POLITIQUE EN MATIERE DE CONTROLE DE L'ACCES

Transcription

1 Cour Pénale Internationale International Criminal Court RENDU PUBLIC le 22 novembre 2012 par application de la circulaire ICC/INF/2012/020 Instruction administrative ICC/AI/2007/003 Date: 19/06/2007 POLITIQUE EN MATIERE DE CONTROLE DE L'ACCES Aux fins de l'établissement de conditions concernant le contrôle de l'accès aux informations, en application de la directive de la Présidence ICC/Presd/G/2005/001, le Greffe promulgue ce qui suit : Note explicative La présente instruction administrative définit les modalités du contrôle de l'accès aux informations, aux locaux et aux processus en fonction des besoins en matière de sécurité et d'opérations. Elle fixe les conditions de création, de gestion et de suppression des comptes et privilèges des utilisateurs. Elle décrit le mode d'octroi d'autorisations et de privilèges aux nouveaux utilisateurs ainsi que les modalités de révision et de révocation éventuelle de ces privilèges, et fixe les mesures adéquates visant à empêcher que des utilisateurs puissent obtenir des privilèges ou un accès non autorisés. L'instruction administrative comporte six parties : Introduction Accès physique Accès aux systèmes informatiques Consignation Identification et authentification Dispositions finales Des procédures de fonctionnement standard doivent être établies par les responsables pour chaque système et application en vue de définir les responsabilités décisionnelles et les critères régissant les accès. Ces procédures varient en fonction des systèmes et applications et de leurs responsables. La présente instruction administrative traite de questions proches de l'instruction administrative intitulée «Règles de procédure des services informatiques et réseau» et le projet d'instruction administrative intitulée «Contrôles d'accès physique automatisés». Les auteurs ont veillé à éviter tout chevauchement ou toute contradiction des dispositions. RESTREINT CPI Page 1

2 PARTIE I - INTRODUCTION Section 1 Définitions 1.1. Profil d'accès : ensemble des droits d'accès attribués à un utilisateur Confidentialité: exclusivité ou caractère de ce qui est «confidentiel». Le terme n'évoque pas en lui-même un niveau de sensibilité ou de protection nécessaire Administrateur désigné des accès : chef de section chargé de l'administration des utilisateurs et de leurs droits d'accès à un système informatique Dépositaire des informations: chef de section chargé de la fourniture de services informatiques conformes aux instructions des propriétaires désignés d'informations Propriétaires désignés d'informations : principaux responsables de la CPI, chefs de direction et de section (ou leur délégué) qui sont chargés, au nom de la Cour, de l'acquisition, de la création et de la conservation des informations relevant de leur compétence Evénement : action lancée par un utilisateur ou un programme sur un système informatique à un moment donné et considérée comme l'unité élémentaire d'observation Archive d'événement : un enregistrement unique créé manuellement ou automatiquement dans le but de conserver les informations relatives à un événement CS : chef de section ou son délégué pour une tâche donnée Infrastructure informatique: ensemble des équipements, logiciels, méthodes et procédures permettant d'activer et de prendre en charge des systèmes informatiques, et notamment les applications, bases de données, serveurs, pare-feu, routeurs, commutateurs, serveurs mandataires et passerelles Système informatique : ensemble des équipements, logiciels, méthodes et procédures aménagés en vue de traiter les informations, y compris l'infrastructure informatique sous-jacente Information : tout type d'information, quel qu'en soit le support, produite, transmise et conservée pour et par la Cour Système d'information : ensemble de l'infrastructure, de l'organisation, du personnel et des composantes dont le rôle est de collecter, traiter, stocker, transmettre, présenter, diffuser et supprimer des informations Passe-partout : clef permettant d'accéder à l'ensemble ou, dans le cas d'un passe partiel, à une partie des locaux PIN : numéro d'identification personnel Droits d'accès privilégié : droits d'accès permettant aux utilisateurs de contourner les dispositifs de contrôle des systèmes informatiques et/ou de définir des droits d'accès pour les utilisateurs Répartition des tâches: distribution des tâches entre différents utilisateurs en vue de limiter les risques d'erreurs et de fraude PFS : procédures de fonctionnement standard SS - Section de la sécurité du Greffe VSI/SS - Unité de sécurité de l'information dépendant de la Section de la sécurité du Greffe. 1 Directive de la Présidence ICC/Presd/G/2005/001 RESTREINT CPI Page 2

