PAMS (prestataire d'administration et de maintenance sécurisées)

Définition

Le PAMS, prestataire d'administration et de maintenance sécurisées, est une qualification délivrée par l'ANSSI reconnaissant qu'un prestataire externe assurant l'administration ou la maintenance de systèmes d'information au profit de clients tiers respecte un référentiel d'exigences de sécurité destiné à limiter les risques associés à ce type d'intervention à distance ou sur site, particulièrement sensible car elle donne fréquemment accès à des droits d'administration étendus sur le système du client. Le référentiel couvre notamment la sécurisation des postes utilisés par le prestataire pour intervenir, la gestion rigoureuse des accès et des habilitations, la traçabilité complète des actions réalisées sur le système du client, ainsi que des exigences organisationnelles portant sur la sélection et la formation du personnel intervenant. Cette qualification répond à une préoccupation concrète en matière de gestion des tiers : de nombreuses compromissions majeures constatées ces dernières années trouvent leur origine dans un accès privilégié détenu par un prestataire d'infogérance insuffisamment sécurisé, exploité par un attaquant pour rebondir vers l'ensemble des clients de ce prestataire. Pour une organisation externalisant l'administration de ses systèmes critiques, exiger contractuellement une qualification PAMS de son prestataire constitue un moyen concret de réduire ce risque de compromission par rebond via la chaîne d'approvisionnement informatique.