Nº 7432 – 27 safar 1447 (21-8-2025)
BULLETIN OFFICIEL
3.4.6. Retrait du Matériel Le retrait des matériels utilisés pour la fourniture du service cloud nécessite une approbation formelle du responsable de la sécurité des systèmes d’information et doit inclure la suppression complète et permanente des données ou la destruction appropriée des supports de stockage.
3.5. Contrôle d’accès et gestion des identités 3.5.1.
Politique de contrôle d’accès
Le prestataire de services est tenu de mettre en place et de documenter une politique de contrôle d’accès aux systèmes, réseaux et services sur la base des exigences métier et de sécurité de l’information en respectant le principe du moindre privilège. La politique de contrôle d’accès doit être mise à jour annuellement et à chaque changement majeur susceptible d'avoir un impact sur le service. 3.5.2. Enregistrement et désinscription des utilisateurs Le prestataire de services doit mettre en œuvre et documenter une procédure formelle d’enregistrement et de désinscription des utilisateurs de systèmes d’information, destinée à permettre l’attribution de droits d’accès. Le prestataire de services est tenu de créer des comptes nominatifs lors de l’enregistrement des utilisateurs placés sous sa responsabilité. Le prestataire de services doit mettre en place des mesures et moyens nécessaires pour garantir que la désinscription d'un utilisateur entraîne la suppression de tous ses accès aux ressources du système d'information du service, ainsi que l'effacement de ses données, conformément à la procédure d'enregistrement et de désinscription des utilisateurs précitée. 3.5.3. Gestion des droits d’accès Le prestataire de services est tenu de mettre en place et de documenter une procédure pour gérer l'attribution, la modification et le retrait des droits d'accès aux ressources du système d'information du service. Le prestataire de services doit mettre à la disposition de ses commanditaires les outils et les moyens permettant de distinguer les rôles des utilisateurs du service, en fonction de leurs responsabilités fonctionnelles. Le prestataire de services doit tenir à jour l'inventaire des utilisateurs sous sa responsabilité disposant des droits d'administration sur les ressources du système d'information du service. Le prestataire de services doit pouvoir fournir, pour chaque utilisateur créé par ses soins, qu'il soit sous sa responsabilité ou celle du commanditaire, la liste détaillée de tous les droits d'accès qu'il possède sur les différents actifs du système d'information du service. Le prestataire de services doit établir une liste de droits d'accès incompatibles entre eux. Lors de l'attribution de droits d'accès à un utilisateur, il doit veiller à ce que cet utilisateur ne détienne pas de droits incompatibles au titre de la liste précédemment établie. Le prestataire de services doit intégrer dans la procédure de gestion des droits d'accès les actions de révocation ou de suspension des droits pour tout utilisateur. 8
2349