3 1.20. Personnel : aux fins de la présente instruction administrative, le terme «Personnel» désigne l'ensemble des fonctionnaires, des responsables élus et des personnes qui sont affiliées à la Cour ou entretiennent avec elle des relations contractuelles, tels que les contractants indépendants, le personnel fourni à titre gracieux, les stagiaires, consultants, bénévoles, interprètes et autres sous-traitants autorisés à avoir accès aux informations de la CPI dans l'exercice de leurs fonctions officielles. Remarque : les responsables élus ne sont pas soumis à la procédure disciplinaire régulière mais ils sont tenus au respect des procédures et exigences administratives de la Cour Administrateur système : utilisateur qui gère et entretient les systèmes informatiques Utilisateur: toute personne qui interagit avec un système d'information, notamment avec des systèmes informatiques Nom d'utilisateur: séquence de caractères utilisée aux fins d'identification et nécessaire pour se connecter à un système informatique. Les termes «nom de connexion» et «compte» sont également utilisés. Section 2 Généralités 2.1. La présente instruction administrative établit les pratiques de la Cour afin de protéger, en en contrôlant l'accès, l'intégrité, de la disponibilité et de la confidentialité de l'information pendant tout son cycle de vie dans le cadre des opérations de la Cour La présente instruction administrative a les objectifs suivants : a) Définir les exigences de la Cour en matière de contrôle et de protection de l'accès à l'information ; b) Préciser les tâches et les responsabilités en matière de contrôle de l'accès et des membres du personnel participant à l'élaboration et à la gestion du contrôle de l'accès au sein de la Cour ; c) Minimiser les risques de préjudices liés à la divulgation non autorisée d'informations en raison d'un contrôle insuffisant de l'accès Chaque organe de la Cour établit des procédures administratives aux fins du contrôle de l'accès aux informations relevant de sa compétence, conformément aux dispositions de la présente instruction administrative. RESTREINT CPI Page 3

4 PARTIE II - ACCES PHYSIQUE Section 3 Accès au bâtiment 3.1. Un badge d'accès au bâtiment peut être obtenu en introduisant une demande auprès du Bureau des badges de la Section de la sécurité. Le chef de la Section des ressources humaines fait la demande des badges destinés au personnel. Les badges d'accès au bâtiment destinés aux contractants peuvent être demandés par l'unité administrative concernée Le Bureau des badges est chargé de l'administration des badges et des droits d'accès au bâtiment L'utilisation des badges d'accès au bâtiment relève de la responsabilité des utilisateurs auxquels le badge a été attribué Les badges d'accès au bâtiment ne peuvent pas être échangés entre les utilisateurs auxquels ils ont été attribués Au moment de leur cessation de service, les utilisateurs auxquels ils ont été attribués restituent les badges d'accès au bâtiment à la Section de la sécurité ou au chef de section dont ils relevaient L'utilisation des badges d'accès au bâtiment doit être consignée par des lecteurs de badges. Remarque : la gestion et la mise en œuvre de restrictions de l'accès physique à certains étages et locaux au moyen des badges d'accès au bâtiment font l'objet d'un règlement distinct dans l'instruction administrative intitulée «Contrôles d'accès physique automatisés». Section 4 Accès aux bureaux au moyen d'une clé 4.1. Les demandes de clés donnant accès à un bureau sont approuvées par le chef de la section dont dépend l'utilisateur pour lequel l'accès est sollicité S'il s'agit d'un autre chef de section que celui visé à la sous-section précédente, les demandes de clés donnant accès à un bureau sont approuvées par le chef de section qui a la responsabilité du bureau auquel l'accès est sollicité L'Unité de gestion des installations administre les demandes et la délivrance de clés de bureau Les clés sont remises en personne aux utilisateurs qui en ont fait la demande, à condition qu'ils présentent une identification adéquate à l'unité de gestion des installations Toutes les clés de bureau sont délivrées à titre personnel et ne peuvent pas être transférées à d'autres utilisateurs En cas de cessation de service ou de changement de bureau, l'utilisateur restitue sa clé à l'unité de gestion des installations L'utilisateur à qui la clé est attribuée est seul responsable de son utilisation Les utilisateurs ne peuvent pas s'échanger les clés qui leur ont été attribuées. RESTREINT CPI Page 4

