PS-07 - Sécurité du personnel externe (PaF-)
Énoncés :
a. Définir les exigences liées à la sécurité du personnel, y compris les rôles et responsabilités des fournisseurs externes
b. Exiger que les fournisseurs externes se conforment aux stratégies et aux procédures en matière de sécurité du personnel mises en place par l’organisation
c. Documenter les exigences en matière de sécurité du personnel
d. Exiger que les fournisseurs externes informent [Affectation : personnel ou rôles définis par l’organisation] du transfert ou de la cessation d’emploi de toute employée ou tout employé de tierces parties qui possède des justificatifs d’identité et/ou des laissez-passer de l’organisation, ou dispose de privilèges d’accès au système dans les [Affectation : délais définis par l’organisation]
e. Surveiller la conformité des fournisseurs aux exigences en matière de sécurité du personnel
f. S’assurer que les organisations et les personnes du secteur privé qui ont accès à l’information, aux installations et aux biens protégés et classifiés font l’objet d’un filtrage de sécurité
g. Définir explicitement la surveillance gouvernementale et les rôles et responsabilités d’utilisatrice finale ou utilisateur final relativement aux services fournis par des tiers
Par fournisseurs externes, on entend les organisations autres que celle qui exploite ou acquiert le système. Les fournisseurs externes comprennent les bureaux de service, les entrepreneures et entrepreneurs, et les autres organisations qui assurent le développement des systèmes ou fournissent des services de TI, de test ou d’évaluation, ainsi que les applications externalisées et la gestion du réseau ou de la sécurité. Les organisations incluent explicitement les exigences en matière de sécurité du personnel dans les documents d’approvisionnement. Le personnel des fournisseurs externes peut travailler dans les installations de l’organisation si cette dernière lui remet des justificatifs d’identité, des laissez-passer ou des privilèges d’accès aux systèmes. Les avis envoyés advenant des changements au niveau du personnel externe permettent d’assurer l’annulation opportune des privilèges d’accès et des justificatifs d’identité. Les organisations déterminent quels seront les transferts et les cessations d’emploi à signaler en fonction de caractéristiques de sécurité comme les fonctions, les rôles et la nature des justificatifs d’identité et des privilèges associés aux personnes qui font l’objet du transfert ou de la cessation d’emploi.