Référentiel Général de Sécurité - PDF Free Download\n1 Premier ministre Agence nationale de la sécurité des systèmes d information Ministère du budget, des comptes publics et de la réforme de l État Direction générale de la modernisation de l État Référentiel Général de Sécurité Version 1.0 du 6 mai 2010\n2 Sommaire 1 - Introduction Forces et faiblesses du numérique Cadre juridique Élaboration, approbation et publication du RGS Autorités administratives concernées Objectif du RGS Documents constitutifs du RGS Le corps du RGS Les annexes du RGS À qui s adresse le RGS? Un cadre pour gérer la sécurité des systèmes d'information Introduction à la sécurité des systèmes d information Six grands principes de gestion de la SSI Adopter une démarche globale Adapter la SSI selon les enjeux Gérer les risques SSI Élaborer une politique SSI Utiliser les produits et prestataires labellisés pour leur sécurité Viser une amélioration continue Intégration de la SSI dans le cycle de vie des systèmes d'information Des efforts proportionnés aux enjeux SSI Un engagement systématique : l homologation de sécurité Des outils spécifiques pour différentes familles de téléservices Fonctions de sécurité Introduction Authentification Utilisation de mécanismes cryptographiques Authentification d une personne par l utilisation d identifiants et de mots de passe statiques Authentification d une personne par certificat électronique Authentification d un serveur par certificat électronique Signature électronique Utilisation de mécanismes cryptographiques Signature d une personne par certificat électronique Cachet d un serveur par certificat électronique Confidentialité Utilisation de mécanismes cryptographiques Confidentialité par certificat électronique Horodatage Utilisation des mécanismes cryptographiques Horodatage par contremarques de temps /05/2010 2/33\n3 4 - Accusé d enregistrement et accusé de réception Introduction Règles et recommandations de sécurité Qualification Qualification de produits de sécurité Qualification des Prestataires de Services de Confiance (PSCO) Validation des certificats électroniques Règles de sécurité Procédure de validation Liste des informations relatives à la délivrance et à la validation IGC/A Liste des annexes du RGS Documents applicables concernant l utilisation de certificats électroniques dans les fonctions de sécurité Documents applicables concernant l utilisation de mécanismes cryptographiques dans les fonctions de sécurité Liste des Profils de Protection Glossaire Références documentaires Références réglementaires Références techniques /05/2010 3/33\n4 1 - Introduction Forces et faiblesses du numérique Les atouts Les technologies numériques pénètrent chaque jour un peu plus notre société, dans chacune de ses activités, apportant autant de services nouveaux, de croissance, de simplification et d efficacité. Ces possibilités nouvelles sont également mises à profit par l État, notamment dans sa volonté de dématérialiser le plus grand nombre possible de ses processus et de ses échanges. Ainsi, le développement des téléservices est-il une préoccupation forte des autorités administratives pour simplifier et accélérer le traitement de l ensemble des procédures au profit des usagers et des autorités administratives. Cependant, cette évolution se traduit également par une dépendance et une vulnérabilité croissantes. La dépendance En effet, les données et les systèmes numériques deviennent désormais un patrimoine stratégique, parfois même vital pour l organisme. L interruption du service assuré par un système d information, ou la destruction ou l altération d informations, peuvent conduire à une paralysie. Les informations présentent souvent un caractère de confidentialité élevé, dont l enjeu peut être l autonomie de décision politique, la protection de secrets comme ceux de l instruction judiciaire ou des enquêtes de police, la préservation du patrimoine intellectuel ou technologique, ou encore l égalité des chances des candidats aux marchés publics. Dans certains cas, pour les données personnelles par exemple, la divulgation à des personnes n ayant pas à en connaître peut conduire à des sanctions pénales. Enfin, une perte de contrôle des processus internes, de plus en plus souvent assurés par des moyens informatiques, peut être dangereuse pour l organisme, voire, quand ils concernent des industries ou des secteurs d activité d importance vitale, dramatique pour la nation ou pour la sécurité des populations. La faiblesse des technologies de l information La sécurité des technologies de l information n a pas suivi l extraordinaire développement de l informatique et de ses usages. Le protocole Internet l IP, les systèmes d exploitation et les applications ont à l origine été conçus pour être efficaces, dans des réseaux peu étendus, sans réelle prise en compte de la sécurité. Ceux qui sont aujourd hui en service utilisent souvent des briques de base des premiers réseaux, alors que leur contexte d emploi a radicalement changé, avec la multiplication des technologies de communication (notamment dans le domaine du «sans fil»), la convergence des réseaux de téléphonie, de messagerie ou de transmissions de données vers l Internet et l interconnexion de ces réseaux. Les logiciels, de plus en plus complexes, présentent souvent des failles de sécurité, qui obligent les éditeurs à les corriger en permanence, dès leur découverte. Les informations, hier confinées, sont devenues accessibles depuis presque n'importe quel point du globe, alors que dans le même temps, leur volume explose avec l augmentation du nombre de processus dématérialisés d une part et des capacités de calcul et de stockage d autre part. Les risques et menaces Dans ce contexte de dépendance croissante aux technologies numériques, les administrations et les entreprises sont soumises à des risques et des menaces de plus en plus importantes. Les pannes, les accidents, les catastrophes naturelles, y compris lointaines, ont des impacts bien plus graves que par le passé. Il en est de même des actes de malveillance, internes ou externes, sur les systèmes d information. Dans le même temps, la cybercriminalité se développe au même rythme que l exploitation du numérique, sous des formes très diverses et de plus en plus sophistiquées. La défiguration des sites Internet est devenue un mode de contestation politique ou sociale. La saturation des réseaux ou des terminaux de communication est une arme utilisée dans des conflits politiques ou sociaux, ou dans de simples luttes entre concurrents commerciaux. L espionnage politique, commercial ou technologique se développe, avec des outils d attaque permettant à distance d avoir accès aux mémoires informatiques, de capter les frappes sur les claviers, de visualiser les pages affichées sur les écrans, ou encore de mettre en route le microphone dont certains ordinateurs sont dotés. L usurpation d identité est d ores et déjà largement répandue sur Internet et se pratique par des méthodes telles que le «hameçonnage» («phishing» en anglais) qui permet au fraudeur de récupérer des renseignements personnels sur la victime (exemple : faux sites marchands permettant de voler les données bancaires et de puiser dans les /05/2010 4/33\n5 comptes de la victime). Cette cybercriminalité bénéficie de la relative simplicité des attaques sur des technologies numériques fragiles, de l impunité que peut procurer la distance et d une rentabilité élevée Cadre juridique Face à ces risques et à ces menaces, le gouvernement a estimé nécessaire de renforcer, par voie d ordonnance, la sécurité des échanges électroniques. Ainsi, la loi n du 9 décembre 2004 de simplification du droit, en son article 3, a autorisé le gouvernement à prendre par ordonnance les mesures nécessaires pour assurer la sécurité des informations échangées par voie électronique entre les usagers et les autorités administratives (appelées «AA» dans la suite du document), ainsi qu'entre les autorités administratives. En application de cette loi, l ordonnance n du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives (ci-après désignée [Ordonnance]) a été prise. Cette [Ordonnance] a été ratifiée par le parlement le 22 février Elle s'inscrit dans la démarche globale du gouvernement en matière de réforme de l État, plus précisément dans ses aspects de simplification des démarches des usagers et de facilitation de l accès de ces derniers aux services publics. Cette [Ordonnance] s applique aux systèmes d information destinés à échanger des informations entre les usagers et les autorités administratives, ainsi qu entre les différentes autorités administratives. L'[Ordonnance] prévoit, en son article 9.I, l'établissement d'un, dans le but de fixer, selon le niveau de sécurité requis, les règles que doivent respecter certaines fonctions contribuant à la sécurité des informations. Les règles formulées dans le RGS s imposent et sont modulées en fonction du niveau de sécurité retenu par l AA pour la fonction concernée. Conformément à l article 14.I, les AA doivent mettre leurs systèmes d information (SI) existants à la date de publication du présent RGS en conformité avec ce référentiel dans un délai de trois ans à compter de sa publication. Les systèmes créés dans les six mois qui suivent la publication du RGS doivent être mis en conformité dans un délai de 12 mois. Conformément à l article 15, les systèmes d information traitant d informations relevant du secret de la défense nationale n entrent pas dans le champ d application de l [Ordonnance]. L [Ordonnance] renvoie à des décrets les conditions d application des mesures qu elle prévoit. En particulier, le décret n du 2 février 2010 pris pour l application des articles 9, 10 et 12 de l [Ordonnance], ciaprès désigné [DécretRGS], traite des points suivants : les conditions d élaboration, d approbation et de publication par arrêté du RGS (en application de l article 9.I de l [Ordonnance]) ; les fonctions de sécurité (en application de l articles 9.II de l [Ordonnance]) ; la qualification des produits de sécurité (en application de l article 9.III de l [Ordonnance]) ; la qualification des prestataires de services de confiance (en application de l article 9.III de l [Ordonnance]) ; la validation des certificats électroniques (en application de l article 10 de l [Ordonnance]), dont les modalités d application sont précisées par deux arrêtés du Premier ministre Élaboration, approbation et publication du RGS Extrait du [DécretRGS] : Chapitre Ier : Référentiel Général de Sécurité : «Article 2 : Le référentiel général de sécurité ainsi que ses mises à jour sont approuvées par arrêté du Premier ministre publié au Journal officiel de la République française. L Agence nationale de la sécurité des systèmes d information concourt à l élaboration de ce référentiel et à sa mise à jour en liaison avec la direction générale de la modernisation de l Etat. Ce référentiel est mis à disposition du public par voie électronique.» /05/2010 5/33\n6 Conformément à l article ci-dessus, le RGS est élaboré par l agence nationale de la sécurité des systèmes d information (ANSSI) en liaison avec la direction générale de la modernisation de l État (DGME). Au cours de l élaboration de cette première version, différents acteurs ont été consultés, notamment des autorités administratives qui seront chargées de mettre en application ce référentiel, des éditeurs de produits de sécurité et des prestataires de services de confiance qui devront respecter les exigences techniques du référentiel, ainsi que plus généralement le public à l aide d un appel à commentaires sur Internet. À l issue de cette phase, le RGS v1.0 est approuvé par un arrêté du Premier ministre, et est mis à disposition du public sur les sites Internet mentionnés dans l arrêté. Cette première version du référentiel est appelée à évoluer. Des mises à jour seront nécessaires pour prendre en compte l évolution des techniques et des menaces, ainsi que pour compléter le RGS avec de nouvelles fonctions de sécurité. Ces mises à jour seront effectuées selon la même procédure d élaboration, d approbation et de publication que celle utilisée pour cette première version Autorités administratives concernées L [Ordonnance] précise que les AA sont les administrations de l'état, les collectivités territoriales, les établissements publics à caractère administratif, les organismes gérant des régimes de protection sociale relevant du code de la sécurité sociale et du code rural ou mentionnés aux articles L et L du code du travail et les autres organismes chargés de la gestion d'un service public administratif. Par ailleurs, seules sont concernées, parmi ces AA, celles qui mettent en œuvre des systèmes d information susceptibles d échanger des informations avec d autres AA ou avec des usagers Objectif du RGS Conformément à sa vocation première, le RGS