Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
3.10. Acquisition, développement et maintenance des systèmes
d’information 3.10.1. Politique de développement sécurisé Le prestataire de services doit élaborer et mettre en place, conformément aux guides et référentiels élaborés par l’autorité nationale de cybersécurité, une politique de développement sécurisé des logiciels et des systèmes, qui définit notamment : ⎯ Les exigences de sécurité de l’environnement de développement ; ⎯ Les exigences de sécurité dans la phase de conception ; ⎯ Les points de contrôle de la sécurité aux différentes étapes clés du projet ; ⎯ Les référentiels de développement sécurisé à utiliser ; ⎯ Les règles de protection du code source et le contrôle des versions. Le prestataire de services doit élaborer et mettre en place une formation sur le développement sécurisé spécifiquement adaptée aux employés concernés. 3.10.2. Procédures de contrôle des changements de système Le prestataire de services doit documenter et mettre en place une procédure pour contrôler les changements apportés au système d’information du service. Le prestataire de services doit documenter et mettre en place une procédure pour valider les changements apportés au système d’information du service dans un environnement de préproduction avant leur déploiement en production afin de s'assurer qu'elles n'entraînent aucun effet indésirable sur l'activité ou la sécurité du service. Le prestataire de services doit maintenir un historique des versions des logiciels et systèmes (internes, externes ou commerciaux) déployés, afin de pouvoir, si nécessaire, recréer un environnement complet dans un environnement de test à une date précise. La durée de conservation de cet historique doit correspondre à celle des sauvegardes (voir exigence 3.8.5 du présent référentiel). 3.10.3. Environnement de développement sécurisé Le prestataire de services doit établir un environnement sécurisé de développement qui assure la gestion complète du cycle de développement du système d’information du service. Le prestataire de services doit prendre en compte les environnements de développement dans l’appréciation des risques et garantir leur protection conformément aux exigences du présent référentiel. 3.10.4. Développement externalisé Le prestataire de services doit documenter et mettre en place une procédure pour superviser et contrôler l'activité de développement externalisé des logiciels et des systèmes. Cette procédure doit garantir que le développement externalisé soit conforme à la politique de développement sécurisé du prestataire de services et atteint un niveau de sécurité équivalent à celui d'un développement interne (voir exigence 3.10.1 du présent référentiel).
20
2361