| Contrôle de sécurité |
Élément de contrôle |
Points de mise en œuvre |
Type S/C/H |
|---|
| AC-2 Gestion des comptes |
AC-2-1 L'organisation fait appel à des mécanismes automatisés pour appuyer la gestion des comptes du système d'information. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation ou passerelle d’authentification.
Description : Les mécanismes automatisés sont appliqués au service d’authentification et d’autorisation pour gérer les comptes d’utilisateur sans fil invité et les comptes d’administrateur de composants sans fil. Si l’authentification des utilisateurs sans fil invités est effectuée avec une base de données de comptes locale, les mécanismes sont appliqués à la passerelle d’authentification pour les comptes d’utilisateur sans fil invité. L’application des mécanismes automatisés au service d’authentification et d’autorisation constitue une exigence de sécurité commune de système d’information. Toute autre application constitue une exigence de sécurité système propre au système d’information.
|
C/S |
| AC-2 Gestion des comptes |
AC-2-2 Le système d'information supprime automatiquement les comptes temporaires et d'urgence après [Affectation : délai défini par l'organisation pour chaque type de compte]. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation ou passerelle d’authentification.
Description : Les mécanismes automatisés sont appliqués au service d’authentification et d’autorisation pour supprimer les comptes temporaires et d’urgence créés pour les utilisateurs sans fil invités et les administrateurs de composants sans fil. Si l’authentification des utilisateurs sans fil invités est effectuée avec une base de données de comptes locale, les mécanismes sont appliqués à la passerelle d’authentification pour les comptes d’utilisateur sans fil invité. L’application des mécanismes automatisés au service d’authentification et d’autorisation constitue une exigence de sécurité commune de système d’information. Toute autre application constitue une exigence de sécurité système propre au système d’information.
|
C/S |
| AC-2 Gestion des comptes |
AC-2-3 Le système d'information désactive automatiquement les comptes inactifs après [Affectation : délai défini par l'organisation]. |
Point(s) de mise en oeuvre : Service d’authentification et d’autorisation ou passerelle d’authentification.
Description : Les mécanismes automatisés sont appliqués au service d’authentification et d’autorisation pour désactiver les comptes inactifs d’utilisateur sans fil invité et les comptes d’administrateur de composants sans fil après [Affectation : période définie par l’organisation]. Si l’authentification des utilisateurs sans fil invités est effectuée avec une base de données de comptes locale, les mécanismes sont appliqués à la passerelle d’authentification pour les comptes d’utilisateur sans fil invité. L’application des mécanismes automatisés au service d’authentification et d’autorisation constitue une exigence de sécurité commune de système d’information. Toute autre application constitue une exigence de sécurité système propre au système d’information.
|
C/S |
| AC-2 Gestion des comptes |
AC-2-4 Le système d'information vérifie automatiquement les activités de création, de modification, de désactivation et de suppression de compte, et en informe les personnes concernées, le cas échéant. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification et passerelle d’authentification.
Description : Les mécanismes automatisés sont appliqués au service d’authentification et d’autorisation pour signaler au service de vérification les activités de gestion des comptes des utilisateurs sans fil invités et des administrateurs de composants sans fil. Au besoin, le service de vérification informe les individus concernés. Si l’authentification des utilisateurs sans fil invités est effectuée avec une base de données de comptes locale, une vérification automatisée des activités de gestion des comptes d’utilisateur sans fil invité est effectuée par la passerelle d’authentification et signalée au service de vérification. L’application des mécanismes automatisés au service d’authentification et d’autorisation constitue une exigence de sécurité commune de système d’information. Toute autre application constitue une exigence de sécurité système propre au système d’information.
|
C/S |
| AC-2 Gestion des comptes |
AC-2-5 L’organisation : (a) exige des utilisateurs qu'ils ferment leur session après [Affectation : délai d'inactivité prévu ou description du moment de la fermeture de session défini par l'organisation]; (b) détermine la période du jour et la durée d'utilisation normales pour les comptes du système d'information; (c) surveille toute utilisation irrégulière des comptes du système d'information; (d) signale toute utilisation irrégulière aux responsables désignés de l'organisation. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de vérification.