contient un ensemble de règles de sécurité, fixées dans le présent document ou dans ses annexes, qui s'imposent aux AA et aux prestataires qui les assistent dans leur démarche de sécurisation de leurs systèmes d informations. En complément à ces règles, ont été intégrées dans le RGS des bonnes pratiques en matière de sécurité des systèmes d'information (SSI), dans le but de guider les AA et les prestataires dans les choix qui se présentent à eux pour sécuriser au mieux les systèmes d'information. Le RGS apporte également des éclairages nécessaires sur la marche à suivre pour prendre en compte pleinement les dispositions de l [Ordonnance]. L objectif du RGS n est pas d imposer une technologie, une architecture, ou une solution technique, ni même les fonctions de sécurité décrites dans le RGS. En revanche, lorsqu une AA juge nécessaire, à l issue d une analyse de risque, de mettre en œuvre des fonctions de sécurité qui sont prévues dans le RGS, elle doit alors respecter les règles correspondantes Documents constitutifs du RGS Le RGS est constitué du présent document, appelé «corps» du RGS, et d annexes Le corps du RGS Le corps du RGS se veut accessible aux non experts en informatique, et notamment aux autorités qui doivent respecter, ou faire respecter, le RGS. Il comporte les chapitres suivants : Chapitre 1 er : Introduction Chapitre 2 : Un cadre pour gérer la sécurité des systèmes d information Ce chapitre fournit un ensemble de règles et de bonnes pratiques relatives à la gestion globale de la SSI, ainsi qu à l intégration de la SSI dans le cycle de vie des systèmes d information. Chapitre 3 : Fonctions de sécurité Il s agit du chapitre central du RGS, celui répondant pleinement aux dispositions de l article 9.I de l [Ordonnance]. Les fonctions de sécurité sont déclinées par niveaux de sécurité, les règles étant fixées pour chacun de ces niveaux. Il est de la responsabilité d une AA de déterminer, dans le cadre de la mise en œuvre d un système d information, les fonctions de sécurité nécessaires au niveau de sécurité requis. Lorsque la fonction de sécurité est traitée dans le RGS, l AA applique les règles adéquates au niveau considéré /05/2010 6/33\n7 Chapitre 4 : Accusé d enregistrement et accusé de réception Ce chapitre présente les règles de sécurité relatives aux fonctions d accusé d enregistrement et d accusé de réception. Chapitre 5 : Qualification La qualification est un label pouvant être délivré à un produit de sécurité ou à un prestataire de services de confiance (PSCO). Ce chapitre présente les trois processus de qualification des produits de sécurité (élémentaire, standard, renforcé) ainsi que le schéma de qualification des PSCO. Chapitre 6 : Validation des certificats électroniques Ce chapitre présente la procédure de validation des certificats par l État telle que prévue au chapitre V du [DécretRGS] ainsi que le rôle de l infrastructure «IGC/A» (Infrastructure de Gestion de la Confiance de l Administration). Chapitre 7 : Liste des annexes du RGS Chapitre 8 : Liste des profils de protection Chapitre 9 : Glossaire Chapitre 10 : Références documentaires Les annexes du RGS Le RGS comprend les annexes A traitant de l utilisation de certificats électroniques dans les fonctions de sécurité et les annexes B constituant le référentiel cryptographique : [RGS_A_1] Fonction de sécurité "Confidentialité" [RGS_A_2] Fonction de sécurité "Authentification" [RGS_A_3] Fonction de sécurité "Signature" [RGS_A_4] Fonction de sécurité "Authentification Serveur" [RGS_A_5] Fonction de sécurité "Cachet" [RGS_A_6] Politique de certification Type "Confidentialité" [RGS_A_7] Politique de certification Type "Authentification" [RGS_A_8] Politique de certification Type "Signature" [RGS_A_9] Politique de certification Type "Authentification Serveur" [RGS_A_10] Politique de certification Type "Cachet" [RGS_A_11] Politique de certification Type "Authentification et Signature" [RGS_A_12] Politique d'horodatage Type [RGS_A_13] Variables de temps [RGS_A_14] Profils de certificats, CRL, OCSP et algorithmes cryptographiques [RGS_B_1] [RGS_B_2] [RGS_B_3] Référentiel cryptographique : règles et recommandations concernant le choix et le dimensionnement des mécanismes cryptographiques Référentiel cryptographique : règles et recommandations concernant la gestion des clés utilisées dans des mécanismes cryptographiques Référentiel cryptographique : règles et recommandations concernant les mécanismes d authentification À qui s adresse le RGS? Le RGS s adresse : au personnel ou aux organismes ayant une responsabilité dans le système d information d une AA, qu ils relèvent de l autorité directe de cette AA ou qu ils interviennent à son profit, aux éditeurs de produits de sécurité et aux PSCO qui souhaitent voir leurs produits ou services de confiance choisis par les AA. Différents acteurs sont plus particulièrement concernés par le RGS. Leurs objectifs ne sont pas les mêmes. Ces acteurs sont notamment : /05/2010 7/33\n8 Maîtrise d ouvrage (MOA) des AA : La MOA est responsable de la définition des besoins lors de la conception d un système d information. Elle fixe l'organisation du projet, ses objectifs, ses enjeux et ses contraintes. D'une manière générale, elle est responsable de l'identification des objectifs de sécurité et du pilotage du projet. Les chapitres 2 et 6 sont particulièrement destinés à la MOA d une AA. Maîtrise d œuvre (MOE) des AA : La MOE est responsable des propositions techniques et de l'évaluation des charges de réalisation. D'une manière générale, elle est responsable de la détermination des exigences de sécurité devant satisfaire les objectifs de sécurité, et de leur mise en œuvre. Les chapitres 3, 4 et 6 seront étudiés avec attention par la MOE d un projet de système d information. En effet, une fois les fonctions de sécurité et niveaux de sécurité déterminés, la MOE y trouvera les règles de sécurité à respecter. Responsable de la sécurité des systèmes d information (RSSI) d une AA : En fonction des organismes, le RSSI, ou la personne faisant office de RSSI, peut avoir différents rattachements. Rattaché à la direction générale, il est chargé de proposer la politique de sécurité du système d information (PSSI) qui sera fixée par l AA, et de veiller à son application. Dans le cadre d'un projet, il conseille l'autorité d'homologation. Rattaché à la direction informatique, il intervient en tant qu'expert auprès de la direction de projet et valide les livrables SSI au regard de la PSSI. Dans le cadre du processus d homologation de sécurité d un système d information, il a la charge de présenter l analyse de risques. Le RSSI sera tout particulièrement concerné par les chapitres 2, 3 et 4. Éditeurs de produits de sécurité : L AA détermine les fonctions de sécurité au niveau de sécurité qu elle estime adéquat et recourt à des produits de sécurité afin de les mettre en œuvre au sein du système d information. Ces produits de sécurité peuvent avoir fait l objet d une qualification, le cas échéant à un degré donné, attestant de la robustesse des mécanismes de sécurité qu ils offrent et de leur conformité à un niveau de sécurité traité dans le RGS. Les éditeurs de produits de sécurité exploiteront en priorité le chapitre 5.1 qui expose le processus de qualification des produits de sécurité. Par ailleurs, les éditeurs de produits de sécurité se référeront au chapitre 3 afin de prendre en compte les exigences techniques que doivent notamment respecter les mécanismes cryptographiques implémentés dans les produits de sécurité. Prestataire de services de confiance (PSCO) : Une AA peut, en complément de la mise en place de produits de sécurité dans son système d information, faire appel aux services d un PSCO, que ce dernier soit public ou privé. Une AA peut aussi décider d être ellemême PSCO en fournissant le service pour son propre usage ou pour celui d une autre AA. Le chapitre 5.2 présente le schéma de qualification des PSCO. D autre part, les PSCO se référeront au chapitre 3 afin que les mécanismes cryptographiques éventuellement implémentés dans leurs offres en respectent les exigences. Enfin, dans l optique de faire valider par l État les certificats électroniques qu ils émettent, les prestataires de services de certification électronique (PSCE) se reporteront au chapitre /05/2010 8/33\n9 Le schéma ci-dessous illustre les domaines d intérêts du RGS selon les acteurs : Familles de lecteurs Corps du document RGS Annexes (Règles de sécurité) RSSI et MOE d une autorité administrative Editeurs de produits de sécurité Prestataires de services de confiance Guide de rédaction d un Politique SSI 6 principes SSI à appliquer Guide d intégration de la SSI dans les projets Guide d évaluation de la maturité d un SI Intégration de la SSI dans le cycle de vie des systèmes d information Chapitre 3 : Fonctions de sécurité Règles de sécurité de fonctions de sécurité : Signature électronique Authentification Confidentialité Horodatage Règles de sécurité des mécanismes cryptographiques (symétriques et asymétriques) (Bonnes pratiques SSI) Norme ISO 2700X Chapitre 2 : Un cadre pour gérer la SSI RSSI, MOA et MOE d une autorité administrative Références Méthode d analyse de risques «EBIOS» Fiches types d expression rationnelle d objectifs de sécurité [RGS_A_1] [RGS_A_2] [RGS_A_3] [RGS_A_4] [RGS_A_5] [RGS_A_6] [RGS_A_7] [RGS_A_8] [RGS_A_9] [RGS_A_10] [RGS_A_11] [RGS_A_12] [RGS_A_13] [RGS_A_14] [RGS_B_1] [RGS_B_2] [RGS_B_3] Chapitre 4 : Accusé d enregistrement et accusé de réception MOE d une autorité administrative Editeurs de produits de sécurité Prestataires de services de confiance Règles de sécurité des AE / AR Chapitre 5 : Qualification Qualification des produits de sécurité Qualification des PSCO [RGS_A_3] [RGS_A_8] [RGS_A_12] [RGS_A_6] [RGS_A_7] [RGS_A_8] [RGS_A_9] [RGS_A_10] [RGS_A_11] [RGS_A_12] Processus de qualification au niveau élémentaire [RGS_B_1] [RGS_B_2] Processus de qualification au niveau renforcé Processus de qualification au niveau standard [RGS_B_3] RSSI et MOA d une autorité administrative Prestataires de services de certification électronique Chapitre 6 : Validation des certificats électroniques Règles de sécurité et procédure de validation Rôle de l IGC/A Politique de certification de l IGC/A Version 1.0 Date 06/05/2010 Page 9/33\n10 2 - Un cadre pour gérer la sécurité des systèmes d'information Introduction à la sécurité des systèmes d information La sécurité des systèmes d information (SSI) recouvre l ensemble des moyens techniques, organisationnels et humains qui doivent être mis en place dans le but de garantir, au juste niveau requis, la sécurité des informations d un organisme et des systèmes qui en assurent l élaboration, le traitement, la transmission ou le stockage. Ce besoin de sécurité doit être déterminé en fonction de la menace et des enjeux. D une part, les enjeux se mesurent à l aune de la gravité des impacts que provoquerait, pour l organisme, une perte de : la disponibilité des informations : quel impact en cas d impossibilité d accéder aux données ou d utiliser le système d information? ; l intégrité des informations : quel impact en cas de modification non désirée de données ou de composants du système d information? ; la confidentialité des informations : quel impact en cas d accès par une personne non autorisée à des données confidentielles? D autre part, les menaces à prendre en compte sont celles qui pèsent réellement sur le système d information et sur les informations qu il traite, transmet et stocke, dans l environnement dans lequel il se situe. Le système d information, et donc les informations qu il contient, est-il isolé, ou est-il accessible depuis Internet? Les postes de travail, les serveurs, les réseaux utilisés sont-ils dans une enceinte protégée, ou dans un lieu public? Le système est-il dans une zone inondable, une zone sismique? Le personnel est-il habilité dans sa totalité à connaître les données, à piloter les processus ou à administrer le système, ou faut-il considérer comme une menace l accès de certaines personnes aux données, aux processus ou au système? Il est maintenant fait obligation aux AA, par l article 3 du [DécretRGS], de conduire cette démarche, en utilisant une méthode d analyse de risque afin d identifier les risques de manière factuelle et exhaustive, ainsi que de déterminer formellement le besoin de sécurité. En effet, la SSI ne peut être correctement assurée qu en explicitant clairement les risques auxquels le système est réellement exposé. Les risques ainsi appréciés, le responsable du système d information peut énoncer, en toute connaissance de cause, les objectifs de sécurité à satisfaire. Ces objectifs se rapportent aux trois grands domaines de la sécurité : la disponibilité des données et du système d information ; l intégrité des données et du système d information ; la confidentialité des données, et