# DÉCLARATION D'APPLICABILITÉ (SoA) — ISO/IEC 27001:2022
## Système de Management de la Sécurité de l'Information (SMSI) — EnvoiSMS.ma

---

**Référence :** `SOA-ISO27001-2022-ENVOISMS-V1`  
**Norme de référence :** ISO/IEC 27001:2022 (Annexe A — 93 mesures de sécurité)  
**Méthodologie d'attestation :** Déclaration de Conformité Fournisseur selon **ISO/IEC 17050-1**  
**Date d'établissement :** 2026-11-01  
**Périmètre :** Conception, exploitation, maintenance et support de la plateforme CPaaS EnvoiSMS (`api.envoisms.ma` et `envoisms.ma`), routage SMS/OTP/WhatsApp, et intégrations télécoms au Maroc.

---

### 1. SYNTHÈSE DE LA POSTURE D'APPLICABILITÉ

La norme **ISO/IEC 27001:2022** structure ses 93 contrôles en 4 grands thèmes :
- **Thème 5 — Contrôles Organisationnels :** 37 mesures
- **Thème 6 — Contrôles Personnes :** 8 mesures
- **Thème 7 — Contrôles Physiques :** 14 mesures
- **Thème 8 — Contrôles Technologiques :** 34 mesures
- **Total : 93 mesures d'assurance**

| Statut d'Applicabilité | Nombre de Contrôles | Pourcentage | Justification / Remarques |
|---|---|---|---|
| **Applicable & Totalement Mis en Œuvre** | **87** | **93.5%** | Déployé dans le code, la configuration Edge, D1 et les procédures. |
| **Applicable via Sous-Traitant Certifié (Héritage)** | **6** | **6.5%** | Sécurité physique des datacenters (Cloudflare / Equinix certifiés ISO 27001 / SOC 2). |
| **Exclu** | **0** | **0.0%** | Aucun contrôle exclu du périmètre opérationnel de la plateforme. |

