
        \ en \u0153uvre ou ayant \xE9t\xE9 mises en \u0153uvre dans le cadre de la\
        \ prestation. Cette liste doit pr\xE9ciser pour chaque r\xE8gle identifi\xE9\
        e par son identifiant et son num\xE9ro de version :\n- la ou les date(s) auxquelles\
        \ la r\xE8gle de filtrage a \xE9t\xE9 introduite dans les collecteurs ;\n\
        - la ou les date(s) auxquelles la r\xE8gle de filtrage a \xE9t\xE9 retir\xE9\
        e des collecteurs.\nCette liste doit permettre d\u2019\xE9tablir un historique\
        \ des r\xE8gles de filtrage, permettant d\u2019identifier les r\xE8gles qui\
        \ \xE9taient activ\xE9es \xE0 un instant ou sur une p\xE9riode donn\xE9s.\
        \ Une r\xE8gle de filtrage retir\xE9e des collecteurs doit \xEAtre marqu\xE9\
        e comme retir\xE9e et ne doit par cons\xE9quent pas \xEAtre supprim\xE9e de\
        \ cette liste.\nRemarque : le cas o\xF9 des modifications sont apport\xE9\
        es \xE0 une r\xE8gle de d\xE9tection uniquement pour des sous-p\xE9rim\xE8\
        tres du p\xE9rim\xE8tre supervis\xE9 est \xE0 d\xE9tailler dans la liste."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des r\xE8gles de d\xE9tection d'une prestation type\n\
        \u2022 Bulletin d'\xE9tat des r\xE8gles type\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour de la liste des r\xE8\
        gles de d\xE9tection d'une prestation \xE0 chaque :\n- introduction ou r\xE9\
        introduction d'une r\xE8gle de filtrage dans les collecteurs ;\n- retrait\
        \ d'une r\xE8gle de filtrage des collecteurs. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit au minimum une fois par mois la construction et l'envoi au commanditaire\
        \ d'un bulletin d'\xE9tat des r\xE8gles de filtrage contenant les informations\
        \ suivantes :\n- le nombre de r\xE8gles de filtrage cr\xE9\xE9es, modifi\xE9\
        es ou retir\xE9es des collecteurs ;\n- l\u2019identifiant et la description\
        \ de chaque r\xE8gle cr\xE9\xE9e, modifi\xE9e ou retir\xE9e des collecteurs\
        \ ;\n- le motif de la cr\xE9ation, de la modification ou du retrait de la\
        \ r\xE8gle de filtrage (ex. : cr\xE9ation, modification ou retrait \xE0 la\
        \ demande du commanditaire, etc.).\n\nPr\xE9cision(s):\n\u2022 Une r\xE8gle\
        \ de filtrage retir\xE9e des collecteurs doit \xEAtre marqu\xE9e comme retir\xE9\
        e et ne doit par cons\xE9quent pas \xEAtre supprim\xE9e de la liste des r\xE8\
        gles.\nRemarque : le cas o\xF9 des modifications sont apport\xE9es \xE0 une\
        \ r\xE8gle de filtrage uniquement pour des p\xE9rim\xE8tres particuliers est\
        \ \xE0 prendre en compte.\n\u2022 Il est recommand\xE9 que le prestataire\
        \ transmette au commanditaire le bulletin d\u2019\xE9tat des r\xE8gles de\
        \ filtrage une fois par semaine."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.q
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:5
      ref_id: IV.2.2.q
      description: "q) Le prestataire doit transmettre au minimum une fois par mois\
        \ au commanditaire un bulletin d\u2019\xE9tat des r\xE8gles de filtrage pr\xE9\
        sentant :\n- le nombre de r\xE8gles de filtrage cr\xE9\xE9es, modifi\xE9es\
        \ ou retir\xE9es des collecteurs ;\n- l\u2019identifiant et la description\
        \ de chaque r\xE8gle cr\xE9\xE9e, modifi\xE9e ou retir\xE9e des collecteurs\
        \ ;\n- le motif de la cr\xE9ation, de la modification ou du retrait de la\
        \ r\xE8gle de filtrage (ex. : cr\xE9ation, modification ou retrait \xE0 la\
        \ demande du commanditaire, etc.)."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Liste des r\xE8gles de d\xE9tection d'une prestation type\n\
        \u2022 Bulletin d'\xE9tat des r\xE8gles type\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour de la liste des r\xE8\
        gles de d\xE9tection d'une prestation \xE0 chaque :\n- introduction ou r\xE9\
        introduction d'une r\xE8gle de filtrage dans les collecteurs ;\n- retrait\
        \ d'une r\xE8gle de filtrage des collecteurs. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit au minimum une fois par mois la construction et l'envoi au commanditaire\
        \ d'un bulletin d'\xE9tat des r\xE8gles de filtrage contenant les informations\
        \ suivantes :\n- le nombre de r\xE8gles de filtrage cr\xE9\xE9es, modifi\xE9\
        es ou retir\xE9es des collecteurs ;\n- l\u2019identifiant et la description\
        \ de chaque r\xE8gle cr\xE9\xE9e, modifi\xE9e ou retir\xE9e des collecteurs\
        \ ;\n- le motif de la cr\xE9ation, de la modification ou du retrait de la\
        \ r\xE8gle de filtrage (ex. : cr\xE9ation, modification ou retrait \xE0 la\
        \ demande du commanditaire, etc.).\n\nPr\xE9cision(s):\n\u2022 Une r\xE8gle\
        \ de filtrage retir\xE9e des collecteurs doit \xEAtre marqu\xE9e comme retir\xE9\
        e et ne doit par cons\xE9quent pas \xEAtre supprim\xE9e de la liste des r\xE8\
        gles.\nRemarque : le cas o\xF9 des modifications sont apport\xE9es \xE0 une\
        \ r\xE8gle de filtrage uniquement pour des p\xE9rim\xE8tres particuliers est\
        \ \xE0 prendre en compte.\n\u2022 Il est recommand\xE9 que le prestataire\
        \ transmette au commanditaire le bulletin d\u2019\xE9tat des r\xE8gles de\
        \ filtrage une fois par semaine."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.r
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      ref_id: IV.2.2.r
      name: "Capacit\xE9 des collecteurs"
      description: "Le collecteur doit \xEAtre capable de d\xE9tecter les cas de saturation\
        \ ou de perte de communication l\u2019emp\xEAchant de transmettre les \xE9\
        v\xE9nements de s\xE9curit\xE9 au service de d\xE9tection et de diff\xE9rer\
        \ la transmission des \xE9v\xE9nements aux outils d\u2019analyse le cas \xE9\
        ch\xE9ant. Le prestataire doit s\u2019engager sur la capacit\xE9 de conservation\
        \ du collecteur dans la convention de service. L\u2019\xE9volution de la capacit\xE9\
        \ de conservation du collecteur doit \xEAtre suivie et pr\xE9sent\xE9e au\
        \ commanditaire lors des comit\xE9s op\xE9rationnels d\xE9finis au chapitre\
        \ IV.4.3."
      annotation: "Preuve(s):\n\u2022 Processus de gestion de la capacit\xE9 des ressources\
        \ IT\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de gestion de la capacit\xE9 des ressources IT pr\xE9cise les\
        \ modalit\xE9s de d\xE9tection des cas de saturation ou de perte de communication,\
        \ de stockage des \xE9v\xE9nements le cas \xE9ch\xE9ant, et de suivi de la\
        \ capacit\xE9 de stockage\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ l'existence d\u2019un support et/ou compte-rendu type d'un comit\xE9 op\xE9\
        rationnel et v\xE9rifier que l'ordre du jour comprend le suivi de la capacit\xE9\
        \ des collecteurs\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2:6
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      name: "Vision centralis\xE9e des \xE9v\xE9nements collect\xE9s"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.s
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:6
      ref_id: IV.2.2.s
      description: "s) Le prestataire doit disposer d\u2019une vision centralis\xE9\
        e de l\u2019ensemble des \xE9v\xE9nements collect\xE9s, notamment en associant\
        \ \xE0 chaque \xE9v\xE9nement le collecteur dont il est issu."
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Guides\
        \ d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans les guides d'exploitation qu'un dispositif\
        \ logiciel permettant de disposer d'une vision centralis\xE9e des \xE9v\xE9\
        nements collect\xE9s est utilis\xE9.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier dans les guides d'exploitation qu'un dispositif logiciel permettant\
        \ de disposer d'une vision centralis\xE9e des \xE9v\xE9nements collect\xE9\
        s indique pour chaque \xE9v\xE9nement le collecteur dont il est issu.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ du service de d\xE9tection qu'un dispositif technique permet de disposer\
        \ d'une vision centralis\xE9e des \xE9v\xE9nements collect\xE9s.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que les modalit\xE9s de mise en\
        \ \u0153uvre du stockage des \xE9v\xE9nements sont document\xE9es (par exemple\
        \ dans les guides d'administration), et qu'elles pr\xE9cisent :\n- que chaque\
        \ \xE9v\xE9nement doit \xEAtre associ\xE9 lors de son stockage au collecteur\
        \ dont il est issu ;\n- que chaque \xE9v\xE9nement doit \xEAtre index\xE9\
        \ dans le dispositif de stockage ;\n- que l'infrastructure technique de stockage\
        \ doit permettre la recherche parmi les \xE9v\xE9nements index\xE9s.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la gestion des demandes de fourniture d'\xE9\
        v\xE9nements de la part des commentaires.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les guides d'exploitation d\xE9taillent les modalit\xE9\
        s (requ\xEAtes, commandes) de recherche et d'extraction d'\xE9v\xE9nements.\n\
        \      \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.u
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:6
      ref_id: IV.2.2.u
      description: "u) Le prestataire doit indexer l\u2019ensemble des \xE9v\xE9nements\
        \ collect\xE9s et \xEAtre capable de r\xE9aliser des recherches parmi les\
        \ \xE9v\xE9nements collect\xE9s."
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Guides\
        \ d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans les guides d'exploitation qu'un dispositif\
        \ logiciel permettant de disposer d'une vision centralis\xE9e des \xE9v\xE9\
        nements collect\xE9s est utilis\xE9.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier dans les guides d'exploitation qu'un dispositif logiciel permettant\
        \ de disposer d'une vision centralis\xE9e des \xE9v\xE9nements collect\xE9\
        s indique pour chaque \xE9v\xE9nement le collecteur dont il est issu.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ du service de d\xE9tection qu'un dispositif technique permet de disposer\
        \ d'une vision centralis\xE9e des \xE9v\xE9nements collect\xE9s.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que les modalit\xE9s de mise en\
        \ \u0153uvre du stockage des \xE9v\xE9nements sont document\xE9es (par exemple\
        \ dans les guides d'administration), et qu'elles pr\xE9cisent :\n- que chaque\
        \ \xE9v\xE9nement doit \xEAtre associ\xE9 lors de son stockage au collecteur\
        \ dont il est issu ;\n- que chaque \xE9v\xE9nement doit \xEAtre index\xE9\
        \ dans le dispositif de stockage ;\n- que l'infrastructure technique de stockage\
        \ doit permettre la recherche parmi les \xE9v\xE9nements index\xE9s.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la gestion des demandes de fourniture d'\xE9\
        v\xE9nements de la part des commentaires.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les guides d'exploitation d\xE9taillent les modalit\xE9\
        s (requ\xEAtes, commandes) de recherche et d'extraction d'\xE9v\xE9nements.\n\
        \      \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.v
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2:6
      ref_id: IV.2.2.v
      description: "v) Le prestataire doit \xEAtre capable de localiser et de fournir\
        \ n'importe quel \xE9v\xE9nement collect\xE9 sur demande du commanditaire."
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Guides\
        \ d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans les guides d'exploitation qu'un dispositif\
        \ logiciel permettant de disposer d'une vision centralis\xE9e des \xE9v\xE9\
        nements collect\xE9s est utilis\xE9.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier dans les guides d'exploitation qu'un dispositif logiciel permettant\
        \ de disposer d'une vision centralis\xE9e des \xE9v\xE9nements collect\xE9\
        s indique pour chaque \xE9v\xE9nement le collecteur dont il est issu.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ du service de d\xE9tection qu'un dispositif technique permet de disposer\
        \ d'une vision centralis\xE9e des \xE9v\xE9nements collect\xE9s.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que les modalit\xE9s de mise en\
        \ \u0153uvre du stockage des \xE9v\xE9nements sont document\xE9es (par exemple\
        \ dans les guides d'administration), et qu'elles pr\xE9cisent :\n- que chaque\
        \ \xE9v\xE9nement doit \xEAtre associ\xE9 lors de son stockage au collecteur\
        \ dont il est issu ;\n- que chaque \xE9v\xE9nement doit \xEAtre index\xE9\
        \ dans le dispositif de stockage ;\n- que l'infrastructure technique de stockage\
        \ doit permettre la recherche parmi les \xE9v\xE9nements index\xE9s.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la gestion des demandes de fourniture d'\xE9\
        v\xE9nements de la part des commentaires.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les guides d'exploitation d\xE9taillent les modalit\xE9\
        s (requ\xEAtes, commandes) de recherche et d'extraction d'\xE9v\xE9nements.\n\
        \      \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.t
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      ref_id: IV.2.2.t
      name: "Horodatage des \xE9v\xE9nements"
      description: "Les horloges des collecteurs doivent \xEAtre synchronis\xE9es\
        \ avec une source de temps unique (voir exigence IV.3.9.l)"
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\u2022 Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ la pr\xE9sence d'une source de temps unique\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les guides d'administration d\xE9taillent les configurations\
        \ techniques permettant la synchronisation temporelle des collecteurs.\n \
        \       \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.2.w
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.2
      ref_id: IV.2.2.w
      name: "Capacit\xE9 de stockage des \xE9v\xE9nements"
      description: "Le prestataire doit mettre en place un processus de gestion de\
        \ la capacit\xE9 de traitement et de stockage des \xE9v\xE9nements permettant\
        \ de suivre son \xE9volution et d\u2019\xEAtre capable de l\u2019adapter en\
        \ fonction des besoins et pour assurer leur conservation sur au minimum six\
        \ mois (voir exigence IV.2.1.ee)), dans la limite du respect de la l\xE9gislation\
        \ et la r\xE9glementation en vigueur sur le territoire national (voir exigence\
        \ IV.1.b))"
      annotation: "Preuve(s):\n\u2022 Processus de gestion de la capacit\xE9 des ressources\
        \ IT\n\u2022 Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence d'un processus\
        \ de gestion de la capacit\xE9 des ressources IT pr\xE9voyant le suivi et\
        \ la gestion de la capacit\xE9 des dispositifs de traitement et de stockage\
        \ des \xE9v\xE9nements, et la possibilit\xE9 de l'adapter en fonction des\
        \ besoins du commanditaire et pour assurer leur conservation sur au minimum\
        \ six mois.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les modalit\xE9\
        s de suivi et d'adaptation de la capacit\xE9 des dispositifs de traitement\
        \ et de stockage des \xE9v\xE9nements sont document\xE9es, par exemple dans\
        \ les guides d'exploitation\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2
      ref_id: IV.2.3
      name: Gestion des notifications
      annotation: ''
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3
      name: "Canaux d'information \xE0 destination du commanditaire"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:1
      ref_id: IV.2.3.a
      description: "a) Le prestataire doit disposer de deux canaux d\u2019information\
        \ \xE0 destination du commanditaire : \n- un canal pour la notification (voir\
        \ exigence IV.2.3.b) ;\n- un canal s\xE9curis\xE9, notamment pour l\u2019\xE9\
        change d\u2019informations d\xE9taill\xE9es (voir exigence IV.2.3. l))."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\u2022\
        \ Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la d\xE9finition avec le commanditaire,\
        \ au d\xE9marrage d'une prestation :\n- des moyens de notification nominal\
        \ et secondaire ;\n- des modalit\xE9s d'acc\xE8s du commanditaire au canal\
        \ d'\xE9change d'informations (architecture, responsabilit\xE9s...).\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS d\xE9taille les moyens de communication qui peuvent\
        \ \xEAtre propos\xE9s par le prestataire.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9cise les modalit\xE9s de test du moyen de communication secondaire\
        \ dont les conditions de d\xE9clanchement (a minima tous les 6 mois et apr\xE8\
        s toute modification du syst\xE8me d'information du service de d\xE9tection\
        \ ayant un impact sur le moyen de communication secondaire).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les guides d'exploitation d\xE9taillent\
        \ la marche \xE0 suivre pour employer les canaux d'information.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ du service de d\xE9tection que les canaux de notification et de consultation\
        \ sont mis en \u0153uvre, dont :\n- le portail web ;\n- le dispositif de stockage\
        \ permettant d'\xE9changer des informations de contexte des incidents.\n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:1
      ref_id: IV.2.3.b
      description: "b) Le prestataire doit disposer au minimum de deux moyens de notification\
        \ : un moyen nominal et un moyen secondaire. Le moyen de communication secondaire\
        \ doit \xEAtre test\xE9 au minimum tous les six mois et \xE0 chaque modification\
        \ du syst\xE8me d\u2019information du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9. Les moyens de notification peuvent \xEAtre par exemple\
        \ :\n- courriel ;\n- message court (SMS) ;\n- t\xE9l\xE9phone."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\u2022\
        \ Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la d\xE9finition avec le commanditaire,\
        \ au d\xE9marrage d'une prestation :\n- des moyens de notification nominal\
        \ et secondaire ;\n- des modalit\xE9s d'acc\xE8s du commanditaire au canal\
        \ d'\xE9change d'informations (architecture, responsabilit\xE9s...).\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS d\xE9taille les moyens de communication qui peuvent\
        \ \xEAtre propos\xE9s par le prestataire.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9cise les modalit\xE9s de test du moyen de communication secondaire\
        \ dont les conditions de d\xE9clanchement (a minima tous les 6 mois et apr\xE8\
        s toute modification du syst\xE8me d'information du service de d\xE9tection\
        \ ayant un impact sur le moyen de communication secondaire).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les guides d'exploitation d\xE9taillent\
        \ la marche \xE0 suivre pour employer les canaux d'information.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ du service de d\xE9tection que les canaux de notification et de consultation\
        \ sont mis en \u0153uvre, dont :\n- le portail web ;\n- le dispositif de stockage\
        \ permettant d'\xE9changer des informations de contexte des incidents.\n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.l
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:1
      ref_id: IV.2.3.l
      description: "l) Le prestataire doit mettre \xE0 disposition du commanditaire\
        \ :\n- un portail Web lui permettant de visualiser les tickets d\u2019incident\
        \ de s\xE9curit\xE9 ouverts ou clos, d\u2019en suivre ou d\u2019en modifier\
        \ l\u2019\xE9tat et de visualiser les actions associ\xE9es en cours ou r\xE9\
        alis\xE9es ;\n- un dispositif de stockage permettant au commanditaire de :\n\
        \     - r\xE9cup\xE9rer le contexte des incidents de s\xE9curit\xE9\n    \
        \   (\xE9v\xE9nements associ\xE9s et rapport(s) d\u2019analyse(s) de\n   \
        \    qualification) le concernant ;\n     - d\xE9poser le cas \xE9ch\xE9ant\
        \ des informations contextuelles\n       n\xE9cessaires aux op\xE9rateurs\
        \ pour la qualification d\u2019un\n       incident."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\u2022\
        \ Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la d\xE9finition avec le commanditaire,\
        \ au d\xE9marrage d'une prestation :\n- des moyens de notification nominal\
        \ et secondaire ;\n- des modalit\xE9s d'acc\xE8s du commanditaire au canal\
        \ d'\xE9change d'informations (architecture, responsabilit\xE9s...).\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS d\xE9taille les moyens de communication qui peuvent\
        \ \xEAtre propos\xE9s par le prestataire.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9cise les modalit\xE9s de test du moyen de communication secondaire\
        \ dont les conditions de d\xE9clanchement (a minima tous les 6 mois et apr\xE8\
        s toute modification du syst\xE8me d'information du service de d\xE9tection\
        \ ayant un impact sur le moyen de communication secondaire).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les guides d'exploitation d\xE9taillent\
        \ la marche \xE0 suivre pour employer les canaux d'information.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans le document d'architecture\
        \ du service de d\xE9tection que les canaux de notification et de consultation\
        \ sont mis en \u0153uvre, dont :\n- le portail web ;\n- le dispositif de stockage\
        \ permettant d'\xE9changer des informations de contexte des incidents.\n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3
      name: "D\xE9finition et mise en \u0153uvre d'une strat\xE9gie de notification"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:2
      ref_id: IV.2.3.c
      description: "c) Le prestataire doit \xE9laborer avec le commanditaire et mettre\
        \ en \u0153uvre une strat\xE9gie de notification des incidents de s\xE9curit\xE9\
        \ permettant de pr\xE9venir le commanditaire lors de la d\xE9tection d\u2019\
        un incident de s\xE9curit\xE9. La strat\xE9gie de notification doit \xEAtre\
        \ revue avec le commanditaire lors des comit\xE9s op\xE9rationnels d\xE9finis\
        \ au chapitre IV.4.3."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Strat\xE9gie de notification type\n\u2022 Support / compte-rendu\
        \ type de comit\xE9 op\xE9rationnel\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la d\xE9finition avec le commanditaire et la\
        \ mise en \u0153uvre d'une strat\xE9gie de notification\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la strat\xE9gie de notification type\
        \ existe et permet d'identifier :\n- la liste des incidents de s\xE9curit\xE9\
        \ \xE0 notifier, \n- le format, \n- le contenu, \n- le d\xE9lai, \n- le niveau\
        \ de sensibilit\xE9 ou de classification des notifications,\n- les personnes\
        \ \xE0 notifier notamment en fonction de l\u2019incident de s\xE9curit\xE9\
        \ et de son niveau de s\xE9v\xE9rit\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la strat\xE9gie de notification type contient une liste\
        \ type d'incident \xE0 notifier.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ que la strat\xE9gie de notification soit revue avec le commanditaire lors\
        \ des comit\xE9s op\xE9rationnels\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d\u2019un support et/ou compte-rendu type d'un comit\xE9\
        \ op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend la revue de\
        \ la strat\xE9gie de notification\n\nPr\xE9cision(s): \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:2
      ref_id: IV.2.3.d
      description: "d) La strat\xE9gie de notification doit identifier au minimum\
        \ la liste des incidents de s\xE9curit\xE9 \xE0 notifier, le format, le contenu,\
        \ le d\xE9lai, le niveau de sensibilit\xE9 ou de classification des notifications\
        \ ainsi que les personnes \xE0 notifier notamment en fonction de l\u2019incident\
        \ de s\xE9curit\xE9 et de son niveau de gravit\xE9."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Strat\xE9gie de notification type\n\u2022 Support / compte-rendu\
        \ type de comit\xE9 op\xE9rationnel\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la d\xE9finition avec le commanditaire et la\
        \ mise en \u0153uvre d'une strat\xE9gie de notification\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la strat\xE9gie de notification type\
        \ existe et permet d'identifier :\n- la liste des incidents de s\xE9curit\xE9\
        \ \xE0 notifier, \n- le format, \n- le contenu, \n- le d\xE9lai, \n- le niveau\
        \ de sensibilit\xE9 ou de classification des notifications,\n- les personnes\
        \ \xE0 notifier notamment en fonction de l\u2019incident de s\xE9curit\xE9\
        \ et de son niveau de s\xE9v\xE9rit\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la strat\xE9gie de notification type contient une liste\
        \ type d'incident \xE0 notifier.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ que la strat\xE9gie de notification soit revue avec le commanditaire lors\
        \ des comit\xE9s op\xE9rationnels\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d\u2019un support et/ou compte-rendu type d'un comit\xE9\
        \ op\xE9rationnel et v\xE9rifier que l'ordre du jour comprend la revue de\
        \ la strat\xE9gie de notification\n\nPr\xE9cision(s): \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3:3
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3
      name: "Devoir de conseil vis-\xE0-vis de\nla strat\xE9gie de notification"
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:3
      ref_id: IV.2.3.e
      description: "e) Le prestataire doit exercer un devoir de conseil envers le\
        \ commanditaire dans l\u2019\xE9laboration, l\u2019application et la revue\
        \ de la strat\xE9gie de notification. \xC0 ce titre, il doit conseiller le\
        \ commanditaire sur les personnes \xE0 avertir et les m\xE9thodes de notification."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Base de connaissance conseil\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans le processus de d\xE9livrance\
        \ d'une prestation PDIS que le prestataire pr\xE9voit d'\xEAtre force de proposition\
        \ et de fournir des conseils adapt\xE9s \xE0 la situation du commanditaire\
        \ sur : \n- l\u2019\xE9laboration, \n- l\u2019application, \n- la revue de\
        \ la strat\xE9gie de notification, et notamment sur les personnes \xE0 avertir\
        \ (RSSI, Responsable S\xE9curit\xE9 Op\xE9rationnelle, etc.) et m\xE9thodes\
        \ de notification.  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le prestataire dispose d'une base de connaissance conseil qui couvre le\
        \ sujet de la strat\xE9gie de notification et couvre les sujet \xE9voqu\xE9\
        s \xE0 la pr\xE9c\xE9dente v\xE9rification.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans le processus de d\xE9livrance d'une prestation PDIS\
        \ que le prestataire pr\xE9voit, lors de l'\xE9laboration de la strat\xE9\
        gie de notification, de recommander au commanditaire d\u2019int\xE9grer des\
        \ notifications sp\xE9cifiques en cas d\xE9tection d\u2019incidents de s\xE9\
        curit\xE9 majeurs au sein de son syst\xE8me d\u2019information          \n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:3
      ref_id: IV.2.3.f
      description: "f) Le prestataire doit recommander au commanditaire d\u2019int\xE9\
        grer dans la strat\xE9gie de notification des notifications sp\xE9cifiques\
        \ en cas de d\xE9tection d\u2019incidents de s\xE9curit\xE9 majeurs au sein\
        \ de son syst\xE8me d\u2019information."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Base de connaissance conseil\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans le processus de d\xE9livrance\
        \ d'une prestation PDIS que le prestataire pr\xE9voit d'\xEAtre force de proposition\
        \ et de fournir des conseils adapt\xE9s \xE0 la situation du commanditaire\
        \ sur : \n- l\u2019\xE9laboration, \n- l\u2019application, \n- la revue de\
        \ la strat\xE9gie de notification, et notamment sur les personnes \xE0 avertir\
        \ (RSSI, Responsable S\xE9curit\xE9 Op\xE9rationnelle, etc.) et m\xE9thodes\
        \ de notification.  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le prestataire dispose d'une base de connaissance conseil qui couvre le\
        \ sujet de la strat\xE9gie de notification et couvre les sujet \xE9voqu\xE9\
        s \xE0 la pr\xE9c\xE9dente v\xE9rification.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans le processus de d\xE9livrance d'une prestation PDIS\
        \ que le prestataire pr\xE9voit, lors de l'\xE9laboration de la strat\xE9\
        gie de notification, de recommander au commanditaire d\u2019int\xE9grer des\
        \ notifications sp\xE9cifiques en cas d\xE9tection d\u2019incidents de s\xE9\
        curit\xE9 majeurs au sein de son syst\xE8me d\u2019information          \n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3
      ref_id: IV.2.3.g
      name: Contenu des notifications
      description: "Amendement N\xB01 : \nOption A : \nLes notifications doivent contenir\
        \ exclusivement le num\xE9ro du ticket d\u2019incident\nHors canal s\xE9curis\xE9\
        , les notifications ne doivent en aucun cas contenir des informations d\xE9\
        taill\xE9es sur l\u2019incident de s\xE9curit\xE9 et notamment sur les \xE9\
        v\xE9nements collect\xE9s ou les r\xE8gles de d\xE9tection ayant permis de\
        \ d\xE9tecter l\u2019incident de s\xE9curit\xE9, la partie du syst\xE8me d\u2019\
        information du commanditaire concern\xE9e par l\u2019incident de s\xE9curit\xE9\
        \ ou les impacts de l\u2019incident de s\xE9curit\xE9.\n\nOption B : \nLes\
        \ notifications doivent contenir les informations suivantes : le num\xE9ro\
        \ du ticket d'incident et le niveau de criticit\xE9 de l'incident.\nLes notifications\
        \ peuvent \xEAtre enrichies par les informations suivantes sous r\xE9serve\
        \ d'accord avec le commanditaire : la date et l'heure de l'incident de s\xE9\
        curit\xE9, le p\xE9rim\xE8tre ou SI concern\xE9, le type d'incident.\nCet\
        \ enrichissement est autoris\xE9 uniquement si celui-ci n'entraine pas une\
        \ d\xE9gradation de la s\xE9curit\xE9 du service conform\xE9ment \xE0 l'appr\xE9\
        ciation des risques du SI supervis\xE9.\nLes notifications ne doivent en aucun\
        \ cas contenir des informations d\xE9taill\xE9es sur l'incident de s\xE9curit\xE9\
        \ et notamment sur les \xE9v\xE9nements collect\xE9s ou les r\xE8gles de d\xE9\
        tection ayant permis de d\xE9tecter l'incident de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Notifications type\n\nV\xE9rification(s)  Option A :\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit, lors de la construction de la strat\xE9\
        gie de notification, que :\n- les notifications ne contiennent que le num\xE9\
        ro du ticket d\u2019incident\n- hors canal s\xE9curis\xE9, les notifications\
        \ ne contiennent en aucun cas des informations d\xE9taill\xE9es sur l\u2019\
        incident de s\xE9curit\xE9, notamment sur les \xE9v\xE9nements collect\xE9\
        s ou les r\xE8gles de d\xE9tection ayant permis de d\xE9tecter l\u2019incident\
        \ de s\xE9curit\xE9, la partie du syst\xE8me d\u2019information du commanditaire\
        \ concern\xE9e par l\u2019incident de s\xE9curit\xE9 ou les impacts de l\u2019\
        incident de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les notifications type ne contiennent que le num\xE9ro de ticket d'incident.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'il n'existe qu'une notification\
        \ type par canal de notification\n\nV\xE9fification(s) Option B : \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit, lors de la construction de la strat\xE9\
        gie de notification, que :\n- les notifications ne contiennent que le num\xE9\
        ro du ticket d\u2019incident et le niveau de criticit\xE9 de l'incident.\n\
        - hors canal s\xE9curis\xE9, les notifications ne contiennent en aucun cas\
        \ des informations d\xE9taill\xE9es sur l\u2019incident de s\xE9curit\xE9\
        , notamment sur les \xE9v\xE9nements collect\xE9s ou les r\xE8gles de d\xE9\
        tection ayant permis de d\xE9tecter l\u2019incident de s\xE9curit\xE9, la\
        \ partie du syst\xE8me d\u2019information du commanditaire concern\xE9e par\
        \ l\u2019incident de s\xE9curit\xE9 ou les impacts de l\u2019incident de s\xE9\
        curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les notifications\
        \ type ne contiennent par d\xE9faut que le num\xE9ro de ticket d'incident.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les notifications type\
        \ (si accord du commanditaire) ne peuvent contenir au maximum que le num\xE9\
        ro de ticket d'incident, la date et l'heure de l'incident de s\xE9curit\xE9\
        , le p\xE9rim\xE8tre ou SI concern\xE9, le type d'incident.\n\nPr\xE9cision(s):\
        \ \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3:4
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3
      name: Stockage, Suivi et Centralisation des notifications
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:4
      ref_id: IV.2.3.h
      description: "h) Le prestataire doit centraliser toutes les notifications dans\
        \ un syst\xE8me de stockage des notifications. Les informations suivantes\
        \ doivent \xEAtre stock\xE9es : date et heure de la notification, mode de\
        \ notification, destinataire(s) de la notification, contenu de la notification\
        \ incluant notamment le num\xE9ro du ticket d\u2019incident.\nRemarque : les\
        \ informations ci-dessus concernant les notifications peuvent \xEAtre incluses\
        \ dans les tickets d\u2019incidents."
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Guides\
        \ d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans le document d'architecture du service\
        \ de d\xE9tection qu'un dispositif centralis\xE9 de stockage des notifications\
        \ est mis en \u0153uvre.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s de mise en \u0153uvre du stockage des notifications\
        \ sont document\xE9es (par exemple dans les guides d'administration), et qu'elles\
        \ pr\xE9cisent :\n- que chaque notification doit \xEAtre associ\xE9e lors\
        \ de son stockage au ticket d'incident et au contexte de l'incident associ\xE9\
        \ \xE0 la notification (par exemple, il peut s'agir d'un tag d'incident associ\xE9\
        \ \xE0 une notification)\n- que les informations suivantes sont stock\xE9\
        es : date et heure de la notification, mode de notification, destinataire(s)\
        \ de la notification, contenu de la notification incluant notamment le num\xE9\
        ro du ticket d\u2019incident.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que les guides d'exploitation d\xE9crivent les modalit\xE9s (requ\xEA\
        tes, commandes) de recherche et de r\xE9cup\xE9ration du ticket d'incident\
        \ et du contexte associ\xE9 \xE0 l'origine d'une notification.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour d'un registre centralis\xE9\
        \ et chronologique par commanditaire des notifications effectu\xE9es et d\xE9\
        taille l'infrastructure logicielle le supportant.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les guides d'exploitation d\xE9crivent les\
        \ modalit\xE9s de mise \xE0 jour du registre centralis\xE9 et chronologique\
        \ des notifications par commanditaire et qu'ils font figurer : date et heure\
        \ de la notification, mode de notification, destinataire(s) de la notification,\
        \ contenu de la notification incluant notamment le num\xE9ro du ticket d\u2019\
        incident.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:4
      ref_id: IV.2.3.i
      description: "i) Le prestataire doit \xEAtre capable de fournir le ticket d\u2019\
        incident de s\xE9curit\xE9 et le contexte associ\xE9 (\xE9v\xE9nements associ\xE9\
        s et rapport(s) d\u2019analyse(s) de qualification) \xE0 l\u2019origine d\u2019\
        une notification."
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Guides\
        \ d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans le document d'architecture du service\
        \ de d\xE9tection qu'un dispositif centralis\xE9 de stockage des notifications\
        \ est mis en \u0153uvre.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s de mise en \u0153uvre du stockage des notifications\
        \ sont document\xE9es (par exemple dans les guides d'administration), et qu'elles\
        \ pr\xE9cisent :\n- que chaque notification doit \xEAtre associ\xE9e lors\
        \ de son stockage au ticket d'incident et au contexte de l'incident associ\xE9\
        \ \xE0 la notification (par exemple, il peut s'agir d'un tag d'incident associ\xE9\
        \ \xE0 une notification)\n- que les informations suivantes sont stock\xE9\
        es : date et heure de la notification, mode de notification, destinataire(s)\
        \ de la notification, contenu de la notification incluant notamment le num\xE9\
        ro du ticket d\u2019incident.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que les guides d'exploitation d\xE9crivent les modalit\xE9s (requ\xEA\
        tes, commandes) de recherche et de r\xE9cup\xE9ration du ticket d'incident\
        \ et du contexte associ\xE9 \xE0 l'origine d'une notification.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour d'un registre centralis\xE9\
        \ et chronologique par commanditaire des notifications effectu\xE9es et d\xE9\
        taille l'infrastructure logicielle le supportant.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les guides d'exploitation d\xE9crivent les\
        \ modalit\xE9s de mise \xE0 jour du registre centralis\xE9 et chronologique\
        \ des notifications par commanditaire et qu'ils font figurer : date et heure\
        \ de la notification, mode de notification, destinataire(s) de la notification,\
        \ contenu de la notification incluant notamment le num\xE9ro du ticket d\u2019\
        incident.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3:4
      ref_id: IV.2.3.j
      description: "j) Le prestataire doit mettre en place et tenir \xE0 jour un registre\
        \ centralis\xE9 et chronologique par commanditaire r\xE9f\xE9ren\xE7ant toutes\
        \ les notifications effectu\xE9es pour le commanditaire. Le registre doit\
        \ notamment faire figurer : date et heure de la notification, mode de notification,\
        \ destinataire(s) de la notification, contenu de la notification incluant\
        \ notamment le num\xE9ro du ticket d\u2019incident."
      annotation: "Preuve(s):\n\u2022 Document d'architecture du service de d\xE9\
        tection\n\u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Guides\
        \ d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans le document d'architecture du service\
        \ de d\xE9tection qu'un dispositif centralis\xE9 de stockage des notifications\
        \ est mis en \u0153uvre.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s de mise en \u0153uvre du stockage des notifications\
        \ sont document\xE9es (par exemple dans les guides d'administration), et qu'elles\
        \ pr\xE9cisent :\n- que chaque notification doit \xEAtre associ\xE9e lors\
        \ de son stockage au ticket d'incident et au contexte de l'incident associ\xE9\
        \ \xE0 la notification (par exemple, il peut s'agir d'un tag d'incident associ\xE9\
        \ \xE0 une notification)\n- que les informations suivantes sont stock\xE9\
        es : date et heure de la notification, mode de notification, destinataire(s)\
        \ de la notification, contenu de la notification incluant notamment le num\xE9\
        ro du ticket d\u2019incident.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que les guides d'exploitation d\xE9crivent les modalit\xE9s (requ\xEA\
        tes, commandes) de recherche et de r\xE9cup\xE9ration du ticket d'incident\
        \ et du contexte associ\xE9 \xE0 l'origine d'une notification.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la mise \xE0 jour d'un registre centralis\xE9\
        \ et chronologique par commanditaire des notifications effectu\xE9es et d\xE9\
        taille l'infrastructure logicielle le supportant.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les guides d'exploitation d\xE9crivent les\
        \ modalit\xE9s de mise \xE0 jour du registre centralis\xE9 et chronologique\
        \ des notifications par commanditaire et qu'ils font figurer : date et heure\
        \ de la notification, mode de notification, destinataire(s) de la notification,\
        \ contenu de la notification incluant notamment le num\xE9ro du ticket d\u2019\
        incident.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.2.3.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.2.3
      ref_id: IV.2.3.k
      name: "Capacit\xE9 de stockage des notifications"
      description: "Le prestataire doit mettre en place un processus de gestion de\
        \ la capacit\xE9 de stockage des notifications permettant de suivre son \xE9\
        volution et d\u2019\xEAtre en mesure de l\u2019adapter pour assurer leur conservation\
        \ sur toute la dur\xE9e de la prestation, dans la limite du respect de la\
        \ l\xE9gislation et la r\xE9glementation en vigueur sur le territoire national\
        \ (voir exigence IV.1.b))."
      annotation: "Preuve(s):\n\u2022 Processus de gestion de la capacit\xE9 des ressources\
        \ IT\n\u2022 Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence d'un processus\
        \ de gestion de la capacit\xE9 des ressources IT pr\xE9voyant le suivi et\
        \ la gestion de la capacit\xE9 des dispositifs de stockage des notifications,\
        \ et la possibilit\xE9 de l'adapter pour assurer leur conservation sur toute\
        \ la dur\xE9e de la prestation.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que les modalit\xE9s de suivi et d'adaptation de la capacit\xE9 des\
        \ dispositifs de stockage des notifications sont document\xE9es, par exemple\
        \ dans les guides d'exploitation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3
      assessable: false
      depth: 1
      ref_id: IV.3
      name: Protection de l'information
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.1
      name: "Politique de s\xE9curit\xE9 des syst\xE8mes d\u2019information"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.1
      name: "Appr\xE9ciation des risques et plan de traitement des risques associ\xE9"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.1:1
      ref_id: IV.3.1.a
      description: "a) Le prestataire doit \xE9laborer une appr\xE9ciation des risques\
        \ et le plan de traitement des risques associ\xE9 sur l\u2019int\xE9gralit\xE9\
        \ du p\xE9rim\xE8tre du service de d\xE9tection des incidents de s\xE9curit\xE9\
        . L\u2019appr\xE9ciation et le plan de traitement doivent \xEAtre valid\xE9\
        s formellement et par \xE9crit aupr\xE8s de la direction du prestataire."
      annotation: "Preuve(s):\n\u2022 Processus de pilotage des risques\n\u2022 M\xE9\
        thodologie d'appr\xE9ciation des risques\n\u2022 Appr\xE9ciation des risques\n\
        \u2022 Plan de traitement des risques associ\xE9\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier l'existence d'une appr\xE9ciation\
        \ des risques sur l\u2019int\xE9gralit\xE9 du p\xE9rim\xE8tre du service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d\u2019\xE9\
        valuation doit v\xE9rifier que l\u2019appr\xE9ciation des risques comporte\
        \ les volets suivants : \n- identification des risques ;\n- estimation des\
        \ risques ;\n- \xE9valuation des risques ;\n- traitement des risques ;\n-\
        \ acceptation des risques.\n\u2022 Le centre d\u2019\xE9valuation doit v\xE9\
        rifier que l'appr\xE9ciation des risques comporte les crit\xE8res suivants\
        \ :\n- crit\xE8res d'estimation de l'impact d'un incident ;\n- crit\xE8res\
        \ d'estimation de la vraisemblance d'un incident ;\n- crit\xE8res d'\xE9valuation\
        \ du risque ;\n- crit\xE8re d'acceptation des risques.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que l'appr\xE9ciation des risques s'appuie sur\
        \ une m\xE9thode formalis\xE9e et reproductible.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que l'appr\xE9ciation des risques pr\xE9cise les\
        \ mesures de l'II901 et du guide d'hygi\xE8ne informatique de l'ANSSI impl\xE9\
        ment\xE9es et celles qui n'ont pas \xE9t\xE9 retenues ainsi que la justification\
        \ de ce choix.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan\
        \ de traitement des risques associ\xE9 pr\xE9voit :\n- La priorisation des\
        \ risques\n- Le mode de traitement des risques (acceptation, r\xE9duction,\
        \ suppression)\n- Le plan d'action pour chaque sc\xE9nario de risque\n- La\
        \ qualification des risques r\xE9siduels\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier la validation de ces deux documents (appr\xE9ciation des\
        \ risques et plan de traitement associ\xE9) par la direction du prestataire\
        \ (signature)\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la date\
        \ de derni\xE8re mise \xE0 jour de l'appr\xE9ciation des risques et du plan\
        \ de traitement associ\xE9 :\n- ne d\xE9passe pas un an, \n- n'est pas ant\xE9\
        rieure \xE0 la date de mise \xE0 jour de l'architecture du prestataire.  \
        \         \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de pilotage des risques sp\xE9cifie que :\n- le prestataire doit \xE9laborer\
        \ une appr\xE9ciation des risques et le plan de traitement des risques associ\xE9\
        s sur l'int\xE9gralit\xE9 du syst\xE8me du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9.\n- l'appr\xE9ciation des risques pr\xE9voit l'\xE9tablissement\
        \ d'une liste des incidents redout\xE9s int\xE9grant au minimum les incidents\
        \ cit\xE9s \xE0 l'exigence IV.3.1.b)\n- l'appr\xE9ciation des risques et le\
        \ plan de traitement associ\xE9 doivent \xEAtre mis \xE0 jour au minimum annuellement\
        \ et en cas de modifications structurantes du service de d\xE9tection, notamment\
        \ celles concernant :\n- son h\xE9bergement, \n- son infrastructure,\n- son\
        \ architecture.\n\nPr\xE9cision(s): \n\u2022 Le PDIS peut se baser sur les\
        \ m\xE9thodologies ISO27005 ou EBIOS afin de r\xE9aliser l'appr\xE9ciation\
        \ des risques et le plan de traitement des risques associ\xE9."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.1:1
      ref_id: IV.3.1.b
      description: "b) L\u2019appr\xE9ciation des risques doit pr\xE9voir une liste\
        \ d\u2019incidents redout\xE9s sur le p\xE9rim\xE8tre du service de d\xE9\
        tection des incidents de s\xE9curit\xE9. Cette liste doit int\xE9grer a minima\
        \ : \n- les tentatives d\u2019intrusion sur le syst\xE8me d\u2019information\
        \ du service de d\xE9tection depuis une de ses interconnexions (voir chapitre\
        \ IV.3.10) ;\n- les tentatives de rebond entre les syst\xE8mes d\u2019information\
        \ des commanditaires via le syst\xE8me d\u2019information du service de d\xE9\
        tection ;\n- les tentatives d\u2019\xE9l\xE9vation de privil\xE8ges par les\
        \ op\xE9rateurs ou les administrateurs du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9. \n- la perte de communication avec un ou plusieurs \xE9\
        quipements du service de d\xE9tection.\n- les infections virales originaires\
        \ de codes malveillants rencontr\xE9s dans le cadre de la prestation."
      annotation: "Preuve(s):\n\u2022 Processus de pilotage des risques\n\u2022 M\xE9\
        thodologie d'appr\xE9ciation des risques\n\u2022 Appr\xE9ciation des risques\n\
        \u2022 Plan de traitement des risques associ\xE9\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier l'existence d'une appr\xE9ciation\
        \ des risques sur l\u2019int\xE9gralit\xE9 du p\xE9rim\xE8tre du service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d\u2019\xE9\
        valuation doit v\xE9rifier que l\u2019appr\xE9ciation des risques comporte\
        \ les volets suivants : \n- identification des risques ;\n- estimation des\
        \ risques ;\n- \xE9valuation des risques ;\n- traitement des risques ;\n-\
        \ acceptation des risques.\n\u2022 Le centre d\u2019\xE9valuation doit v\xE9\
        rifier que l'appr\xE9ciation des risques comporte les crit\xE8res suivants\
        \ :\n- crit\xE8res d'estimation de l'impact d'un incident ;\n- crit\xE8res\
        \ d'estimation de la vraisemblance d'un incident ;\n- crit\xE8res d'\xE9valuation\
        \ du risque ;\n- crit\xE8re d'acceptation des risques.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que l'appr\xE9ciation des risques s'appuie sur\
        \ une m\xE9thode formalis\xE9e et reproductible.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que l'appr\xE9ciation des risques pr\xE9cise les\
        \ mesures de l'II901 et du guide d'hygi\xE8ne informatique de l'ANSSI impl\xE9\
        ment\xE9es et celles qui n'ont pas \xE9t\xE9 retenues ainsi que la justification\
        \ de ce choix.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan\
        \ de traitement des risques associ\xE9 pr\xE9voit :\n- La priorisation des\
        \ risques\n- Le mode de traitement des risques (acceptation, r\xE9duction,\
        \ suppression)\n- Le plan d'action pour chaque sc\xE9nario de risque\n- La\
        \ qualification des risques r\xE9siduels\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier la validation de ces deux documents (appr\xE9ciation des\
        \ risques et plan de traitement associ\xE9) par la direction du prestataire\
        \ (signature)\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la date\
        \ de derni\xE8re mise \xE0 jour de l'appr\xE9ciation des risques et du plan\
        \ de traitement associ\xE9 :\n- ne d\xE9passe pas un an, \n- n'est pas ant\xE9\
        rieure \xE0 la date de mise \xE0 jour de l'architecture du prestataire.  \
        \         \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de pilotage des risques sp\xE9cifie que :\n- le prestataire doit \xE9laborer\
        \ une appr\xE9ciation des risques et le plan de traitement des risques associ\xE9\
        s sur l'int\xE9gralit\xE9 du syst\xE8me du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9.\n- l'appr\xE9ciation des risques pr\xE9voit l'\xE9tablissement\
        \ d'une liste des incidents redout\xE9s int\xE9grant au minimum les incidents\
        \ cit\xE9s \xE0 l'exigence IV.3.1.b)\n- l'appr\xE9ciation des risques et le\
        \ plan de traitement associ\xE9 doivent \xEAtre mis \xE0 jour au minimum annuellement\
        \ et en cas de modifications structurantes du service de d\xE9tection, notamment\
        \ celles concernant :\n- son h\xE9bergement, \n- son infrastructure,\n- son\
        \ architecture.\n\nPr\xE9cision(s): \n\u2022 Le PDIS peut se baser sur les\
        \ m\xE9thodologies ISO27005 ou EBIOS afin de r\xE9aliser l'appr\xE9ciation\
        \ des risques et le plan de traitement des risques associ\xE9."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.1:1
      ref_id: IV.3.1.c
      description: "c) Le prestataire doit r\xE9viser l\u2019appr\xE9ciation des risques\
        \ et le plan de traitement des risques associ\xE9 au minimum annuellement,\
        \ et en cas de modifications structurantes du service de d\xE9tection, notamment\
        \ celles concernant son h\xE9bergement, son infrastructure ou son architecture."