celle des éléments critiques du système d information 1 ; auxquels peuvent s ajouter deux domaines complémentaires : l authentification, pour garantir que seules les personnes autorisées peuvent accéder aux données et aux processus ; la traçabilité, pour pouvoir vérifier que les actions sur les données et sur les processus ont été effectuées par des personnes autorisées, et permettre de déceler toute action ou tentative d action illégitime. De ces objectifs généraux découlent les fonctions de sécurité qui peuvent être mises en œuvre pour les atteindre. Il est alors possible de choisir les moyens aptes à assurer les fonctions retenues. Ces moyens pourront être : techniques : produits de sécurité (matériels ou logiciels) ou prestations de services de confiance informatiques, ou autres dispositifs de sécurité (blindage, détecteur d intrusion,...) ; 1 La connaissance des éléments critiques d un système relatifs à sa conception et à son fonctionnement peut aider une personne malveillante à accéder aux données confidentielles traitées par ce système /05/ /33\n11 organisationnels : organisation des responsabilités, habilitation du personnel, contrôle des accès, protection physique des éléments sensibles,... ; humains : affectation d agents responsables de la gestion du système d information (administrateur du système d information, responsable de sécurité du système d information, responsable de la protection physique du système, ), formation du personnel spécialisé, sensibilisation des utilisateurs. La démarche de sécurité présentée dans le présent chapitre permet ainsi de s assurer que les objectifs sont bien atteints, que les risques résiduels sont acceptés en toute responsabilité, que les fonctions de sécurité mises en place sont nécessaires et suffisantes et qu elles ne génèrent pas de nouveaux risques. La suite de ce chapitre présente un ensemble de règles et de recommandations pour la gestion de la SSI dans un organisme ( 2.2) et dans un projet de système d information ( 2.3) Six grands principes de gestion de la SSI Adopter une démarche globale L objectif est la cohérence d ensemble de la démarche de sécurisation des systèmes d information. Il convient à ce titre de n oublier aucun élément pertinent, pour éviter toute faille qui réduirait la sécurité globale du SI. Il est également nécessaire que chacune des décisions relatives à la sécurité soit prise au juste niveau hiérarchique. Il est ainsi recommandé : de considérer tous les aspects qui peuvent avoir une influence sur la sécurité des systèmes d information, techniques (matériels, logiciels, réseaux,...) et non techniques (organisations, infrastructure, personnel,...) ; de considérer tous les risques et menaces, d origine humaine ou naturelle, accidentelle ou délibérée ; de prendre en compte la SSI au juste niveau hiérarchique, car comme tous les autres domaines de la sécurité, la SSI repose sur une vision stratégique, et nécessite des choix d autorité (les enjeux, les moyens humains et financiers, les risques résiduels acceptés), et un contrôle des actions et de leur légitimité ; de responsabiliser tous les acteurs (décideurs, maîtrise d'ouvrage, maîtrise d'œuvre, utilisateurs, ) ; d intégrer la SSI tout au long du cycle de vie des systèmes d'information (depuis l étude d opportunité jusqu'à la fin de vie du système) Adapter la SSI selon les enjeux Il est recommandé que la SSI soit adaptée aux enjeux du système d information et aux besoins de sécurité de l AA, afin d y consacrer les moyens financiers et humains juste nécessaires et suffisants. L article 3 du [DécretRGS] précise ainsi, dans son alinéa 2, que la réponse aux besoins de protection doit être proportionnée. Une aide dans cette démarche est proposée dans le document [MaturitéSSI], qui explique comment déterminer rapidement les enjeux relatifs à la sécurité d un système d'information, comment mesurer l'écart entre le niveau nécessaire de prise en compte de la sécurité et le niveau effectif, et comment en déduire les actions à mettre en œuvre pour atteindre le niveau de sécurité nécessaire Gérer les risques SSI Extrait du [DécretRGS] : Chapitre II : Fonctions de sécurité des systèmes d information : «Article 3 : Dans les conditions fixées par le référentiel général de sécurité mentionné à l article 2 du présent décret, l autorité administrative doit, afin de protéger un système d information : 1 Identifier l ensemble des risques pesant sur la sécurité du système et des informations qu il traite, eu égard notamment aux conditions d emploi du système ; 2 Fixer les objectifs de sécurité, notamment en matière de disponibilité et d'intégrité du système, de confidentialité et d'intégrité des informations, ainsi que d'identification des utilisateurs du système, pour répondre de manière proportionnée au besoin de protection du système et des informations face aux risques identifiés ; /05/ /33\n12 3 En déduire les fonctions de sécurité et leur niveau qui permettent d atteindre ces objectifs et respecter les règles correspondantes du référentiel général de sécurité. Dans les conditions fixées par le référentiel susmentionné, l autorité administrative réexamine régulièrement la sécurité du système et des informations en fonction de l évolution des risques» La démarche de gestion des risques SSI, que l AA doit mener conformément à l article ci-dessus, consiste principalement à : établir le contexte de mise en œuvre du système ; identifier, apprécier et hiérarchiser les risques ; traiter les risques (les réduire ou les éviter, et accepter de prendre les risques résiduels). Cette démarche peut être conduite de manière allégée dans le cas de systèmes simples ou sans enjeux importants de sécurité, ou au contraire de manière très approfondie si le système d'information est complexe et les enjeux élevés. À cet effet, il est recommandé de s appuyer sur la norme [ISO27005], qui fixe un cadre théorique de la gestion des risques, et de s appuyer sur la méthode [EBIOS] pour sa mise en œuvre pratique grâce notamment aux explications et aux outils qu elle propose Élaborer une politique SSI Il est recommandé d élaborer et de formaliser une politique SSI globale au niveau de l AA. Selon les besoins, cette politique SSI pourra être déclinée et complétée notamment pour un domaine particulier, ou pour un système d'information précis. Le guide [PSSI] fournit une aide pour élaborer une politique SSI Utiliser les produits et prestataires labellisés pour leur sécurité Extrait du [DécretRGS] : Chapitre II : Fonctions de sécurité des systèmes d information : «Article 4 : Pour mettre en œuvre dans un système d information les fonctions de sécurité ainsi déterminées, l autorité administrative recourt à des produits de sécurité et à des prestataires de services de confiance ayant fait l objet d une qualification dans les conditions prévues au présent décret ou à tout autre produit ou prestataire pour lesquels elle s est assurée de la conformité de leurs fonctions de sécurité au référentiel général de sécurité.» La qualification est un label créé par l [Ordonnance], qui permet d attester de la confiance que l on peut accorder à des produits de sécurité et à des PSCO. D autres labels existent pour attester de la compétence des professionnels, notamment en matière de SSI. Il est recommandé : d utiliser chaque fois que possible des produits de sécurité qualifiés ( 5.1) par l ANSSI (le catalogue de ces produits est disponible sur le site après s être assuré que le produit répond bien au besoin et au contexte d utilisation prévu ; de recourir chaque fois que possible à des PSCO qualifiés ( 5.2) ; de prendre en considération, dans le choix des prestataires, en plus de leur qualification, leur éventuelle certification selon la norme [ISO27001] ou d autres normes équivalentes ; de prendre en considération, dans le choix de prestataires, la certification de leurs personnels lorsque des compétences particulières sont requises pour une fonction Viser une amélioration continue Il est recommandé de chercher une amélioration constante de la SSI, par exemple en mettant en place un «système de management de la sécurité de l'information» (SMSI), tel qu'il est défini dans la norme [ISO27001], pour : 1. planifier la SSI : définir le cadre du SMSI, apprécier les risques SSI et définir leur traitement ; 2. mettre en œuvre la SSI : mettre en place et maintenir les mesures de sécurité ; 3. vérifier la SSI : vérifier que les mesures de sécurité fonctionnent conformément à l étape 1 de planification et identifier les améliorations possibles du SMSI ; 4. améliorer la SSI : étudier et mettre en place les améliorations identifiées pour le SMSI /05/ /33\n13 2.3 - Intégration de la SSI dans le cycle de vie des systèmes d'information Dans tout projet de mise en place d un système d information, le besoin de sécurité doit être pris en compte avec la même attention, en même temps et au même titre que les besoins fonctionnels que vise à satisfaire le système, le téléservice ou l application. Prise très en amont du projet, son efficacité sera bien supérieure, et son coût bien moindre, que s il faut faire évoluer les spécifications, voire les équipements ou l architecture du système, du fait d une intégration tardive. Il est ainsi recommandé de considérer la SSI dès la phase de définition du système d information (voire même dès l étude d opportunité en cas de doute sur la possibilité de sécuriser le système d information au niveau requis), puis au-delà, tout au long de sa vie, notamment lors de toute modification, jusqu à son retrait du service. Cette démarche de réévaluation et d amélioration constante de la SSI s appuie notamment sur des audits réguliers de sécurité. En fin de vie, il convient, par exemple, de veiller à la destruction des données et des composants confidentiels, avant de céder, de jeter ou de détruire le système. Dans ce cycle, une étape essentielle est l homologation de sécurité du système d information ( 2.3.2), qui doit intervenir avant la mise en service du système, puis être régulièrement réexaminée, afin de prendre les mesures que peuvent imposer les évolutions du système, de ses composants, de son emploi, du contexte humain ou organisationnel, ou encore bien sûr de la menace Des efforts proportionnés aux enjeux SSI La démarche de sécurité doit être adaptée aux enjeux du projet. Dans ce but, il est recommandé d utiliser le guide [GISSIP] de l ANSSI pour l intégration de la sécurité dans les différentes phases des projets informatiques, et en particulier : lors de la conception générale, pour identifier les objectifs généraux de sécurité ; lors de la conception détaillée, pour affiner les objectifs de sécurité et identifier le niveau de risque maximum que l autorité responsable se déclare prête à accepter ; lors de la réalisation du système, pour décrire concrètement les mesures de sécurité et la manière de les appliquer dans l environnement effectif d utilisation ; à la fin de la phase de développement et au plus tard avant la phase d exploitation, pour prononcer la décision d homologation ( 2.3.2) ; tout au long de la vie du système, jusqu au retrait du service, pour maintenir la sécurité Un engagement systématique : l homologation de sécurité Extrait du [DécretRGS] : Chapitre II : Fonctions de sécurité des systèmes d information : Article 5 : L autorité administrative atteste formellement auprès des utilisateurs de son système d information que celui-ci est protégé conformément aux objectifs de sécurité fixés en application de l article 3. Dans le cas d un téléservice, cette attestation est rendue accessible aux usagers selon les mêmes modalités que celles prévues à l article 4 de l ordonnance du 8 décembre 2005 susvisée pour la décision de création du téléservice.» Cette «attestation formelle», évoquée à l article 5 supra, correspond à une «homologation de sécurité du système d information». Celle-ci est obligatoire et est un préalable à la mise en service opérationnelle de tout système d information. Elle est prononcée par une autorité dite d homologation, désignée par l AA, habituellement au sein même de cette AA. Lorsque le système est sous la responsabilité de plusieurs AA, l autorité d homologation est désignée conjointement par les AA concernées. Au sens de l article 5 supra, la décision d homologation, ou «attestation formelle», est l engagement par lequel l autorité d homologation atteste, au nom de l AA, que le projet a bien pris en compte les contraintes opérationnelles de sécurité établies au départ, que les exigences de sécurité sont bien déterminées et satisfaites, que les risques résiduels sont maîtrisés et acceptés, et que le système d information est donc apte à entrer en service. Afin que sa décision soit motivée et justifiée, il est recommandé que l autorité d homologation s appuie sur un dossier de sécurité, constitué selon le modèle décrit dans