---

### 2. MATRICE COMPLÈTE DES 93 CONTRÔLES DE L'ANNEXE A (ISO/IEC 27001:2022)

#### THÈME 5 : CONTRÔLES ORGANISATIONNELS (5.1 à 5.37)

| Réf. | Intitulé de la Mesure | Statut | Justification & Preuve Technique dans l'Architecture EnvoiSMS |
|---|---|---|---|
| **5.1** | Politiques de sécurité de l'information | Conforme | Charte SMSI validée par la Direction, révisée annuellement, publiée dans le Plan d'Assurance Sécurité (PAS). |
| **5.2** | Rôles et responsabilités pour la sécurité | Conforme | Séparation stricte des privilèges : Propriétaire, Ingénieur de Production, Support N2 (`admin-roles.ts`). |
| **5.3** | Ségrégation des tâches | Conforme | Le personnel de support n'a pas accès aux secrets de chiffrement ni aux bases de données brutes des clients. |
| **5.4** | Responsabilités de la direction | Conforme | Revues de direction trimestrielles documentées, budget sécurité dédié alloué au durcissement continu. |
| **5.5** | Contact avec les autorités | Conforme | Canaux de liaison établis avec la CNDP (D-W-872/2024), l'ANRT et protocole de contact CERT-BAM / DGSSI. |
| **5.6** | Contact avec des groupes d'intérêt spécialisés | Conforme | Veille automatisée sur les flux CVE, bulletins CERT-FR, OWASP et associations télécoms anti-fraude (MEF). |
| **5.7** | Renseignement sur les cybermenaces | Conforme | Système de threat intelligence intégré : blocage automatisé des ASN frauduleux et analyse de réputation IP. |
| **5.8** | Sécurité dans la gestion de projet | Conforme | Revues de sécurité et tests d'intrusion SAST systématiques avant tout déploiement en production. |
| **5.9** | Inventaire de l'information et des actifs associés | Conforme | Inventaire complet des ressources Cloud (Workers, KV, D1, Buckets R2) tracé sous Infrastructure as Code. |
| **5.10** | Utilisation acceptable de l'information | Conforme | Conditions Générales de Vente (CGV) et politique anti-smishing interdisant formellement l'usage abusif. |
| **5.11** | Restitution des actifs | Conforme | Procédure de révocation instantanée des accès et clés lors de la sortie d'un collaborateur ou prestataire. |
| **5.12** | Classification de l'information | Conforme | Données classifiées en 4 niveaux (Public, Interne, Confidentiel, Secret/OTP éphémère). |
| **5.13** | Marquage de l'information | Conforme | Métadonnées de routage horodatées et marquées pour traçabilité interne stricte. |
| **5.14** | Transfert de l'information | Conforme | Chiffrement TLS 1.3 obligatoire avec suites cryptographiques fortes sur l'ensemble des canaux d'échange. |
| **5.15** | Contrôle d'accès | Conforme | Modèle RBAC strict, authentification obligatoire par clé d'API scopée ou session sécurisée HttpOnly. |
| **5.16** | Gestion des identités | Conforme | Identifiants univoques par compte (`acct_...`), stockage sécurisé des mots de passe avec sel bcrypt/PBKDF2. |
| **5.17** | Informations d'authentification | Conforme | Clés d'API stockées uniquement sous forme d'empreinte SHA-256 non réversible dans la table `api_keys`. |
| **5.18** | Droits d'accès | Conforme | Principe du moindre privilège appliqué à l'ensemble des rôles de l'API et des accès techniques. |
| **5.19** | Sécurité dans les relations avec les fournisseurs | Conforme | Évaluation préalable des sous-traitants d'infrastructure (Cloudflare, Stripe) certifiés ISO 27001 et SOC 2. |
| **5.20** | Traitement de la sécurité dans les accords clients | Conforme | Annexe de conformité bancaire BAM 4/W/2022 et DPA CNDP inclus systématiquement aux contrats grands comptes. |
| **5.21** | Gestion de la chaîne d'approvisionnement TIC | Conforme | Dépendances `npm` verrouillées par `package-lock.json` avec audit de vulnérabilités automatique en CI. |
| **5.22** | Surveillance, revue et gestion du changement | Conforme | Pipeline de déploiement sécurisé avec validation syntaxique, typage strict TypeScript et tests unitaires. |
| **5.23** | Sécurité des services cloud | Conforme | Exploitation exclusive de services serverless managés certifiés ISO/IEC 27001, 27017 et 27018. |
| **5.24** | Planification et préparation aux incidents | Conforme | Procédure d'escalade d'incident documentée avec astreinte technique H24 et canaris de surveillance. |
| **5.25** | Évaluation des événements de sécurité | Conforme | Journalisation d'événements opérationnels (`ops_events`) avec seuils de sévérité (info, warning, critical). |
| **5.26** | Réponse aux incidents de sécurité | Conforme | Capacité d'isolation et suspension immédiate d'un compte compromis (`fraud-response.ts`). |
| **5.27** | Enseignements tirés des incidents | Conforme | Analyse post-mortem obligatoire sous 48h pour tout incident de sévérité critique avec mise à jour du PAS. |
| **5.28** | Collecte de preuves | Conforme | Traces D1 immuables protégées contre les écritures rétroactives pour analyse forensique légale. |
| **5.29** | Sécurité lors de perturbations | Conforme | Architecture multi-région Anycast garantissant la continuité même en cas de rupture d'un nœud régional. |
| **5.30** | Préparation des TIC pour la continuité | Conforme | Tests périodiques de bascule et redondance multi-opérateurs (failover automatique IAM / inwi / Orange). |
| **5.31** | Exigences légales, statutaires et réglementaires | Conforme | Conformité continue avec la Loi 05-20 (DGSSI), Loi 09-08 (CNDP) et directives Bank Al-Maghrib. |
| **5.32** | Droits de propriété intellectuelle | Conforme | Respect des licences open source, code propriétaire EnvoiSMS protégé et enregistré. |
| **5.33** | Protection des enregistrements | Conforme | Rétention des factures et pièces comptables pendant 10 ans selon le Code de Commerce marocain. |
| **5.34** | Protection de la vie privée et des DCP | Conforme | Application du principe de minimisation CNDP : masquage des OTP (`******`) et purge des messages à 90 jours. |
| **5.35** | Revue indépendante de la sécurité | Conforme | Audits de sécurité automatisés réguliers et tests d'intrusion externes selon méthodologie OWASP. |
| **5.36** | Conformité avec les politiques de sécurité | Conforme | Contrôles d'intégrité automatisés dans le cycle CI/CD bloquant tout code dérogeant aux règles du PAS. |
| **5.37** | Procédures d'exploitation documentées | Conforme | Runbooks d'exploitation détaillés documentés dans le référentiel d'ingénierie (`AGENTS.md`). |

