2366
BULLETIN OFFICIEL
Nº 7432 – 27 safar 1447 (21-8-2025)
un audit par an réalisé par un prestataire qualifié d’audit de la sécurité des systèmes d’information. L'ensemble du programme d'audit doit notamment couvrir : ⎯ L'audit de la configuration de l’infrastructure technique du service, réalisé par échantillonnage et englobant tous les types d’équipements et de serveurs présents dans le système d’information du service ; ⎯ Le test d’intrusion des interfaces d'administration exposées sur un réseau public ; ⎯ Le test d'intrusion de l'interface utilisateur pour les services SaaS ; ⎯ Si le service comprend des développements internes, l’audit du code source axé sur les fonctionnalités de sécurité implémentées, avec une approche continue privilégiée ; ⎯ Il est recommandé que le prestataire de services implémente des mécanismes automatisés d'audit de configuration adaptés à l’infrastructure technique du service. Revue initiale Avant l'évaluation pour la qualification du service, le prestataire de services doit réaliser une revue indépendante initiale de la sécurité de l’information par un prestataire d’audit de la sécurité des systèmes d’information (PASSI) qualifié. Cette revue initiale doit inclure notamment : ⎯ Pour les services autres que IaaS (comme PaaS, SaaS, etc.), il est essentiel de réaliser un audit de la configuration des ressources virtuelles ou physiques, ainsi que des systèmes d'exploitation et des logiciels de base (tels que les OS, les middlewares, les bases de données, etc.) inclus dans le périmètre du service. ⎯ Un test d’intrusion visant les interfaces d'administration du service mises à disposition des commanditaires ; ⎯ Pour un service de type SaaS, il est nécessaire de réaliser un test d'intrusion sur l'interface mise à disposition des utilisateurs finaux, ainsi qu'un audit du code source concernant les fonctionnalités de sécurité implémentées telles que l'authentification, la gestion des sessions et la gestion du cloisonnement en cas de mode multi-tenant. Revue des changements majeurs En cas de changement majeur susceptible d'affecter le service, le prestataire de services doit faire réaliser une revue indépendante de changement par un prestataire d’audit de la sécurité des systèmes d’information (PASSI) qualifié. Cette revue indépendante de changement doit notamment couvrir les activités d'audit suivantes : ⎯ Audit d’architecture ; ⎯ Audit organisationnel et physique ; ⎯ Audit de la configuration de l’infrastructure technique du service ; ⎯ Un test d’intrusion portant sur les interfaces d'administration du service mises à disposition des commanditaires ; ⎯ Pour un service de type SaaS, il est essentiel de réaliser un test d'intrusion sur l'interface mise à disposition des utilisateurs finaux dans le cadre du catalogue de services, ainsi qu'un audit du code source axé sur les fonctionnalités de sécurité implémentées telles que l'authentification, la gestion des sessions et la gestion du cloisonnement en cas de mode multi-tenant. Si le SaaS offre un service de sécurité de l'information, une certification produit dédiée est également requise. 25