# ATTESTATION DE CONFORMITÉ SMSI (ISO/IEC 17050-1) & DOSSIER D'AUDIT ACCRÉDITÉ IAF MLA ## Système de Management de la Sécurité de l'Information (SMSI) — ISO/IEC 27001:2022 ### VEXT AI SARL AU — Opérateur de la Plateforme EnvoiSMS.ma --- ``` ███████╗███╗ ██╗██╗ ██╗ ██████╗ ██╗███████╗███╗ ███╗███████╗ ██╔════╝████╗ ██║██║ ██║██╔═══██╗██║██╔════╝████╗ ████║██╔════╝ █████╗ ██╔██╗ ██║██║ ██║██║ ██║██║███████╗██╔████╔██║███████╗ ██╔══╝ ██║╚██╗██║╚██╗ ██╔╝██║ ██║██║╚════██║██║╚██╔╝██║╚════██║ ███████╗██║ ╚████║ ╚████╔╝ ╚██████╔╝██║███████║██║ ╚═╝ ██║███████║ ╚══════╝╚═╝ ╚═══╝ ╚═══╝ ╚═════╝ ╚═╝╚══════╝╚═╝ ╚═╝╚══════╝ PLATEFORME CPaaS SÉCURISÉE MAROC ``` --- ### FICHE SIGNALÉTIQUE DU DOSSIER DE CONFORMITÉ | Paramètre d'Enregistrement | Valeur & Statut Opérationnel | |---|---| | **Norme de Référence** | **ISO/IEC 27001:2022** (Systèmes de management de la sécurité de l'information) | | **Cadre de Déclaration** | **ISO/IEC 17050-1** (Évaluation de la conformité — Déclaration de conformité du fournisseur) | | **Statut de Conformité** | **100% CONFORME (93/93 Contrôles Annexe A Appliqués & Audit Continu CI/CD)** | | **Entité Opératrice & Titulaire** | **VEXT AI SARL AU** (Opérateur de la plateforme **EnvoiSMS.ma**) | | **Identifiant Légal (ICE)** | `004061591000005` | | **Identifiant Fiscal (IF)** | `53892014` | | **Taxe Professionnelle (TP)** | `37810294` | | **Registre de Commerce (RC)** | Casablanca n° `594120` | | **Siège Social & Exploitation** | Casablanca, Royaume du Maroc | | **Déclaration d'Applicabilité (SoA)** | `SOA-ISO27001-2022-ENVOISMS-V1` (93/93 contrôles de l'Annexe A révisée 2022) | | **Moteur d'Audit Continu** | `.github/workflows/continuous-compliance.yml` (Vérification DevSecOps hebdomadaire) | | **Organismes Cibles d'Audit Accrédité** | **AFNOR Certification / BSI / PECB / SGS** (Accréditation IAF MLA / COFRAC / IPAC / UKAS) | | **Drapeau de Configuration Codebase** | `IS_ISO27001_ACCREDITED = false` (Bascule automatique à `true` dès délivrance formelle du certificat) | --- ### 1. DÉCLARATION FORMELLE DE CONFORMITÉ SELON ISO/IEC 17050-1 VEXT AI SARL AU, opérant la plateforme EnvoiSMS.ma, atteste formellement que son Système de Management de la Sécurité de l'Information (SMSI) est conforme à l'intégralité des exigences de la norme **ISO/IEC 27001:2022** pour le périmètre d'activité suivant : > **« Conception, développement, déploiement, hébergement, exploitation, maintenance et support technique des services de télécommunications programmables CPaaS (routage de SMS transactionnels et marketing, service de vérification d'OTP Zero-Knowledge, connecteur Meta WhatsApp Business Cloud API), des interfaces de programmation applicative (API REST), ainsi que des architectures logicielles et des infrastructures réseau Edge associées. »** L'ensemble des 93 contrôles de l'Annexe A (version révisée 2022) sont intégralement appliqués, formalisés dans la Déclaration d'Applicabilité (SoA) et surveillés en continu par le pipeline DevSecOps. --- ### 2. INFRASTRUCTURE CERTIFIÉE TIER-1 (SOC 2 TYPE II & ISO 27001) L'architecture serverless Edge d'EnvoiSMS repose sur l'infrastructure physique et réseau de **Cloudflare, Inc.** : 1. **Certifications Détenues par l'Hébergeur :** Certificats officiels ISO/IEC 27001:2022, ISO/IEC 27701 (Privacy), SOC 2 Type II, SOC 3 et PCI-DSS Level 1. 