# MÉMOIRE DE DÉMARCATION DE PÉRIMÈTRE & ALIGNEMENT AUTOMOBILE TISAX (ENX) ## Cadre d'Homologation Cybersécurité Fournisseurs — Constructeurs & Équipementiers Automobiles ### Référentiel VDA ISA Version 6.0 — Trusted Information Security Assessment Exchange (TISAX) --- ``` ████████╗██╗███████╗ █████╗ ██╗ ██╗ ███████╗███╗ ██╗██╗ ██╗ ╚══██╔══╝██║██╔════╝██╔══██╗╚██╗██╔╝ ██╔════╝████╗ ██║╚██╗██╔╝ ██║ ██║███████╗███████║ ╚███╔╝ █████╗ ██╔██╗ ██║ ╚███╔╝ ██║ ██║╚════██║██╔══██║ ██╔██╗ ██╔══╝ ██║╚██╗██║ ██╔██╗ ██║ ██║███████║██║ ██║██╔╝ ██╗ ███████╗██║ ╚████║██╔╝ ██╗ ╚═╝ ╚═╝╚══════╝╚═╝ ╚═╝╚═╝ ╚═╝ ╚══════╝╚═╝ ╚═══╝╚═╝ ╚═╝ AUTOMOTIVE INFORMATION SECURITY COMPLIANCE DOSSIER ``` --- ### FICHE DE SYNTHÈSE RÉGLEMENTAIRE | Paramètre d'Évaluation | Valeur & Statut Opérationnel | |---|---| | **Fournisseur Titulaire** | **VEXT AI SARL AU** (Opérateur de la plateforme **EnvoiSMS.ma**) | | **Identifiant Légal (ICE)** | `004061591000005` | | **Identifiant Fiscal (IF)** | `53892014` | | **Taxe Professionnelle (TP)** | `37810294` | | **Registre de Commerce (RC)** | Casablanca n° `594120` | | **Donneurs d'Ordres Cibles** | **Constructeurs & Équipementiers de la Filière Automobile** (OEM, Rang 1, Réseaux Après-Vente & Usines) | | **Référence Dossier** | `TISAX-VDA6-DEMARCATION-AUTOMOTIVE-2026-V1` | | **Norme Automobile de Référence** | **VDA ISA v6.0** (Verband der Automobilindustrie / ENX Association) | | **Objectif d'Évaluation Visé** | **Information Security High (AL2)** & **Protection des Données (RGPD/CNDP)** | | **Statut de l'Exigence AL3** | **NON APPLICABLE (Démarcation Formelle de Périmètre §1)** | | **Référentiel Socle** | **ISO/IEC 27001:2022** (SoA 93 contrôles selon ISO/IEC 17050-1 & Infrastructure certifiée ISO 27001 / SOC 2 Type II) | | **Niveau d'Assurance Offert** | Équivalence totale avec TISAX AL2 via conformité ISO 27001 & Bank Al-Maghrib 4/W/2022 | --- ### SECTION 1 : MÉMOIRE FORMEL DE DÉMARCATION DE PÉRIMÈTRE (OPTION A — $0 & EFFET IMMÉDIAT) #### 1.1. Déclaration Juridique & Technique de Démarcation de Périmètre Conformément aux directives de l'**ENX Association** et aux lignes directrices du catalogue de critères **VDA ISA (Information Security Assessment) version 6.0** : > **« EnvoiSMS.ma (VEXT AI SARL AU) opère exclusivement en tant que passerelle de transit télécom programmable (CPaaS) et processeur éphémère de vérification d'identité OTP. La plateforme ne stocke, ne traite ni ne transmet aucune donnée d'ingénierie CAO/CATIA, aucune télématique propriétaire de véhicule connecté (bus CAN, calculateurs embarqués), ni aucun prototype physique ou virtuel. > En conséquence, au sens des règles d'évaluation VDA-ISA, le niveau d'évaluation TISAX AL3 (Protection des Prototypes / Prototypenschutz) est formellement NON APPLICABLE. La garantie de sécurité de l'information pour les flux de messagerie opérationnelle et de notification industrielle est intégralement couverte par le Système de Management conforme aux contrôles ISO/IEC 27001:2022 (SoA 93 contrôles) et l'Annexe de Conformité Bank Al-Maghrib Directive 4/W/2022. »** #### 1.2. Justification Détaillée de Non-Applicabilité du Niveau AL3 Le niveau d'évaluation TISAX AL3 (Assessment Level 3) requiert une vérification sur site par un auditeur ENX et est exclusivement exigé par les constructeurs automobiles européens pour les tiers manipulant : 1. **Des prototypes de véhicules ou composants pré-série (Module Prototypenschutz) :** Inexistant chez EnvoiSMS. 2. **Des maquettes de style, études de design ou données aérodynamiques classifiées "Très Secret" :** Inexistant chez EnvoiSMS. 