      annotation: "Preuve(s):\n\u2022 Processus de pilotage des risques\n\u2022 M\xE9\
        thodologie d'appr\xE9ciation des risques\n\u2022 Appr\xE9ciation des risques\n\
        \u2022 Plan de traitement des risques associ\xE9\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier l'existence d'une appr\xE9ciation\
        \ des risques sur l\u2019int\xE9gralit\xE9 du p\xE9rim\xE8tre du service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d\u2019\xE9\
        valuation doit v\xE9rifier que l\u2019appr\xE9ciation des risques comporte\
        \ les volets suivants : \n- identification des risques ;\n- estimation des\
        \ risques ;\n- \xE9valuation des risques ;\n- traitement des risques ;\n-\
        \ acceptation des risques.\n\u2022 Le centre d\u2019\xE9valuation doit v\xE9\
        rifier que l'appr\xE9ciation des risques comporte les crit\xE8res suivants\
        \ :\n- crit\xE8res d'estimation de l'impact d'un incident ;\n- crit\xE8res\
        \ d'estimation de la vraisemblance d'un incident ;\n- crit\xE8res d'\xE9valuation\
        \ du risque ;\n- crit\xE8re d'acceptation des risques.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que l'appr\xE9ciation des risques s'appuie sur\
        \ une m\xE9thode formalis\xE9e et reproductible.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que l'appr\xE9ciation des risques pr\xE9cise les\
        \ mesures de l'II901 et du guide d'hygi\xE8ne informatique de l'ANSSI impl\xE9\
        ment\xE9es et celles qui n'ont pas \xE9t\xE9 retenues ainsi que la justification\
        \ de ce choix.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan\
        \ de traitement des risques associ\xE9 pr\xE9voit :\n- La priorisation des\
        \ risques\n- Le mode de traitement des risques (acceptation, r\xE9duction,\
        \ suppression)\n- Le plan d'action pour chaque sc\xE9nario de risque\n- La\
        \ qualification des risques r\xE9siduels\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier la validation de ces deux documents (appr\xE9ciation des\
        \ risques et plan de traitement associ\xE9) par la direction du prestataire\
        \ (signature)\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la date\
        \ de derni\xE8re mise \xE0 jour de l'appr\xE9ciation des risques et du plan\
        \ de traitement associ\xE9 :\n- ne d\xE9passe pas un an, \n- n'est pas ant\xE9\
        rieure \xE0 la date de mise \xE0 jour de l'architecture du prestataire.  \
        \         \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de pilotage des risques sp\xE9cifie que :\n- le prestataire doit \xE9laborer\
        \ une appr\xE9ciation des risques et le plan de traitement des risques associ\xE9\
        s sur l'int\xE9gralit\xE9 du syst\xE8me du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9.\n- l'appr\xE9ciation des risques pr\xE9voit l'\xE9tablissement\
        \ d'une liste des incidents redout\xE9s int\xE9grant au minimum les incidents\
        \ cit\xE9s \xE0 l'exigence IV.3.1.b)\n- l'appr\xE9ciation des risques et le\
        \ plan de traitement associ\xE9 doivent \xEAtre mis \xE0 jour au minimum annuellement\
        \ et en cas de modifications structurantes du service de d\xE9tection, notamment\
        \ celles concernant :\n- son h\xE9bergement, \n- son infrastructure,\n- son\
        \ architecture.\n\nPr\xE9cision(s): \n\u2022 Le PDIS peut se baser sur les\
        \ m\xE9thodologies ISO27005 ou EBIOS afin de r\xE9aliser l'appr\xE9ciation\
        \ des risques et le plan de traitement des risques associ\xE9."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.1
      ref_id: IV.3.1.d
      name: "Mise \xE0 disposition s\xE9curis\xE9e du plan de traitement des risques"
      description: "Le prestataire doit mettre le plan de traitement des risques \xE0\
        \ disposition du commanditaire si ce dernier en fait la demande. Le prestataire\
        \ devra indiquer au commanditaire les conditions de s\xE9curit\xE9 li\xE9\
        es \xE0 la transmission et au stockage de ce plan de traitement des risques."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la convention de service type\
        \ pr\xE9voit les conditions de transmission et de stockage du plan de traitement\
        \ au commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS sp\xE9cifie que le prestataire\
        \ transmette le plan de traitement des risques au commanditaire si ce dernier\
        \ en fait la demande.\n\u2022 Ce processus doit d\xE9finir les conditions\
        \ de s\xE9curit\xE9 li\xE9es \xE0 la transmission et au stockage du plan de\
        \ traitement des risques, \xE0 savoir :\n- les mesures permettant d'assurer\
        \ la confidentialit\xE9 des documents lorsqu'ils transitent ou sont stock\xE9\
        s en dehors d'une zone homologu\xE9e Diffusion Restreinte, en accord avec\
        \ l'II901.\n- les conditions s\xE9curis\xE9es d'envoi du plan de traitement.\
        \ \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.1
      ref_id: IV.3.1.e
      name: "Mise en place d'une politique de s\xE9curit\xE9 des syst\xE8mes d'information"
      description: "Le prestataire doit d\xE9finir et mettre en \u0153uvre une politique\
        \ de s\xE9curit\xE9 des syst\xE8mes d\u2019information bas\xE9e sur l\u2019\
        appr\xE9ciation des risques. Cette politique doit pr\xE9ciser les niveaux\
        \ de qualification ou d\u2019agr\xE9ment des diff\xE9rents \xE9quipements\
        \ mis en \u0153uvre (niveaux dits \xAB ad\xE9quat \xBB dans le pr\xE9sent\
        \ r\xE9f\xE9rentiel)."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d'Information du prestataire\n\u2022 Plan de sensibilisation du personnel\
        \ \xE0 la s\xE9curit\xE9 des syst\xE8mes d'information\n\u2022 Guides d'exploitation\
        \ et d'administration\n\u2022 Plan de contr\xF4le\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'il existe une politique\
        \ de s\xE9curit\xE9 des syst\xE8mes d'information.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la politique de s\xE9curit\xE9 des syst\xE8\
        mes d'information est revue et mise \xE0 jour r\xE9guli\xE8rement.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la politique de s\xE9curit\xE9\
        \ des syst\xE8mes d'information est mise \xE0 disposition de l'ensemble du\
        \ personnel acc\xE9dant au syst\xE8me d'information.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le plan de sensibilisation du personnel \xE0\
        \ la s\xE9curit\xE9 des syst\xE8mes d'information pr\xE9voit la remise de\
        \ la politique de s\xE9curit\xE9 des syst\xE8mes d'information \xE0 chaque\
        \ personnel.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la politique\
        \ de s\xE9curit\xE9 des syst\xE8mes d'information d\xE9coule de l'appr\xE9\
        ciation des risques.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la politique de s\xE9curit\xE9 des syst\xE8mes d'information est pertinente\
        \ et couvre tout le p\xE9rim\xE8tre du syst\xE8me d'information du service\
        \ de d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'il\
        \ existe des proc\xE9dures d'exploitation notamment destin\xE9es aux utilisateurs\
        \ (op\xE9rateurs, responsables d'\xE9quipe, autres, etc.) et aux administrateurs\
        \ du syst\xE8me d'information afin d'appliquer correctement la politique de\
        \ s\xE9curit\xE9 des syst\xE8mes d'information.\n\u2022 La politique de s\xE9\
        curit\xE9 des syst\xE8mes d'information doit:\n- interdire les acc\xE8s sans-fil\
        \ sans usage de tunnel VPN au syst\xE8me d'information Diffusion Restreinte\
        \ ;\n- indiquer explicitement si les acc\xE8s distants (VPN par exemple) sont\
        \ autoris\xE9s ou non ;\n- indiquer explicitement si l'externalisation de\
        \ donn\xE9es (donn\xE9es de sauvegarde par exemple) est autoris\xE9e ou non\
        \ et si oui quels biens essentiels issus de l'appr\xE9ciation des risques\
        \ sont concern\xE9s.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le plan de sensibilisation du personnel comprend une session de sensibilisation\
        \ au respect des exigences de la politique de s\xE9curit\xE9 des syst\xE8\
        mes d'information (pour la gestion de mot de passe, par exemple). \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la politique de s\xE9curit\xE9\
        \ des syst\xE8mes d'information traite les principaux aspects de s\xE9curit\xE9\
        \ tels qu'ils sont recommand\xE9s par l'ANSSI (organisationnel, mise en \u0153\
        uvre, technique)\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'il\
        \ existe des proc\xE9dures d'exploitation notamment destin\xE9es aux utilisateurs\
        \ (analystes, responsables d'\xE9quipe d'analyse, autres, etc.) et aux administrateurs\
        \ du syst\xE8me d'information afin d'appliquer correctement la politique de\
        \ s\xE9curit\xE9 des syst\xE8mes d'information.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le plan de contr\xF4le int\xE8gre un volet sur le suivi\
        \ de l'application des exigences de la politique de s\xE9curit\xE9 des syst\xE8\
        mes d'information, notamment par le suivi d'indicateurs associ\xE9s aux exigences.\
        \                 \n\nPr\xE9cision(s):\n\u2022 Une attention particuli\xE8\
        re sera apport\xE9e aux risques les plus importants de l'appr\xE9ciation des\
        \ risques et pouvant \xEAtre couvert par des exigences au niveau de la politique\
        \ de s\xE9curit\xE9 des syst\xE8mes d'information.\n\u2022 La politique de\
        \ s\xE9curit\xE9 des syst\xE8mes d'information peut \xEAtre mis \xE0 disposition\
        \ du personnel par diff\xE9rents moyens: intranet, exemplaires papier, etc.\n\
        \u2022 Exemples de guides d'exploitation : guide de configuration des passerelles\
        \ de chiffrement, guide de configuration des \xE9quipements de filtrage, etc."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.1.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.1
      ref_id: IV.3.1.f
      name: Certification ISO 27001
      description: "Il est recommand\xE9 que le prestataire soit certifi\xE9 [ISO27001]\
        \ sur l\u2019int\xE9gralit\xE9 du p\xE9rim\xE8tre du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.2
      name: "Niveaux de sensibilit\xE9 ou de classification"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.2.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.2
      ref_id: IV.3.2.a
      name: "Respect des mesures de protection des SI traitant d'information sensibles\
        \ non class\xE9s D\xE9fense,"
      description: "Le prestataire doit au minimum respecter les r\xE8gles \xE9tablies\
        \ par l\u2019ANSSI et relatives aux mesures de protection des syst\xE8mes\
        \ d\u2019information traitant d\u2019informations sensibles non classifi\xE9\
        es de d\xE9fense de niveau Diffusion Restreinte [IGI_1300] [II_901], en particulier\
        \ pour les informations identifi\xE9es comme sensibles dans l\u2019appr\xE9\
        ciation des risques (voir exigence IV.3.1.a)."
      annotation: "Preuve(s):\n\u2022 Appr\xE9ciation des risques du prestataire\n\
        \u2022 Plan de traitement associ\xE9\n\u2022 Guides d'administration et d'exploitation\n\
        \u2022 Onglets S\xE9curit\xE9 SI\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que l'appr\xE9ciation des risques identifie\
        \ quelles informations sont sensibles ou non.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le plan de traitement des risques pr\xE9sente les mesures\
        \ \xE0 appliquer lorsque des informations sensibles sont en transit ou qu'elles\
        \ sont stock\xE9es en dehors d'une zone physiquement prot\xE9g\xE9e.\n\u2022\
        \ Ces mesures doivent \xEAtre port\xE9es \xE0 la connaissance du personnel\
        \ du service de d\xE9tection, par exemple dans les guides d'administration\
        \ et d'exploitation\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le prestataire applique au minimum r\xE8gles \xE9tablies par l\u2019ANSSI\
        \ et relatives aux mesures de protection des syst\xE8mes d\u2019information\
        \ traitant d\u2019informations sensibles non classifi\xE9es de d\xE9fense\
        \ de niveau Diffusion Restreinte sur l'ensemble du SI du service de d\xE9\
        tection. Afin de v\xE9rifier cette exigence, le centre d'\xE9valuation doit\
        \ se reporter \xE0 l'onglet I-II-II901.\n\nPr\xE9cision(s):\n\u2022 Aucune."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.2.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.2
      ref_id: IV.3.2.b
      name: "Application du guide d'hygi\xE8ne informatique de l'ANSSI"
      description: "Le prestataire doit appliquer au minimum le Niveau Standard du\
        \ guide d\u2019hygi\xE8ne informatique de l\u2019ANSSI [HYGIENE] au syst\xE8\
        me d\u2019information du service de d\xE9tection des incidents de s\xE9curit\xE9\
        ."
      annotation: "Preuve(s):\n\u2022 Onglets S\xE9curit\xE9 SI\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le prestataire applique\
        \ au minimum le Niveau Standard du guide d'hygi\xE8ne informatique de l'ANSSI\
        \ sur l'ensemble du SI du service de d\xE9tection. Afin de v\xE9rifier cette\
        \ exigence, le centre d'\xE9valuation doit se reporter \xE0 l'onglet I-II-GHI.\n\
        \nPr\xE9cision(s): \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.2.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.2
      ref_id: IV.3.2.c
      name: Homologation Diffusion Restreinte
      description: "Le syst\xE8me d\u2019information du service de d\xE9tection doit\
        \ \xEAtre homologu\xE9 au minimum au niveau Diffusion Restreinte pour superviser\
        \ les syst\xE8mes d\u2019information non classifi\xE9s de d\xE9fense du commanditaire."
      annotation: "Preuve(s):\n\u2022 Attestation et dossier d'homologation diffusion\
        \ restreinte  \n\u2022 Appr\xE9ciation des risques\n\nV\xE9rification(s):\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le prestataire poss\xE8\
        de bien une attestation d'homologation au minimum au niveau Diffusion Restreinte\
        \ pour superviser des syst\xE8mes d\u2019information non classifi\xE9s de\
        \ d\xE9fense.\n\u2022 Le centre d'\xE9valuation doit s'assurer que l'homologation\
        \ au niveau Diffusion Restreinte du syst\xE8me d'information a \xE9t\xE9 prononc\xE9\
        e sur la base de l'appr\xE9ciation des risques du syst\xE8me d'information\
        \ du service de d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit s'assurer\
        \ que l'attestation d'homologation indique la compr\xE9hension et l'acceptation\
        \ des risques r\xE9siduels par l'autorit\xE9 d'homologation, ainsi que son\
        \ engagement dans un processus d'am\xE9lioration continue du niveau de s\xE9\
        curit\xE9 du syst\xE8me d'information.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que l'homologation couvre tout le p\xE9rim\xE8tre du SI du service\
        \ de d\xE9tection,\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le dossier d'homologation comporte la documentation n\xE9cessaire et suffisante\
        \ \xE0 la d\xE9cision d'homologation, y compris les preuves fournies par les\
        \ \xE9ventuels sous-traitants de la mise en \u0153uvre des mesures sous leur\
        \ responsabilit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.2.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.2
      ref_id: IV.3.2.d
      name: "Homologation au m\xEAme niveau de classification que les SI classifi\xE9\
        \ de d\xE9fense supervis\xE9s"
      description: "Le syst\xE8me d\u2019information du service de d\xE9tection doit\
        \ \xEAtre homologu\xE9 au minimum au m\xEAme niveau de classification que\
        \ les syst\xE8mes d\u2019information classifi\xE9s de d\xE9fense du commanditaire\
        \ [IGI_1300]."
      annotation: "Preuve(s):\n\u2022 Attestation et dossier d'homologation diffusion\
        \ restreinte\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que le prestataire poss\xE8de bien une attestation d'homologation\
        \ au minimum au m\xEAme niveau de classification que les syst\xE8mes d\u2019\
        information classifi\xE9s de d\xE9fense qu'il supervise.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que l'homologation couvre tout le SI de\
        \ d\xE9tection concern\xE9 y compris l'enclave de consultation).         \
        \     \n\nPr\xE9cision(s):\n\u2022 Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.2.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.2
      ref_id: IV.3.2.e
      name: "D\xE9marche d'homologation"
      description: "Il est recommand\xE9 que le prestataire utilise la d\xE9marche\
        \ d\xE9crite dans le guide [HOMOLOGATION] pour homologuer le syst\xE8me d\u2019\
        information du service de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.2.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.2
      ref_id: IV.3.2.f
      name: Audit d'homologation par un PASSI
      description: "Il est recommand\xE9 que le prestataire fasse appel \xE0 une prestation\
        \ qualifi\xE9e d\u2019audit de la s\xE9curit\xE9 des syst\xE8mes d\u2019information\
        \ par un PASSI pour la r\xE9alisation de l\u2019audit dans le cadre de l\u2019\
        homologation."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.3
      name: "Territorialit\xE9 du service"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.3.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.3
      ref_id: IV.3.3.a
      name: "H\xE9bergement et traitement des donn\xE9es du SI de d\xE9tection au\
        \ sein de l\u2019Union Europ\xE9enne"
      description: "Le prestataire doit h\xE9berger et traiter les donn\xE9es relatives\
        \ au service de d\xE9tection des incidents de s\xE9curit\xE9 exclusivement\
        \ au sein de l\u2019Union Europ\xE9enne. Dans le cas o\xF9 certaines sources\
        \ de collecte seraient situ\xE9es en dehors de l\u2019Union Europ\xE9enne,\
        \ les \xE9v\xE9nements issus de ces sources devront \xEAtre transmis \xE0\
        \ un collecteur situ\xE9 au sein de l\u2019Union Europ\xE9enne."
      annotation: "Preuve(s):\n\u2022 Convention de service de la prestation type\n\
        \u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Documents\
        \ d'architecture du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la convention de service type pr\xE9voit que le prestataire s'engage\
        \ \xE0 h\xE9berger et traiter les donn\xE9es relatives au service de d\xE9\
        tection des incidents de s\xE9curit\xE9 exclusivement au sein de l\u2019Union\
        \ Europ\xE9enne.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de d\xE9livrance d'une prestation PDIS pr\xE9voit, dans le cas\
        \ o\xF9 certaines sources de collectes seraient situ\xE9es en dehors de l\u2019\
        Union Europ\xE9enne, la mise en place d'un collecteur situ\xE9 au sein de\
        \ l\u2019Union Europ\xE9enne pour centraliser les logs en provenance de ces\
        \ sources. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans les documents\
        \ d'architecture du SI du prestataire que tous les dispositifs de stockage\
        \ et de traitement du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ sont h\xE9berg\xE9s exclusivement au sein de l\u2019Union Europ\xE9enne.\
        \       \n\nPr\xE9cision(s): \n\u2022 Liste non exhaustive : \n- Collecteurs,\n\
        - SIEM,\n- Postes de travail op\xE9rateurs,\n- Postes de travail administrateurs,\n\
        - Archives et sauvegardes,\n- etc."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.3.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.3
      ref_id: IV.3.3.b
      name: "Op\xE9ration du service de d\xE9tection depuis l\u2019Union Europ\xE9\
        enne"
      description: "Le prestataire doit exploiter et administrer le service de d\xE9\
        tection des incidents de s\xE9curit\xE9 exclusivement depuis l\u2019Union\
        \ Europ\xE9enne."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Documents d'architecture\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9voit que le prestataire s'engage \xE0 exploiter et administrer\
        \ le service de d\xE9tection des incidents de s\xE9curit\xE9 exclusivement\
        \ au sein de l\u2019Union Europ\xE9enne\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ sp\xE9cifie que l'exploitation et l'administration du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 se fait exclusivement au sein de l\u2019\
        Union Europ\xE9enne\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans\
        \ les documents d'architecture du SI du prestataire que tous les sites h\xE9\
        bergeant les op\xE9rateurs et les administrateurs sont situ\xE9s au sein de\
        \ l\u2019Union Europ\xE9enne.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.4
      name: "Contr\xF4les"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4
      name: "\xC9laboration d'un plan de contr\xF4le"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:1
      ref_id: IV.3.4.a
      description: "a) Le prestataire doit documenter et mettre en \u0153uvre un plan\
        \ de contr\xF4le sur trois ans d\xE9finissant le p\xE9rim\xE8tre et la fr\xE9\
        quence des contr\xF4les en accord avec la gestion du changement, les politiques,\
        \ et les r\xE9sultats de l\u2019appr\xE9ciation des risques."
      annotation: "Preuve(s):\n\u2022 Processus de contr\xF4le et gestion des non-conformit\xE9\
        s\n\u2022 Processus de pilotage des risques\n\u2022 Plan de contr\xF4le\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de contr\xF4le et gestion des non-conformit\xE9s pr\xE9voit\
        \ la construction et la mise en \u0153uvre du plan de contr\xF4le.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9cise que\
        \ le plan de contr\xF4le doit int\xE9grer au minimum : \n- le contr\xF4le\
        \ des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9tection\
        \ ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9. \n- la revue\
        \ des comptes des administrateurs et des op\xE9rateurs au minimum mensuellement.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence du plan de contr\xF4\
        le visant \xE0 v\xE9rifier la bonne mise en \u0153uvre des m\xE9canismes de\
        \ s\xE9curit\xE9 et de protection de l\u2019information dont le prestataire\
        \ porte la responsabilit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le plan de contr\xF4le int\xE8gre, au minimum : \n- le contr\xF4\
        le des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9\
        tection ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux\
        \ dispositifs du service de d\xE9tection des incidents de s\xE9curit\xE9.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier la pertinence du plan de\
        \ contr\xF4le, notamment au regard du contexte du prestataire de d\xE9tection,\
        \ ainsi que de son appr\xE9ciation des risques et plan de traitement associ\xE9\
        \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la date de derni\xE8\
        re mise \xE0 jour du plan de contr\xF4le :\n- ne d\xE9passe pas un an au maximum,\
        \ \n- n'est pas ant\xE9rieure \xE0 la date de mise \xE0 jour de l'architecture\
        \ du prestataire. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de pilotage des risques pr\xE9cise les modalit\xE9s de test\
        \ des sc\xE9narios d'incidents redout\xE9s (fr\xE9quence, type de tests, etc.).\
        \      \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de\
        \ contr\xF4le pr\xE9voit d'\xE9prouver la liste des incidents redout\xE9s\
        \ avec le d\xE9tail des actions pr\xE9vues (exercice de crise, fr\xE9quence\
        \ annuelle, etc.)         \n\nPr\xE9cision(s): \n\u2022 Le plan de contr\xF4\
        le peut entre autres aborder les volets suivants conform\xE9ment aux exigences\
        \ de protection de l'information :\n- Proc\xE9dures et dispositifs de protection\
        \ contre les intrusions\n- Cloisonnement des r\xE9seaux et ma\xEEtrise des\
        \ flux\n- Suppression des acc\xE8s non ma\xEEtris\xE9s au SI\n- Attribution\
        \ des privil\xE8ges d'acc\xE8s et v\xE9rification des listes d'acc\xE8s\n\
        - Verrouillage des sessions de travail\n- etc."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:1
      ref_id: IV.3.4.b
      description: "b) Ce plan de contr\xF4le doit permettre de v\xE9rifier la bonne\
        \ mise en \u0153uvre des m\xE9canismes de s\xE9curit\xE9 et de protection\
        \ de l\u2019information dont le prestataire porte la responsabilit\xE9. Ce\
        \ plan de contr\xF4le doit int\xE9grer au minimum : \n- le contr\xF4le des\
        \ acc\xE8s logiques et physiques aux dispositifs du service de d\xE9tection\
        \ ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9. Cette revue\
        \ doit pr\xE9voir la revue des comptes des administrateurs et des op\xE9rateurs\
        \ au minimum mensuellement."
      annotation: "Preuve(s):\n\u2022 Processus de contr\xF4le et gestion des non-conformit\xE9\
        s\n\u2022 Processus de pilotage des risques\n\u2022 Plan de contr\xF4le\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de contr\xF4le et gestion des non-conformit\xE9s pr\xE9voit\
        \ la construction et la mise en \u0153uvre du plan de contr\xF4le.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9cise que\
        \ le plan de contr\xF4le doit int\xE9grer au minimum : \n- le contr\xF4le\
        \ des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9tection\
        \ ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9. \n- la revue\
        \ des comptes des administrateurs et des op\xE9rateurs au minimum mensuellement.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence du plan de contr\xF4\
        le visant \xE0 v\xE9rifier la bonne mise en \u0153uvre des m\xE9canismes de\
        \ s\xE9curit\xE9 et de protection de l\u2019information dont le prestataire\
        \ porte la responsabilit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le plan de contr\xF4le int\xE8gre, au minimum : \n- le contr\xF4\
        le des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9\
        tection ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux\
        \ dispositifs du service de d\xE9tection des incidents de s\xE9curit\xE9.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier la pertinence du plan de\
        \ contr\xF4le, notamment au regard du contexte du prestataire de d\xE9tection,\
        \ ainsi que de son appr\xE9ciation des risques et plan de traitement associ\xE9\
        \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la date de derni\xE8\
        re mise \xE0 jour du plan de contr\xF4le :\n- ne d\xE9passe pas un an au maximum,\
        \ \n- n'est pas ant\xE9rieure \xE0 la date de mise \xE0 jour de l'architecture\
        \ du prestataire. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de pilotage des risques pr\xE9cise les modalit\xE9s de test\
        \ des sc\xE9narios d'incidents redout\xE9s (fr\xE9quence, type de tests, etc.).\
        \      \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de\
        \ contr\xF4le pr\xE9voit d'\xE9prouver la liste des incidents redout\xE9s\
        \ avec le d\xE9tail des actions pr\xE9vues (exercice de crise, fr\xE9quence\
        \ annuelle, etc.)         \n\nPr\xE9cision(s): \n\u2022 Le plan de contr\xF4\
        le peut entre autres aborder les volets suivants conform\xE9ment aux exigences\
        \ de protection de l'information :\n- Proc\xE9dures et dispositifs de protection\
        \ contre les intrusions\n- Cloisonnement des r\xE9seaux et ma\xEEtrise des\
        \ flux\n- Suppression des acc\xE8s non ma\xEEtris\xE9s au SI\n- Attribution\
        \ des privil\xE8ges d'acc\xE8s et v\xE9rification des listes d'acc\xE8s\n\
        - Verrouillage des sessions de travail\n- etc."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:1
      ref_id: IV.3.4.c
      description: "c) Le prestataire doit r\xE9viser le plan de contr\xF4le au minimum\
        \ annuellement et en cas de modifications structurantes du service de d\xE9\
        tection, notamment celles concernant son h\xE9bergement, son infrastructure\
        \ et son architecture."
      annotation: "Preuve(s):\n\u2022 Processus de contr\xF4le et gestion des non-conformit\xE9\
        s\n\u2022 Processus de pilotage des risques\n\u2022 Plan de contr\xF4le\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de contr\xF4le et gestion des non-conformit\xE9s pr\xE9voit\
        \ la construction et la mise en \u0153uvre du plan de contr\xF4le.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9cise que\
        \ le plan de contr\xF4le doit int\xE9grer au minimum : \n- le contr\xF4le\
        \ des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9tection\
        \ ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9. \n- la revue\
        \ des comptes des administrateurs et des op\xE9rateurs au minimum mensuellement.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence du plan de contr\xF4\
        le visant \xE0 v\xE9rifier la bonne mise en \u0153uvre des m\xE9canismes de\
        \ s\xE9curit\xE9 et de protection de l\u2019information dont le prestataire\
        \ porte la responsabilit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le plan de contr\xF4le int\xE8gre, au minimum : \n- le contr\xF4\
        le des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9\
        tection ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux\
        \ dispositifs du service de d\xE9tection des incidents de s\xE9curit\xE9.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier la pertinence du plan de\
        \ contr\xF4le, notamment au regard du contexte du prestataire de d\xE9tection,\
        \ ainsi que de son appr\xE9ciation des risques et plan de traitement associ\xE9\
        \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la date de derni\xE8\
        re mise \xE0 jour du plan de contr\xF4le :\n- ne d\xE9passe pas un an au maximum,\
        \ \n- n'est pas ant\xE9rieure \xE0 la date de mise \xE0 jour de l'architecture\
        \ du prestataire. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de pilotage des risques pr\xE9cise les modalit\xE9s de test\
        \ des sc\xE9narios d'incidents redout\xE9s (fr\xE9quence, type de tests, etc.).\
        \      \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de\
        \ contr\xF4le pr\xE9voit d'\xE9prouver la liste des incidents redout\xE9s\
        \ avec le d\xE9tail des actions pr\xE9vues (exercice de crise, fr\xE9quence\
        \ annuelle, etc.)         \n\nPr\xE9cision(s): \n\u2022 Le plan de contr\xF4\
        le peut entre autres aborder les volets suivants conform\xE9ment aux exigences\
        \ de protection de l'information :\n- Proc\xE9dures et dispositifs de protection\
        \ contre les intrusions\n- Cloisonnement des r\xE9seaux et ma\xEEtrise des\
        \ flux\n- Suppression des acc\xE8s non ma\xEEtris\xE9s au SI\n- Attribution\
        \ des privil\xE8ges d'acc\xE8s et v\xE9rification des listes d'acc\xE8s\n\
        - Verrouillage des sessions de travail\n- etc."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:1
      ref_id: IV.3.4.d
      description: "d) Le prestataire doit inclure la liste des incidents de s\xE9\
        curit\xE9 redout\xE9s (voir exigence IV.3.1.b) dans le plan de contr\xF4le\
        \ afin d\u2019\xE9prouver ces sc\xE9narios."
      annotation: "Preuve(s):\n\u2022 Processus de contr\xF4le et gestion des non-conformit\xE9\
        s\n\u2022 Processus de pilotage des risques\n\u2022 Plan de contr\xF4le\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de contr\xF4le et gestion des non-conformit\xE9s pr\xE9voit\
        \ la construction et la mise en \u0153uvre du plan de contr\xF4le.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9cise que\
        \ le plan de contr\xF4le doit int\xE9grer au minimum : \n- le contr\xF4le\
        \ des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9tection\
        \ ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9. \n- la revue\
        \ des comptes des administrateurs et des op\xE9rateurs au minimum mensuellement.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence du plan de contr\xF4\
        le visant \xE0 v\xE9rifier la bonne mise en \u0153uvre des m\xE9canismes de\
        \ s\xE9curit\xE9 et de protection de l\u2019information dont le prestataire\
        \ porte la responsabilit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le plan de contr\xF4le int\xE8gre, au minimum : \n- le contr\xF4\
        le des acc\xE8s logiques et physiques aux dispositifs du service de d\xE9\
        tection ;\n- la revue des privil\xE8ges et des droits d\u2019acc\xE8s aux\
        \ dispositifs du service de d\xE9tection des incidents de s\xE9curit\xE9.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier la pertinence du plan de\
        \ contr\xF4le, notamment au regard du contexte du prestataire de d\xE9tection,\
        \ ainsi que de son appr\xE9ciation des risques et plan de traitement associ\xE9\
        \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la date de derni\xE8\
        re mise \xE0 jour du plan de contr\xF4le :\n- ne d\xE9passe pas un an au maximum,\
        \ \n- n'est pas ant\xE9rieure \xE0 la date de mise \xE0 jour de l'architecture\
        \ du prestataire. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de pilotage des risques pr\xE9cise les modalit\xE9s de test\
        \ des sc\xE9narios d'incidents redout\xE9s (fr\xE9quence, type de tests, etc.).\
        \      \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de\
        \ contr\xF4le pr\xE9voit d'\xE9prouver la liste des incidents redout\xE9s\
        \ avec le d\xE9tail des actions pr\xE9vues (exercice de crise, fr\xE9quence\
        \ annuelle, etc.)         \n\nPr\xE9cision(s): \n\u2022 Le plan de contr\xF4\
        le peut entre autres aborder les volets suivants conform\xE9ment aux exigences\
        \ de protection de l'information :\n- Proc\xE9dures et dispositifs de protection\
        \ contre les intrusions\n- Cloisonnement des r\xE9seaux et ma\xEEtrise des\
        \ flux\n- Suppression des acc\xE8s non ma\xEEtris\xE9s au SI\n- Attribution\
        \ des privil\xE8ges d'acc\xE8s et v\xE9rification des listes d'acc\xE8s\n\
        - Verrouillage des sessions de travail\n- etc."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4
      name: "Liste des audits dans le plan de contr\xF4le"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:2
      ref_id: IV.3.4.e
      description: "e) Le plan de contr\xF4le doit inclure un programme d\u2019audit\
        \ couvrant notamment :\n- Des audits de configuration des serveurs et \xE9\
        quipements r\xE9seau inclus dans le p\xE9rim\xE8tre du service de d\xE9tection.\
        \ Ces audits sont r\xE9alis\xE9s par \xE9chantillonnage et doivent inclure\
        \ tous types d\u2019\xE9quipements et de serveurs pr\xE9sents dans le syst\xE8\
        me d\u2019information du service ;\n- Des tests d\u2019intrusion sur le service\
        \ ;\n- Si le service b\xE9n\xE9ficie de d\xE9veloppements internes, des audits\
        \ de code source portant sur les fonctionnalit\xE9s de s\xE9curit\xE9 impl\xE9\
        ment\xE9es."
      annotation: "Preuve(s):\n\u2022 Extrait K-bis\n\u2022 Plan de contr\xF4le\n\u2022\
        \ Rapport d\u2019audit\n\u2022 Processus de contr\xF4le et gestion des non-conformit\xE9\
        s\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de contr\xF4le et gestion des non-conformit\xE9s pr\xE9\
        voit, au minimum :\n- des audits de configuration des serveurs et des \xE9\
        quipements r\xE9seau inclus dans les p\xE9rim\xE8tres du service de d\xE9\
        tection ;\n- des tests d\u2019intrusion sur le service ;\n- des audits de\
        \ code source portant sur les fonctionnalit\xE9s de s\xE9curit\xE9, si le\
        \ service de d\xE9tection b\xE9n\xE9ficie de d\xE9veloppements internes.\n\
        \u2022 Option A uniquement:  Le centre d'\xE9valuation doit s'assurer de l'ind\xE9\
        pendance juridique et l\xE9gale du prestataire et du prestataire qualifi\xE9\
        \ PASSI ayant travaill\xE9 avec lui sur le plan de contr\xF4le du SI de d\xE9\
        tection.                  \n\u2022 Option B uniquement : Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de contr\xF4le et gestion des\
        \ non-conformit\xE9s sp\xE9cifie que les audits soient des audits qualifi\xE9\
        s PASSI.         \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ plan de contr\xF4le inclut un programme d'audit couvrant : \n- des audits\
        \ de configuration des serveurs et des \xE9quipements r\xE9seau inclus dans\
        \ les p\xE9rim\xE8tres du service de d\xE9tection ;\n- des tests d\u2019intrusion\
        \ sur le service ;\n- des audits de code source portant sur les fonctionnalit\xE9\
        s de s\xE9curit\xE9, si le service de d\xE9tection b\xE9n\xE9ficie de d\xE9\
        veloppements internes.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ pour chaque audit pr\xE9vu dans le plan de contr\xF4le que :\n- les audits\
        \ sont not\xE9s soit \"pr\xE9vu\", soit \"r\xE9alis\xE9\",\n- pour tous les\
        \ audits r\xE9alis\xE9s, un rapport d'audit existe.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le programme d'audit inclut au minimum un audit\
        \ qualifi\xE9 par an."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:2
      ref_id: IV.3.4.f
      description: "Amendement n\xB02 : \nf) OPTION A :  Le programme d\u2019audit\
        \ doit inclure au minimum un audit qualifi\xE9 par an, r\xE9alis\xE9 par un\
        \ prestataire d\u2019audit de la s\xE9curit\xE9 des syst\xE8mes d\u2019information\
        \ (PASSI) qualifi\xE9. Les prestataires PASSI mandat\xE9s doivent \xEAtre\
        \ juridiquement ind\xE9pendants du prestataire. \n\nOPTION B : Le programme\
        \ d'audit doit inclure au minimum un audit qualifi\xE9 par an, r\xE9alis\xE9\
        \ par un prestataire PASSI qualifi\xE9."
      annotation: "Preuve(s):\n\u2022 Extrait K-bis\n\u2022 Plan de contr\xF4le\n\u2022\
        \ Rapport d\u2019audit\n\u2022 Processus de contr\xF4le et gestion des non-conformit\xE9\
        s\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de contr\xF4le et gestion des non-conformit\xE9s pr\xE9\
        voit, au minimum :\n- des audits de configuration des serveurs et des \xE9\
        quipements r\xE9seau inclus dans les p\xE9rim\xE8tres du service de d\xE9\
        tection ;\n- des tests d\u2019intrusion sur le service ;\n- des audits de\
        \ code source portant sur les fonctionnalit\xE9s de s\xE9curit\xE9, si le\
        \ service de d\xE9tection b\xE9n\xE9ficie de d\xE9veloppements internes.\n\
        \u2022 Option A uniquement:  Le centre d'\xE9valuation doit s'assurer de l'ind\xE9\
        pendance juridique et l\xE9gale du prestataire et du prestataire qualifi\xE9\
        \ PASSI ayant travaill\xE9 avec lui sur le plan de contr\xF4le du SI de d\xE9\
        tection.                  \n\u2022 Option B uniquement : Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de contr\xF4le et gestion des\
        \ non-conformit\xE9s sp\xE9cifie que les audits soient des audits qualifi\xE9\
        s PASSI.         \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ plan de contr\xF4le inclut un programme d'audit couvrant : \n- des audits\
        \ de configuration des serveurs et des \xE9quipements r\xE9seau inclus dans\
        \ les p\xE9rim\xE8tres du service de d\xE9tection ;\n- des tests d\u2019intrusion\
        \ sur le service ;\n- des audits de code source portant sur les fonctionnalit\xE9\
        s de s\xE9curit\xE9, si le service de d\xE9tection b\xE9n\xE9ficie de d\xE9\
        veloppements internes.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ pour chaque audit pr\xE9vu dans le plan de contr\xF4le que :\n- les audits\
        \ sont not\xE9s soit \"pr\xE9vu\", soit \"r\xE9alis\xE9\",\n- pour tous les\
        \ audits r\xE9alis\xE9s, un rapport d'audit existe.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le programme d'audit inclut au minimum un audit\
        \ qualifi\xE9 par an."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4:3
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4
      name: "R\xE9sultats des contr\xF4les"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:3
      ref_id: IV.3.4.g
      description: "g) Le prestataire doit prot\xE9ger les r\xE9sultats des contr\xF4\
        les au minimum au m\xEAme niveau de sensibilit\xE9 ou de classification que\
        \ le syst\xE8me d\u2019information contr\xF4l\xE9."
      annotation: "Preuve(s):\n\u2022 Appr\xE9ciation des risques du prestataire\n\
        \u2022 Plan de traitement des risques associ\xE9\n\u2022 Plan de contr\xF4\
        le\n\u2022 Rapport d\u2019audit\n\u2022 Processus de gestion de la documentation\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de gestion de la documentation pr\xE9voit la mise en place\
        \ du stockage des r\xE9sultats des contr\xF4les, dont les rapports d'audit.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9\
        voit des modalit\xE9s de stockage au minimum au m\xEAme niveau de sensibilit\xE9\
        \ ou de classification que le syst\xE8me d\u2019information contr\xF4l\xE9\
        . \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que, pour chaque rapport\
        \ d'audit - r\xE9sultat des contr\xF4les -,stock\xE9 en dehors d'une zone\
        \ de confiance ou transitant sur un r\xE9seau non contr\xF4l\xE9 doit respecter\
        \ les mesures se s\xE9curisation suivantes : \n- Chiffrement,\n- Restriction\
        \ des droits d'acc\xE8s. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la derni\xE8re mise \xE0 jour du plan de traitement des risques prend\
        \ en compte le dernier r\xE9sultat de contr\xF4le impliquant des changements\
        \ (c\u2019est-\xE0-dire donnant des pr\xE9conisations \xE0 mettre en \u0153\
        uvre), si il y a lieu. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la date de derni\xE8re mise \xE0 jour du plan de traitement des risques\
        \ n'est pas ant\xE9rieure au dernier r\xE9sultat de contr\xF4le impliquant\
        \ des changements (c\u2019est-\xE0-dire donnant des pr\xE9conisations \xE0\
        \ mettre en \u0153uvre). \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de gestion des risques sp\xE9cifie que le plan de traitement\
        \ des risques devra \xEAtre mis \xE0 jour pour int\xE9grer le r\xE9sultat\
        \ des contr\xF4les.         \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le plan de contr\xF4le pr\xE9cise que chaque r\xE9sultat de contr\xF4\
        le devra \xEAtre communiqu\xE9 \xE0 la direction et approuv\xE9 formellement\
        \ par \xE9crit. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que chaque\
        \ r\xE9sultat de contr\xF4le a \xE9t\xE9 approuv\xE9 par \xE9crit par la direction\
        \ du prestataire (signature, rapport, etc.)                     \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:3
      ref_id: IV.3.4.h
      description: "h) Le prestataire doit mettre \xE0 jour le plan de traitement\
        \ des risques (voir exigence IV.3.1.a) pour int\xE9grer les r\xE9sultats des\
        \ contr\xF4les."
      annotation: "Preuve(s):\n\u2022 Appr\xE9ciation des risques du prestataire\n\
        \u2022 Plan de traitement des risques associ\xE9\n\u2022 Plan de contr\xF4\
        le\n\u2022 Rapport d\u2019audit\n\u2022 Processus de gestion de la documentation\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de gestion de la documentation pr\xE9voit la mise en place\
        \ du stockage des r\xE9sultats des contr\xF4les, dont les rapports d'audit.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9\
        voit des modalit\xE9s de stockage au minimum au m\xEAme niveau de sensibilit\xE9\
        \ ou de classification que le syst\xE8me d\u2019information contr\xF4l\xE9\
        . \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que, pour chaque rapport\
        \ d'audit - r\xE9sultat des contr\xF4les -,stock\xE9 en dehors d'une zone\
        \ de confiance ou transitant sur un r\xE9seau non contr\xF4l\xE9 doit respecter\
        \ les mesures se s\xE9curisation suivantes : \n- Chiffrement,\n- Restriction\
        \ des droits d'acc\xE8s. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la derni\xE8re mise \xE0 jour du plan de traitement des risques prend\
        \ en compte le dernier r\xE9sultat de contr\xF4le impliquant des changements\
        \ (c\u2019est-\xE0-dire donnant des pr\xE9conisations \xE0 mettre en \u0153\
        uvre), si il y a lieu. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la date de derni\xE8re mise \xE0 jour du plan de traitement des risques\
        \ n'est pas ant\xE9rieure au dernier r\xE9sultat de contr\xF4le impliquant\
        \ des changements (c\u2019est-\xE0-dire donnant des pr\xE9conisations \xE0\
        \ mettre en \u0153uvre). \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de gestion des risques sp\xE9cifie que le plan de traitement\
        \ des risques devra \xEAtre mis \xE0 jour pour int\xE9grer le r\xE9sultat\
        \ des contr\xF4les.         \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le plan de contr\xF4le pr\xE9cise que chaque r\xE9sultat de contr\xF4\
        le devra \xEAtre communiqu\xE9 \xE0 la direction et approuv\xE9 formellement\
        \ par \xE9crit. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que chaque\
        \ r\xE9sultat de contr\xF4le a \xE9t\xE9 approuv\xE9 par \xE9crit par la direction\
        \ du prestataire (signature, rapport, etc.)                     \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.4.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.4:3
      ref_id: IV.3.4.i
      description: "i) Le prestataire doit communiquer les r\xE9sultats des contr\xF4\
        les \xE0 sa direction. Les r\xE9sultats des contr\xF4les doivent \xEAtre valid\xE9\
        s formellement et par \xE9crit aupr\xE8s de la direction du prestataire."
      annotation: "Preuve(s):\n\u2022 Appr\xE9ciation des risques du prestataire\n\
        \u2022 Plan de traitement des risques associ\xE9\n\u2022 Plan de contr\xF4\
        le\n\u2022 Rapport d\u2019audit\n\u2022 Processus de gestion de la documentation\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de gestion de la documentation pr\xE9voit la mise en place\
        \ du stockage des r\xE9sultats des contr\xF4les, dont les rapports d'audit.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9\
        voit des modalit\xE9s de stockage au minimum au m\xEAme niveau de sensibilit\xE9\
        \ ou de classification que le syst\xE8me d\u2019information contr\xF4l\xE9\
        . \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que, pour chaque rapport\
        \ d'audit - r\xE9sultat des contr\xF4les -,stock\xE9 en dehors d'une zone\
        \ de confiance ou transitant sur un r\xE9seau non contr\xF4l\xE9 doit respecter\
        \ les mesures se s\xE9curisation suivantes : \n- Chiffrement,\n- Restriction\
        \ des droits d'acc\xE8s. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la derni\xE8re mise \xE0 jour du plan de traitement des risques prend\
        \ en compte le dernier r\xE9sultat de contr\xF4le impliquant des changements\
        \ (c\u2019est-\xE0-dire donnant des pr\xE9conisations \xE0 mettre en \u0153\
        uvre), si il y a lieu. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la date de derni\xE8re mise \xE0 jour du plan de traitement des risques\
        \ n'est pas ant\xE9rieure au dernier r\xE9sultat de contr\xF4le impliquant\
        \ des changements (c\u2019est-\xE0-dire donnant des pr\xE9conisations \xE0\
        \ mettre en \u0153uvre). \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de gestion des risques sp\xE9cifie que le plan de traitement\
        \ des risques devra \xEAtre mis \xE0 jour pour int\xE9grer le r\xE9sultat\
        \ des contr\xF4les.         \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le plan de contr\xF4le pr\xE9cise que chaque r\xE9sultat de contr\xF4\
        le devra \xEAtre communiqu\xE9 \xE0 la direction et approuv\xE9 formellement\
        \ par \xE9crit. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que chaque\
        \ r\xE9sultat de contr\xF4le a \xE9t\xE9 approuv\xE9 par \xE9crit par la direction\
        \ du prestataire (signature, rapport, etc.)                     \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.5
      name: "S\xE9curit\xE9 physique"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.5:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.5
      name: "Gestion des personnes autoris\xE9es dans les locaux h\xE9bergeant le\
        \ SI du service de d\xE9tection"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.5.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.5:1
      ref_id: IV.3.5.a
      description: "a) Le prestataire doit \xE9laborer et tenir \xE0 jour la liste\
        \ des personnes autoris\xE9es \xE0 acc\xE9der aux locaux h\xE9bergeant le\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Contrat de sous-traitance de la surveillance\
        \ du site\n\u2022 Liste des acc\xE8s et r\xF4les du personnel\n\u2022 Plan\
        \ de contr\xF4le\n\u2022 Description des plans des locaux\n\u2022 Politique\
        \ de S\xE9curit\xE9 des Syst\xE8mes d'Information\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier :\n- l'existence d'une liste\
        \ des personnes autoris\xE9es \xE0 acc\xE9der aux locaux h\xE9bergeant le\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9 (salles machine\
        \ et lieu de travail des op\xE9rateurs et administrateurs) ;\n- que cette\
        \ liste est maintenue \xE0 jour \xE0 chaque changement structurant (v\xE9\
        rifier \xE9galement la derni\xE8re date de revue). \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le plan de contr\xF4le pr\xE9voit la mise en\
        \ place d'une liste des personnes autoris\xE9es \xE0 acc\xE9der aux locaux\
        \ h\xE9bergeant le service de d\xE9tection des incidents de s\xE9curit\xE9\
        . \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI d\xE9crit\
        \ les moyens de contr\xF4le d'acc\xE8s physique, de d\xE9tection d'intrusion\
        \ et de moyens de surveillance r\xE9guli\xE8re.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le dispositif de contr\xF4le d'acc\xE8s physique employ\xE9\
        \ est un produit disposant d'un visa de s\xE9curit\xE9 d\xE9livr\xE9 par l'ANSSI.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'un document (politique\
        \ de s\xE9curit\xE9 des syst\xE8mes d'information ou proc\xE9dures d'exploitation\
        \ par exemple) d\xE9finit explicitement les profils des personnes pouvant\
        \ acc\xE9der aux locaux (visiteurs, personnels standards (analystes, responsables\
        \ d'\xE9quipe d'analyse, personnels administratifs, etc.), personnels d'entretien,\
        \ dirigeants, etc.) ainsi que les jours et les plages horaires d'acc\xE8s\
        \ associ\xE9s \xE0 chacun de ces profils.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les jours et plages horaires d'acc\xE8s associ\xE9\
        s \xE0 chaque profil sont adapt\xE9s et ne sont pas trop permissifs. Des jours\
        \ et plages horaires d'acc\xE8s trop permissifs correspondent par exemple\
        \ au fait que les visiteurs, les personnels standards ou le personnel d'entretien\
        \ peuvent acc\xE9der aux locaux entre 21h et 6h ou les week-ends et jours\
        \ f\xE9ri\xE9s par exemple.\n\nPr\xE9cision(s): \n\u2022 Pour v\xE9rifier\
        \ la tenue \xE0 jour de la liste, on pourra v\xE9rifier la concordance avec\
        \ : \n- les arriv\xE9es r\xE9centes dans le personnel ;\n- les d\xE9parts\
        \ r\xE9cents dans le personnel ;\n- le processus th\xE9orique de mise \xE0\
        \ jour d\xE9crit dans la PSSI.\n\u2022 On pourra par exemple v\xE9rifier si\
        \ une fr\xE9quence de mise \xE0 jour est d\xE9finie, par exemple \xE0 chaque\
        \ d\xE9part/arriv\xE9e.                      \n\u2022 On pourra v\xE9rifier\
        \ notamment la pr\xE9sence de : \n- Dispositifs d'acc\xE8s n\xE9cessitant\
        \ un badge nominatif et \xE0 fermeture automatique ou dispositifs biom\xE9\
        triques (sas de s\xE9curit\xE9)\n- Dispositifs de surveillance (camera, alarme)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.5.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.5:1
      ref_id: IV.3.5.b
      description: "b) Le prestataire doit mettre en \u0153uvre les m\xE9canismes\
        \ permettant de garantir que seules les personnes autoris\xE9es peuvent acc\xE9\
        der aux locaux h\xE9bergeant le service de d\xE9tection des incidents de s\xE9\
        curit\xE9."
      annotation: "Preuve(s):\n\u2022 Contrat de sous-traitance de la surveillance\
        \ du site\n\u2022 Liste des acc\xE8s et r\xF4les du personnel\n\u2022 Plan\
        \ de contr\xF4le\n\u2022 Description des plans des locaux\n\u2022 Politique\
        \ de S\xE9curit\xE9 des Syst\xE8mes d'Information\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier :\n- l'existence d'une liste\
        \ des personnes autoris\xE9es \xE0 acc\xE9der aux locaux h\xE9bergeant le\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9 (salles machine\
        \ et lieu de travail des op\xE9rateurs et administrateurs) ;\n- que cette\
        \ liste est maintenue \xE0 jour \xE0 chaque changement structurant (v\xE9\
        rifier \xE9galement la derni\xE8re date de revue). \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le plan de contr\xF4le pr\xE9voit la mise en\
        \ place d'une liste des personnes autoris\xE9es \xE0 acc\xE9der aux locaux\
        \ h\xE9bergeant le service de d\xE9tection des incidents de s\xE9curit\xE9\
        . \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI d\xE9crit\
        \ les moyens de contr\xF4le d'acc\xE8s physique, de d\xE9tection d'intrusion\
        \ et de moyens de surveillance r\xE9guli\xE8re.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le dispositif de contr\xF4le d'acc\xE8s physique employ\xE9\
        \ est un produit disposant d'un visa de s\xE9curit\xE9 d\xE9livr\xE9 par l'ANSSI.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'un document (politique\
        \ de s\xE9curit\xE9 des syst\xE8mes d'information ou proc\xE9dures d'exploitation\
        \ par exemple) d\xE9finit explicitement les profils des personnes pouvant\
        \ acc\xE9der aux locaux (visiteurs, personnels standards (analystes, responsables\
        \ d'\xE9quipe d'analyse, personnels administratifs, etc.), personnels d'entretien,\
        \ dirigeants, etc.) ainsi que les jours et les plages horaires d'acc\xE8s\
        \ associ\xE9s \xE0 chacun de ces profils.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les jours et plages horaires d'acc\xE8s associ\xE9\
        s \xE0 chaque profil sont adapt\xE9s et ne sont pas trop permissifs. Des jours\
        \ et plages horaires d'acc\xE8s trop permissifs correspondent par exemple\
        \ au fait que les visiteurs, les personnels standards ou le personnel d'entretien\
        \ peuvent acc\xE9der aux locaux entre 21h et 6h ou les week-ends et jours\
        \ f\xE9ri\xE9s par exemple.\n\nPr\xE9cision(s): \n\u2022 Pour v\xE9rifier\
        \ la tenue \xE0 jour de la liste, on pourra v\xE9rifier la concordance avec\
        \ : \n- les arriv\xE9es r\xE9centes dans le personnel ;\n- les d\xE9parts\
        \ r\xE9cents dans le personnel ;\n- le processus th\xE9orique de mise \xE0\
        \ jour d\xE9crit dans la PSSI.\n\u2022 On pourra par exemple v\xE9rifier si\
        \ une fr\xE9quence de mise \xE0 jour est d\xE9finie, par exemple \xE0 chaque\
        \ d\xE9part/arriv\xE9e.                      \n\u2022 On pourra v\xE9rifier\
        \ notamment la pr\xE9sence de : \n- Dispositifs d'acc\xE8s n\xE9cessitant\
        \ un badge nominatif et \xE0 fermeture automatique ou dispositifs biom\xE9\
        triques (sas de s\xE9curit\xE9)\n- Dispositifs de surveillance (camera, alarme)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.5:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.5
      name: "Journalisation des acc\xE8s aux locaux"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.5.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.5:2
      ref_id: IV.3.5.c
      description: "c) Le prestataire doit mettre en \u0153uvre les m\xE9canismes\
        \ permettant de journaliser les acc\xE8s aux locaux h\xE9bergeant le service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d'Information du prestataire\n\u2022 Attestations de qualification/d'agr\xE9\
        ment pour les produits qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Processus\
        \ de gestion des droits et habilitations\n\u2022 Guide d'exploitation et d'administration\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier la\
        \ PSSI sp\xE9cifie que chaque acc\xE8s ou passage par un dispositif d'identification\
        \ est journalis\xE9.       \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la PSSI sp\xE9cifie que les journaux d\u2019acc\xE8s aux locaux h\xE9\
        bergeant le service de d\xE9tection sont prot\xE9g\xE9s en confidentialit\xE9\
        \ et en int\xE9grit\xE9 \xE0 l\u2019aide de solutions agr\xE9\xE9es par l\u2019\
        ANSSI.          \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ mise en \u0153uvre de m\xE9canismes de journalisation est document\xE9e\
        \ dans un processus de gestion des droits et des habilitations.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que les guides d'exploitation et\
        \ d'administration d\xE9crivent les mesures de mise en \u0153uvre de la solution\
        \ agr\xE9\xE9 utilis\xE9e assurant la confidentialit\xE9 et l'int\xE9grit\xE9\
        \ des journaux et qu'elles sont conformes aux conditions de l'agr\xE9ment\
        \ de la solution utilis\xE9e.\n\nPr\xE9cision(s):\n\u2022 Les moyens utilis\xE9\
        s pour r\xE9pondre \xE0 ces besoins peuvent \xEAtre, par exemple :\n- stockage\
        \ chiffr\xE9 et centralis\xE9 ;\n- contr\xF4le d'acc\xE8s strict aux journaux\
        \ et chiffrement de surface du serveur les h\xE9bergeant ;\n- transmission\
        \ s\xE9curis\xE9e entre les appareils de r\xE9colte des journaux et le stockage\
        \ (tunnel chiffr\xE9)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.5.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.5:2
      ref_id: IV.3.5.d
      description: "d) Le prestataire doit d\xE9finir et mettre en \u0153uvre les\
        \ mesures permettant d\u2019assurer la confidentialit\xE9 et l\u2019int\xE9\
        grit\xE9 des journaux d\u2019acc\xE8s aux locaux h\xE9bergeant le service\
        \ de d\xE9tection \xE0 l\u2019aide de solutions agr\xE9\xE9es par l\u2019\
        ANSSI [CRYPTO_B1], [CRYPTO_B3] au niveau ad\xE9quat et utilis\xE9es conform\xE9\
        ment aux conditions de leur agr\xE9ment"
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d'Information du prestataire\n\u2022 Attestations de qualification/d'agr\xE9\
        ment pour les produits qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Processus\
        \ de gestion des droits et habilitations\n\u2022 Guide d'exploitation et d'administration\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier la\
        \ PSSI sp\xE9cifie que chaque acc\xE8s ou passage par un dispositif d'identification\
        \ est journalis\xE9.       \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la PSSI sp\xE9cifie que les journaux d\u2019acc\xE8s aux locaux h\xE9\
        bergeant le service de d\xE9tection sont prot\xE9g\xE9s en confidentialit\xE9\
        \ et en int\xE9grit\xE9 \xE0 l\u2019aide de solutions agr\xE9\xE9es par l\u2019\
        ANSSI.          \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ mise en \u0153uvre de m\xE9canismes de journalisation est document\xE9e\
        \ dans un processus de gestion des droits et des habilitations.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que les guides d'exploitation et\
        \ d'administration d\xE9crivent les mesures de mise en \u0153uvre de la solution\
        \ agr\xE9\xE9 utilis\xE9e assurant la confidentialit\xE9 et l'int\xE9grit\xE9\
        \ des journaux et qu'elles sont conformes aux conditions de l'agr\xE9ment\
        \ de la solution utilis\xE9e.\n\nPr\xE9cision(s):\n\u2022 Les moyens utilis\xE9\
        s pour r\xE9pondre \xE0 ces besoins peuvent \xEAtre, par exemple :\n- stockage\
        \ chiffr\xE9 et centralis\xE9 ;\n- contr\xF4le d'acc\xE8s strict aux journaux\
        \ et chiffrement de surface du serveur les h\xE9bergeant ;\n- transmission\
        \ s\xE9curis\xE9e entre les appareils de r\xE9colte des journaux et le stockage\
        \ (tunnel chiffr\xE9)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.6
      name: Sauvegardes
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.6:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.6
      name: Plan de sauvegarde
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.6.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.6:1
      ref_id: IV.3.6.a
      description: "a) Le prestataire doit \xE9laborer et mettre en \u0153uvre un\
        \ plan de sauvegarde et de restauration des dispositifs du service de d\xE9\
        tection des incidents de s\xE9curit\xE9. Le plan de sauvegarde doit comporter\
        \ plusieurs volets distincts, au minimum les volets suivants :\n- sauvegarde\
        \ des syst\xE8mes ;\n- sauvegarde des configurations ;\n- sauvegarde des donn\xE9\
        es."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Plan de sauvegarde\n\u2022 Processus\
        \ du prestataire de maintien en conditions op\xE9rationnelles\n        \n\
        V\xE9rification(s): \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la PSSI sp\xE9cifie l'\xE9laboration et la mise en \u0153uvre d'un plan\
        \ de sauvegarde et de restauration des dispositifs du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9.  \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier l'existence d'un plan de sauvegarde et de restauration des dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 dans lequel sont\
        \ identifi\xE9s les besoins de sauvegarde, le p\xE9rim\xE8tre global associ\xE9\
        , les proc\xE9dures de sauvegarde et les proc\xE9dures de restauration. \n\
        Ce plan doit d\xE9tailler les modalit\xE9s de sauvegarde (fr\xE9quence, p\xE9\
        rim\xE8tre pr\xE9cis, d\xE9lai de restauration, etc.) pour : \n- les syst\xE8\
        mes,\n- les donn\xE9es,\n- les configurations.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le plan de sauvegarde et de restauration des dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 est r\xE9f\xE9\
        renc\xE9 dans un processus de maintien en conditions op\xE9rationnelles.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de sauvegarde\
        \ indique la fr\xE9quence de test du plan de sauvegarde et la date du dernier\
        \ test.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la fr\xE9quence\
        \ de test du plan de sauvegarde est inf\xE9rieure ou \xE9gale \xE0 un an.\n\
        \u2022 Si un test du plan de sauvegarde a d\xE9j\xE0 \xE9t\xE9 r\xE9alis\xE9\
        , le centre d'\xE9valuation doit v\xE9rifier la pr\xE9sence d'un rapport de\
        \ test du plan de sauvegarde.\n\u2022 Si un test du plan de sauvegarde a d\xE9\
        j\xE0 \xE9t\xE9 r\xE9alis\xE9, le centre d'\xE9valuation doit v\xE9rifier\
        \ que le rapport de test du plan de sauvegarde r\xE9pond aux objectifs du\
        \ test, couvre le p\xE9rim\xE8tre pr\xE9vu et que les r\xE9sultats sont consistants\
        \ (non contradictoires).\n\nPr\xE9cision(s): \n\u2022 Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.6.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.6:1
      ref_id: IV.3.6.b
      description: b) Le prestataire doit tester le plan de sauvegarde et de restauration
        au minimum une fois par an.
