politique de certification de l'infrastructure de gestion de clés ...

5.3.2 Procédures de vérification des antécédents
Préalablement à l’affectation à un rôle de confiance, les agents recrutés par l’AA de l’IGC/A devront
avoir été habilités au niveau CONFIDENTIEL DEFENSE. Leur habilitation sera revue régulièrement,
au minimum une fois tous les 5 ans.
5.3.3 Exigences en matière de formation initiale
Les personnes intervenant dans les services de l’IGC/A, doivent être formées aux logiciels, matériels
et procédures internes de fonctionnement des services opérés.
5.3.4 Exigences et fréquence en matière de formation continue
Tout nouvel opérateur doit suivre une formation initiale au système, aux politiques de sécurité, au plan
de secours, aux logiciels et opérations qu’il doit mettre en œuvre. Chaque opérateur devra assister à
une formation après toute évolution importante du système.
5.3.5 Fréquence et séquence de rotation entre différentes attributions
Aucune exigence spécifique concernant la fréquence de rotation n’est exprimée, à l’exception de la
rotation des rôles de porteurs de secrets.
Les porteurs de secret peuvent déléguer, selon les règles de délégation des ACSSI, leur part à une
personne qui ne peut en aucun cas recevoir en propre ou en délégation, une autre part de secret
durant toute la vie de la bi-clé partagée.
5.3.6 Sanctions en cas d’actions non autorisées
L’ACR de l’IGC/A, en concertation avec l’AA, décide des sanctions à appliquer lorsqu’un agent abuse
de ses droits ou effectue une opération non-conforme à ses attributions.
5.3.7 Exigences vis-à-vis du personnel des prestataires externes
Les personnels contractants doivent respecter les mêmes conditions que celles énoncées dans les
rubriques 5.3.1, 5.3.2, 5.3.3 et 5.3.4.
5.3.8 Documentation fournie au personnel
Les documents dont doit disposer le personnel, en fonction de son besoin d’en connaître pour
l’exécution de sa mission, sont les suivants :
PC de l’IGC/A ;
DPC de l’IGC/A ;
documentation technique des matériels et logiciels utilisés ;
manuels de formations ;
procédures internes de fonctionnement.
L’ACR et l’AE doivent veiller à ce que leur personnel respectif possède bien les documents identifiés
ci-dessus en fonction de leur besoin d’en connaître comme le précise la DPC.