Sécurité, Souveraineté & Zéro-Confiance.
100 % Vérifié. Zéro Boîte Noire.
Un cadre de conformité technique rigoureux conçu pour les grands comptes, institutions financières et organismes publics. Hébergement bare-metal souverain à Casablanca, téléphonie temps réel chiffrée (SRTP/TLS), conteneurs étanches et DPA conformes à la Loi 09-08 de la CNDP et à la Loi 05-20 de la DGSSI.
14 / 14 Contrôles Validés
Interconnexion bare-metal IXP Casablanca
Destruction multi-passes DoD 5220.22-M
Zéro mot de passe en administration
Auditeur de Sécurité Vext en Direct · Console IXP Casablanca
Simulated live execution against bare-metal test harness (Casablanca IXP)
Morocco's Sovereign Cybersecurity Powerhouse
Beyond PASSI alone. Under Loi n° 05-20, Décret 2-21-406, Décret 2-24-804 (Cybersecurity Providers & SOC), and Décret 2-24-921 (SecCloud Niveau 2), Vext operates the four legally mandated qualifications of the Kingdom of Morocco.
Under Article 49 of Law n° 05-20, it is a criminal and administrative offense for any Moroccan Critical Infrastructure (Infrastructure d'Importance Vitale - IIV), ministry, or regulated bank to outsource security audits, SOC surveillance, or sensitive data hosting to an unqualified provider. Holding state qualification legally obligates public and regulated entities to procure from accredited providers.
Pilier 1 : Prestataire d’Audit de la Sécurité des SI (PASSI - 6/6 Domaines)
Audits de sécurité obligatoires pour ministères, établissements publics, banques (BAM), télécoms (ANRT) et Infrastructures d’Importance Vitale (IIV).
Légalement obligatoire sur l’ensemble des 6 domaines sous peine des sanctions de l’Article 49.
Pilier 2 : Prestataire de Cybersécurité Opérationnelle (SOC / MDR / CSIRT)
Détection & Réponse Managée 24/7 avec 100% des logs hébergés au Maroc et déclarations automatisées des incidents au maCERT ([email protected]).
Surveillance souveraine exclusive pour les entités critiques en interface avec la Défense Nationale.
Pilier 3 : Prestataire d’Homologation & Gouvernance DNSSI (Loi 05-20 Art. 19)
Dossier d’homologation de sécurité obligatoire préalable à toute mise en production d’un SI sensible au Maroc, automatisé via notre moteur DNSSI 2023.
Protège les RSSI et DSI publics et bancaires des peines personnelles prévues par l’Article 49.
Pilier 4 : Prestataire Cloud Souverain Qualifié Niveau 2 (SecCloud)
Capital 100% marocain, hébergement souverain au Maroc, immunité totale aux lois extraterritoriales (US CLOUD Act/FISA) et coffres chiffrés air-gap pour données "Secret" et "Très Secret".
Prérequis légal pour héberger la télémétrie de sécurité des IIV et les bases de données régaliennes.
DGSSI PASSI: All 6 Regulated Domains
Full accreditation coverage from IT infrastructure to deep Industrial OT/SCADA systems.
Domaine 6 : Systèmes Industriels (OT / ICS / SCADA)
Modèle Purdue (Niveaux 0-5), découverte réseau 100% passive (interdiction de scan actif sur automates en marche), diodes de données, SIS/ESD.
To audit industrial giants (OCP Group, ONEE, ONCF, Tanger Med, Marsa Maroc, Masen) safely, Vext operates an in-house physical testbed reproducing critical ICS automation networks:
- 100% Moroccan Capital: Held entirely by Moroccan citizens with zero foreign equity or extraterritorial exposure.
- 100% Moroccan Personnel: All auditors and SOC analysts vetted via ADN / DGSN / DGED security clearances.
- Zero Subcontracting Rule: Direct CNSS CDI employees only for sensitive IIV and Niveau 2 workflows.