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Plan de sauvegarde\n\u2022 Processus\
        \ du prestataire de maintien en conditions op\xE9rationnelles\n        \n\
        V\xE9rification(s): \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la PSSI sp\xE9cifie l'\xE9laboration et la mise en \u0153uvre d'un plan\
        \ de sauvegarde et de restauration des dispositifs du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9.  \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier l'existence d'un plan de sauvegarde et de restauration des dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 dans lequel sont\
        \ identifi\xE9s les besoins de sauvegarde, le p\xE9rim\xE8tre global associ\xE9\
        , les proc\xE9dures de sauvegarde et les proc\xE9dures de restauration. \n\
        Ce plan doit d\xE9tailler les modalit\xE9s de sauvegarde (fr\xE9quence, p\xE9\
        rim\xE8tre pr\xE9cis, d\xE9lai de restauration, etc.) pour : \n- les syst\xE8\
        mes,\n- les donn\xE9es,\n- les configurations.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le plan de sauvegarde et de restauration des dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 est r\xE9f\xE9\
        renc\xE9 dans un processus de maintien en conditions op\xE9rationnelles.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de sauvegarde\
        \ indique la fr\xE9quence de test du plan de sauvegarde et la date du dernier\
        \ test.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la fr\xE9quence\
        \ de test du plan de sauvegarde est inf\xE9rieure ou \xE9gale \xE0 un an.\n\
        \u2022 Si un test du plan de sauvegarde a d\xE9j\xE0 \xE9t\xE9 r\xE9alis\xE9\
        , le centre d'\xE9valuation doit v\xE9rifier la pr\xE9sence d'un rapport de\
        \ test du plan de sauvegarde.\n\u2022 Si un test du plan de sauvegarde a d\xE9\
        j\xE0 \xE9t\xE9 r\xE9alis\xE9, le centre d'\xE9valuation doit v\xE9rifier\
        \ que le rapport de test du plan de sauvegarde r\xE9pond aux objectifs du\
        \ test, couvre le p\xE9rim\xE8tre pr\xE9vu et que les r\xE9sultats sont consistants\
        \ (non contradictoires).\n\nPr\xE9cision(s): \n\u2022 Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.6.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.6
      ref_id: IV.3.6.c
      name: "Protection en confidentialit\xE9 et en int\xE9grit\xE9 des sauvegardes"
      description: "Le prestataire doit d\xE9finir et mettre en \u0153uvre les mesures\
        \ permettant d\u2019assurer la confidentialit\xE9 et l\u2019int\xE9grit\xE9\
        \ des sauvegardes effectu\xE9es, au m\xEAme niveau que celui pour lequel le\
        \ syst\xE8me de d\xE9tection a \xE9t\xE9 homologu\xE9. Le dispositif de sauvegarde\
        \ doit \xEAtre d\xE9di\xE9 et h\xE9berg\xE9 dans une zone d\u2019administration\
        \ en pr\xE9voyant un cloisonnement des activit\xE9s de sauvegarde, conforme\
        \ au plan de sauvegarde."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du service\
        \ de d\xE9tection\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Plan de contr\xF4le\n        \nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la PSSI que :\n- le\
        \ dispositif de sauvegarde est d\xE9di\xE9 au service de d\xE9tection,\n-\
        \ le dispositif de sauvegarde est h\xE9berg\xE9 dans une zone d\u2019administration,\n\
        - le dispositif et les activit\xE9s de sauvegardes sont cloisonn\xE9s. \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans l'architecture du prestataire\
        \ que le dispositif de sauvegarde : \n- est h\xE9berg\xE9 dans une zone d\u2019\
        administration,\n- est d\xE9di\xE9 au service de d\xE9tection,\n- est cloisonn\xE9\
        .   \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de contr\xF4\
        le d\xE9finit les mesures mises en \u0153uvre permettant d\u2019assurer la\
        \ confidentialit\xE9 et l\u2019int\xE9grit\xE9 des sauvegardes effectu\xE9\
        es au m\xEAme niveau que celui pour lequel le syst\xE8me de d\xE9tection a\
        \ \xE9t\xE9 homologu\xE9\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de maintien en conditions op\xE9rationnelles et de s\xE9\
        curit\xE9 pr\xE9sente les mesure mises en \u0153uvre pour prot\xE9ger les\
        \ sauvegardes et notamment un cloisonnement des activit\xE9s de sauvegarde,\
        \ conforme au plan de sauvegarde.\n\nPr\xE9cision(s):\n\u2022 Ces mesures\
        \ peuvent \xEAtre : \n- chiffrement des sauvegardes par une solution qualifi\xE9\
        e ANSSI,\n- contr\xF4le d'acc\xE8s strict aux sauvegardes,\n- journalisation\
        \ des acc\xE8s aux sauvegardes,\n- chiffrement de l'int\xE9gralit\xE9 du support\
        \ de stockage des sauvegardes"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.6.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.6
      ref_id: IV.3.6.d
      name: "Recommandation du respect des mesures et pr\xE9conisations sur la s\xE9\
        curisation des sauvegardes"
      description: "Il est recommand\xE9 que le prestataire respecte l\u2019ensemble\
        \ des mesures et pr\xE9conisations sur la s\xE9curisation des sauvegardes\
        \ de [ISO27002]."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.7
      name: "Service de d\xE9tection du service"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.a
      name: "Mise en \u0153uvre d'un service de d\xE9tection du service"
      description: "Amendement n\xB03\nOption A et B :\nLe prestataire doit mettre\
        \ en \u0153uvre, pour son propre compte, un service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9, ci-apr\xE8s d\xE9nomm\xE9 \xAB service de d\xE9tection\
        \ du service \xBB, portant sur le syst\xE8me d\u2019information du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Document de description de l'organisation\n\u2022\
        \ Processus de gestion des ressources et des comp\xE9tences\n\u2022 Liste\
        \ des r\xF4les et des comp\xE9tences\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les t\xE2ches et les fonctions du service\
        \ de d\xE9tection du service sont d\xE9finies et d\xE9crites dans un document\
        \ de description du service qui peut \xEAtre rattach\xE9 au document de description\
        \ de l'organisation.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ les modalit\xE9s de mise en \u0153uvre du service de d\xE9tection du service\
        \ sont document\xE9es dans un processus de gestion des ressources et des comp\xE9\
        tences.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la liste du\
        \ liste du personnel que des personnes (administrateurs et op\xE9rateurs)\
        \ sont en charge de l'administration et de l'exploitation du service de d\xE9\
        tection du service. \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.b
      name: "Respect des exigences du chapitre Protection de l'information pour le\
        \ service de d\xE9tection du service"
      description: "Amendement n\xB03\nOption A : \nLe prestataire doit respecter\
        \ les exigences du chapitre IV.3 pour le service de d\xE9tection du service,\
        \ \xE0 l\u2019exception des exigences IV.3.2.a), IV.3.7.a) et des exigences\
        \ des chapitres IV.3.13, IV.3.14, IV.3.15.\n\nOption B : \nLe prestataire\
        \ doit respecter les exigences des chapitres IV.3.1 et des chapitres IV.3.2\
        \ pour le service de d\xE9tection du service ; la mise en oeuvre du service\
        \ de d\xE9tection du service ne doit pas d\xE9grader la s\xE9curit\xE9 du\
        \ SI de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Document de description de l'organisation\n\n\
        V\xE9rification(s) Option A:\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le prestataire respecte  les exigences du chapitre IV.3 pour le\
        \ service de d\xE9tection du service, \xE0 l\u2019exception des exigences\
        \ IV.3.2.a), IV.3.7.a) et des exigences des chapitres IV.3.13, IV.3.14, IV.3.15.\n\
        \nV\xE9rification(s) Option B:\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le prestataire respecte les exigences des chapitres IV.3.1 et des\
        \ chapitres IV.3.2 pour le service de d\xE9tection du service."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.c
      name: "\xC9laboration de strat\xE9gies de collecte, d'analyse et de notification\
        \ pour le service de d\xE9tection du service"
      description: "Amendement n\xB03\nOption A et B : \nLe prestataire doit, sur\
        \ la base de l\u2019appr\xE9ciation des risques (voir exigence IV.3.1.a) et\
        \ de la liste des incidents de s\xE9curit\xE9 redout\xE9s associ\xE9e (voir\
        \ exigence IV.3.1.b), \xE9laborer une strat\xE9gie de collecte, une strat\xE9\
        gie d\u2019analyse et une strat\xE9gie de notification dans le cadre du service\
        \ de d\xE9tection du service."
      annotation: "Preuve(s):\n\u2022 Strat\xE9gies du service de d\xE9tection du\
        \ service\n\u2022 Processus de pilotage des risques.\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans les strat\xE9gies du\
        \ service de d\xE9tection interne l'existence :\n- d'une strat\xE9gie de collecte,\n\
        - d'une strat\xE9gie d'analyse,\n- d'une strat\xE9gie de notification.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que ces strat\xE9gies sont propres\
        \ au service de d\xE9tection du service et respectent les exigences des chapitres\
        \ IV.2.1, IV.2.2 et IV.2.3. \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la concordance des strat\xE9gies cit\xE9es ci-dessus avec l'appr\xE9\
        ciation des risques et la liste des incidents redout\xE9s du service de d\xE9\
        tection du service (couverture du p\xE9rim\xE8tre de collecte, r\xE8gles de\
        \ d\xE9tection associ\xE9es, etc.).\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que le processus de pilotage des risques pr\xE9cise les modalit\xE9\
        s d'\xE9laboration des strat\xE9gies pour le service de d\xE9tection du service.\
        \         \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.d
      name: "Cloisonnement du service de d\xE9tection interne"
      description: "Amendement n\xB03\nOption A et B : \nIl est recommand\xE9, selon\
        \ le r\xE9sultat de l\u2019appr\xE9ciation des risques et la liste des incidents\
        \ de s\xE9curit\xE9 redout\xE9s associ\xE9e, que le prestataire cloisonne\
        \ le service de d\xE9tection des incidents du service (s\xE9paration des moyens\
        \ humains, techniques et organisationnels)."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      name: "Mise en place et utilisation de sondes qualifi\xE9es aux interconnexions\
        \ sur le service de d\xE9tection du service"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7:1
      ref_id: IV.3.7.e
      description: "Amendement n\xB03\nOption A uniquement :\n\ne) Le prestataire\
        \ doit d\xE9ployer une ou plusieurs sondes sur le syst\xE8me d\u2019information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9. Ces sondes doivent\
        \ notamment permettre la supervision de chacune des interconnexions du syst\xE8\
        me d\u2019information du service de d\xE9tection des incidents de s\xE9curit\xE9\
        . Ces sondes doivent \xEAtre des sources de collecte pour le service de d\xE9\
        tection du service. \n\nAmendement n\xB03\nOption B uniquement :\ne) Le prestataire\
        \ doit d\xE9ployer des sources de collecte au profit du service de d\xE9tection\
        \ du service. Le choix du type de sources de collecte, leurs positionnements\
        \ et la mani\xE8re dont ils sont d\xE9ploy\xE9s doivent \xEAtre coh\xE9rents\
        \ avec l'analyse de risque du prestataire."
      annotation: "Preuve(s):\n\u2022 Strat\xE9gies du service de d\xE9tection du\
        \ service\n\u2022 Attestations de qualification/d'agr\xE9ment pour les produits\
        \ qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Documents d'architecture du\
        \ service de d\xE9tection\n\u2022 Guides d'architecture et d'exploitation\n\
        \nV\xE9rification(s) Option A:\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection la pr\xE9\
        sence de sondes aux interconnexions, aliment\xE9es en trafic via des \xE9\
        quipements de type Tap. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ dans les documents d'architecture du service de d\xE9tection que toutes\
        \ les sondes et Tap list\xE9s dans la strat\xE9gie de collecte sont pr\xE9\
        sents.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la strat\xE9\
        gie de collecte du service de d\xE9tection du service :\n- qu'il existe une\
        \ liste des sondes utilis\xE9es dans le cadre du service de d\xE9tection du\
        \ service, \n- qu'il existe une liste des \xE9quipements de type Tap d\xE9\
        ploy\xE9s dans le cadre du service de d\xE9tection interne,\n- que ces sondes\
        \ sont aliment\xE9es en trafic via des \xE9quipements de type Tap totalement\
        \ passifs et non administrables \xE0 distance.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier :\n- que le prestataire dispose d'une attestation de qualification\
        \ pour les sondes d\xE9ploy\xE9es dans le cadre du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 interne ;\n- que le ou les attestations\
        \ de qualification sont toujours valides. \n- que les sondes employ\xE9es\
        \ sont qualifi\xE9es par l'ANSSI au niveau ad\xE9quat vis \xE0 vis du niveau\
        \ de sensibilit\xE9 du syst\xE8me d'information du service de d\xE9tection.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les guides d'administration\
        \ et d'exploitation d\xE9crivent les m\xE9thodes d'administration et d'exploitation\
        \ des sondes conforme aux conditions de qualification des sondes, figurant\
        \ sur leur attestation de qualification.\n\nV\xE9rification(s) Option B:\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans les documents d'architecture\
        \ du service de d\xE9tection la pr\xE9sence de sources de collecte au profit\
        \ du service de d\xE9tection du service.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le choix du type de sources de collecte, leurs positionnements\
        \ et la mani\xE8re dont ils sont d\xE9ploy\xE9s, sont coh\xE9rents avec l'analyse\
        \ de risque du prestataire.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7:1
      ref_id: IV.3.7.f
      description: "f) Les sondes d\xE9ploy\xE9es par le prestataire dans le cadre\
        \ du service de d\xE9tection du service doivent \xEAtre qualifi\xE9es par\
        \ l\u2019ANSSI au niveau ad\xE9quat et utilis\xE9es conform\xE9ment aux conditions\
        \ de leur qualification. Ces sondes doivent \xEAtre aliment\xE9es en trafic\
        \ via des \xE9quipements de type Tap totalement passifs et non administrables\
        \ \xE0 distance.\nRemarque : s\u2019il souhaite utiliser un agr\xE9gateur\
        \ de flux interm\xE9diaire entre les Tap et la (les) sonde(s), le prestataire\
        \ doit d\xE9dier l\u2019\xE9quipement \xE0 la fonction d\u2019agr\xE9gation\
        \ et respecter les r\xE8gles relatives \xE0 l\u2019utilisation d\u2019un agr\xE9\
        gateur de flux pr\xE9cis\xE9es dans l\u2019Annexe 5.\n\nAmendement n\xB03\n\
        Option B (f) uniquement :\nf) Il est recommand\xE9 que le prestataire mette\
        \ en place une centralisaation et une r\xE9tention des donn\xE9es collect\xE9\
        es par les sources de collecte au sein d'une zone de confiance d\xE9di\xE9\
        e conform\xE9ment aux exigences de [NT_JOURNAL]. Dans ce cas, il est recommand\xE9\
        \ que la zone de confiance d\xE9di\xE9e mette en \u0153uvre un contr\xF4le\
        \ d\u2019acc\xE8s interdisant l\u2019acc\xE8s aux administrateurs et op\xE9\
        rateurs du service de d\xE9tection des incidents de s\xE9curit\xE9 respectivement\
        \ depuis les zones d\u2019administration et d\u2019exploitation."
      annotation: "Preuve(s):\n\u2022 Strat\xE9gies du service de d\xE9tection du\
        \ service\n\u2022 Attestations de qualification/d'agr\xE9ment pour les produits\
        \ qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Documents d'architecture du\
        \ service de d\xE9tection\n\u2022 Guides d'architecture et d'exploitation\n\
        \nV\xE9rification(s) Option A:\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection la pr\xE9\
        sence de sondes aux interconnexions, aliment\xE9es en trafic via des \xE9\
        quipements de type Tap. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ dans les documents d'architecture du service de d\xE9tection que toutes\
        \ les sondes et Tap list\xE9s dans la strat\xE9gie de collecte sont pr\xE9\
        sents.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la strat\xE9\
        gie de collecte du service de d\xE9tection du service :\n- qu'il existe une\
        \ liste des sondes utilis\xE9es dans le cadre du service de d\xE9tection du\
        \ service, \n- qu'il existe une liste des \xE9quipements de type Tap d\xE9\
        ploy\xE9s dans le cadre du service de d\xE9tection interne,\n- que ces sondes\
        \ sont aliment\xE9es en trafic via des \xE9quipements de type Tap totalement\
        \ passifs et non administrables \xE0 distance.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier :\n- que le prestataire dispose d'une attestation de qualification\
        \ pour les sondes d\xE9ploy\xE9es dans le cadre du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 interne ;\n- que le ou les attestations\
        \ de qualification sont toujours valides. \n- que les sondes employ\xE9es\
        \ sont qualifi\xE9es par l'ANSSI au niveau ad\xE9quat vis \xE0 vis du niveau\
        \ de sensibilit\xE9 du syst\xE8me d'information du service de d\xE9tection.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les guides d'administration\
        \ et d'exploitation d\xE9crivent les m\xE9thodes d'administration et d'exploitation\
        \ des sondes conforme aux conditions de qualification des sondes, figurant\
        \ sur leur attestation de qualification.\n\nV\xE9rification(s) Option B:\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans les documents d'architecture\
        \ du service de d\xE9tection la pr\xE9sence de sources de collecte au profit\
        \ du service de d\xE9tection du service.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le choix du type de sources de collecte, leurs positionnements\
        \ et la mani\xE8re dont ils sont d\xE9ploy\xE9s, sont coh\xE9rents avec l'analyse\
        \ de risque du prestataire.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.g
      name: "Transfert des journaux des dispositifs du syst\xE8me de d\xE9tection\
        \ vers une zone de confiance"
      description: "Amendement n\xB03\nOption A (g) uniquement :\ng)Il est recommand\xE9\
        \ que le prestataire mette en place un transfert des journaux des dispositifs\
        \ de son syst\xE8me de d\xE9tection des incidents de s\xE9curit\xE9 vers une\
        \ zone de confiance d\xE9di\xE9e conform\xE9ment aux exigences de [NT_JOURNAL].\
        \ Dans ce cas, il est recommand\xE9 que la zone de confiance d\xE9di\xE9e\
        \ mette en \u0153uvre un contr\xF4le d\u2019acc\xE8s interdisant l\u2019acc\xE8\
        s aux administrateurs et op\xE9rateurs du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 respectivement depuis les zones d\u2019administration\
        \ et d\u2019exploitation."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.h
      name: "Processus de gestion des incidents de s\xE9curit\xE9 internes"
      description: "Amendement n\xB03\nOption A (h) et B (g)  :\nh) Le prestataire\
        \ doit \xE9laborer un processus de gestion des incidents de s\xE9curit\xE9\
        \ du service. Ce processus doit pr\xE9voir une notification aux commanditaires\
        \ lors de l\u2019occurrence d\u2019un incident de s\xE9curit\xE9 sur le service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9. La notification doit sp\xE9\
        cifier la nature de l\u2019incident de s\xE9curit\xE9 et les mesures mises\
        \ en \u0153uvre par le prestataire pour y r\xE9pondre."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de gestion des incidents et des crises du syst\xE8me d'information\n\nV\xE9\
        rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la\
        \ convention de service type que le prestataire s'engage :\n- \xE0 notifier\
        \ le commanditaire lors de l\u2019occurrence d\u2019un incident de s\xE9curit\xE9\
        \ sur le service de d\xE9tection des incidents de s\xE9curit\xE9,\n- \xE0\
        \ envoyer cette notification d'incident dans un d\xE9lai maximal pr\xE9cis\xE9\
        \ dans la convention de service.         \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier l'existence d'un processus de gestion des incidents et\
        \ des crises du syst\xE8me d'information.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce processus pr\xE9voit l'envoi d'une notification\
        \ au commanditaire lors de l\u2019occurrence d\u2019un incident de s\xE9curit\xE9\
        \ sur le service de d\xE9tection des incidents de s\xE9curit\xE9. Cette notification\
        \ informe de(s) :\n- la nature de l\u2019incident de s\xE9curit\xE9,\n- mesures\
        \ mises en \u0153uvre par le prestataire pour y r\xE9pondre.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.i
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.i
      name: Recommandation de mise en place d'un processus de gestion de crise pour
        incident majeur
      description: "Amendement n\xB03\nOption A (i) et B (h)  :\nIl est recommand\xE9\
        \ que le prestataire mette en place un processus de gestion de crise en cas\
        \ de d\xE9tection d\u2019un incident de s\xE9curit\xE9 majeur au sein de son\
        \ service de d\xE9tection."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.j
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.j
      name: Recommandation d'utilisation d'outil d'analyse statique/dynamique
      description: "Amendement n\xB03\nOption A (j) et B (i)  :\nIl est recommand\xE9\
        \ que le prestataire utilise des outils permettant de r\xE9aliser une analyse\
        \ statique ou dynamique de fichiers suspects."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.k
      name: Utilisation d'outil d'analyse statique/dynamique hors SI PDIS
      description: "Amendement n\xB03\nOption A (k) et B (j)  :\nDans le cas o\xF9\
        \ le prestataire utilise des outils d\u2019analyse statiques ou dynamiques\
        \ de fichiers suspects faisant appel \xE0 des ressources h\xE9berg\xE9es sur\
        \ Internet, le prestataire doit r\xE9aliser ces op\xE9rations hors du syst\xE8\
        me d\u2019information du service de d\xE9tection des incidents de s\xE9curit\xE9\
        ."
      annotation: "Valable uniquement en cas d'utilisation d'outils d'analyse statiques\
        \ ou dynamiques faisant appel \xE0 des ressources h\xE9berg\xE9es sur Internet\n\
        \nPreuve(s):\n\u2022 Documents d'architecture du service de d\xE9tection\n\
        \u2022 Processus de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ du service de d\xE9tection indiquent que les outils d'analyse statiques\
        \ ou dynamiques faisant appel \xE0 des ressources h\xE9berg\xE9es sur Internet\
        \ sont h\xE9berg\xE9s sur un syst\xE8me d'information diff\xE9rent du syst\xE8\
        me d'information du service de d\xE9tection. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit que l'utilisation d'outils d'analyse statiques ou dynamiques\
        \ faisant appel \xE0 des ressources h\xE9berg\xE9es sur Internet soit r\xE9\
        alis\xE9e en dehors du syst\xE8me d\u2019information du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.7.l
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.7
      ref_id: IV.3.7.l
      name: "Recommandation d'appel \xE0 des PRIS"
      description: "Amendement n\xB03\nOption A (l) et B (k)  :\nIl est recommand\xE9\
        \ que le prestataire fasse appel \xE0 un prestataire de r\xE9ponse aux incidents\
        \ qualifi\xE9 (PRIS) afin de r\xE9aliser l\u2019\xE9tude des fichiers suspects\
        \ par une prestation d\u2019investigation num\xE9rique sur p\xE9rim\xE8tre\
        \ restreint d\u2019analyse de codes malveillants. Dans ce cas, le prestataire\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 s\u2019assurera que la port\xE9\
        e de qualification du prestataire de r\xE9ponse aux incidents inclut ce type\
        \ de prestation"
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.8
      name: "Cloisonnement du syst\xE8me d\u2019information du service"
      annotation: ''
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8
      ref_id: IV.3.8.a
      name: "Syst\xE8me d'information d\xE9di\xE9 aux prestations qualifi\xE9es et\
        \ mutualisation"
      description: "Le prestataire doit d\xE9dier le syst\xE8me d\u2019information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 aux prestations\
        \ qualifi\xE9es ou l\u2019employer dans des conditions o\xF9 la mutualisation\
        \ des prestations ne d\xE9grade pas le niveau de s\xE9curit\xE9 du syst\xE8\
        me d\u2019information du service. Toute autre prestation doit \xEAtre r\xE9\
        alis\xE9e sur un syst\xE8me d\u2019information cloisonn\xE9 physiquement du\
        \ syst\xE8me d\u2019information du service."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Appr\xE9ciation des risques\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la convention de service type sp\xE9cifie que le syst\xE8me d'information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 est d\xE9di\xE9\
        \ aux prestations qualifi\xE9es ou mutualis\xE9.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit que le syst\xE8me d'information du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 est d\xE9di\xE9 :\n- aux prestations qualifi\xE9\
        es\n- aux prestations ne d\xE9gradant pas le niveau de s\xE9curit\xE9 du SI\
        \ du service.\n\u2022 Si le syst\xE8me d'information du service est mutualis\xE9\
        \ pour d\xE9livrer des prestations non qualifi\xE9es, alors le centre d\u2019\
        \xE9valuation doit v\xE9rifier que le prestataire a \xE9valu\xE9 les \xE9\
        carts avec une prestation qualifi\xE9e et que ces \xE9carts ne d\xE9gradent\
        \ pas le niveau de s\xE9curit\xE9 du service.\n\u2022Le centre d\u2019\xE9\
        valuation doit v\xE9rifier que le prestataire a pris en compte ces \xE9carts\
        \ dans son appr\xE9ciation des risques.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8
      name: "S\xE9paration et cloisonnement du SI de d\xE9tection en plusieurs zones\
        \ de confiance"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8:1
      ref_id: IV.3.8.b
      description: "b) Le prestataire doit cloisonner le syst\xE8me d\u2019information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 en plusieurs\
        \ zones de confiance dans lesquelles sont r\xE9partis tous les dispositifs\
        \ impliqu\xE9s dans le service de d\xE9tection :\n- zone(s) de collecte (une\
        \ ou plusieurs), regroupant l\u2019ensemble des dispositifs impliqu\xE9s dans\
        \ le processus de collecte, notamment les collecteurs centraux et les syst\xE8\
        mes de stockage des \xE9v\xE9nements et, le cas \xE9ch\xE9ant, des informations\
        \ contextuelles ;\n- zone(s) d\u2019analyse, regroupant l\u2019ensemble des\
        \ dispositifs impliqu\xE9s dans le processus d\u2019analyse, notamment les\
        \ outils techniques d\u2019analyse des incidents de s\xE9curit\xE9 ;\n- zone(s)\
        \ de notification, regroupant les syst\xE8mes de notification du commanditaire,\
        \ notamment les syst\xE8mes de messagerie ;\n- zone(s) d\u2019\xE9change commanditaire,\
        \ regroupant l\u2019ensemble des dispositifs permettant au commanditaire de\
        \ consulter le d\xE9tail des informations concernant les incidents notifi\xE9\
        s, notamment le portail Web, et d\u2019apporter le cas \xE9ch\xE9ant des informations\
        \ n\xE9cessaires \xE0 la qualification de l\u2019incident ;\n- zone(s) d\u2019\
        administration, regroupant l\u2019ensemble des outils d\u2019administration\
        \ et les postes d\u2019administration ;\n- zone(s) de mise \xE0 jour, regroupant\
        \ l\u2019ensemble des dispositifs impliqu\xE9s dans le processus de t\xE9\
        l\xE9chargement des mises \xE0 jour des dispositifs du service de d\xE9tection\
        \ ;\n- zone(s) d\u2019exploitation, regroupant les postes de travail des op\xE9\
        rateurs ;\n- zones d\u2019\xE9change, distinctes entre les administrateurs\
        \ et les op\xE9rateurs, regroupant les dispositifs permettant le transfert\
        \ de fichiers avec l\u2019ext\xE9rieur du syst\xE8me d\u2019information du\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Processus de gestion des ressources et des comp\xE9\
        tences\n\u2022 Documents d'architecture du service de d\xE9tection\n\u2022\
        \ Guide d'exploitation et d'administration\n\nV\xE9rification(s): \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de gestion des\
        \ ressources et des comp\xE9tences pr\xE9voit que des personnes sont en charge\
        \ de l'impl\xE9mentation et de l'administration des m\xE9canismes de filtrage,\
        \ d'authentification et de contr\xF4le d'acc\xE8s entre les diff\xE9rentes\
        \ zones de confiance. \n\u2022 Le centre d\u2019\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s d\u2019administration des m\xE9canismes de filtrage,\
        \ d\u2019authentification et de contr\xF4le d\u2019acc\xE8s entre les diff\xE9\
        rentes zones de confiance sont document\xE9es dans des guides d\u2019administration.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ du service de d\xE9tection comporte une description d\xE9taill\xE9e de l\u2019\
        architecture du syst\xE8me d\u2019information du service de d\xE9tection et\
        \ qu'elle contient entre autres :\n- la liste des \xE9quipements, des dispositifs\
        \ et solutions du service de d\xE9tection ;\n- une repr\xE9sentation des interconnexions\
        \ ;\n- une repr\xE9sentation des \xE9quipements, des dispositifs et des solutions\
        \ par zone.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'une description\
        \ d\xE9taill\xE9e de l\u2019architecture du syst\xE8me d\u2019information\
        \ du service de d\xE9tection est mise \xE0 jour r\xE9guli\xE8rement.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que cette description identifie\
        \ :\n- les zones de confiance du syst\xE8me d'information du service de d\xE9\
        tection en repr\xE9sentant les diff\xE9rentes zones r\xE9seau,\n- les mesures\
        \ garantissant le cloisonnement par des m\xE9canismes de filtrage, authentification\
        \ et contr\xF4le d\u2019acc\xE8s.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection que le\
        \ syst\xE8me d\u2019information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 est cloisonn\xE9 en plusieurs zones de confiance dans lesquelles\
        \ sont r\xE9partis tous les dispositifs impliqu\xE9s dans le service de d\xE9\
        tection :\n- zone(s) de collecte,\n- zone(s) d\u2019analyse,\n- zone(s) de\
        \ notification,\n- zone(s) d\u2019\xE9change commanditaire,\n- zone(s) d\u2019\
        administration,\n- zone(s) de mise \xE0 jour, \n- zone(s) d\u2019exploitation,\
        \ \n- zones d\u2019\xE9change, \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection la pr\xE9\
        sence de m\xE9canismes de filtrage, d'authentification et de contr\xF4le d'acc\xE8\
        s entre les diff\xE9rentes zones de confiance (VLAN, 802.1x, Pare-feu, Proxy,\
        \ etc.). Ces m\xE9canismes doivent assurer un cloisonnement au minimum logique\
        \ (droits, privil\xE8ges, authentification, etc.).               \n\nPr\xE9\
        cision(s): \n\u2022 Le centre d'\xE9valuation doit prendre garde de bien v\xE9\
        rifier que les m\xE9canismes mis en place assurent du cloisonnement (ex :\
        \ un VPN TLS n'assure pas du cloisonnement, tandis qu'un VPN IPsec oui)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8:1
      ref_id: IV.3.8.c
      description: "c) Le prestataire doit mettre en \u0153uvre les mesures garantissant\
        \ le cloisonnement entre les diff\xE9rentes zones de confiance, notamment\
        \ par des m\xE9canismes de filtrage, d\u2019authentification et de contr\xF4\
        le d\u2019acc\xE8s."
      annotation: "Preuve(s):\n\u2022 Processus de gestion des ressources et des comp\xE9\
        tences\n\u2022 Documents d'architecture du service de d\xE9tection\n\u2022\
        \ Guide d'exploitation et d'administration\n\nV\xE9rification(s): \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de gestion des\
        \ ressources et des comp\xE9tences pr\xE9voit que des personnes sont en charge\
        \ de l'impl\xE9mentation et de l'administration des m\xE9canismes de filtrage,\
        \ d'authentification et de contr\xF4le d'acc\xE8s entre les diff\xE9rentes\
        \ zones de confiance. \n\u2022 Le centre d\u2019\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s d\u2019administration des m\xE9canismes de filtrage,\
        \ d\u2019authentification et de contr\xF4le d\u2019acc\xE8s entre les diff\xE9\
        rentes zones de confiance sont document\xE9es dans des guides d\u2019administration.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ du service de d\xE9tection comporte une description d\xE9taill\xE9e de l\u2019\
        architecture du syst\xE8me d\u2019information du service de d\xE9tection et\
        \ qu'elle contient entre autres :\n- la liste des \xE9quipements, des dispositifs\
        \ et solutions du service de d\xE9tection ;\n- une repr\xE9sentation des interconnexions\
        \ ;\n- une repr\xE9sentation des \xE9quipements, des dispositifs et des solutions\
        \ par zone.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'une description\
        \ d\xE9taill\xE9e de l\u2019architecture du syst\xE8me d\u2019information\
        \ du service de d\xE9tection est mise \xE0 jour r\xE9guli\xE8rement.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que cette description identifie\
        \ :\n- les zones de confiance du syst\xE8me d'information du service de d\xE9\
        tection en repr\xE9sentant les diff\xE9rentes zones r\xE9seau,\n- les mesures\
        \ garantissant le cloisonnement par des m\xE9canismes de filtrage, authentification\
        \ et contr\xF4le d\u2019acc\xE8s.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection que le\
        \ syst\xE8me d\u2019information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 est cloisonn\xE9 en plusieurs zones de confiance dans lesquelles\
        \ sont r\xE9partis tous les dispositifs impliqu\xE9s dans le service de d\xE9\
        tection :\n- zone(s) de collecte,\n- zone(s) d\u2019analyse,\n- zone(s) de\
        \ notification,\n- zone(s) d\u2019\xE9change commanditaire,\n- zone(s) d\u2019\
        administration,\n- zone(s) de mise \xE0 jour, \n- zone(s) d\u2019exploitation,\
        \ \n- zones d\u2019\xE9change, \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection la pr\xE9\
        sence de m\xE9canismes de filtrage, d'authentification et de contr\xF4le d'acc\xE8\
        s entre les diff\xE9rentes zones de confiance (VLAN, 802.1x, Pare-feu, Proxy,\
        \ etc.). Ces m\xE9canismes doivent assurer un cloisonnement au minimum logique\
        \ (droits, privil\xE8ges, authentification, etc.).               \n\nPr\xE9\
        cision(s): \n\u2022 Le centre d'\xE9valuation doit prendre garde de bien v\xE9\
        rifier que les m\xE9canismes mis en place assurent du cloisonnement (ex :\
        \ un VPN TLS n'assure pas du cloisonnement, tandis qu'un VPN IPsec oui)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8:1
      ref_id: IV.3.8.f
      description: "f) Le prestataire doit \xE9laborer et maintenir \xE0 jour une\
        \ description d\xE9taill\xE9e de l\u2019architecture du syst\xE8me d\u2019\
        information du service de d\xE9tection des incidents de s\xE9curit\xE9. Cette\
        \ description doit identifier tous les dispositifs du syst\xE8me d\u2019information\
        \ et les zones de confiance du service de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Processus de gestion des ressources et des comp\xE9\
        tences\n\u2022 Documents d'architecture du service de d\xE9tection\n\u2022\
        \ Guide d'exploitation et d'administration\n\nV\xE9rification(s): \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de gestion des\
        \ ressources et des comp\xE9tences pr\xE9voit que des personnes sont en charge\
        \ de l'impl\xE9mentation et de l'administration des m\xE9canismes de filtrage,\
        \ d'authentification et de contr\xF4le d'acc\xE8s entre les diff\xE9rentes\
        \ zones de confiance. \n\u2022 Le centre d\u2019\xE9valuation doit v\xE9rifier\
        \ que les modalit\xE9s d\u2019administration des m\xE9canismes de filtrage,\
        \ d\u2019authentification et de contr\xF4le d\u2019acc\xE8s entre les diff\xE9\
        rentes zones de confiance sont document\xE9es dans des guides d\u2019administration.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ du service de d\xE9tection comporte une description d\xE9taill\xE9e de l\u2019\
        architecture du syst\xE8me d\u2019information du service de d\xE9tection et\
        \ qu'elle contient entre autres :\n- la liste des \xE9quipements, des dispositifs\
        \ et solutions du service de d\xE9tection ;\n- une repr\xE9sentation des interconnexions\
        \ ;\n- une repr\xE9sentation des \xE9quipements, des dispositifs et des solutions\
        \ par zone.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'une description\
        \ d\xE9taill\xE9e de l\u2019architecture du syst\xE8me d\u2019information\
        \ du service de d\xE9tection est mise \xE0 jour r\xE9guli\xE8rement.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que cette description identifie\
        \ :\n- les zones de confiance du syst\xE8me d'information du service de d\xE9\
        tection en repr\xE9sentant les diff\xE9rentes zones r\xE9seau,\n- les mesures\
        \ garantissant le cloisonnement par des m\xE9canismes de filtrage, authentification\
        \ et contr\xF4le d\u2019acc\xE8s.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection que le\
        \ syst\xE8me d\u2019information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 est cloisonn\xE9 en plusieurs zones de confiance dans lesquelles\
        \ sont r\xE9partis tous les dispositifs impliqu\xE9s dans le service de d\xE9\
        tection :\n- zone(s) de collecte,\n- zone(s) d\u2019analyse,\n- zone(s) de\
        \ notification,\n- zone(s) d\u2019\xE9change commanditaire,\n- zone(s) d\u2019\
        administration,\n- zone(s) de mise \xE0 jour, \n- zone(s) d\u2019exploitation,\
        \ \n- zones d\u2019\xE9change, \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection la pr\xE9\
        sence de m\xE9canismes de filtrage, d'authentification et de contr\xF4le d'acc\xE8\
        s entre les diff\xE9rentes zones de confiance (VLAN, 802.1x, Pare-feu, Proxy,\
        \ etc.). Ces m\xE9canismes doivent assurer un cloisonnement au minimum logique\
        \ (droits, privil\xE8ges, authentification, etc.).               \n\nPr\xE9\
        cision(s): \n\u2022 Le centre d'\xE9valuation doit prendre garde de bien v\xE9\
        rifier que les m\xE9canismes mis en place assurent du cloisonnement (ex :\
        \ un VPN TLS n'assure pas du cloisonnement, tandis qu'un VPN IPsec oui)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8
      ref_id: IV.3.8.d
      name: Matrice des flux et politique de filtrage
      description: "Le prestataire doit \xE9laborer et tenir \xE0 jour la matrice\
        \ des flux de r\xE9f\xE9rence du syst\xE8me de d\xE9tection des incidents\
        \ de s\xE9curit\xE9, ainsi que la politique de filtrage associ\xE9e, n\u2019\
        autorisant que les flux strictement n\xE9cessaires au fonctionnement du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en condition op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Matrice des flux\n\u2022 Politique de filtrage\n\
        \nV\xE9rification(s):\n\u2022 Le centre d\u2019\xE9valuation doit v\xE9rifier\
        \ que le processus de maintien des conditions op\xE9rationnelles et de s\xE9\
        curit\xE9 pr\xE9voit la construction et le suivi de la matrice des flux. Pour\
        \ chaque modification de la matrice des flux, la politique de filtrage sera\
        \ mise \xE0 jour en cons\xE9quence, et impl\xE9ment\xE9e dans les \xE9quipements\
        \ (pare-feu...).\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9\
        \ pr\xE9voit la construction et la mise en \u0153uvre de la politique de filtrage.\
        \ La politique de filtrage ne doit comporter que des r\xE8gles autorisant\
        \ les flux strictement n\xE9cessaires au bon fonctionnement du service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce processus pr\xE9voit la mise \xE0 jour la politique\
        \ de filtrage, et l'impl\xE9mentation des r\xE8gles dans les \xE9quipements\
        \ (pare-feu) lors de tout changement de la matrice des flux. \n\u2022 Le centre\
        \ d\u2019\xE9valuation doit v\xE9rifier que ce processus pr\xE9voit \xE9galement\
        \ le suivi de la matrice des flux et de la politique de filtrage associ\xE9\
        e. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que :\n- la matrice\
        \ des flux de r\xE9f\xE9rence du syst\xE8me de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 existe,\n- la politique de filtrage associ\xE9e existe,\
        \ \n- la politique de filtrage pr\xE9sente clairement les flux m\xE9tiers\
        \ et les flux d'administration,\n- la matrice de flux et la politique de filtrage\
        \ associ\xE9e sont revues (se baser sur la derni\xE8re date de revue),\n-\
        \ la coh\xE9rence entre ces documents (exemple l'existence d'un flux consign\xE9\
        \ dans la politique de filtrage), \n- seuls les flux strictement n\xE9cessaires\
        \ au fonctionnement du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ sont autoris\xE9s.\n        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8
      ref_id: IV.3.8.e
      name: Solutions de chiffrement et d'authentification IP
      description: "Le prestataire doit mettre en \u0153uvre des solutions de chiffrement\
        \ et d\u2019authentification IP entre ces zones de confiance d\xE8s lors que\
        \ les informations \xE9chang\xE9es entre ces zones transitent par des r\xE9\
        seaux de transport non d\xE9di\xE9s au service de d\xE9tection. Ces solutions\
        \ de chiffrement et d\u2019authentification IP doivent \xEAtre agr\xE9\xE9\
        es par l\u2019ANSSI au niveau ad\xE9quat et \xEAtre utilis\xE9es conform\xE9\
        ment aux conditions de leur agr\xE9ment"
      annotation: "Preuve(s):\n\u2022 Attestations de qualification/d'agr\xE9ment\
        \ pour les produits qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Processus\
        \ de maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9\n\u2022\
        \ Documents d\u2019architecture du service de d\xE9tection \n\u2022 Guides\
        \ d'exploitation et d\u2019administration\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d\u2019\xE9valuation doit v\xE9rifier que le processus de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit que des\
        \ solutions de chiffrement et d\u2019authentification IP soient mises en place\
        \ d\xE8s lors que les informations \xE9chang\xE9es entre les zones de confiance\
        \ transitent par des r\xE9seaux de transport non d\xE9di\xE9s au service de\
        \ d\xE9tection.\n\u2022 Le centre d\u2019\xE9valuation doit v\xE9rifier que\
        \ le processus pr\xE9voit \xE9galement que ces solutions sont agr\xE9\xE9\
        es par l\u2019ANSSI au niveau ad\xE9quat. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier :\n- que le prestataire dispose d'une attestation d'agr\xE9\
        ment pour les solutions de chiffrement et d\u2019authentification IP d\xE9\
        ploy\xE9es entre les zones de confiance ;\n- que le ou les attestations d'agr\xE9\
        ment sont toujours valides. \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du prestataire la pr\xE9sence de\
        \ solutions de chiffrement IP \xE0 chaque interconnexion entre les zones de\
        \ confiance et les r\xE9seaux de transport non d\xE9di\xE9s au service de\
        \ d\xE9tection.   .\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ l\u2019administration des solutions de chiffrement et d\u2019authentification\
        \ IP agr\xE9\xE9es par l\u2019ANSSI au niveau ad\xE9quat est document\xE9\
        e dans un guide d\u2019administration. Ce guide d\u2019administration doit\
        \ \xEAtre conforme aux conditions de leur agr\xE9ment figurant sur l\u2019\
        attestation d\u2019agr\xE9ment et au guis IPSec de l'ANSSI.\n\nPr\xE9cision(s):\
        \ \n\u2022 Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.8.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.8
      ref_id: IV.3.8.g
      name: Cloisonnement entre les commanditaires
      description: "Le prestataire doit cloisonner entre les commanditaires :\n- les\
        \ syst\xE8mes de stockage et de traitement des \xE9v\xE9nements et des informations\
        \ contextuelles associ\xE9es ;\n- les syst\xE8mes de stockage et de traitement\
        \ des incidents de s\xE9curit\xE9, les outils techniques d\u2019analyse et\
        \ les outils de gestion de tickets d\u2019incident de s\xE9curit\xE9 ;\n-\
        \ les notifications, le portail Web et le syst\xE8me de messagerie.\nCe cloisonnement\
        \ doit \xEAtre r\xE9alis\xE9 via des m\xE9canismes de contr\xF4le d\u2019\
        acc\xE8s au minimum logique, mis en \u0153uvre en fonction du juste besoin\
        \ op\xE9rationnel (droits, privil\xE8ges, authentification, etc.)."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9 d\xE9crit les moyens mis en place pour assurer le cloisonnement\
        \ entre les commanditaires des :\n- syst\xE8mes de stockage et de traitement\
        \ des \xE9v\xE9nements et des informations contextuelles ;\n- syst\xE8mes\
        \ de stockage et du traitement des incidents de s\xE9curit\xE9, des outils\
        \ techniques d\u2019analyse et des outils de gestion de tickets d\u2019incident\
        \ de s\xE9curit\xE9 ;\n- notifications, du portail Web et du syst\xE8me de\
        \ messagerie.\n\u2022 Ce processus doit d\xE9finir les m\xE9canismes de contr\xF4\
        le d'acc\xE8s au minimum logique mis en \u0153uvre en fonction du juste besoin\
        \ op\xE9rationnel.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.9
      name: Administration et exploitation du service
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.a
      name: "Administration depuis des postes d\xE9di\xE9s"
      description: "Les administrateurs doivent administrer les dispositifs du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 avec des postes d\u2019\
        administration d\xE9di\xE9s, h\xE9berg\xE9s dans la zone d\u2019administration\
        \ et distincts des postes de travail des op\xE9rateurs."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du service\
        \ de d\xE9tection\n              \nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9cifie que :\n\
        - les administrateurs doivent administrer les dispositifs du service de d\xE9\
        tection des incidents de s\xE9curit\xE9 depuis des postes d\u2019administration\
        \ d\xE9di\xE9s,\n- les postes d'administration sont distincts des postes de\
        \ travail des op\xE9rateurs, \n- ces postes d'administration sont h\xE9berg\xE9\
        s dans une zone d\u2019administration.   \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans les documents d'architecture du service de d\xE9tection\
        \ que les postes d\u2019administration sont h\xE9berg\xE9s dans la zone d\u2019\
        administration et que cette zone est segment\xE9e du reste du r\xE9seau du\
        \ service.\n\nPr\xE9cision(s):\n\u2022 Les postes utilis\xE9s pour l'administration\
        \ sont d\xE9di\xE9s, c'est-\xE0-dire qu'ils ne sont utilis\xE9s que pour r\xE9\
        aliser des t\xE2ches d'administration.\n\u2022 Pa cons\xE9quent, tout acc\xE8\
        s \xE0 Internet (hors \xE9talblissement du tunnel IPsec) est interdit depuis\
        \ un poste d'administration."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.b
      name: "Administration depuis la zone d'administration via des dispositifs d\xE9\
        di\xE9s"
      description: "L\u2019administration des dispositifs du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 ne doit \xEAtre r\xE9alisable que depuis\
        \ la zone d\u2019administration via les interfaces r\xE9seau des dispositifs\
        \ d\xE9di\xE9es \xE0 l\u2019administration."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Matrice de flux\n\u2022 Guides d'exploitation et d'administration\n\
        \        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du service de d\xE9tection que :\n\
        - l'administration des dispositifs du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 ne peut \xEAtre r\xE9alis\xE9e que depuis la zone d\u2019\
        administration, d'un point de vue r\xE9seau niveau 3 du mod\xE8le OSI,\n-\
        \ l'administration ne doit \xEAtre r\xE9alisable que via les interfaces r\xE9\
        seau physiques des dispositifs d\xE9di\xE9es \xE0 l\u2019administration.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la matrice de flux\
        \ que les seuls flux en direction des interfaces d'administration des dispositifs\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 sont ceux en provenance\
        \ de la zone d'administration \xE0 partir de laquelle sont effectu\xE9es les\
        \ actions d'administration.      \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que les modalit\xE9s d'administration (depuis la zone d'administration)\