Description : Les mécanismes automatisés sont appliqués au service d’authentification et d’autorisation pour signaler au service de vérification l’heure et la durée de toute utilisation atypique des comptes d’administrateur de composants sans fil. Au besoin, le service de vérification informe les individus concernés de l’utilisation atypique. Cette exigence de contrôle de sécurité Exigence technique, opérationnelle ou gestionnelle de haut niveau relative à la sécurité, qu’il convient d’appliquer à un système d’information afin de protéger la confidentialité, l’intégrité et la disponibilité des actifs TI connexes. Ces contrôles peuvent être appliqués au moyen de diverses solutions de sécurité, notamment des produits, des politiques, des pratiques et des procédures de sécurité.
ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
C |
| AC-2 Gestion des comptes |
AC-2-6 Le système d'information gère de manière dynamique les droits d'accès utilisateur et les autorisations d'accès connexes. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le service d’authentification et d’autorisation gère de manière dynamique les droits et autorisations d’accès des administrateurs de composants sans fil. Ces droits et autorisations sont appliqués à la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| AC-2 Gestion des comptes |
AC-2-7 L’organisation : (a) établit et administre les comptes utilisateur privilégiés conformément à un plan de contrôle d'accès basé sur les rôles qui regroupe les droits d'accès au réseau et au système d'information dans des rôles; (b) suit et surveille les attributions de rôles privilégiés. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les comptes d’administrateur de composants sans fil sont classés dans le service d’authentification et d’autorisation selon des rôles axés sur les droits. Ces droits sont appliqués à la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| AC-3 Application de l'accès |
AC-3-A Le système d'information applique les autorisations approuvées pour l'accès logique au système conformément à la politique pertinente. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| AC-3 Application de l'accès |
AC-3-2 Le système d'information applique une double autorisation basée sur les politiques et procédures organisationnelles concernant [Affectation : commandes privilégiées définies par l'organisation]. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Des autorisations doubles pour les [Affectation : commandes privilégiées définies par l’organisation] sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités à qui on attribue seulement une connectivité aux réseaux SCNet/Internet et qui n’exécutent aucune commande privilégiée.
|
S |
| AC-3 Application de l'accès |
AC-3-3 Le système d'information applique [Affectation : politiques de contrôle d'accès non discrétionnaire définies par l'organisation] aux [Affectation : ensembles d'utilisateurs et de ressources définis par l'organisation] lorsque l'ensemble de règles de chaque politique précise : (a) l'information sur le contrôle d'accès (c.-à-d. les attributs) qu'il utilise (p. ex. poste, nationalité, âge, projet, période du jour); (b) les relations obligatoires entre les éléments d'information sur le contrôle d'accès pour autoriser l'accès. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les [Affectation : politiques de contrôle d’accès non discrétionnaires définies par l’organisation] concernant [Affectation : ensemble d’utilisateurs et de ressources défini par l’organisation] sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| AC-3 Application de l'accès |
AC-3-4 Le système d'information applique une politique de contrôle d'accès discrétionnaire (DAC pour Discretionary Access Control) qui : (a) permet aux utilisateurs de préciser et de contrôler le partage de l'information soit avec des individus ou des groupes d'individus identifiés, ou les deux; (b) limite la propagation des droits d'accès; (c) inclut ou exclut l'accès à la granularité d'un seul utilisateur. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de gestion de l’information, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les politiques de contrôle d’accès discrétionnaires sont configurées dans le service d’authentification et d’autorisation et appliquées dans la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Elles sont configurées de manière à (a) permettre aux utilisateurs de préciser et de contrôler le partage d’information avec des individus ou des groupes d’individus particuliers, ou les deux, (b) à limiter la propagation des droits d’accès et (c) à inclure ou exclure l’accès à la granularité d’un seul utilisateur. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| AC-3 Application de l'accès |
AC-3-5 Le système d'information empêche l'accès à [Affectation : information pertinente en matière de sécurité définie par l'organisation] sauf lorsqu'il est en état de non-fonctionnement sécurisé. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : L’accès à [Affectation : information sur la sécurité définie par l’organisation] est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliqué dans la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| AC-3 Application de l'accès |
AC-3-6 L'organisation chiffre ou conserve hors ligne dans un endroit sécurisé [Affectation : information sur l'utilisateur ou le système définie par l'organisation]. |
Point(s) de mise en œuvre : Service de gestion de l’information
Description : Le service de gestion de l’information protège l’information précisée dans [Affectation : information système et/ou d’utilisateur définie par l’organisation] en recourant au chiffrement.