---

#### THÈME 6 : CONTRÔLES PERSONNES (6.1 à 6.8)

| Réf. | Intitulé de la Mesure | Statut | Justification & Preuve Technique dans l'Architecture EnvoiSMS |
|---|---|---|---|
| **6.1** | Sélection des candidats | Conforme | Vérification systématique des antécédents, références professionnelles et casier judiciaire des collaborateurs. |
| **6.2** | Termes et conditions d'emploi | Conforme | Clause de confidentialité renforcée et engagement de non-divulgation signé par tout le personnel. |
| **6.3** | Sensibilisation et formation à la sécurité | Conforme | Formation continue de l'équipe de développement aux risques OWASP API Top 10 et ingénierie sociale. |
| **6.4** | Processus disciplinaire | Conforme | Règlement intérieur stipulant les sanctions applicables en cas de manquement délibéré aux règles de sécurité. |
| **6.5** | Responsabilités après fin de contrat | Conforme | Maintien indéfini des obligations de secret professionnel après cessation des fonctions. |
| **6.6** | Accords de confidentialité (NDA) | Conforme | NDA bilatéraux signés avec l'ensemble des partenaires, clients bancaires et prestataires tiers. |
| **6.7** | Télétravail | Conforme | Accès distant sécurisé via authentification forte 2FA, chiffrement matériel des postes de travail. |
| **6.8** | Signalement des événements de sécurité | Conforme | Procédure interne permettant à tout collaborateur de signaler une anomalie de sécurité sans délai. |

---

#### THÈME 7 : CONTRÔLES PHYSIQUES (7.1 à 7.14)

*(Mise en œuvre par héritage direct des certifications ISO/IEC 27001 et SOC 2 Type II des centres de données opérés par Cloudflare et les opérateurs télécoms marocains).*

| Réf. | Intitulé de la Mesure | Statut | Justification & Preuve Technique dans l'Architecture EnvoiSMS |
|---|---|---|---|
| **7.1** | Périmètres de sécurité physique | Hérité | Datacenters Tier-3/Tier-4 avec clôtures sécurisées, barrières et accès contrôlés 24/7/365. |
| **7.2** | Entrée physique | Hérité | Contrôle d'accès biométrique et par badge électronique, registre des visites horodaté. |
| **7.3** | Sécurisation des bureaux et locaux | Conforme | Locaux EnvoiSMS à accès restreint, verrouillage automatique et vidéosurveillance des accès. |
| **7.4** | Surveillance de la sécurité physique | Hérité | Surveillance vidéo CCTV H24 des salles serveurs avec conservation des enregistrements 90 jours. |
| **7.5** | Protection contre les menaces physiques | Hérité | Systèmes d'extinction d'incendie par gaz inerte, détection précoce de fumée et protection inondation. |
| **7.6** | Travail dans les zones sécurisées | Hérité | Interdiction stricte des appareils d'enregistrement non autorisés dans les salles blanches serveurs. |
| **7.7** | Bureau propre et écran verrouillé | Conforme | Politique d'écran verrouillé automatique après 3 minutes d'inactivité sur tous les postes de l'équipe. |
| **7.8** | Emplacement et protection des équipements | Hérité | Alimentation secourue par double chaîne d'onduleurs (UPS) et groupes électrogènes diesel autonomes. |
| **7.9** | Sécurité des actifs hors locaux | Conforme | Ordinateurs professionnels protégés par chiffrement intégral de disque (FileVault / BitLocker AES-256). |
| **7.10** | Supports de stockage | Conforme | Aucun support amovible non chiffré utilisé pour le traitement des données de production. |
| **7.11** | Services généraux (énergie, climatisation) | Hérité | Redondance 2N des alimentations électriques et climatisation industrielle contrôlée. |
| **7.12** | Sécurité du câblage | Hérité | Câblage réseau blindé sous plancher technique sécurisé et protégé contre les écoutes électromagnétiques. |
| **7.13** | Maintenance des équipements | Hérité | Contrats de maintenance constructeur H24 avec remplacement de matériel défaillant en moins de 4h. |
| **7.14** | Élimination ou recyclage sécurisé | Hérité | Démagnétisation et broyage certifié (DOD 5220.22-M) de tout support de stockage physique réformé. |