        \ des dispositifs du service de d\xE9tection depuis la zone d'administration\
        \ sont document\xE9es dans des guides d'administration par exemple :\n - contr\xF4\
        le d'acc\xE8s logique ;\n - protocoles s\xE9curis\xE9s (TLS, IPsec, ...);\n\
        \ - configuration des outils (SSH, RDP, PowerShell, ...);\n - r\xE9seau d\xE9\
        di\xE9 ou s\xE9par\xE9 logiquement ;\n - filtrage r\xE9seau limitant les acc\xE8\
        s aux ports d'administration aux seules stations autoris\xE9es ;\n - poste\
        \ d'administration d\xE9di\xE9 \xE0 cet usage ; \n - poste d'administration\
        \ mis \xE0 jour r\xE9guli\xE8rement ;\n - poste d'administration non connect\xE9\
        \ \xE0 Internet.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.c
      name: "Journalisation des acc\xE8s aux dispositifs"
      description: "Le prestataire doit journaliser tous les acc\xE8s aux dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 ainsi que les\
        \ actions r\xE9alis\xE9es."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9\n\u2022 Guides d'exploitation\
        \ et d'administration \n        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9cifie que :\n\
        - tous les acc\xE8s aux dispositifs du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 doivent \xEAtre journalis\xE9s,\n- les actions r\xE9alis\xE9\
        es doivent \xE9galement \xEAtre journalis\xE9es.             \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de maintien en conditions\
        \ op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit la journalisation, pour\
        \ l'exploitation et l'administration :\n- des acc\xE8s ;\n- des actions r\xE9\
        alis\xE9es.\nsur tous les dispositifs du service de d\xE9tection. \n\u2022\
        \ Ce processus doit pr\xE9voir : \n- un protocole d'activation de la journalisation\
        \ pour chaque type de dispositif (collecteur, outils d'analyse, stockage,\
        \ etc.),\n- le type de logs collect\xE9s,\n- au minimum, l'activation des\
        \ logs de l'annuaire, du SIEM et du Portail Web.         \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier qu'un guide d'administration d\xE9taille\
        \ les modalit\xE9s d'activation et de configuration de la journalisation des\
        \ dispositifs du service.\n \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.d
      name: "Annuaire d\xE9di\xE9 \xE0 l'authentification des administrateurs"
      description: "Le prestataire doit mettre en place un annuaire centralis\xE9\
        \ et d\xE9di\xE9 \xE0 l\u2019authentification des administrateurs et des op\xE9\
        rateurs du service, permettant en particulier l'authentification sur leurs\
        \ postes de travail ainsi que sur l'ensemble des dispositifs du service de\
        \ d\xE9tection. \n\nLa solution mise en place doit assurer un cloisonnement\
        \ logique strict des populations administrateurs et op\xE9rateurs au sein\
        \ de l\u2019annuaire centralis\xE9, pour l\u2019authentification, l\u2019\
        autorisation et la gestion des identit\xE9s."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Processus de gestion des droits et des habilitations\n   \
        \     \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ dans les documents d'architecture du service la pr\xE9sence d'un annuaire\
        \ d\xE9di\xE9 \xE0 l\u2019authentification des administrateurs et des op\xE9\
        rateurs sur les dispositifs du service de d\xE9tection.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de gestion des droits\
        \ et habilitations pr\xE9voit l'usage d'un annuaire d'authentification d\xE9\
        di\xE9 pour l'authentification des administrateurs et des op\xE9rateurs sur\
        \ leurs postes de travail respectifs.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que ce processus pr\xE9cise :\n- les modalit\xE9s d'impl\xE9\
        mentation (centralis\xE9, permet l'authentification des op\xE9rateurs sur\
        \ les postes et les dispositifs, etc.),\n- les mesures de cloisonnement logique\
        \ strict entre les populations d'administrateurs et op\xE9rateurs,\n- les\
        \ modalit\xE9s de suivi des comptes (mise \xE0 jour syst\xE9matique lors du\
        \ d\xE9part/de l'arriv\xE9e d'un op\xE9rateur ou d'un administrateur).\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9cise les\
        \ modalit\xE9s :\n- d'administration\n- cr\xE9ation de comptes\n- suivi des\
        \ comptes\n- gestion des droits\n- s\xE9paration des populations\n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.e
      name: "Administration depuis des comptes d'administrations d\xE9di\xE9s"
      description: "Le prestataire doit mettre en \u0153uvre les mesures garantissant\
        \ que les administrateurs administrent les dispositifs du service de d\xE9\
        tection des incidents de s\xE9curit\xE9 depuis des comptes d\u2019administration\
        \ d\xE9di\xE9s \xE0 ces t\xE2ches et accessibles uniquement par les administrateurs."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des droits\
        \ et des habilitations\n        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9cifie que les\
        \ administrateurs administrent les dispositifs du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 depuis des comptes d\u2019administration\
        \ d\xE9di\xE9s \xE0 ces t\xE2ches et accessibles uniquement par les administrateurs\
        \ ;             \n\u2022 Le centre d'\xE9valuation doit \xE9galement v\xE9\
        rifier que le processus de gestion des droits et des habilitations pr\xE9\
        voit la mise en \u0153uvre de mesures garantissant que l'administration des\
        \ dispositifs du service de d\xE9tection ne se fait qu'avec des comptes d'administration\
        \ d\xE9di\xE9s \xE0 cet usage et nominatifs.\n     \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      name: "Acc\xE8s aux ressources utiles dans le cadre des r\xF4les et missions"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9:1
      ref_id: IV.3.9.f
      description: "f) Les administrateurs ne doivent pas disposer des droits d'administration\
        \ sur leur poste d\u2019administration"
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des droits\
        \ et des habilitations\n\u2022 Politique de filtrage\n\nV\xE9rification(s):\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les administrateurs du service de d\xE9tection n'ont pas\
        \ les droits d'administration sur leur poste d'administration. \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9\
        cifie que les op\xE9rateurs ne doivent pas poss\xE9der les droits d'administration\
        \ sur : \n- les dispositifs du service de d\xE9tection,\n- leur poste de travail.\
        \   \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les postes de travail des administrateurs et des op\xE9\
        rateurs doivent \xEAtre raccord\xE9s exclusivement au syst\xE8me d\u2019information\
        \ de d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la politique de filtrage :\n- interdit tout\
        \ flux de la zone d'h\xE9bergement des postes d'exploitation vers Internet,\
        \ \n- interdit tout flux de la zone d'h\xE9bergement des postes d'administration\
        \ vers Internet. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les administrateurs du service de d\xE9\
        tection doivent n'avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les op\xE9rateurs du service de d\xE9\
        tection ne doivent avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.             \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de gestion des droits et habilitations pr\xE9cise\
        \ pour d'une part les administrateurs et d'autre part les op\xE9rateurs :\n\
        - les ressources utiles dans le cadre de leurs missions ;\n- les types d'acc\xE8\
        s et les types de comptes ;\n- les modalit\xE9s sp\xE9cifiques de gestion\
        \ des comptes et des droits d'acc\xE8s.\n\nPr\xE9cision(s):              \
        \      \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9:1
      ref_id: IV.3.9.g
      description: "g) Le prestataire doit mettre en \u0153uvre les mesures garantissant\
        \ que les administrateurs et les op\xE9rateurs n\u2019acc\xE8dent qu'aux ressources\
        \ utiles dans le cadre de leurs missions (voir Annexe 2)."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des droits\
        \ et des habilitations\n\u2022 Politique de filtrage\n\nV\xE9rification(s):\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les administrateurs du service de d\xE9tection n'ont pas\
        \ les droits d'administration sur leur poste d'administration. \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9\
        cifie que les op\xE9rateurs ne doivent pas poss\xE9der les droits d'administration\
        \ sur : \n- les dispositifs du service de d\xE9tection,\n- leur poste de travail.\
        \   \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les postes de travail des administrateurs et des op\xE9\
        rateurs doivent \xEAtre raccord\xE9s exclusivement au syst\xE8me d\u2019information\
        \ de d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la politique de filtrage :\n- interdit tout\
        \ flux de la zone d'h\xE9bergement des postes d'exploitation vers Internet,\
        \ \n- interdit tout flux de la zone d'h\xE9bergement des postes d'administration\
        \ vers Internet. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les administrateurs du service de d\xE9\
        tection doivent n'avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les op\xE9rateurs du service de d\xE9\
        tection ne doivent avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.             \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de gestion des droits et habilitations pr\xE9cise\
        \ pour d'une part les administrateurs et d'autre part les op\xE9rateurs :\n\
        - les ressources utiles dans le cadre de leurs missions ;\n- les types d'acc\xE8\
        s et les types de comptes ;\n- les modalit\xE9s sp\xE9cifiques de gestion\
        \ des comptes et des droits d'acc\xE8s.\n\nPr\xE9cision(s):              \
        \      \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9:1
      ref_id: IV.3.9.h
      description: "h) Le prestataire doit appliquer des mesures privant les op\xE9\
        rateurs de droits d\u2019administration sur les dispositifs du service de\
        \ d\xE9tection, y compris sur leur poste de travail."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des droits\
        \ et des habilitations\n\u2022 Politique de filtrage\n\nV\xE9rification(s):\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les administrateurs du service de d\xE9tection n'ont pas\
        \ les droits d'administration sur leur poste d'administration. \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9\
        cifie que les op\xE9rateurs ne doivent pas poss\xE9der les droits d'administration\
        \ sur : \n- les dispositifs du service de d\xE9tection,\n- leur poste de travail.\
        \   \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les postes de travail des administrateurs et des op\xE9\
        rateurs doivent \xEAtre raccord\xE9s exclusivement au syst\xE8me d\u2019information\
        \ de d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la politique de filtrage :\n- interdit tout\
        \ flux de la zone d'h\xE9bergement des postes d'exploitation vers Internet,\
        \ \n- interdit tout flux de la zone d'h\xE9bergement des postes d'administration\
        \ vers Internet. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les administrateurs du service de d\xE9\
        tection doivent n'avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les op\xE9rateurs du service de d\xE9\
        tection ne doivent avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.             \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de gestion des droits et habilitations pr\xE9cise\
        \ pour d'une part les administrateurs et d'autre part les op\xE9rateurs :\n\
        - les ressources utiles dans le cadre de leurs missions ;\n- les types d'acc\xE8\
        s et les types de comptes ;\n- les modalit\xE9s sp\xE9cifiques de gestion\
        \ des comptes et des droits d'acc\xE8s.\n\nPr\xE9cision(s):              \
        \      \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9:1
      ref_id: IV.3.9.i
      description: "i) Les postes de travail des administrateurs et des op\xE9rateurs\
        \ doivent \xEAtre raccord\xE9s exclusivement au syst\xE8me d\u2019information\
        \ de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des droits\
        \ et des habilitations\n\u2022 Politique de filtrage\n\nV\xE9rification(s):\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les administrateurs du service de d\xE9tection n'ont pas\
        \ les droits d'administration sur leur poste d'administration. \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9\
        cifie que les op\xE9rateurs ne doivent pas poss\xE9der les droits d'administration\
        \ sur : \n- les dispositifs du service de d\xE9tection,\n- leur poste de travail.\
        \   \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du prestataire\
        \ sp\xE9cifie que les postes de travail des administrateurs et des op\xE9\
        rateurs doivent \xEAtre raccord\xE9s exclusivement au syst\xE8me d\u2019information\
        \ de d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la politique de filtrage :\n- interdit tout\
        \ flux de la zone d'h\xE9bergement des postes d'exploitation vers Internet,\
        \ \n- interdit tout flux de la zone d'h\xE9bergement des postes d'administration\
        \ vers Internet. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les administrateurs du service de d\xE9\
        tection doivent n'avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ PSSI du prestataire sp\xE9cifie que les op\xE9rateurs du service de d\xE9\
        tection ne doivent avoir acc\xE8s qu'aux ressources utiles dans le cadre de\
        \ leurs missions.             \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de gestion des droits et habilitations pr\xE9cise\
        \ pour d'une part les administrateurs et d'autre part les op\xE9rateurs :\n\
        - les ressources utiles dans le cadre de leurs missions ;\n- les types d'acc\xE8\
        s et les types de comptes ;\n- les modalit\xE9s sp\xE9cifiques de gestion\
        \ des comptes et des droits d'acc\xE8s.\n\nPr\xE9cision(s):              \
        \      \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.j
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.j
      name: "Mise en place d'une zone d'\xE9change"
      description: "Le prestataire doit mettre en place une zone d\u2019\xE9change\
        \ permettant le transfert de fichiers avec l\u2019ext\xE9rieur du syst\xE8\
        me d\u2019information  du service de d\xE9tection dans le cadre de l\u2019\
        administration ou de l\u2019exploitation du service de d\xE9tection. Cette\
        \ zone d\u2019\xE9change doit \xEAtre distincte entre les administrateurs\
        \ et les op\xE9rateurs. Le prestataire doit respecter les exigences relatives\
        \ \xE0 la zone d\u2019\xE9change d\xE9crites au chapitre \xAB Syst\xE8me d\u2019\
        \xE9change \xBB de la note technique [NT_ADMIN].\n\nRemarque : les outils\
        \ d\u2019analyse de contenu malveillant peuvent \xEAtre mutualis\xE9s entre\
        \ la zone d\u2019\xE9change utilis\xE9e par les administrateurs et celle utilis\xE9\
        e par les exploitants.\n\nLe prestataire doit pr\xE9voir, pour les outils\
        \ d\u2019analyse de contenu malveillant, un traitement sp\xE9cifique pour\
        \ les fichiers chiffr\xE9s ou ne pouvant \xEAtre analys\xE9s.\n\nLe prestataire\
        \ doit mettre en place la journalisation de l\u2019horodate, du nom et de\
        \ l\u2019empreinte cryptographique de tous les fichiers transitant par les\
        \ outils d\u2019analyse de contenu malveillant."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Matrice de flux\n        \nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ du service de d\xE9tection identifient plusieurs zones d'\xE9change permettant\
        \ le transfert de fichiers depuis l\u2019ext\xE9rieur du syst\xE8me d\u2019\
        information.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents\
        \ d'architecture du service de d\xE9tection pr\xE9sentent des zones d'\xE9\
        change distinctes et ind\xE9pendantes entre les administrateurs et les op\xE9\
        rateurs.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents\
        \ d'architecture du service de d\xE9tection sp\xE9cifient que les dispositifs\
        \ des zones d'\xE9change :\n- doivent seulement autoriser l'utilisation de\
        \ protocoles de transfert de donn\xE9es s\xE9curis\xE9s (ex: SCP, SFTP, ...)\
        \ ;\n- doivent supprimer les donn\xE9es \xE9chang\xE9es une fois le transfert\
        \ effectif ou apr\xE8s un d\xE9lai raisonnable ;\n- doivent proc\xE9der \xE0\
        \ une analyse syst\xE9matique des donn\xE9es d\xE9pos\xE9es au sein de la\
        \ zone d'\xE9change ;\n- doivent g\xE9rer les cas des fichiers chiffr\xE9\
        s ou ne pouvant \xEAtre analys\xE9s\n- doivent journaliser les analyses avec\
        \ l'horodate, le nom et l'empreinte cryptographique des fichiers analys\xE9\
        s.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la matrice de flux\
        \ que :\n- seuls les services et protocoles permettant le transfert de donn\xE9\
        es sont autoris\xE9s vers les zones d'\xE9change ;\n- seuls les postes (et\
        \ utilisateurs) qui ont le besoin d'acc\xE9der aux zones \xE9change peuvent\
        \ effectuer des transferts de donn\xE9es vers ces zones.\n\nPr\xE9cision(s):\n\
        \u2022 Le centre d'\xE9valuation peut v\xE9rifier que l'appr\xE9ciation des\
        \ risques couvre \xE9galement les zones d'\xE9change."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.k
      name: "S\xE9curit\xE9 des \xE9changes depuis les postes de travail"
      description: "Tous les \xE9changes li\xE9s au service de d\xE9tection depuis\
        \ les postes d\u2019administration ou les postes d\u2019exploitation doivent\
        \ \xEAtre r\xE9alis\xE9s \xE0 l\u2019aide de protocoles de chiffrement et\
        \ d\u2019authentification conformes aux exigences de l\u2019ANSSI [CRYPTO_B1],\
        \ [CRYPTO_B3]."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du service\
        \ de d\xE9tection\n        \nV\xE9rification(s): \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI du service de d\xE9tection sp\xE9cifie\
        \ que tous les \xE9changes li\xE9s au service de d\xE9tection depuis les postes\
        \ d\u2019administration, les postes d\u2019exploitation doivent \xEAtre r\xE9\
        alis\xE9s \xE0 l\u2019aide de protocoles de chiffrement et d\u2019authentification\
        \ conformes au RGS.    \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les documents d'architecture du service de d\xE9tection d\xE9finissent\
        \ les technologies et protocoles utilis\xE9s (cryptographie sym\xE9trique/asym\xE9\
        trique), leurs param\xE8tres (longueur de cl\xE9, options de s\xE9curit\xE9\
        , etc.) pour les t\xE2ches d'administration et d'exploitation.\n\nPr\xE9cision(s):\
        \ \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      name: Serveur de temps
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.l
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9:2
      ref_id: IV.3.9.l
      description: "l) Le prestataire doit h\xE9berger dans la zone d\u2019administration\
        \ un serveur de temps de r\xE9f\xE9rence pour assurer la synchronisation des\
        \ horloges de l\u2019ensemble des dispositifs du service de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Processus de maintien en conditions op\xE9rationnelles et\
        \ de s\xE9curit\xE9\n        \nV\xE9rification(s): \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans les documents d'architecture du service de\
        \ d\xE9tection qu'un serveur de temps de r\xE9f\xE9rence est h\xE9berg\xE9\
        \ dans une des zones d'administration.       \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans les documents d'architecture du service de d\xE9tection\
        \ que des canaux de synchronisation sont mis en place :\n- via internet :\
        \ le prestataire doit pour cela mettre en place un relais dans la zone de\
        \ mise \xE0 jour ;\n- via antenne : le prestataire doit pour cela mettre en\
        \ place un dispositif d\xE9di\xE9 de type antenne (radio, GPS)\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de maintien en\
        \ conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit qu'un serveur\
        \ de temps est mis en place au sein de la zone d'administration et que ce\
        \ dernier est r\xE9guli\xE8rement examin\xE9 (raccordement aux autres serveurs,\
        \ horloge de r\xE9f\xE9rence, etc.). \n\nPr\xE9cision(s): \n\u2022 Le centre\
        \ d'\xE9valuation peut v\xE9rifier que le plan de contr\xF4le inclut la v\xE9\
        rification du serveur de temps (raccordement aux autres serveurs, horloge\
        \ de r\xE9f\xE9rence, etc.)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.m
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9:2
      ref_id: IV.3.9.m
      description: "m) Le prestataire doit assurer la synchronisation de son serveur\
        \ de temps de r\xE9f\xE9rence avec des sources de temps externes :\n- Soit\
        \ par internet : dans ce cas, le prestataire doit mettre en place un relais\
        \ dans la zone de mise \xE0 jour qui doit se synchroniser sur trois sources\
        \ de temps externes distinctes ;\n- Soit par antenne : dans ce cas, le prestataire\
        \ doit mettre en place un dispositif d\xE9di\xE9 de type antenne (radio, GPS)."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Processus de maintien en conditions op\xE9rationnelles et\
        \ de s\xE9curit\xE9\n        \nV\xE9rification(s): \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans les documents d'architecture du service de\
        \ d\xE9tection qu'un serveur de temps de r\xE9f\xE9rence est h\xE9berg\xE9\
        \ dans une des zones d'administration.       \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans les documents d'architecture du service de d\xE9tection\
        \ que des canaux de synchronisation sont mis en place :\n- via internet :\
        \ le prestataire doit pour cela mettre en place un relais dans la zone de\
        \ mise \xE0 jour ;\n- via antenne : le prestataire doit pour cela mettre en\
        \ place un dispositif d\xE9di\xE9 de type antenne (radio, GPS)\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de maintien en\
        \ conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit qu'un serveur\
        \ de temps est mis en place au sein de la zone d'administration et que ce\
        \ dernier est r\xE9guli\xE8rement examin\xE9 (raccordement aux autres serveurs,\
        \ horloge de r\xE9f\xE9rence, etc.). \n\nPr\xE9cision(s): \n\u2022 Le centre\
        \ d'\xE9valuation peut v\xE9rifier que le plan de contr\xF4le inclut la v\xE9\
        rification du serveur de temps (raccordement aux autres serveurs, horloge\
        \ de r\xE9f\xE9rence, etc.)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.n
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.n
      name: "Utilisation des m\xEAmes serveurs de temps entre le prestataire et le\
        \ commanditaire"
      description: "Il est recommand\xE9 que les serveurs de temps utilis\xE9s par\
        \ le prestataire pour un commanditaire donn\xE9 soient les m\xEAmes que ceux\
        \ du commanditaire."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.9.o
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.9
      ref_id: IV.3.9.o
      name: "Journaliser l'\xE9cart de temps en cas d'utilisation de serveurs de temps\
        \ distincts"
      description: "L\u2019utilisation de sources de temps diff\xE9rentes entre le\
        \ commanditaire et le prestataire peuvent conduire \xE0 des probl\xE8mes d\u2019\
        ordonnancement des journaux, notamment entre les journaux remont\xE9s du syst\xE8\
        me d\u2019information via les collecteurs et les journaux remont\xE9s par\
        \ les sondes. Le prestataire doit avoir connaissance du delta potentiel entre\
        \ les deux sources."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n        \nV\xE9rification(s): \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans le processus de maintien en conditions op\xE9\
        rationnelles et de s\xE9curit\xE9 que l'utilisation de sources de temps diff\xE9\
        rentes des prestataires est surveill\xE9e et que le delta potentiel entre\
        \ sources est suivi\n\nPr\xE9cision(s): \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.10
      name: "Interconnexions du syst\xE8me d'information du service"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.10.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.10
      ref_id: IV.3.10.a
      name: "Liste des interconnexions autoris\xE9es"
      description: "Les seules interconnexions du syst\xE8me d\u2019information du\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9 autoris\xE9es sont\
        \ celles avec :\n- le syst\xE8me d\u2019information du commanditaire :\n\uF0A7\
        \ pour la collecte des \xE9v\xE9nements et informations contextuelles via\
        \ l\u2019enclave de collecte,\n\uF0A7 pour l\u2019administration des dispositifs\
        \ de collecte et, le cas \xE9ch\xE9ant, de consultation ,\n\uF0A7 pour l\u2019\
        exploitation des dispositifs de collecte,\n\uF0A7 pour l\u2019envoi d\u2019\
        information non sensible via canal non s\xE9curis\xE9, notamment la notification\
        \ des incidents de s\xE9curit\xE9,\n\uF0A7 pour l\u2019\xE9change d\u2019\
        information sensible avec l\u2019enclave de consultation via canal s\xE9curis\xE9\
        , notamment l\u2019\xE9change d\u2019informations n\xE9cessaires \xE0 la qualification\
        \ et l\u2019interaction avec le Portail Web de suivi des incidents de s\xE9\
        curit\xE9 ;\n- les postes d\u2019administration et d\u2019exploitation nomades\
        \ (voir IV.3.17) via des passerelles sp\xE9cifiques;\n- les postes de consultation\
        \ nomades via une passerelle sp\xE9cifique (voir IV.3.17) ;\n- les serveurs\
        \ de mise \xE0 jour pour t\xE9l\xE9charger les mises \xE0 jour des dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 via une zone\
        \ de mise \xE0 jour (voir IV.3.11); \n- la zone Internet permettant l\u2019\
        \xE9change de fichiers avec l\u2019ext\xE9rieur par l\u2019interm\xE9diaire\
        \ des zones d\u2019\xE9change (voir IV.3.16)."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du service\
        \ de d\xE9tection\n\u2022 Matrice de flux         \n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie\
        \ que les seules interconnexions du syst\xE8me d\u2019information du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 autoris\xE9es sont celles\
        \ d\xE9finies dans l'exigence IV.3.10.a) \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans les documents d'architecture du service de d\xE9tection\
        \ et la matrice de flux que les seules interconnexions du SI de d\xE9tection\
        \ de s\xE9curit\xE9 sont celles avec :\n- le SI du commanditaire (enclave\
        \ de collecte, enclave de consultation, r\xE9seau utilis\xE9 pour la notification),\n\
        - les postes d'administration et d'exploitation nomades via des passerelles\
        \ sp\xE9cifiques,\n- les serveurs de mise \xE0 jour,\n- la zone internet permettant\
        \ l'\xE9change de fichiers avec l'ext\xE9rieur par l'interm\xE9diaire des\
        \ zones d'\xE9change\net que ces flux sont clairement identifi\xE9s. \n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.10.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.10
      ref_id: IV.3.10.b
      name: Filtrage aux interconnexions
      description: "Le prestataire doit filtrer tous les flux aux interconnexions\
        \ du syst\xE8me d\u2019information du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 \xE0 l\u2019aide de solutions de filtrage qualifi\xE9\
        es par l\u2019ANSSI au niveau ad\xE9quat et utilis\xE9es conform\xE9ment aux\
        \ conditions de leur qualification\n\nRemarque : les interconnexions du syst\xE8\
        me d\u2019information du service de d\xE9tection doivent de plus \xEAtre conformes\
        \ aux exigences de cloisonnement des r\xE9seaux de l\u2019Annexe 2 de l\u2019\
        instruction interminist\xE9rielle relative \xE0 la protection des syst\xE8\
        mes d'information sensibles [II_901] (voir exigence IV.3.2.b))."
      annotation: "Preuve(s) :\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du service\
        \ de d\xE9tection\n\u2022 Attestations de qualification/d'agr\xE9ment pour\
        \ les produits qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Guide d'exploitation\
        \ et d'administration\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Politique de filtrage\n\u2022 Matrice de flux\n\
        \        \nV\xE9rification(s): \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la PSSI sp\xE9cifie que :\n- tous les flux aux interconnexions\
        \ du syst\xE8me d'information du service de d\xE9tection sont filtr\xE9s ;\n\
        - les m\xE9canismes de filtrage plac\xE9s aux interconnexions sont qualifi\xE9\
        s par l'ANSSI au niveau ad\xE9quat.     \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la politique de filtrage sp\xE9cifie que tous les flux\
        \ aux interconnexions du syst\xE8me d'information du service de d\xE9tection\
        \ sont filtr\xE9s pour n'autoriser que les flux strictement n\xE9cessaires.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la matrice de flux d\xE9\
        taille le filtrage aux interconnexions.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les documents d'architecture pr\xE9sentent les m\xE9\
        canismes de filtrage plac\xE9s aux interconnexions du SI du service.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier :\n- que le prestataire dispose\
        \ d'une attestation de qualification pour les solutions de filtrage d\xE9\
        ploy\xE9es par le prestataire pour filtrer tous les flux aux interconnexions\
        \ du syst\xE8me d\u2019information de d\xE9tection des incidents de s\xE9\
        curit\xE9 ;\n- que le ou les attestations de qualification sont toujours valides.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'un un guide d'administration\
        \ d\xE9crit l'impl\xE9mentation et l'administration des m\xE9canismes de filtrage\
        \ aux interconnexions du syst\xE8me d\u2019information de d\xE9tection des\
        \ incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le guide d'administration prend en compte les conditions de leur\
        \ qualification figurant sur l'attestation de qualification du prestataire\
        \ pour ces solutions (configuration, impl\xE9mentation de r\xE8gles, recommandations\
        \ de s\xE9curit\xE9, etc.).         \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que le processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9 pr\xE9voit l'utilisation des m\xE9canismes de chiffrement\
        \ et d'authentification dans des conditions de mutualisation.\n\nPr\xE9cision(s):\
        \ \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.10.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.10
      ref_id: IV.3.10.c
      name: 'Chiffrement des flux aux interconnexions

        I'
      description: "c) Les flux aux interconnexions avec le service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 doivent \xEAtre chiffr\xE9s \xE0 l\u2019\
        aide de solutions de chiffrement et d\u2019authentification IPsec agr\xE9\xE9\
        es par l\u2019ANSSI au niveau ad\xE9quat et utilis\xE9es conform\xE9ment aux\
        \ conditions de leur agr\xE9ment\nSeules font exception \xE0 cette exigence,\
        \ dans la mesure o\xF9 les exigences des parties IV.3.11 et IV.3.12 sont respect\xE9\
        es, les interconnexions avec :\n- les serveurs de mise \xE0 jour pour t\xE9\
        l\xE9charger les mises \xE0 jour des dispositifs du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 via la zone de mise \xE0 jour (voir IV.3.11)\
        \ ; \n- le syst\xE8me d\u2019information du commanditaire pour l\u2019envoi\
        \ d\u2019information non sensible, notamment la notification des incidents\
        \ de s\xE9curit\xE9 (voir IV.3.12)."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du service\
        \ de d\xE9tection\n\u2022 Matrice de flux\n\u2022 Attestations de qualification/d'agr\xE9\
        ment pour les produits qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Guide\
        \ d'exploitation et d'administration\n        \nV\xE9rification(s):  \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie que les\
        \ flux aux interconnexions avec le service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 doivent \xEAtre chiffr\xE9es \xE0 l\u2019aide de solutions\
        \ de chiffrement et d\u2019authentification IPsec agr\xE9\xE9es par l\u2019\
        ANSSI au niveau ad\xE9quat et utilis\xE9es conform\xE9ment aux conditions\
        \ de leur agr\xE9ment. Les interconnexions suivantes ne sont pas concern\xE9\
        es :\n- les serveurs de mise \xE0 jour pour t\xE9l\xE9charger les mises \xE0\
        \ jour des dispositifs du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ via la zone de mise \xE0 jour (voir IV.3.11) ;\n- le syst\xE8me d\u2019\
        information du commanditaire pour l\u2019envoi d\u2019information non sensible,\
        \ notamment la notification des incidents de s\xE9curit\xE9 (voir IV.3.12).\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans les documents d'architecture\
        \ du service de d\xE9tection que des solutions de chiffrement et d'authentification\
        \ IPsec sont d\xE9ploy\xE9es et qu'elles permettent le chiffrement des flux\
        \ aux interconnexions conform\xE9ment \xE0 l'exigence IV.3.10.c). \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans les documents d'architecture\
        \ du service de d\xE9tection que des solutions de chiffrement, de protection\
        \ en confidentialit\xE9 et d'authentification sont d\xE9ploy\xE9es et qu'elles\
        \ permettent le chiffrement des flux aux interconnexions entre le SI du PDIS\
        \ et le SI du commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans la matrice de flux que les flux aux interconnexions transitent\
        \ par les solutions de chiffrement et d'authentification IPsec sauf exception\
        \ les interconnexions avec :\n- les serveurs de mise \xE0 jour,\n- le syst\xE8\
        me d'information du commanditaire pour l'envoi d'informations non sensibles.\n\
        \nPr\xE9cision(s):\n\u2022 Le prestataire peut se r\xE9f\xE9rer \xE0 la note\
        \ technique de l'ANSSI relative \xE0 IPsec."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.10.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.10
      ref_id: IV.3.10.d
      name: 'Chiffrement des flux aux interconnexions

        et mutualisation'
      description: "Les \xE9quipements utilis\xE9s pour le chiffrement et l\u2019\
        authentification des interconnexions doivent \xEAtre d\xE9di\xE9s aux prestations\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 qualifi\xE9es ou employ\xE9\
        s dans des conditions o\xF9 la mutualisation des prestations ne d\xE9grade\
        \ pas le niveau de s\xE9curit\xE9 du syst\xE8me d\u2019information du service\
        \ de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Appr\xE9ciation des risques\n        \nV\xE9\
        rification(s):  \n\u2022 Si la mutualisation des prestations est r\xE9alis\xE9\
        e par le prestataire dans le syst\xE8me d'information du service, le centre\
        \ d'\xE9valuation doit v\xE9rifier que l'appr\xE9ciation du risque prend en\
        \ compte la situation de mutualisation et que le niveau de risque n'est pas\
        \ plus \xE9lev\xE9 que si le syst\xE8me d'information \xE9tait d\xE9di\xE9\
        .\n\nPr\xE9cision(s):\n\u2022 Le prestataire peut se r\xE9f\xE9rer \xE0 la\
        \ note technique de l'ANSSI relative \xE0 IPsec."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.10.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.10
      ref_id: IV.3.10.e
      name: "Chiffrement agr\xE9\xE9 des flux aux interconnexions"
      description: "Le prestataire doit prot\xE9ger en confidentialit\xE9, en int\xE9\
        grit\xE9 et en authenticit\xE9 toutes les informations \xE9chang\xE9es entre\
        \ le syst\xE8me d\u2019information du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 et le syst\xE8me d\u2019information du commanditaire \xE0\
        \ l\u2019aide de solutions agr\xE9\xE9es par l\u2019ANSSI [RGS_ANNEXE_B1],\
        \ [RGS_ANNEXE_B3] au niveau ad\xE9quat et utilis\xE9es conform\xE9ment aux\
        \ conditions de leur agr\xE9ment"
      annotation: "Preuve(s):\n\u2022 Attestations de qualification/d'agr\xE9ment\
        \ pour les produits qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Guide d'exploitation\
        \ et d'administration\n        \nV\xE9rification(s):  \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le prestataire dispose d'une attestation d'agr\xE9\
        ment pour les solutions de chiffrement et d\u2019authentification IPsec d\xE9\
        ploy\xE9es par le prestataire aux interconnexions :\n- avec le service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9 ;\n- entre le SI du PDIS et\
        \ le SI du commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que les attestations d'agr\xE9ment sont toujours valides. \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier qu'un guide d'administration d\xE9crit\
        \ l'impl\xE9mentation et l'administration des solutions de chiffrement et\
        \ d\u2019authentification IPsec agr\xE9\xE9es par l\u2019ANSSI au niveau ad\xE9\
        quat.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le guide d'administration\
        \ est conforme aux conditions de leur agr\xE9ment figurant sur l'attestation\
        \ d'agr\xE9ment du prestataire pour ces solutions.      \n\nPr\xE9cision(s):\n\
        \u2022 Le prestataire peut se r\xE9f\xE9rer \xE0 la note technique de l'ANSSI\
        \ relative \xE0 IPsec."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.11
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.11
      name: "Zone de mise \xE0 jour"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.11.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.11
      ref_id: IV.3.11.a
      name: "Mise en place d'une zone de mise \xE0 jour"
      description: "Le prestataire peut mettre en place une zone de mise \xE0 jour\
        \ contenant un ou plusieurs d\xE9p\xF4t(s) relais connect\xE9(s) \xE0 une\
        \ passerelle Internet d\xE9di\xE9e pour permettre le t\xE9l\xE9chargement\
        \ de mises \xE0 jour des dispositifs du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9.\nRemarque : le terme \xAB mise \xE0 jour \xBB couvre\
        \ \xE9galement la mise \xE0 jour \xE0 partir de sources officielles des r\xE9\
        f\xE9rentiels utilis\xE9s par les dispositifs du service de d\xE9tection (exemple\
        \ : outils de veille et d\u2019analyse de la menace)."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du service\
        \ de d\xE9tection\n\u2022 Matrice de flux\n\u2022 Guide d'exploitation et\
        \ d'administration\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n        \nV\xE9rification(s): \nSi le prestataire\
        \ a mis en place une zone de mise \xE0 jour :\n\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la PSSI sp\xE9cifie que la mise \xE0 jour des dispositifs\
        \ peut se faire par le biais d'un d\xE9p\xF4t relais interne, et que ce d\xE9\
        p\xF4t n'acc\xE8de \xE0 Internet que via une passerelle Internet d\xE9di\xE9\
        e.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ du service de d\xE9tection font \xE9tat d'une zone de mise \xE0 jour et\
        \ que :\n- elle comporte un ou plusieurs d\xE9p\xF4ts relais internes,\n-\
        \ qu'elle est connect\xE9e via une passerelle Internet d\xE9di\xE9e au d\xE9\
        p\xF4t relais.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la\
        \ matrice de flux que les d\xE9p\xF4ts relais peuvent initier une connexion\
        \ vers Internet en passant par une passerelle d\xE9di\xE9e.     \n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de maintien en\
        \ conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit : \n- que\
        \ l'ensemble des dispositifs du service de d\xE9tection doit \xEAtre maintenu\
        \ \xE0 jour ;\n- les modalit\xE9s de mise \xE0 jour via le d\xE9p\xF4t relais.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9\
        voit \xE9galement :\n- la liste des dispositifs concern\xE9s par les mises\
        \ \xE0 jour,\n- la liste des sources de mise \xE0 jour pour ces dispositifs,\n\
        - la fr\xE9quence de mise \xE0 jour des dispositifs et les conditions (\xE0\
        \ chaque sortie de nouvelle version, tous les mois, etc.),\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la mise en place et l'administration\
        \ du d\xE9p\xF4t de relais sont document\xE9es dans un guide d'administration.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier qu'un guide d'administration\
        \ pr\xE9voit que le d\xE9p\xF4t relais utilise exclusivement une passerelle\
        \ Internet d\xE9di\xE9e pour r\xE9cup\xE9rer les mises \xE0 jour. \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.11.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.11
      ref_id: IV.3.11.b
      name: "Mise \xE0 jour manuelle des dispositifs du service"
      description: "Le prestataire doit proc\xE9der \xE0 une mise \xE0 jour manuelle\
        \ et d\xE9connect\xE9e des dispositifs du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 qui ne permettraient pas de mise \xE0 jour via un d\xE9\
        p\xF4t relais."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de maintien en conditions\
        \ op\xE9rationnelles et de s\xE9curit\xE9\n        \nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie\
        \ que tous les dispositifs du service de d\xE9tection doivent \xEAtre mis\
        \ \xE0 jour manuellement lorsque la mise \xE0 jour par d\xE9p\xF4t relais\
        \ est impossible, ou que le prestataire a choisi de ne pas impl\xE9menter\
        \ de d\xE9p\xF4t relais.         \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de maintien en conditions op\xE9rationnelles et de\
        \ s\xE9curit\xE9 pr\xE9voit la mise \xE0 jour manuelle et d\xE9connect\xE9\
        e des dispositifs du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ lorsque la mise \xE0 jour par d\xE9p\xF4t relais est impossible, ou que\
        \ le prestataire a choisi de ne pas impl\xE9menter de d\xE9p\xF4t relais.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de\
        \ maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9 inclut :\
        \ \n- la liste des dispositifs \xE0 mettre \xE0 jour,\n- le processus de mise\
        \ \xE0 jour pour chaque dispositif, \n- la fr\xE9quence de mise \xE0 jour\
        \ des dispositifs et les conditions (\xE0 chaque sortie de nouvelle version,\
        \ tous les mois, etc.) \n\nPr\xE9cision(s):\n\u2022 Tous les dispositifs du\
        \ service de d\xE9tection doivent \xEAtre pr\xE9sents :\n- soit sur la liste\
        \ du d\xE9p\xF4t relais,\n- soit sur la liste de la mise \xE0 jour manuelle."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.11:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.11
      name: "Filtrage des flux de t\xE9l\xE9chargement des mise \xE0 jour"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.11.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.11:1
      ref_id: IV.3.11.c
      description: "c) Le prestataire doit mettre en \u0153uvre un filtrage par liste\
        \ blanche afin de n\u2019autoriser le(s) d\xE9p\xF4t(s) relais qu\u2019\xE0\
        \ t\xE9l\xE9charger les mises \xE0 jour officielles des dispositifs du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 aupr\xE8s des sources de\
        \ mise \xE0 jour officielles des \xE9diteurs."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Matrice des flux\n\u2022 Politique\
        \ de filtrage\n        \nV\xE9rification(s): \nSi le prestataire a mis en\
        \ place une zone de mise \xE0 jour :\n\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la PSSI sp\xE9cifie que : \n- le d\xE9p\xF4t relais ne doit\
        \ t\xE9l\xE9charger les mises \xE0 jour officielles des dispositifs du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 qu'aupr\xE8s des sources\
        \ officielles de mise \xE0 jour autoris\xE9es,\n- les sources de mise \xE0\
        \ jour autoris\xE9es doivent \xEAtre list\xE9es, tenues \xE0 jour et ne contenir\
        \ que des sources officielles des \xE9diteurs.       \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la matrice de flux et la politique de filtrage\
        \ associ\xE9e que le d\xE9p\xF4t relais :\n- ne peut t\xE9l\xE9charger les\
        \ mises \xE0 jour officielles des dispositifs du service de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 qu'aupr\xE8s des sources officielles de mise\
        \ \xE0 jour autoris\xE9es,\n- les sources officielles de mise \xE0 jour sont\
        \ coh\xE9rentes avec la liste des sources d\xE9finies dans la PSSI.      \
        \        \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la matrice\
        \ de flux et la politique de filtrage associ\xE9e que :\n- seuls les flux\
        \ initi\xE9s par le d\xE9p\xF4t relais vers Internet sont autoris\xE9s, et\
        \ passant exclusivement par la passerelle Internet d\xE9di\xE9e,\n- les flux\
        \ initi\xE9s par l'ext\xE9rieur vers le d\xE9p\xF4t relais sont bloqu\xE9\
        s\n- que le principe de liste blanche est mis en place en bloquant tous les\
        \ flux non explicitement autoris\xE9s.              \n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.11.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.11:1
      ref_id: IV.3.11.e
      description: "e) Le prestataire doit configurer les solutions de filtrage (voir\
        \ exigence IV.3.10.d)) pour n\u2019autoriser que les flux initi\xE9s depuis\
        \ le(s) d\xE9p\xF4t(s) relais vers la passerelle Internet."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Matrice des flux\n\u2022 Politique\
        \ de filtrage\n        \nV\xE9rification(s): \nSi le prestataire a mis en\
        \ place une zone de mise \xE0 jour :\n\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la PSSI sp\xE9cifie que : \n- le d\xE9p\xF4t relais ne doit\
        \ t\xE9l\xE9charger les mises \xE0 jour officielles des dispositifs du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 qu'aupr\xE8s des sources\
        \ officielles de mise \xE0 jour autoris\xE9es,\n- les sources de mise \xE0\
        \ jour autoris\xE9es doivent \xEAtre list\xE9es, tenues \xE0 jour et ne contenir\
        \ que des sources officielles des \xE9diteurs.       \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la matrice de flux et la politique de filtrage\
        \ associ\xE9e que le d\xE9p\xF4t relais :\n- ne peut t\xE9l\xE9charger les\
        \ mises \xE0 jour officielles des dispositifs du service de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 qu'aupr\xE8s des sources officielles de mise\
        \ \xE0 jour autoris\xE9es,\n- les sources officielles de mise \xE0 jour sont\
        \ coh\xE9rentes avec la liste des sources d\xE9finies dans la PSSI.      \
        \        \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la matrice\
        \ de flux et la politique de filtrage associ\xE9e que :\n- seuls les flux\
        \ initi\xE9s par le d\xE9p\xF4t relais vers Internet sont autoris\xE9s, et\
        \ passant exclusivement par la passerelle Internet d\xE9di\xE9e,\n- les flux\
        \ initi\xE9s par l'ext\xE9rieur vers le d\xE9p\xF4t relais sont bloqu\xE9\
        s\n- que le principe de liste blanche est mis en place en bloquant tous les\
        \ flux non explicitement autoris\xE9s.              \n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.11.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.11
      ref_id: IV.3.11.d
      name: "V\xE9rification de l'authenticit\xE9 et l'int\xE9grit\xE9 des mises \xE0\
        \ jour"
      description: "Le prestataire doit s\u2019assurer de l\u2019authenticit\xE9 et\
        \ l\u2019int\xE9grit\xE9 des mises \xE0 jour t\xE9l\xE9charg\xE9es aupr\xE8\
        s des sources de mise \xE0 jour autoris\xE9es, et mettre en \u0153uvre des\
        \ certificats en s\u2019appuyant sur les r\xE8gles et recommandations de l\u2019\
        ANSSI concernant la gestion des cl\xE9s utilis\xE9es dans les m\xE9canismes\
        \ cryptographiques [CRYPTO_B2]."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de maintien en conditions\
        \ op\xE9rationnelles et de s\xE9curit\xE9\n        \nV\xE9rification(s):\n\
        Si le prestataire a mis en place une zone de mise \xE0 jour :\n\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie que les\
        \ mises \xE0 jour t\xE9l\xE9charg\xE9es sont authentiques et que leur int\xE9\
        grit\xE9 n'a pas \xE9t\xE9 compromise. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9 pr\xE9voit la mise en \u0153uvre et la gestion des\
        \ certificats en s'appuyant sur les r\xE8gles et recommandations de l'ANSSI,\
        \ \xE0 savoir :\n- g\xE9n\xE9ration (utilisation de cl\xE9s asym\xE9triques\
        \ g\xE9n\xE9r\xE9es al\xE9atoirement) ;\n- utilisation (modalit\xE9 d'\xE9\
        change) ;\n- fin de vie et renouvellement.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.12
