2358
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
⎯ La liste des sources de collecte ; ⎯ La liste des événements à journaliser par source ; ⎯ L’objet de la journalisation par événement ; ⎯ La fréquence de la collecte et base de temps utilisée ; ⎯ La durée de rétention locale et centralisée ; ⎯ Les mesures de protection des journaux (dont chiffrement et duplication) ; ⎯ La localisation des journaux. Le prestataire de services doit générer et collecter les événements suivants : ⎯ Les activités des utilisateurs liées à la sécurité de l’information ; ⎯ La modification des droits d’accès dans le périmètre de sa responsabilité ; ⎯ Les événements issus des mécanismes de lutte contre les logiciels malveillants (voir exigence 3.8.4 du présent référentiel) ; ⎯ Les exceptions ; ⎯ Les défaillances ; ⎯ Tout autre événement lié à la sécurité de l’information. Ces journaux doivent être centralisés et protégés contre les risques de falsification ou d’accès non autorisé. Ils doivent être conservés pour une durée minimale de douze mois. Le prestataire de services doit, sur demande d'un commanditaire, fournir l'intégralité des événements le concernant dans un format exploitable standardisé (ex : json, Csv ou Xml). 3.8.7. Protection de l’information journalisée Le prestataire de services doit assurer la protection des équipements de journalisation et des événements enregistrés contre toute menace pouvant affecter leur disponibilité, leur intégrité ou leur confidentialité. Le prestataire de services doit transférer les événements journalisés vers des serveurs centraux dédiés, en assurant leur protection en termes de confidentialité et d'intégrité, et les conserver sur une machine physique distincte de celle qui les a générés. Le prestataire de services doit établir une sauvegarde des événements collectés conformément à une politique appropriée. Le prestataire de services doit exécuter les processus de journalisation et de collecte des événements en utilisant des comptes disposant des privilèges adéquats et nécessaires, tout en limitant l'accès aux événements enregistrés conformément à la politique de contrôle d'accès (voir exigence 3.5.1 du présent référentiel). 3.8.8. Synchronisation des horloges Pour assurer la précision des journaux d’événements qui peuvent être utilisés lors des investigations, le prestataire de services doit assurer la synchronisation des horloges de l’ensemble des systèmes de traitement de l’information sur une référence de temps commune (service NTP, Network Time Protocol).
17