Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
⎯ Les impacts sur la sécurité ou la disponibilité du service ; ⎯ Le contact au sein du prestataire de services. Dans le cadre d'un service PaaS, le prestataire de services doit notifier le commanditaire dès que possible de toute modification prévue sur des éléments logiciels dont il est responsable, lorsque la compatibilité totale ne peut être garantie. Le prestataire de services doit avertir le commanditaire dès que possible de toute modification prévue des éléments du service susceptible de réduire ses fonctionnalités. 3.8.3.
Séparation des environnements
Les environnements de développement, de test et de production doivent être séparés pour réduire notamment les risques d’accès ou de changements non autorisés dans les trois environnements. 3.8.4. Protection contre les logiciels malveillants Le prestataire de services doit documenter et mettre en œuvre les mesures de détection, de prévention et de restauration pour se protéger contre les logiciels malveillants. Cette exigence doit couvrir nécessairement le système d'information du service, y compris les postes de travail gérés par le prestataire et les flux entrants vers ce système. Le prestataire de services doit établir un programme de sensibilisation pour ses employés concernant les risques des logiciels malveillants et les meilleures pratiques pour minimiser l’impact d'une infection. 3.8.5. Sauvegarde Le prestataire de services doit élaborer une politique de sauvegarde et de restauration des données qu'il gère dans le cadre du service. Cette politique doit inclure une sauvegarde périodique de toutes les données (informations, logiciels, configurations, etc.) sous sa responsabilité dans le cadre du service. Le prestataire de services doit mettre en place et documenter des mesures de protection des sauvegardes en conformité avec la politique de contrôle d’accès (voir chapitre 3.5). Cette politique doit également prévoir une revue mensuelle des accès aux sauvegardes. Le prestataire de services doit tester régulièrement les supports de sauvegarde en s’assurant que les données sauvegardées peuvent être restaurées en temps voulu conformément à une procédure de restauration documentée. Le prestataire de services doit protéger physiquement les supports de sauvegarde en les plaçant dans un endroit protégé (Armoire ignifuge) ou en les externalisant sur un site suffisamment distant du site principal. Le ou les sites de sauvegarde sont assujettis aux mêmes exigences de sécurité que le site principal et les communications entre site principal et site de sauvegarde doivent être protégées par chiffrement, conformément aux exigences du chapitre 3.6 du présent référentiel. 3.8.6.
Journalisation des évènements
Le prestataire de services doit mettre en place et documenter une politique de journalisation applicable aux composants SI sous sa responsabilité qui servent à fournir les services Cloud et qui inclut au minimum les éléments suivants : 16
2357