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.12
      name: Zone de notification
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.12.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.12
      ref_id: IV.3.12.a
      name: "Notification par messagerie \xE9lectronique"
      description: "Lorsque des syst\xE8mes de messagerie \xE9lectronique sont utilis\xE9\
        s dans le cadre de la gestion des notifications, ceux-ci doivent \xEAtre d\xE9\
        di\xE9s aux activit\xE9s de notification dans le cadre de prestations qualifi\xE9\
        es ou ne d\xE9gradant pas le niveau de s\xE9curit\xE9 du syst\xE8me d\u2019\
        information du service, et h\xE9berg\xE9s dans la zone de notification."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Appr\xE9\
        ciation des risques\n\u2022 Guides d'exploitation et d'administration\n  \
        \     \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la convention de service type sp\xE9cifie qu'un syst\xE8me de messagerie\
        \ \xE9lectronique est d\xE9di\xE9 aux activit\xE9s de notification dans le\
        \ cadre de prestations qualifi\xE9es ou ne d\xE9gradant pas le niveau de s\xE9\
        curit\xE9. \n\u2022 Si l'utilisation du syst\xE8me de messagerie \xE9lectronique\
        \ n'est pas d\xE9di\xE9e aux prestations qualifi\xE9es, alors le centre d'\xE9\
        valuation doit v\xE9rifier que l'\xE9cart avec les prestations non qualifi\xE9\
        es a \xE9t\xE9 pris en compte dans l'appr\xE9ciation des risques.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que l'administration et l'exploitation\
        \ d'un syst\xE8me de notification sont document\xE9es dans des guides d'administration\
        \ et d'exploitation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.12.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.12
      ref_id: IV.3.12.b
      name: "Filtrage de la r\xE9ception des flux dans la zone de notification"
      description: "Le dispositif de filtrage (voir exigence IV.3.10.b)) \xE0 l\u2019\
        interconnexion du syst\xE8me d\u2019information du service de d\xE9tection,\
        \ entre l\u2019ext\xE9rieur du syst\xE8me d\u2019information du service et\
        \ la zone de notification, ne doit autoriser que les flux \xE9mis depuis la\
        \ zone de notification pour l\u2019envoi d\u2019information non sensible (exemples\
        \ : notification d\u2019incident de s\xE9curit\xE9, requ\xEAtage de r\xE9\
        f\xE9rentiel interne au commanditaire ,etc.)."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information \n\u2022 Matrice des flux\n\u2022 Politique de filtrage\n\
        \       \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la PSSI sp\xE9cifie que les informations envoy\xE9es via les canaux\
        \ de notification ne doivent pas \xEAtre sensibles.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la matrice des flux et la politique de filtrage\
        \ que seuls les flux \xE9mis depuis la zone de notification sont autoris\xE9\
        s pour l'envoi de messages \xE9lectroniques et qu'il n'est pas possible d'initier\
        \ des flux depuis l'ext\xE9rieur du SI en direction de la zone de notification.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.13
      name: "Zone d'\xE9change commanditaire"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      ref_id: IV.3.13.a
      name: "Mise en place d'une zone d'\xE9change commanditaire"
      description: "a) Le prestataire doit mettre en place une zone d\u2019\xE9change\
        \ commanditaire contenant au minimum :\n- un portail Web permettant la visualisation\
        \ et la mise \xE0 jour de l\u2019\xE9tat des incidents de s\xE9curit\xE9 et\
        \ des actions engag\xE9es ;\n- un dispositif de stockage permettant la mise\
        \ \xE0 disposition du commanditaire des contextes des incidents de s\xE9curit\xE9\
        \ d\xE9tect\xE9s sur son p\xE9rim\xE8tre supervis\xE9 (\xE9v\xE9nements associ\xE9\
        s et rapport(s) d\u2019analyse(s) de qualification), et permettant au commanditaire\
        \ de d\xE9poser s\u2019il le souhaite des informations n\xE9cessaires \xE0\
        \ la qualification d\u2019un incident. \nLe prestataire doit respecter les\
        \ exigences relatives \xE0 la zone d\u2019\xE9change d\xE9crites au chapitre\
        \ \xAB Syst\xE8me d\u2019\xE9change \xBB de la note technique [NT_ADMIN].\n\
        Remarque : les outils d\u2019analyse de contenu malveillant peuvent \xEAtre\
        \ mutualis\xE9s entre la zone d\u2019\xE9change commanditaire et  la zone\
        \ de collecte.\nLe prestataire doit pr\xE9voir, pour les outils d\u2019analyse\
        \ de contenu malveillant, un traitement sp\xE9cifique pour les fichiers chiffr\xE9\
        s ou ne pouvant \xEAtre analys\xE9s.\nLe prestataire doit mettre en place\
        \ la journalisation de l\u2019horodate, du nom et de l\u2019empreinte cryptographique\
        \ de tous les fichiers transitant par les outils d\u2019analyse de contenu\
        \ malveillant."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Matrice de flux\n\u2022 Guide d'exploitation et d'administration\n\
        \u2022 Processus de gestion de la capacit\xE9 des ressources IT\n       \n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans\
        \ les documents d'architecture du service de d\xE9tection qu'une zone d'\xE9\
        change est pr\xE9sente et qu'elle comporte :\n- un portail Web accessible\
        \ au commanditaire.\n- un dispositif de stockage permettant l'\xE9change d'informations\
        \ avec le commanditaire dans les contextes des incidents de s\xE9curit\xE9\
        \ d\xE9tect\xE9s.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans\
        \ les documents d'architecture du service de d\xE9tection et la matrice de\
        \ flux que le dispositif de stockage respecte les exigences d'un syst\xE8\
        me d'\xE9change externe tel que d\xE9finit dans la note technique d'administration\
        \ s\xE9curis\xE9e de l'ANSSI :\n- les flux autoris\xE9s vers le dispositif\
        \ de stockage sont exclusivement des services et protocoles de transfert ;\n\
        - les origines des flux sont le commanditaire depuis l'enclave de consultation\
        \ et les op\xE9rateurs depuis la zone d'exploitation.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans les documents d'architecture du service de\
        \ d\xE9tection que des outils d'analyse de contenu malveillant sont :\n- pr\xE9\
        sents dans la zone d'\xE9change ;\n- associ\xE9s au dispositif de stockage\
        \ ;\n- \xE9ventuellement mutualis\xE9 avec la zone de collecte ;\n- aliment\xE9\
        \ par la source de temps du syst\xE8me d'information du service de d\xE9tection.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la matrice des flux\
        \ qu'aucun flux ne peut-\xEAtre initi\xE9 depuis la zone d'\xE9change vers\
        \ le reste du syst\xE8me d'information du service de d\xE9tection.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la mise en \u0153uvre et\
        \ l'administration des dispositifs de la zone d'\xE9change sont document\xE9\
        es dans des guides d'administration. \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que le processus de gestion de la capacit\xE9 pr\xE9voit la\
        \ gestion et le contr\xF4le de l'espace de stockage du dispositif permettant\
        \ au commanditaire de d\xE9poser, s'il le souhaite, des informations n\xE9\
        cessaires \xE0 la qualification d'un incident. \n\u2022 Ce processus doit\
        \ \xE9galement pr\xE9voir que les informations stock\xE9es dans la zone d'\xE9\
        change ne le sont pas de mani\xE8re permanente.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      ref_id: IV.3.13.b
      name: Cloisonnement entre commanditaires
      description: "Le prestataire doit d\xE9dier une machine physique ou virtuelle\
        \ par commanditaire afin d\u2019y h\xE9berger une instance du portail web\
        \ et du dispositif de stockage des incidents de s\xE9curit\xE9 et des notifications."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Processus de d\xE9livrance d'une prestation PDIS \n      \
        \ \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ dans les documents d'architecture du service de d\xE9tection qu'une machine\
        \ physique ou virtuelle est d\xE9di\xE9e \xE0 chaque commanditaire pour l'h\xE9\
        bergement d'une instance du portail web et du dispositif de stockage des incidents\
        \ de s\xE9curit\xE9 et des notifications.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS\
        \ pr\xE9voit \xE0 l'initialisation de toute prestation le d\xE9ploiement d'une\
        \ machine physique ou virtuelle d\xE9di\xE9e pour l'h\xE9bergement des dispositifs\
        \ de la zone d'\xE9change commanditaire.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      ref_id: IV.3.13.c
      name: "Annuaire d\xE9di\xE9 \xE0 l'authentification des commanditaires"
      description: "Le prestataire doit mettre en place un annuaire d\xE9di\xE9 \xE0\
        \ l\u2019authentification du commanditaire sur les dispositifs h\xE9berg\xE9\
        s dans la zone d\u2019\xE9change commanditaire. Le prestataire doit authentifier\
        \ le commanditaire avec :\n- des comptes nominatifs et au minimum deux facteurs\
        \ pour l\u2019authentification d\u2019une personne vis-\xE0-vis d\u2019une\
        \ machine ;\n- une authentification mutuelle pour l\u2019authentification\
        \ de machine \xE0 machine.\nLe prestataire doit tenir \xE0 jour une liste\
        \ des comptes autoris\xE9s \xE0 acc\xE9der \xE0 cette zone avec leurs privil\xE8\
        ges associ\xE9s."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du prestataire\n\
        \u2022 Processus de d\xE9livrance d'une prestation PDIS \n        \nV\xE9\
        rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI\
        \ sp\xE9cifie que : \n- un annuaire d\xE9di\xE9 \xE0 l'authentification du\
        \ commanditaire sur le portail Web doit \xEAtre mis en place,\n- l'authentification\
        \ au portail Web ou \xE0 l'outil de stockage doit \xEAtre r\xE9alis\xE9e au\
        \ minimum avec deux facteurs pour l'authentification d'une personne vis-\xE0\
        -vis d'une machine et doit \xEAtre mutuelle pour l'authentification machine\
        \ \xE0 machine,\n- une liste des personnes et syst\xE8mes autoris\xE9s \xE0\
        \ acc\xE9der au portail Web et \xE0 l'outil de stockage doit exister, et \xEA\
        tre tenue \xE0 jour,\n- les privil\xE8ges associ\xE9s aux personnes et syst\xE8\
        mes autoris\xE9s doivent \xEAtre d\xE9finis.       \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les documents d'architecture du prestataire\
        \ font \xE9tat d'un annuaire d\xE9di\xE9 \xE0 l'authentification du commanditaire\
        \ sur le portail Web.       \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ que la liste des personnes et syst\xE8mes autoris\xE9s, fournie par le commanditaire,\
        \ sera int\xE9gr\xE9e \xE0 un annuaire d\xE9di\xE9 \xE0 l'authentification\
        \ du commanditaire et tenue \xE0 jour.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      ref_id: IV.3.13.d
      name: "Utilisation de certificats \xE9lectroniques pour l'authentification"
      description: "Il est recommand\xE9 que le prestataire mette en \u0153uvre une\
        \ authentification aux dispositifs de la zone d\u2019\xE9change commanditaire\
        \ bas\xE9e sur des certificats \xE9lectroniques d\xE9livr\xE9s par des prestataires\
        \ de services de certification \xE9lectroniques qualifi\xE9s par l\u2019ANSSI\
        \ RGS *** et impliquant par cons\xE9quent l\u2019utilisation de supports cryptographiques\
        \ qualifi\xE9s par l\u2019ANSSI au niveau renforc\xE9."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      name: "Acc\xE8s du commanditaire aux ressources utiles"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13:1
      ref_id: IV.3.13.e
      description: "e) Le prestataire doit mettre en \u0153uvre les mesures garantissant\
        \ que le commanditaire n\u2019acc\xE8de qu'aux ressources utiles dans le cadre\
        \ de sa prestation."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des droits\
        \ et des habilitations\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la PSSI sp\xE9cifie que le commanditaire n'acc\xE8\
        de qu'aux ressources utiles dans le cadre de la prestation.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie que des restrictions\
        \ d'exploitation et d'administration sont appliqu\xE9es aux comptes utilis\xE9\
        s par le commanditaire sur les dispositifs du service de d\xE9tection.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la mise en \u0153uvre des\
        \ mesures garantissant des restrictions aux comptes des commanditaires est\
        \ document\xE9e dans un processus de gestion des droits et des habilitations.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13:1
      ref_id: IV.3.13.f
      description: "f) Le prestataire doit appliquer des mesures privant le commanditaire\
        \ de droits d\u2019administration ou d\u2019exploitation sur les dispositifs\
        \ du service de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des droits\
        \ et des habilitations\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la PSSI sp\xE9cifie que le commanditaire n'acc\xE8\
        de qu'aux ressources utiles dans le cadre de la prestation.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie que des restrictions\
        \ d'exploitation et d'administration sont appliqu\xE9es aux comptes utilis\xE9\
        s par le commanditaire sur les dispositifs du service de d\xE9tection.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la mise en \u0153uvre des\
        \ mesures garantissant des restrictions aux comptes des commanditaires est\
        \ document\xE9e dans un processus de gestion des droits et des habilitations.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      ref_id: IV.3.13.g
      name: Mise en place d'un pare-feu applicatif
      description: "Le prestataire doit mettre en \u0153uvre un pare-feu applicatif\
        \ afin de filtrer les requ\xEAtes \xE0 destination du portail Web."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Documents d'architecture du prestataire\n\
        \u2022 Matrice de flux\n       \nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI sp\xE9cifie que les requ\xEAtes \xE0\
        \ destination du portail Web sont filtr\xE9es par un pare-feu applicatif.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ pr\xE9cisent la pr\xE9sence un pare-feu applicatif plac\xE9 en avant du\
        \ portail Web.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la\
        \ matrice de flux que les flux en direction du portail Web transitent par\
        \ un pare-feu applicatif.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ qu'un guide d'administration d\xE9taille :\n- la gestion des r\xE8gles de\
        \ filtrage (ajout, modification, suppression) ;\n- l'utilisation de r\xE8\
        gles de filtrage de base (couvrant les attaques web classiques tel tir\xE9\
        es de l'OWASP, mais coh\xE9rentes avec les technologies utilis\xE9es dans\
        \ le portail web et le dispositif de stockage);\n- l'utilisation de r\xE8\
        gles sp\xE9cifiques au portail web et au dispositif de stockage (d\xE9finies\
        \ manuellement et/ou par une phase d'apprentissage)\n- la journalisation des\
        \ connexions ;\n- le contr\xF4le d'acc\xE8s ;\n- les mises \xE0 jour (syst\xE8\
        me, applicatif et bases de r\xE8gles).\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.13.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.13
      ref_id: IV.3.13.h
      name: "Filtrage entre la zone d'\xE9change et le syst\xE8me d'information du\
        \ commanditaire"
      description: "Le dispositif de filtrage (voir exigence IV.3.10.b)) entre la\
        \ zone d\u2019\xE9change commanditaire et le syst\xE8me d\u2019information\
        \ interne du commanditaire doit interdire tous les flux except\xE9s :\n- ceux\
        \ entre cette zone d\u2019\xE9change commanditaire et l\u2019enclave de consultation\
        \ au sein du syst\xE8me d\u2019information interne du commanditaire, permettant\
        \ uniquement la consultation et la mise \xE0 jour de l\u2019\xE9tat des incidents\
        \ et actions engag\xE9es via le Portail Web et l\u2019\xE9change s\xE9curis\xE9\
        \ d\u2019information entre ces deux zones ;\n- ceux entre cette zone d\u2019\
        \xE9change commanditaire et les postes nomades de consultation (voir exigence\
        \ IV.3.17.l)) permettant uniquement la consultation et la mise \xE0 jour de\
        \ l\u2019\xE9tat des incidents et actions engag\xE9es via le Portail Web et\
        \ l\u2019\xE9change s\xE9curis\xE9 d\u2019information avec ces postes ;\n\
        - ceux permettant au prestataire d\u2019administrer depuis la zone d\u2019\
        administration (voir exigence IV.3.8.c)) les dispositifs h\xE9berg\xE9s dans\
        \ l\u2019enclave de consultation  ; \n- ceux permettant la mise \xE0 jour\
        \ des dispositifs h\xE9berg\xE9s dans l\u2019enclave de consultation \xE0\
        \ partir de la zone de mise \xE0 jour9 (voir exigence IV.3.8.c))"
      annotation: "Preuve(s):\n\u2022 Matrice des flux\n\u2022 Politique de filtrage\n\
        \       \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans la matrice de flux et dans la politique de filtrage que les seuls\
        \ flux autoris\xE9s sont ceux :\n- entre la zone d\u2019\xE9change commanditaire\
        \ et l\u2019enclave de consultation commanditaire, permettant uniquement la\
        \ consultation et la mise \xE0 jour de l\u2019\xE9tat des incidents et actions\
        \ engag\xE9es via le portail web et l\u2019\xE9change s\xE9curis\xE9 d\u2019\
        information entre ces deux zones ;\n- entre les postes nomades de consultation\
        \ et la zone d'\xE9change commanditaire (voir exigence IV.3.17.l)) , commanditaire,\
        \ permettant uniquement la consultation et la mise \xE0 jour de l\u2019\xE9\
        tat des incidents et actions engag\xE9es via le portail web et l\u2019\xE9\
        change s\xE9curis\xE9 d\u2019information entre ces deux zones ;\n- entre l'enclave\
        \ de consultation et la zone d\u2019administration (voir exigence IV.3.8.c))\
        \ permettant l'administration des dispositifs h\xE9berg\xE9s dans l\u2019\
        enclave de consultation ;\n- entre la zone de mise \xE0 jour et les dispositif\
        \ h\xE9berg\xE9s dans la zone de consultation (voir exigence IV.3.8.c)).\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.14
      name: Enclave de consultation
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.a
      name: Mise en place d'une enclave de consultation
      description: "Amendement n\xB04\nOption A et B :\nL\u2019int\xE9gralit\xE9 des\
        \ dispositifs pouvant acc\xE9der \xE0 la zone d\u2019\xE9change commanditaire\
        \ depuis le syst\xE8me d\u2019information interne du commanditaire doit \xEA\
        tre positionn\xE9e au sein d\u2019une ou plusieurs enclaves de consultation\
        \ au sein de ce syst\xE8me d\u2019information."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la convention de service type\
        \ pr\xE9voit que l'ensemble des dispositifs pouvant acc\xE9der \xE0 la zone\
        \ d'\xE9change commanditaire depuis le SI du commanditaire soit positionn\xE9\
        \ au sein d'une ou plusieurs enclaves de consultation.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit, lors du d\xE9marrage de la prestation, la possibilit\xE9\
        \ de d\xE9finir l'architecture et mettre en place une ou plusieurs enclaves\
        \ de consultation sur le SI du commanditaire, si la mise en place est de la\
        \ responsabilit\xE9 du prestataire.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.b
      name: "Responsabilit\xE9 de la propri\xE9t\xE9 et la mise \xE0 jour des dispositifs\
        \ de l'enclave de consultation"
      description: "Amendement n\xB04\nOption A (b) uniquement :\nLe prestataire doit\
        \ d\xE9finir avec le commanditaire dans la convention de service les responsabilit\xE9\
        s concernant :\n- la propri\xE9t\xE9 des dispositifs h\xE9berg\xE9s dans l\u2019\
        enclave de consultation ;\n- l\u2019administration et la mise \xE0 jour de\
        \ ces dispositifs ;\n- le respect des mesures de s\xE9curit\xE9 d\xE9finies\
        \ dans les exigences IV.3.14.c) \xE0 IV.3.14.g).\n\nAmendement n\xB04\nOption\
        \ B (c) uniquement :\nLe prestataire doit d\xE9finir avec le commanditaire\
        \ dans la convention de service les responsabilit\xE9s concernant :\n- la\
        \ propri\xE9t\xE9 des dispositifs h\xE9berg\xE9s dans l\u2019enclave de consultation\
        \ ;\n- l\u2019administration et la mise \xE0 jour de ces dispositifs ;\n-\
        \ le responsable (commanditaire ou prestataire) de la d\xE9marche d'homologation\
        \ de l'enclave.\n\nDans tous les cas, le commanditaire doit avoir la responsabilit\xE9\
        \ de l'administration du dispositif de filtrage entre l'enclave de consultation\
        \ et le SI interne du commanditaire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s)\
        \ Option A (b) :\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la\
        \ convention de service type pr\xE9voit que le prestataire et le commanditaire\
        \ d\xE9finissent les responsabilit\xE9s concernant : \n- la propri\xE9t\xE9\
        \ des dispositifs h\xE9berg\xE9s dans l\u2019enclave de consultation ;\n-\
        \ l\u2019administration et la mise \xE0 jour de ces dispositifs ;\n- le respect\
        \ des mesures de s\xE9curit\xE9 d\xE9finies dans les exigences IV.3.14.c)\
        \ \xE0 IV.3.14.g)\n\nV\xE9rification(s) Option B (c):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la convention de service type pr\xE9voit que\
        \ le prestataire et le commanditaire d\xE9finissent les responsabilit\xE9\
        s concernant : \n- la propri\xE9t\xE9 des dispositifs h\xE9berg\xE9s dans\
        \ l\u2019enclave de consultation ;\n- l\u2019administration et la mise \xE0\
        \ jour de ces dispositifs ;\n- le responsable (commanditaire ou prestataire)\
        \ de la d\xE9marche d'homologation de l'enclave.\n\nPr\xE9cision(s):\nDans\
        \ tous les cas, le commanditaire doit avoir la responsabilit\xE9 de l'administration\
        \ du dispositif de filtrage entre l'enclave de consultation et le SI interne\
        \ du commanditaire."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.c
      name: Homologation Diffusion Restreinte de l'enclave de consultation
      description: "Amendement n\xB04\nOption A (c) uniquement :\nL\u2019enclave de\
        \ consultation doit \xEAtre homologu\xE9e au minimum au niveau Diffusion Restreinte\
        \ [IGI_1300] [II_901].\n\nRemarque : l\u2019entit\xE9 (prestataire ou commanditaire)\
        \ en charge de l\u2019homologation doit demander \xE0 l\u2019autre entit\xE9\
        \ les \xE9l\xE9ments de preuve de la mise en \u0153uvre des mesures dont cette\
        \ derni\xE8re a la responsabilit\xE9 et les porter au dossier d\u2019homologation.\n\
        \nAmendement n\xB04\nOption B (b) uniquement :\nL\u2019enclave de consultation\
        \ doit \xEAtre homologu\xE9e au minimum au Niveau Standard du GHI. La mise\
        \ en oeuvre de la d\xE9marche d'homologation peut \xEAtre de la responsabilit\xE9\
        \ du commanditaire ou du prestataire.\n\nRemarque :  l\u2019entit\xE9 (prestataire\
        \ ou commanditaire) en charge de l\u2019homologation doit demander \xE0 l\u2019\
        autre entit\xE9 les \xE9l\xE9ments de preuve de la mise en \u0153uvre des\
        \ mesures dont cette derni\xE8re a la responsabilit\xE9 et les porter au dossier\
        \ d\u2019homologation."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Attestation\
        \ et dossier d'homologation Diffusion Restreinte\n\u2022 Appr\xE9ciation des\
        \ risques\n\u2022 Plan de traitement des risques\n       \nV\xE9rification(s):\n\
        \u2022 Option A uniquement  :  Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la convention de service type pr\xE9voit que l'enclave de consultation\
        \ soit homologu\xE9e au minimum au niveau Diffusion Restreinte.\n\u2022 Option\
        \ B uniquement :  Le centre d'\xE9valuation doit v\xE9rifier que la convention\
        \ de service type pr\xE9voit que l'enclave de consultation soit homologu\xE9\
        e au minimum au niveau  au Niveau Standard du GHI. \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la convention de service type pr\xE9voit que\
        \ les responsabilit\xE9s quant \xE0 l'homologation de l'enclave de consultation\
        \ y soit formalis\xE9es\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le prestataire poss\xE8de l'attestation et le dossier d'homologation\
        \ au minimum au niveau Diffusion Restreinte de l'enclave de consultation (qu'elle\
        \ soit de sa responsabilit\xE9 ou de celle du commanditaire).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que l'homologation couvre tout le p\xE9\
        rim\xE8tre de l'enclave de consultation.\n\u2022 Option A uniquement  :  Le\
        \ centre d'\xE9valuation doit s'assurer que l'homologation au niveau Diffusion\
        \ Restreinte du syst\xE8me d'information a \xE9t\xE9 prononc\xE9e sur la base\
        \ de l'appr\xE9ciation des risques du syst\xE8me d'information.\n\u2022 Le\
        \ centre d'\xE9valuation doit s'assurer que l'attestation d'homologation indique\
        \ la compr\xE9hension et l'acceptation des risques r\xE9siduels par l'autorit\xE9\
        \ d'homologation, ainsi que son engagement dans un processus d'am\xE9lioration\
        \ continue du niveau de s\xE9curit\xE9 du syst\xE8me d'information.\n\u2022\
        \ Option A uniquement  :   Le centre d'\xE9valuation doit s'assurer que l'attestation\
        \ d'homologation au niveau Diffusion Restreinte du syst\xE8me d'information\
        \ pr\xE9cise la date de fin de validit\xE9 et qu'elle est encore valide au\
        \ moment de l'\xE9valuation.\n\u2022 Option B uniquement  :  Le centre d'\xE9\
        valuation doit s'assurer que l'homologation au Niveau Standard du GHI du syst\xE8\
        me d'information a \xE9t\xE9 prononc\xE9e sur la base de l'appr\xE9ciation\
        \ des risques du syst\xE8me d'information.\n\u2022 Option B uniquement  :\
        \   Le centre d'\xE9valuation doit s'assurer que l'attestation d'homologation\
        \ au Niveau Standard du GHI du syst\xE8me d'information pr\xE9cise la date\
        \ de fin de validit\xE9 et qu'elle est encore valide au moment de l'\xE9valuation.\n\
        \n\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le dossier d'homologation\
        \ comporte la documentation n\xE9cessaire et suffisante \xE0 la d\xE9cision\
        \ d'homologation, en particulier les preuves fournies par le commanditaire\
        \ et/ou le prestataire de la mise en \u0153uvre des mesures sous sa responsabilit\xE9\
        .\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.d
      name: Audit d'homologation par un PASSI
      description: "Amendement n\xB04\nOption A (d) uniquement :\nIl est recommand\xE9\
        \ que le prestataire fasse appel \xE0 une prestation qualifi\xE9e d\u2019\
        audit de la s\xE9curit\xE9 des syst\xE8mes d\u2019information par un PASSI\
        \ pour la r\xE9alisation de l\u2019audit dans le cadre de l\u2019homologation.\n\
        \nAmendement n\xB04\nOption B (d) uniquement :  \nIl est recommand\xE9 que\
        \ l'entit\xE9 en charge de l'homologation fasse appel \xE0 une prestation\
        \ qualifi\xE9e d\u2019audit de la s\xE9curit\xE9 des syst\xE8mes d\u2019information\
        \ par un PASSI pour la r\xE9alisation de l\u2019audit dans le cadre de l\u2019\
        homologation."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.e
      name: "H\xE9bergement des postes de travail utilis\xE9s pour la consultation"
      description: "Amendement n\xB04\nOption A uniquement :\nLes postes de travail\
        \ utilis\xE9s par le commanditaire pour acc\xE9der \xE0 la zone d\u2019\xE9\
        change commanditaire doivent \xEAtre d\xE9di\xE9s \xE0 cette fin et h\xE9\
        berg\xE9s dans l\u2019enclave de consultation (en cas d\u2019acc\xE8s nomade\
        \ \xE0 la zone d\u2019\xE9change commanditaire, les exigences du chapitre\
        \ IV.3.17 doivent \xEAtre respect\xE9es)."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Guides d'administration\n\
        \      \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la convention de service type sp\xE9cifie que les postes de travail\
        \ utilis\xE9s par le commanditaire pour la consultation sont d\xE9di\xE9s\
        \ \xE0 cette fin et h\xE9berg\xE9s dans l'enclave de consultation ou utilis\xE9\
        s en situation de nomadisme. \n\u2022 Si le prestataire est en charge de l'administration\
        \ des postes de consultation alors le centre d'\xE9valuation doit v\xE9rifier\
        \ que les guides d'administration de ces postes pr\xE9voient que des m\xE9\
        canismes de restriction soient mis en place afin de ne donner acc\xE8s qu'aux\
        \ ressources de l'enclave de consultation et de la zone d'\xE9change commanditaire\
        \ via un tunnel IPsec non d\xE9brayable.\n\u2022 Si le prestataire n'est pas\
        \ en charge de l'administration des postes de consultation alors le centre\
        \ d'\xE9valuation doit v\xE9rifier que la convention de service type indique\
        \ les mesures \xE0 mettre en place par le commanditaire.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les guides d'administration de des\
        \ postes d'administration pr\xE9voient que les exigences du chapitre IV.3.17\
        \ sont respect\xE9es.\n\n\nPr\xE9cision(s):\nSi les postes de travail sont\
        \ fournis par le prestataire alors ces derniers ne doivent avoir acc\xE8s\
        \ qu'aux ressources de consultation. Un durcissement est mis en place afin\
        \ de s'assurer du respect de cette exigence."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.f
      name: Droits d'administration sur les postes de consultation
      description: "Amendement n\xB04\nOption A uniquement :\nLes utilisateurs des\
        \ postes de travail de l\u2019enclave de consultation ne doivent pas disposer\
        \ des droits d'administration sur leur poste."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de gestion des droits et des habilitations\n\u2022 Guides d'administration\n\
        \nV\xE9rification(s):\n\u2022 Si le prestataire est en charge de l'administration\
        \ des dispositifs h\xE9berg\xE9s dans l'enclave de consultation alors le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de gestion des droits\
        \ et des habilitations pr\xE9voit que les utilisateurs des postes de travail\
        \ de l'enclave de consultation ne disposent pas des droits d'administration\
        \ sur leur poste\n\u2022 Dans le cas contraire, la convention de service type\
        \ doit pr\xE9voir de d\xE9finir les modalit\xE9s de gestion des droits des\
        \ comptes utilisateurs utilis\xE9s sur les dispositifs h\xE9berg\xE9s dans\
        \ l'enclave de consultation (IV.3.14.b)).\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les guides d'administration des postes pr\xE9voient\
        \ que les droits d'administration ne sont pas attribu\xE9s aux utilisateurs\
        \ des postes de consultation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.g
      name: "Filtrage des flux \xE9mis et re\xE7us de l'enclave de consultation"
      description: "Amendement n\xB04\nOption A uniquement :\nLe cloisonnement de\
        \ l\u2019enclave de consultation doit \xEAtre r\xE9alis\xE9 par :\n- un dispositif\
        \ de filtrage entre cette enclave et le syst\xE8me d\u2019information du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 du prestataire ;\n- des\
        \ dispositifs de filtrage et de rupture de flux entre cette enclave et le\
        \ syst\xE8me d\u2019information interne du commanditaire, conform\xE9ment\
        \ aux exigences de cloisonnement des r\xE9seaux de l\u2019Annexe 2 de l\u2019\
        instruction interminist\xE9rielle relative \xE0 la protection des syst\xE8\
        mes d'information sensibles [II_901]."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la convention de service type\
        \ sp\xE9cifie que le cloisonnement de l'enclave de consultation doit \xEA\
        tre r\xE9alis\xE9 par un dispositif de filtrage entre cette enclave et le\
        \ syst\xE8me d\u2019information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 du prestataire.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la convention de service type sp\xE9cifie si une communication\
        \ est autoris\xE9e entre l'enclave de consultation et le syst\xE8me d'information\
        \ du commanditaire et que le cloisonnement de l'enclave de consultation doit\
        \ \xE9galement \xEAtre r\xE9alis\xE9 par des dispositifs de filtrage et de\
        \ rupture de flux entre cette enclave et le syst\xE8me d\u2019information\
        \ interne du commanditaire, conform\xE9ment aux exigences de cloisonnement\
        \ des r\xE9seaux de l\u2019Annexe 2 de l\u2019instruction interminist\xE9\
        rielle relative \xE0 la protection des syst\xE8mes d'information sensibles\
        \ [II_901].\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit, lors de la d\xE9finition\
        \ de l'architecture de l'enclave de consultation, que des dispositifs de filtrage\
        \ soient positionn\xE9s entre l'enclave de collecte et le SI du commanditaire\
        \ d'une part et le SI du prestataire d'autre part, conform\xE9ment \xE0 l'exigence\
        \ IV.3.14.e).\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.h
      name: Filtrage des flux entre l'enclave de consultation et le SI interne du
        commanditaire
      description: "Amendement n\xB04\nOption A (h) uniquement :\nLe dispositif de\
        \ filtrage entre cette enclave de consultation et le syst\xE8me d\u2019information\
        \ interne du commanditaire doit interdire tous les flux except\xE9s ceux initi\xE9\
        s depuis l\u2019enclave de consultation vers le syst\xE8me d\u2019information\
        \ interne du commanditaire.\n\nAmendement n\xB04\nOption B (e) uniquement\
        \ :\nLe dispositif intercal\xE9 entre une enclave de consultation et le SI\
        \ interne du commanditaire doit assurer le caract\xE8re unidirectionnel des\
        \ flux. Seuls sont accept\xE9s les flux init\xE9s depuis l'enclave de consultation,\
        \ vers le syst\xE8me."
      annotation: "Preuve(s):\n\u2022 Matrice des flux\n\u2022 Politique de filtrage\n\
        \u2022 Guides d'administration\n\nV\xE9rification(s) Option A (h):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans la matrice des flux qu'il\
        \ n'existe aucun flux autoris\xE9 du SI interne du commanditaire vers l'enclave\
        \ de consultation.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la politique de filtrage d\xE9finit explicitement les services et les flux\
        \ autoris\xE9s en direction du SI interne du commanditaire.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les guides d'administration des dispositifs\
        \ de filtrage et de rupture de flux pr\xE9voient les modalit\xE9s d'impl\xE9\
        mentation de r\xE8gles unidirectionnelles dans les dispositifs de filtrage\
        \ entre l'enclave de consultation et le SI interne du commanditaire.\n\nV\xE9\
        rification(s) Option B (e):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le dispositif intercal\xE9 entre une enclave de consultation et le SI\
        \ interne du commanditaire assure le caract\xE8re unidirectionnel des flux.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que seuls les flux init\xE9\
        s depuis l'enclave de consultation vers le syst\xE8me sont accept\xE9s\n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.14.i
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.14
      ref_id: IV.3.14.i
      name: Recommandation de mise en place d'une diode
      description: "Amendement n\xB04\nOption A uniquement :\nIl est recommand\xE9\
        \ de mettre en place \xE0 l\u2019interconnexion entre l\u2019enclave de consultation\
        \ et le syst\xE8me d\u2019information interne du commanditaire une diode agr\xE9\
        \xE9e par l\u2019ANSSI, utilis\xE9e conform\xE9ment aux conditions de son\
        \ agr\xE9ment, pour  garantir le caract\xE8re unidirectionnel des flux depuis\
        \ l\u2019enclave de consultation vers le syst\xE8me d\u2019information interne\
        \ du commanditaire."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.15
      name: "Enclave de collecte au sein du syst\xE8me d'information du commanditaire"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.a
      name: Mise en place d'une enclave de collecte
      description: "L\u2019int\xE9gralit\xE9 des dispositifs du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 interconnect\xE9s au p\xE9rim\xE8tre supervis\xE9\
        \ (en particulier les collecteurs) doit \xEAtre positionn\xE9e au sein d\u2019\
        une ou plusieurs enclaves de collecte au sein du syst\xE8me d\u2019information\
        \ interne du commanditaire."
      annotation: "Preuves :\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rifications :\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la convention de service type\
        \ pr\xE9voit que l'ensemble des dispositifs interconnect\xE9s avec le p\xE9\
        rim\xE8tre supervis\xE9 soit positionn\xE9 au sein d'une ou plusieurs enclaves\
        \ de collecte \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit que les dispositifs du\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9 d\xE9ploy\xE9s chez\
        \ le commanditaire seront positionn\xE9s au sein d\u2019une ou plusieurs enclaves\
        \ au sein du syst\xE8me d\u2019information interne du commanditaire.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit que soit d\xE9fini l'architecture compl\xE8\
        te de l'enclave de collecte lors du d\xE9marrage d'une prestation PDIS. \n\
        \nPr\xE9cision :\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      name: "Responsabilit\xE9 concernant les dispositifs h\xE9berg\xE9s dans l'enclave\
        \ de collecte"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15:1
      ref_id: IV.3.15.b
      description: "b) Le prestataire doit d\xE9finir avec le commanditaire dans la\
        \ convention de service les responsabilit\xE9s concernant :\n- la propri\xE9\
        t\xE9 des dispositifs h\xE9berg\xE9s dans l\u2019enclave de collecte ;\n-\
        \ le respect des mesures de s\xE9curit\xE9 d\xE9finies dans les exigences\
        \ IV.3.15.d) et IV.3.15.s)."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9voit les responsabilit\xE9s concernant :\n- la propri\xE9t\xE9\
        \ des dispositifs h\xE9berg\xE9s dans l'enclave de collecte ;\n- le respect\
        \ des mesures de s\xE9curit\xE9 d\xE9finies dans les exigences IV.3.15.d)\
        \ \xE0 IV.3.15.s).\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la convention de service type pr\xE9voit les responsabilit\xE9s en mati\xE8\
        re d'administration et d'exploitation des dispositifs h\xE9berg\xE9s dans\
        \ l'enclave de collecte :\n- le commanditaire doit avoir la responsabilit\xE9\
        \ de l\u2019administration du dispositif de filtrage entre cette enclave de\
        \ collecte et le syst\xE8me d\u2019information interne du commanditaire (voir\
        \ IV.3.15.l)) ;\n- le prestataire doit avoir la responsabilit\xE9 de l\u2019\
        administration et de l\u2019exploitation de l\u2019ensemble des autres dispositifs\
        \ h\xE9berg\xE9s dans l\u2019enclave de collecte, dont le dispositif de filtrage\
        \ entre cette enclave de collecte et l\u2019\xE9quipement utilis\xE9 pour\
        \ le chiffrement et l\u2019authentification IPsec des flux \xE9chang\xE9s\
        \ avec le syst\xE8me d\u2019information du prestataire.\n\nPr\xE9cision(s):\
        \ \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15:1
      ref_id: IV.3.15.c
      description: "c) Le prestataire doit formaliser dans la convention de service\
        \ les responsabilit\xE9s suivantes en mati\xE8re d\u2019administration et\
        \ d\u2019exploitation des dispositifs h\xE9berg\xE9s dans l\u2019enclave de\
        \ collecte :\n- le commanditaire doit avoir la responsabilit\xE9 de l\u2019\
        administration du dispositif de filtrage entre cette enclave de collecte et\
        \ le syst\xE8me d\u2019information interne du commanditaire (voir IV.3.15.l))\
        \ ;\n- le prestataire doit avoir la responsabilit\xE9 de l\u2019administration\
        \ et de l\u2019exploitation de l\u2019ensemble des autres dispositifs h\xE9\
        berg\xE9s dans l\u2019enclave de collecte, dont le dispositif de filtrage\
        \ entre cette enclave de collecte et l\u2019\xE9quipement utilis\xE9 pour\
        \ le chiffrement et l\u2019authentification IPsec des flux \xE9chang\xE9s\
        \ avec le syst\xE8me d\u2019information du prestataire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9voit les responsabilit\xE9s concernant :\n- la propri\xE9t\xE9\
        \ des dispositifs h\xE9berg\xE9s dans l'enclave de collecte ;\n- le respect\
        \ des mesures de s\xE9curit\xE9 d\xE9finies dans les exigences IV.3.15.d)\
        \ \xE0 IV.3.15.s).\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la convention de service type pr\xE9voit les responsabilit\xE9s en mati\xE8\
        re d'administration et d'exploitation des dispositifs h\xE9berg\xE9s dans\
        \ l'enclave de collecte :\n- le commanditaire doit avoir la responsabilit\xE9\
        \ de l\u2019administration du dispositif de filtrage entre cette enclave de\
        \ collecte et le syst\xE8me d\u2019information interne du commanditaire (voir\
        \ IV.3.15.l)) ;\n- le prestataire doit avoir la responsabilit\xE9 de l\u2019\
        administration et de l\u2019exploitation de l\u2019ensemble des autres dispositifs\
        \ h\xE9berg\xE9s dans l\u2019enclave de collecte, dont le dispositif de filtrage\
        \ entre cette enclave de collecte et l\u2019\xE9quipement utilis\xE9 pour\
        \ le chiffrement et l\u2019authentification IPsec des flux \xE9chang\xE9s\
        \ avec le syst\xE8me d\u2019information du prestataire.\n\nPr\xE9cision(s):\
        \ \nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.d
      name: "H\xE9bergement des dispositifs dans l'enclave de collecte"
      description: "L\u2019enclave de collecte ne doit h\xE9berger que les dispositifs\
        \ permettant d\u2019assurer le service de d\xE9tection des incidents de s\xE9\
        curit\xE9, \xE0 savoir :\n- les dispositifs impliqu\xE9s dans la supervision\
        \  (sondes, Tap, agr\xE9gateurs) ;\n- les dispositifs de collecte des \xE9\
        v\xE9nements (collecteurs locaux) ;\n- le d\xE9p\xF4t relais permettant le\
        \ transfert d\u2019informations contextuelles du commanditaire ;\n- les dispositifs\
        \ de filtrage assurant le cloisonnement de cette enclave (voir exigence IV.3.15.l))\
        \ ;\n- les dispositifs permettant de prot\xE9ger la confidentialit\xE9 et\
        \ l\u2019authenticit\xE9 des informations \xE9chang\xE9es entre cette enclave\
        \ et le syst\xE8me d\u2019information du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que la convention de service type\
        \ pr\xE9cise que l'enclave de collecte ne doit h\xE9berger que les dispositifs\
        \ suivants :\n- les dispositifs impliqu\xE9s dans la supervision (sondes,\
        \ Tap, agr\xE9gateurs) ;\n- les dispositifs de collecte des \xE9v\xE9nements\
        \ (collecteurs locaux) ;\n- le d\xE9p\xF4t relais permettant le transfert\
        \ d\u2019informations contextuelles du commanditaire ;\n- les dispositifs\
        \ de filtrage assurant le cloisonnement de cette enclave (voir exigence IV.3.15.l))\
        \ ;\n- les dispositifs permettant de prot\xE9ger la confidentialit\xE9 et\
        \ l\u2019authenticit\xE9 des informations \xE9chang\xE9es entre cette enclave\
        \ et le syst\xE8me d\u2019information du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ processus de d\xE9livrance d'une prestation PDIS pr\xE9voit que seuls les\
        \ dispositifs list\xE9s ci-dessus puissent \xEAtre h\xE9berg\xE9s dans l'enclave\
        \ de collecte et qu'une liste doit en \xEAtre faite.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.e
      name: Homologation de l'enclave de collecte
      description: "L\u2019enclave de collecte doit \xEAtre homologu\xE9e au minimum\
        \ au Niveau Standard du guide d\u2019hygi\xE8ne informatique de l\u2019ANSSI\
        \ [HYGIENE]. La d\xE9marche d\u2019homologation de cette enclave doit inclure\
        \ une prestation qualifi\xE9e d\u2019audit de la s\xE9curit\xE9 des syst\xE8\
        mes d\u2019information par un PASSI.\n\nRemarque : l\u2019entit\xE9 (prestataire\
        \ ou commanditaire) en charge de l\u2019homologation doit demander \xE0 l\u2019\
        autre entit\xE9 les \xE9l\xE9ments de preuve de la mise en \u0153uvre des\
        \ mesures dont cette derni\xE8re \xE0 la responsabilit\xE9, et les porter\
        \ au dossier d\u2019homologation."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Attestation\
        \ et dossier d'homologation GHI\n\u2022 Appr\xE9ciation des risques\n\u2022\
        \ Plan de traitement des risques\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la convention de service type pr\xE9\
        voit que l'enclave de collecte soit homologu\xE9e au minimum au Niveau Standard\
        \ du guide d\u2019hygi\xE8ne informatique de l\u2019ANSSI.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la convention de service type pr\xE9\
        voit que les responsabilit\xE9s quant \xE0 l'homologation de l'enclave de\
        \ collecte soient formalis\xE9es.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le prestataire poss\xE8de l'attestation et le dossier d'homologation\
        \ au minimum au Niveau Standard du guide d\u2019hygi\xE8ne informatique de\
        \ l\u2019ANSSI de l'enclave de collecte (qu'elle soit de sa responsabilit\xE9\
        \ ou de celle du commanditaire).\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que l'homologation couvre tout le p\xE9rim\xE8tre de l'enclave de collecte.\n\
        \u2022 Le centre d'\xE9valuation doit s'assurer que l'homologation au Niveau\
        \ Standard du guide d\u2019hygi\xE8ne informatique de l\u2019ANSSI du syst\xE8\
        me d'information a \xE9t\xE9 prononc\xE9e sur la base de l'appr\xE9ciation\
        \ des risques associ\xE9e.\n\u2022 Le centre d'\xE9valuation doit s'assurer\
        \ que l'attestation d'homologation indique la compr\xE9hension et l'acceptation\
        \ des risques r\xE9siduels par l'autorit\xE9 d'homologation, ainsi que son\
        \ engagement dans un processus d'am\xE9lioration continue du niveau de s\xE9\
        curit\xE9 du syst\xE8me d'information.\n\u2022 Le centre d'\xE9valuation doit\
        \ s'assurer que l'attestation d'homologation au Niveau Standard du guide d\u2019\
        hygi\xE8ne informatique de l\u2019ANSSI du syst\xE8me d'information pr\xE9\
        cise la date de fin de validit\xE9 et qu'elle est encore valide au moment\
        \ de l'\xE9valuation.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le dossier d'homologation comporte la documentation n\xE9cessaire et suffisante\
        \ \xE0 la d\xE9cision d'homologation, en particulier les preuves fournies\
        \ par le commanditaire et/ou le prestataire de la mise en \u0153uvre des mesures\
        \ sous sa responsabilit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.g
      name: "S\xE9curit\xE9 de l'information dans l'enclave de collecte"
      description: "Il est recommand\xE9 d\u2019appliquer les exigences du chapitre\
        \ IV.3.2 concernant la protection de l\u2019information au sein du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 du prestataire \xE0 cette\
        \ enclave."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.h
      name: "R\xE9seau d\xE9di\xE9 aux dispositifs de collecte"
      description: "Les dispositifs impliqu\xE9s dans la cha\xEEne de supervision\
        \ (sondes, Tap et agr\xE9gateurs) doivent \xEAtre reli\xE9s par un lien r\xE9\
        seau physiquement d\xE9di\xE9."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Documents d'architecture\
        \ du service de d\xE9tection\n       \nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que la convention de service type pr\xE9\
        voit l'engagement du prestataire ou du commanditaire pour la mise en place\
        \ d'un lien r\xE9seau physiquement d\xE9di\xE9 pour les dispositifs de la\
        \ cha\xEEne de supervision.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit, lors\
        \ de la d\xE9finition de l'architecture de l'enclave de collecte, que les\
        \ dispositifs impliqu\xE9s dans la cha\xEEne de supervision (sondes, Tap et\
        \ agr\xE9gateurs) soient reli\xE9s par un lien r\xE9seau physiquement d\xE9\
        di\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents\
        \ d'architecture du service de d\xE9tection mettent en \xE9vidence les liens\
        \ r\xE9seau physiquement d\xE9di\xE9s pour tous les dispositifs des cha\xEE\
        nes de supervision.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.i
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.i
      name: "Administration des dispositifs h\xE9berg\xE9s dans l'enclave de collecte"
      description: "Le prestataire doit administrer et op\xE9rer les dispositifs h\xE9\
        berg\xE9s dans l\u2019enclave de collecte \xE0 partir respectivement des zones\
        \ d'administration et d'exploitation de son syst\xE8me d\u2019information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 (voir exigence\
        \ IV.3.8.b))."
