La liste des équipements de télécommunications sensibles actualisée: S’adapter aux besoins de la numérisation
L’Autorité de régulation de la poste et des communications électroniques (ARPCE) a publié, récemment, sur son portail Internet, un arrêté interministériel portant sur l’actualisation de la liste des équipements sensibles. Il s’agit de l’arrêté interministériel du 13 octobre 2024 portant actualisation de la liste des équipements sensibles fixée à l’annexe I du décret exécutif n° 09-410 du 10 décembre 2009 fixant les règles de sécurité applicables aux activités portant sur les équipements sensibles. Ce texte réglementaire a été signé par le secrétaire général du ministère de la Défense nationale et le ministre de l’Intérieur, des Collectivités locales et de l’Aménagement du territoire, ainsi que ceux des Transports et de la Poste et des Télécommunications. Selon les dispositions de ce texte, la liste des équipements sensibles comporte notamment tout matériel ou outil assurant que les informations intelligibles ne sont accessibles qu’à ceux dont l’accès est autorisé, soulignant que les équipements importés doivent assurer que les informations n’ont pas été altérées ou modifiées, partiellement ou complètement, de manière non autorisée. A cela s’ajoute, l’obligation de garantir que l’équipement sensible importé doit permettre, selon ce texte, de prouver l’identité de la source des informations et de définir les autorisations qui y sont associées. Ceci dit, la liste de ces équipements couvre, également, tout matériel ou logiciel intégrant des mécanismes cryptographiques, dont le rôle et/ou l’utilisation principale sont d’assurer la confidentialité, le contrôle d’intégrité et l’authenticité des informations ainsi que tout matériel ou logiciel intégrant des mécanismes cryptographiques, spécialement conçu et limité pour assurer les fonctions d’authenticité et de contrôle d’intégrité des informations. En sus, de tout matériel ou logiciel dont le rôle et/ou l’utilisation principaux ne sont pas d’assurer l’une des fonctionnalités relatives à la confidentialité, au contrôle d’intégrité et à l’authenticité des informations mais dispose nativement des mécanismes cryptographiques permettant d’assurer, au moins, l’une de ces fonctionnalités.
Autrement dit, cette liste est élargie à tout matériel ou logiciel intégrant des mécanismes cryptographiques conçu spécialement pour administrer, gérer ou configurer un système d’information sous réserve qu’ils ne permettent de chiffrer que les données nécessaires à l’administration, à la gestion ou à la configuration des systèmes d’information ainsi que le dispositif de vérification de signature électronique et tout matériel ou logiciel destiné à mettre en application des données de création de signature électronique.
Ceci dit, l’intégration de ce matériel intervient, selon les spécialistes, au moment où le gouvernement est en train de travailler sur la révision des textes réglementaires portant sur la gestion de la certification électronique qui prévoit notamment la création d’une seule autorité gouvernementale pour la mise en œuvre de ce dossier. A cela s’ajoute, le lancement des travaux de la réalisation d’un centre national algérien pour les services numériques (DATA CENTER) chapeauté par le Haut-commissariat à la numérisation et dont la construction est confiée à l’équipementier chinois « HUAWEI technologies ».
Ainsi, le législateur a intégré dans cette liste tout matériel ou logiciel accessible au public intégrant des mécanismes cryptographiques et destiné à protéger des données à caractère personnel pour un usage privé et tout matériel ou logiciel pour assurer la lecture des données audio-vidéo, sans capacité de chiffrement, et où le déchiffrement est limité aux informations audio, vidéo ou de gestion technique.
Par ailleurs, les rédacteurs de ce texte ont précisé que les moyens de cryptographie ne nécessitant pas le dépôt des clés de chiffrement sont les moyens de l’infrastructure de gestion des clés publiques, les moyens intégrant des mécanismes cryptographiques permettant d’assurer, au moins, la confidentialité des informations et dont les capacités cryptographiques ne sont pas accessibles pour l’utilisateur, les moyens intégrant des mécanismes cryptographiques permettant d’assurer, au moins, la confidentialité des informations et dont les capacités cryptographiques sont accessibles pour l’utilisateur et qui sont basés sur les certificats électroniques d’authentification de sites web.
Hakim Aomar