|
C |
| AC-4 Application des contrôles du flux d'information |
AC-4-A Le système d'information applique des autorisations approuvées pour contrôler le flux de l'information dans le système et entre les systèmes interconnectés conformément à la politique pertinente. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet.
|
S |
| AC-4 Application des contrôles du flux d'information |
AC-4-1 Le système d'information applique le contrôle de flux d'information en utilisant des attributs de sécurité explicites, sur l'information et les objets source et de destination, comme base pour les décisions concernant le contrôle de flux. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. Les communications sont contrôlées en tenant compte des ports TCP/IP et des adresses IP source et de destination.
|
S |
| AC-4 Application des contrôles du flux d'information |
AC-4-2 Le système d'information applique le contrôle de flux d'information à l'aide de domaines de traitement protégés (p. ex. application de type domaine) comme base pour les décisions concernant le contrôle de flux. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. Le scénario d’utilisation opérationnelle ne requiert pas l’application du type de domaine du contrôle de flux d’information.
|
S |
| AC-4 Application des contrôles du flux d'information |
AC-4-3 Le système d'information applique le contrôle dynamique de flux d'information en s'appuyant sur une politique qui permet ou interdit les flux d'information en fonction de conditions changeantes ou de motifs opérationnels. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. L’application des politiques de contrôle dynamique du flux d’information, qui permettent ou interdisent les flux d’information selon les conditions changeantes ou les considérations opérationnelles, est assurée par le périmètre d’utilisateur sans fil invité.
|
S |
| AC-4 Application des contrôles du flux d'information |
AC-4-4 Le système d'information empêche les données chiffrées de contourner les mécanismes de vérification de contenu. |
Point(s) de mise en œuvre : S.O.
Description : Le périmètre d’utilisateur sans fil invité ne contrôle pas les communications des dispositifs mobiles en fonction du contenu d’information des communications, qui peut être chiffré.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-5 Le système d'information applique [Affectation : restrictions définies par l'organisation concernant l'intégration de types de données dans d'autres types de données]. |
Point(s) de mise en œuvre : S.O.
Description : Le périmètre d’utilisateur sans fil invité ne contrôle pas les communications des dispositifs mobiles en fonction du contenu d’information des communications.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-6 Le système d'information applique le contrôle de flux d'information aux métadonnées. |
Point(s) de mise en œuvre : S.O.
Description : Le périmètre d’utilisateur sans fil invité ne contrôle pas les communications des dispositifs mobiles en fonction du contenu d’information des communications.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-7 Le système d'information applique [Affectation : flux unidirectionnels définis par l'organisation] en utilisant des mécanismes matériels. |
Point(s) de mise en œuvre : S.O.
Description : L’application de flux unidirectionnels basés sur des mécanismes matériels est normalement exigée pour le transfert d’information entre des systèmes d’information dont les niveaux de sécurité sont différents; cette exigence ne s’applique pas au scénario d’utilisation opérationnelle.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-8 Le système d'information applique le contrôle de flux d'information en utilisant [Affectation : filtres de la politique de sécurité définis par l'organisation] comme base pour les décisions concernant le contrôle de flux. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. Le périmètre d’utilisateur sans fil invité utilise des [Affectation : filtres de la politique de sécurité définis par l’organisation] comme base pour les décisions concernant le contrôle de flux.
|
S |
| AC-4 Application des contrôles du flux d'information |
AC-4-9 Le système d'information impose une vérification manuelle de [Affectation : filtres de la politique de sécurité définis par l'organisation] lorsqu'il n'est pas en mesure de prendre de décision en matière de contrôle de flux d'information. |
Point(s) de mise en œuvre : S.O.
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. La vérification manuelle des [Affectation : filtres de la politique de sécurité définis par l’organisation] n’est pas une exigence applicable au scénario d’utilisation opérationnelle.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-10 Le système d'information permet à un administrateur privilégié d'activer ou de désactiver [Affectation : filtres de la politique de sécurité définis par l'organisation]. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. Le contrôle du flux d’information utilise [Affectation : filtres de la politique de sécurité définis par l’organisation] comme base pour les décisions concernant le contrôle de flux. Ces filtres peuvent être configurés, activés ou désactivés par un administrateur de composants sans fil.
