2354
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
3.7. Sécurité physique et environnementale Garantir la prévention d'un accès physique non autorisé aux installations, ainsi que la protection contre le vol, les dommages, la perte ou l’interruption des opérations liées à ces services. 3.7.1. Périmètres de sécurité physique Le prestataire de services doit mettre en place et documenter des mesures de sécurité qui comprennent le marquage des zones et les moyens de contrôle d’accès. Le prestataire de services doit identifier des zones publiques, des zones privées et des zones sensibles. Cette délimitation peut se faire selon la typologie suivante : ⎯ Zones publiques : autorisées à toute personne. Aucune ressource dédiée au service ou permettant l’accès à ses composants ne doit être hébergée au niveau de ces zones. ⎯ Zones privées : peuvent héberger : a) les plateformes et les outils de développement du service ; b) les postes d’administration, d’exploitation et de supervision ; c) les locaux à partir desquels le prestataire de services opère. ⎯ Zones sensibles : Les zones sensibles sont exclusivement dédiées à l’hébergement du système d’information de production du service. 3.7.2. Contrôle d’accès physique Le prestataire de services doit sécuriser les zones restreintes (Zones privées, zones sensibles) contre les accès non autorisés en mettant en place un dispositif de contrôle d’accès individualisé. Ce dispositif doit assurer la traçabilité des accès du personnel et des tiers autorisés et accompagnés aux zones restreintes, et conserver les enregistrements pour une durée d’au moins trois mois. Le prestataire de services doit établir et documenter des protocoles spécifiques pour l'accès physique en situation d'urgence. Le prestataire de services doit afficher à l'entrée des zones restreintes un avertissement indiquant les limites et les conditions d'accès à ces zones. Le prestataire de services doit définir et documenter les plages horaires et les conditions d'accès aux différentes zones en fonction des profils des personnes autorisées à y accéder. Le prestataire de services doit mettre en place et documenter des procédures pour accompagner systématiquement les visiteurs dans les zones restreintes et doit également assurer la traçabilité de l'identité des visiteurs conformément à la législation et la réglementation en vigueur. En cas d'intervention (diagnostic, maintenance, ou administration) par un visiteur tiers dans une zone restreinte, le prestataire de services doit superviser ces actions par un personnel ayant satisfait aux vérifications de l'exigence spécifique 3.3.1 du présent référentiel. Le prestataire de services doit mettre en place des systèmes de surveillance et de détection pour prévenir les accès non autorisés aux zones restreintes. Le prestataire de services doit instaurer un système de journalisation des accès physiques aux zones sensibles et procéder à une revue de ces journaux au moins une fois par mois. 13