Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
Sont assimilés à des services IaaS dans le cadre du présent référentiel les prestations de type hébergement externe classique qu’il soit dédié ou partagé. Les services de colocation ne sont pas régis par le présent référentiel.
3.1. Politiques de sécurité de l’information et gestion du risque Ce chapitre a pour objet de garantir que le prestataire de services dispose de politiques et d'instructions en matière de sécurité qui couvrent les exigences de sécurité tout en soutenant les besoins métier liés à la fourniture du service. Ces politiques doivent être clairement définies, accessibles et suivies pour assurer la conformité et la gestion des risques de sécurité. 3.1.1. Politique de sécurité des systèmes d’information Le prestataire de services doit élaborer une politique de sécurité des systèmes d'information pour son service qui doit être approuvée formellement par la direction du prestataire de services, et qui doit respecter les dispositions des textes législatifs et réglementaires nationaux, ainsi que les normes et les référentiels en vigueur notamment celles du présent référentiel qui fixe les critères de qualification. Cette politique doit être communiquée et mise à disposition de manière appropriée à toutes les parties prenantes concernées internes et externes au prestataire de services. Elle doit être mise à jour régulièrement, et autant de fois que survient un changement majeur susceptible d'affecter le service. La politique de sécurité des systèmes d’information doit être révisée au moins annuellement par le prestataire de services. La révision doit prendre en compte au minimum : ⎯ Les changements organisationnels et techniques dans la fourniture du service cloud. ⎯ Les changements législatifs et réglementaires affectant l'environnement du prestataire de services. 3.1.2. Analyse des risques Le prestataire de services doit mener et documenter une analyse du risque pour l'ensemble du périmètre du service en utilisant une méthode documentée garantissant la reproductibilité et la compatibilité de la démarche. Le prestataire de services doit prendre notamment en considération lors de l’analyse des risques : ⎯ Les différents besoins de sécurité en matière de confidentialité, disponibilité et intégrité qui peuvent émaner des commanditaires ; ⎯ Les risques susceptibles d'affecter un ou plusieurs de ces critères de sécurité ; ⎯ Les risques liés à une défaillance des mécanismes de séparation des ressources de l'infrastructure technique (mémoire, calcul, stockage, réseau) partagées entre différents commanditaires ; ⎯ Les risques associés à l’effacement incomplet ou non sécurisé des données stockées sur les espaces de mémoire ou de stockage partagés entre commanditaires, en particulier lors des réallocations de ces espaces ; ⎯ Les risques liés à l'exposition des interfaces d'administration sur un réseau public ; ⎯ Risques organisationnels et techniques découlant de dépendances vis-à-vis de tiers (fournisseurs, sous-traitants, etc.) ; 4
2345