|
S |
| AC-4 Application des contrôles du flux d'information |
AC-4-11 Le système d'information permet à un administrateur privilégié de configurer [Affectation : filtres de la politique de sécurité définis par l'organisation] pour appuyer les différentes politiques de sécurité. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entre les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et les services du réseau ministériel (p. ex. service d’authentification et d’autorisation, service de vérification, etc.). Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. Le contrôle du flux d’information utilise [Affectation : filtres de la politique de sécurité définis par l’organisation] comme base pour les décisions concernant le contrôle de flux. Ces filtres peuvent être configurés, activés ou désactivés par un administrateur de composants sans fil.
|
S |
| AC-4 Application des contrôles du flux d'information |
AC-4-12 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, identifie les flux d'information selon la spécification du type de données et l'utilisation des données. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle ne contrôle pas les communications de dispositif mobile de l’utilisateur sans fil invité vers les réseaux SCNet/Internet en se basant sur le contenu d’information des communications.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-13 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, décompose l'information en sous-composantes pertinentes pour la présenter aux mécanismes d'application de la politique. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle ne contrôle pas les communications de dispositif mobile de l’utilisateur sans fil invité vers les réseaux SCNet/Internet en se basant sur le contenu d’information des communications.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-14 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, applique les filtres de la politique qui limitent la structure et le contenu des données selon [Affectation : exigences de la politique de sécurité de l'information définies par l'organisation]. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle ne contrôle pas les communications de dispositif mobile de l’utilisateur sans fil invité vers les réseaux SCNet/Internet en se basant sur le contenu d’information des communications.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-15 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, détecte l'information non autorisée et en interdit le transfert, conformément à la politique de sécurité. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle ne contrôle pas les communications de dispositif mobile de l’utilisateur sans fil invité vers les réseaux SCNet/Internet en se basant sur le contenu d’information des communications.
|
- |
| AC-4 Application des contrôles du flux d'information |
AC-4-17 Le système d'information : (a) identifie de façon unique et authentifie les domaines source et destination pour le transfert de l'information; (b) lie les attributs de sécurité à l'information pour faciliter l'application de la politique sur le flux d'information; (c) suit les problèmes associés à la liaison des attributs de sécurité et au transfert de l'information. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle ne contrôle pas les communications de dispositif mobile de l’utilisateur sans fil invité vers les réseaux SCNet/Internet en se basant sur le contenu d’information des communications.
|
- |
| AC-5 Séparation des tâches |
AC-5-C L'organisation met en œuvre la séparation des tâches en attribuant des autorisations d'accès aux systèmes d'information. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction administrative de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| AC-6 Droit d'accès minimal |
AC-6-4 Le système d'information fournit des domaines de traitement séparés pour permettre une granularité plus fine dans l'attribution des droits d'accès utilisateur. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité héberge les postes de travail des utilisateurs dans son propre sous-réseau (c.-à-d. le domaine de traitement) et limite les communications de leur dispositif mobile aux seuls réseaux SCNet/Internet.
|
S |
| AC-7 Tentatives d'ouverture de session infructueuses |
AC-7-A Le système d'information applique une limite de [Affectation : nombre défini par l'organisation] tentatives d'ouverture de session invalides consécutives par l'utilisateur sur une période de [Affectation : durée définie par l'organisation]. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La limite de [Affectation : nombre défini par l’organisation] tentatives consécutives d’accès non réussies par un utilisateur au cours d’une période de [Affectation : période définie par l’organisation] est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| AC-7 Tentatives d'ouverture de session infructueuses |
AC-7-B Le système d'information [Sélection : verrouille le compte ou le nœud pendant (Affectation : durée définie par l'organisation); verrouille le compte ou le nœud jusqu'à ce qu'un administrateur le libère; reporte l'invite d'ouverture de session suivante selon (Affectation : algorithme de temporisation défini par l'organisation)] automatiquement lorsque le nombre maximal de tentatives infructueuses est dépassé. Le contrôle s’applique à une tentative d'ouverture de session effectuée tant à l'aide d'une connexion locale que d'une connexion réseau. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliqué dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| AC-7 Tentatives d'ouverture de session infructueuses |
AC-7-1 Le système d'information verrouille automatiquement le compte ou le nœud jusqu'à ce qu'il soit libéré par un administrateur lorsque le nombre maximal de tentatives infructueuses est dépassé. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliqué dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Seul un administrateur peut libérer les comptes verrouillés. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| AC-7 Tentatives d'ouverture de session infructueuses |
AC-7-2 Le système d'information fournit une protection supplémentaire pour les accès aux dispositifs mobiles au moyen d'une ouverture de session en éliminant l'information du dispositif après [Affectation : nombre défini par l'organisation] tentatives infructueuses d'ouverture de session sur le dispositif. |
Point(s) de mise en œuvre : S.O.