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d'Information\n\u2022 Guides d'exploitation et d'administration\n\u2022\
        \ Matrice de flux\n\u2022 Politique de filtrage\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie que l'administration\
        \ et l'exploitation des dispositifs h\xE9berg\xE9s dans l'enclave de collecte\
        \ doit se faire respectivement de la zone d'administration et de la zone d'exploitation\
        \ du syst\xE8me d'information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les\
        \ guides d'administration et d'exploitation pr\xE9voient que les dispositifs\
        \ h\xE9berg\xE9s dans l'enclave de collecte ne peuvent \xEAtre administr\xE9\
        s et op\xE9r\xE9s qu'\xE0 partir des zones d'administration et d'exploitation.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la matrice de flux\
        \ que tous les flux d'administration et d'exploitation de l'enclave de collecte\
        \ ne proviennent respectivement que des zones d'administration et d'exploitation.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la politique de\
        \ filtrage identifie les services et les flux d'administration et d'exploitation\
        \ et pr\xE9sente les r\xE8gles ne permettant d'administrer et d'op\xE9rer\
        \ les dispositifs de l'enclave de collecte que depuis les zones d'administration\
        \ et d'exploitation.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.j
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.j
      name: Droits sur le dispositif de filtrage entre l'enclave de collecte et le
        SI interne du commanditaire
      description: "Le prestataire ne doit en aucun cas disposer de droits sur le\
        \ dispositif de filtrage entre l\u2019enclave de collecte et le syst\xE8me\
        \ d\u2019information interne du commanditaire (voir exigence IV.3.15.l))."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la convention de service\
        \ type que le prestataire ne doit pas disposer de droits sur le dispositif\
        \ de filtrage entre l'enclave de collecte et le syst\xE8me d'information interne\
        \ du commanditaire.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.k
      name: "Mise en place d'un syst\xE8me de journalisation pour l'enclave de collecte"
      description: "Le prestataire doit appliquer les recommandations d\xE9finies\
        \ dans la note technique de l\u2019ANSSI consacr\xE9e \xE0 la mise en \u0153\
        uvre d\u2019un syst\xE8me de journalisation [NT_JOURNAL]."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Processus de gestion de la capacit\xE9 des\
        \ ressources IT\n\u2022 Processus de gestion des droits et habilitations\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9\
        \ pr\xE9voit la mise en place au sein de l'enclave de collecte d'un syst\xE8\
        me de journalisation respectant les recommandations d\xE9finies dans la note\
        \ technique de l'ANSSI [NT_JOURNAL].\n\u2022 Ce processus doit d\xE9tailler\
        \ les points importants d'un syst\xE8me de journalisation, \xE0 savoir :\n\
        - l'utilisation des journaux fournis par les dispositifs (R1) ;\n- l'horodatage\
        \ des \xE9v\xE9nements (R2) ;\n- la synchronisation de l'horodatage entre\
        \ tous les journaux collect\xE9s (R3) ;\n- le traitement des journaux en aval\
        \ (R10) ;\n- le choix du protocole de transport (R11, R12) ;\n- la dur\xE9\
        e de conservation des journaux (R19).\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que le processus de gestion de la capacit\xE9 pr\xE9voit :\n\
        - une gestion et un suivi du stockage sur les serveurs d\xE9di\xE9s \xE0 cet\
        \ effet (R4, R7, R24) ;\n- des modalit\xE9s de transfert et de centralisation\
        \ des journaux (transfert temps r\xE9el si possible) ;\n- un dimensionnement\
        \ de la bande passante pour le transfert des journaux (R13).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de gestion des droits\
        \ et des habilitations pr\xE9voit la mise en place de mesures permettant de\
        \ restreindre l'acc\xE8s au journaux (chiffrement, authentification) :\n-\
        \ limitation des comptes ayant des droits en \xE9criture (R20) ;\n- processus\
        \ de collecte disposant de peu de privil\xE8ges (R21).\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      name: Cloisonnement de l'enclave de collecte
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.l
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15:2
      ref_id: IV.3.15.l
      description: "l) Le cloisonnement de l\u2019enclave de collecte doit \xEAtre\
        \ r\xE9alis\xE9 par :\n- un dispositif de filtrage entre cette enclave et\
        \ le syst\xE8me d\u2019information interne du commanditaire ;\n- un dispositif\
        \ de filtrage entre cette enclave et le syst\xE8me d\u2019information du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 du prestataire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Matrice de flux\n\u2022 Politique\
        \ de filtrage\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la convention de service type sp\xE9cifie que le cloisonnement\
        \ de l'enclave de collecte doit \xEAtre r\xE9alis\xE9 par :\n- un dispositif\
        \ de filtrage entre cette enclave et le syst\xE8me d\u2019information interne\
        \ du commanditaire ;\n- un dispositif de filtrage entre cette enclave et le\
        \ syst\xE8me d\u2019information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 du prestataire. \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit,\
        \ lors de la d\xE9finition de l'architecture de l'enclave de collecte, que\
        \ des dispositifs de filtrage soient positionn\xE9s entre l'enclave de collecte\
        \ et le SI du commanditaire d'une part et le SI du prestataire d'autre part.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la matrice de flux et\
        \ la politique de filtrage sp\xE9cifient que les seuls flux autoris\xE9s entre\
        \ le SI du commanditaire et la zone de collecte sont :\n- ceux permettant\
        \ aux sources de collecte h\xE9berg\xE9es sur le p\xE9rim\xE8tre supervis\xE9\
        \ de transmettre les \xE9v\xE9nements \xE0 cette zone \xE0 destination d\u2019\
        un collecteur,\n- ceux initi\xE9s depuis les r\xE9f\xE9rentiels centralis\xE9\
        s du commanditaire afin de d\xE9poser automatiquement des fichiers d\u2019\
        informations contextuelles propres \xE0 son syst\xE8me d\u2019information\
        \ sur le d\xE9p\xF4t relais ;\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la matrice de flux et la politique de filtrage sp\xE9cifient que\
        \ les seuls flux autoris\xE9s entre le SI du PDIS et l'enclave de collecte\
        \ sont :\n- ceux initi\xE9s depuis cette enclave de collecte vers le syst\xE8\
        me d\u2019information du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ du prestataire et permettant uniquement de transmettre les \xE9v\xE9nements\
        \ et fichiers d\u2019informations contextuelles transmis par le commanditaire,\
        \ de cette enclave vers la zone de collecte. Le prestataire doit limiter au\
        \ maximum le nombre de flux permettant la remont\xE9e des \xE9v\xE9nements\
        \ et fichiers de cette enclave vers le syst\xE8me d\u2019information du service\
        \ de d\xE9tection ;\n- ceux permettant au prestataire d\u2019administrer depuis\
        \ la zone d\u2019administration (voir exigence IV.3.8.c)) les dispositifs\
        \ h\xE9berg\xE9s dans cette enclave de collecte ; \n- ceux permettant au prestataire\
        \ d\u2019op\xE9rer depuis la zone d\u2019exploitation (voir exigence IV.3.8.c))\
        \ les dispositifs h\xE9berg\xE9s dans cette enclave de collecte  ;\n- ceux\
        \ permettant la mise \xE0 jour des dispositifs de l\u2019enclave de collecte\
        \ \xE0 partir de la zone de mise \xE0 jour (voir exigence IV.3.8.c)). \n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.m
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15:2
      ref_id: IV.3.15.m
      description: "m) Le dispositif de filtrage entre cette enclave de collecte et\
        \ le syst\xE8me d\u2019information interne du commanditaire doit interdire\
        \ tous les flux except\xE9s ceux initi\xE9s depuis le p\xE9rim\xE8tre supervis\xE9\
        \ vers cette zone et permettant :\n- aux sources de collecte h\xE9berg\xE9\
        es sur le p\xE9rim\xE8tre supervis\xE9 de transmettre les \xE9v\xE9nements\
        \ \xE0 cette zone \xE0 destination d\u2019un collecteur, excluant des actions\
        \ de commande vers des \xE9l\xE9ments logiciels du syst\xE8me d\u2019information\
        \ supervis\xE9 ;\n- le cas \xE9ch\xE9ant, aux r\xE9f\xE9rentiels centralis\xE9\
        s du commanditaire (exemple : base de donn\xE9es de gestion de configuration)\
        \ de d\xE9poser automatiquement des fichiers d\u2019informations contextuelles\
        \ propres \xE0 son syst\xE8me d\u2019information sur le d\xE9p\xF4t relais."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Matrice de flux\n\u2022 Politique\
        \ de filtrage\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la convention de service type sp\xE9cifie que le cloisonnement\
        \ de l'enclave de collecte doit \xEAtre r\xE9alis\xE9 par :\n- un dispositif\
        \ de filtrage entre cette enclave et le syst\xE8me d\u2019information interne\
        \ du commanditaire ;\n- un dispositif de filtrage entre cette enclave et le\
        \ syst\xE8me d\u2019information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 du prestataire. \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit,\
        \ lors de la d\xE9finition de l'architecture de l'enclave de collecte, que\
        \ des dispositifs de filtrage soient positionn\xE9s entre l'enclave de collecte\
        \ et le SI du commanditaire d'une part et le SI du prestataire d'autre part.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la matrice de flux et\
        \ la politique de filtrage sp\xE9cifient que les seuls flux autoris\xE9s entre\
        \ le SI du commanditaire et la zone de collecte sont :\n- ceux permettant\
        \ aux sources de collecte h\xE9berg\xE9es sur le p\xE9rim\xE8tre supervis\xE9\
        \ de transmettre les \xE9v\xE9nements \xE0 cette zone \xE0 destination d\u2019\
        un collecteur,\n- ceux initi\xE9s depuis les r\xE9f\xE9rentiels centralis\xE9\
        s du commanditaire afin de d\xE9poser automatiquement des fichiers d\u2019\
        informations contextuelles propres \xE0 son syst\xE8me d\u2019information\
        \ sur le d\xE9p\xF4t relais ;\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la matrice de flux et la politique de filtrage sp\xE9cifient que\
        \ les seuls flux autoris\xE9s entre le SI du PDIS et l'enclave de collecte\
        \ sont :\n- ceux initi\xE9s depuis cette enclave de collecte vers le syst\xE8\
        me d\u2019information du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ du prestataire et permettant uniquement de transmettre les \xE9v\xE9nements\
        \ et fichiers d\u2019informations contextuelles transmis par le commanditaire,\
        \ de cette enclave vers la zone de collecte. Le prestataire doit limiter au\
        \ maximum le nombre de flux permettant la remont\xE9e des \xE9v\xE9nements\
        \ et fichiers de cette enclave vers le syst\xE8me d\u2019information du service\
        \ de d\xE9tection ;\n- ceux permettant au prestataire d\u2019administrer depuis\
        \ la zone d\u2019administration (voir exigence IV.3.8.c)) les dispositifs\
        \ h\xE9berg\xE9s dans cette enclave de collecte ; \n- ceux permettant au prestataire\
        \ d\u2019op\xE9rer depuis la zone d\u2019exploitation (voir exigence IV.3.8.c))\
        \ les dispositifs h\xE9berg\xE9s dans cette enclave de collecte  ;\n- ceux\
        \ permettant la mise \xE0 jour des dispositifs de l\u2019enclave de collecte\
        \ \xE0 partir de la zone de mise \xE0 jour (voir exigence IV.3.8.c)). \n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.q
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15:2
      ref_id: IV.3.15.q
      description: "q) Le dispositif de filtrage entre l\u2019enclave de collecte\
        \ et le syst\xE8me d\u2019information du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 du prestataire doit interdire tous les flux except\xE9\
        s :\n- ceux initi\xE9s depuis cette enclave de collecte vers le syst\xE8me\
        \ d\u2019information du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ du prestataire et permettant uniquement de transmettre les \xE9v\xE9nements\
        \ et fichiers d\u2019informations contextuelles transmis par le commanditaire,\
        \ de cette enclave vers la zone de collecte. Le prestataire doit limiter au\
        \ maximum le nombre de flux permettant la remont\xE9e des \xE9v\xE9nements\
        \ et fichiers de cette enclave vers le syst\xE8me d\u2019information du service\
        \ de d\xE9tection ;\n- ceux permettant au prestataire d\u2019administrer depuis\
        \ la zone d\u2019administration (voir exigence IV.3.8.c)) les dispositifs\
        \ h\xE9berg\xE9s dans cette enclave de collecte ; \n- ceux permettant au prestataire\
        \ d\u2019op\xE9rer depuis la zone d\u2019exploitation (voir exigence IV.3.8.c))\
        \ les dispositifs h\xE9berg\xE9s dans cette enclave de collecte  ;\n- ceux\
        \ permettant la mise \xE0 jour des dispositifs de l\u2019enclave de collecte\
        \ \xE0 partir de la zone de mise \xE0 jour (voir exigence IV.3.8.c))."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Matrice de flux\n\u2022 Politique\
        \ de filtrage\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la convention de service type sp\xE9cifie que le cloisonnement\
        \ de l'enclave de collecte doit \xEAtre r\xE9alis\xE9 par :\n- un dispositif\
        \ de filtrage entre cette enclave et le syst\xE8me d\u2019information interne\
        \ du commanditaire ;\n- un dispositif de filtrage entre cette enclave et le\
        \ syst\xE8me d\u2019information du service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9 du prestataire. \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit,\
        \ lors de la d\xE9finition de l'architecture de l'enclave de collecte, que\
        \ des dispositifs de filtrage soient positionn\xE9s entre l'enclave de collecte\
        \ et le SI du commanditaire d'une part et le SI du prestataire d'autre part.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la matrice de flux et\
        \ la politique de filtrage sp\xE9cifient que les seuls flux autoris\xE9s entre\
        \ le SI du commanditaire et la zone de collecte sont :\n- ceux permettant\
        \ aux sources de collecte h\xE9berg\xE9es sur le p\xE9rim\xE8tre supervis\xE9\
        \ de transmettre les \xE9v\xE9nements \xE0 cette zone \xE0 destination d\u2019\
        un collecteur,\n- ceux initi\xE9s depuis les r\xE9f\xE9rentiels centralis\xE9\
        s du commanditaire afin de d\xE9poser automatiquement des fichiers d\u2019\
        informations contextuelles propres \xE0 son syst\xE8me d\u2019information\
        \ sur le d\xE9p\xF4t relais ;\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que la matrice de flux et la politique de filtrage sp\xE9cifient que\
        \ les seuls flux autoris\xE9s entre le SI du PDIS et l'enclave de collecte\
        \ sont :\n- ceux initi\xE9s depuis cette enclave de collecte vers le syst\xE8\
        me d\u2019information du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ du prestataire et permettant uniquement de transmettre les \xE9v\xE9nements\
        \ et fichiers d\u2019informations contextuelles transmis par le commanditaire,\
        \ de cette enclave vers la zone de collecte. Le prestataire doit limiter au\
        \ maximum le nombre de flux permettant la remont\xE9e des \xE9v\xE9nements\
        \ et fichiers de cette enclave vers le syst\xE8me d\u2019information du service\
        \ de d\xE9tection ;\n- ceux permettant au prestataire d\u2019administrer depuis\
        \ la zone d\u2019administration (voir exigence IV.3.8.c)) les dispositifs\
        \ h\xE9berg\xE9s dans cette enclave de collecte ; \n- ceux permettant au prestataire\
        \ d\u2019op\xE9rer depuis la zone d\u2019exploitation (voir exigence IV.3.8.c))\
        \ les dispositifs h\xE9berg\xE9s dans cette enclave de collecte  ;\n- ceux\
        \ permettant la mise \xE0 jour des dispositifs de l\u2019enclave de collecte\
        \ \xE0 partir de la zone de mise \xE0 jour (voir exigence IV.3.8.c)). \n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.n
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.n
      name: "Mise en place d'une diode entre l'enclave de collecte et le syst\xE8\
        me d'information du commanditaire"
      description: "Il est recommand\xE9 de mettre en place \xE0 l\u2019interconnexion\
        \ entre l\u2019enclave de collecte et le syst\xE8me d\u2019information interne\
        \ du commanditaire une diode agr\xE9\xE9e par l\u2019ANSSI, utilis\xE9e conform\xE9\
        ment aux conditions de son agr\xE9ment, pour garantir le caract\xE8re unidirectionnel\
        \ des flux depuis le syst\xE8me d\u2019information interne du commanditaire\
        \ vers l\u2019enclave de collecte."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.o
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.o
      name: Configuration des collecteurs
      description: "Les collecteurs doivent \xEAtre configur\xE9s uniquement en \xE9\
        coute des sources de collecte. Aucun flux ne doit \xEAtre initi\xE9 par les\
        \ collecteurs vers les sources de collecte."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Guides d'exploitation et\
        \ d'administration\n\u2022 Matrice de flux\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type sp\xE9cifie qu'aucun flux ne doit \xEAtre initi\xE9 par les collecteurs\
        \ vers les sources de collecte.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit,\
        \ lors du d\xE9ploiement de l'enclave de collecte, que les collecteurs soient\
        \ configur\xE9s en \xE9coute des sources de collecte.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les guides d'administration pr\xE9voient que\
        \ les collecteurs soient configur\xE9s en \xE9coute \xE9vitant ainsi qu'un\
        \ flux ne soit initi\xE9 depuis l'enclave de collecte vers les sources de\
        \ collecte. \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.p
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.p
      name: "Mise en place d'un collecteur interm\xE9diaire sous la responsabilit\xE9\
        \ du commanditaire"
      description: "Il est recommand\xE9 de mettre en \u0153uvre un collecteur interm\xE9\
        diaire sous la responsabilit\xE9 du commanditaire lorsque les sources de collecte\
        \ ne peuvent pas transmettre directement les \xE9v\xE9nements aux collecteurs\
        \ dans la zone de collecte."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.r
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.r
      name: "Mise en place d'un d\xE9p\xF4t relais dans l'enclave pour la r\xE9ception\
        \ d'informations du commanditaire"
      description: "Un d\xE9p\xF4t relais peut \xEAtre mis en place dans l\u2019enclave\
        \ de collecte pour permettre la transmission automatique d\u2019informations\
        \ contextuelles depuis le syst\xE8me d\u2019information interne du commanditaire.\n\
        Le cas \xE9ch\xE9ant, le d\xE9p\xF4t relais doit \xEAtre configur\xE9 uniquement\
        \ en \xE9coute des r\xE9f\xE9rentiels centralis\xE9s du commanditaire. Aucun\
        \ flux ne doit \xEAtre initi\xE9 par le d\xE9p\xF4t relais vers le syst\xE8\
        me d\u2019information interne du commanditaire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Guides d'exploitation et\
        \ d'administration\n\u2022 Matrice de flux\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9voit de d\xE9finir les responsabilit\xE9s quant au d\xE9p\xF4\
        t relais.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention\
        \ de service type sp\xE9cifie qu'aucun flux ne doit \xEAtre initi\xE9 par\
        \ le d\xE9p\xF4t relais vers les sources de collecte.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit, lors du d\xE9ploiement de l'enclave de collecte, que le\
        \ d\xE9p\xF4t relais soit configur\xE9 en \xE9coute des r\xE9f\xE9rentiels\
        \ centralis\xE9s du commanditaire.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que les guides d'administration pr\xE9voient que le d\xE9p\xF4\
        t relais soit configur\xE9 en \xE9coute \xE9vitant ainsi qu'un flux ne soit\
        \ initi\xE9 depuis l'enclave de collecte vers le SI du commanditaire.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans la matrice de flux qu'aucun\
        \ flux n'est initi\xE9 depuis le d\xE9p\xF4t relais en direction du SI du\
        \ commanditaire.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.15.s
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.15
      ref_id: IV.3.15.s
      name: "Mise en place d'un syst\xE8me d'\xE9change au sein de l'enclave de collecte"
      description: "L\u2019exigence suivante s\u2019applique uniquement dans le cas\
        \ de la mise en place d\u2019un tel d\xE9p\xF4t relais.\n\nLe prestataire\
        \ doit mettre en place un syst\xE8me d\u2019\xE9change au sein de sa zone\
        \ de collecte, permettant le transfert de fichiers depuis le d\xE9p\xF4t relais\
        \ de l\u2019enclave de collecte vers le syst\xE8me d\u2019information du service\
        \ de d\xE9tection. Le prestataire doit respecter les exigences relatives \xE0\
        \ la zone d\u2019\xE9change d\xE9crites au chapitre \xAB Syst\xE8me d\u2019\
        \xE9change \xBB de la note technique [NT_ADMIN]. \nRemarque : les outils d\u2019\
        analyse de contenu malveillant peuvent \xEAtre mutualis\xE9s entre la zone\
        \ de collecte et la zone d\u2019\xE9change commanditaire.\nLe prestataire\
        \ doit pr\xE9voir, pour les outils d\u2019analyse de contenu malveillant,\
        \ un traitement sp\xE9cifique pour les fichiers chiffr\xE9s ou ne pouvant\
        \ \xEAtre analys\xE9s.\nLe prestataire doit mettre en place la journalisation\
        \ du nom et empreinte cryptographique de tous les fichiers transitant par\
        \ les outils d\u2019analyse de contenu malveillant."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 des syst\xE8mes\
        \ d'information\n\u2022 Documents d'architecture du service de d\xE9tection\n\
        \u2022 Processus de d\xE9livrance d'une prestation PDIS\n\u2022 Guides d'exploitation\
        \ et d'administration\n\u2022 Matrice de flux\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que la PSSI sp\xE9cifie que le\
        \ transfert de fichiers depuis le d\xE9p\xF4t relais de l'enclave de collecte\
        \ vers le SI du PDIS doit se faire via un syst\xE8me d'\xE9change d\xE9ploy\xE9\
        \ suivant les recommandations de la note technique [NT_ADMIN].\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ font \xE9tat du syst\xE8me d'\xE9change au sein de la zone de collecte et\
        \ que celui-ci comprend des dispositifs d'analyse de contenu malveillant.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de\
        \ d\xE9livrance d'une prestation PDIS pr\xE9voit, lors d\xE9finition de l'architecture\
        \ de l'enclave de collecte, qu'un syst\xE8me d'\xE9change soit mis en place\
        \ au sein de la zone de collecte en cas de mise en place d'un d\xE9p\xF4t\
        \ relais dans l'enclave de collecte.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que l'appr\xE9ciation des risques couvre \xE9galement le syst\xE8\
        me d'\xE9change de la zone de collecte.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que les guides d'administration sp\xE9cifient que les dispositifs\
        \ du syst\xE8me d'\xE9change de la zone de collecte :\n- ne doivent pas initier\
        \ de connexion vers le d\xE9p\xF4t relais,\n- doivent seulement autoriser\
        \ l'utilisation de protocoles de transfert de donn\xE9es.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans la matrice de flux qu'aucun flux n'est\
        \ initi\xE9 depuis le syst\xE8me d'\xE9change vers le d\xE9p\xF4t relais de\
        \ l'enclave de collecte.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.16
      name: "Zone Internet au sein du syst\xE8me d'information du prestataire"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      name: Mise en place d'une zone internet
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16:1
      ref_id: IV.3.16.a
      description: "a) Le prestataire doit mettre en place en dehors du syst\xE8me\
        \ d\u2019information du service de d\xE9tection une zone Internet contenant\
        \ des postes de travail d\xE9di\xE9s utilis\xE9s par les op\xE9rateurs et\
        \ administrateurs pour acc\xE9der \xE0 Internet ou \xE0 d\u2019autres syst\xE8\
        mes d\u2019information (syst\xE8me d\u2019information interne du prestataire\
        \ par exemple). La zone Internet doit \xEAtre d\xE9connect\xE9e des syst\xE8\
        mes d\u2019information du commanditaire ."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 des syst\xE8mes\
        \ d'information\n\u2022 Documents d'architecture du service de d\xE9tection\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la PSSI du service de d\xE9tection sp\xE9cifie l'usage exclusif de la Zone\
        \ Internet : acc\xE8s \xE0 Internet ou \xE0 tout autre syst\xE8me d'information\
        \ depuis des postes d\xE9di\xE9s \xE0 cet usage doivent se faire exclusivement\
        \ \xE0 partir de cette zone, plac\xE9e en dehors du SI du PDIS et d\xE9connect\xE9\
        e des syst\xE8mes d'information du commanditaire.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9cifie que les\
        \ postes de travail h\xE9berg\xE9s dans la zone Internet doivent \xEAtre physiquement\
        \ d\xE9di\xE9s \xE0 cette zone. \n\u2022  Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du prestataire qu'une zone Internet\
        \ existe et qu'elle se situe en dehors du p\xE9rim\xE8tre du SI du PDIS. Les\
        \ documents d'architecture du prestataire doivent clairement faire appara\xEE\
        tre que des postes de travail sont physiquement d\xE9di\xE9s \xE0 cette zone.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16:1
      ref_id: IV.3.16.b
      description: "b) Les postes de travail h\xE9berg\xE9s dans la zone Internet\
        \ doivent \xEAtre physiquement d\xE9di\xE9s \xE0 la zone Internet."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 des syst\xE8mes\
        \ d'information\n\u2022 Documents d'architecture du service de d\xE9tection\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la PSSI du service de d\xE9tection sp\xE9cifie l'usage exclusif de la Zone\
        \ Internet : acc\xE8s \xE0 Internet ou \xE0 tout autre syst\xE8me d'information\
        \ depuis des postes d\xE9di\xE9s \xE0 cet usage doivent se faire exclusivement\
        \ \xE0 partir de cette zone, plac\xE9e en dehors du SI du PDIS et d\xE9connect\xE9\
        e des syst\xE8mes d'information du commanditaire.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI du prestataire sp\xE9cifie que les\
        \ postes de travail h\xE9berg\xE9s dans la zone Internet doivent \xEAtre physiquement\
        \ d\xE9di\xE9s \xE0 cette zone. \n\u2022  Le centre d'\xE9valuation doit v\xE9\
        rifier dans les documents d'architecture du prestataire qu'une zone Internet\
        \ existe et qu'elle se situe en dehors du p\xE9rim\xE8tre du SI du PDIS. Les\
        \ documents d'architecture du prestataire doivent clairement faire appara\xEE\
        tre que des postes de travail sont physiquement d\xE9di\xE9s \xE0 cette zone.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.c
      name: Flux sortant de la zone Internet
      description: "L\u2019ensemble des flux sortant de la zone Internet vers Internet\
        \ doit transiter par un serveur mandataire puis par une sortie vers Internet\
        \ distincte de celle utilis\xE9e par le syst\xE8me d\u2019information du commanditaire."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 des syst\xE8mes\
        \ d'information\n\u2022 Matrice de flux\n\u2022 Guide d'exploitation et d'administration\n\
        \u2022 Maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la PSSI du service de d\xE9tection sp\xE9cifie que les flux sortant de la\
        \ zone Internet doivent transiter par un serveur mandataire.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans la matrice de flux que les flux sortants\
        \ de la zone Internet transitent par un serveur mandataire puis par une sortie\
        \ vers Internet distincte de celle utilis\xE9e par le syst\xE8me d\u2019information\
        \ du commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans\
        \ les guides d'administration que les fonctions de s\xE9curit\xE9 et m\xE9\
        thodes d'administration du serveur mandataire sont document\xE9es, entre autres\
        \ :\n- filtrage ;\n- authentification ;\n- journalisation des requ\xEAtes.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le serveur mandataire\
        \ est pris en compte par le processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.d
      name: Recherche en sources ouvertes
      description: "Il est recommand\xE9 que le prestataire r\xE9alise les recherches\
        \ en sources ouvertes, notamment sur Internet, \xE0 partir de liaisons Internet\
        \ d\xE9marqu\xE9es (IP anonyme et dynamique avec changement p\xE9riodique,\
        \ aucun enregistrement dans les bases whois, etc.) afin de ne pas permettre\
        \ l\u2019identification du prestataire par l\u2019attaquant."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.e
      name: Homologation de la zone internet
      description: "La zone Internet doit \xEAtre homologu\xE9e au minimum au Niveau\
        \ Standard du guide d\u2019hygi\xE8ne informatique de l\u2019ANSSI [HYGIENE]."
      annotation: "Preuve(s):\n\u2022 Attestation et dossier d'homologation GHI\n\u2022\
        \ Appr\xE9ciation des risques\n\u2022 Plan de traitement des risques\n\nV\xE9\
        rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le prestataire\
        \ poss\xE8de l'attestation et le dossier d'homologation au minimum au Niveau\
        \ Standard du guide d\u2019hygi\xE8ne informatique de l\u2019ANSSI de la zone\
        \ Internet.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que l'homologation\
        \ couvre tout le p\xE9rim\xE8tre de la zone Internet.\n\u2022 Le centre d'\xE9\
        valuation doit s'assurer que l'homologation au Niveau Standard du guide d\u2019\
        hygi\xE8ne informatique de l\u2019ANSSI du syst\xE8me d'information a \xE9\
        t\xE9 prononc\xE9e sur la base de l'appr\xE9ciation des risques associ\xE9\
        e.\n\u2022 Le centre d'\xE9valuation doit s'assurer que l'attestation d'homologation\
        \ indique la compr\xE9hension et l'acceptation des risques r\xE9siduels par\
        \ l'autorit\xE9 d'homologation, ainsi que son engagement dans un processus\
        \ d'am\xE9lioration continue du niveau de s\xE9curit\xE9 du syst\xE8me d'information.\n\
        \u2022 Le centre d'\xE9valuation doit s'assurer que l'attestation d'homologation\
        \ au Niveau Standard du guide d\u2019hygi\xE8ne informatique de l\u2019ANSSI\
        \ du syst\xE8me d'information pr\xE9cise la date de fin de validit\xE9 et\
        \ qu'elle est encore valide au moment de l'\xE9valuation.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le dossier d'homologation comporte\
        \ la documentation n\xE9cessaire et suffisante \xE0 la d\xE9cision d'homologation,\
        \ en particulier les preuves fournies de la mise en \u0153uvre des mesures\
        \ sous sa responsabilit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.f
      name: Horodatage et journalisation des recherches
      description: "Le prestataire doit horodater et journaliser les recherches en\
        \ sources ouvertes r\xE9alis\xE9es."
      annotation: "Preuve(s):\n\u2022 D\xE9livrance d'une prestation PDIS\n\u2022\
        \ Documents d'architecture du service de d\xE9tection\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9\
        livrance d'une prestation PDIS sp\xE9cifie que les recherches en sources ouvertes\
        \ sont horodat\xE9es et journalis\xE9es ainsi que les m\xE9thodes associ\xE9\
        es.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les documents d'architecture\
        \ du service de d\xE9tection d\xE9crivent :\n- les moyens de synchronisation\
        \ horaire mis en place ;\n- les moyens de journalisation mis en place.\n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.g
      name: "Journalisation des acc\xE8s aux dispositifs h\xE9berg\xE9s dans la zone\
        \ internet"
      description: "Il est recommand\xE9 que le prestataire journalise tous les acc\xE8\
        s aux dispositifs h\xE9berg\xE9s dans la zone Internet ainsi que les actions\
        \ r\xE9alis\xE9es, et applique les recommandations d\xE9finies dans la note\
        \ technique de l\u2019ANSSI consacr\xE9e \xE0 la mise en \u0153uvre d\u2019\
        un syst\xE8me de journalisation [NT_JOURNAL]."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.h
      name: Analyse des journaux de la zone internet
      description: "Il est recommand\xE9 que les journaux de la zone Internet alimentent\
        \ les outils d\u2019analyse du service de d\xE9tection des incidents de s\xE9\
        curit\xE9 interne."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.i
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.i
      name: Collecte des journaux de la zone internet
      description: "Si les journaux de la zone Internet sont collect\xE9s, la collecte\
        \ doit \xEAtre r\xE9alis\xE9e via une zone d\u2019\xE9change exploitation\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 ou par la mise\
        \ en place d\u2019une enclave de collecte comme pour un commanditaire classique."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 des syst\xE8mes\
        \ d'information\n\u2022 Processus de gestion des droits et habilitations\n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la PSSI du service de d\xE9tection sp\xE9cifie si les journaux issus de\
        \ la zone Internet sont collect\xE9s afin d'\xEAtre analys\xE9s et via quel\
        \ moyen technique :\n- l'envoi \xE0 une zone d'\xE9change exploitation du\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9 ;\n- une enclave\
        \ de collecte comme pour un commanditaire classique (cette derni\xE8re devra\
        \ appara\xEEtre sur les documents d'architecture)\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que l'acc\xE8s aux journaux est restreint et que\
        \ des mesures mises en place sont document\xE9es dans un processus de gestion\
        \ des droits et des habilitations.\n\u2022 Ce processus doit d\xE9tailler\
        \ :\n- les mesures de chiffrement des journaux,\n- les mesures d'acc\xE8s\
        \ et d'authentification,\n- la gestion des droits d'acc\xE8s.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.16.j
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.16
      ref_id: IV.3.16.j
      name: "Filtrage des flux entre la zone Internet et le syst\xE8me d'information\
        \ du prestataire"
      description: "Le dispositif de filtrage entre la zone Internet et le syst\xE8\
        me d\u2019information du service de d\xE9tection (voir exigence IV.3.10.b))\
        \ doit interdire tous les flux except\xE9s :\n- ceux initi\xE9s depuis la\
        \ zone Internet vers les zones d\u2019\xE9change et permettant aux postes\
        \ de travail h\xE9berg\xE9s dans la zone Internet de d\xE9poser ou collecter\
        \ des fichiers dans les zones d\u2019\xE9change ;\n- si la collecte des journaux\
        \ de la zone Internet est effectu\xE9e, ceux permettant aux dispositifs h\xE9\
        berg\xE9s dans la zone Internet de transmettre les journaux d\u2019\xE9v\xE9\
        nements \xE0 la zone d\u2019\xE9change exploitation du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 interne."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 des syst\xE8mes\
        \ d'information\n\u2022 Matrice de flux\n\u2022 Politique de filtrage\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la PSSI du service de d\xE9tection sp\xE9cifie que les seuls flux autoris\xE9\
        s entre la zone Internet et le SI du PDIS sont :\n- ceux initi\xE9s depuis\
        \ la zone Internet vers les zones d\u2019\xE9change et permettant aux postes\
        \ de travail h\xE9berg\xE9s dans la zone Internet de d\xE9poser ou collecter\
        \ des fichiers dans les zones d\u2019\xE9change ;\n- si la collecte des journaux\
        \ de la zone Internet est effectu\xE9e, ceux permettant aux dispositifs h\xE9\
        berg\xE9s dans la zone Internet de transmettre les journaux d\u2019\xE9v\xE9\
        nements \xE0 la zone d\u2019\xE9change exploitation du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 interne (si possible en temps r\xE9el).\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la matrice de flux\
        \ et la politique de filtrage que les seuls flux autoris\xE9s entre la zone\
        \ Internet et le SI du PDIS sont :\n- ceux initi\xE9s depuis la zone Internet\
        \ vers les zones d\u2019\xE9change et permettant aux postes de travail h\xE9\
        berg\xE9s dans la zone Internet de d\xE9poser ou collecter des fichiers dans\
        \ les zones d\u2019\xE9change ;\n- si la collecte des journaux de la zone\
        \ Internet est effectu\xE9e, ceux permettant aux dispositifs h\xE9berg\xE9\
        s dans la zone Internet de transmettre les journaux d\u2019\xE9v\xE9nements\
        \ \xE0 la zone d\u2019\xE9change exploitation du service de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 interne.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3
      ref_id: IV.3.17
      name: "Acc\xE8s nomades"
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.a
      name: "Passerelle(s) d'acc\xE8s \xE0 distance"
      description: "En cas d\u2019acc\xE8s distant au syst\xE8me d\u2019information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9, le prestataire\
        \ doit mettre en place :\n- au minimum une passerelle d\xE9di\xE9e \xE0 l\u2019\
        administration et l\u2019exploitation des dispositifs du service de d\xE9\
        tection ;\n- le cas \xE9ch\xE9ant, une passerelle d\xE9di\xE9e \xE0 l\u2019\
        acc\xE8s distant du commanditaire \xE0 la zone d\u2019\xE9change commanditaire,\
        \ distincte de(s) passerelle(s) d\u2019administration et d\u2019exploitation."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du prestataire\n\u2022\
        \ Processus de maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9\
        \n\u2022 Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans les documents d'architecture\
        \ du service de d\xE9tection qu'une passerelle d\xE9di\xE9e \xE0 :\n- l'administration\
        \ et \xE0 l'exploitation est document\xE9e et qu'elle d\xE9finit les m\xE9\
        canismes mis en place (DMZ, pare-feu, commutateur, VPN, etc.) ;\n- le cas\
        \ \xE9ch\xE9ant, une passerelle d\xE9di\xE9e \xE0 l'acc\xE8s distant du commanditaire\
        \ \xE0 la zone d'\xE9change commanditaire est document\xE9e.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les guides d'administration pr\xE9\
        voient la s\xE9curisation des passerelles, \xE0 savoir l'activation et la\
        \ configuration des fonctions :\n- d'authentification, \n- de contr\xF4le\
        \ et de gestion d'acc\xE8s strictes,\n- de tra\xE7abilit\xE9.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.b
      name: "Responsabilit\xE9 concernant les postes nomades dans la zone d'\xE9change"
      description: "Dans le cas o\xF9 l\u2019acc\xE8s \xE0 la zone d\u2019\xE9change\
        \ commanditaire par des postes nomades de consultation est autoris\xE9, le\
        \ prestataire doit d\xE9finir avec le commanditaire dans la convention de\
        \ service les responsabilit\xE9s concernant :\n- la propri\xE9t\xE9 des postes\
        \ nomades de consultation ;\n- l\u2019administration et la mise \xE0 jour\
        \ de ces dispositifs ;\n- le respect des mesures de s\xE9curit\xE9 d\xE9finies\
        \ dans les exigences IV.3.17.e) \xE0 IV.3.17.l)."
      annotation: "Preuve(s):\n\u2022 Convention de service de prestation type\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ la convention de service type pr\xE9voit les responsabilit\xE9s concernant\
        \ : \n- la propri\xE9t\xE9 des postes nomades de consultation ;\n- l\u2019\
        administration et la mise \xE0 jour de ces dispositifs ;\n- le respect des\
        \ mesures de s\xE9curit\xE9 d\xE9finies dans les exigences IV.3.17.e) \xE0\
        \ IV.3.17.l)\ndans le cas o\xF9 l'acc\xE8s \xE0 la zone d'\xE9change commanditaire\
        \ par des postes est autoris\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ la d\xE9finition des responsabilit\xE9s concernant : \n- la propri\xE9t\xE9\
        \ des postes nomades de consultation ;\n- l\u2019administration et la mise\
        \ \xE0 jour de ces dispositifs ;\n- le respect des mesures de s\xE9curit\xE9\
        \ d\xE9finies dans les exigences IV.3.17.e) \xE0 IV.3.17.l)\ndans le cas o\xF9\
        \ l'acc\xE8s \xE0 la zone d'\xE9change commanditaire par des postes nomades\
        \ est autoris\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.c
      name: Distinction entre la passerelle d'administration et la passerelle d'exploitation
      description: "Il est recommand\xE9 de mettre en place des passerelles d\u2019\
        administration et d\u2019exploitation distinctes."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.d
      name: "Postes nomades d\xE9di\xE9s aux prestations qualifi\xE9es"
      description: "Les postes nomades utilis\xE9s par les administrateurs et les\
        \ op\xE9rateurs doivent \xEAtre d\xE9di\xE9s aux prestations qualifi\xE9es\
        \ et \xE0 toute prestation respectant les exigences de la partie IV.3 - Protection\
        \ de l\u2019information."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 du syst\xE8me d'information\
        \ du service de d\xE9tection\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI du service de d\xE9tection sp\xE9cifie\
        \ que les postes nomades utilis\xE9s par les administrateurs et les op\xE9\
        rateurs sont d\xE9di\xE9s aux prestations qualifi\xE9es et \xE0 toute prestation\
        \ respectant les exigences de la partie IV.3 - Protection de l'information.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.e
      name: "Postes nomades d\xE9di\xE9s \xE0 la zone d'\xE9change commanditaire"
      description: "Les postes nomades utilis\xE9s par le commanditaire doivent \xEA\
        tre d\xE9di\xE9s \xE0 l\u2019acc\xE8s \xE0 la zone d\u2019\xE9change commanditaire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type sp\xE9cifie que les postes nomades utilis\xE9s par le commanditaire\
        \ sont d\xE9di\xE9s \xE0 l'acc\xE8s \xE0 la zone d'\xE9change commanditaire.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.f
      name: "S\xE9paration des flux d'administration et d'exploitation en cas d'utilisation\
        \ d'une passerelle unique"
      description: "En cas d\u2019utilisation d\u2019une passerelle unique pour les\
        \ acc\xE8s distants des administrateurs et des op\xE9rateurs, le prestataire\
        \ doit mettre en \u0153uvre une solution permettant d\u2019assurer une s\xE9\
        paration stricte des flux : \n- d\u2019administration depuis les postes nomades\
        \ d\u2019administration jusqu\u2019\xE0 la zone d\u2019administration ;\n\
        - d\u2019exploitation depuis les postes nomades d\u2019exploitation jusqu\u2019\
        \xE0 la zone d\u2019exploitation."
      annotation: "Preuve(s):\n\u2022 Documents d'architecture du prestataire\n\u2022\
        \ Matrice de flux\n\nV\xE9rification(s):\nEn cas d'utilisation d'une passerelle\
        \ unique pour les acc\xE8s distants :\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier dans les documents d'architecture du prestataire que le prestataire\
        \ a mis en place un m\xE9canisme de s\xE9paration des flux (en les adressant\
        \ \xE0 2 sous-r\xE9seaux distincts suite \xE0 leur d\xE9chiffrement par le\
        \ module IPsec au sein de la passerelle par exemple).\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la matrice des flux que les flux d'administration\
        \ et d'exploitation sont distincts.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.g
      name: Chiffrement des flux entre les postes nomades et les passerelles
      description: "Les flux entre les postes nomades et les passerelles sont chiffr\xE9\
        s \xE0 l\u2019aide de solutions de chiffrement et d\u2019authentification\
        \ IPsec agr\xE9\xE9es par l\u2019ANSSI au niveau ad\xE9quat et utilis\xE9\
        es conform\xE9ment aux conditions de leur agr\xE9ment"
      annotation: "Preuve(s):\n\u2022 Politique de S\xE9curit\xE9 des Syst\xE8mes\
        \ d\u2019Information du prestataire\n\u2022 Processus de gestion des ressources\
        \ et des comp\xE9tences\n\u2022 Documents d'architecture du service de d\xE9\
        tection\n\u2022 Guides d'exploitation et d'administration \n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la PSSI du service de\
        \ d\xE9tection sp\xE9cifie que les flux entre les postes nomades et les passerelles\
        \ d'interconnexions sont chiffr\xE9s \xE0 l'aide de solutions de chiffrement\
        \ agr\xE9es par l'ANSSI.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le contenu du guide d'administration est conforme aux conditions d'agr\xE9\
        ment des solutions utilis\xE9es figurant sur leurs attestations d'agr\xE9\
        ment.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier :\n- que le prestataire\
        \ dispose d'une attestation d'agr\xE9ment pour les solutions de chiffrement\
        \ et d\u2019authentification IPsec qu'il a d\xE9ploy\xE9es pour le chiffrement\
        \ des flux en entre les postes nomades et les passerelles d'acc\xE8s distant;\n\
        - que le ou les attestations d'agr\xE9ment sont toujours valides. \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans les documents d'architecture\
        \ du service de d\xE9tection la pr\xE9sence de solutions de chiffrement IPsec\
        \ qualifi\xE9es par l'ANSSI au bord des passerelles d'acc\xE8s distant.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que l'impl\xE9mentation et l'administration\
        \ des solutions de chiffrement et d\u2019authentification IPsec agr\xE9\xE9\
        es par l\u2019ANSSI au niveau ad\xE9quat sont document\xE9es dans un guide\
        \ d'administration.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.h
      name: "Authentification \xE0 2 facteurs"
      description: "Les administrateurs, op\xE9rateurs et utilisateurs des postes\
        \ nomades de consultation doivent s\u2019authentifier avec au minimum deux\
        \ facteurs."
      annotation: "Preuve(s):\n\u2022 Politique de s\xE9curit\xE9 du syst\xE8me d'information\
        \ du prestataire\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la PSSI du prestataire sp\xE9cifie que les postes nomades\
        \ utilis\xE9s par les administrateurs et les op\xE9rateurs s'authentifient\
        \ avec au minimum 2 facteurs.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.i
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.i
      name: "Authentification \xE0 l'aide de certificats \xE9lectroniques qualifi\xE9\
        s"
      description: "Il est recommand\xE9 que le prestataire mette en \u0153uvre pour\
        \ les acc\xE8s distants une authentification bas\xE9e sur des certificats\
        \ \xE9lectroniques d\xE9livr\xE9s par des prestataires de services de certification\
        \ \xE9lectronique qualifi\xE9s par l\u2019ANSSI RGS *** et impliquant par\
        \ cons\xE9quent l\u2019utilisation de supports cryptographiques qualifi\xE9\
        s par l\u2019ANSSI au niveau renforc\xE9."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.j
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.j
      name: Durcissement des postes nomades
      description: "Les postes nomades doivent \xEAtre durcis, configur\xE9s pour\
        \ ne pouvoir communiquer qu\u2019avec la passerelle d\u2019acc\xE8s distant\
        \ d\xE9di\xE9e via une connexion IPsec chiffr\xE9e et authentifi\xE9e, ne\
        \ permettre que l\u2019usage de supports amovibles autoris\xE9s par la politique\
        \ de s\xE9curit\xE9 des syst\xE8mes d\u2019information, et avoir l\u2019int\xE9\
        gralit\xE9 de leurs disques chiffr\xE9e \xE0 l\u2019aide d\u2019une solution\
        \ de chiffrement agr\xE9\xE9e par l\u2019ANSSI au minimum au niveau Diffusion\
        \ Restreinte et utilis\xE9e conform\xE9ment aux conditions de son agr\xE9\
        ment."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Attestations de qualification/d'agr\xE9ment\
        \ pour les produits qualifi\xE9s/agr\xE9\xE9s par l'ANSSI\n\u2022 Matrice\
        \ de flux\n\u2022 Guides d'exploitation et d'administration\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit le durcissement\
        \ des postes nomades.\n\u2022 Ce processus doit d\xE9tailler les m\xE9canismes\
        \ \xE0 mettre en \u0153uvre, \xE0 savoir :\n- l'authentification,\n- l'usage\
        \ de supports amovibles identifi\xE9s dans la PSSI du service de d\xE9tection,\n\
        - le chiffrement des disques durs,\n- le chiffrement des flux entre le poste\
        \ nomade et la passerelle d'acc\xE8s distant,\n- les connexions autoris\xE9\
        es,\n- la restriction des acc\xE8s \xE0 d'autres r\xE9seaux.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le prestataire dispose d'une attestation\
        \ d'agr\xE9ment pour les solutions de chiffrement de disque dur d\xE9ploy\xE9\
        es par le prestataire pour chiffrer les disques dur des postes nomades.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que les attestations d'agr\xE9\
        ment sont toujours valides. \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans la matrice des flux que seuls les flux \xE9chang\xE9s entre les\
        \ postes nomades et la passerelle d'acc\xE8s distant sont autoris\xE9s. \n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que l'administration et\
        \ l'exploitation des solutions de chiffrement de disque dur est document\xE9\
        \ dans un guide d'administration.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le guide d'administration est conforme aux conditions de leur agr\xE9\
        ment figurant sur l'attestation d'agr\xE9ment du prestataire pour ces solutions.\
        \     \n\nPr\xE9cision(s):\n\u2022 Se r\xE9f\xE9rer \xE0 la note technique\
        \ [NP_LINUX_CONFIGURATION] de l'ANSSI pour les postes bas\xE9s sur linux."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.k
      name: "M\xE9canismes de mise \xE0 jour et d'administration des postes nomades"
      description: "Le prestataire doit pr\xE9voir les m\xE9canismes de mise \xE0\
        \ jour et d\u2019administration des postes nomades dans le cas o\xF9 il les\
        \ fournit au commanditaire et les administre."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Guides d'exploitation et d'administration\n\
        \u2022 Documents d'architecture du service de d\xE9tection\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit la mise\
        \ \xE0 jour des poste de travail nomades dans le cas o\xF9 le prestataire\
        \ les fournit au commanditaire et les administre.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les documents d'architecture du service de\
        \ d\xE9tection d\xE9crivent l'infrastructure technique permettant la mise\
        \ \xE0 jour des postes nomades.\n\u2022 Ce processus doit \xE9galement d\xE9\
        finir les modalit\xE9s de mise \xE0 jour (fr\xE9quence, type de mise \xE0\
        \ jour, etc.).\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les\
        \ modalit\xE9s de mise \xE0 jour des postes nomades sont document\xE9es dans\
        \ un guide d'administration par exemple.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.3.17.l
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.3.17
      ref_id: IV.3.17.l
      name: Configuration des solutions de filtrage
      description: "Le prestataire doit configurer les solutions de filtrage (voir\
        \ exigence IV.3.8.d)) pour n\u2019autoriser que les flux :\n- initi\xE9s depuis\
        \ les postes nomades d\u2019administration vers la zone d\u2019administration\
        \ (voir exigence IV.3.8.c)) ;\n- initi\xE9s depuis les postes nomades d\u2019\
        exploitation vers la zone d\u2019exploitation (voir exigence IV.3.8.c)) ;\n\
        - initi\xE9s depuis les postes nomades de consultation vers la zone d\u2019\
        \xE9change commanditaire (voir exigence IV.3.8.c)) ;\n- initi\xE9s depuis\
        \ la zone d\u2019administration (voir exigence IV.3.8.c)) vers les postes\
        \ nomades pour l\u2019administration des postes qu'il fournit et administre\
        \ ;\n- initi\xE9s depuis la zone de mise \xE0 jour (voir exigence IV.3.8.c))\
        \ vers les postes nomades pour la mise \xE0 jour des postes qu'il fournit\
        \ et administre."
      annotation: "Preuve(s):\n\u2022 Matrice de flux\n\u2022 Politique de filtrage\n\
        \u2022 Guide d'exploitation et d'administration\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans la matrice que flux que\
        \ seuls les flux document\xE9s \xE0 l'exigence IV.3.17.l) sont autoris\xE9\
        s.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que la politique de\
        \ filtrage sp\xE9cifie que tous les flux sont interdits sauf ceux :\n- initi\xE9\
        s depuis les postes nomades d\u2019administration vers la zone d\u2019administration\
        \ (voir exigence IV.3.8.c)) ;\n- initi\xE9s depuis les postes nomades d\u2019\
        exploitation vers la zone d\u2019exploitation (voir exigence IV.3.8.c)) ;\n\
        - initi\xE9s depuis les postes nomades de consultation vers la zone d\u2019\
        \xE9change commanditaire (voir exigence IV.3.8.c)) ;\n- initi\xE9s depuis\
        \ la zone d\u2019administration (voir exigence IV.3.8.c)) vers les postes\
        \ nomades pour l\u2019administration des postes dans le cas o\xF9 il les fournit\
        \ et les administre ;\n- initi\xE9s depuis les postes nomades vers la zone\
        \ de mise \xE0 jour (voir exigence IV.3.8.c)) pour la mise \xE0 jour des postes\
        \ dans le cas o\xF9 il les fournit et les administre.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les guides d'administration des dispositifs\
        \ de filtrage pr\xE9voient les modalit\xE9s d'impl\xE9mentation de r\xE8gles\
        \ dans les dispositifs de filtrage entre les postes nomades et le reste du\
        \ SI du PDIS \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4
      assessable: false
      depth: 1
      ref_id: IV.4
      name: Organisation du prestataire et gouvernance
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4
      ref_id: IV.4.1
      name: "Charte d'\xE9thique et recrutement"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1
      ref_id: IV.4.1.a
      name: "V\xE9rifications des comp\xE9tences des candidats"
      description: "Le prestataire doit proc\xE9der \xE0 une v\xE9rification des formations,\
        \ qualifications, r\xE9f\xE9rences professionnelles des candidats pour le\
        \ service de d\xE9tection et de la v\xE9racit\xE9 de leur curriculum vitae\
        \ pr\xE9alablement \xE0 leur embauche."
      annotation: "Preuve(s):\n\u2022 Protocole d\u2019embauche\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que, pour chaque candidature,\
        \ le protocole d'embauche pr\xE9voit de proc\xE9der \xE0 une v\xE9rification\
        \ des formations, certifications, r\xE9f\xE9rences professionnelles des candidats\
        \ pour le service de d\xE9tection et de la v\xE9racit\xE9 de leur curriculum\
        \ vitae pr\xE9alablement \xE0 leur embauche.\n\nPr\xE9cision(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le protocole d'embauche pr\xE9\
        cise les moyens de v\xE9rifications, par exemple :\n- prise de contact avec\
        \ les \xE9tablissements dipl\xF4mants, \n- prise de contact avec les auteurs\
        \ de lettre de recommandation, \n- prise de contact avec les \xE9tablissements\
        \ certifiants,\n- prise de contact avec l'employeur pr\xE9c\xE9dent."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1
      ref_id: IV.4.1.b
      name: "Inscription au bulletin n\xB03 du casier judiciaire"
      description: "Le prestataire doit demander aux candidats de lui fournir une\
        \ preuve qu\u2019ils ne font pas l\u2019objet d\u2019une inscription au bulletin\
        \ n\xB0 3 du casier judiciaire."
      annotation: "Preuve(s):\n\u2022 Protocole d'embauche\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que, pour chaque candidature,\
        \ le protocole d'embauche pr\xE9voit de demander au candidat de fournir une\
        \ attestation de non-inscription au bulletin n\xB0 3 du casier judiciaire.\
        \ \n\nPr\xE9cision(s):\nLa v\xE9rification de l'inscription au bulletin n\xB0\
        3 du casier judiciaire peut \xEAtre substitu\xE9e par une v\xE9rification\
        \ de la d\xE9tention d'une habilitation \xE0 acc\xE9der \xE0 des informations\
        \ relevant du secret de la d\xE9fense nationale."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1
      ref_id: IV.4.1.c
      name: Contrat de travail
      description: "Les op\xE9rateurs, les administrateurs et les experts du service\
        \ de d\xE9tection doivent \xEAtre li\xE9s contractuellement avec le prestataire\
        \ ou avec un de ses sous-traitants dans le cas de la sous-traitance d\u2019\
        une partie de son activit\xE9."
      annotation: "Preuve(s):\n\u2022 Contrats de souscription \xE0 un service externe\n\
        \u2022 Protocole d\u2019embauche\n\u2022 Contrats de travail type (pour chaque\
        \ r\xF4le : op\xE9rateur, administrateur, etc.) \n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans le contrat de sous-traitance\
        \ que le sous-traitant s'engage \xE0 ce que toutes les personnes impliqu\xE9\
        es dans le service de d\xE9tection soient li\xE9es contractuellement. \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que, pour chaque embauche, le\
        \ protocole d'embauche pr\xE9voit de faire signer un contrat liant le prestataire\
        \ et : \n- les op\xE9rateurs,\n- les administrateurs, \n- les experts du service,\n\
        - toute autre personne amen\xE9e \xE0 travailler sur le service de d\xE9tection.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le protocole d'embauche\
        \ pr\xE9voit que, dans le cas de la sous-traitance d'une partie du service,\
        \ le prestataire exigera de son sous-traitant qu'il fournisse une copie des\
        \ contrats de travail des personnes amen\xE9es \xE0 travailler sur le service\
        \ de d\xE9tection. \n\u2022 Dans le cas o\xF9 certains op\xE9rateurs, administrateurs\
        \ ou experts du service sont sous-traitants, le prestataire devra poss\xE9\
        der une copie du contrat de travail pour ces personnes. \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier l'existence de contrats de travail type\
        \ pour tous les r\xF4les de l'organisation du centre de d\xE9tection dont\
        \ :\n- les op\xE9rateurs,\n- les administrateurs, \n- les experts du service,\n\
        - toute autre personne amen\xE9e \xE0 travailler sur le service de d\xE9tection.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1
      name: "Charte d'\xE9thique"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1:1
      ref_id: IV.4.1.d
      description: "d) Le prestataire doit disposer d\u2019une charte d\u2019\xE9\
        thique int\xE9gr\xE9e au r\xE8glement int\xE9rieur, pr\xE9voyant notamment\
        \ que :\n- les prestations sont r\xE9alis\xE9es avec loyaut\xE9, discr\xE9\
        tion et impartialit\xE9 ;\n- les personnels ne recourent qu\u2019aux m\xE9\
        thodes, outils et techniques valid\xE9s par le prestataire ;\n- les personnels\
        \ s\u2019engagent \xE0 ne pas divulguer d\u2019informations \xE0 un tiers,\
        \ m\xEAme anonymis\xE9es et d\xE9contextualis\xE9es, obtenues ou g\xE9n\xE9\
        r\xE9es dans le cadre de la prestation sauf autorisation formelle et \xE9\
        crite du commanditaire ;\n- les personnels s\u2019engagent \xE0 signaler au\
        \ prestataire tout contenu manifestement illicite d\xE9couvert pendant la\
        \ prestation ;\n- les personnels s\u2019engagent \xE0 respecter la l\xE9gislation\
        \ et la r\xE9glementation nationale en vigueur et les bonnes pratiques li\xE9\
        es \xE0 leurs activit\xE9s."
      annotation: "Preuve(s):\n\u2022 Protocole d\u2019embauche\n\u2022 Charte d\u2019\
        \xE9thique\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier :\n- l'existence d'une charte d\u2019\xE9thique ;\n- que cette charte\
        \ est int\xE9gr\xE9e au r\xE8glement int\xE9rieur.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la charte \xE9thique pr\xE9voit notamment que\
        \ :\n- les prestations sont r\xE9alis\xE9es avec loyaut\xE9, discr\xE9tion\
        \ et impartialit\xE9 ;\n- les personnels ne recourent qu\u2019aux m\xE9thodes,\
        \ outils et techniques valid\xE9s par le prestataire ;\n- les personnels s\u2019\
        engagent \xE0 ne pas divulguer d\u2019informations \xE0 un tiers, m\xEAme\
        \ anonymis\xE9es et d\xE9contextualis\xE9es, obtenues ou g\xE9n\xE9r\xE9es\
        \ dans le cadre de la prestation sauf autorisation formelle et \xE9crite du\
        \ commanditaire ;\n- les personnels s\u2019engagent \xE0 signaler au prestataire\
        \ tout contenu manifestement illicite d\xE9couvert pendant la prestation ;\n\
        - les personnels s\u2019engagent \xE0 respecter la l\xE9gislation et la r\xE9\
        glementation nationale en vigueur et les bonnes pratiques li\xE9es \xE0 leurs\
        \ activit\xE9s.                           \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que, pour chaque embauche, le protocole d'embauche pr\xE9\
        voit la signature obligatoire de la charte \xE9thique pr\xE9alablement \xE0\
        \ la r\xE9alisation de la prestation.    \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la charte \xE9thique pr\xE9voit des sanctions disciplinaires\
        \ \xE0 l\u2019intention des op\xE9rateurs, des administrateurs et des experts\
        \ du service de d\xE9tection ayant enfreint les r\xE8gles de s\xE9curit\xE9\
        .\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les fautes amenant\
        \ aux sanctions sont clairement d\xE9finies selon les crit\xE8res suivants\
        \ : \n- \xE9chelle de gravit\xE9, \n- cons\xE9quences de la faute, \n- sanction\
        \ associ\xE9e.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1:1
      ref_id: IV.4.1.e
      description: "e) Le prestataire doit faire signer \xE0 l\u2019ensemble de son\
        \ personnel la charte d\u2019\xE9thique pr\xE9vue \xE0 l\u2019exigence pr\xE9\
        c\xE9dente et pr\xE9alablement \xE0 la r\xE9alisation de la prestation."
      annotation: "Preuve(s):\n\u2022 Protocole d\u2019embauche\n\u2022 Charte d\u2019\
        \xE9thique\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier :\n- l'existence d'une charte d\u2019\xE9thique ;\n- que cette charte\
        \ est int\xE9gr\xE9e au r\xE8glement int\xE9rieur.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la charte \xE9thique pr\xE9voit notamment que\
        \ :\n- les prestations sont r\xE9alis\xE9es avec loyaut\xE9, discr\xE9tion\
        \ et impartialit\xE9 ;\n- les personnels ne recourent qu\u2019aux m\xE9thodes,\
        \ outils et techniques valid\xE9s par le prestataire ;\n- les personnels s\u2019\
        engagent \xE0 ne pas divulguer d\u2019informations \xE0 un tiers, m\xEAme\
        \ anonymis\xE9es et d\xE9contextualis\xE9es, obtenues ou g\xE9n\xE9r\xE9es\
        \ dans le cadre de la prestation sauf autorisation formelle et \xE9crite du\
        \ commanditaire ;\n- les personnels s\u2019engagent \xE0 signaler au prestataire\
        \ tout contenu manifestement illicite d\xE9couvert pendant la prestation ;\n\
        - les personnels s\u2019engagent \xE0 respecter la l\xE9gislation et la r\xE9\
        glementation nationale en vigueur et les bonnes pratiques li\xE9es \xE0 leurs\
        \ activit\xE9s.                           \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que, pour chaque embauche, le protocole d'embauche pr\xE9\
        voit la signature obligatoire de la charte \xE9thique pr\xE9alablement \xE0\
        \ la r\xE9alisation de la prestation.    \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la charte \xE9thique pr\xE9voit des sanctions disciplinaires\
        \ \xE0 l\u2019intention des op\xE9rateurs, des administrateurs et des experts\
        \ du service de d\xE9tection ayant enfreint les r\xE8gles de s\xE9curit\xE9\
        .\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les fautes amenant\
        \ aux sanctions sont clairement d\xE9finies selon les crit\xE8res suivants\
        \ : \n- \xE9chelle de gravit\xE9, \n- cons\xE9quences de la faute, \n- sanction\
        \ associ\xE9e.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1:1
      ref_id: IV.4.1.f
      description: "f) Le prestataire doit veiller au respect de la charte d\u2019\
        \xE9thique et pr\xE9voir des sanctions disciplinaires \xE0 l\u2019intention\
        \ des op\xE9rateurs, des administrateurs et des experts du service de d\xE9\
        tection ayant enfreint les r\xE8gles de s\xE9curit\xE9 ou la charte d\u2019\
        \xE9thique."
      annotation: "Preuve(s):\n\u2022 Protocole d\u2019embauche\n\u2022 Charte d\u2019\
        \xE9thique\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier :\n- l'existence d'une charte d\u2019\xE9thique ;\n- que cette charte\
        \ est int\xE9gr\xE9e au r\xE8glement int\xE9rieur.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la charte \xE9thique pr\xE9voit notamment que\
        \ :\n- les prestations sont r\xE9alis\xE9es avec loyaut\xE9, discr\xE9tion\
        \ et impartialit\xE9 ;\n- les personnels ne recourent qu\u2019aux m\xE9thodes,\
        \ outils et techniques valid\xE9s par le prestataire ;\n- les personnels s\u2019\
        engagent \xE0 ne pas divulguer d\u2019informations \xE0 un tiers, m\xEAme\
        \ anonymis\xE9es et d\xE9contextualis\xE9es, obtenues ou g\xE9n\xE9r\xE9es\
        \ dans le cadre de la prestation sauf autorisation formelle et \xE9crite du\
        \ commanditaire ;\n- les personnels s\u2019engagent \xE0 signaler au prestataire\
        \ tout contenu manifestement illicite d\xE9couvert pendant la prestation ;\n\
        - les personnels s\u2019engagent \xE0 respecter la l\xE9gislation et la r\xE9\
        glementation nationale en vigueur et les bonnes pratiques li\xE9es \xE0 leurs\
        \ activit\xE9s.                           \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que, pour chaque embauche, le protocole d'embauche pr\xE9\
        voit la signature obligatoire de la charte \xE9thique pr\xE9alablement \xE0\
        \ la r\xE9alisation de la prestation.    \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que la charte \xE9thique pr\xE9voit des sanctions disciplinaires\
        \ \xE0 l\u2019intention des op\xE9rateurs, des administrateurs et des experts\
        \ du service de d\xE9tection ayant enfreint les r\xE8gles de s\xE9curit\xE9\
        .\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les fautes amenant\
        \ aux sanctions sont clairement d\xE9finies selon les crit\xE8res suivants\
        \ : \n- \xE9chelle de gravit\xE9, \n- cons\xE9quences de la faute, \n- sanction\
        \ associ\xE9e.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.1.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.1
      ref_id: IV.4.1.g
      name: "Sensibilisation du personnel \xE0 la s\xE9curit\xE9 des syst\xE8mes d'information"
      description: "Le prestataire doit \xE9laborer et mettre en \u0153uvre un plan\
        \ de sensibilisation de son personnel \xE0 la s\xE9curit\xE9 des syst\xE8\
        mes d\u2019information et des mesures de s\xE9curit\xE9 associ\xE9es ainsi\
        \ qu\u2019\xE0 la l\xE9gislation et la r\xE9glementation nationale en vigueur\
        \ en rapport avec le service de d\xE9tection des incidents de s\xE9curit\xE9\
        ."