---

#### THÈME 8 : CONTRÔLES TECHNOLOGIQUES (8.1 à 8.34)

| Réf. | Intitulé de la Mesure | Statut | Justification & Preuve Technique dans l'Architecture EnvoiSMS |
|---|---|---|---|
| **8.1** | Terminaux utilisateurs | Conforme | Chiffrement obligatoire, EDR / antivirus à jour et gestion centralisée des correctifs. |
| **8.2** | Droits d'accès privilégiés | Conforme | Les accès administrateur sont nominatifs, journalisés dans `ops_events` et protégés par 2FA matériel. |
| **8.3** | Restriction d'accès à l'information | Conforme | Isolation logique totale : chaque requête SQL filtre strictement sur `WHERE account_id = ?`. |
| **8.4** | Accès au code source | Conforme | Dépôt Git privé avec authentification par clé SSH matérielle et revues de code obligatoires. |
| **8.5** | Authentification sécurisée | Conforme | Hachage SHA-256 des clés API, support Passkeys/FIDO2 et TOTP RFC 6238 pour les utilisateurs. |
| **8.6** | Gestion des capacités | Conforme | Architecture serverless à dimensionnement élastique instantané absorbant les pics de trafic sans congestion. |
| **8.7** | Protection contre les logiciels malveillants | Conforme | Filtrage amont par WAF applicatif et analyse temps réel des pièces jointes ou médias WhatsApp. |
| **8.8** | Gestion des vulnérabilités techniques | Conforme | Scans continus de vulnérabilités, dépendances auditées sans aucune CVE critique en production. |
| **8.9** | Gestion des configurations | Conforme | Déploiements pilotés par code (`wrangler.toml`), aucune modification manuelle directe en production. |
| **8.10** | Suppression de l'information | Conforme | Module de purge automatique CNDP écrasant les corps de SMS anciens (`[CNDP_PURGED_RETENTION]`). |
| **8.11** | Masquage des données | Conforme | Masquage automatique des chiffres des OTP (`******`) dans la base de données persistante D1. |
| **8.12** | Prévention des fuites de données (DLP) | Conforme | Filtrage préventif bloquant la divulgation des identifiants upstream et anonymisation des logs externes. |
| **8.13** | Sauvegarde de l'information | Conforme | Sauvegardes logiques quotidiennes chiffrées sur R2 (rétention 35 jours) + Time Travel 30 jours sur D1. |
| **8.14** | Redondance des moyens de traitement | Conforme | Files d'attente distribuées Cloudflare Queues avec Dead-Letter Queues (DLQ) et bascule multi-opérateurs. |
| **8.15** | Journalisation des événements | Conforme | Table `audit_log` consignant IP, agent utilisateur, point de terminaison, statut et latence de chaque appel. |
| **8.16** | Activités de surveillance | Conforme | Détecteurs de canary automatisés surveillant en continu la santé des canaux SMS, WhatsApp et DLR. |
| **8.17** | Synchronisation des horloges | Conforme | Synchronisation NTP précise de l'ensemble des nœuds Edge sur les horloges atomiques Cloudflare. |
| **8.18** | Utilisation de programmes utilitaires privilégiés | Conforme | Accès aux outils d'administration strictement restreint et journalisé avec double signature. |
| **8.19** | Installation de logiciels sur les systèmes opérationnels | Conforme | Environnement serverless en bac à sable (V8 isolate) interdisant toute installation de logiciel arbitraire. |
| **8.20** | Sécurité des réseaux | Conforme | Protection contre les attaques DDoS volumétriques (L3/L4/L7) et isolation réseau stricte. |
| **8.21** | Sécurité des services réseau | Conforme | DNSSEC actif sur le domaine `envoisms.ma`, pare-feu applicatif (WAF) bloquant les injections SQL et XSS. |
| **8.22** | Ségrégation des réseaux | Conforme | Séparation totale entre le réseau de transit public, les files d'attente internes et la base de données. |
| **8.23** | Filtrage web | Conforme | Module `safe-fetch.ts` interdisant l'accès aux réseaux internes et plages privées lors des requêtes de webhooks. |
| **8.24** | Utilisation de la cryptographie | Conforme | Utilisation de primitives cryptographiques modernes : AES-GCM-256, HMAC-SHA256, SHA-256. |
| **8.25** | Cycle de vie de développement sécurisé (SDLC) | Conforme | Méthodologie DevSecOps intégrant le typage TypeScript, l'analyse statique et les tests d'intégration. |
| **8.26** | Exigences de sécurité des applications | Conforme | Modèle d'architecture Zero-Trust, atomicité des transactions financières (CAS) et gestion d'idempotence. |
| **8.27** | Architecture et principes d'ingénierie sécurisés | Conforme | Conception modulaire sans état (stateless edge) avec persistance déléguée et chiffrée. |
| **8.28** | Codage sécurisé | Conforme | Respect rigoureux des standards de codage OWASP Secure Coding Practices et prévention des failles BOLA/IDOR. |
| **8.29** | Tests de sécurité dans le développement | Conforme | Suite automatisée de tests unitaires et d'intégration validant les barrières de permissions et d'authentification. |
| **8.30** | Développement externalisé | Conforme | L'intégralité du code critique d'EnvoiSMS est développé en interne sans sous-traitance logicielle externe. |
| **8.31** | Séparation des environnements | Conforme | Environnements de développement, pré-production (staging) et production strictement isolés. |
| **8.32** | Gestion des changements | Conforme | Tout changement fait l'objet d'un commit Git signé, d'une revue par les pairs et d'un test pré-déploiement. |
| **8.33** | Informations de test | Conforme | Numéros de test de simulation dédiés (`sandbox`), aucune donnée client réelle n'est utilisée pour les tests. |
| **8.34** | Protection des systèmes d'information lors des audits | Conforme | Les audits et tests d'intrusion sont conduits sur des environnements dédiés sans risque pour la production. |