Description : Le ministère n’est pas responsable de la configuration et de la sécurité des dispositifs mobiles des utilisateurs sans fil invités, ni de la protection de l’information transmise, traitée ou stockée.
|
- |
| AC-8 Notification d'utilisation système |
AC-8-A Le système d'information, avant d'accorder l'accès, affiche un message ou une bannière de notification d'utilisation approuvée du système, qui comprend des énoncés de confidentialité et de sécurité conformément à la Politique d'utilisation des réseaux électroniques du SCT. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les bannières d’ouverture de session sont configurées dans la passerelle d’authentification et affichées par les utilisateurs sans fil invités. Elles sont également configurées dans les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et affichées par les administrateurs de composants sans fil. La bannière inclut des énoncés de confidentialité et de sécurité conformément à la Politique d’utilisation des réseaux électroniques du SCT.
|
S |
| AC-8 Notification d'utilisation système |
AC-8-B Le système d'information continue d'afficher le message ou la bannière de notification jusqu'à ce que l'utilisateur opte d'ouvrir une session ou d'accéder au système. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les bannières d’ouverture de session sont configurées dans la passerelle d’authentification et affichées par les utilisateurs sans fil invités. Elles sont également configurées dans les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité et affichées par les administrateurs de composants sans fil. Elles continuent de s’afficher jusqu’à la fin du processus de connexion ou jusqu’à ce que les utilisateurs décident d’ouvrir une session ou d’accéder au système d’information.
|
S |
| AC-8 Notification d'utilisation système |
AC-8-C Le système d'information, dans le cas d'un système accessible au public : (a) affiche, le cas échéant, l'information d'utilisation du système avant d'accorder l'accès; (b) affiche, au besoin, des mises en garde concernant la surveillance, l'enregistrement et la vérification conformes aux dispositions sur la protection des renseignements personnels pour de tels systèmes qui interdisent généralement ces activités; et (c) inclut dans le message de notification aux utilisateurs publics du système une description des utilisations autorisées du système. |
Point(s) de mise en œuvre : S.O.
Description : La sécurité des systèmes offerts au public par le réseau ministériel ne s’applique pas au scénario d’utilisation opérationnelle.
|
- |
| AC-9 Notification d'ouverture de session précédente (accès) |
AC-9-A Le système d'information indique à l'utilisateur qui vient d'ouvrir une session la date et l'heure de sa dernière ouverture de session (dernier accès). |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le service d’authentification et d’autorisation produit, à l’intention des administrateurs de composants sans fil, une notification de la date et de l’heure de la dernière connexion qui s’affiche durant le processus de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| AC-9 Notification d'ouverture de session précédente (accès) |
AC-9-1 Le système d'information indique à l'utilisateur qui vient d'ouvrir une session la date et l'heure de sa dernière ouverture de session (dernier accès). |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La notification de connexion non réussie est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et s’affiche durant le processus de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| AC-9 Notification d'ouverture de session précédente (accès) |
AC-9-2 Le système d'information indique à l'utilisateur le nombre de [Sélection : ouvertures de session/accès réussis; ouvertures de session/accès infructueux; les deux] pendant [Affectation : durée définie par l'organisation]. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La notification de connexion réussie et non réussie des [Sélection : connexions/accès réussis; tentatives de connexion/accès non réussies; les deux] durant la [Affectation : période définie par l’organisation] est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et affichée durant le processus de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| AC-9 Notification d'ouverture de session précédente (accès) |
AC-9-3 Le système d'information indique à l'utilisateur de [Affectation : ensemble, défini par l'organisation, des modifications liées à la sécurité apportées au compte de l'utilisateur] pendant [Affectation : durée définie par l'organisation]. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les paramètres de compte d’utilisateur sont configurés dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil. La fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité communique aux administrateurs de composants sans fil les [Affectation : ensemble des changements liés à la sécurité apportés au compte de l’utilisateur] durant [Affectation : période définie par l’organisation]. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| AC-10 Contrôle des sessions simultanées |
AC-10-A Le système d'information limite le nombre de sessions simultanées pour chaque compte système à [Affectation : nombre défini par l'organisation]. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La limite du nombre de sessions simultanées est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et fixée à [Affectation : nombre défini par l’organisation; elle s’affiche durant le processus de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Elle est configurée dans la passerelle d’authentification pour les utilisateurs sans fil invités.