le guide [GISSIP] /05/ /33\n14 Selon les résultats de l analyse effectuée lors de la démarche d homologation, l autorité d homologation pourra prononcer : une homologation provisoire, assortie de réserves et d un délai de mise en conformité des défauts de sécurité rencontrés ; une homologation, assortie le cas échéant de conditions, pour une durée déterminée (recommandée entre 3 et 5 ans) ; un refus d'homologation, si les résultats de l'audit font apparaître des risques résiduels jugés inacceptables Des outils spécifiques pour différentes familles de téléservices Il est recommandé que les experts SSI et les responsables de système d information utilisent, pour exprimer les besoins de sécurité et identifier les objectifs de sécurité, des fiches d expression rationnelle d objectifs de sécurité (FEROS). Pour faciliter ce travail, et pour les familles les plus usuelles de téléservices qu une AA peut mettre en œuvre, sept FEROS génériques [FEROSTypes] sont proposées : Téléservice de candidature (exemples : candidature dans l enseignement supérieur, au permis de conduire, ) ; Téléservice de consultation (exemples : consultation des remboursements de la sécurité sociale, des résultats d examens, de concours, ) ; Téléservice de déclaration (exemples : dossier fiscal du particulier (TéléIR), compte fiscal des professionnels, déclaration de changement d adresse, ) ; Téléservice de demande (exemples : demande d extraits d état civil, de permis de construire, de licence IV, de stage d étudiants, ) ; Téléservice d inscription (exemple : inscription à un concours de la fonction publique) ; Téléservice de paiement en ligne (exemples : paiement d amendes, règlement de la TVA, règlement d impôts sur le revenu, ) ; Téléservice de simulation (exemples : calcul de revalorisation des pensions alimentaires, simulateur de calcul de retraite, d impôt sur le revenu, ). En complément, le guide d exigences de sécurité [ExigencesTélé] propose un ensemble d exigences de sécurité qui permettent de répondre aux objectifs de sécurité exprimés dans les [FEROSTypes]. Il est recommandé de s appuyer sur ces documents chaque fois que le téléservice mis en place entre dans l une des familles présentées supra /05/ /33\n15 3 - Fonctions de sécurité Introduction Extrait de l [Ordonnance] : Article 9.I. - «Un référentiel général de sécurité fixe les règles que doivent respecter les fonctions des systèmes d information contribuant à la sécurité des informations échangées par voie électronique telles que les fonctions d identification, de signature électronique, de confidentialité et d horodatage». Extrait du [DécretRGS] : Chapitre I : Référentiel Général de Sécurité : «Article 1 : Le référentiel général de sécurité, prévu par l article 9 de l ordonnance du 8 décembre 2005 susvisée, fixe les règles auxquelles les systèmes d information mis en place par les autorités administratives doivent se conformer pour assurer la sécurité des informations échangées, et notamment leur confidentialité et leur intégrité, ainsi que la disponibilité et l intégrité de ces systèmes et l identification de leurs utilisateurs. Ces règles sont définies selon des niveaux de sécurité prévus par le référentiel pour des fonctions de sécurité, telles que l identification, la signature électronique, la confidentialité ou l horodatage, qui permettent de répondre aux objectifs de sécurité mentionnés à l alinéa précédent». Le présent chapitre et les annexes auxquelles il renvoie contiennent les règles de sécurité à respecter pour les fonctions de sécurité d authentification ( 3.2), de signature électronique ( 3.3), de confidentialité ( 3.4) et d horodatage ( 3.5). Ces règles sont différentiées selon des niveaux de sécurité, définis dans ces mêmes annexes. En fonction de leur besoin de sécurité, il appartient aux AA de déterminer les fonctions de sécurité ainsi que leurs niveaux de sécurité associés, en s appuyant sur les méthodes, les outils et les bonnes pratiques proposés au chapitre 2 du présent document. Lorsque de telles fonctions sont traitées dans le présent chapitre du RGS, l AA respecte les règles correspondantes aux niveaux de sécurité requis parmi ceux prévus dans ce référentiel. Le tableau ci-dessous présente la règle à adopter dans les cas où les besoins en sécurité de l AA ne correspondent pas exactement à un niveau de sécurité défini dans le RGS. Lorsque l AA a identifié un besoin pour un niveau de sécurité non prévu dans ce référentiel un besoin pour un niveau de sécurité supérieur au plus haut niveau du référentiel un besoin pour un niveau de sécurité inférieur au plus bas niveau du référentiel elle doit soit appliquer les règles du niveau juste supérieur, soit appliquer celles du niveau juste inférieur et reconduire alors une analyse des risques résultant de ce choix doit appliquer les règles de ce plus haut niveau et, si possible, mettre en place des fonctions et mesures de sécurité complémentaires (non prévues dans le RGS) pour atteindre ses objectifs de sécurité peut n appliquer que les seules règles de ce plus bas niveau qui répondent à ses objectifs de sécurité Authentification L authentification a pour but de vérifier l identité dont se réclame une personne ou une machine (ci-après désignée «entité»). Généralement, l authentification est précédée d une identification, qui permet à cette entité de se faire reconnaître du système au moyen d un élément dont on l a doté. En d autres termes, s identifier consiste à communiquer une identité préalablement enregistrée, s authentifier consiste à apporter la preuve de cette identité. La suite de ce chapitre ne traite que de la fonction d authentification. Les fonctions d authentification présentées ci-dessous concernent les mécanismes à base de mots de passe ( 3.2.2) et ceux à base de certificats électroniques ( et 3.2.4). Dans tous les cas, lorsque ces /05/ /33\n16 mécanismes font appel à des mécanismes cryptographiques, ils doivent respecter les exigences fixées dans les référentiels mentionnés au chapitre Utilisation de mécanismes cryptographiques Lorsqu elles mettent en place une fonction d authentification reposant sur des mécanismes cryptographiques, les AA doivent respecter les règles, et si possible les recommandations, indiquées dans les référentiels [RGS_B_1] et [RGS_B_2], communs à tous les mécanismes cryptographiques, et le référentiel [RGS_B_3], dédié aux mécanismes d authentification Authentification d une personne par l utilisation d identifiants et de mots de passe statiques L authentification d une personne auprès d un système d information distant fait intervenir trois entités : l utilisateur : ce dernier souhaite effectuer des opérations sur le système d information distant et doit pour cela prouver son identité ; l environnement de confiance local (exemple : le PC d un agent administratif) ; le système d information distant (exemples : une base de donnée, le serveur hébergeant un téléservice). De manière générale, il n est pas recommandé de permettre une authentification par «identifiant / mot de passe» de façon directe entre l utilisateur et le système d information distant. En effet, un dispositif basé sur un identifiant et un mot de passe, du fait de la faiblesse intrinsèque qu il présente en raison de la possibilité de rejeu, constitue un mécanisme de déverrouillage et non pas un réel mécanisme d authentification. Un tel dispositif ouvre des possibilités de fraude largement employées, comme le hameçonnage, qui vise à récupérer les informations de connexion (identifiant et mot de passe) de l utilisateur et permet donc d usurper son identité. Ce mécanisme d authentification ne peut donc offrir qu un niveau de sécurité limité, qui peut cependant suffire dans certaines applications. Cette section n impose aucune règle ni niveau de sécurité et se borne à donner quelques recommandations d usage des identifiants et des mots de passe dans un processus d authentification d une personne sur un système d information local ou distant. Il est ainsi recommandé de : respecter les bonnes pratiques proposées dans le document [CERTA] pour la création d un mot de passe fiable et sa bonne gestion ; donner la capacité au système d information de vérifier, au moment de son enregistrement, la complexité du mot de passe choisi par l utilisateur, de façon à refuser les mots de passe qu il serait trop aisé de deviner ; limiter ce mécanisme d authentification au contrôle de l accès à l environnement local de confiance de l utilisateur (par exemple, un mécanisme de déverrouillage par identifiant et mot de passe) ; mettre en place un dispositif d authentification reposant sur des mécanismes cryptographiques, qui permet à l environnement de confiance local, une fois déverrouillé par l utilisateur, de s authentifier auprès du système d information distant au nom de l utilisateur. Il est également recommandé que ces mécanismes permettent d assurer la confidentialité et l intégrité des données auxquelles accède l utilisateur sur le système d information distant Authentification d une personne par certificat électronique La mise en œuvre par une AA de la fonction de sécurité «Authentification» par des mécanismes cryptographiques asymétriques et l emploi de certificats électroniques peut se faire selon trois niveaux de sécurité aux exigences croissantes : une étoile (*), deux étoiles (**) et trois étoiles (***). Ces exigences, décrites dans l annexe [RGS_A_2], couvrent l ensemble des composants nécessaires à la mise en œuvre de cette fonction de sécurité, pour les trois niveaux de sécurité. L AA, après avoir déterminé le niveau de sécurité parmi (*), (**) ou (***) de la fonction de sécurité «Authentification» qu elle souhaite mettre en œuvre au sein de son système d information, respecte les exigences correspondantes pour chacun des composants suivants : /05/ /33\n17 la bi-clé et le certificat électronique dont l usage est l authentification ; le dispositif d authentification ; le module de vérification d authentification ; l application d authentification. Les exigences concernant le composant «certificat électronique» portent non seulement sur son contenu, mais également sur les conditions dans lesquelles il est émis par un PSCE ainsi que sur le dispositif de stockage de la clé privée. Ces exigences font l objet d une autre annexe du RGS, [RGS_A_7], appelée «Politique de Certification Type Authentification». Le RGS offre également la possibilité d avoir un certificat électronique unique, dit à «double usage», pour les fonctions d authentification et de signature. Dans ce cas, le certificat doit respecter les exigences fixées dans la PC Type Authentification et Signature [RGS_A_11], et ne peut être prévu qu aux niveaux (*) et (**) Authentification d un serveur par certificat électronique La mise en œuvre par une AA de la fonction de sécurité «Authentification Serveur» par des mécanismes cryptographiques asymétriques et l emploi de certificats électroniques peut se faire selon trois niveaux de sécurité aux exigences croissantes : une étoile (*), deux étoiles (**) et trois étoiles (***). Ces exigences, décrites dans l annexe [RGS_A_4], couvrent l ensemble des composants nécessaires à la mise en œuvre de cette fonction de sécurité, pour les trois niveaux de sécurité. L AA, après avoir déterminé le niveau de sécurité parmi (*), (**) ou (***) de la fonction de sécurité «Authentification Serveur» qu elle souhaite mettre en œuvre au sein de son système d information, respecte les exigences correspondantes pour chacun des composants suivants : la bi-clé et le certificat électronique dont l usage est l authentification du serveur et l établissement d une session sécurisée ; le dispositif de protection des clés privées du serveur ; le module de vérification d authentification ; l application d authentification du serveur. Les exigences concernant le composant «certificat électronique» portent non seulement sur son contenu, mais également sur les conditions dans lesquelles il est émis par un PSCE ainsi que sur le dispositif de stockage de la clé privée. Ces exigences font l objet d une autre annexe du RGS, [RGS_A_9], appelée «Politique de Certification Type Authentification Serveur» Signature électronique La signature électronique d une personne permet de garantir l identité du signataire, l intégrité du document signé et le lien entre le document signé et la signature. Elle traduit ainsi la manifestation du consentement du signataire quant au contenu des informations signées. Dans le cas des échanges dématérialisés faisant intervenir des serveurs (serveurs applicatifs, téléservices fonctionnant sur une machine ou un groupe de machines), la fonction de «Cachet» permet de garantir l intégrité des informations échangées et l identification de la machine ayant «cachetée» ces informations. Cette fonction de «Cachet» est pour une machine l équivalent de la fonction signature