Toute personne désirant obtenir un certificat pour exercer l’activité d’expert auditeur dans le domaine de la sécurité informatique, doit être:

de nationalité tunisienne,
sans antécédents judiciaires,
titulaire d’un diplôme d’études supérieures spécialisées dans la sécurité informatique ou d’un diplôme équivalent ou,
titulaire d’un diplôme d’ingénieur en informatique ou en télécommunication ou d’un diplôme équivalent et qui a suivi avec succès un cycle de formation reconnu par l’agence nationale de la sécurité informatique pour l’obtention du certificat d’expert auditeur ou,
titulaire d’une maîtrise en informatique ou en télécommunication ou d’un diplôme équivalent et qui a suivi avec succès un cycle de formation reconnu par l’agence nationale de la sécurité informatique pour l’obtention du certificat d’expert auditeur et qui a occupé une fonction en rapport avec le domaine de la sécurité informatique, pour une période minimale de deux années.

Le dossier de candidature doit, obligatoirement, comporter les documents ci-après :

La fiche de renseignement établie par l'agence nationale de la sécurité informatique, dûment remplie Une copie de la carte d'identité nationale,
Un certificat de nationalité datant de moins de trois mois,
Le bulletin n°3 datant de moins de trois mois,
Une copie des diplômes universitaires prouvant le niveau scientifique requis,
Une copie du certificat de la formation requise, le cas échéant,
Les documents prouvant l'expérience professionnelle dans le domaine de la sécurité informatique, le cas échéant. Une copie d'attestation de présence de la formation requise, le cas échéant,

Les demandes d’obtention des certificats sont adressées à l’Agence Nationale de la Sécurité Informatique, et ce, par lettre recommandée ou document électronique fiable ou par dépôt auprès de l’agence contre récépissé.

Les experts auditeurs doivent suivre au moins une formation reconnue par l’ANSI pendant la durée de validité de leur certificat. La demande de renouvellement doit être obligatoirement déposée avant la date d’expiration du certificat. Dépassé ce délai, le certificat de l’expert auditeur fait l’objet d’un retrait provisoire. Le certificat est retiré définitivement de l’expert auditeur qui n’a pas suivi un cycle de formation dans un délai maximum de trois mois à partir de la date du retrait provisoire du certificat.
La demande de renouvellement doit comprendre les documents suivants :

La fiche de renseignement établie par l'agence nationale de la sécurité informatique dûment remplie, Une copie du certificat de la formation reconnue par l’ANSI pour le renouvellement ,
Les documents prouvant l'expérience professionnelle dans le domaine de la sécurité informatique, pendant les trois dernières années.

Une copie d'attestation de présence de la formation reconnue par l'ANSI pour le renouvellement.

Les experts auditeurs sont appelés à respecter les règles et les obligations du métier qui sont résumées au niveau du code professionnel.

Toute personne morale désirant obtenir un certificat pour exercer l’activité d’expert auditeur dans le domaine de la sécurité informatique, doit employer à plein temps, au moins trois experts auditeurs, certifiés auprès de l’Agence Nationale de la Sécurité Informatique.

Le dossier de candidature doit, obligatoirement, comporter les documents ci-après :

Une fiche de renseignement établie par l'agence nationale de la sécurité informatique, dûment remplie et signée par le représentant juridique du demandeur du certificat,
Une copie de la carte d'identité nationale du représentant juridique de la personne morale,
Une copie des certificats des trois experts auditeurs qui vont être employés,
Une copie des statuts,
Une copie de l'extrait du registre de commerce,
Une copie des contrats de travail conclus avec les trois experts auditeurs.

Les demandes d’obtention des certificats sont adressées à l’Agence Nationale de la Sécurité Informatique, et ce, par lettre recommandée ou document électronique fiable ou par dépôt auprès de l’agence contre récépissé.