2. **Architecture Éphémère (Zero-Payload Persistence) :** Aucun corps de message bancaire ou OTP n'est stocké en clair de manière persistante sur disque. Les codes OTP font l'objet d'un hachage SHA-256 avec durée de vie stricte de 300 secondes. --- ### 3. PLAN D'ENGAGEMENT D'AUDIT POUR CERTIFICAT ACCRÉDITÉ IAF MLA (STAGE 1 & STAGE 2) Pour répondre aux exigences des grands comptes internationaux (notamment les constructeurs et équipementiers automobiles, les banques assujetties BAM et les grands comptes industriels) exigeant un certificat nominatif portant la marque de reconnaissance multilatérale **IAF MLA** (*International Accreditation Forum Multilateral Recognition Arrangement*) : | Étape de Certification | Description & Périmètre | Durée Estimée | Statut de Préparation | |---|---|---|---| | **Préparation & Evidence Binder** | Consolidation de la Déclaration d'Applicabilité (SoA 93 contrôles), du Plan d'Assurance Sécurité (PAS) et des rapports de pentest OWASP. | Complétée | **100% Prêt** (Disponible dans `compliance/`) | | **Audit Étape 1 (Stage 1)** | Revue documentaire approfondie de la politique de sécurité, de la gouvernance SMSI et de l'adéquation de la SoA par le registraire accrédité. | 1 jour | **Planifiable sur demande donneur d'ordres** | | **Audit Étape 2 (Stage 2)** | Vérification sur site et à distance de l'efficacité opérationnelle des 93 contrôles, tests d'intrusion et revue DevSecOps en production. | 2–3 jours | **Planifiable sur demande donneur d'ordres** | | **Délivrance & Activation** | Enregistrement au registre public IAF CertSearch et basculement immédiat du drapeau `IS_ISO27001_ACCREDITED = true` dans le codebase. | Immédiat | **Prêt dans le code source** | --- ### 4. COUVERTURE DES 93 CONTRÔLES DE L'ANNEXE A (ISO/IEC 27001:2022) Le SMSI couvre l'exhaustivité des 4 thèmes de l'Annexe A révisée (2022) : - **Thème 5 — Contrôles Organisationnels (37 contrôles) :** Politiques de sécurité, rôles RBAC, gestion des actifs, chiffrement TLS 1.3, conformité légale CNDP 09-08 et directives Bank Al-Maghrib 4/W/2022. - **Thème 6 — Contrôles Personnes (8 contrôles) :** Accords de confidentialité stricts (NDA), séparation des privilèges, sensibilisation DevSecOps continue. - **Thème 7 — Contrôles Physiques (14 contrôles) :** Héritage direct des centres de données Tier-1 certifiés ISO 27001 et SOC 2 Type II et des passerelles opérateurs télécoms marocains. - **Thème 8 — Contrôles Technologiques (34 contrôles) :** Architecture Zero-Knowledge OTP, hachage cryptographique SHA-256 des clés API, mutations atomiques CAS (Compare-And-Swap), protection Anti-SSRF et tests DAST/SAST automatisés. --- ### 5. VALIDATION CONTINUE & ACCÈS AUDITEURS - **Workflow CI/CD d'Audit Continu :** `.github/workflows/continuous-compliance.yml` (exécution hebdomadaire le lundi à 03:00 UTC). - **Déclaration d'Applicabilité (SoA) :** `compliance/02_SOA_DECLARATION_APPLICABILITE_ISO27001_2022_FR.md`. - **Rapport de Pentest Externe :** `compliance/03_RAPPORT_TEST_INTRUSION_EXTERNE_OWASP_FR.md`. - **Centre de Confiance en Ligne :** [https://envoisms.ma/fr/security/](https://envoisms.ma/fr/security/) --- **Pour VEXT AI SARL AU (Opérateur d'EnvoiSMS.ma) :** *Responsable du SMSI & Direction Technique* Courriel officiel : `security@envoisms.ma` | `contact@envoisms.ma` *Attestation établie conformément à la norme ISO/IEC 17050-1 et tenue à disposition des comités d'homologation et auditeurs accrédités.*