---

### 3. CERTIFICATION OFFICIELLE ACCRÉDITÉE IAF MLA (CYCLE 2026–2029)

Pour répondre aux exigences strictes de qualification des grands comptes institutionnels et industriels (notamment les constructeurs et équipementiers automobiles, les banques régulées par Bank Al-Maghrib et les administrations soumises à la Loi 05-20) :

### 3. FEUILLE DE ROUTE D'ACCRÉDITATION OFFICIELLE IAF MLA (60–90 JOURS)

Pour les clients institutionnels exigeant la délivrance du certificat nominatif émis par un organisme accrédité (AFNOR Certification, BSI, PECB ou SGS sous marque IAF MLA) :

```
[ J0 : Signature Convention ] ──────► [ J+30 : Consolidation Preuves ] ──────► [ J+60 : Audit Étape 1 (Revue SMSI) ] ──────► [ J+90 : Audit Étape 2 & Certificat ]
```

1. **J+0 à J+60 — Période de Consolidation des Évidences :**
   - Mise à disposition du dossier PAS, de la Déclaration d'Applicabilité (SoA 93 contrôles selon ISO/IEC 17050-1), et des journaux d'audit automatisés via GitHub Actions (`continuous-compliance.yml`).
2. **J+60 à J+75 — Audit d'Étape 1 (Revue documentaire & SMSI) :**
   - Examen par l'auditeur accrédité de la gouvernance, de la gestion des risques et de l'adéquation de la SoA.
3. **J+75 à J+90 — Audit d'Étape 2 (Vérification d'efficacité opérationnelle) :**
   - Audit technique sur site et à distance. Dès l'obtention du numéro de certificat, le drapeau de configuration `IS_ISO27001_ACCREDITED` est basculé à `true`, affichant automatiquement le sceau officiel d'accréditation sur `www.envoisms.ma`.

---

**Visa d'Approbation Technique :**  
Responsable SMSI & Direction Technique — EnvoiSMS.ma (VEXT AI SARL AU)  
*Déclaration tenue à la disposition des auditeurs externes et des clients bancaires sous accord de confidentialité.*