Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
3.8.9. Analyse et corrélation des événements Le prestataire de services doit concevoir et déployer une infrastructure permettant d'analyser et de corréler les événements enregistrés par le système de journalisation, afin de détecter ceux pouvant impacter la sécurité du système d'information du service. Cette analyse doit pouvoir se faire en temps réel ou ultérieurement, pour des événements sur une période allant jusqu'à six mois. Le prestataire de services doit traiter les alarmes générées par l'infrastructure d'analyse et de corrélation des événements sur une base quotidienne. 3.8.10. Installation de logiciels sur des systèmes en exploitation Le prestataire de services doit définir et mettre en place un processus de contrôle des logiciels que les utilisateurs peuvent installer sur les équipements du système d’information du service. Le prestataire de services doit élaborer une procédure pour la gestion de la configuration des environnements logiciels fournis au commanditaire, en particulier pour assurer leur maintien en condition de sécurité. 3.8.11. Gestion des vulnérabilités techniques Le prestataire de services doit élaborer un processus de veille pour gérer les vulnérabilités techniques des logiciels et des systèmes présents dans le système d'information du service. Le prestataire de services doit évaluer son exposition à ces vulnérabilités en les intégrant dans l'analyse des risques et mettre en œuvre les mesures de traitement des risques appropriées. 3.8.12. Administration Le prestataire de services doit élaborer une procédure exigeant que les administrateurs utilisent des postes dédiés exclusivement aux tâches d’administration et ayant subi des mesures de durcissement de configuration adaptées. L’accès aux outils et interfaces d’administration doit être strictement limité aux personnes habilitées, selon une procédure formelle d’autorisation d'accès. Lorsque le prestataire de services autorise une situation de mobilité pour les administrateurs sous sa responsabilité, il doit l’encadrer par une politique documentée. La solution mise en œuvre doit assurer que le niveau de sécurité de cette situation de mobilité est au moins équivalent au niveau de sécurité hors situation de mobilité. 3.8.13. Surveillance des flux sortants de l’infrastructure Le prestataire de services doit fournir une capacité d'inspection et de suppression des sortants de l’infrastructure technique relatifs au périmètre du service (informations de facturation, les éventuels journaux nécessaires au traitement d'incidents, etc.) : ⎯ Les sortants doivent pouvoir être expurgés des données pouvant porter atteinte à la confidentialité des données des commanditaires ; ⎯ Cette capacité d'inspection et de suppression doit générer des journaux d'activité et doit pouvoir faire l'objet d'un audit ; ⎯ Les sortants sont traités sur des dispositifs spécifiques opérés et maintenus par le prestataire de services, et hébergés dans une zone cloisonnée du reste de l’infrastructure. 18
2359