pour une personne. Les fonctions de signature ( 3.3.2) et de cachet ( 3.3.3) sont présentées ci-dessous. Dans tous les cas, lorsque ces fonctions font appel à des mécanismes cryptographiques, ceux-ci doivent respecter les exigences fixées dans les référentiels mentionnés au chapitre Utilisation de mécanismes cryptographiques Lorsqu elles mettent en place une fonction de signature ou de cachet électronique reposant sur des mécanismes cryptographiques, les AA doivent respecter les règles, et si possible les recommandations, indiquées dans les référentiels [RGS_B_1] et [RGS_B_2], communs à tous les mécanismes cryptographiques /05/ /33\n18 Signature d une personne par certificat électronique La mise en œuvre par une AA de la fonction de sécurité «signature électronique», reposant sur des mécanismes cryptographiques asymétriques et l emploi de certificats électroniques, peut se faire selon trois niveaux de sécurité aux exigences croissantes : une étoile (*), deux étoiles (**) et trois étoiles (***). Ces exigences, décrites dans l annexe [RGS_A_3], couvrent l ensemble des composants nécessaires à la mise en œuvre de cette fonction de sécurité, pour les trois niveaux de sécurité. L AA, après avoir déterminé le niveau de sécurité parmi (*), (**) ou (***) de la fonction de sécurité «Signature» qu elle souhaite mettre en œuvre au sein de son système d information, respecte les exigences correspondantes pour chacun des composants suivants : la bi-clé et le certificat électronique dont l usage est la création et la vérification de signature électronique ; le dispositif de création de signature électronique ; le module de vérification de signature électronique ; l application de création de signature électronique. Les exigences concernant le composant «certificat électronique» portent non seulement sur son contenu mais également sur les conditions dans lesquelles il est émis par un PSCE ainsi que sur le dispositif de stockage de la clé privée. Ces exigences font l objet d une autre annexe du RGS, [RGS_A_8], appelée «Politique de Certification Type Signature». Le RGS offre également la possibilité d avoir un certificat électronique unique, dit à «double usage», pour les fonctions d authentification et de signature. Dans ce cas, le certificat doit respecter les exigences fixées dans la PC Type Authentification et Signature [RGS_A_11], et ne peut être prévu qu aux niveaux (*) et (**). Cas particulier de la signature des actes administratifs au sens de l [Ordonnance] : Extrait de l [Ordonnance] Article 8 : «Les actes des autorités administratives peuvent faire l objet d une signature électronique. Celle-ci n est valablement apposée que par l usage d un procédé, conforme aux règles du référentiel général de sécurité mentionné au I de l article 9, qui permette l identification du signataire, garantisse le lien de la signature avec l acte auquel elle s attache et assure l intégrité de cet acte». L AA détermine le niveau de sécurité, de une étoile (*) à trois étoiles (***), requis pour l usage de la signature électronique des actes administratifs qu elle émet, et respecte les règles définies au présent chapitre. Cas particulier de la signature «présumée fiable» au sens de l article du code civil : Les exigences techniques, définies en annexe de l [Arrêté260704] et portant sur la délivrance de certificats électroniques dits «qualifiés» au sens du [Décret ], sont requises pour la génération de signatures électroniques «présumées fiables» au sens du [Décret ]. Ces exigences constituent un sous-ensemble de celles contenues dans le document [RGS_A_8] pour le niveau de sécurité (***), qui prévoit des exigences supplémentaires essentiellement en matière de format et de variables de temps. De ce fait, une signature électronique sécurisée au sens de l article 1 er du [Décret ], établie avec un dispositif sécurisé de création de signature certifié conforme dans les conditions de l article 3 du [Décret ] et mettant en œuvre des certificats de signature électronique conformes au niveau de sécurité (***) de [RGS_A_8] est de facto «présumée fiable» selon le [Décret ] et donc au sens de l article du code civil Cachet d un serveur par certificat électronique La mise en œuvre par une AA de la fonction de sécurité «Cachet», reposant sur des mécanismes cryptographiques asymétriques et l emploi de certificats électroniques, peut se faire selon trois niveaux de sécurité aux exigences croissantes : une étoile (*), deux étoiles (**) et trois étoiles (***) /05/ /33\n19 Ces exigences, décrites dans l annexe [RGS_A_5], couvrent l ensemble des composants nécessaires à la mise en œuvre de cette fonction de sécurité, pour les trois niveaux de sécurité. L AA, après avoir déterminé le niveau de sécurité parmi (*), (**) ou (***) de la fonction de sécurité «Cachet» qu elle souhaite mettre en œuvre au sein de son système d information, respecte les exigences correspondantes pour chacun des composants suivants : la bi-clé et le certificat électronique dont l usage est la création d un cachet ; le dispositif de création d un cachet par une machine ; le module de vérification d un cachet ; l application de création d un cachet. Les exigences concernant le composant «certificat électronique» portent non seulement sur son contenu mais également sur les conditions dans lesquelles il est émis par un PSCE ainsi que sur le dispositif de stockage de la clé privée. Ces exigences font l objet d une autre annexe du RGS, [RGS_A_10], appelée «Politique de Certification Type Cachet» Confidentialité La confidentialité est le caractère réservé d une information dont l accès est limité aux seules personnes autorisées à la connaître. Le chiffrement est un procédé cryptographique garantissant la confidentialité des données chiffrées contre toute personne ne possédant pas la clé de déchiffrement. Il s agit du mécanisme essentiel de protection de la confidentialité et fait l objet du chapitre Par ailleurs, la confidentialité des informations peut aussi être protégée par des mesures complémentaires de gestion des droits d'accès de chacun, en lecture, en écriture ou en modification, aux données contenues dans le système d'information. Ces droits d accès sont déterminés, en fonction du strict besoin d en connaître des usagers et de celui des agents dans le cadre de leurs missions. À cet effet, il est recommandé que des mécanismes techniques soient mis en place pour s assurer que seules les personnes autorisées puissent accéder aux données en fonction de leur besoin d en connaître. Il est recommandé également que ces mécanismes soient robustes et implémentés au plus près du lieu de stockage des données. Dans tous les cas, les mécanismes de chiffrement et les mécanismes techniques de gestion des droits d accès, dès lors qu ils font appel à des mécanismes cryptographiques, doivent respecter les exigences fixées dans les référentiels mentionnés au chapitre Utilisation de mécanismes cryptographiques Lorsqu elles mettent en place une fonction de confidentialité reposant sur des mécanismes cryptographiques, les AA doivent respecter les règles, et si possible les recommandations, indiquées dans les référentiels [RGS_B_1] et [RGS_B_2], communs à tous les mécanismes cryptographiques Confidentialité par certificat électronique La mise en œuvre par une AA de la fonction de sécurité «Confidentialité», reposant sur des mécanismes cryptographiques asymétriques et l emploi de certificats électroniques, peut se faire selon trois niveaux de sécurité aux exigences croissantes : une étoile (*), deux étoiles (**) et trois étoiles (***). Ces exigences, décrites dans l annexe [RGS_A_1], couvrent l ensemble des composants nécessaires à la mise en œuvre de cette fonction de sécurité, pour les trois niveaux de sécurité. L AA, après avoir déterminé le niveau de sécurité parmi (*), (**) ou (***) de la fonction de sécurité «Confidentialité» qu elle souhaite mettre en œuvre au sein de son système d information, respecte les exigences correspondantes pour chacun des composants suivants : la bi-clé et le certificat électronique dont l usage est le chiffrement ; le dispositif de protection des clés privées ; le module de chiffrement ; le module de déchiffrement /05/ /33\n20 Les exigences concernant le composant «certificat électronique» portent non seulement sur son contenu mais également sur les conditions dans lesquelles il est émis par un PSCE ainsi que sur le dispositif de stockage de la clé privée. Ces exigences font l objet d une autre annexe du RGS, [RGS_A_6], appelée «Politique de Certification Type Confidentialité» Horodatage Une fonction d horodatage permet d attester qu une donnée sous forme électronique existe à un instant donné. Cette fonction met en œuvre une contremarque de temps générée à l aide d un mécanisme cryptographique qui devra respecter les exigences mentionnées au chapitre De plus, cette contremarque sera délivrée par un prestataire de service d horodatage électronique (PSHE) qui devra respecter les exigences du chapitre Utilisation des mécanismes cryptographiques Lorsqu elles mettent en place une fonction d horodatage reposant sur des mécanismes cryptographiques, les AA doivent respecter les règles, et si possible les recommandations, indiquées dans les référentiels [RGS_B_1] et [RGS_B_2], communs à tous les mécanismes cryptographiques Horodatage par contremarques de temps Les contremarques de temps doivent être émises conformément aux exigences de l annexe [RGS_A_12], appelée «Politique d Horodatage Type». Cette annexe ne distingue qu un unique niveau de sécurité auquel les AA doivent se conformer dès lors qu elles désirent mettre en œuvre la fonction d horodatage au sein de leur système d information /05/ /33


Soins, nettoyants et crèmes pour visage | Avenue des Parfums\nÊtre belle de l’intérieur … comme de l’extérieur ! L’Avenue des Parfums aime prendre soin de vous avec sa sélection de cosmétiques choisis rien que pour vous, pour sublimer, stimuler votre beauté, raviver la fraîcheur de votre teint, hydrater votre peau, réveiller une seconde jeunesse ! Avec ses crèmes de nuit et de jour, ses huiles essentielles et les sérums anti-âge, des perfecteurs de peau et des démaquillants tout doux, toute une gamme de masques et de gommages exfoliants, des crèmes de soin pour le contour des lèvres et des yeux, vous ne quitterez plus votre salle de bain, ni l’Avenue des Parfums, l’avenue de toutes vos envies !\nClarins (98) Guerlain (32) Jacadi (2) Lancôme (71) Yves Saint Laurent (7) Biotherm (39) HERMÈS (1) Clinique (67) Blancrème (23) Mavala (16) Dior (38) Erborian (26) CHANEL (49) Garancia (14) Filorga (21) LPG (12) DHC (3) Lamazuna (7) Polaar (21) Nougatine Paris (6) Miss Ferling (9) Shiseido (62) Egyptian Magic (1) Minima[liste] (7)\nSoin Contour des Yeux - 8 ml\nCoffret Dreamskin Soin Visage Le rituel Anti-âge Global...\nPrix à partir de 132,95 €\nSHISEIDO MEN Revitalisant Total Yeux - 15 ml\nShiseido Men Revitalisant Total Fluide Léger - 80 ml\nBelle de jour, comme de nuit !\nClarins et Lancôme régénèrent votre peau durant votre sommeil ! Avec des crèmes multi-glow et nutri-lumière, réveillez-vous lumineuse et rayonnante ! Dior revitalise vos cellules sans aucun effort de votre part, tandis que Garancia vous propose mille et une nuits mystérieuses, de quoi rêver ! Blancrème se décline en multiples façons détoxifiantes, antioxydantes et purifiantes. Decléor spécialiste de l’aromathérapie aura les crèmes aux parfums riches et savoureux parfaites pour vous, Carita et Biotherm vous invitent à baigner votre visage dans un lagon rafraîchissant et à le caresser d’un gel hydratant. Entrez au bal masqué avec Garancia pour une peau plus saine et plus pure, habillez votre visage d’un masque en tissu aux agrumes de Blancrème pour retrouver confort et apaisement. Clarins se diversifie et propose des masques à l’argile et des baumes nourrissants, Mavala vous fait tout simplement une Belle Peau. Optez pour le trio gagnant de Blancrème et pour les perfecteurs de peau de Decléor. Guerlain, Clinique, LPG et Erborian vous proposent des crèmes parfaites pour votre peau, la faisant rayonner de plaisir !\nUn air d’éternité\nRetrouvez une seconde jeunesse, prolongez-là, avec les crèmes et sérums anti-âges de notre gamme de cosmétiques que vous offre l’Avenue des Parfums. L’abeille royale de Guerlain ou le multi-lift de Lancôme stimuleront vos cellules, réveilleront votre peau, illumineront votre visage ! L’eau de Garancia va vous ensorceler de beauté, Clinique vous emporte dans le monde de la régénérescence ! Dior, Clarins et Decléor vous bercent de crèmes délicates, d’huiles essentielles parfumées et de sérums rajeunissant. Votre visage, c’est l’Avenue des Parfums qui en prend soin ! Laissez-vous aller à embellir votre peau, à faire rayonner votre visage et rendez-vous vite à l’Avenue des Parfums, notre magasin et notre boutique en ligne !