      annotation: "Preuve(s):\n\u2022 Plan de sensibilisation du personnel\n\u2022\
        \ Supports de sensibilisation du personnel\n\u2022 Plan de contr\xF4le\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence\
        \ d'un plan de sensibilisation du personnel du service de d\xE9tection et\
        \ des supports de sensiblisation du personnel.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce plan de sensibilisation traite, dans le contexte\
        \ PDIS, au minimum : \n- de la s\xE9curit\xE9 des syst\xE8mes d\u2019information,\n\
        - des mesures de s\xE9curit\xE9 associ\xE9es,\n- de la l\xE9gislation et la\
        \ r\xE9glementation nationale en vigueur en rapport avec le service de d\xE9\
        tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce plan de sensibilisation pr\xE9cise des mesures pour\
        \ sa mise en \u0153uvre, par exemple : \n- fr\xE9quence des sessions de sensibilisation,\n\
        - public vis\xE9 par chaque s\xE9ance,\n- etc.           \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans le plan de contr\xF4le que l'application\
        \ du plan de sensibilisation est contr\xF4l\xE9e, c\u2019est-\xE0-dire que\
        \ l'on v\xE9rifie : \n- la r\xE9alisation r\xE9guli\xE8re de campagne de sensibilisation,\n\
        - la mise \xE0 disposition de supports de sensibilisation pour les employ\xE9\
        s du service de d\xE9tection.     \n\nPr\xE9cision(s):\n\u2022 Le plan de\
        \ sensibilisation peut comprendre divers support de communication : mails,\
        \ affichage, r\xE9unions, espace intranet d\xE9di\xE9, etc.\n\u2022 Le plan\
        \ de sensibilisation peut \xE9galement comporter un volet sur les bonnes pratiques\
        \ \xE9l\xE9mentaires de s\xE9curit\xE9 informatique (cf. GHI 2)"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4
      ref_id: IV.4.2
      name: "Organisation et gestion des comp\xE9tences"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      name: "\xC9quipe de prestation et nombre suffisant de personnel"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2:1
      ref_id: IV.4.2.a
      description: "a) Le prestataire doit disposer d\u2019une \xE9quipe : \n- assurant\
        \ au minimum les missions d\xE9crites dans l\u2019Annexe 2 ; \n- disposant\
        \ des comp\xE9tences associ\xE9es \xE0 ces missions."
      annotation: "Preuve(s):\n\u2022 Liste du personnel et r\xF4les associ\xE9s (fiches\
        \ de poste)\n\u2022 Contrats de sous-traitance\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans la liste du personnel du\
        \ prestataire que l'\xE9quipe assure au minimum les missions et dispose des\
        \ comp\xE9tences associ\xE9es pour : \n- L'exploitation,\n- L'administration,\n\
        - La d\xE9tection,\n- La collecte et l'analyse des journaux,\n- La gestion\
        \ des r\xE8gles de d\xE9tection,\ntelles que d\xE9crites dans l'Annexe 2 du\
        \ r\xE9f\xE9rentiel PDIS. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la liste du personnel du prestataire comprend un nombre suffisant de\
        \ personnes pour assurer totalement et dans tous ses aspects la prestation\
        \ qualifi\xE9e. \nCes personnes peuvent \xEAtre internes au prestataire ou\
        \ employ\xE9es par un sous-traitant du service de d\xE9tection.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier, si le prestataire a recours \xE0\
        \ la sous-traitance pour compl\xE9ter ses \xE9quipes  : \n- le contrat de\
        \ sous-traitance,\n- la liste des employ\xE9s du sous-traitant intervenants\
        \ sur la prestation qualifi\xE9e, et le r\xF4le de chacun.    \n\nPr\xE9cision(s):\n\
        \u2022 Pour le respect de cette exigence, le prestataire peut par exemple\
        \ formaliser une matrice faisant la correspondance entre les comp\xE9tences\
        \ demand\xE9es dans l'Annexe 2 et son personnel.                       \n\u2022\
        \ Ce point de contr\xF4le peut s'appuyer sur : \n- le nombre de commanditaires\
        \ ayant souscrit au service de d\xE9tection, \n- les horaires d'ouverture\
        \ du service,\n- la volum\xE9trie de donn\xE9es trait\xE9es,\n- la volum\xE9\
        trie d'alertes (en moyenne)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2:1
      ref_id: IV.4.2.c
      description: "c) Le prestataire doit employer un nombre suffisant de personnels\
        \ et \xE9ventuellement recourir \xE0 la sous-traitance (voir chapitre IV.5.3.7\
        \ intitul\xE9 \xAB Sous-traitance \xBB) pour assurer totalement et dans tous\
        \ ses aspects la prestation qualifi\xE9e."
      annotation: "Preuve(s):\n\u2022 Liste du personnel et r\xF4les associ\xE9s (fiches\
        \ de poste)\n\u2022 Contrats de sous-traitance\n\nV\xE9rification(s):\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier dans la liste du personnel du\
        \ prestataire que l'\xE9quipe assure au minimum les missions et dispose des\
        \ comp\xE9tences associ\xE9es pour : \n- L'exploitation,\n- L'administration,\n\
        - La d\xE9tection,\n- La collecte et l'analyse des journaux,\n- La gestion\
        \ des r\xE8gles de d\xE9tection,\ntelles que d\xE9crites dans l'Annexe 2 du\
        \ r\xE9f\xE9rentiel PDIS. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que la liste du personnel du prestataire comprend un nombre suffisant de\
        \ personnes pour assurer totalement et dans tous ses aspects la prestation\
        \ qualifi\xE9e. \nCes personnes peuvent \xEAtre internes au prestataire ou\
        \ employ\xE9es par un sous-traitant du service de d\xE9tection.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier, si le prestataire a recours \xE0\
        \ la sous-traitance pour compl\xE9ter ses \xE9quipes  : \n- le contrat de\
        \ sous-traitance,\n- la liste des employ\xE9s du sous-traitant intervenants\
        \ sur la prestation qualifi\xE9e, et le r\xF4le de chacun.    \n\nPr\xE9cision(s):\n\
        \u2022 Pour le respect de cette exigence, le prestataire peut par exemple\
        \ formaliser une matrice faisant la correspondance entre les comp\xE9tences\
        \ demand\xE9es dans l'Annexe 2 et son personnel.                       \n\u2022\
        \ Ce point de contr\xF4le peut s'appuyer sur : \n- le nombre de commanditaires\
        \ ayant souscrit au service de d\xE9tection, \n- les horaires d'ouverture\
        \ du service,\n- la volum\xE9trie de donn\xE9es trait\xE9es,\n- la volum\xE9\
        trie d'alertes (en moyenne)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.b
      name: "D\xE9finition des r\xF4les d'administrateur et op\xE9rateur"
      description: "Le prestataire doit d\xE9finir et formaliser la liste exhaustive\
        \ :\n- des r\xF4les d\u2019administrateur de son service de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 et des missions associ\xE9es ;\n- des r\xF4\
        les d\u2019op\xE9rateur de son service de d\xE9tection des incidents de s\xE9\
        curit\xE9 et des missions associ\xE9es.\nCette liste doit au minimum inclure\
        \ les r\xF4les d\u2019op\xE9rateur analyste et administrateur d\u2019infrastructure\
        \ (cf. Annexe 2).\nLe prestataire doit justifier de la compatibilit\xE9 des\
        \ r\xF4les d\u2019op\xE9rateurs entre eux et des r\xF4les d\u2019administrateurs\
        \ entre eux, notamment vis-\xE0-vis des ressources acc\xE9d\xE9es, selon les\
        \ principes du moindre privil\xE8ge et du besoin d\u2019en conna\xEEtre."
      annotation: "Preuve(s):\n\u2022 Liste d'acc\xE8s, r\xF4les et comp\xE9tences\
        \ du personnel\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier qu'une liste exhaustive du personnel existe et qu'elle d\xE9\
        taille au minimum :\n- les r\xF4les d\u2019administrateur de son service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9 et des missions associ\xE9\
        es ;\n- les r\xF4les d\u2019op\xE9rateur de son service de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 et des missions associ\xE9es.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que cette liste justifie la compatibilit\xE9\
        \ des r\xF4les entre administrateurs afin de respecter les r\xE8gles de s\xE9\
        curit\xE9 (principe du moindre privil\xE8ges, etc.)\n\nPr\xE9cision(s):\n\
        Pour v\xE9rifier la compatibilit\xE9 des r\xF4les entre eux, le centre d'\xE9\
        valuation se posera notamment de la l\xE9gitimit\xE9 des ressources acc\xE9\
        d\xE9es et des droits associ\xE9s li\xE9s au fait d'acc\xE9der \xE0 la zone\
        \ d'administration (lorsque le r\xF4le est d\xE9fini comme administrateur)\
        \ ou \xE0 la zone d'exploitation (lorsqu'il est d\xE9fini comme op\xE9rateur)"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.d
      name: "Formation de l'\xE9quipe du service de d\xE9tection"
      description: "Le prestataire doit \xE9laborer et mettre en \u0153uvre un plan\
        \ de formation \xE0 destination de l\u2019\xE9quipe du service de d\xE9tection\
        \ et adapt\xE9 \xE0 ses missions."
      annotation: "Preuve(s):\n\u2022 Plan de formation\n\u2022 Supports de formation\n\
        \u2022 Plan de contr\xF4le\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier l'existence d'un plan de formation du personnel\
        \ du service de d\xE9tection.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que ce plan de formation soit adapt\xE9 aux missions du personnel du\
        \ service de d\xE9tection d\xE9crites dans l'Annexe 1, notamment par la mise\
        \ en place de formation distinctes :\n- pour les op\xE9rateurs,\n- pour les\
        \ administrateurs, \n- pour les experts du service,\n- pour toute autre mission\
        \ d\xE9crite dans l'Annexe 1.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que ce plan de formation pr\xE9cise des mesures pour sa mise en \u0153\
        uvre, par exemple : \n- fr\xE9quence des sessions de formation,\n- public\
        \ vis\xE9 par les sessions de formation.           \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans le plan de contr\xF4le que le suivi du plan\
        \ de formation est bien contr\xF4l\xE9, c\u2019est-\xE0-dire que l'on v\xE9\
        rifie :\n- le suivi des formations par le personnel du service de d\xE9tection\
        \ en fonction de leurs missions, \n- les d\xE9lais avant la r\xE9alisation\
        \ de ces formations,\n- l'ad\xE9quation des formations r\xE9alis\xE9es avec\
        \ les \xE9l\xE9ments indiqu\xE9s dans le plan de formation.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier qu'il existe un ou plusieurs supports de\
        \ formation des \xE9quipes du service.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.e
      name: "Mise \xE0 disposition des guides d'exploitation et d'administration des\
        \ dispositifs du service de d\xE9tection"
      description: "Le prestataire doit \xE9laborer et mettre \xE0 disposition des\
        \ personnels les guides d\u2019exploitation ou d\u2019administration des dispositifs\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Guides d'exploitation et d'administration \n\
        \nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence\
        \ de guides d'administration pour la mise en place et l'administration de\
        \ tous les dispositifs du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ (Collecteurs, SIEM, portail Web, Firewall, chiffreurs, VPN, etc.).\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier l'existence de guides d'exploitation\
        \ de tous les dispositifs du service de d\xE9tection des incidents de s\xE9\
        curit\xE9 utilis\xE9s pour la d\xE9livrance de la prestation (Collecteurs,\
        \ SIEM, portail Web, etc.).\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.f
      name: Mise en place d'astreintes
      description: "Il est recommand\xE9 que le prestataire mette en place des astreintes\
        \ lui permettant la mobilisation d\u2019une partie de son \xE9quipe en dehors\
        \ des heures ouvr\xE9es."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.g
      name: Existence d'un centre de veille
      description: "Le prestataire doit disposer en interne d\u2019un centre de veille,\
        \ d\u2019alerte aux attaques d\u2019informatiques ou souscrire \xE0 un tel\
        \ service."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Liste du personnel et r\xF4les associ\xE9s\
        \ (fiches de poste)\n\u2022 Contrats de souscription \xE0 un service externe\n\
        \u2022 Contrats de travail type (pour chaque r\xF4le : op\xE9rateur, administrateur,\
        \ etc.)\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier l'existence d'un contrat de souscription \xE0 un centre externe pour\
        \ la veille et l'alerte aux attaques informatiques (dans le cas o\xF9 celui-ci\
        \ est externe).   \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier l'existence\
        \ de contrats de travail type pour le personnel du centre de veille et d\u2019\
        alerte aux attaques informatiques (dans le cas o\xF9 celui-ci est interne).\
        \  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la liste du personnel\
        \ la pr\xE9sence d'employ\xE9s impliqu\xE9s dans le centre de veille et d\u2019\
        alerte aux attaques d\u2019informatiques (dans le cas o\xF9 celui-ci est interne).\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que :\n- les activit\xE9\
        s r\xE9alis\xE9es dans le cadre de la veille,\n- les sources utilis\xE9es\
        \ pour la veille,\n- les outils sp\xE9cifiques pour r\xE9aliser la veille\
        \ (alerting, etc.),\n- les \xE9l\xE9ments recherch\xE9s,\n- les sites des\
        \ \xE9diteurs,\n- les abonnements \xE0 d'autres centres, \n- etc.\nsont document\xE9\
        es dans un processus de maintien en conditions op\xE9rationnelles et de s\xE9\
        curit\xE9\n\u2022 Le centre d'\xE9valuation doit \xE9galement v\xE9rifier\
        \ que : \n- les sources sont jug\xE9es suffisantes et cr\xE9dibles, \n- la\
        \ description de l'organisation de la veille (personnes impliqu\xE9es, r\xF4\
        les) existe,\n- un processus de cr\xE9ation de r\xE8gle suite \xE0 une information\
        \ remont\xE9e par la veille existe.\n\nPr\xE9cision(s):"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.h
      name: "R\xE9f\xE9rencement du centre de veille par le centre gouvernemental\
        \ de veille"
      description: "Il est recommand\xE9 que le centre de veille, d\u2019alerte aux\
        \ attaques d\u2019informatiques soit r\xE9f\xE9renc\xE9 par le centre gouvernemental\
        \ de veille, d\u2019alerte et de r\xE9ponse aux attaques informatiques (CERT-FR)."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      name: "Mise \xE0 disposition d'un service d'assistance \xE0 distance"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2:2
      ref_id: IV.4.2.i
      description: "i) Le prestataire doit mettre \xE0 disposition du commanditaire\
        \ un service d\u2019assistance \xE0 distance permettant notamment :\n- au\
        \ commanditaire de d\xE9clarer au prestataire un incident de s\xE9curit\xE9\
        \ suspect\xE9 ou av\xE9r\xE9 ;\n- au prestataire d\u2019aider le commanditaire\
        \ \xE0 la r\xE9solution de probl\xE8mes de production li\xE9s aux dispositifs\
        \ g\xE9r\xE9s par le prestataire ;\n- au prestataire d\u2019assister et de\
        \ conseiller le commanditaire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Liste du\
        \ personnel et r\xF4les associ\xE9s (fiches de poste)\n\u2022 Processus de\
        \ d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans la convention de service type que\
        \ le prestataire s'engage \xE0 mettre \xE0 disposition du commanditaire un\
        \ service d\u2019assistance \xE0 distance permettant notamment :\n- au commanditaire\
        \ de d\xE9clarer au prestataire un incident de s\xE9curit\xE9 suspect\xE9\
        \ ou av\xE9r\xE9 ;\n- au prestataire d\u2019aider le commanditaire \xE0 la\
        \ r\xE9solution de probl\xE8mes de production li\xE9s aux dispositifs g\xE9\
        r\xE9s par le prestataire ;\n- au prestataire d\u2019assister et de conseiller\
        \ le commanditaire.  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans\
        \ la convention de service type que le prestataire s'engage \xE0 rendre le\
        \ service d\u2019assistance accessible via un num\xE9ro t\xE9l\xE9phonique\
        \ ou une adresse mail, sp\xE9cifi\xE9s pr\xE9cis\xE9ment dans la convention\
        \ de service de la prestation \xE9valu\xE9e.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans la liste du personnel la pr\xE9sence d'employ\xE9\
        s impliqu\xE9s dans le service d'assistance \xE0 distance.\n\u2022 S\u2019\
        il n'existe pas d'employ\xE9 d\xE9di\xE9 \xE0 ce service, il faut v\xE9rifier\
        \ que, sur l'int\xE9gralit\xE9 des horaires d'ouverture du service d'assistance,\
        \ au minimum une personne est charg\xE9e de r\xE9pondre aux appels et/ou mails\
        \ (on peut imaginer un syst\xE8me de rotation).                    \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d\u2019une prestation PDIS pr\xE9voit la mise en place d'un service d\u2019\
        assistance \xE0 distance pour le commanditaire et accessible par mail ou par\
        \ t\xE9l\xE9phone. \n\u2022 Ce processus doit notamment sp\xE9cifier des proc\xE9\
        dures permettant :\n- au commanditaire de d\xE9clarer au prestataire un incident\
        \ de s\xE9curit\xE9 suspect\xE9 ou av\xE9r\xE9 ;\n- au prestataire d\u2019\
        aider le commanditaire \xE0 la r\xE9solution de probl\xE8mes de production\
        \ li\xE9s aux dispositifs g\xE9r\xE9s par le prestataire ;\n- au prestataire\
        \ d\u2019assister et de conseiller le commanditaire.\n\u2022 Ce processus\
        \ doit \xE9galement d\xE9tailler : \n- la d\xE9finition d'une liste d'employ\xE9\
        s assurant le service d'assistance \xE0 distance, \n- les conditions d'acc\xE8\
        s au service d'assistance \xE0 distance (horaires, coordonn\xE9es, etc.).\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2:2
      ref_id: IV.4.2.j
      description: "j) Le prestataire doit rendre le service d\u2019assistance accessible\
        \ via un num\xE9ro t\xE9l\xE9phonique ou une adresse mail."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Liste du\
        \ personnel et r\xF4les associ\xE9s (fiches de poste)\n\u2022 Processus de\
        \ d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier dans la convention de service type que\
        \ le prestataire s'engage \xE0 mettre \xE0 disposition du commanditaire un\
        \ service d\u2019assistance \xE0 distance permettant notamment :\n- au commanditaire\
        \ de d\xE9clarer au prestataire un incident de s\xE9curit\xE9 suspect\xE9\
        \ ou av\xE9r\xE9 ;\n- au prestataire d\u2019aider le commanditaire \xE0 la\
        \ r\xE9solution de probl\xE8mes de production li\xE9s aux dispositifs g\xE9\
        r\xE9s par le prestataire ;\n- au prestataire d\u2019assister et de conseiller\
        \ le commanditaire.  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans\
        \ la convention de service type que le prestataire s'engage \xE0 rendre le\
        \ service d\u2019assistance accessible via un num\xE9ro t\xE9l\xE9phonique\
        \ ou une adresse mail, sp\xE9cifi\xE9s pr\xE9cis\xE9ment dans la convention\
        \ de service de la prestation \xE9valu\xE9e.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans la liste du personnel la pr\xE9sence d'employ\xE9\
        s impliqu\xE9s dans le service d'assistance \xE0 distance.\n\u2022 S\u2019\
        il n'existe pas d'employ\xE9 d\xE9di\xE9 \xE0 ce service, il faut v\xE9rifier\
        \ que, sur l'int\xE9gralit\xE9 des horaires d'ouverture du service d'assistance,\
        \ au minimum une personne est charg\xE9e de r\xE9pondre aux appels et/ou mails\
        \ (on peut imaginer un syst\xE8me de rotation).                    \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d\u2019une prestation PDIS pr\xE9voit la mise en place d'un service d\u2019\
        assistance \xE0 distance pour le commanditaire et accessible par mail ou par\
        \ t\xE9l\xE9phone. \n\u2022 Ce processus doit notamment sp\xE9cifier des proc\xE9\
        dures permettant :\n- au commanditaire de d\xE9clarer au prestataire un incident\
        \ de s\xE9curit\xE9 suspect\xE9 ou av\xE9r\xE9 ;\n- au prestataire d\u2019\
        aider le commanditaire \xE0 la r\xE9solution de probl\xE8mes de production\
        \ li\xE9s aux dispositifs g\xE9r\xE9s par le prestataire ;\n- au prestataire\
        \ d\u2019assister et de conseiller le commanditaire.\n\u2022 Ce processus\
        \ doit \xE9galement d\xE9tailler : \n- la d\xE9finition d'une liste d'employ\xE9\
        s assurant le service d'assistance \xE0 distance, \n- les conditions d'acc\xE8\
        s au service d'assistance \xE0 distance (horaires, coordonn\xE9es, etc.).\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.k
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.k
      name: "Accessibilit\xE9 du service d'assistance"
      description: "Le prestataire doit mettre en \u0153uvre les m\xE9canismes permettant\
        \ d\u2019\xE9changer avec le commanditaire des informations au minimum de\
        \ niveau Diffusion Restreinte via le service d\u2019assistance."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans la convention de service type\
        \ que le prestataire s'engage :\n- \xE0 mettre en \u0153uvre des m\xE9canismes\
        \ permettant d\u2019\xE9changer avec le commanditaire des informations au\
        \ minimum de niveau Diffusion Restreinte via le service d\u2019assistance,\n\
        - \xE0 communiquer les bonnes pratiques d'utilisation de ces m\xE9canismes\
        \ au commanditaire.   \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit la mise\
        \ en \u0153uvre de m\xE9canismes permettant d\u2019\xE9changer avec le commanditaire\
        \ par mail des informations au minimum de niveau Diffusion Restreinte via\
        \ le service d\u2019assistance. \nCes m\xE9canismes peuvent \xEAtre : \n-\
        \ chiffrement des donn\xE9es par un outil agr\xE9\xE9 pour l'envoi par mail,\
        \ \n- transit des mails par un tunnel VPN IPSec agr\xE9\xE9\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que ce processus d\xE9taille les types\
        \ d'information qu'il est interdit de communiquer par t\xE9l\xE9phone. \n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9voit \xE9\
        galement de transmettre au commanditaire des instructions pour \xE9changer\
        \ avec lui des informations au minimum de niveau Diffusion Restreinte via\
        \ le service d\u2019assistance.  \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2:3
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      name: "D\xE9signation d'un r\xE9f\xE9rent op\xE9rationnel par commanditaire"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.l
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2:3
      ref_id: IV.4.2.l
      description: "l) Le prestataire doit d\xE9signer un r\xE9f\xE9rent op\xE9rationnel\
        \ pour le commanditaire. Il est l\u2019interlocuteur privil\xE9gi\xE9 concernant\
        \ le fonctionnement op\xE9rationnel du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 et le suivi des incidents de s\xE9curit\xE9 d\xE9tect\xE9\
        s. Le prestataire doit informer le commanditaire de tout changement de l\u2019\
        interlocuteur op\xE9rationnel pour le service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Liste du personnel et r\xF4\
        les associ\xE9s (fiches de poste)\n\u2022 Compte-rendu de comit\xE9 op\xE9\
        rationnel\n\u2022 Compte-rendu de comit\xE9 strat\xE9gique\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la convention de service\
        \ type que le prestataire s'engage \xE0 d\xE9signer un r\xE9f\xE9rent op\xE9\
        rationnel pour le commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans la convention de service type que le prestataire s'engage \xE0\
        \ informer le commanditaire de tout changement de l\u2019interlocuteur op\xE9\
        rationnel pour le service de d\xE9tection des incidents de s\xE9curit\xE9\
        , en pr\xE9cisant le d\xE9lai maximal de notification. \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que, pour chaque prestation en cours, au\
        \ moins un des employ\xE9s du prestataire est d\xE9sign\xE9 \"Responsable\
        \ de la prestation\".             \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la fiche de poste du r\xE9f\xE9rent op\xE9rationnel de la\
        \ prestation pr\xE9voit sa pr\xE9sence pour chaque comit\xE9 op\xE9rationnel\
        \ et strat\xE9gique.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d\u2019une prestation PDIS pr\xE9voit de :\
        \ \n- d\xE9signer un r\xE9f\xE9rent op\xE9rationnel pour le commanditaire,\
        \ qui sera l\u2019interlocuteur privil\xE9gi\xE9 concernant le fonctionnement\
        \ op\xE9rationnel du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ et le suivi des incidents de s\xE9curit\xE9 d\xE9tect\xE9s,\n- communiquer\
        \ son identit\xE9 au commanditaire. \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que ce processus pr\xE9voit d'informer le commanditaire de tout\
        \ changement de l\u2019interlocuteur op\xE9rationnel pour le service de d\xE9\
        tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce processus pr\xE9voit \xE9galement la pr\xE9sence\
        \ des r\xE9f\xE9rents op\xE9rationnels pour chaque comit\xE9 op\xE9rationnel\
        \ et strat\xE9gique.         \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le support et/ou compte-rendu type d'un comit\xE9 op\xE9rationnel\
        \ et strat\xE9gique pr\xE9voit que les r\xE9f\xE9rents op\xE9rationnels soient\
        \ pr\xE9sents. \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.n
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2:3
      ref_id: IV.4.2.n
      description: "n) Les r\xE9f\xE9rents op\xE9rationnels doivent participer aux\
        \ comit\xE9s op\xE9rationnels et strat\xE9giques d\xE9finis dans le chapitre\
        \ IV.4.3"
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Liste du personnel et r\xF4\
        les associ\xE9s (fiches de poste)\n\u2022 Compte-rendu de comit\xE9 op\xE9\
        rationnel\n\u2022 Compte-rendu de comit\xE9 strat\xE9gique\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la convention de service\
        \ type que le prestataire s'engage \xE0 d\xE9signer un r\xE9f\xE9rent op\xE9\
        rationnel pour le commanditaire.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans la convention de service type que le prestataire s'engage \xE0\
        \ informer le commanditaire de tout changement de l\u2019interlocuteur op\xE9\
        rationnel pour le service de d\xE9tection des incidents de s\xE9curit\xE9\
        , en pr\xE9cisant le d\xE9lai maximal de notification. \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que, pour chaque prestation en cours, au\
        \ moins un des employ\xE9s du prestataire est d\xE9sign\xE9 \"Responsable\
        \ de la prestation\".             \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que la fiche de poste du r\xE9f\xE9rent op\xE9rationnel de la\
        \ prestation pr\xE9voit sa pr\xE9sence pour chaque comit\xE9 op\xE9rationnel\
        \ et strat\xE9gique.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d\u2019une prestation PDIS pr\xE9voit de :\
        \ \n- d\xE9signer un r\xE9f\xE9rent op\xE9rationnel pour le commanditaire,\
        \ qui sera l\u2019interlocuteur privil\xE9gi\xE9 concernant le fonctionnement\
        \ op\xE9rationnel du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ et le suivi des incidents de s\xE9curit\xE9 d\xE9tect\xE9s,\n- communiquer\
        \ son identit\xE9 au commanditaire. \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que ce processus pr\xE9voit d'informer le commanditaire de tout\
        \ changement de l\u2019interlocuteur op\xE9rationnel pour le service de d\xE9\
        tection des incidents de s\xE9curit\xE9.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce processus pr\xE9voit \xE9galement la pr\xE9sence\
        \ des r\xE9f\xE9rents op\xE9rationnels pour chaque comit\xE9 op\xE9rationnel\
        \ et strat\xE9gique.         \n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le support et/ou compte-rendu type d'un comit\xE9 op\xE9rationnel\
        \ et strat\xE9gique pr\xE9voit que les r\xE9f\xE9rents op\xE9rationnels soient\
        \ pr\xE9sents. \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.2.m
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.2
      ref_id: IV.4.2.m
      name: "D\xE9signation d'un r\xE9f\xE9rent op\xE9rationnel pour le service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9"
      description: "Il est recommand\xE9 au commanditaire de d\xE9signer un r\xE9\
        f\xE9rent op\xE9rationnel pour le service de d\xE9tection des incidents de\
        \ s\xE9curit\xE9."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4
      ref_id: IV.4.3
      name: "Comit\xE9s op\xE9rationnels et strat\xE9giques"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3:1
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3
      name: "IV.4.3.1 Comit\xE9 op\xE9rationnel"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.1.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:1
      ref_id: IV.4.3.1.a
      name: "Animation d'un comit\xE9 op\xE9rationnel trimestriel"
      description: "Le prestataire doit mettre en place et animer en pr\xE9sence du\
        \ commanditaire un comit\xE9 op\xE9rationnel, au minimum une fois par trimestre."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans la convention de service type\
        \ que le prestataire s'engage \xE0 mettre en place et animer en pr\xE9sence\
        \ du commanditaire un comit\xE9 op\xE9rationnel, au minimum une fois par trimestre.\
        \  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la convention\
        \ de service type que la fr\xE9quence des comit\xE9s op\xE9rationnels est\
        \ indiqu\xE9e.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit la tenue d'un comit\xE9\
        \ op\xE9rationnel, en pr\xE9sence du commanditaire, au moins une fois par\
        \ trimestre. \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.1.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:1
      ref_id: IV.4.3.1.b
      name: "Comit\xE9 op\xE9rationnel mensuel"
      description: "Il est recommand\xE9 que le prestataire organise un comit\xE9\
        \ op\xE9rationnel une fois par mois."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.1.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:1
      ref_id: IV.4.3.1.c
      name: "Sujets trait\xE9s lors du comit\xE9 op\xE9rationnel"
      description: "Le comit\xE9 op\xE9rationnel doit traiter au minimum des sujets\
        \ suivants :\n- bilan du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ :\n\uF0A7 revue des indicateurs op\xE9rationnels (voir chapitre IV.5.1)\
        \ ;\n\uF0A7 revue des incidents de s\xE9curit\xE9 d\xE9tect\xE9s ;\n\uF0A7\
        \ revue des strat\xE9gies de collecte, d\u2019analyse et de notification ;\n\
        \uF0A7 revue de la liste des r\xE8gles de d\xE9tection (voir exigence IV.2.1.i))\
        \ ;\n\uF0A7 revue des bulletins d\u2019\xE9tat des r\xE8gles de d\xE9tection\
        \ (voir exigence IV.2.1.j)).\n- p\xE9rim\xE8tre du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 :\n\uF0A7 revue du contexte du commanditaire\
        \ ;\n\uF0A7 revue des changements concernant le syst\xE8me d\u2019information\
        \ du commanditaire ;\n\uF0A7 pr\xE9sentation des projets d\u2019\xE9volutions\
        \ impactant le p\xE9rim\xE8tre du service ;\n\uF0A7 revue de la liste des\
        \ incidents de s\xE9curit\xE9 redout\xE9s.\n- am\xE9lioration du service de\
        \ d\xE9tection des incidents de s\xE9curit\xE9 :\n\uF0A7 revue des indicateurs\
        \ de qualit\xE9 (voir chapitre IV.5.1) ;\n\uF0A7 analyse des \xE9volutions\
        \ op\xE9rationnelles du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ (\xE9volution de l\u2019outillage, modification d\u2019un processus op\xE9\
        rationnel, etc.) ;\n\uF0A7 pr\xE9sentation des r\xE8gles de d\xE9tection cr\xE9\
        \xE9es, modifi\xE9es ou retir\xE9es ;"
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 op\xE9rationnel\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit que l'ordre\
        \ du jour du comit\xE9 op\xE9rationnel comprendra au minimum : \n- bilan du\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9,\n- p\xE9rim\xE8\
        tre du service de d\xE9tection des incidents de s\xE9curit\xE9,\n- am\xE9\
        lioration du service de d\xE9tection des incidents de s\xE9curit\xE9.\n\u2022\
        \ Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit que le cycle de revue des indicateurs lors\
        \ des comit\xE9s soit d\xE9fini avec le commanditaire et formalis\xE9 au d\xE9\
        marrage de la prestation \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ que le support et/ou le compte-rendu type de comit\xE9 op\xE9rationnel fait\
        \ \xE9tat de cet ordre du jour.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.1.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:1
      ref_id: IV.4.3.1.d
      name: "R\xE9daction d'un compte rendu de comit\xE9 op\xE9rationnel"
      description: "Le prestataire doit r\xE9diger un compte rendu \xE0 la suite de\
        \ chaque comit\xE9 op\xE9rationnel et le transmettre au commanditaire pour\
        \ validation. Ce compte rendu doit contenir au minimum la liste des participants,\
        \ les d\xE9cisions prises en comit\xE9s et le plan d\u2019action associ\xE9\
        ."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Compte-rendu type de comit\xE9\
        \ op\xE9rationnel\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans la convention de service type que le prestataire s'engage\
        \ \xE0 r\xE9diger un compte rendu \xE0 la suite de chaque comit\xE9 op\xE9\
        rationnel et le transmettre au commanditaire pour validation dans un d\xE9\
        lai convenu entre le prestataire et le commanditaire.  \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance d'une\
        \ prestation PDIS pr\xE9voit la r\xE9daction d'un compte rendu \xE0 la suite\
        \ de chaque comit\xE9 op\xE9rationnel et sa transmission au commanditaire\
        \ pour validation. \nCe compte rendu contiendra au minimum la liste des participants,\
        \ les d\xE9cisions prises en comit\xE9s et le plan d'action associ\xE9 (t\xE2\
        ches, responsables de ces t\xE2ches et d\xE9lais de r\xE9alisation).    \n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier :\n- que le compte-rendu\
        \ type pr\xE9voit de contenir au minimum la liste des participants, les d\xE9\
        cisions prises en comit\xE9s et le plan d'action associ\xE9,\n- que ce compte-rendu\
        \ doit \xEAtre valid\xE9 par le commanditaire (signature, mail, ...).\n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.1.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:1
      ref_id: IV.4.3.1.e
      name: "Protection du compte rendu de comit\xE9 op\xE9rationnel"
      description: "Le prestataire doit prot\xE9ger le compte rendu du comit\xE9 op\xE9\
        rationnel, en particulier en mati\xE8re de confidentialit\xE9, en tenant compte\
        \ du niveau de sensibilit\xE9 ou de classification de son contenu."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Politique de s\xE9curit\xE9\
        \ des syst\xE8mes d'information\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la convention de service type que le prestataire\
        \ s'engage \xE0 prot\xE9ger les comptes rendus de comit\xE9 op\xE9rationnel,\
        \ en particulier en mati\xE8re de confidentialit\xE9, en tenant compte du\
        \ niveau de sensibilit\xE9 ou de classification de son contenu.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la protection des comptes rendus de comit\xE9\
        \ op\xE9rationnel lors de leur cr\xE9ation, de leur stockage, de leur impression,\
        \ de leur transmission et de leur destruction    \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI pr\xE9cise les r\xE8gles et outils\
        \ \xE0 disposition des \xE9quipes du service de d\xE9tection pour prot\xE9\
        ger les documents sensibles, notamment les comptes rendus de comit\xE9 op\xE9\
        rationnel\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.1.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:1
      ref_id: IV.4.3.1.f
      name: "Stockage des supports de comit\xE9s op\xE9rationnels"
      description: "Le prestataire doit stocker et archiver les supports des comit\xE9\
        s op\xE9rationnels et comptes rendus associ\xE9s dans un espace sp\xE9cifique\
        \ au sein de l\u2019infrastructure du service de d\xE9tection, avec un cloisonnement\
        \ des donn\xE9es au minimum logique entre les commanditaires."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\nV\xE9\
        rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit le stockage des supports\
        \ et comptes rendus des comit\xE9s op\xE9rationnels dans un espace sp\xE9\
        cifique au sein de l'infrastructure du service, avec un cloisonnement des\
        \ donn\xE9es au minimum logique entre les commanditaires.\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que l'espace en question est d\xE9crit\
        \ dans le document d'architecture du service de d\xE9tection, et que le cloisonnement\
        \ op\xE9r\xE9 entre les commanditaires est d\xE9crit.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3:2
      assessable: false
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3
      name: "IV.4.3.2 Comit\xE9 strat\xE9gique"
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.2.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:2
      ref_id: IV.4.3.2.a
      name: "Animation d'un comit\xE9 strat\xE9gique annuel"
      description: "Le prestataire doit mettre en place et animer en pr\xE9sence de\
        \ repr\xE9sentants de la direction du commanditaire un comit\xE9 strat\xE9\
        gique, au minimum une fois par an."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans la convention de service type\
        \ que le prestataire s'engage \xE0 mettre en place et animer en pr\xE9sence\
        \ de repr\xE9sentants de la direction du commanditaire un comit\xE9 strat\xE9\
        gique, au minimum une fois par an.  \n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier dans la convention de service type que la fr\xE9quence des comit\xE9\
        s strat\xE9giques est indiqu\xE9e.\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9\
        voit la tenue d'un comit\xE9 strat\xE9gique, en pr\xE9sence de repr\xE9sentants\
        \ de la direction du commanditaire, au moins une fois par an.         \n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.2.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:2
      ref_id: IV.4.3.2.b
      name: "Comit\xE9 strat\xE9gique semestriel"
      description: "Il est recommand\xE9 que le prestataire organise un comit\xE9\
        \ strat\xE9gique une fois par semestre."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.2.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:2
      ref_id: IV.4.3.2.c
      name: "Sujets trait\xE9s lors du comit\xE9 strat\xE9gique"
      description: "Le comit\xE9 strat\xE9gique doit traiter au minimum des sujets\
        \ suivants :\n- revue des indicateurs strat\xE9giques (voir chapitre IV.5.1)\
        \ ;\n- revue de la convention de service ;\n- revue du plan de r\xE9versibilit\xE9\
        \ ;\n- pr\xE9sentation consolid\xE9e de l\u2019efficacit\xE9 du service de\
        \ d\xE9tection ;\n- revue et anticipation de la menace."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Support / compte-rendu type de comit\xE9 strat\xE9gique\n\n\
        V\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que\
        \ le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit que l'ordre\
        \ du jour comprendra au minimum, pour chaque comit\xE9 strat\xE9gique : \n\
        - revue des indicateurs strat\xE9giques\n- revue de la convention de service\
        \ ;\n- revue du plan de r\xE9versibilit\xE9 ;\n- pr\xE9sentation consolid\xE9\
        e de l\u2019efficacit\xE9 du service de d\xE9tection ;\n- revue et anticipation\
        \ de la menace.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ support et/ou le compte-rendu type de comit\xE9 strat\xE9gique fait \xE9\
        tat de cet ordre du jour.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.2.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:2
      ref_id: IV.4.3.2.d
      name: "R\xE9daction d'un compte rendu de comit\xE9 strat\xE9gique"
      description: "Le prestataire doit r\xE9diger un compte rendu \xE0 la suite de\
        \ chaque comit\xE9 strat\xE9gique et le transmettre au commanditaire pour\
        \ validation. Ce compte rendu doit contenir au minimum les participants et\
        \ les d\xE9cisions prises en comit\xE9."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Compte-rendu type de comit\xE9\
        \ strat\xE9gique\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier dans la convention de service type que le prestataire s'engage\
        \ \xE0 r\xE9diger un compte rendu \xE0 la suite de chaque comit\xE9 strat\xE9\
        gique et le transmettre au commanditaire pour validation dans un d\xE9lai\
        \ convenu entre le prestataire et le commanditaire.  \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que le processus de d\xE9livrance d'une prestation\
        \ PDIS pr\xE9voit :\n- la r\xE9daction d'un compte-rendu \xE0 la suite de\
        \ chaque comit\xE9 strat\xE9gique et sa transmission au commanditaire pour\
        \ validation,\n- que le compte-rendu contienne au minimum les participants\
        \ et les d\xE9cisions prises en comit\xE9.        \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier :\n- que le compte-rendu type d'un comit\xE9 strat\xE9\
        gique pr\xE9voit de contenir au minimum les participants et les d\xE9cisions\
        \ prises en comit\xE9s,\n- que ce compte-rendu doit \xEAtre valid\xE9 par\
        \ le commanditaire (signature, mail, ...).\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.2.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:2
      ref_id: IV.4.3.2.e
      name: "Protection du compte rendu de comit\xE9 strat\xE9gique"
      description: "Le prestataire doit prot\xE9ger le compte rendu du comit\xE9 strat\xE9\
        gique, en particulier en mati\xE8re de confidentialit\xE9, en tenant compte\
        \ du niveau de sensibilit\xE9 ou de classification de son contenu."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Politique de s\xE9curit\xE9\
        \ des syst\xE8mes d'information\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la convention de service type que le prestataire\
        \ s'engage \xE0 prot\xE9ger les comptes rendus de comit\xE9 strat\xE9gique,\
        \ en particulier en mati\xE8re de confidentialit\xE9, en tenant compte du\
        \ niveau de sensibilit\xE9 ou de classification de son contenu.\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9livrance\
        \ d'une prestation PDIS pr\xE9voit la protection des comptes rendus de comit\xE9\
        \ strat\xE9gique lors de leur cr\xE9ation, de leur stockage, de leur impression,\
        \ de leur transmission et de leur destruction    \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la PSSI pr\xE9cise les r\xE8gles et outils\
        \ \xE0 disposition des \xE9quipes du service de d\xE9tection pour prot\xE9\
        ger les documents sensibles, notamment les comptes rendus de comit\xE9 strat\xE9\
        gique\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.4.3.2.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.4.3:2
      ref_id: IV.4.3.2.f
      name: "Stockage des supports de comit\xE9s strat\xE9giques"
      description: "Le prestataire doit stocker et archiver les supports des comit\xE9\
        s strat\xE9giques et comptes rendus associ\xE9s dans un espace sp\xE9cifique\
        \ au sein de l\u2019infrastructure du service de d\xE9tection, avec un cloisonnement\
        \ des donn\xE9es au minimum logique entre les commanditaires."
      annotation: "Preuve(s):\n\u2022 Processus de d\xE9livrance d'une prestation\
        \ PDIS\n\u2022 Document d'architecture du service de d\xE9tection\n\nV\xE9\
        rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus\
        \ de d\xE9livrance d'une prestation PDIS pr\xE9voit le stockage des supports\
        \ et comptes rendus des comit\xE9s strat\xE9giques dans un espace sp\xE9cifique\
        \ au sein de l'infrastructure du service, avec un cloisonnement des donn\xE9\
        es au minimum logique entre les commanditaires.\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que l'espace en question est d\xE9crit dans le document\
        \ d'architecture du service, et que le cloisonnement op\xE9r\xE9 entre les\
        \ commanditaires est d\xE9crit.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5
      assessable: false
      depth: 1
      ref_id: IV.5
      name: "Qualit\xE9 et niveau de service"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.1
      name: "Qualit\xE9 du service"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.a
      name: "Certification ISO9001 sur le p\xE9rim\xE8tre du service"
      description: "Amendement n\xB05\nOption A et B :\nIl est recommand\xE9 que le\
        \ prestataire soit certifi\xE9 [ISO9001] sur le p\xE9rim\xE8tre du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.b
      name: "Mise en \u0153uvre d'un processus de capitalisation sur les incidents\
        \ de s\xE9curit\xE9"
      description: "Amendement n\xB05\nOption A et B :\nLe prestataire doit \xE9laborer\
        \ et mettre en \u0153uvre un processus de capitalisation sur les incidents\
        \ de s\xE9curit\xE9 d\xE9tect\xE9s afin d\u2019am\xE9liorer continuellement\
        \ l\u2019efficacit\xE9 de son service de d\xE9tection."
      annotation: "Preuve(s):\n\u2022 Processus de capitalisation sur les incidents\
        \ de s\xE9curit\xE9\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier l'existence d'un processus de capitalisation sur les incidents\
        \ de s\xE9curit\xE9 pour la gestion des incidents de s\xE9curit\xE9 d\xE9\
        tect\xE9s afin d\u2019am\xE9liorer continuellement la qualit\xE9 de son service\
        \ de d\xE9tection\n\u2022 Ce processus doit d\xE9tailler la r\xE9cup\xE9ration\
        \ et l'analyse des caract\xE9ristiques des incidents, au minimum : \n- Impact\
        \ de l'incident d\xE9tect\xE9,\n- Actifs/dispositifs impact\xE9s, \n- Vuln\xE9\
        rabilit\xE9s qui ont permis l'occurrence de l'incident,\n- R\xE8gles de d\xE9\
        tections d\xE9clench\xE9es \xE0 l'occurrence de l'incident.\n\u2022 Ce processus\
        \ doit \xE9galement d\xE9tailler les m\xE9thodes d'analyse (d\xE9lai, profondeur,\
        \ ...) ainsi que les r\xE9sultats attendus (Rapport, pr\xE9conisations, etc.).\
        \   \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.c
      name: "D\xE9finition des indicateurs op\xE9rationnels et strat\xE9giques"
      description: "Amendement n\xB05\nOption A  : \nLe prestataire doit d\xE9finir\
        \ avec le commanditaire les indicateurs op\xE9rationnels et strat\xE9giques\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9.\n\nAmendement\
        \ n\xB05\nOption B  : \nLe prestataire doit d\xE9finir avec le commanditaire\
        \ les indicateurs op\xE9rationnels et strat\xE9giques du service de d\xE9\
        tection des incidents de s\xE9curit\xE9. Ils comprennent les indicateurs minimaux\
        \ sp\xE9cifi\xE9s dans ce chapitre mais ne s'y limitent pas : le prestataire\
        \ et le commanditaire peuvent convenir d'indicateurs compl\xE9mentaires, adapt\xE9\
        s au contexte de la prestation."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s) Option A:\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la convention de service\
        \ type que le prestataire s'engage \xE0 mettre en place des indicateurs op\xE9\
        rationnels et strat\xE9giques.\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que le processus de d\xE9livrance d'une prestation PDIS pr\xE9voit\
        \ de d\xE9finir avec le commanditaire les indicateurs op\xE9rationnels et\
        \ strat\xE9giques du service de d\xE9tection des incidents de s\xE9curit\xE9\
        .\n\nV\xE9rification(s) Option B :\n\u2022 Le centre d'\xE9valuation doit\
        \ v\xE9rifier dans la convention de service type que le prestataire pr\xE9\
        voit la d\xE9finition avec le commanditaire des indicateurs op\xE9rationnels\
        \ et strat\xE9giques du service de d\xE9tection des incidents de s\xE9curit\xE9\
        . \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.d
      name: "Utilisation des indicateurs propos\xE9s"
      description: "Amendement n\xB05\nOption A (d) et B (d) :\nIl est recommand\xE9\
        \ que le prestataire utilise les indicateurs propos\xE9s dans [ETSI_ISG_ISI]."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.e
      name: "Mise en place de certains indicateurs op\xE9rationnels\nd'activit\xE9"
      description: "Amendement n\xB05\nOption A (inclure l'ensemble des \xE9l\xE9\
        ments en noir et en rouge)\nOption B  (les \xE9l\xE9ments en rouge sont des\
        \ recommandations) :\n\nLe prestataire doit au minimum mettre en place les\
        \ indicateurs op\xE9rationnels d\u2019activit\xE9 suivants :\n- gestion de\
        \ l\u2019infrastructure support du service de d\xE9tection\n\uF0A7 le taux\
        \ de remplissage des syst\xE8mes de stockage des incidents,\n\uF0A7 la capacit\xE9\
        \ restante des syst\xE8mes de stockage des incidents,\n\uF0A7 le taux de disponibilit\xE9\
        \ des dispositifs techniques du service de d\xE9tection :\no portail Web de\
        \ la zone d'\xE9change commanditaire,\no d\xE9p\xF4t relais de l\u2019enclave\
        \ de collecte,\no collecteur de l\u2019enclave de collecte,\no syst\xE8me\
        \ d'envoi des notifications d'incidents,\no outils techniques d'analyse,\n\
        o etc. ;\n- gestion de la s\xE9curit\xE9 des interconnexions du SI du service\
        \ de d\xE9tection\n\uF0A7 le nombre d\u2019\xE9checs d'authentification et\
        \ authentifications r\xE9ussies ainsi que la liste d\xE9taill\xE9e associ\xE9\
        e concernant :\no l\u2019acc\xE8s \xE0 la zone d'\xE9changes commanditaire,\n\
        o l\u2019acc\xE8s depuis des postes nomades d\u2019exploitation,\no l\u2019\
        acc\xE8s depuis des postes nomades d\u2019administration ;\n- gestion des\
        \ capacit\xE9s de d\xE9tection\n\uF0A7 le nombre d'alertes de s\xE9curit\xE9\
        \ d\xE9tect\xE9es par mois,\n\uF0A7 le nombre d'incidents av\xE9r\xE9s suite\
        \ \xE0 une qualification par mois,\n\uF0A7 le nombre de r\xE8gles de d\xE9\
        tection impl\xE9ment\xE9es dans les outils techniques d'analyse,\n\uF0A7 le\
        \ nombre de r\xE8gles de d\xE9tection cr\xE9\xE9es, modifi\xE9es ou retir\xE9\
        es par mois en fonction de l'origine de la demande (activit\xE9 de veille,\
        \ demande du commanditaire, etc.),\n\uF0A7 le classement des 20 r\xE8gles\
        \ de d\xE9tection les plus d\xE9clench\xE9es ;\n- gestion des incidents\n\uF0A7\
        \ le nombre de nouveaux tickets d'incidents ouverts par mois,\n\uF0A7 le nombre\
        \ de tickets d'incidents de s\xE9curit\xE9 clos par mois,\n\uF0A7 le nombre\
        \ de tickets ouverts cumul\xE9 par mois,\n\uF0A7 la dur\xE9e minimale, moyenne,\
        \ maximale entre la cr\xE9ation d'un ticket et sa cl\xF4ture,\n\uF0A7 le nombre\
        \ d'incidents cr\xE9\xE9s selon le niveau de gravit\xE9 de l'incident ;\n\
        - gestion des \xE9v\xE9nements\n\uF0A7 le nombre d'\xE9v\xE9nements non reconnus\
        \ et donc non pris en compte par les outils techniques d'analyse,\n\uF0A7\
        \ le taux d'\xE9v\xE9nements non reconnus et donc non pris en compte par les\
        \ outils techniques d'analyse,\n\uF0A7 le nombre de sources de collecte par\
        \ type d'\xE9quipement source,\n\uF0A7 le nombre de collecteurs,\n\uF0A7 le\
        \ nombre d'\xE9v\xE9nements collect\xE9s par jour et par mois,\n\uF0A7 le\
        \ nombre d'\xE9v\xE9nements collect\xE9s par collecteur par jour et par mois,\n\
        \uF0A7 le nombre d'\xE9v\xE9nements transmis au syst\xE8me de stockage par\
        \ jour et par mois,\n\uF0A7 le taux de remplissage de chaque syst\xE8me de\
        \ stockage des \xE9v\xE9nements, y compris les collecteurs dans l'enclave,\n\
        \uF0A7 la capacit\xE9 restante de chaque syst\xE8me de stockage des \xE9v\xE9\
        nements, y compris les collecteurs dans l'enclave,\n\uF0A7 la capacit\xE9\
        \ de r\xE9tention des collecteurs si la communication est impossible (lien\
        \ r\xE9seau coup\xE9 par exemple) avec le collecteur sup\xE9rieur (en volum\xE9\
        trie et en temps) ;\n- gestion des notifications\n\uF0A7 Le nombre de comptes\
        \ autoris\xE9s \xE0 acc\xE9der au portail Web et pouvant acc\xE9der aux informations\
        \ du commanditaire,\n\uF0A7 Le nombre de comptes d'acc\xE8s au portail Web\
        \ cr\xE9\xE9s par mois,\n\uF0A7 Le nombre de comptes d'acc\xE8s au portail\
        \ Web supprim\xE9s par mois."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Guides d'exploitation\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit la mise\
        \ \xE0 jour r\xE9guli\xE8re d'indicateurs op\xE9rationnels d'activit\xE9.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9\
        voit au minimum les indicateurs op\xE9rationnels d'activit\xE9 document\xE9\
        s dans l'exigence IV.5.1.e).\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier que les guides d'exploitation d\xE9crivent les modalit\xE9s de production\
        \ et de mise \xE0 jour des indicateurs op\xE9rationnels d'activit\xE9.\n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.f
      name: "Mise en place de certains indicateurs op\xE9rationnels d'efficacit\xE9"
      description: "Amendement n\xB05\nOption A (inclure l'ensemble des \xE9l\xE9\
        ments en noir et en rouge)\nOption B  (les \xE9l\xE9ments en rouge sont des\
        \ recommandations) :\n\nLe prestataire doit au minimum mettre en place les\
        \ indicateurs op\xE9rationnels d\u2019efficacit\xE9 suivants :\n- gestion\
        \ des capacit\xE9s de d\xE9tection\n\uF0A7 le d\xE9lai moyen de mise \xE0\
        \ jour des r\xE8gles de d\xE9tection suite \xE0 une demande du commanditaire,\n\
        \uF0A7 le temps de recherche moyen d'un indicateur de compromission, lors\
        \ d\u2019une recherche a posteriori, dans le syst\xE8me de stockage, par type\
        \ d\u2019indicateur de compromission ;\n-  gestion des incidents\n\uF0A7 la\
        \ dur\xE9e moyenne des qualifications d'incident, par typologie d'incident\
        \ et selon son niveau de gravit\xE9 ;\n-  gestion des \xE9v\xE9nements\n\uF0A7\
        \ la dur\xE9e minimale, moyenne, maximale entre la g\xE9n\xE9ration d\u2019\
        un \xE9v\xE9nement par la source de collecte et son stockage dans les syst\xE8\
        mes de stockage des \xE9v\xE9nements ;\n- gestion des notifications\n\uF0A7\
        \ la dur\xE9e minimale, moyenne, maximale entre la d\xE9tection d\u2019un\
        \ \xE9v\xE9nement de s\xE9curit\xE9 et la notification d\u2019un incident\
        \ associ\xE9, selon le niveau de gravit\xE9 de l\u2019incident."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Guides d'exploitation\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit la mise\
        \ en place d'indicateurs op\xE9rationnels d'efficacit\xE9. \n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que ce processus pr\xE9voit au minimum\
        \ les indicateurs op\xE9rationnels d'efficacit\xE9 document\xE9s dans l'exigence\
        \ IV.5.1.f).\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que les guides\
        \ d'exploitation d\xE9crivent les modalit\xE9s de production et de mise \xE0\
        \ jour des indicateurs op\xE9rationnels d'efficacit\xE9.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.g
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.g
      name: "Mise en place de certains indicateurs strat\xE9giques"
      description: "Amendement n\xB05\nOption A (inclure l'ensemble des \xE9l\xE9\
        ments en noir et en rouge)\nOption B  (les \xE9l\xE9ments en rouge sont des\
        \ recommandations) :\n\nLe prestataire doit au minimum mettre en place les\
        \ indicateurs strat\xE9giques suivants :\n- gestion de la s\xE9curit\xE9 des\
        \ interconnexions du SI du service de d\xE9tection\n\uF0A7 l'\xE9volution\
        \ du nombre d'anomalies et incidents relev\xE9s concernant les diff\xE9rents\
        \ acc\xE8s externes au SI du service de d\xE9tection ;\n- gestion de l\u2019\
        infrastructure support du service de d\xE9tection\n\uF0A7 l'\xE9volution par\
        \ mois du taux de disponibilit\xE9 des dispositifs techniques du service de\
        \ d\xE9tection :\no portail Web de la zone d'\xE9changes commanditaire,\n\
        o d\xE9p\xF4t relais de l\u2019enclave de collecte,\no collecteur de l\u2019\
        enclave de collecte,\no syst\xE8me d'envoi des notifications d'incidents,\n\
        o outils techniques d'analyse,\no etc. ;\n- gestion des capacit\xE9s de d\xE9\
        tection\n\uF0A7 les \xE9carts identifi\xE9s par rapport aux diff\xE9rents\
        \ SLA d\xE9finis ;\n- gestion des incidents\n\uF0A7 l'\xE9volution du temps\
        \ moyen de traitement des tickets d'incidents, par criticit\xE9, par mois,\n\
        \uF0A7 l'\xE9volution du nombre de tickets d'incidents ouverts cumul\xE9,\
        \ par criticit\xE9, par mois,\n\uF0A7 le nombre d'incidents av\xE9r\xE9s par\
        \ mois pour le p\xE9rim\xE8tre du service de d\xE9tection du commanditaire\
        \ ;\n- gestion des \xE9v\xE9nements\n\uF0A7 l'\xE9volution du taux de couverture\
        \ de collecte des journaux des \xE9quipements du parc identifi\xE9s dans la\
        \ strat\xE9gie de collecte."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Guides d'exploitation\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit la mise\
        \ en place d'indicateurs strat\xE9giques. \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier que ce processus pr\xE9voit au minimum les indicateurs\
        \ strat\xE9giques document\xE9s dans l'exigence IV.5.1.g).\n\u2022 Le centre\
        \ d'\xE9valuation doit v\xE9rifier que les guides d'exploitation d\xE9crivent\
        \ les modalit\xE9s de production et de mise \xE0 jour des indicateurs strat\xE9\
        giques.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.1.h
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.1
      ref_id: IV.5.1.h
      name: Mise en place d'un processus de mesure des indicateurs
      description: "Le prestataire doit \xE9laborer et tenir \xE0 jour un processus\
        \ de mesure des indicateurs d\xE9crivant, pour chacun des indicateurs op\xE9\
        rationnels et strat\xE9giques d\xE9finis, les m\xE9thodes et moyens mis en\
        \ \u0153uvre par le prestataire pour mesurer l\u2019indicateur."