5 Section 5 Accès aux bureaux et aux armoires au moyen d'un passe-partout 5.1. Le chef de section de l'utilisateur pour lequel l'accès est sollicité et le chef de la Section de la sécurité approuvent les demandes de passe-partout Les passe-partout sont délivrés au plus petit nombre de personnes possible, mais à autant de personnes qu'il le faut Les passe-partout sont conservés dans les armoires à clés électroniques sécurisées de la Cour (Traka) Les passe-partout sont restitués dans des délais raisonnables une fois que prennent fin les activités pour lesquelles ils ont été délivrés La Section de la sécurité gère les armoires à clés électroniques sécurisées La délivrance et la restitution des passe-partout sont scrupuleusement consignées La Section de la sécurité doit préciser au moins une fois par semaine l'endroit exact où se trouvent les passe-partout Les journaux où sont consignées la délivrance et la restitution des passe-partout doivent être présentés à la demande du chef de section responsable des utilisateurs ayant accès aux passepartout Le chef de section responsable des utilisateurs chargés de l'administration des passe-partout procède régulièrement à l'examen des journaux où sont consignées la délivrance et la restitution des passepartout Tous les six mois, l'unité de sécurité de l'information, de la Section de la sécurité du Greffe, révise les autorisations de délivrance et de restitution des passe-partout. Section 6 Accès aux chambres fortes et aux coffres-forts au moyen de clés 6.1. Un chef de section responsable est désigné pour chaque chambre forte et coffre-fort et chargé d'administrer leur utilisation Le chef de section responsable administre les clés donnant accès aux chambres fortes et aux coffres-forts dont il a la responsabilité Le chef de section responsable de l'utilisateur pour qui une clé est requise approuve la demande des clés donnant accès à une chambre forte ou à un coffre-fort S'il s'agit d'un autre chef de section que celui visé à la sous-section précédente, le chef de section responsable de la chambre forte ou du coffre-fort pour lequel une clé est sollicitée approuve la demande de clé Le rangement, la délivrance et la restitution des clés donnant accès aux chambres fortes et aux coffres-forts peuvent se faire au moyen des armoires à clés électroniques sécurisés de la Cour administrées par la Section de la sécurité. Dans ce cas, il convient de respecter les points suivants : a) La délivrance et la restitution des clés sont consignées ; b) Les journaux où sont consignées la délivrance et la restitution des clés sont transmis au chef de section responsable des utilisateurs qui ont accès aux clés ; RESTREINT CPI Page 5

6 c) Le chef de section responsable des utilisateurs chargés de l'administration des passe-partout procède régulièrement à l'examen des journaux où sont consignées la délivrance et la restitution des clés ; d) Tous les six mois, l'unité de sécurité de l'information de la Section de la sécurité du Greffe compare les demandes d'autorisation reçues avec les délivrances de clés En cas de cessation de service, le chef de section responsable des chambres fortes et des coffres-forts récupèrent les clés. Ces dernières peuvent être restituées plus tôt si l'accès à ces chambres fortes et coffres-forts n'est plus nécessaire. Section 7 Accès physique aux systèmes informatiques 7.1. L'accès aux espaces physiques dans lesquels les systèmes informatiques sont hébergés, y compris les espaces à partir desquels ces systèmes informatiques sont gérés, est exclusivement réservé aux administrateurs systèmes, aux agents de sécurité, au personnel de l'unité de gestion des installations et aux contractants agréés L'accès aux espaces physiques où sont hébergés les principaux systèmes informatiques est contrôlé par des lecteurs de badges et, si possible, nécessite l'utilisation d'une clé Les agents de sécurité ne peuvent accéder aux espaces physiques où sont hébergés les principaux systèmes informatiques de la Cour que si des incidents ont pu avoir lieu ou ont été signalés, ou en cas d'urgence Le personnel de l'unité de gestion des installations ne peut accéder aux espaces physiques où sont hébergés les principaux systèmes informatiques de la Cour que si des incidents ont pu avoir lieu ou ont été signalés, en cas de travaux de maintenance dûment programmés ou en cas d'urgence Les contractants peuvent accéder aux espaces physiques où sont hébergés les principaux systèmes informatiques de la Cour sous la supervision de fonctionnaires de la Cour Le chef de la Section des technologies de l'information et des communications administre une liste des fonctionnaires de la section autorisés à accéder aux espaces physiques où sont hébergés les principaux systèmes informatiques de la Cour Tous les six mois, la Section des technologies de l'information et des communications procède à l'examen des autorisations d'accès aux espaces physiques où sont hébergés les principaux systèmes informatiques de la Cour Les contractants chargés du nettoyage et de l'entretien travaillent dans les espaces physiques où sont hébergés les principaux systèmes informatiques de la Cour sous la supervision de fonctionnaires de la Section des technologies de l'information et des communications. Section 8 Accès physique aux équipements des utilisateurs non surveillés 8.1. Les utilisateurs ne laissent pas leur ordinateur de bureau sans avoir préalablement mis fin à leur session ou verrouillé l'accès à la session en cours Si le clavier de l'ordinateur de bureau n'est pas utilisé pendant une période de 30 minutes, la session est automatiquement verrouillée Pour déverrouiller la session, l'utilisateur doit à nouveau saisir son mot de passe La sous-section 8.2 ne s'applique pas aux ordinateurs des salles d'audience. RESTREINT CPI Page 6