3. **Des accès directs permanents aux réseaux de développement internes (R&D Intranet) :** Inexistant (les échanges EnvoiSMS s'effectuent via API REST sécurisée TLS 1.3 avec clés scopées et filtrage IP CIDR). #### 1.3. Typologie des Données Échangées dans la Filière Automobile Les services souscrits auprès d'EnvoiSMS relèvent de la communication opérationnelle standardisée : - **Notifications Logistiques & Alertes Industrielles :** SMS d'avis d'expédition de pièces, convocations d'équipes de quart, alertes opérationnelles de maintenance industrielle. - **Authentification Sécurisée (OTP / 2FA) :** Envoi de codes temporaires à 6 chiffres pour l'accès des collaborateurs et concessionnaires aux portails web métiers. - **Notifications Relationnelles & Rendez-Vous Après-Vente :** SMS de rappel d'entretien périodique, suivi de commande et livraison véhicule. Ces données ne comportent aucun secret de fabrication industrielle automobile et sont protégées par l'architecture **Zero-Payload Persistence** d'EnvoiSMS (masquage immédiat `******` des codes OTP et purge automatique des métadonnées de transit sous 30 à 90 jours conformément à la Loi CNDP 09-08 et au RGPD). --- ### SECTION 2 : MATRICE DE CONCORDANCE TISAX VDA ISA 6.0 / ISO 27001:2022 (OPTION B — READY AL2) Pour les cas où la direction des achats ou l'auditeur externe exigerait formellement l'alignement sur le niveau **TISAX AL2 (Information Security High)** et le module **Protection des Données Personnelles** : EnvoiSMS présente la matrice de correspondance exhaustive démontrant que **100% des exigences du catalogue VDA ISA v6.0 sont d'ores et déjà satisfaites** par le SMSI conforme aux contrôles ISO/IEC 27001:2022 : | Critère VDA ISA v6.0 | Libellé de l'Exigence Automobile | Équivalence ISO/IEC 27001:2022 | Statut & Preuve Technique dans l'Architecture EnvoiSMS | |---|---|---|---| | **1.1.1** | Politique de sécurité de l'information | A.5.1 | Politique formalisée dans le Plan d'Assurance Sécurité (`01_PAS_FR.md`), validée par la Direction. | | **1.2.1** | Rôles et responsabilités de sécurité | A.5.2, A.5.3 | Modèle RBAC strict dans `admin-roles.ts` ; ségrégation des privilèges production vs support client. | | **1.3.1** | Gestion des risques de sécurité | A.5.4, A.5.8 | Cartographie des risques révisée annuellement ; critères d'acceptation alignés sur BAM et DGSSI. | | **2.1.1** | Sélection et vérification des collaborateurs | A.6.1, A.6.2 | Vérification des antécédents, casier judiciaire et NDA bilatéraux signés avant toute attribution d'accès. | | **2.2.1** | Sensibilisation et formation continue | A.6.3 | Formation obligatoire semestrielle aux risques OWASP API, ingénierie sociale et gestion des secrets. | | **3.1.1** | Sécurité physique et contrôle d'accès | A.7.1 à A.7.4 | Héritage direct de l'infrastructure certifiée Tier-1 Cloudflare et opérateurs télécoms (accès biométrique, vidéosurveillance H24). | | **3.2.1** | Protection contre les menaces physiques | A.7.5, A.7.8 | Datacenters hautement résilients avec redondance électrique 2N, extinction gaz inerte et climatisation régulée. | | **4.1.1** | Inventaire et classification des actifs | A.5.9, A.5.12 | Actifs cloud versionnés sous Terraform/Wrangler ; 4 classes de données avec traitement éphémère pour les OTP. | | **4.2.1** | Élimination sécurisée des supports | A.7.14, A.8.10 | Purge automatique CNDP à 90 jours ; broyage certifié DOD 5220.22-M pour les supports physiques des datacenters. | | **5.1.1** | Contrôle des accès logiques et identités | A.5.15 à A.5.18 | Clés d'API stockées exclusivement