2350
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
3.5.4. Revue des droits d’accès utilisateurs Le prestataire de services doit effectuer une révision annuelle des droits d'accès des utilisateurs sur son périmètre de responsabilité. Le prestataire de services doit fournir au commanditaire un outil permettant de faciliter l'examen des droits d'accès des utilisateurs sous sa responsabilité. 3.5.5. Gestion des authentifications des utilisateurs Le prestataire de services doit documenter et mettre en œuvre une procédure de gestion des comptes utilisateurs et des droits d'accès pour les utilisateurs internes et externes, ainsi que pour les composants systèmes impliqués dans les processus d'autorisation automatisés. Cette procédure doit porter sur : ⎯ L’assignation de noms d'utilisateur uniques, la gestion des droits d'accès basée sur le principe du moindre privilège et du besoin de savoir, ainsi que la séparation des tâches (par exemple, la gestion des comptes d'utilisateur séparée de l'approbation de l'accès) ; ⎯ La gestion des moyens d'authentification, y compris l'émission et la réinitialisation des mots de passe, la mise à jour des listes de révocation de certificats (CRL) et l'importation des certificats racines en cas d'utilisation de certificats d’authentification, etc ; ⎯ L'implémentation d’outils d'authentification multi-facteurs afin de répondre aux différents scénarios d'utilisation prévus au présent référentiel ; ⎯ La mise en place des systèmes qui génèrent des mots de passe ou évaluent leur robustesse lorsque l'authentification par mot de passe est en place. Tout mécanisme d'authentification doit inclure un verrouillage du compte après un nombre déterminé de tentatives échouées. Dans le cadre d'un service SaaS, le prestataire de services doit offrir à ses commanditaires des solutions d'authentification multi-facteurs pour l'accès des utilisateurs finaux si besoin. Lorsque des comptes techniques, non nominatifs, sont nécessaires, le prestataire de services doit mettre en place des mesures permettant aux utilisateurs de s'authentifier d'abord avec leur compte nominatif avant d'accéder à ces comptes techniques pour en assurer la traçabilité d’usage. 3.5.6. Accès aux interfaces d’administration Les comptes d'administration sous la responsabilité du prestataire de services doivent être gérés à l'aide d'outils et d'annuaires séparés de ceux utilisés pour la gestion des comptes utilisateurs sous la responsabilité du commanditaire. Les interfaces d'administration fournies aux commanditaires doivent être séparées de celles utilisées par le prestataire de services et ne doivent pas permettre de se connecter aux comptes d'administrateurs sous la responsabilité du prestataire de services. Les interfaces d'administration utilisées par le prestataire de services ne doivent pas être accessibles depuis un réseau public, et ne doivent pas permettre la connexion des utilisateurs sous la responsabilité du commanditaire. Dans le cadre d'un service SaaS, les interfaces d'administration fournies aux commanditaires doivent être distinctes de celles permettant l'accès des utilisateurs finaux. 9