Cinéma – Skyfall (2012) | When GirlsMate Meet Beauty\nCinéma – Skyfall (2012)\nFilms/Ciné 13 novembre 2012 Commentaires : 2\nLes chroniques ciné se poursuivent aujourd’hui avec SKYFALL qui marque le cinquantième anniversaire de la saga James Bond 007.\nJe les ai quasiment tous vus étant petite et depuis Pierce Brosnan, je ne loupe aucun rendez-vous.\nDepuis 2006, James Bond est interprété par Daniel Craig (pour le plus grand plaisir de la gente féminine). Skyfall est son 3ème film dans ce personnage après Casino Royal (2006) et Quantum of Solace (2008).\nIl aura donc fallu attendre 4 ans pour retrouver l’agent du MI6.\nSynopsis : (par www.premiere.fr)\nAvis : (Noémie)\n2h30 de pur plaisir ! j’ai adoré ! Assez différent de ceux que l’on a déjà vu, Skyfall est beaucoup plus tourné vers la relation M-Bond et les quelques scènes d’actions/explosions sont magnifiquement tournées. La James Bond Girl est présente mais beaucoup moins que d’habitude (dommage pour vous messieurs), l’humour a une place importante (mais pas trop quand même) et les clins d’oeil à la série sont très bien vus. Judi Dench (M) est excellente comme à son habitude et Javier Bardem (Silva) joue son rôle à la perfection. ALLEZ LE VOIR !!!!\nAvis : (Mélanie)\nIl faut savoir que je n’avais jamais vu un seul James Bond de ma vie, ce fut donc une première. J’ai adoré ce film, le jeu d’acteur de Daniel Craig est excellent. J’ai vu ce film en VO et j’adore les accents anglais des acteurs. Je ne peux donc pas faire de comparatif avec d’autre James Bond, mais ça m’a donnée envie d’en regardé d’autres. Les autres acteurs du film sont eux aussi très bon, et particulièrement Judi Dench qui interprète M. A voir !!!!!\nTagué:cinema, daniel craig, espionnage, james bond, james bond girl, javier bardem, judi dench, sam mendes, skyfall\n← Cinéma – La traversée (2012)\nIn love de mon vernis →\n2 réflexions sur “Cinéma – Skyfall (2012)”\nLittleMissParis 13 novembre 2012 à 19 h 28 min Reply\nJe l’ai vu ce weekend, j’ai adoré !\n🙂 on est 3 donc !!! merci pour ton commentaire et bienvenue !


Publié le 7 Oct, 2014 dans Sites de rencontre\n1 Supprimer un compte amoureux.com\n2 Comment supprimer un compte Amoureux.com\n3 Supprimer les abonnements newsletters Amoureux.com\n4 Supprimer un abonnement Amoureux.com\n5 Contacter le service client du site Amoureux\n6 Supprimer un profil amoureux\n7 Tuto vidéo : supprimer un compte Amoureux\nComment supprimer un compte amoureux.com ? Comment se désinscrire d’amoureux.com et supprimer l’ensemble de ses données personnelles du site amoureux.com ? Me-desinscrire vous présente un tuto détaillé étape par étape pour comprendre comment supprimer un compte amoureux.com et effacer au passage toutes ses données personnelles de ce site.\nAmoureux.com est un site de rencontre comme il en existe tant d’autres. Petite particularité de ce dernier, c’est un des premiers acteurs des sites de rencontre à avoir fait son apparition sur le web Français (le site a été lancé en 1998).\nLe site enregistre près de 4 millions de connexions mensuelles pour un nombre d’utilisateurs estimé à plus de 350 000. Le site se distinguait avec notamment une utilisation presque entièrement gratuite même si les choses ont légèrement évoluées depuis son rachat par Meetic.\nLe site a été racheté par le géant Meetic en 2015. Pour l’occasion, nous avons mis à jour ce tuto. Meetic a d’ailleurs depuis racheté plusieurs sites par exemple le site match.com.\nVous souhaitez supprimer un compte amoureux.com et effacer un profil amoureux.com ? Nous allons voir ensemble les démarches à suivre.\nComment supprimer un compte Amoureux.com\nPour commencer, rendez-vous sur la page d’accueil du site. Entrez vos identifiants de connexion avec votre adresse e-mail et votre mot de passe.\nConnectez-vous à l’aide de vos identifiants de connexion. Si vous avez oublié vos identifiants vous pouvez les retrouver en cliquant sur le lien « identifiants oubliés ».\nSi vous avez oublié vos identifiants ou votre mot de passe, vous pouvez cliquer sur « identifiants oubliés ».\nUn e-mail vous sera ensuite envoyé avec l’ensemble de vos informations de connexion. Si vous rencontrez un autre problème de connexion, n’hésitez pas à contacter directement le service client du site Amoureux.com et donc le service client Meetic (voir plus loin dans cet article).\nSupprimer les abonnements newsletters Amoureux.com\nAvant de procéder à la suppression de votre profil, nous vous invitons dans un premier temps à supprimer les abonnements aux newsletters Amoureux.com et newsletters de leurs partenaires. En effet il n’est pas rare qu’un site conserve votre adresse e-mail dans leurs listes de diffusion de newsletter même après suppression du profil.\nPour se faire, rendez-vous dans votre profil et cliquez sur le lien « mon compte et abonnement » dans le menu déroulant.\nCliquez en haut à droite sur le nom de votre profil et sur « »mon compte et abonnement » dans le menu déroulant.\nUne fois arrivé dans la partie « compte et abonnement » de votre compte, vous pourrez gérer les paramètres, vos options d’alertes et de newsletters. Si vous avez souscrit à un abonnement, c’est également dans cette rubrique que vous pourrez accéder à vos paramètres d’abonnement.\nVous verrez ici un encadré consacré aux abonnements et un autre consacré aux alertes et newsletters. Désélectionnez toutes les cases pour ne plus être abonné aux newsletters du site. Si vous avez un abonnement payant, vous pourrez accéder aux paramètres d’abonnement en cliquant sur le lien en question.\nSupprimer un abonnement Amoureux.com\nPour supprimer un abonnement, il faudra vous rendre dans la rubrique abonnement présent dans la partie du compte « mon compte et abonnement ».\nPour un abonnement, il est d’ailleurs conseillé de désélectionner l’option de réabonnement automatique. Une des spécialités de Meetic et que l’on retrouve sur tous ses sites c’est cette fâcheuse tendance à vous inscrire au réabonnement automatique dès que vous souscrivez à un de leur abonnement.\nIl sera compliqué de faire arrêter un abonnement en cours. Assurez-vous donc que l’option de réabonnement automatique n’est pas sélectionnée sur votre compte en consultant la rubrique abonnement (si vous avez un abonnement en cours).\nPour plus d’informations, n’hésitez pas à contacter le service client du site Amoureux.com.\nContacter le service client du site Amoureux\nPour contacter le service client du site amoureux, il faudra directement vous adresser au service client Meetic. En effet le service client Meetic gère tous les sites du groupe.\nDepuis le rachat d’Amoureux.com par Meetic, c’est donc le service client Meetic qui est en charge du site Amoureux.com. Il faut donc contacter les équipes de Meetic pour toute demande d’aide ou question sur le site de rencontre amoureux.com. L’avantage étant que le service client Meetic est très réactif.\nVous pouvez contacter le service client via le lien suivant : contacter le service client Amoureux .\nSi vous rencontrez des difficultés pour contacter le service client du site Amoureux (et donc de Meetic), nous vous invitons à visionner le tuto suivant.\nSupprimer un profil amoureux\nPour supprimer un compte amoureux.com, rendez-vous dans le menu déroulant « mon compte et abonnement », descendez de page et cliquez sur « suspendre le compte ».\nDans la rubrique compte et abonnement, descendez de page et cliquez sur le lien « pour suspendre votre profil cliquez ici ».\nUn nouvel écran s’affiche, attention ici à cliquer sur le lien en bas de la page et non sur le bouton « suspendre mon profil ».\nSi vous souhaitez supprimer un compte Amoureux, cliquez en bas de la page sur le lien « cliquez ici » et non sur le lien « suspendre mon profil ».\nÀ noter : vous avez la possibilité de désactiver votre profil sans supprimer votre compte. Si vous souhaitez simplement suspendre votre profil (celui-ci existe toujours mais il devient invisible et peut être réactivé à tout moment) vous pouvez cliquer sur le bouton « suspendre mon profil ».\nOn vous demandera par la suite d’entrer vos identifiants de connexion pour confirmer la volonté de suppression.\nEnfin un dernier écran s’affiche. Pour supprimer un compte Amoureux, cliquez sur le bouton « Valider ».\nCliquez sur le bouton valider pour supprimer un compte Amoureux. Attention de ne pas cliquer sur « suspendre mon profil ».\nSi vous avez cliqué sur « Valider », un nouveau écran s’affiche pour confirmer la suppression de votre compte Amoureux.com .\nVotre compte est désormais supprimé et l’ensemble de vos données n’apparaissent plus sur le site amoureux.com. À noter : la suppression de votre profil peut prendre jusqu’à 72 heures. Il vous faudra donc être un peu patient.\nTuto vidéo : supprimer un compte Amoureux\nLa suppression d’un compte du site amoureux.com est donc relativement facile. Toutefois, il faut suivre plusieurs étapes pour pouvoir fermer définitivement son compte et voir ses données effacées. Pour mieux vous aider, retrouvez ci-dessous le tutoriel vidéo qui explique comment supprimer un compte Amoureux.com en vidéo.\nN’oubliez pas que vous pouvez retrouver sur Me Désinscrire tous les tutos pour supprimer vos profils et comptes des différents sites de rencontre. L’astuce pour protéger votre vie privée et vos informations personnelles sur internet.\nPansard\t1 novembre 2014\nVu que je n’ai plus accès à mon compte depuis une semaine, je désire donc fermer ce dernier pour pouvoir en ouvrir un autre plus tard.