7 PARTIE III - ACCES AUX SYSTEMES INFORMATIQUES Remarque : la présente partie énonce les principes régissant l'octroi par la Cour d'un accès aux informations ainsi que les procédures relatives au traitement et la diffusion d'informations stockées, traitées et communiquées par les systèmes informatiques. Section 9 Généralités 9.1. Les systèmes informatiques sont dotés de mécanismes de protection qui authentifient les utilisateurs et limitent leurs activités à celles qui ont été formellement autorisées Pour chaque système informatique, des procédures de fonctionnement standard relatives au contrôle des accès doivent être définies en vue de préciser les utilisateurs autorisés à avoir accès à certains types d'informations Les procédures de fonctionnement standard relatives au contrôle des accès visent à ce que le niveau d'accès fixé corresponde au but professionnel et aux risques y afférents, et tiennent compte de la séparation des tâches et des fonctions Les systèmes informatiques peuvent être regroupés au sein de catégories régies par les mêmes procédures de fonctionnement standard relatives au contrôle des accès Les tâches et les postes peuvent être regroupés au sein de catégories régies par les mêmes procédures de fonctionnement standard relatives au contrôle des accès Les droits d'accès peuvent être regroupés au sein de profils d'accès d'utilisateurs (rôles) qui définissent les droits d'accès requis pour des tâches et postes donnés Des dispositifs de contrôle permettant d'assurer la conformité aux règles peuvent être les mêmes pour différents systèmes informatiques. De même, des systèmes informatiques peuvent déléguer (et utiliser) des dispositifs de contrôle mis en œuvre pour d'autres systèmes informatiques. Section 10 Octroi de droits d'accès aux systèmes informatiques Le chef de section approuve les demandes d'accès des utilisateurs qui travailleront pour lui Le chef de section agissant en qualité de propriétaire désigné d'informations d'un système informatique approuve les demandes d'accès. Le propriétaire désigné d'informations peut charger l'administrateur désigné des accès du système informatique concerné d'approuver les demandes d'accès L'administrateur désigné des accès à un système informatique administre les demandes et les droits d'accès Un chef de section informe sans délai l'administrateur désigné des accès de toute modification des tâches des utilisateurs sous sa responsabilité. Cette modification peut avoir un impact sur l'autorisation de cet utilisateur à accéder aux systèmes informatiques La Section des ressources humaines informe sans délai l'administrateur désigné des accès de toute modification des tâches ou de la situation professionnelle d'un utilisateur qui pourrait avoir un impact sur l'autorisation de cet utilisateur à accéder aux systèmes informatiques. RESTREINT CPI Page 7

