Contexte

ATTENTION : Ceci est un WIP (WORK IN PROGRESS). Ce document n'EST PAS un document officiel et ne doit pas être pris pour un référentiel.

Les règles de sécurité visent à sécuriser le système d'information du pays en partant du principe que :

- la validité d'un site, d'une application ou d'une adresse de messagerie officielle est **évidente** pour tout le monde ;
- la sécurité d'un compte ou d'un matériel "personnel/privé" est forcément moins importante qu'un compte ou d'un matériel dit officiel ;
- une pratique soit bonne à adopter dans un contexte "officiel" qui n'est jamais décrite ;

Il en résulte les quelques règles basiques suivantes.

Règle #0

Tout service numérique officiel doit afficher un encart clairement visible comprenant les règles définies dans ce document.

Cet encart doit informer l'utilisateur d'un service numérique que celui-ci est potentiellement frauduleux.

L’absence ou le manque de visibilité de cet encart doit définir le service numérique concerné comme frauduleux.

Règle #1

Un service numérique officiel de l'administration suit les règles suivantes :

- il ___doit___ commencer par __https__ ;
- il ___doit___ se terminer par __.gov.pf__ ;
- il ___doit___ suivre la charte graphique du pays.

Si une de ses règles n'est pas appliquées, le service numérique est forcément frauduleux.

Exemple de lien frauduleux :

- **http**://www.artisanat **.pf**
- **http**://presidence **.pf**
- **https**://www.service-public **.pf**
- **https**://www.service-public **.gouv.pf**

Exemple de lien officiels :

- **https**://tefenua **.gov.pf** ou **https**://www.tefenua **.gov.pf**
- **https**://otia **.gov.pf** ou **https**://www.otia **.gov.pf**
- **https**://api **.gov.pf**
- **https**://developer **.gov.pf**

Règle #2

Une adresse de courrier électronique ne doit pas être considérée comme fiable (y compris celle se terminant par .gov.pf).

Règle #3

Un lien internet ne doit pas être partagé dans un courrier électronique.

Le partage d’un lien internet doit être faite par la messagerie instantanée officielle de l'administration (Microsoft Teams).

Règle #4

Un mot de passe ne doit pas être modifié :

• par téléphone ;
• par courrier électronique ;
• par SMS ;
• par n'importe quelle application non explicitement officiel ;

Règle #5

Un mot de passe doit être modifié via la plate-forme https://profile.gov.pf à partir d'un équipement agréé par le Service de l'Informatique (SIPF).