      annotation: "Preuve(s):\n\u2022 Processus de maintien en conditions op\xE9rationnelles\
        \ et de s\xE9curit\xE9\n\u2022 Guides d'exploitation\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la mesure des indicateurs\
        \ op\xE9rationnels et strat\xE9giques est document\xE9e dans un processus\
        \ de maintien en conditions op\xE9rationnelles par exemple et dans les guides\
        \ d'exploitation\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que ce\
        \ processus pr\xE9cise les modalit\xE9s de mesure pour chaque indicateur et\
        \ notamment : \n- les \xE9l\xE9ments utilisables pour la mesure de l'indicateur\
        \ (sonde, relev\xE9 manuel, etc.),\n- la configuration et l'utilisation de\
        \ ces \xE9l\xE9ments. \n- la fr\xE9quence de mise \xE0 jour de l'indicateur.\
        \  \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.2
      name: "R\xE9versibilit\xE9"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.2.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.2
      ref_id: IV.5.2.a
      name: "\xC9laboration d'un plan de r\xE9versibilit\xE9"
      description: "Le prestataire doit \xE9laborer avec le commanditaire un plan\
        \ de r\xE9versibilit\xE9 du service de d\xE9tection des incidents de s\xE9\
        curit\xE9 permettant une reprise du service par le commanditaire ou un autre\
        \ prestataire de service."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Plan de r\xE9versibilit\xE9\
        \ type\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans la convention de service type que le prestataire s'engage \xE0\
        \ construire et partager un plan de r\xE9versibilit\xE9 avec le commanditaire.\
        \  \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de\
        \ d\xE9livrance d'une prestation PDIS pr\xE9voit d'\xE9laborer avec le commanditaire\
        \ un plan de r\xE9versibilit\xE9 du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 permettant une reprise du service par le commanditaire\
        \ ou un autre prestataire de service.        \n\u2022 Le centre d'\xE9valuation\
        \ doit v\xE9rifier l'existence d'un plan de r\xE9versibilit\xE9 type permettant\
        \ une reprise du service par le commanditaire ou un autre prestataire de service.\
        \ \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.2.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.2
      ref_id: IV.5.2.b
      name: "\xC9l\xE9ments du plan de r\xE9versibilit\xE9"
      description: "Le plan de r\xE9versibilit\xE9 doit au minimum contenir les \xE9\
        l\xE9ments suivants :\n- l\u2019inventaire exhaustif des informations et mat\xE9\
        riels \xE0 restituer ;\n- la dur\xE9e de r\xE9versibilit\xE9 ;\n- les intervenants\
        \ et les actions requises par chacun d\u2019eux ;\n- les formats des informations\
        \ \xE0 restituer ;\n- les moyens de restitution.\nLe prestataire doit \xEA\
        tre capable, si le commanditaire en fait la demande, de restituer les \xE9\
        v\xE9nements de s\xE9curit\xE9 stock\xE9s ainsi que les r\xE8gles de d\xE9\
        tection sp\xE9cifiques au commanditaire du service."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\u2022 Plan de r\xE9versibilit\xE9\
        \ type\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9\
        rifier dans la convention de service type que le prestataire s'engage \xE0\
        \ restituer les \xE9v\xE9nements de s\xE9curit\xE9 stock\xE9s ainsi que les\
        \ r\xE8gles de d\xE9tection sp\xE9cifiques \xE0 un commanditaire, si ce dernier\
        \ en fait la demande. \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier\
        \ dans la convention de service type qu'un d\xE9lai de restitution type est\
        \ pr\xE9cis\xE9.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le\
        \ processus de d\xE9livrance d'une prestation PDIS sp\xE9cifie que le plan\
        \ de r\xE9versibilit\xE9 contiendra au minimum : \n- l\u2019inventaire exhaustif\
        \ des informations et mat\xE9riels \xE0 restituer ;\n- la dur\xE9e de r\xE9\
        versibilit\xE9 ;\n- les intervenants et les actions requises par chacun d\u2019\
        eux ;\n- les formats des informations \xE0 restituer ;\n- les moyens de restitution.\
        \ \n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le plan de r\xE9\
        versibilit\xE9 type contient au minimum les \xE9l\xE9ments suivants : \n-\
        \ l\u2019inventaire exhaustif des informations et mat\xE9riels type \xE0 restituer\
        \ ;\n- la dur\xE9e de r\xE9versibilit\xE9 type ;\n- les intervenants du prestataire\
        \ et les actions requises par chacun d\u2019eux ;\n- les formats des informations\
        \ \xE0 restituer ;\n- les moyens de restitution.\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que les moyens de restitution des \xE9v\xE9nements\
        \ de s\xE9curit\xE9 stock\xE9s ainsi que les r\xE8gles de d\xE9tection sp\xE9\
        cifiques \xE0 un commanditaire sont document\xE9s dans un processus de d\xE9\
        livrance d'une prestation PDIS par exemple.\n\u2022 Ce processus doit d\xE9\
        tailler :\n- le d\xE9lai de restitution,\n- les m\xE9thodes de restitutions,\n\
        - le niveau de s\xE9curit\xE9 des m\xE9thodes de restitution.\n\nPr\xE9cision(s):\n\
        \u2022 Les moyens de restitutions peuvent \xEAtre:\n- Cr\xE9ation d'une cl\xE9\
        \ USB durcie et chiffr\xE9e, \n- T\xE9l\xE9chargement \xE0 distance sur le\
        \ portail Web, via un flux VPN IPSec."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.2.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.2
      ref_id: IV.5.2.c
      name: "Dur\xE9e minimale de r\xE9versibilit\xE9"
      description: "La dur\xE9e de r\xE9versibilit\xE9 doit \xEAtre au minimum de\
        \ trois mois."
      annotation: "Preuve(s):\n\u2022  Convention de service type \n\u2022  Plan de\
        \ r\xE9versibilit\xE9 type\n\nV\xE9rification(s):\n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier dans la convention de service type que le prestataire\
        \ s'engage \xE0 pouvoir fournir une dur\xE9e r\xE9versibilit\xE9 de trois\
        \ mois, au minimum.\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans\
        \ la convention de service type que le prestataire sp\xE9cifie les conditions\
        \ d'extension de la dur\xE9e de r\xE9versibilit\xE9.  \n\u2022 Le centre d'\xE9\
        valuation doit v\xE9rifier que la dur\xE9e de r\xE9versibilit\xE9 d\xE9crite\
        \ dans le plan de r\xE9versibilit\xE9 type est au minimum de trois mois.\n\
        \nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.2.d
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.2
      ref_id: IV.5.2.d
      name: "Dur\xE9e de r\xE9versibilit\xE9 de six mois"
      description: "Il est recommand\xE9 que la dur\xE9e de r\xE9versibilit\xE9 soit\
        \ de six mois."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.2.e
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.2
      ref_id: IV.5.2.e
      name: "Maintien en conditions op\xE9rationnelles"
      description: "Le prestataire doit assurer le maintien en conditions op\xE9rationnelles\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 durant la mise\
        \ en \u0153uvre du plan de r\xE9versibilit\xE9."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de maintien en conditions op\xE9rationnelles et de s\xE9curit\xE9\n\nV\xE9\
        rification(s):\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier dans la\
        \ convention de service type que le prestataire s'engage \xE0 assurer le maintien\
        \ en conditions op\xE9rationnelles du service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 durant la mise en \u0153uvre du plan de r\xE9versibilit\xE9\
        .\n\u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 pr\xE9voit le maintien\
        \ en conditions op\xE9rationnelles et de s\xE9curit\xE9 du service de d\xE9\
        tection durant la mise en \u0153uvre du plan de r\xE9versibilit\xE9.\n\u2022\
        \ Ce processus doit d\xE9tailler :\n- l'accompagnement \xE0 la transition,\n\
        - le passage de connaissance des \xE9quipes,\n- la baisse progressive de charge,\
        \ \n-etc.         \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.2.f
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.2
      ref_id: IV.5.2.f
      name: "Destruction des informations \xE0 l'issue de l'ex\xE9cution du plan de\
        \ r\xE9versibilit\xE9"
      description: "Le prestataire doit d\xE9truire l\u2019ensemble des informations\
        \ relatives au commanditaire \xE0 l\u2019issue de l\u2019ex\xE9cution du plan\
        \ de r\xE9versibilit\xE9 \xE0 l\u2019exception de celles pour lesquelles il\
        \ a re\xE7u une autorisation de conservation de la part du commanditaire (voir\
        \ exigence IV.5.3.4.a)."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\u2022 Processus\
        \ de d\xE9livrance d'une prestation PDIS\n\nV\xE9rification(s):\n\u2022 Le\
        \ centre d'\xE9valuation doit v\xE9rifier dans la convention de service type\
        \ que le prestataire s'engage \xE0 d\xE9truire l\u2019ensemble des informations\
        \ relatives au commanditaire \xE0 l\u2019issue de l\u2019ex\xE9cution du plan\
        \ de r\xE9versibilit\xE9 \xE0 l\u2019exception de celles pour lesquelles il\
        \ a re\xE7u une autorisation de conservation de la part du commanditaire.\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que le processus de d\xE9\
        livrance d'une prestation PDIS pr\xE9voit la destruction de l\u2019ensemble\
        \ des informations relatives au commanditaire \xE0 l\u2019issue de l\u2019\
        ex\xE9cution du plan de r\xE9versibilit\xE9 \xE0 l\u2019exception de celles\
        \ pour lesquelles il a re\xE7u une autorisation de conservation de la part\
        \ du commanditaire.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3
      name: Convention de service
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.1
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.1
      name: "Modalit\xE9s de la prestation"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.1.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.1
      ref_id: IV.5.3.1.a
      name: Contenu de la convention de service
      description: "La convention de service doit :\n- d\xE9crire le p\xE9rim\xE8\
        tre et les objectifs de la prestation, le service de d\xE9tection des incidents\
        \ de s\xE9curit\xE9 et notamment les activit\xE9s de gestion des \xE9v\xE9\
        nements, des incidents et des notifications ;\n- d\xE9crire les moyens techniques\
        \ et organisationnels mis en \u0153uvre par le prestataire dans le cadre de\
        \ sa prestation ;\n- d\xE9crire la localisation du stockage et du traitement\
        \ des donn\xE9es, ainsi que celle de l\u2019exploitation et de l\u2019administration\
        \ du service de d\xE9tection ;\n- d\xE9finir les livrables attendus dans le\
        \ cadre de la prestation, les publics destinataires, leur niveau de sensibilit\xE9\
        \ ou de classification ainsi que les modalit\xE9s associ\xE9es ;\n- d\xE9\
        crire les m\xE9thodes de communication qui seront employ\xE9s lors de la prestation\
        \ entre le prestataire et le commanditaire ;\n- d\xE9finir les r\xE8gles de\
        \ titularit\xE9 des \xE9l\xE9ments prot\xE9g\xE9s par la propri\xE9t\xE9 intellectuelle\
        \ tels que les livrables les outils et les r\xE8gles de d\xE9tection d\xE9\
        velopp\xE9s sp\xE9cifiquement par le prestataire dans le cadre de la prestation\
        \ ;\n- d\xE9crire le processus d\u2019enregistrement et de traitement des\
        \ plaintes par le commanditaire, la victime ou les tiers, ainsi que la marche\
        \ \xE0 suivre pour le d\xE9p\xF4t de plainte ;"
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type : \n- d\xE9crit le p\xE9rim\xE8tre et les objectifs de la prestation,\
        \ le service de d\xE9tection des incidents de s\xE9curit\xE9 et notamment\
        \ les activit\xE9s de gestion des \xE9v\xE9nements, des incidents et des notifications\
        \ ;\n- d\xE9crit les moyens techniques et organisationnels mis en \u0153uvre\
        \ par le prestataire dans le cadre de sa prestation ;\n- d\xE9crit la localisation\
        \ du stockage et du traitement des donn\xE9es, ainsi que celle de l\u2019\
        exploitation et de l\u2019administration du service de d\xE9tection ;\n- d\xE9\
        finit les livrables attendus dans le cadre de la prestation, les publics destinataires,\
        \ leur niveau de sensibilit\xE9 ou de classification ainsi que les modalit\xE9\
        s associ\xE9es ;\n- d\xE9crit les m\xE9thodes de communication qui seront\
        \ employ\xE9s lors de la prestation entre le prestataire et le commanditaire\
        \ ;\n- d\xE9finit les r\xE8gles de titularit\xE9 des \xE9l\xE9ments prot\xE9\
        g\xE9s par la propri\xE9t\xE9 intellectuelle tels que les livrables les outils\
        \ et les r\xE8gles de d\xE9tection d\xE9velopp\xE9s sp\xE9cifiquement par\
        \ le prestataire dans le cadre de la prestation,\n- d\xE9crit le processus\
        \ d\u2019enregistrement et de traitement des plaintes par le commanditaire,\
        \ la victime ou les tiers, ainsi que la marche \xE0 suivre pour le d\xE9p\xF4\
        t de plainte ;          \n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.2
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.2
      name: Organisation du service
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.2.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.2
      ref_id: IV.5.3.2.a
      name: Contenu de la convention de service
      description: "La convention de service doit : \n- stipuler que le prestataire\
        \ d\xE9signe un interlocuteur aupr\xE8s du commanditaire en charge d\u2019\
        assurer le suivi op\xE9rationnel de la prestation ;\n- stipuler que le prestataire\
        \ et le commanditaire identifient les noms, r\xF4les, responsabilit\xE9s ainsi\
        \ que les droits et besoins d\u2019en conna\xEEtre des personnes intervenant\
        \ dans le cadre de la prestation. Cette clause est d\u2019autant plus importante\
        \ si l\u2019existence d\u2019un incident de s\xE9curit\xE9 ne doit pas \xEA\
        tre rendue publique ;\n- stipuler que le prestataire collabore avec des tiers\
        \ mandat\xE9s par le commanditaire et sp\xE9cifiquement d\xE9sign\xE9s par\
        \ ce dernier. Cette clause doit notamment permettre au prestataire de collaborer\
        \ avec un prestataire de r\xE9ponse aux incidents de s\xE9curit\xE9 mandat\xE9\
        \ par le commanditaire en cas d\u2019incident de s\xE9curit\xE9 suspect\xE9\
        \ ou av\xE9r\xE9 ;\n- stipuler que le prestataire ne fait pas intervenir de\
        \ personnels n\u2019ayant pas de relation contractuelle avec lui, n'ayant\
        \ pas sign\xE9 sa charte d\u2019\xE9thique ou ayant fait l\u2019objet d\u2019\
        une inscription au bulletin n\xB03 du casier judiciaire ;\n- stipuler si le\
        \ prestataire autorise l\u2019acc\xE8s distant des administrateurs et des\
        \ op\xE9rateurs au syst\xE8me d\u2019information du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type : \n- stipule que le prestataire d\xE9signe un interlocuteur aupr\xE8\
        s du commanditaire en charge d\u2019assurer le suivi op\xE9rationnel de la\
        \ prestation ;\n- stipule que le prestataire et le commanditaire identifient\
        \ les noms, r\xF4les, responsabilit\xE9s ainsi que les droits et besoins d\u2019\
        en conna\xEEtre des personnes intervenant dans le cadre de la prestation.\
        \ Cette clause est d\u2019autant plus importante si l\u2019existence d\u2019\
        un incident de s\xE9curit\xE9 ne doit pas \xEAtre rendue publique ;\n- stipule\
        \ que le prestataire collabore avec des tiers mandat\xE9s par le commanditaire\
        \ et sp\xE9cifiquement d\xE9sign\xE9s par ce dernier. Cette clause doit notamment\
        \ permettre au prestataire de collaborer avec un prestataire de r\xE9ponse\
        \ aux incidents de s\xE9curit\xE9 mandat\xE9 par le commanditaire en cas d\u2019\
        incident de s\xE9curit\xE9 suspect\xE9 ou av\xE9r\xE9 ;\n- stipule que le\
        \ prestataire ne fait pas intervenir de personnels n\u2019ayant pas de relation\
        \ contractuelle avec lui, n'ayant pas sign\xE9 sa charte d\u2019\xE9thique\
        \ ou ayant fait l\u2019objet d\u2019une inscription au bulletin n\xB03 du\
        \ casier judiciaire ;\n- stipule si le prestataire autorise l\u2019acc\xE8\
        s distant des administrateurs et des op\xE9rateurs au syst\xE8me d\u2019information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9.          \n\n\
        Pr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.3
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.3
      name: "Responsabilit\xE9s"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.3.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.3
      ref_id: IV.5.3.3.a
      name: Contenu de la convention de service
      description: "La convention de service doit :\n- stipuler que le prestataire\
        \ ne d\xE9bute la prestation qu\u2019apr\xE8s approbation formelle et \xE9\
        crite par le commanditaire de la convention de service ;\n- stipuler que le\
        \ prestataire informe le commanditaire en cas de manquement \xE0 la convention\
        \ de service ;\n- stipuler que le prestataire informe le commanditaire en\
        \ cas d\u2019incident de s\xE9curit\xE9 d\xE9tect\xE9 sur le syst\xE8me d\u2019\
        information du service de d\xE9tection des incidents de s\xE9curit\xE9, et\
        \ le d\xE9lai maximal autoris\xE9 pour transmettre l\u2019information suite\
        \ \xE0 un incident ;\n- stipuler que le prestataire ne r\xE9alise que des\
        \ actions strictement en ad\xE9quation avec les objectifs de la prestation\
        \ ;\n- stipuler que le commanditaire dispose de l\u2019ensemble des droits\
        \ de propri\xE9t\xE9 et d\u2019acc\xE8s sur le p\xE9rim\xE8tre de la prestation\
        \ (syst\xE8mes d\u2019information, supports mat\xE9riels, etc.) ou qu\u2019\
        il a recueilli l\u2019accord des \xE9ventuels tiers, et notamment de ses prestataires\
        \ ou partenaires, dont les syst\xE8mes d\u2019information entrent dans le\
        \ p\xE9rim\xE8tre de la prestation ;\n- stipuler que le commanditaire remplit\
        \ toutes les obligations l\xE9gales n\xE9cessaires \xE0 la prestation et notamment\
        \ celles relatives \xE0 la collecte et \xE0 l\u2019analyse d\u2019informations\
        \ ;\n- d\xE9finir les responsabilit\xE9s et les pr\xE9cautions \xE0 respecter\
        \ par l\u2019ensemble des parties concernant les risques potentiels li\xE9\
        s \xE0 la prestation, notamment en mati\xE8re de confidentialit\xE9 des informations\
        \ collect\xE9es et analys\xE9es ainsi qu\u2019en mati\xE8re de disponibilit\xE9\
        \ et d\u2019int\xE9grit\xE9 du syst\xE8me d\u2019information du commanditaire\
        \ ;\n- stipuler que le prestataire dispose d\u2019une assurance professionnelle\
        \ couvrant les \xE9ventuels dommages caus\xE9s au commanditaire et notamment\
        \ \xE0 son syst\xE8me d\u2019information dans le cadre de sa prestation, pr\xE9\
        ciser la couverture de l\u2019assurance et inclure l\u2019attestation d\u2019\
        assurance ;\n- d\xE9finir les responsabilit\xE9s entre le prestataire et le\
        \ commanditaire concernant les enclaves de collecte et de consultation au\
        \ sein du syst\xE8me d\u2019information du commanditaire, conform\xE9ment\
        \ aux exigences IV.3.14.b), IV.3.15.b) et IV.3.15.c) ;\n- stipuler que le\
        \ prestataire a mis en place une proc\xE9dure de gestion des changements concernant\
        \ son propre syst\xE8me d\u2019information ;\n- stipuler que le prestataire\
        \ a mis en place une proc\xE9dure d\u2019am\xE9lioration permanente de l\u2019\
        efficacit\xE9 de son service de d\xE9tection s\u2019appuyant notamment sur\
        \ les indicateurs op\xE9rationnels mentionn\xE9s dans la partie IV.5.1."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type : \n- stipule que le prestataire ne d\xE9bute la prestation qu\u2019\
        apr\xE8s approbation formelle et \xE9crite par le commanditaire de la convention\
        \ de service ;\n- stipule que le prestataire informe le commanditaire en cas\
        \ de manquement \xE0 la convention de service ;\n- stipule que le prestataire\
        \ informe le commanditaire en cas d\u2019incident de s\xE9curit\xE9 d\xE9\
        tect\xE9 sur le syst\xE8me d\u2019information du service de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 , et le d\xE9lai maximal autoris\xE9 pour transmettre\
        \ l'information suite \xE0 un incident;\n- stipule que le prestataire ne r\xE9\
        alise que des actions strictement en ad\xE9quation avec les objectifs de la\
        \ prestation ;\n- stipule que le commanditaire dispose de l\u2019ensemble\
        \ des droits de propri\xE9t\xE9 et d'acc\xE8s sur le p\xE9rim\xE8tre de la\
        \ prestation (syst\xE8mes d'information, supports mat\xE9riels, etc.) ou qu\u2019\
        il a recueilli l\u2019accord des \xE9ventuels tiers, et notamment de ses prestataires\
        \ ou partenaires, dont les syst\xE8mes d\u2019information entrent dans le\
        \ p\xE9rim\xE8tre de la prestation ;\n- stipule que le commanditaire remplit\
        \ toutes les obligations l\xE9gales n\xE9cessaires \xE0 la prestation et notamment\
        \ celles relatives \xE0 la collecte et \xE0 l\u2019analyse d\u2019informations\
        \ ;\n- d\xE9finit les responsabilit\xE9s et les pr\xE9cautions \xE0 respecter\
        \ par l\u2019ensemble des parties concernant les risques potentiels li\xE9\
        s \xE0 la prestation, notamment en mati\xE8re de confidentialit\xE9 des informations\
        \ collect\xE9es et analys\xE9es ainsi qu\u2019en mati\xE8re de disponibilit\xE9\
        \ et d\u2019int\xE9grit\xE9 du syst\xE8me d\u2019information du commanditaire\
        \ ;\n- stipule que le prestataire dispose d\u2019une assurance professionnelle\
        \ couvrant les \xE9ventuels dommages caus\xE9s au commanditaire et notamment\
        \ \xE0 son syst\xE8me d\u2019information dans le cadre de sa prestation, pr\xE9\
        ciser la couverture de l\u2019assurance et inclure l\u2019attestation d\u2019\
        assurance ;\n- d\xE9finit les responsabilit\xE9s entre le prestataire et le\
        \ commanditaire concernant les enclaves de collecte et de consultation au\
        \ sein du syst\xE8me d\u2019information du commanditaire. Les exigences IV.3.14.a),\
        \ IV.3.15.b) et IV.3.15.c) permettent d\u2019aider le prestataire et le commanditaire\
        \ dans la d\xE9finition de ces responsabilit\xE9s ;\n- stipule que le prestataire\
        \ a mis en place une proc\xE9dure de gestion des changements concernant son\
        \ propre syst\xE8me d\u2019information ;\n- stipule que le prestataire a mis\
        \ en place une proc\xE9dure d\u2019am\xE9lioration permanente de l\u2019efficacit\xE9\
        \ de son service de d\xE9tection s\u2019appuyant notamment sur les indicateurs\
        \ op\xE9rationnels mentionn\xE9s dans la partie IV.5.1.           \n\nPr\xE9\
        cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.4
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.4
      name: "Confidentialit\xE9 et  protection de l'information"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.4.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.4
      ref_id: IV.5.3.4.a
      name: Contenu de la convention de service
      description: "La convention de service doit :\n- identifier le niveau de sensibilit\xE9\
        \ ou de classification du service de d\xE9tection des incidents de s\xE9curit\xE9\
        \ mis en \u0153uvre par le prestataire ; \n- identifier le niveau de sensibilit\xE9\
        \ ou de classification du p\xE9rim\xE8tre supervis\xE9 ;\n- stipuler que le\
        \ prestataire ne collecte et n\u2019analyse que les informations strictement\
        \ n\xE9cessaires au bon d\xE9roulement de la prestation ;\n- stipuler que\
        \ le prestataire ne divulgue aucune information relative \xE0 la prestation\
        \ \xE0 des tiers, sauf autorisation formelle et \xE9crite du commanditaire\
        \ ;\n- pr\xE9ciser les clauses relatives \xE0 l\u2019\xE9thique du prestataire\
        \ et inclure la charte d\u2019\xE9thique du prestataire ;\n- pr\xE9ciser les\
        \ modalit\xE9s d\u2019acc\xE8s, de stockage, de transport, de reproduction,\
        \ de destruction et de restitution des informations collect\xE9es et analys\xE9\
        es par le prestataire. Si besoin, le prestataire doit d\xE9finir, en collaboration\
        \ avec le commanditaire, les modalit\xE9s selon les types d\u2019informations\
        \ ;\n- stipuler que le prestataire peut, sauf refus formel et \xE9crit du\
        \ commanditaire, conserver certains types d\u2019informations li\xE9es \xE0\
        \ la prestation et pr\xE9ciser ces types d\u2019information (ex : r\xE8gles\
        \ de d\xE9tection, codes malveillants, sc\xE9narios d\u2019attaque, indicateurs\
        \ de compromission, etc.) ;\n- stipuler que le prestataire anonymise et d\xE9\
        contextualise (suppression de toute information permettant d\u2019identifier\
        \ le commanditaire, de toute information \xE0 caract\xE8re personnel, etc.)\
        \ l\u2019ensemble des informations que le commanditaire l\u2019autorise \xE0\
        \ conserver ;\n- stipuler que le prestataire, sauf refus formel et \xE9crit\
        \ du commanditaire, transmet au centre gouvernemental de veille, d\u2019alerte\
        \ et de r\xE9ponse aux attaques informatiques (CERT-FR) ces informations anonymis\xE9\
        es et d\xE9contextualis\xE9es, ainsi que leur niveau de sensibilit\xE9 et\
        \ leurs conditions d\u2019utilisation ;\n- stipuler que le prestataire doit\
        \ prot\xE9ger les donn\xE9es transmises \xE0 des tiers, en confidentialit\xE9\
        , conform\xE9ment \xE0 leur niveau de sensibilit\xE9 ou de classification\
        \ ;\n- stipuler que le prestataire d\xE9truit l\u2019ensemble des informations\
        \ relatives au commanditaire \xE0 l\u2019issue de la prestation ou \xE0 la\
        \ date d\u2019\xE9ch\xE9ance de la dur\xE9e de conservation, au premier terme\
        \ \xE9chu, \xE0 l\u2019exception de celles pour lesquelles il a re\xE7u une\
        \ autorisation de conservation de la part du commanditaire ;\n- d\xE9finir\
        \ la fr\xE9quence \xE0 laquelle le prestataire teste le plan de sauvegarde\
        \ et de restauration du service de d\xE9tection des incidents de s\xE9curit\xE9\
        ."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type : \n- identifie le niveau de sensibilit\xE9 ou de classification du\
        \ service de d\xE9tection des incidents de s\xE9curit\xE9 mis en \u0153uvre\
        \ par le prestataire ; \n- identifie le niveau de sensibilit\xE9 ou de classification\
        \ du syst\xE8me d\u2019information du commanditaire objet de la prestation\
        \ ;\n- stipule que le prestataire ne collecte et n\u2019analyse que les informations\
        \ strictement n\xE9cessaires au bon d\xE9roulement de la prestation ;\n- stipule\
        \ que le prestataire ne divulgue aucune information relative \xE0 la prestation\
        \ \xE0 des tiers, sauf autorisation formelle et \xE9crite du commanditaire\
        \ ;\n- pr\xE9cise les clauses relatives \xE0 l\u2019\xE9thique du prestataire\
        \ et inclure la charte d\u2019\xE9thique du prestataire ;\n- pr\xE9cise les\
        \ modalit\xE9s d\u2019acc\xE8s, de stockage, de transport, de reproduction,\
        \ de destruction et de restitution des informations collect\xE9es et analys\xE9\
        es par le prestataire. Si besoin, le prestataire doit d\xE9finir, en collaboration\
        \ avec le commanditaire, les modalit\xE9s selon les types d\u2019informations\
        \ ;\n- stipule que le prestataire peut, sauf refus formel et \xE9crit du commanditaire,\
        \ conserver certains types d\u2019informations li\xE9es \xE0 la prestation\
        \ et pr\xE9ciser ces types d\u2019information (ex : r\xE8gles de d\xE9tection,\
        \ codes malveillants, sc\xE9narios d\u2019attaque, indicateurs de compromission,\
        \ etc.) ;\n- stipule que le prestataire anonymise et d\xE9contextualise (suppression\
        \ de toute information permettant d\u2019identifier le commanditaire, de toute\
        \ information \xE0 caract\xE8re personnel, etc.) l\u2019ensemble des informations\
        \ que le commanditaire l\u2019autorise \xE0 conserver ;\n- stipule que le\
        \ prestataire, sauf refus formel et \xE9crit du commanditaire, transmet au\
        \ centre gouvernemental de veille, d\u2019alerte et de r\xE9ponse aux attaques\
        \ informatiques (CERT-FR) ces informations anonymis\xE9es et d\xE9contextualis\xE9\
        es, ainsi que leur niveau de sensibilit\xE9 et leurs conditions d\u2019utilisation\
        \ ;\n- stipule que le prestataire doit prot\xE9ger les donn\xE9es transmises\
        \ \xE0 des tiers, en confidentialit\xE9, conform\xE9ment \xE0 leur niveau\
        \ de sensibilit\xE9 ou de classification ;\n- stipule que le prestataire d\xE9\
        truit l\u2019ensemble des informations relatives au commanditaire \xE0 l\u2019\
        issue de la prestation ou \xE0 la date d\u2019\xE9ch\xE9ance de la dur\xE9\
        e de conservation, au premier terme \xE9chu, \xE0 l\u2019exception de celles\
        \ pour lesquelles il a re\xE7u une autorisation de conservation de la part\
        \ du commanditaire ;\n- d\xE9finit la fr\xE9quence \xE0 laquelle le prestataire\
        \ teste le plan de sauvegarde et de restauration du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.5
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.5
      name: "R\xE9versibilit\xE9"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.5.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.5
      ref_id: IV.5.3.5.a
      name: "Modalit\xE9s de mise en place d'un plan de r\xE9versibilit\xE9"
      description: "La convention de service doit pr\xE9ciser les modalit\xE9s de\
        \ mise en \u0153uvre d\u2019un plan de r\xE9versibilit\xE9 de la prestation\
        \ : dur\xE9e, mise en \u0153uvre, surco\xFBt \xE9ventuel, etc. (voir chapitre\
        \ IV.5.2)"
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9cise les modalit\xE9s de mise en \u0153uvre d\u2019un plan de\
        \ r\xE9versibilit\xE9 de la prestation type : dur\xE9e, mise en \u0153uvre,\
        \ surco\xFBt \xE9ventuel, etc.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.6
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.6
      name: "Lois et r\xE9glementations"
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.6.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.6
      ref_id: IV.5.3.6.a
      name: Contenu de la convention de service
      description: "La convention de service doit :\n- \xEAtre r\xE9dig\xE9e en fran\xE7\
        ais. Le prestataire doit fournir une traduction de courtoisie de la convention\
        \ de service si le commanditaire en fait la demande ;\n- stipuler que seule\
        \ la version fran\xE7aise fait foi, notamment dans le cadre d\u2019un litige\
        \ ;\n- pr\xE9ciser la l\xE9gislation applicable \xE0 la convention de service\
        \ ;\n- pr\xE9ciser les moyens techniques et organisationnels mis en \u0153\
        uvre par le prestataire pour le respect de la l\xE9gislation applicable notamment\
        \ ceux concernant :\n     - les donn\xE9es \xE0 caract\xE8re personnel ;\n\
        \     - l\u2019abus de confiance ;\n     - le secret des correspondances priv\xE9\
        es ;    \n     - le secret m\xE9dical ;\n     - l\u2019atteinte \xE0 la vie\
        \ priv\xE9e ;\n     - l\u2019acc\xE8s ou le maintien frauduleux \xE0 un syst\xE8\
        me d\u2019information ;\n     - le secret professionnel ;\n- pr\xE9ciser les\
        \ \xE9ventuelles exigences l\xE9gales et r\xE9glementaires sp\xE9cifiques\
        \ auxquelles est soumis le commanditaire et notamment celles li\xE9es \xE0\
        \ son secteur d\u2019activit\xE9 ;\n- pr\xE9voir les exigences \xE0 respecter\
        \ par le prestataire dans le cadre d\u2019une affaire judiciaire, civile ou\
        \ arbitrale ;\n- d\xE9finir la dur\xE9e de conservation des informations li\xE9\
        es \xE0 la prestation et notamment les \xE9v\xE9nements collect\xE9s et les\
        \ incidents de s\xE9curit\xE9 d\xE9tect\xE9s. Si besoin, une distinction de\
        \ la dur\xE9e de conservation peut \xEAtre faite en fonction des types d\u2019\
        information. La dur\xE9e minimale de conservation , en accord avec la l\xE9\
        gislation et la r\xE9glementation fran\xE7aise en vigueur, est de :\n    \
        \ - six mois pour les \xE9v\xE9nements collect\xE9s ;\n     - toute la dur\xE9\
        e de la prestation pour les incidents de s\xE9curit\xE9 ainsi que le contexte\
        \ (\xE9v\xE9nements associ\xE9s et rapport(s) d\u2019analyse(s) de qualification)\
        \ et les notifications associ\xE9s."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type :\n- est r\xE9dig\xE9e en fran\xE7ais. Le prestataire doit fournir\
        \ une traduction de courtoisie de la convention de service si le commanditaire\
        \ en fait la demande ;\n- stipule que seule la version fran\xE7aise fait foi,\
        \ notamment dans le cadre d\u2019un litige ;\n- pr\xE9cise la l\xE9gislation\
        \ applicable \xE0 la convention de service ;\n- pr\xE9cise les moyens techniques\
        \ et organisationnels mis en \u0153uvre par le prestataire pour le respect\
        \ de la l\xE9gislation applicable notamment ceux concernant :\n     - les\
        \ donn\xE9es \xE0 caract\xE8re personnel ;\n     - l\u2019abus de confiance\
        \ ;\n     - le secret des correspondances priv\xE9es ;    \n     - le secret\
        \ m\xE9dical ;\n     - l\u2019atteinte \xE0 la vie priv\xE9e ;\n     - l\u2019\
        acc\xE8s ou le maintien frauduleux \xE0 un syst\xE8me d\u2019information ;\n\
        \     - le secret professionnel ;\n- pr\xE9cise les \xE9ventuelles exigences\
        \ l\xE9gales et r\xE9glementaires sp\xE9cifiques auxquelles est soumis le\
        \ commanditaire et notamment celles li\xE9es \xE0 son secteur d\u2019activit\xE9\
        \ ;\n- pr\xE9voit les exigences \xE0 respecter par le prestataire dans le\
        \ cadre d\u2019une affaire judiciaire, civile ou arbitrale ;\n- d\xE9finit\
        \ la dur\xE9e de conservation des informations li\xE9es \xE0 la prestation\
        \ et notamment les \xE9v\xE9nements collect\xE9s et les incidents de s\xE9\
        curit\xE9 d\xE9tect\xE9s. Si besoin, une distinction de la dur\xE9e de conservation\
        \ peut \xEAtre faite en fonction des types d\u2019information. La dur\xE9\
        e minimale de conservation est de six mois en accord avec la l\xE9gislation\
        \ et la r\xE9glementation fran\xE7aise en vigueur.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.6.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.6
      ref_id: IV.5.3.6.b
      name: "L\xE9gislation applicable"
      description: "Il est recommand\xE9 que la l\xE9gislation applicable \xE0 la\
        \ convention de service soit la l\xE9gislation fran\xE7aise."
      annotation: RECOMMANDATION
      implementation_groups:
      - R
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.6.c
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.6
      ref_id: IV.5.3.6.c
      name: "L\xE9gislation applicable"
      description: "Si la l\xE9gislation applicable \xE0 la convention de service\
        \ est la l\xE9gislation fran\xE7aise, le prestataire doit pr\xE9ciser dans\
        \ la convention de service les moyens techniques et organisationnels qu\u2019\
        il met en \u0153uvre pour le respect des textes suivants :\n- les donn\xE9\
        es \xE0 caract\xE8re personnel [LOI_IL] ;\n- l\u2019abus de confiance [CP_ART_314-1]\
        \ ;\n- le secret des correspondances priv\xE9es [CP_ART_226-15] ;\n- le secret\
        \ m\xE9dical [CSP_ART_L1110-4] ;\n- l\u2019atteinte \xE0 la vie priv\xE9e\
        \ [CP_ART_226-1] ;\n- l\u2019acc\xE8s ou le maintien frauduleux \xE0 un syst\xE8\
        me d\u2019information [CP_ART_323-1] ;\n- le secret professionnel [CP_ART_226-13],\
        \ le cas \xE9ch\xE9ant sans pr\xE9judice de l\u2019application de l\u2019\
        article 40 alin\xE9a 2 du Code de proc\xE9dure p\xE9nale relatif au signalement\
        \ \xE0 une autorit\xE9 judiciaire."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9cise les moyens techniques et organisationnels mis en \u0153\
        uvre par le prestataire pour le respect de la l\xE9gislation fran\xE7aise\
        \ applicable notamment ceux concernant :\n     - les donn\xE9es \xE0 caract\xE8\
        re personnel [LOI_IL];\n     - l\u2019abus de confiance [CP_ART_314-1] ;\n\
        \     - le secret des correspondances priv\xE9es [CP_ART_226-15] ;\n     -\
        \ le secret m\xE9dical [CSP_ART_L1110-4] ;\n     - l\u2019atteinte \xE0 la\
        \ vie priv\xE9e [CP_ART_226-1] ;\n     - l\u2019acc\xE8s ou le maintien frauduleux\
        \ \xE0 un syst\xE8me d\u2019information [CP_ART_323-1] ;\n     - le secret\
        \ professionnel [CP_ART_226-13], le cas \xE9ch\xE9ant sans pr\xE9judice de\
        \ l\u2019application de l\u2019article 40 alin\xE9a 2 du Code de proc\xE9\
        dure p\xE9nale relatif au signalement \xE0 une autorit\xE9 judiciaire.\n\n\
        Pr\xE9cision(s):\n\u2022 Le centre d'\xE9valuation peut v\xE9rifier le respect\
        \ du RGPD concernant les donn\xE9es \xE0 caract\xE8re personnel."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.7
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.7
      name: Sous-traitance
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.7.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.7
      ref_id: IV.5.3.7.a
      name: Sous-traitance
      description: "La convention de service doit pr\xE9ciser que le prestataire peut\
        \ sous-traiter tout ou partie de la prestation \xE0 un autre prestataire sous\
        \ r\xE9serve que :\n- il existe une convention de service entre le prestataire\
        \ et le sous-traitant ;\n- le recours \xE0 la sous-traitance est connu et\
        \ formellement accept\xE9 par \xE9crit par le commanditaire ;\n- le sous-traitant\
        \ respecte les exigences du pr\xE9sent r\xE9f\xE9rentiel."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9cise que le prestataire peut sous-traiter tout ou partie de la\
        \ prestation \xE0 un autre prestataire qualifi\xE9 pour les activit\xE9s sous-trait\xE9\
        es sous r\xE9serve que :\n- il existe une convention de service entre le prestataire\
        \ et le sous-traitant ;\n- le recours \xE0 la sous-traitance est connu et\
        \ formellement accept\xE9 par \xE9crit par le commanditaire ;\n- le sous-traitant\
        \ respecte les exigences du pr\xE9sent r\xE9f\xE9rentiel.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.8
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.8
      name: Livrables
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.8.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.8
      ref_id: IV.5.3.8.a
      name: Contenu de la convention de service
      description: "La convention de service doit pr\xE9ciser que les livrables de\
        \ la prestation sont en langue fran\xE7aise sauf si le commanditaire en fait\
        \ la demande formelle et \xE9crite."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type pr\xE9cise la langue des livrables de la prestation.\n\nPr\xE9cision(s):\n\
        Aucune"
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.9
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.9
      name: Qualification du service
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.9.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.9
      ref_id: IV.5.3.9.a
      name: Contenu de la convention de service
      description: "La convention de service doit indiquer que :\n- la prestation\
        \ r\xE9alis\xE9e est une prestation qualifi\xE9e et doit inclure l\u2019attestation\
        \ de qualification du prestataire ;\n- conform\xE9ment au processus de qualification\
        \ des prestataires de service de confiance [PROCESS_QUALIF] le commanditaire\
        \ peut d\xE9poser une r\xE9clamation contre le prestataire aupr\xE8s de l\u2019\
        ANSSI ;\n- le commanditaire autorise, conform\xE9ment au processus de qualification\
        \ des prestataires de service de confiance [PROCESS_QUALIF], l\u2019ANSSI\
        \ et le centre d'\xE9valuation \xE0 auditer le syst\xE8me d\u2019information\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 du prestataire\
        \ ;\n- le commanditaire autorise, conform\xE9ment au pr\xE9sent r\xE9f\xE9\
        rentiel (voir exigence IV.3.4.f), un prestataire d\u2019audit de la s\xE9\
        curit\xE9 des syst\xE8mes d\u2019information (PASSI) qualifi\xE9 mandat\xE9\
        \ par le prestataire \xE0 auditer le syst\xE8me d\u2019information du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 du prestataire dans le cadre\
        \ du plan de contr\xF4le."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type indique que :\n- la prestation r\xE9alis\xE9e est une prestation qualifi\xE9\
        e et doit inclure l\u2019attestation de qualification du prestataire ;\n-\
        \ conform\xE9ment au processus de qualification des prestataires de service\
        \ de confiance [PROCESS_QUALIF_PSCO] le commanditaire peut d\xE9poser une\
        \ r\xE9clamation contre le prestataire aupr\xE8s de l\u2019ANSSI ;\n- le commanditaire\
        \ autorise, conform\xE9ment au processus de qualification des prestataires\
        \ de service de confiance [PROCESS_QUALIF_PSCO], l\u2019ANSSI et le centre\
        \ d'\xE9valuation \xE0 auditer le syst\xE8me d\u2019information du service\
        \ de d\xE9tection des incidents de s\xE9curit\xE9 du prestataire ;\n- le commanditaire\
        \ autorise, conform\xE9ment au pr\xE9sent r\xE9f\xE9rentiel (voir exigence\
        \ IV.3.4.d), un prestataire d\u2019audit de la s\xE9curit\xE9 des syst\xE8\
        mes d\u2019information (PASSI) qualifi\xE9 mandat\xE9 par le prestataire \xE0\
        \ auditer le syst\xE8me d\u2019information du service de d\xE9tection des\
        \ incidents de s\xE9curit\xE9 du prestataire dans le cadre du plan de contr\xF4\
        le.          \n\nPr\xE9cision(s):\n\u2022 Lors de l'\xE9valuation initiale,\
        \ l'absence d'attestation de qualification ne constitue pas une non conformit\xE9\
        ."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.9.b
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.9
      ref_id: IV.5.3.9.b
      name: "Cas d'une prestation non qualifi\xE9e"
      description: "Lorsque le prestataire r\xE9alise une prestation non qualifi\xE9\
        e (cf. III.2), il doit l\u2019indiquer explicitement dans la convention de\
        \ service et sensibiliser le commanditaire aux risques de ne pas exiger une\
        \ prestation qualifi\xE9e."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ pr\xE9voit d'expliciter clairement lorsque la prestation n'est pas qualifi\xE9\
        e et pr\xE9cise les risques de ne pas exiger une prestation qualifi\xE9e.\n\
        \nPr\xE9cision(s):\nLes avantages d'une prestation qualifi\xE9e sont :\n-\
        \ Garantie de comp\xE9tence de l'\xE9quipe de d\xE9tection\n- Garantie de\
        \ d\xE9ontologie, de protection et de confidentialit\xE9 des donn\xE9es collect\xE9\
        es et documents \xE9chang\xE9s.\n- Garantie d'une m\xE9thodologie appropri\xE9\
        e \xE0 la d\xE9tection des incidents de s\xE9curit\xE9.\n- Recours possible\
        \ aupr\xE8s de l'ANSSI si la prestation r\xE9alis\xE9e s'av\xE8re non conforme\
        \ au r\xE9f\xE9rentiel PDIS."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.10
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5
      ref_id: IV.5.3.10
      name: Niveau de service
    - urn: urn:intuitem:risk:req_node:pdis:iv.5.3.10.a
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:pdis:iv.5.3.10
      ref_id: IV.5.3.10.a
      name: Contenu de la convention de service
      description: "La convention de service doit :\n- d\xE9finir les indicateurs\
        \ op\xE9rationnels et strat\xE9giques permettant de mesurer le niveau de service\
        \ de la prestation ;\n- d\xE9finir les plages horaires op\xE9rationnelles\
        \ du service de d\xE9tection des incidents de s\xE9curit\xE9 ;\n- stipuler\
        \ que le prestataire organise en pr\xE9sence du commanditaire des comit\xE9\
        s op\xE9rationnels et strat\xE9giques ; \n- d\xE9tailler les objectifs de\
        \ ces comit\xE9s et leur fr\xE9quence ;\n- identifier, pour le prestataire\
        \ et le commanditaire, la charge des ressources humaines consacr\xE9e \xE0\
        \ la gestion des r\xE8gles de d\xE9tection et notamment \xE0 leur cr\xE9ation\
        \ ou leur modification ;\n- d\xE9finir la fr\xE9quence \xE0 laquelle le prestataire\
        \ transmet au commanditaire le bulletin d\u2019\xE9tat des r\xE8gles de d\xE9\
        tection ;\n- stipuler que le prestataire met \xE0 disposition du commanditaire\
        \ un service d\u2019assistance et les plages horaires op\xE9rationnelles de\
        \ ce service d\u2019assistance ;\n- pr\xE9ciser le type du service d\u2019\
        assistance (t\xE9l\xE9phone, mail, etc.), sa disponibilit\xE9 et le niveau\
        \ de sensibilit\xE9 ou de classification des informations qu\u2019il permet\
        \ d\u2019\xE9changer ; \n- stipuler le niveau de comp\xE9tence du personnel\
        \ r\xE9alisant les astreintes, en fonction des besoins du commanditaire et\
        \ dans le cas o\xF9 des astreintes sont mises en place."
      annotation: "Preuve(s):\n\u2022 Convention de service type\n\nV\xE9rification(s):\n\
        \u2022 Le centre d'\xE9valuation doit v\xE9rifier que la convention de service\
        \ type :\n- d\xE9finit les indicateurs op\xE9rationnels et strat\xE9giques\
        \ permettant de mesurer le niveau de service de la prestation ;\n- d\xE9finit\
        \ les plages horaires op\xE9rationnelles du service du service de d\xE9tection\
        \ des incidents de s\xE9curit\xE9 ;\n- stipule que le prestataire organise\
        \ en pr\xE9sence du commanditaire des comit\xE9s op\xE9rationnels et strat\xE9\
        giques, \n- d\xE9taille les objectifs de ces comit\xE9s et leur fr\xE9quence\
        \ ;\n- identifie, pour le prestataire et le commanditaire, la charge des ressources\
        \ humaines consacr\xE9e \xE0 la gestion des r\xE8gles de d\xE9tection et notamment\
        \ \xE0 leur cr\xE9ation ou leur modification ;\n- d\xE9finit la fr\xE9quence\
        \ \xE0 laquelle le prestataire transmet au commanditaire le bulletin d\u2019\
        \xE9tat des r\xE8gles de d\xE9tection ;\n- stipule que le prestataire met\
        \ \xE0 disposition du commanditaire un service d\u2019assistance et les plages\
        \ horaires op\xE9rationnelles de ce service d\u2019assistance ;\n- pr\xE9\
        cise le type du service d\u2019assistance (t\xE9l\xE9phone, mail, etc.), sa\
        \ disponibilit\xE9 et le niveau de sensibilit\xE9 ou de classification des\
        \ informations qu\u2019il permet d\u2019\xE9changer ; \n- stipule le niveau\
        \ de comp\xE9tence du personnel r\xE9alisant les astreintes, en fonction des\
        \ besoins du commanditaire et dans le cas o\xF9 des astreintes sont mises\
        \ en place.\n\nPr\xE9cision(s):\nAucune"
      implementation_groups:
      - E