8 10.6. L'administrateur désigné des accès modifie sans délai les données d'identification et les droits d'accès de l'utilisateur en fonction de la modification de ses tâches et de sa situation professionnelle. Section 11 Octroi de droits d'accès privilégié aux systèmes informatiques Les droits d'accès privilégié sont limités aux personnes qui sont directement responsables de l'administration des systèmes informatiques et aux administrateurs désignés des accès Le chef de la Section des technologies de l'information et des communications et le dépositaire des informations approuvent les demandes d'accès privilégié Les demandes d'accès privilégié doivent être motivées Les administrateurs désignés des accès accordent exclusivement des droits d'accès privilégié aux utilisateurs au terme de la procédure formelle d'approbation visée à la sous-section Les utilisateurs n'utilisent leurs droits d'accès privilégié que pour les activités qui peuvent seulement être menées sur la base d'un tel accès et utilisent leurs droits d'accès habituel pour les travaux qui ne nécessitent pas d'accès privilégié. Section 12 Examen des droits d'accès aux systèmes informatiques Tous les six mois, l'administrateur désigné des accès procède à la révision des droits d'accès octroyés aux utilisateurs. Cette révision permet d'établir si les utilisateurs concernés nécessitent toujours un accès à un système informatique donné Les administrateurs désignés d'accès procèdent à la révision annuelle des profils d'accès. Cette révision permet d'établir si les droits d'accès actuellement associés à des profils demeurent nécessaires pour accomplir les tâches pour lesquelles ces profils ont été créés Tous les six mois, l'unité de sécurité de l'information de la Section de la sécurité du Greffe procède à une révision des autorisations d'accès privilégié afin d'évaluer le bien-fondé de demandes d'accès privilégié Tous les six mois, l'unité de sécurité de l'information dépendant de la Section de la sécurité du Greffe compare les droits d'accès octroyés et approuvés en vue de s'assurer que des droits d'accès privilégié n'ont pas été obtenus sans autorisation. Section 13 Suppression des droits d'accès aux systèmes informatiques L'accès aux systèmes informatiques prend rapidement fin à la cessation de service de l'utilisateur ou si celui-ci n'a plus besoin de cet accès pour accomplir ses tâches Lorsqu'un utilisateur quitte ses fonctions à la Cour, les documents sur papier et sous forme numérique en sa possession sont examinés sans délai par son supérieur hiérarchique en vue d'établir qui en sera le nouveau dépositaire et/ou de définir les méthodes adéquates pour leur archivage et leur destruction. RESTREINT CPI Page 8

9 13.3. Sauf notification contraire à la Section des technologies de l'information et des communications, les courriels et les dossiers personnels de l'utilisateur se trouvant sur le réseau et l'ordinateur de la Cour seront supprimés quatre (4) semaines après le départ définitif de l'utilisateur Des copies des courriels et des dossiers personnels de l'utilisateur seront sauvegardées pendant un an. RESTREINT CPI Page 9

10 PARTIE IV - CONSIGNATION Section 14 Consignation des accès Les systèmes informatiques qui traitent des informations sensibles génèrent des journaux d'événements qui répertorient les accès, ajouts, modifications, transmissions et suppressions relatives à ces informations sensibles, y compris les ajouts, modifications et suppressions concernant les administrateurs systèmes Les systèmes informatiques qui traitent des informations sensibles génèrent des journaux d'événements pour des événements importants liés à la sécurité du système informatique Les journaux d'événements doivent contenir des données suffisantes aux fins d'audits détaillés de l'efficacité des normes de sécurité mises en œuvre par la Cour et du respect de ces dernières par les utilisateurs Les journaux sont protégés contre les manipulations, notamment les tentatives de désactivation, de modification ou de suppression du logiciel de consignation et/ou des journaux eux-mêmes Les journaux des événements liés à la sécurité sont protégés contre toute divulgation non autorisée. Une divulgation n'est pas autorisée si l'utilisateur qui accède aux journaux n'est pas un administrateur système ou s'il n'a pas été formellement autorisé à avoir accès aux journaux d'événements pour accomplir ses tâches habituelles Les archives d'événements sont conservées pendant au moins un an Les archives d'événements décrivant les faits intervenus au cours de la dernière semaine de travail sont immédiatement accessibles Les archives d'événements sont stockées dans un seul et même endroit, si possible Les archives d'événements peuvent être utilisées aux fins d'enquête concernant les incidents (éventuels) liés à la sécurité. Section 15 Niveaux de consignation Le niveau de consignation requis pour un système informatique dépend du plus haut niveau de classification des informations qu'il contient Les systèmes informatiques contenant des informations classifiées jusqu'au niveau «RESTREINT [CP1]» doivent être dotés d'une fonction élémentaire de consignation définie à la sous-section Les systèmes informatiques contenant des informations classifiées «CONFIDENTIEL [CPI]» ou à un niveau supérieur doivent être dotés d'une fonction avancée de consignation définie à la sous-section Un système informatique qui contient des archives d'événements est doté du plus haut niveau de classification du système informatique sur lequel porte la consignation et, par conséquent, de mesures de protection suffisantes. RESTREINT CPI Page 10