retour affectif > retour affectif retour > rituel retour affectif avec photo\nCest pour cette raison quil convient davoir deux photos: sa propre photo et celle de la personne à attirer. Il est aussi nécessaire de prendre en compte la date de naissance de cette personne. Le retour affectif de magie blanche amour ne comporte absolument aucun risque, ni pour soi-même, ni pour la personne à attirer, car il sagit de magie blanche. Il est préférable, afin que le retour daffection fonctionne, deffectuer le rituel dans la semaine suivant la nouvelle lune. Ingrédients du Rituel de retour affectif simples. Une bougie dAmour. Elle peut éventuellement être remplacée par une bougie blanche, mais leffet sera réduit. Une bague en métal or, argent, etc. Un feutre noir. Et le plus important, le prénom de la personne que lon souhaite séduire avec le Rituel de Séduction!


The Body Shop poursuit sa démarche de développement durable avec la relance des beurres corporels - Comparaland\nLE QUOI? The Body Shop s’apprête à relancer ses beurres corporels avec de nouveaux ingrédients et des emballages durables.\nLES DÉTAILS La gamme complète de 13 produits est désormais certifiée végétalienne et est composée d’un minimum de 95% d’ingrédients naturels. L’inclusion du karité est le beurre de karité du commerce équitable du Ghana.\nL’emballage est désormais 100% recyclable et fabriqué à partir de plastique PET 100% recyclé, qui a été collecté dans les rues de Bengaluru en Inde. Les couvercles de pots sont désormais en aluminium, ce qui réduirait de 241 tonnes par an l’utilisation de plastique vierge dans les pots de la marque.\nEn plus des favoris précédents, une version Avocado a été ajoutée à la gamme de produits.\nLes produits ne sont actuellement disponibles qu’au Royaume-Uni, mais seront lancés aux États-Unis à l’avenir.\nLE POURQUOI? The Body Shop a cité la demande croissante de produits plus écologiques parmi les consommateurs comme catalyseur pour les formules et les emballages mis à jour.\nS’adressant au métro, Thomas Le Quinquis, Global Head of Marketing, a évoqué l’évolution de la marque depuis la création des pots en 1992: «Depuis, nos beurres corporels ont évolué constamment avec le temps afin de répondre aux besoins changeants de nos clients. Cela nous a définitivement poussés à continuer à élever la barre en ce qui concerne le profil de durabilité de nos emballages.\nPages vues mensuelles : 31918


The Royals : une série addictive ! - Catch your Dream\nHello, aujourd’hui je reviens avec un article « culture« . Récemment j’ai découvert la série « The Royals » et comment vous dire que je suis tombée amoureuse de cette série. Entre complot, famille, amitié et amour on ne s’ennuie pas une seule seconde. J’ai adoré retrouver Elizabeth Hurley dans le rôle de la reine. Elle m’avait marqué dans le rôle de Diana Payne dans Gossip Girl. Et Liam, le jumeau d’Eléanor est interprété par William Moseley notre « crush » dans Narnia. Il jouait le grand frère. Autant vous dire qu’il est à croquer. Enfin Alexandra Park est une réelle découverte.\nSynopsis : La série est une version fictive de la famille royale britannique. Au cœur de l’intrigue, le prince Liam et la princesse Eleanor, des jumeaux qui profitent des avantages de leur statut jusqu’au jour où leur grand frère, le prince Robert, meurt dans un accident d’avion. Liam devient alors le prochain héritier au trône. Au fur et à mesure, il commence à prendre conscience de ses responsabilités tout en tombant amoureux d’Ophelia Pryce, la fille du responsable de la sécurité de la famille royale. Parallèlement, la reine Helena, une femme manipulatrice et prête à tout pour véhiculer une image publique acceptable, s’allie avec le frère du roi, le prince Cyrus, pour trouver un moyen de prendre le contrôle du trône même si cela implique de devoir trahir son mari, le roi Simon.\nCe que j’aime : Déjà c’est une série très rafraichissante et on passe par beaucoup d’émotions. Du rire aux larmes, on s’attache aux personnages et surtout on aurait bien envie d’être à leur côté. Heureusement que la vraie famille royale n’est pas comme cela car bonjour les dégâts. Pour ma part mon personnage préféré est Eléanor, la princesse qui fait tout pour aider son frère et qui a une relation très conflictuelle avec sa mère mais surtout avec elle-même. Et son histoire avec le bodyguard Jasper nous rends dingue. D’ailleurs je vous invite à découvrir ce couple à travers une vidéo.\nSachez que la série a été créée par Mark Shawn le papa des Frères Scott et on retrouve à la production un certain James Lafferty alias Nathan Scott. D’ailleurs il est en couple avec Alexandra Park qui joue la princesse Eléanor.\nJ’espère que ça donnera envie de découvrir la série un peu plus qui est pour moi un réel coup de coeur. D’ailleurs la saison 3 est confirmée, il ne reste plus qu’à attendre sagement. En attendant voici la bande annonce de la série !\nEt voici les gagnants du concours Ask & Shop il s’agit de Sam et Marie Cayrel random a désigné les numéros 4 et 5, félicitation, envoyez moi par mail vos pseudos et votre date de naissance sur l’application Ask & Shop afin que je transmette les informations pour que vous puissiez bénéficier de vos 50€.\nAdresse mail : laspheredamandine@gmail.com\nPar catchyourdream 6 Commentaires\n22 janvier 2016 à 14 h 55 min Répondre\n24 janvier 2016 à 19 h 09 min Répondre\n23 janvier 2016 à 10 h 20 min Répondre\nJe ne connaissais pas du tout cette série mais j’en regarde énormément donc je prends note et te remercie de ton avis 🙂\n24 janvier 2016 à 19 h 10 min Répondre\nTu me diras si elle te plait ? 😀\n18 février 2016 à 18 h 07 min Répondre\nI started this TV shows when t went on TV! You’re true! SO good and addicted… And the main protagonist… Peter Pevensie from Narnia has grown up ahah Really good show! Can’t wait for season 3 to start!\n18 février 2016 à 23 h 13 min Répondre


Nomination de Mme Johanne Beausoleil à titre de directrice générale de la Sûreté du Québec\nNommée officiellement à la tête de la Sûreté du Québec, pour un mandat de sept ans, Mme Beausoleil compte poursuivre le travail qu’elle a amorcé au cours des deux dernières années. Elle compte consolider les chantiers déjà entrepris et souhaite aborder ce nouveau chapitre en vous présentant ses engagements :\nContinuer d’être accessible et à l’écoute de tous les employés de la Sûreté, de ses partenaires et des citoyens;\nAdapter l’offre de service de la Sûreté aux défis du 21e siècle;\nGarder l’intérêt du citoyen au cœur des actions et stratégies de la Sûreté;\nConsolider davantage la culture d’intégrité et de confiance du public.\nLa Sûreté du Québec compte sur l’expertise, le professionnalisme et le dévouement de plus de 8 000 membres civils et policiers pour mener à bien sa mission et de continuer à servir la population québécoise.\nLe 27 janvier, l’équipe Impact a été active dans la MRC de la Haute-Yamaska. Ils ont tenu une opération conjointe avec les contrôleurs routiers dans le secteur de Warden, au cours de laquelle il y a eu quatre constats d’infractions de délivrés. De plus, une opération visant à faire respecter la limite de vitesse permise et le respect d’un arrêt obligatoire a été réalisée sur le boulevard de l’Horizon, à Waterloo. Au cours de cette opération, il y a eu deux constats d’infractions de remis pour le non-respect de la limite permise.\nLe 28 janvier, il y a eu une collision impliquant un seul véhicule sur la route 137 Nord, à St-Cécile-de-Milton. Une perte de contrôle due à la présence d’une lame de neige sur la chaussée serait à l’origine de cette embardée. La conductrice a subi des blessures mineures. Les pinces de désincarcération ont été nécessaires pour l’extirper de sa voiture.\nLe 30 janvier, une motoneigiste a subi des blessures mineures, alors que sa motoneige a versé sur le côté près du chemin Lamoureux, à Shefford. La dame fut transportée au centre hospitalier de Granby.\nÉgalement le dimanche 30 janvier, les patrouilleurs motoneigistes ont été présents dans et aux abords des sentiers de motoneige du secteur de Waterloo. Lors de cette sortie, 15 conducteurs de motoneiges ont été interpellés et sensibilisés. Aucun constat d’infraction n’a été délivré.\nLe 2 février, il y a eu deux collisions matérielles à Roxton Pond, l’une est survenue sur le 8e rang et la seconde sur la route 139. La cause de l’une de ces collisions pourrait être la fatigue, soit que le conducteur se serait endormi au volant.\nLe 4 février, à Warden sur la route 241, l’équipe Impact a réalisé une opération de sécurité routière pour le contrôle de la vitesse. Lors de cette opération, six constats d’infractions ont été délivrés.\nAu cours de la nuit du 5 février, il y a eu une collision mortelle à l’intersection de la route 139 et de la rue Brodeur, à Saint-Alphonse-de-Granby. Un homme de Brigham, seul à bord de son véhicule, a perdu la vie. Les occupants de l’autre véhicule impliqué ont subi des blessures mineures. Le non-respect des feux de circulation pourrait être à l’origine de cette collision. La circulation a été perturbée le temps de l’enquête.\nLe 6 février, les patrouilleurs motoneigistes ont été présents dans et aux abords des sentiers de motoneige du secteur de Waterloo et du canton de Shefford, près de la piste cyclable l’Estriade. Lors de cette sortie, 21 conducteurs de motoneiges ont été interpellés et sensibilisés à demeurer dans le sentier de motoneige et d’éviter le sentier prévu pour la pratique du fat bike sur l’Estriade. Deux constats d’infractions furent délivrés, un pour immatriculation impayée et l’autre pour de l’équipement non conforme.\nAu cours de la nuit du 31 janvier, deux suspects ont volé une caisse de bières dans un dépanneur de Saint-Alphonse-de-Granby. L’enquête est en cours dans ce dossier.\nLe 1er février, le policier intervenant en milieu scolaire a pris une plainte de leurre informatique. Des photos intimes d’une adolescente ont été mises en ligne sur internet. L’enquête est en cours dans ce dossier.\nLe sergent Steeve Côté a rencontré les classes des élèves du 2e secondaire de l’école Wilfrid-Léger dans le cadre de la présentation Mission Techno-Logique portant sur la cybercriminalité. Cette présentation vise notamment à éveiller l’esprit critique des jeunes, à les sensibiliser à une utilisation sécuritaire d’Internet et des réseaux sociaux en plus de les conscientiser sur le contenu qu’ils partagent.\nDe plus, les 4 et 7 février, les élèves du 4e secondaire ont participé au nouveau projet déployé visant à les informer et à les sensibiliser sur les différentes formes de violence et des cycles de violence qui peuvent arriver dans le cadre d’une relation amoureuse. L’animation du projet XOX est réalisée en collaboration avec la Maison Alice Desmarais. Ce sont des conférences interactives, grâce à des tablettes électroniques, dans le but de faciliter l’interaction au cours de l’animation. Différentes séquences vidéo sont visionnées à l’aide des tablettes afin de démontrer l’escalade de la violence dans une relation amoureuse. Avec cette technologie, la conférence est plus ludique pour les jeunes et ils ont une belle participation.


