Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
3.3. Sécurité des ressources humaines 3.3.1. Personnel de confiance A l’embauche, le prestataire de services doit mettre en œuvre une procédure de vérifications des informations des candidats conformément à la réglementation en vigueur, à l’éthique, aux exigences métier et à la classification des actifs informationnels accessibles. Le prestataire de services doit renforcer ces vérifications pour s’assurer que les antécédents du personnel disposant de privilèges d’administration étendus sur les composants logiciels et matériels de l’infrastructure ne posent aucun risque quant aux responsabilités qui leur sont confiées. 3.3.2.
Termes et Conditions d’embauche
Une charte doit être élaborée par le prestataire de services en conformité avec la politique de sécurité des systèmes d’information. Elle doit être validée par la hiérarchie, communiqué et signée ou acceptée par l’ensemble des personnes impliquées dans la fourniture du service. Cette charte doit contenir, entre autres : ⎯ Un rappel des exigences législatives et réglementaires applicables dans le contexte de l’activité ; ⎯ Les règles générales d'utilisation des ressources informatiques notamment les méthodes, outils et techniques validés par le prestataire de services ; ⎯ Les clauses de confidentialité et non divulgation des informations manipulées. Le prestataire de services doit inclure, dans les contrats de travail du personnel ayant des privilèges d'administration élevés sur l'infrastructure du service, un engagement de responsabilité, en lien avec la protection du secret professionnel et de la propriété intellectuelle. Les privilèges d’administrations élevés concernent des actions telles que l'élévation de privilèges, la réalisation d’actions sans traces techniques, et la possibilité de désactiver ou altérer ces traces. 3.3.3. Formation et sensibilisation du personnel Le prestataire de services doit veiller à ce que les employés soient sensibilisés à leurs responsabilités en matière de sécurité des systèmes d'information et aux moyens dont ils disposent pour s’acquitter de ces responsabilités. Le prestataire de services doit organiser régulièrement, selon un programme préétabli et validé par le responsable de la sécurité des systèmes d’information (RSSI), des sessions de formation et de sensibilisation au profit de son personnel en matière de sécurité des systèmes d’information adapté au service et aux missions des personnels. 3.3.4. Processus disciplinaire Le prestataire de services doit mettre en place un processus disciplinaire formel applicable à l’ensemble des personnes impliquées dans la fourniture du service qui enfreignent les règles de la politique de sécurité des systèmes d’information. 3.3.5. Rupture, terme ou modification du contrat de travail Afin de préserver la confidentialité et l’intégrité de l’information de ses commanditaires, le prestataire de services doit définir et assigner dans les contrats de travail les responsabilités liés à la 6
2347