La durée de validité du certificat du bureau est d’une année.
Les bureaux désirant renouveler leurs certificats doivent préserver les conditions d’obtention du certificat, à savoir employer au moins trois experts auditeurs certifiés par l’ANSI.
La demande de renouvellement du certificat doit, obligatoirement, comporter les documents ci-après :

Une fiche de renseignement établie par l'agence nationale de la sécurité informatique, dûment remplie et signée par le représentant juridique du demandeur du certificat, Une copie des certificats des trois experts auditeurs qui vont être employés,
Une copie des contrats de travail conclus avec les trois experts auditeurs,
Les affiliations à la CNSS des 3 experts auditeurs,
La politique de la sécurité des systèmes d'information du bureau.

Le certificat du bureau est retiré en cas de manquement à ses obligations professionnelles ou d’infraction aux dispositions de la loi n° 2004-5 du 3 février 2004 et ses textes d’application.

Un organisme de formation peut avoir le label de formation reconnue par l’ANSI:


- Si la formation est certifiante et le certificat est délivré par un organisme de certification accrédité selon la norme ISO 17024 ou une norme équivalente, les critères d’évaluation de la formation sont:



- Si la formation est non certifiante par un organisme de certification international, les critères d’évaluation de la formation sont:

L’ANSI peut désigner un membre observateur pour apprécier la qualité du contenu de la formation et des moyens pédagogiques associés.

L’organisme qui souhaite avoir le label d’une formation reconnue doit déposer un dossier auprès de l’ANSI qui comporte les éléments suivants :

Une fiche de renseignement établie par l'agence nationale de la sécurité informatique, dûment remplie et signée par le représentant juridique de l’organisme souhaitant avoir la reconnaissance, Un CV du formateur bien détaillé, accompagné par les pièces justificatives (copies des certifications obtenues, des références du formateur en terme de formation, de conseil et autres prestations dans le domaine de la sécurité de l’information),
Les procédures de passage de l’examen ou du test d’évaluation (préparation, surveillance, correction, annonce des résultats, etc) avec une copie du test d’évaluation, le cas échéant.

La liste des formations reconnues pour l'obtention (*) est la suivante:

CISA (Certified Information System Auditor)
CISSP: Certified Information System Security Professional
Auditor/Lead Auditor ISO/CEI 27001
SSCP: Systems Security Certified Practitioner
CEH (**): Certified Ethical Hacker

(*) : La liste est ouverte pour modification.
(**) : cette formation certifiante est reconnue par l'ANSI pour l'obtention du certificat d'expert auditeur dans le domaine de la sécurité des réseaux et des systèmes informatiques jusqu'à 31/03/2013.

N.B

Seuls les détenteurs de certificats relatifs aux formations mentionnées ci-dessus sont éligibles pour l' obtention.

La liste des formations reconnues pour le renouvellement (*) est la suivante:

CISM (Certified Information Security Manager)
Implementer/Lead Implementer ISO/CEI 27001
IS Risk manager ISO/CEI 27005
SCNS:Security Certified Network Specialist
SCNP: Security Certified Network Professional
OPST : OSSTMM Professional Security Tester
OPSA : OSSTMM Professional Security Analyst
OPSE:OSSTMM PROFESSIONAL SECURITY EXPERT
CTA: CERTIFIED TRUST ANALYST
CEH: Certified Ethical Hacker
CHFI : Computer Forensic Investigation Training
ECSA: ECCOUNCIL-Certified Security Analyst
ENSA: ECCouncil Network Security Administrator
G2700: GIAC Certified ISO-27000 Specialist/SANS trainnnig: SANS 27000 Implementation & Management, MGT-411
GSNA: GIAC Systems and Network Auditor/SANS trainnnig: Auditing Networks, Perimeters & Systems, AUD-507
CPTE: Certified Penetration Testing Engineer
CPEH: Certified Professional Ethical Hacker
CEH (**): Certified Ethical Hacker

(*) : La liste est ouverte pour modification.
(**) : A partir du 01/04/2013, cette formation certifiante est reconnue par l'ANSI pour le renouvellement du certificat d'expert auditeur dans le domaine de la sécurité des réseaux et des systèmes informatiques.

N.B

Seuls les détenteurs de certificats relatifs aux formations mentionnées ci-dessus sont éligibles pour le renouvellement.