|
S |
| AC-11 Verrouillage de session |
AC-11-A Le système d'information empêche tout autre accès au système en verrouillant la session après [Affectation : délai défini par l'organisation] d'inactivité ou à la réception d'une demande d'un utilisateur. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et s’affiche durant le processus de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence ne s’applique pas aux utilisateurs sans fil invités puisque le ministère n’est pas responsable de sécuriser leurs sessions.
|
S |
| AC-11 Verrouillage de session |
AC-11-B Le système d'information maintient le verrouillage de la session jusqu'à ce que l'utilisateur réinitialise l'accès en exécutant les procédures établies d'identification et d'authentification. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliqué dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Le verrouillage est annulé lorsque le processus de reconnexion est réussi. Cette exigence ne s’applique pas aux utilisateurs sans fil invités puisque le ministère n’est pas responsable de sécuriser leurs sessions.
|
S |
| AC-11 Verrouillage de session |
AC-11-1 Le mécanisme de verrouillage de session du système d'information, lorsqu'il est activé dans un dispositif doté d'un écran, affiche des motifs visibles qui permettent de masquer ce qui figurait précédemment à l'écran. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliqué dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Durant le verrouillage, les postes de travail d’administrateur de composants sans fil affichent des motifs visibles qui permettent de masquer ce qui figurait précédemment à l’écran. Cette exigence ne s’applique pas aux utilisateurs sans fil invités puisque le ministère n’est pas responsable de sécuriser leurs sessions.
|
S |
| AC-16 Attributs de sécurité |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle. Le ministère n’est pas responsable de la sécurité de l’information non classifiée transmise, traitée ou stockée par les utilisateurs sans fil invités. |
- |
| AC-18 Accès sans fil |
AC-18-B L'organisation surveille le système d'information pour détecter les accès sans fil non autorisés à ce dernier. |
Point(s) de mise en œuvre : Service SDISF, points d’accès sans fil et capteurs.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), assure la surveillance et le signalement des composants sans fil non autorisés.
|
S |
| AC-18 Accès sans fil |
AC-18-C L'organisation autorise l'accès sans fil au système d'information avant la connexion. |
Point(s) de mise en œuvre : Passerelle d’authentification
Description : On doit d’abord attribuer un compte temporaire aux utilisateurs sans fil invités, qui doivent ensuite réussir à s’authentifier auprès de la passerelle d’authentification avant que leur dispositif mobile soit autorisé à se connecter aux réseaux SCNet/Internet.
|
S |
| AC-18 Accès sans fil |
AC-18-D L'organisation applique les exigences concernant les connexions sans fil au système d'information. |
Point(s) de mise en œuvre : Passerelle d’authentification
Description : On doit d’abord attribuer un compte temporaire aux utilisateurs sans fil invités, qui doivent ensuite réussir à s’authentifier auprès de la passerelle d’authentification avant que leur dispositif mobile soit autorisé à se connecter aux réseaux SCNet/Internet.
|
S |
| AC-18 Accès sans fil |
AC-18-1 Le système d'information protège l'accès sans fil au moyen de l'authentification et du chiffrement. |
Point(s) de mise en œuvre : Passerelle d’authentification
Description : On doit d’abord attribuer un compte temporaire aux utilisateurs sans fil invités, qui doivent ensuite réussir à s’authentifier auprès de la passerelle d’authentification avant que leur dispositif mobile soit autorisé à se connecter aux réseaux SCNet/Internet. L’utilisation du chiffrement n’est pas requise puisque le ministère n’est pas responsable de la sécurité des communications de ces utilisateurs.
|
S |
| AC-18 Accès sans fil |
AC-18-2 L'organisation surveille le système d'information pour détecter les connexions sans fil non autorisées, y compris le balayage des points d'accès sans fil non autorisés [Affectation : fréquence définie par l'organisation], et prend les mesures appropriées si une telle connexion est découverte. |
Point(s) de mise en œuvre : Service SDISF, points d’accès sans fil et capteurs.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), assure la surveillance et le signalement des composants sans fil non autorisés, y compris le balayage [Affectation : fréquence définie par l’organisation] des points d’accès sans fil non autorisés.
