2362
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
3.10.5. Test de la sécurité et conformité du système Le prestataire de services doit soumettre les systèmes d'information, qu'ils soient nouveaux ou mis à jour, à des tests de conformité et de fonctionnalité en matière de sécurité durant le développement. Il doit documenter et mettre en œuvre une procédure de test qui identifie : ⎯ Les tâches à réaliser ; ⎯ Les données d'entrée ; ⎯ Les résultats attendus. 3.10.6. Protection des données de test Le prestataire de services doit documenter et mettre en place une procédure pour garantir l'intégrité des données de test utilisées en préproduction. Si le prestataire de services envisage d'utiliser des données de production du commanditaire pour réaliser des tests, il doit obtenir l'accord préalable du commanditaire et anonymiser ces données. Le prestataire de services doit également veiller à préserver la confidentialité des données durant leur anonymisation.
3.11. Relations avec les tiers 3.11.1. Identification des tiers Le prestataire de services doit tenir à jour une liste exhaustive des parties prenantes impliquées dans la mise en œuvre du service, telles que les hébergeurs, développeurs, intégrateurs, archiveurs, soustraitants intervenant sur site ou à distance, fournisseurs d’équipements, etc... Cette liste doit détailler le rôle de chaque tiers dans le service ainsi que dans le traitement des données. Le prestataire de services doit remettre au commanditaire une liste exhaustive des tiers ayant accès aux données et l'informer de tout changement de sous-traitants, afin que le commanditaire puisse exprimer son accord et ce, sans préjudice de l’application du paragraphe 5 de l’article 5 du décret précité n°2-24-921. 3.11.2. La sécurité dans les accords conclus avec les tiers Le prestataire de services doit s'assurer que les tiers impliqués dans la mise en œuvre du service respectent un niveau de sécurité au moins équivalent à celui de sa propre politique de sécurité. Il doit définir ces exigences spécifiques pour chaque tiers en fonction de sa contribution au service, et les inclure dans les cahiers des charges ou les clauses de sécurité des accords de partenariat. Ces exigences doivent également être intégrées dans les contrats signés avec les tiers. Le prestataire de services doit inclure, dans les contrats avec chacun des tiers impliqués dans la mise en œuvre du service, des clauses d’audit permettant à l’autorité nationale de cybersécurité ou toute entité mandatée par elle de vérifier que ces tiers respectent les exigences définies dans le présent référentiel. Le prestataire de services doit établir et attribuer les rôles et responsabilités liés à la modification ou à la résiliation du contrat avec chaque tiers participant à la mise en œuvre du service.
21