2360
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
3.8.14. Lignes directrices et recommandations pour les commanditaires du service Le prestataire de services fournit aux commanditaires des lignes directrices et des recommandations pour l'utilisation sécurisée du service cloud. Ces informations visent à aider le commanditaire dans la configuration, l'installation et l'utilisation sécurisée du service, dans la mesure où cela est applicable au service et aux responsabilités du commanditaire. Les informations fournies couvrent plusieurs aspects, tels que : ⎯ Instructions pour une configuration sécurisée ; ⎯ Sources d'information sur les vulnérabilités connues et les mécanismes de mise à jour ; ⎯ Mécanismes de gestion des erreurs et des journaux ; ⎯ Mécanismes d'authentification ; ⎯ Concepts de rôles et de droits, y compris les combinaisons qui augmentent les risques ; ⎯ Services et fonctions pour l'administration du service cloud par des utilisateurs privilégiés.
3.9. Sécurité des communications 3.9.1. Cartographie du système d’information Le prestataire de services doit établir et tenir à jour une cartographie du système d’information du service en précisant les composants matériels et logiciels, les architectures des réseaux ainsi que la matrice des flux réseau autorisés. Les documents de cartographie doivent être maintenus au fil des évolutions apportées aux systèmes d’information et faire l’objet d’une protection adaptée. 3.9.2. Cloisonnement du réseau Le prestataire de services est tenu de cloisonner le système d'information du service selon la nature des flux (production, administration etc.), le domaine technique (traitement, stockage, etc.) et les niveaux de sensibilité des actifs informationnels connectés. Le prestataire de services doit isoler, soit physiquement soit par chiffrement, tous les flux de données internes au système d'information du service afin de les protéger des autres systèmes d'information. Si le réseau d'administration de l'infrastructure technique n'est pas physiquement séparé, les flux d’administration doivent être acheminés à travers un tunnel chiffré. Le prestataire de services doit déployer et configurer un pare-feu applicatif afin de protéger les interfaces d’administration, accessibles via un réseau public et destinées à ses commanditaires. 3.9.3. Surveillance des réseaux Le prestataire de services doit mettre en place les moyens appropriés pour la détection et la supervision des événements de sécurité au niveau des principaux nœuds d’interconnexion réseau dans le système d’information du service et pour permettre un traitement et une corrélation entre ces événements de sécurité.
19