11 Section 16 Evénements à consigner S'il s'agit d'une fonction élémentaire de consignation, les événements suivants sont consignés : a) Tentatives de connexion (tentatives réussies et avortées) ; b) Déconnexions ; c) Création, suppression ou modification d'informations ; d) Création, suppression ou modification de contrôles d'accès ; Remarque : tout ce qui en rapport avec les données de connexion, mots de passe, droits d'accès et les informations d'identification. e) Suppression ou modification d'archives d'événements ; Remarque : contrôle de l'intégrité du journal. f) Tentatives avortées d'accès à des informations. Remarque : actions bloquées en raison de privilèges insuffisants S'il s'agit d'une fonction avancée de consignation, les événements suivants sont consignés : a) Tous les événements élémentaires de connexion décrits à la sous-section 16.1 ; b) Accès aux informations (tentatives réussies et avortées d'accès à des informations classifiées) ; c) Reproduction d'informations sur copie papier ; Remarque : protection contre l'impression, la copie, la gravure sur CD ou DVD, la reproduction sur microfilm ou un autre support. d) Tentatives de diffusion d'informations (tentatives réussies ou avortées) ; Remarque : protection contre la numérisation, l'impression, la copie, la télécopie, la transmission par voie électronique, le téléchargement, etc. e) Attribution, suppression ou modification du niveau de classification ; Remarque : tout ce qui a un rapport avec la classification des informations. f) Opérations de sauvegarde ; g) Modifications des logiciels de production et de leur configuration ; h) Modifications des logiciels système et de leur configuration. Section 17 Propriétés des événements à consigner Un enregistrement de journal doit au moins contenir les éléments suivants a) Une description de l'événement ; b) Le résultat de l'événement ; RESTREINT CPI Page 11

12 c) Le sujet (individu ou système informatique) à la source de l'événement (nom d'utilisateur, numéro IP, clé publique, carte à puce ou toute autre information permettant d'identifier la source de l'événement) ; d) Le système d'information (ou son composant) sur lequel l'événement a eu lieu ; e) L'objet concerné par l'événement, le cas échéant (par exemple, la violation d'un contrôle d'accès renverra à l'objet auquel l'accès a été refusé) ; f) La date et l'heure de l'événement. RESTREINT CPI Page 12

13 PARTIE V - IDENTIFICATION ET AUTHENTIFICATION Section 18 Généralités Avant de pouvoir accéder aux systèmes informatiques, les utilisateurs sont identifiés au moyen d'un nom d'utilisateur et d'un mot de passe secret ou par tout autre moyen offrant un niveau de sécurité équivalent ou supérieur. Section 19 Identification des utilisateurs Chaque utilisateur reçoit un nom d'utilisateur qui l'identifie de manière unique Des noms d'utilisateurs partagés, collectifs ou génériques ne peuvent être attribués qu'aux utilisateurs qui en ont besoin pour effectuer des tâches qu'ils ne pourraient pas accomplir en utilisant leur compte personnel Les demandes de création et d'attribution de noms d'utilisateur partagés, collectifs ou génériques sont accompagnées de justificatifs et soumises à l'approbation du dépositaire des informations Un nom d'utilisateur est unique et exclusivement lié sur le plan administratif à l'utilisateur à qui il est attribué Avant de recevoir leur nom d'utilisateur, les utilisateurs signent un accord par lequel ils s'engagent à respecter la confidentialité des informations de la Cour et à souscrire aux règles de la Cour relatives à l'utilisation des systèmes d'informations et des systèmes informatiques. Section 20 Authentification des utilisateurs Les utilisateurs sont tenus de manipuler et de stocker les mots de passe, numéros d'identification personnels et dispositifs d'authentification qui leur ont été attribués en respectant toutes les règles de sécurité Pour obtenir un nouveau mot de passe ou modifier son mot de passe actuel, l'utilisateur se présente en personne chez l'administrateur désigné des accès 2 ou lui soumet une pièce d'identité adéquate Les utilisateurs accusent réception des mots de passe, numéros d'identification personnels et moyens d'authentification qui leur sont attribués Les mots de passe sont attribués aux utilisateurs de manière distincte et selon d'autres modalités que leur nom d'utilisateur. 2 II s'ajjit dans la plupart des cas du Service d'assistance informatique. RESTREINT CPI Page 13

