Article 2

al. 1Au sens du présent arrêté, on entend par :

al. 2Autorité compétente : autorité gouvernementale chargée de l'Administration de la défense nationale (direction générale de la sécurité des systèmes d'information) ;

al. 3Prestataire d'audit : société établie selon le droit marocain, délivrant une ou toutes les prestations d'audit des systèmes d'informations. Cet audit peut selon le cas être : un audit organisationnel et physique, un audit d'architecture, un audit de configuration, un audit de code source, tests d'intrusion, ou un audit des systèmes industriels ;

al. 4Audit organisationnel et physique : consiste à s'assurer que les politiques et procédures de sécurité définies et mises en place par l'entité auditée sont conformes aux directives nationales de la sécurité des systèmes d'information et aux normes et standards en la matière ;

al. 5Audit d'architecture : consiste en la vérification de la conformité des pratiques de sécurité relatives au choix, au positionnement et à la mise en œuvre des dispositifs matériels et logiciels déployés dans un système d'information, aux pratiques en vigueur, aux exigences et aux règles internes de l'entité auditée ;

al. 6Audit de configuration : permet de vérifier la mise en oeuvre de pratiques de sécurité conformes aux pratiques en vigueur et aux exigences de sécurité et règles internes de l'entité auditée en matière de configuration des dispositifs matériels et logiciels déployés dans un système d'information ;

al. 7Audit de code source : consiste en l'analyse de tout ou partie du code source ou des conditions de compilation d'une solution logicielle dans le but de s'assurer du respect des règles précises du codage ou d'analyser les vulnérabilités liées au développement ;

al. 8Test d'intrusion : permet d'évaluer la sécurité d'un système d'information ou d'un réseau en simulant les conditions réelles d'une attaque sur le système d'information. Ce test permet de découvrir des vulnérabilités sur le système d'information d'une entité auditée et de vérifier leur exploitabilité et leur impact sur l'entité ;

al. 9Audit des systèmes industriels : consiste en l'évaluation du niveau de sécurité d'un système industriel et des dispositifs de contrôle associés. Il se compose d'un audit d'architecture, d'un audit de la configuration des éléments composant l'architecture ainsi que d'un audit organisationnel et physique ;

al. 10Commanditaire d'audit : entité faisant appel au service d'audit de la sécurité des systèmes d'information ;

al. 11Entité auditée : organisme(s) responsable(s) de tout ou partie du système d'information de l'entité auditée. Le commanditaire peut être l'entité auditée ;

al. 12Auditeur : personne menant une mission d'audit pour le compte d'un prestataire d'audit.