Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
Une authentification multi-facteurs doit être exigée avant toute interaction entre un utilisateur et une interface d'administration et les flux d'administration doivent être authentifiés et chiffrés conformément aux exigences du présent référentiel. Lorsque le prestataire de services utilise un service IaaS comme socle technique pour fournir d’autres services de type PaaS ou SaaS, les ressources utilisées par le prestataire de services ne doivent jamais être accessibles via l'interface publique réservée aux commanditaires du service IaaS. Lorsque le prestataire de services utilise un service PaaS comme socle technique pour fournir d’autres services de type SaaS, les ressources attribuées à l'usage du prestataire de services ne doivent en aucun cas être accessibles via l'interface publique destinée aux autres commanditaires du service PaaS. 3.5.7. Restriction des accès à l’information Le prestataire de services doit mettre en place des mesures de séparation appropriées entre ses différents commanditaires. Le prestataire de services doit instaurer des mesures de séparation adéquates entre le système d'information du service et ses autres systèmes d'information (bureautique, gestion informatique, gestion technique des bâtiments, contrôle d'accès physique, etc.). Le prestataire de services doit concevoir, développer, configurer et déployer le système d'information du service en garantissant au minimum une séparation entre l'infrastructure technique et les équipements utilisés pour administrer les services et les ressources qu'elle héberge. Dans le cadre du support technique, si le diagnostic et la résolution d'un problème rencontré par un commanditaire nécessitent un accès à ses données, le prestataire de services doit : ⎯ N’autoriser l’accès aux données du commanditaire qu’après consentement explicite du commanditaire ; ⎯ Vérifier que la personne à qui l’accès doit être autorisé a satisfait aux vérifications de l’exigence 3.3.1 du présent référentiel ; ⎯ Considérer les actions menées, une fois l’accès autorisé, comme des actions d’administration et les journaliser comme telles ; ⎯ Supprimer l’autorisation d’accès aux données du commanditaire au terme de ces actions. Dans le cas d'une intervention réalisée à distance par une personne localisée hors du territoire marocain (Cas de prestaires de services qualifiés niveau 1), mettre en œuvre une passerelle sécurisée (poste de rebond) par laquelle la personne devra se connecter et permettant une supervision (autorisation ou interdiction des actions, demandes d’explications, etc..) en temps réel, par une personne ayant elle-même satisfait aux vérifications de l’exigence 3.3.1 du présent référentiel.
3.6. Cryptographie 3.6.1. Politique d'utilisation de la cryptographie et de la gestion des clés Le prestataire de services doit documenter, communiquer et appliquer une politique de cryptographie qui couvre les procédures de cryptage et la gestion des clés. La politique d'utilisation de la cryptographie doit : ⎯ Exiger l’utilisation de mécanismes cryptographiques et de protocoles de réseau sécurisés conformes aux meilleures pratiques de l'état de l'art ; 10
2351