Sébastien Roustin, chocolatier récompensé à Alençon\nLe 6 octobre dernier avait lieu la remise des prix d’art culinaire des trophées de l’agroalimentaire de Normandie.\nCette année, c’est le chocolatier Sébastien Roustin qui a eu l’honneur de remporter la compétition.\nLe praliné en pot de ce gérant de Chocolats Glatigny a en effet beaucoup séduit le jury du concours.\nLes 12 meilleurs chocolatiers de France 2011\nLes awards du chocolat récompensent les 12 meilleurs chocolatiers de France.\nUne étude prouve que la consommation de chocolat réduit les risques cardio-vasculaires\nUne étude publié dans le cadre des congrès européens de cardiologie (ESC) met en évidence le lien entre risque cardiologique et consommation de chocolat. La conclusion tendrait à démontrer que la consommation régulière de chocolat réduirait d'un tiers les risques de maladie cardiovasculaire.\nRegis Bouet intègre la maison Weiss\nDepuis septembre 2011, Régis brouet est le nouveau maître chocolatier de la maison Weiss.\nLe parcours de Régis Boueten quelques dates :\nUne boutique de Bouillet gagne un prix du design\nLyon shop & Design a primé la boutique [Chokola] de Nicolas Bouillet avec le prix du public et le prix du jury 2011\nLa boutique située dans le quartier de la Croix-Rousse a été réalisée par l’architecte Richard Bagur, a voir dans la boutique une étonnante fontaine de chocolat liquide.\nFrédéric Hawecker Meilleur Ouvrier de France Chocolatier 2011\nFrédéric Hawecker est le seul lauréat au titre de MOF Chocolatier-Confiseur en 2011.\nJean Marie Auboine du Bellagio à Las Vegas,\nJean-Marc Scriban, démonstrateur au Japon\nChristophe Morel, chocolatier à Montréal.\nParmi les membres du Jury de l'édition 2011 Fabrice Gillotte et Edouard Hirsinger\nCoupe de France des jeunes chocolatiers confiseurs 2011\nLe palmarès 2011 de la Coupe de France des Jeunes Chocolatiers Confiseurs :\nMédaille d’Or :Jérémy FAGES, 22 ans, de Toulouse (31)\nMédaille d’Argent :Yohan DUTRON, 21 ans, de Guilherand Grange (07)\nMédaille de Bronze :Yazid ICHEMRAHEN, 20 ans, de Pauillac (33)\nLa Coupe de la Présentation Artistique :Loïc GUIRAO, 22 ans, de Grenoble (38)\nLa Coupe Saveurs :Benoît DESCHAMPS,21 ans, de Paris (75)31 chocolatiers de moins de 23 ans étaient en comptétition sur le thème "le chocolat dans tous ses états"\nMeilleurs Ouvriers de France (MOF) Pâtisserie-Confiserie 2011\n3 Nouveaux MOF Pâtissiers confiseurs 2011\nYann Brys,chargé de la création chez Dalloyau\nThierry Bamas, artisan à Anglet\nGuillaume Mabilleau, formateur à l'école gastronomique Bellouet Conseil à ParisVoir la liste de tous les MOF Pâtisser.\nCollection coquine de Patrick Roger pour la Saint-Valentin\nA l'occasion de la Saint-Valentin, Patrick Roger lance une collection gourmande en parfait décalage avec les coeurs et autres déclarations habituelles.\nLe chocolatier a en effet travaillé sur deux créations qui représentent chacune la poitrine d'une femme.\nPour la Fête des amoureux, Patrick Roger a décidé de déclarer "son amour aux femmes" en lançant une collection gourmande osée. Les deux oeuvres représentent chacune les seins d'une femme.\nWorld Chocolate Master France 2010\nXavier Berger est premier au Palmarès World Chocolate Master pour l'année 2010\nPalmarès 2010 du club des croqueurs de chocolat\nLes meilleurs chocolatiers de Paris d'après le Figaro\nTop 20 des chocolatiers d'après le Figaro\nBouillet ouvre une chocolaterie à Lyon\nC'est à la Croix Rousse, dans un lieu complètement atypique que Sébastien Bouillet crée [chokola], concept novateur et inédit en France. Cet espace de 150 m2 a été imaginé par l'architecte Richard Bagur dans l'esprit du loft new-yorkais, Sébastien Bouillet souhaite y recréer une interactivité avec le client et les amateurs de chocolat.


★ Histoire ★ Crédit ★ Informatique ★ Détective ★ Voyages\nCroquette Chien Chat : le marketing de réseau au service de la nutrition animale\nLe site www.croquette-chien-chat.com défini l'activité MLM dans le domaine de la nutrition animale. Le marketing de recommandation dans ce secteur à forte croissance permet à toutes les personnes motivées à travailler depuis leur domicile de toucher des compléments de revenus qui peuvent être importants. www.croquette-chien-chat.com c'est une vision du MLM qui remet au gout du jour les bases de ce mode de distribution. Les valeurs de partage, d'altruisme et d'implication sont défendues à la fois par le fabricant et par l'ensemble de son réseau de vente.\nNeuro Trading : préparation psychologique et émotionnelle pour les traders professionnels\nManuel Notice : notices d'utilisation ou mode d'emploi de vos appareils high-tech\nRetrouvez des notices d'utilisation à télécharger gratuitement pour tout type d'appareil électronique et high-tech. Profitez du site www.manuel-notice.fr pour retrouver le mode d'emploi que vous auriez perdu pour l'un de vos appareils high-tech. Tablettes, smartphones, hi-fi, home cinéma, informatique et télévision, il y aura une catégorie de produits qui répondra à votre besoin sur le site. Ne perdez plus votre temps et rendez vous sur le site pour télécharger rapidement votre notice d'utilisation en français et au format PDF.\nMSP : spécialiste de l'externalisation de la paye\nMa Solution Paye est le partenaire des PME pour l'externalisation de leur paye. MSP se charge de la gestion des bulletins de salaire, des déclarations annuelles, la réalisation des paiements des charges sociales. MSP propose aussi des services d'aide au calcul de la TVTS ou encore des provisions de retraite. La gestion externalisée de la paye permet de se concentrer sur son activité et de déléguer à un spécialiste.\nCatégorie : Accueil > Services aux entreprises > Externalisation de paie\nMagmatown : vidéo qui font le buzz\nVisionnez et faites partager à vos contacts Facebook et Twitter les toutes dernières vidéos extraordinaires qui font le buzz sur le net en exclusivité sur Magmatown.\nBoursoforex : comparatif broker option binaire\nBoursoforex est une plateforme sur les dernières infos touchant le l’univers du trading en ligne du marché des devises et des options digitales. Les transactions opérées sur le forex ou « foreign exchange markets », portent principalement sur les devises. « L’accessibilité » fait toute l’importance de ce produit financier, par conséquent, tout le monde, professionnels ou simples particuliers encore novices, peut y recourir.


Comment planifier une réception de mariage Accueil - johnserdar.com\nAvoir une réception de mariage à la maison fournit souvent un lieu plus intime. A la réception de la maison peut être aussi informelle que un barbecue avec la famille et les amis ou officielle, comme un événement en plein air avec une grande tente, bande, danse, tables et chaises couvertes. Même si cela prend du temps et de considération pour planifier une réception de mariage à la maison, il peut être un événement agréable et mémorable pour le couple et les invités. Selon le budget du couple, une réception à la maison peut économiser de l'argent ou coûter le même prix que d'une grande salle de réception.\n1 Déterminer combien de personnes peuvent s'adapter confortablement dans votre maison ou dans votre jardin. Cela vous donnera une idée générale de combien de personnes vous pouvez inviter.\n2 Vérifiez auprès de votre ville pour voir si il ya des ordonnances locales de bruit ou si un permis est nécessaire d'avoir la réception à la maison. Cela permettra d'éviter la police d'interrompre votre journée spéciale.\n3 Louez un traiteur ou de céder des plats aux membres de la famille. Repas-partage et des barbecues fonctionnent souvent bien à des réceptions à la maison que la famille et les amis sont généralement familiers avec les plats et savent ce qu'ils aiment. C'est aussi un bon moyen d'économiser de l'argent. Les cuisiniers bénéficient souvent l'occasion d'aider le couple.\n4 Sélectionnez une boulangerie à fabriquer et livrer le gâteau de mariage. Soyez sûr d'avoir une table désignée pour le gâteau lors de la réception. Le tableau peut être décoré avec une longueur de plancher blanc nappe et pédales dispersés sur le dessus rose.\n5. livre un DJ. Demandez-lui de visiter l'endroit avant la réception de vous donner des suggestions sur le meilleur endroit pour mettre en place son matériel.\n6 Demandez à vos amis et votre famille si vous pouvez emprunter porcelaine et le cristal pour le grand jour. Ceci en fait un décalage élégant de porcelaine. Une alternative serait de servir les clients sur les plats de papier ou de styromousse.\n7 Louer nécessaire articles. Selon le budget du couple et de l'espace disponible, il peut s'agir de tables, chaises, vaisselle, un pot portable, piste de danse, tente ou un générateur.\n8 Dites à vos voisins la date et l'heure de la réception. Vous pouvez même leur demander s'ils seraient prêts à faire don de leurs allées comme aires de stationnement pour vos invités.\n9 Décorez votre maison et la cour. A l'intérieur, utiliser des piliers de la porte, des fleurs et des bougies. Décorations extérieurs peuvent inclure des torches, des lanternes et des lumières. Tulle ou tissu transparent peut être drapé sur les portes ou les zones disgracieuses.\n10Relax et profiter de la journée que vous saluez et mêler aux invités.\nPlacez savons décoratifs, lotions, laque et d'autres équipements dans la salle de bain pour les invités.\nSi c'est dans votre budget, pensez à un service de voiturier ou d'embaucher quelqu'un pour nettoyer au cours de la partie.\nAvoir une tente ou plan de rechange si la réception est à l'extérieur et tous les invités ne rentre pas dans votre maison.\nSongez à une assurance complémentaire pour vous protéger contre les blessures clients.\nComment ajouter des effets cool à une vidéo dans Final Cut Pro\nComment faire une chanson se termine pas brusquement dans GarageBand\nAraignées du Pacifique Nord-Ouest, aux États-Unis\nJeux d'été pour adultes


Auteur Sujet: Xbox @ Gamescom 2017 (Lu 5139 fois)\nune chance qu'il y a du monde comme toi qui continue d'encourager cette compagnie là :P\nDu monde comme moi? Des gamers ils y en a partout. Très peu sur La-coche par contre. :P\nJ'ai précommander mon Xbox One X aussi, j'ai réussi à avoir le dernier au ebgames pas loin de chez nous. Un peu surpris que ça sold out partout comme ça, soit que ya vraiment pas beaucoup de stock (c'est probablement la raison) ou que le monde on sous-estimer la "most powerful console ever made" :happy


Annuaire > Annuaires Généralistes > Liste d' annuaires par S > Soucoupe-volante.com\nVisiter et apprécier le site Soucoupe-volante.com\n, appartenant à la catégorie Liste d' annuaires par S\nThématique proche de Soucoupe-volante.com\nAnnuaire de sites de qualité avec du contenus.\nAnnuaire Web et topsite hebdomadaire, annuaire référencement sans lien de retour exigé si ce n'est pour monter dans le classement générale et thématique. Annuaire offrant pages dédié pour chaque site contenant les statistique d'audience en...\nAnnuaire généraliste est un annuaire avec de nombreuses catégories proposant des liens en dur. Une sélection de nombreux sites internet répertorier par des humains. Proposez votre site internet. Portail généraliste, basé sur un...\nQuel webmaster n'aimerait pas retrouver son site dans les premières positions du moteur de recherche Google, et ainsi toucher des millions d'internautes et de contacts/clients potentiels ? Mais pour atteindre cet objectif, il est indispensable...\nScruteweb, annuaire internet Fr et moteur de recherche, les infos et widgets en ligne\nScruteweb, annuaire internet et moteur de recherche, referencement les meilleurs sites web, classements popularité, les widgets, informations, forums discussion, téléchargement et les infos en ligne. Scruteweb est l'annuaire thématique et...