Aller au contenu

Documents de Cadrage Stratégique et Socle de Conformité Initial (TSP / PKI)

Association « Open Trusted Service Provider Initiative » (OTSPI)

Ce dossier rassemble l'ensemble des documents de cadrage stratégique, réglementaire et technique constituant le socle d'audit initial d'OTSPI, soumis à l'approbation conjointe du Comité des Politiques de Confiance (CPC / PMA) et du Bureau (Executive Management) avant toute cérémonie de clé.

🏛️ Le Socle de Conformité Initial (Corpus d'Audit)

  1. Cadre Général des Politiques de Certification et Pratiques (CP/CPS) :
  2. Document maître conforme à la RFC 3647, à l'ETSI EN 319 401, à l'ETSI EN 319 411-1 / 411-2 et aux exigences WebTrust / CA/Browser Forum ;

  3. Régit l'ensemble du cycle de vie des clés et certificats (génération en HSM qualifié, profils d'émission, algorithmes cryptographiques autorisés, procédures de révocation d'urgence sous 24h/1h).

  4. Politique de Sécurité des Systèmes d'Information (PSSI) :

  5. Conforme aux standards internationaux ISO/IEC 27001:2022 et européens ETSI EN 319 401 ;

  6. Définit l'organisation de la sécurité, le rôle indépendant du RSSI (CISO) nommé par le CPC, le statut de l'Auditeur Interne indépendant, le contrôle d'accès avec authentification matérielle FIPS/ANSSI, et la procédure de notification des incidents de sécurité (ANSSI sous 24h).

  7. Plan de Fin d'Activité et Cessation de Service (Termination Plan) :

  8. Conforme à l'article 24.2.e du Règlement eIDAS et à la clause 7.12 de l'ETSI EN 319 401 ;
  9. Organise le maintien de la disponibilité publique des annuaires de révocation (CRL / OCSP) pendant au moins 10 ans ;
  10. Fixe le protocole d'archivage probatoire des journaux d'audit sur 10 à 30 ans auprès d'un tiers séquestre qualifié ;
  11. Met en œuvre le fonds de réserve opérationnelle sanctuarisé (Article 12 bis des Statuts).

🧭 Documents Complémentaires de Cadrage

  • Vision et Manifeste d'Infrastructure Ouverte : Modèle d'intérêt général à but non lucratif inspiré de l'ISRG / Let's Encrypt appliqué aux services qualifiés eIDAS.
  • Politique d'Horodatage (Time-Stamping Policy - TSP) : Profils d'horodatage qualifié conformes à l'ETSI EN 319 421 / 422 et RFC 3161.
  • Feuille de Route Institutionnelle et Technique (Roadmap) : Calendrier d'évaluation de la conformité (CAB), intégration EUDI Wallet (eIDAS 2.0) et préparation aux algorithmes post-quantiques.

🔒 Principes d'Auditabilité et Sécurité

  • Tous les documents de cadrage normatifs sont publics et consultables en libre accès dans le cadre de la redevabilité publique intégrale ;
  • Les seules exceptions concernent les secrets cryptographiques matériels (clés sous séquestre HSM) et les embargos temporaires de sécurité sur les vulnérabilités non corrigées (Coordinated Vulnerability Disclosure).