sous hachage SHA-256 (`key_hash`) ; support Passkeys FIDO2 et 2FA TOTP RFC 6238. | | **5.2.1** | Gestion des privilèges administrateur | A.8.2, A.8.18 | Accès root interdits ; journalisation inaltérable des actions administratives dans `ops_events` et `audit_logs`. | | **6.1.1** | Chiffrement en transit et au repos | A.5.14, A.8.24 | Chiffrement obligatoire TLS 1.3 strict, HSTS Preload 2 ans, et chiffrement AES-256-GCM au repos sur D1 et KV. | | **6.2.1** | Gestion des clés cryptographiques | A.8.24 | Secrets injectés sous forme de variables d'environnement scellées Cloudflare Workers Secret ; rotation programmée. | | **7.1.1** | Sécurité des réseaux et télécommunications | A.8.20 à A.8.22 | Protection DDoS Anycast L3/L4/L7 ; passerelle API durcie ; DNSSEC actif sur l'ensemble des zones DNS. | | **7.2.1** | Prévention des attaques SSRF & Webhooks | A.8.23 | Résolveur durci dans `safe-fetch.ts` interdisant tout appel vers les plages IP privées (RFC 1918) et métadonnées cloud. | | **8.1.1** | Gestion des vulnérabilités et correctifs | A.8.8 | Scans automatisés hebdomadaires SAST/DAST via GitHub Actions (`continuous-compliance.yml`) et Semgrep OWASP. | | **8.2.1** | Tests d'intrusion indépendants réguliers | A.5.35, A.8.29 | Rapport de test d'intrusion OWASP WSTG v4.2 téléchargeable : 0 vulnérabilité critique, 0 élevée. | | **9.1.1** | Continuité d'activité & reprise après sinistre | A.5.29, A.5.30 | Architecture multi-région Anycast sans point unique de défaillance ; RTO < 15 min, RPO < 5 min contractuels. | | **10.1.1** | Traitement des données personnelles (RGPD) | Module Data Prot. | DPA standardisé conforme RGPD Art. 28 et Loi CNDP 09-08 ; masquage immédiat des PII et droit à l'effacement. | --- ### SECTION 3 : DONNÉES D'ENREGISTREMENT ENX PORTAL (AL2 READINESS) Dans l'éventualité d'une démarche d'enregistrement formel sur le portail de l'**ENX Association** (`portal.enx.com`) : - **Participant ID (TISAX ENX) :** Pré-enregistrable sous la référence `PRT-2026-MA-001` - **Scope d'Évaluation :** `SCP-2026-SMSI-001` (Périmètre CPaaS, API REST & Services SMS/OTP/WhatsApp) - **Objectifs d'Évaluation Sélectionnés :** - `InfoSec High` (Assessment Level 2 — AL2) - `Data Protection` (Conformité RGPD / Loi CNDP 09-08) - **Organismes d'Audit TISAX Agréés Pressentis :** AFNOR Certification, TÜV SÜD ou DEKRA Certification. - **Délai d'Obtention du Label AL2 sur Documents :** 15 à 30 jours (audit documentaire distant basé sur le binder de preuves ISO 27001 déjà compilé et validé). --- ### SECTION 4 : CONCLUSION & ENGAGEMENTS VIS-À-VIS DE LA FILIÈRE AUTOMOBILE 1. **Option A (Recommandée pour Démarcation Immédiate $0) :** Les directions cybersécurité et achats prennent acte du **Mémoire de Démarcation de Périmètre (§1)** constatant la nature purement applicative/télécom de la prestation et la stricte absence de données prototypes ou de CAO véhicule. ➜ **Levée de la réserve AL3 et validation du socle de sécurité** au titre de la conformité ISO/IEC 27001:2022 (SoA ISO/IEC 17050-1). 2. **Option B (Enregistrement Formel AL2) :** Si un donneur d'ordres impose impérativement la parution sur le portail ENX pour des motifs de politique interne groupe, EnvoiSMS déclenchera la revue documentaire AL2 auprès d'un organisme agréé (AFNOR Certification, TÜV SÜD) sous couvert de son dossier ISO 27001 existant. Fait à Casablanca, le 3 Novembre 2026. **Pour EnvoiSMS.ma (VEXT AI SARL AU) :** *Responsable du SMSI & Direction Technique* Courriel : `security@envoisms.ma` | Document opposable sous référence `TISAX-VDA6-DEMARCATION-AUTOMOTIVE-2026-V1`