To comply with DGSSI anti-conflict regulations, Vext strictly isolates VEXT Audit & Homologation (PASSI Unit) from VEXT CyberDefense & SOC (Operational Unit). The team that configures or monitors a client's SOC is legally and physically prohibited from auditing that same client.
The 14 Technical Security Controls
Audited against Moroccan Law 09-08 (CNDP), DGSSI Law 05-20, ISO 27001, and RFC standards.
1. Hébergement Souverain & Localisation des Données (Alignement CNDP & DGSSI)
Toutes les bases clients, bases vectorielles et nœuds de calcul résident sur des serveurs dédiés à Casablanca sans aucune fuite de télémétrie transfrontalière.
Reference Standard: ISO 27001:2022 Control A.8.14 (Redundancy & Sovereign Colocation)
Moroccan Jurisdiction: Loi CNDP 09-08 (Art. 43/44) & Loi DGSSI 05-20
Interconnexion BGP directe avec le nœud d'échange Internet de Casablanca (CAS-IX). Règles de filtrage de sortie rejetant tout flux vers des services de télémétrie tiers.
Conformément aux Articles 43 et 44 de la Loi 09-08 régissant le transfert transfrontalier de données, Vext exploite ses charges de travail sur des infrastructures dédiées à Casablanca interconnectées aux opérateurs locaux (IAM, Inwi, Orange). Aucune donnée audio, textuelle ou vectorielle ne transite par des clouds publics étrangers sans autorisation formelle de la CNDP.
✓ Peering IXP Casablanca Actif · Coordonnées : 33.5731° N, 7.5898° W · 0 Paquet de télémétrie transfrontalière détecté.
/etc/nftables.d/sovereign-egress.conftable inet sovereign_filter {
set morocco_trusted_subnets {
type ipv4_addr
flags interval
elements = { 105.154.0.0/15, 196.200.160.0/20, 196.217.0.0/16 }
}
chain egress_gate {
type filter hook output priority 0; policy drop;
# Allow established connections & loopback
ct state established,related accept
oif "lo" accept
# Allow local Casablanca private mesh and authorized telemetry nodes
ip daddr @morocco_trusted_subnets accept
# Explicit block: foreign telemetry and unauthorized cross-border egress
ip daddr { 52.0.0.0/8, 54.0.0.0/8 } log prefix "[CNDP-EGRESS-BLOCK] " drop
counter log prefix "[UNAUTHORIZED-EGRESS-DROP] " drop
}
}2. Durcissement des Serveurs Bare-Metal & Hyperviseurs
Pare-feu nftables strict, connexion SSH root par mot de passe bannie, clés Ed25519 obligatoires et double authentification matérielle (FIDO2/TOTP).
3. Isolation Stricte des Données Clients (Multi-Tenancy Étanché)
Ségrégation logique et physique stricte par tenant_id et schémas dédiés empêchant toute fuite de contexte IA ou d'enregistrement audio entre entreprises.
4. Audit Automatisé des Dépendances & Analyse de Vulnérabilités
Scans hebdomadaires des images conteneurs (Trivy), audits réguliers des paquets (npm audit) et analyse statique SAST bloquante en CI/CD.
5. Durcissement du Contrôleur de Session (SBC) & Trunks SIP
Passerelles SIP protégées contre la fraude téléphonique et le piratage IPBX grâce au filtrage strict par IP, au challenge digest et à la limitation Kamailio.
6. Chiffrement des Médias & de la Signalisation (SRTP / TLS)
Chiffrement TLS obligatoire pour la signalisation SIP et protocole SRTP (AES-256-GCM) pour les flux vocaux empêchant toute écoute réseau.
7. Traitement Audio Éphémère & Politique Zéro-Rétention
Purge automatique irréversible des enregistrements vocaux sous 24 à 72 heures, seules les métriques opérationnelles anonymisées étant conservées.
8. Défense Anti-Injection de Prompts & Garde-Fous LLM
Filtrage amont des transcriptions, cloisonnement étanche du prompt système et garde-fous stricts empêchant tout détournement de l'agent vocal.
