politique de certification de l'infrastructure de gestion de clés ...

4.2 Traitement d’une demande
4.2.1 Exécution des processus d’identification et de validation de la demande
Processus adapté aux ACR gouvernementales
Les ACR gouvernementales adressent directement leur dossier de demande à l’AE de l’IGC/A
L’AE de l’IGC/A accuse réception de l’envoi au demandeur indiqué dans le formulaire. Cet accusé de
réception ne préjuge nullement de la recevabilité de la demande.
L’AE vérifie que la demande est complète et répond aux critères définis au §4.1.1 à l’exception de la
conformité des pratiques aux exigences de l’IGC/A.
L’AE informe alors par messagerie électronique le demandeur de la prise en compte de sa demande,
ou de son rejet en précisant le motif de rejet.
Si la demande est prise en compte, l’AE se met en rapport avec les points de contact techniques de
l’ACR demandeuse afin de leur transmettre des certificats de tests et d’organiser l’audit de cette ACR.
L’ACR dispose d’un délai de [T_TESTS] pour réaliser ses simulations et faire part à l’AE d’éventuels
problèmes rencontrés. Passé ce délai, sans remarque de la part de l’ACR, le format du certificat de
test est considéré comme valide et sert de modèle au certificat final. L’ACR peut demander à l’AE de
l’IGC/A la modification de ce délai.
Parallèlement, l’AE définit avec l’ACR les modalités de communication des informations nécessaires à
l’audit et planifie une visite du site d’exploitation de l’IGC de l’ACR.
L’AE de l’IGC/A s’efforcera d’accuser réception des demandes dans un délai [T_MAX_AE].
4.2.2 Acceptation ou rejet de la demande
La demande est rejetée :
si l’organisme faisant la demande n’entre pas dans le champ d’application de la présente PC ;
si les signataires de la demande ne sont pas habilités à la faire ;
si les éléments transmis sont incomplets concernant l’identification des points de contacts et
les signatures d’autorités requises ;
si l’ACR n’est pas conforme aux exigences de la présente PC et au [guide_rédaction_ACR].
Cette conformité est vérifiée :
soit sur la base des conclusions et réserves du rapport d’audit de conformité, réalisé dans un
délai inférieur à [F_CONFORM] précédant la demande, par un organisme de qualification
habilité ; si elle le juge utile, l’AE de l’IGC/A peut procéder à une visite de conformité
complémentaire ;
soit par un audit de conformité à [guide_rédaction_ACR] selon le [guide_audit_ACR] réalisé
par l’ANSSI, chargée de la vérification de la recevabilité de la demande de certificat.
La demande peut être mise en attente par l’AE de l’IGC/A s’il n’est pas possible que les travaux
d’audit soient menés dans un délai de [T_Max_Audit]. Dans ce cas elle en informe l’ACR dans les
meilleurs délais.
Le résultat de l’audit de conformité aux exigences applicables à l’IGC/A, est transmis à l’ACR et l’AE
de l’IGC/A, qui décide d’accepter ou de refuser la demande au regard des conclusions du rapport.
L’AE envoie alors au demandeur un courrier signé de l’ACR de l’IGC/A notifiant son refus ou son
accord, avec, en cas d’accord, la date retenue pour la cérémonie de signature du certificat.