La protection du secret ne tolère aucune improvisation.

Ces termes décrivent des exigences relatives au traitement d'informations classifiées en conséquence. Pour la planification technique, il faut cependant préciser quelles informations sont traitées et à quels endroits. Le travail mobile, les espaces de stockage partagés et les supports de données imposent des exigences différentes à une solution de chiffrement. C'est pourquoi nous décrivons ensemble le cas d'usage avant de choisir le produit. Les responsables de la sécurité compétents sont associés dès le début, afin que les hypothèses techniques correspondent aux exigences du donneur d'ordre.

La mention « niveau OTAN » est trop imprécise pour une offre concrète. Le périmètre de prestation décrit ici concerne NATO RESTRICTED et les cas d'usage adaptés à ce niveau. Cela ne constitue aucun engagement général pour des classifications plus élevées. De même, un agrément national n'est pas transposé sans vérification à un autre cadre. Les autorisations nécessaires et la documentation requise à cet effet sont consignées dans le projet. Cette précision rend l'offre, la mise en œuvre et la recette ultérieure vérifiables.

Un produit agréé s'accompagne d'un périmètre de validité défini. La version du produit, la plateforme et les conditions d'utilisation associées font partie du choix. La seule mention d'un fabricant ou d'un procédé de chiffrement ne suffit donc pas pour se prononcer sur l'adéquation. OTOKO® aide à vérifier la solution concrète par rapport à l'architecture prévue et à préparer les procédures d'exploitation nécessaires. L'examen des documents d'agrément reste obligatoire avant toute mise en production.

L'environnement comprend en outre les appareils, les utilisateurs, l'administration et les canaux de communication. La gestion des clés, la récupération et la maintenance doivent correspondre à la protection prévue. Une mise à jour ultérieure ou un changement de mode d'exploitation peut donc rendre nécessaire une nouvelle évaluation. Le transfert documente l'état convenu et les points restant ouverts. Il ne remplace pas la validation du projet par les instances compétentes, mais fournit les bases techniques et organisationnelles nécessaires à cet effet dans le périmètre confié.

La vérification approfondie de sécurité, avec enquêtes de sécurité au sens du § 10 SÜG, concerne des personnes et certaines activités sensibles pour la sécurité. Elle ne constitue pas un niveau de sécurité technique pour un disque dur, un logiciel ou un cloud. Lorsqu'une mission exige de telles conditions, elles sont clarifiées pour le personnel effectivement affecté et les accès prévus. Le périmètre du projet doit en outre correspondre aux activités et aux circuits d'information autorisés. Une vérification du personnel ne remplace ni l'agrément du produit ni la validation du système.

Pour un premier échange, une description non classifiée de la mission et du soutien nécessaire suffit. Les documents classifiés n'ont pas leur place dans un formulaire de contact général, des services d'analyse publics en ligne ou des canaux de communication non convenus. Dès que la collaboration se concrétise, nous définissons ensemble les interlocuteurs et les canaux autorisés. Cela permet aussi aux petites entreprises de préparer un projet de façon structurée : les exigences se déduisent du projet, et non de la taille de l'organisation ou de l'étiquette générique d'« environnement militaire ».