9. Gestion Cryptographique des Secrets & Clés d'API
Chiffrement AES-256 authentifié de tous les identifiants API et mots de passe SIP via HashiCorp Vault, avec zéro secret en clair dans Git.
10. Bac à Sable pour l'Automatisation Navigateur (Sandboxing)
Exécution des agents navigateurs (Playwright) dans des conteneurs éphémères isolés sous gVisor avec blocage des réseaux internes (SSRF).
11. Vérification Cryptographique des Signatures de Webhooks
Tous les webhooks entrants et sortants sont signés cryptographiquement en HMAC-SHA256 avec horodatage anti-rejeu.
12. Journalisation & Traçabilité Complète d'Audit
Piste d'audit immuable et infalsifiable consignant chaque action administrative, rotation de clé et accès aux données clients.
13. Accord de Traitement des Données (DPA / Sous-Traitance Loi 09-08)
Contrats DPA de sous-traitance engageants définissant Vext comme sous-traitant technique selon les exigences strictes de la Loi 09-08.
14. Protocole d'Offboarding Sécurisé & Destruction Certifiée
Procédure certifiée d'écrasement multi-passes des données et destruction cryptographique des clés produisant une attestation officielle d'effacement.
Dossiers Techniques & Juridiques Officiels
Spécifications d’ingénierie, accords DPA types et politique RFC 9116.
Livre Blanc Sécurité Entreprise
Architecture complète des 14 contrôles, matrice des menaces et commandes d’audit.
Accord Type de Sous-Traitance (DPA)
Clauses conformes à la Loi 09-08 de la CNDP, droits des personnes et délais de notification.
Guide de Durcissement d’Infrastructure
Règles de pare-feu nftables, filtrage SBC Kamailio et profils de conteneurs gVisor.
Politique de Sécurité RFC 9116
Programme de divulgation coordonnée des failles, clé publique PGP et contact d’urgence.
Dossier d'Homologation DNSSI 2023
Dossier officiel d'homologation de sécurité selon l'Article 19 de la Loi n° 05-20. 14 chapitres DNSSI audités avec avis technique formalisé pour les ministères et IIV.
4 Piliers Souverains & PASSI 6/6
Matrice exhaustive des 4 qualifications DGSSI (PASSI, SOC/MDR maCERT, Homologation, SecCloud Niveau 2) et spécification du banc d'essai OT/SCADA.
Questions Fréquentes des RSSI et DPO
Des réponses claires et auditables aux exigences de conformité et de gouvernance.
Q: Où sont hébergés physiquement les enregistrements et bases de données ?
L’ensemble des bases de données, modèles vocaux et journaux résident exclusivement dans nos baies dédiées à Casablanca au Maroc, reliées directement au Casablanca Internet Exchange (CAS-IX). Aucune donnée ne quitte le territoire marocain sans accord formel de la CNDP.
Q: Nos conversations sont-elles utilisées pour entraîner des modèles publics ?
Jamais. Vos appels, données clients et flux ERP ne sont jamais réinjectés dans des modèles d’IA commerciaux tiers. Tout est traité sur des infrastructures isolées avec engagement contractuel de non-rétention.
Q: Comment la voix en Darija marocain est-elle traitée en toute sécurité ?
Les paquets vocaux transitent par SRTP directement vers nos processeurs de signal DSP à Casablanca. Le décodage phonétique s’effectue en mémoire vive (RAM) et s’efface dès la fin de l’appel.
Q: Quel est le protocole d’effacement en fin de contrat (réversibilité) ?
Nous appliquons le standard NIST SP 800-88 Rev. 1 : suppression des schémas de base, écrasement multi-passes des fichiers de stockage temporaire, destruction des clés de déchiffrement KMS et émission d’une attestation officielle sous 14 jours ouvrés.
Vous préparez un audit de sécurité ou une consultation DPO ?
Nos ingénieurs systèmes et architectes réseaux à Casablanca sont à votre disposition pour une revue approfondie de notre infrastructure.