Demandes de dérogation pour incident de sécurité (SRW) à l’usage des opérateurs de registre

Le service des Demandes de dérogation pour incident de sécurité (SRW) a été créé pour permettre aux opérateurs de registres gTLD de demander une dérogation contractuelle pour les mesures qu'ils pourraient prendre, ou qu'ils ont prises, afin d'atténuer ou d'éliminer un incident de sécurité actuel ou imminent pour un gTLD et/ou pour le DNS. Une dérogation contractuelle est une exemption de l'obligation de se conformer à une disposition spécifique du contrat d'accréditation de l'opérateur de registre pendant la période nécessaire pour répondre à l'incident signalé. Le processus SRW a été conçu de manière à préserver la sécurité opérationnelle à la suite d'un incident, tout en tenant informées les parties prenantes concernées (par exemple, l'organisation ICANN, d'autres fournisseurs affectés).

En août 2021, l'organisation ICANN a étendu le service accéléré de réponse aux incidents de sécurité des registres (ERSR) afin de permettre aux bureaux d'enregistrement de déposer des demandes de dérogation. Suite à quoi, le service ERSR a été rebaptisé « processus de dérogation pour incident de sécurité (SRW).

Un opérateur de registre peut bénéficier de ce service lorsqu'un ou plusieurs des incidents suivants surviennent :

• une activité malveillante ayant pour cible le DNS dont la portée et la gravité sont de nature à menacer systématiquement la sécurité, la stabilité et la résilience d'un gTLD ou du DNS ;
• une occurrence susceptible d'entraîner une défaillance temporaire ou à long terme d'une ou de plusieurs fonctions critiques d'un registre gTLD, tel que défini dans le Processus de transition entre opérateurs de registre ;
• et la divulgation, l'altération, l'insertion ou la destruction non autorisées des données du registre, ou bien l'accès non autorisé à des informations ou à des ressources, ou leur divulgation non autorisée, sur Internet par des systèmes fonctionnant conformément à toutes les normes applicables ;
• une décision judiciaire d'un organisme chargé de l'application de la loi compétent à l'égard de l'opérateur du registre, qui impose à ce dernier une certaine prise de mesures en raison d'une menace spécifique à la sécurité.

Le service SRW est exclusivement destiné aux incidents de sécurité nécessitant une prise immédiate de mesures de la part de l'opérateur du registre, et n'a pas vocation à remplacer le mécanisme de dépôt de demandes au titre de la Politique d'évaluation des services de registre (RSEP).

Processus SRW à l'usage des opérateurs de registre

L'organisation ICANN reconnaît que les opérateurs de registre peuvent être tenus, dans certains cas, de prendre des mesures immédiates visant à éviter ou à résoudre un incident en raison de circonstances extraordinaires. Dans de tels cas, les opérateurs de registre doivent soumettre, dans les plus brefs délais, une demande SRW afin que l'organisation ICANN puisse accorder, le cas échéant, une dérogation rétroactive.

Le processus SRW comporte trois phases :

1. Présentation de la demande SRW : pour amorcer une demande SRW, l'opérateur de registre peut soumettre un dossier de dérogation pour incident de sécurité via le portail des services de nommage. Dans ce dossier, l'opérateur de registre doit :

   1. indiquer si des mesures ont déjà été prises ;
   2. indiquer si la prise de mesure est urgente, et si la dérogation est nécessaire en amont de la prise de mesures ;
   3. fournir une description de l'incident, ainsi que des informations précisant comment l'opérateur de registre envisage de répondre ou a répondu à l'incident ;
   4. mentionner la ou les dispositions du contrat de registre auxquelles l'opérateur de registre demande à déroger.
2. Examen de la demande SRW : l'organisation ICANN examinera la demande SRW et donnera une réponse. L'organisation ICANN peut demander des informations supplémentaires, si besoin est, afin de procéder à une évaluation et un examen complets de la demande SRW. Le demandeur devra alors fournir au plus vite ces informations. Au cas par cas, l'organisation ICANN peut contacter l'opérateur de registre et/ou une autorité externe (organisme chargé de l'application de la loi, spécialiste de la sécurité, etc.) afin que l'incident lui soit confirmé.
3. Décision et réponse : l'organisation ICANN fournira, dans un délai de 15 jours calendaires à compter de la réception de l'ensemble des informations requises, une réponse écrite prenant l'une des formes suivantes : i) une dérogation ou dérogation rétroactive, le cas échéant, ii) une mise à jour d'une dérogation existante, iii) une décision indiquant que la demande relève d'une dérogation existante, ou iv) une décision de refus de dérogation, précisant les fondements d'un tel refus. S'il était indiqué dans le dossier soumis que la prise de mesures est urgente et que la dérogation est nécessaire en amont de la prise des mesures, l'opérateur de registre recevra une réponse accélérée de l'organisation ICANN.

Suite à la réponse apportée à une demande SRW, l'organisation ICANN, en collaboration avec l'opérateur de registre concerné, peut rédiger un rapport post-intervention qui pourra être mis à la disposition du public. Si un rapport post-intervention doit être publié, l'organisation ICANN et l'opérateur de registre concerné détermineront ensemble quelles sections de la demande SRW et du rapport devraient être expurgées afin de garantir la protection des informations exclusives et confidentielles.

Indicateurs des demandes de dérogation pour incident de sécurité

L'organisation ICANN a publié, sur la page dédiée aux données ouvertes de l'ICANN, les indicateurs des demandes de dérogation pour incident de sécurité (SRW), y compris celles qui relèvent du précédent processus accéléré de demande de dérogation pour incident de sécurité des registres (ERSR). Pour consulter les indicateurs relatifs aux SRW, veuillez visiter la page Web des données ouvertes de l'ICANN.

Archives

Cette page Web a été mise à jour en mai 2022 dans le cadre des améliorations apportées au service. La page Web archivée du processus accéléré de demande de dérogation pour incident de sécurité des registres (ERSR) est disponible ici.