TITRE III CADRE DE CERTIFICATION DE CYBERSÉCURITÉ

protéger les données stockées, transmises ou traitées de toute autre façon contre le stockage, le traitement, l’accès ou la diffusion accidentels ou non autorisés au cours de l’ensemble du cycle de vie du produit TIC, service TIC ou processus TIC;

protéger les données stockées, transmises ou traitées de toute autre façon contre la destruction accidentelle ou non autorisée, la perte ou l’altération, ou l’absence de disponibilité, au cours de l’ensemble du cycle de vie du produit TIC, service TIC ou processus TIC;

faire en sorte que les personnes autorisées, les programmes ou les machines ne puissent accéder qu’aux données, services ou fonctions concernés par leurs droits d’accès;

identifier et documenter les dépendances et vulnérabilités connues;

garder une trace des données, fonctions ou services qui ont été consultés, utilisés ou traités de toute autre façon, du moment où ils l’ont été et par qui;

faire en sorte qu’il soit possible de vérifier quels données, services ou fonctions ont été consultés, utilisés ou traités de toute autre façon, à quel moment et par qui;

vérifier que les produits TIC, services TIC et processus TIC ne contiennent pas de vulnérabilités connues;

rétablir la disponibilité des données, services et fonctions ainsi que l’accès à ceux-ci dans les plus brefs délais en cas d’incident physique ou technique;

faire en sorte que les produits TIC, services TIC et processus TIC soient sécurisés par défaut et dès la conception;

faire en sorte que les produits TIC, services TIC et processus TIC soient dotés de logiciels et de matériel à jour et sans vulnérabilités connues du public, et de mécanismes permettant d’assurer les mises à jour en toute sécurité.

que les services de sécurité gérés soient fournis avec la compétence, l’expertise et l’expérience requises, y compris que le personnel chargé de fournir ces services possède un niveau de compétence et de connaissances techniques suffisant et approprié dans le domaine spécifique, une expérience suffisante et appropriée et la plus haute intégrité professionnelle;

que le fournisseur ait mis en place des procédures internes appropriées pour garantir que les services de sécurité gérés sont fournis à tout moment à un niveau de qualité suffisant et approprié;

que les données consultées, stockées, transmises ou traitées de toute autre façon dans le cadre de la fourniture de services de sécurité gérés soient protégées contre l’accès, le stockage, la diffusion, la destruction ou tout autre traitement accidentels ou non autorisés, ou contre la perte ou l’altération ou l’indisponibilité;

que la disponibilité des données, services et fonctions ainsi que l’accès à ceux-ci soient rétablis dans les plus brefs délais en cas d’incident physique ou technique;

que les personnes autorisées, les programmes ou les machines ne puissent accéder qu’aux données, services ou fonctions concernés par leurs droits d’accès;

qu’un registre soit tenu et disponible pour l’évaluation des données, services ou fonctions qui ont été consultés, utilisés ou traités de toute autre façon, du moment où ils l’ont été et par qui, et faire en sorte qu’il soit possible d’évaluer ces éléments;

que les produits TIC, services TIC et processus TIC déployés dans le cadre de la fourniture des services de sécurité gérés soient sécurisés dès la conception et par défaut, et le cas échéant, comprennent les dernières mises à jour de sécurité et ne contiennent pas de vulnérabilités connues du public.