14 20.5. L'utilisateur obtient son mot de passe et son numéro d'identification personnel immédiatement après leur création par un système informatique Le mot de passe créé par l'administrateur désigné des accès n'est valable que pour la première connexion de l'utilisateur au système informatique et l'utilisateur devra le modifier avant de pouvoir procéder à toute autre tâche L'administrateur désigné des accès attribue et communique un nouveau mot de passe si un nouveau nom d'utilisateur a été attribué, si l'utilisateur a oublié son mot de passe ou s'il ne parvient plus à se connecter avec son nom d'utilisateur Sauf en cas d'utilisation d'un mot de passe à usage unique, les systèmes informatiques veillent à masquer ou dissimuler l'affichage et l'impression de mots de passe lors de leur saisie dans un système informatique Les mots de passe ne peuvent pas être stockés sous forme de texte dans des fichiers batch, des scripts de connexion automatique, des macros logiciels, des touches de fonction, sur des ordinateurs qui ne sont pas dotés d'un dispositif de contrôle de l'accès ou dans tout autre endroit où des utilisateurs non autorisés pourraient les trouver et s'en servir Les mots de passe sont cryptés lorsqu'ils sont stockés pour une période prolongée ou transmis via un réseau qui n'est pas sous le contrôle de la Cour Les utilisateurs sont contraints de modifier leur mot de passe au moins tous les trente (30) jours. Ils peuvent à tout moment modifier leur numéro d'identification personnel Après trois tentative avortées de saisie d'un mot de passe, le nom d'utilisateur correspondant est soit : a) suspendu jusqu'à sa réinitialisation par l'administrateur désigné des accès ; b) désactivé provisoirement pendant au moins trois minutes ; ou c) déconnecté (en cas de connexion externe au réseau) Si l'on a l'impression ou la preuve qu'ils ont été divulgués à des utilisateurs non autorisés ou en cas de divulgation effective, les mots de passe sont modifiés sans délai Si l'on pense que la sécurité d'un système informatique a été compromise, l'administrateur désigné des accès modifie les mots de passe dans le système informatique concerné Les mots de passe par défaut fournis par les fabricants doivent être modifiés avant de pouvoir utiliser le système informatique auquel ils donnent accès. Section 21 Connexion à un système informatique Au cas où il aurait obtenu un nom d'utilisateur ou un mot de passe incorrect, l'utilisateur en est informé sans qu'aucun détail ne lui soit fourni quant à la nature de l'erreur Dans le cadre de la séquence d'identification et d'authentification, l'utilisateur est informé de ce qui suit : a) Le système informatique est exclusivement réservé aux utilisateurs autorisés ; b) En continuant à utiliser le système informatique, l'utilisateur indique qu'il y est autorisé ; c) L'utilisateur souscrit aux règles de la Cour relatives à l'utilisation des systèmes informatiques Le système informatique ne fournit aucun service ou aucune information sur ses services tant que l'utilisateur n'a pas été authentifié. RESTREINT CP1 Page 14

15 21.4. Après avoir authentifié l'utilisateur, le système informatique lui communique des informations sur l'heure et la date de sa dernière connexion de façon à ce qu'une utilisation non autorisée puisse être détectée. RESTREINT CP1 Page 15

16 PARTIE VI - DISPOSITIONS FINALES Section 22 Dispositions finales Des contrôles périodiques sont effectués afin de s'assurer de l'application et du respect des dispositions de la présente instruction administrative Le non-respect de la présente instruction administrative ou la violation de toute disposition en matière de sécurité peut entraîner des mesures disciplinaires, y compris le renvoi, conformément au Statut du personnel, au Règlement du personnel ou à tout autre texte administratif applicable Toute personne qui souhaite bénéficier d'une dérogation à l'une quelconque des dispositions de la présente instruction administrative doit adresser sa demande par écrit à l'unité de la sécurité de l'information de la Section de la sécurité, par l'intermédiaire de son supérieur La présente instruction administrative sera mise en œuvre de façon à compter de la date de sa signature. BrunQ.Cathala Greffier RESTREINT CPI Page 16