|
S |
| AC-18 Accès sans fil |
AC-18-4 L'organisation ne permet pas aux utilisateurs de configurer eux-mêmes les capacités de réseautage sans fil. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle n’impose aucune restriction aux dispositifs mobiles utilisés par les utilisateurs sans fil invités.
|
- |
| AC-18 Accès sans fil |
AC-18-5 L'organisation restreint les communications sans fil aux frontières qu'elle contrôle. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La zone d’utilisateur sans fil invité est délimitée par des frontières contrôlées par l’organisation.
|
S |
| AC-19 Contrôle d'accès pour les dispositifs mobiles |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle. Le ministère n’est pas responsable de la configuration des dispositifs mobiles ou de leur sécurité. |
- |
| AC-21 Collaboration et échange d'information entre utilisateurs |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle dont le seul but est d’appuyer la connectivité entre le réseau des utilisateurs sans fil invités et les réseaux SCNet/Internet plutôt que d’assurer la sécurité du partage d’information entre les utilisateurs. |
- |
| AU-3 Contenu des enregistrements de vérification |
AU-3-A Le système d'information produit des enregistrements de vérification qui contiennent suffisamment d'information pour permettre, au minimum, d'établir le type d'événement qui s'est produit, la date et l'heure de l'événement, l'endroit où il s'est produit, sa source, son résultat (réussite ou échec) et l'identité de tous les utilisateurs ou sujets qui lui sont associés. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de transmettre au service de vérification des enregistrements qui contiennent suffisamment d’information sur l’événement pour permettre d’établir ses caractéristiques (son type, moment où il s’est produit (date et heure), endroit où il s’est produit, sa source, son résultat (réussite ou échec) et l’identité de tout utilisateur et/ou sujet qui lui est associé).
|
S |
| AU-3 Contenu des enregistrements de vérification |
AU-3-1 Le système d'information inclut [Affectation : information supplémentaire et plus détaillée définie par l'organisation] dans les enregistrements de vérification pour les événements répartis par type, emplacement ou sujet. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de configurer [Affectation : information supplémentaire et plus détaillée définie par l’organisation] des événements signalés au service de vérification.
|
S |
| AU-3 Contenu des enregistrements de vérification |
AU-3-2 L'organisation centralise la gestion du contenu des enregistrements de vérification générés par [Affectation : composants de système définis par l'organisation]. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de transmettre des enregistrements de vérification au service de vérification. Le service tient à jour un dépôt central de tous les enregistrements de vérification.
|
S |
| AU-4 Capacité de stockage des vérifications |
AU-4-A L'organisation attribue la capacité de stockage des enregistrements de vérification et configure les vérifications de manière à réduire la probabilité de dépassement de cette capacité. |
Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information.
Description : Le service de vérification dispose de suffisamment de capacité de stockage, gérée par le service de gestion de l’information, pour éviter la perte d’enregistrements.
|
C |
| AU-5 Intervention en cas d'échecs de vérification |
AU-5-A Le système d'information avertit les responsables désignés de l'organisation dans l'éventualité d'un échec de traitement de vérification. |
Point(s) de mise en œuvre : Service de vérification
Description : Le service de vérification avertit les responsables désignés de l’organisation dans l’éventualité d’une défaillance du processus de vérification.
|
C |
| AU-5 Intervention en cas d'échecs de vérification |
AU-5-B Le système d'information prend les mesures supplémentaires suivantes : [Affectation : mesures à prendre définies par l'organisation (p. ex. arrêt du système, écrasement des enregistrements de vérification les plus anciens, arrêt de la génération des enregistrements de vérification)]. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet d’effectuer [Affectation : mesures à prendre définies par l’organisation (p. ex. arrêt du système, écrasement des enregistrements de vérification les plus anciens, arrêt de la génération des enregistrements de vérification)] dans l’éventualité d’une défaillance du processus de vérification du composant.
|
S |
| AU-5 Intervention en cas d'échecs de vérification |
AU-5-1 Le système d'information génère un avertissement lorsque le volume de stockage attribué aux enregistrements de vérification atteint [Affectation : pourcentage défini par l'organisation] de sa capacité maximale. |
Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information.
Description : Le service de vérification produit un avertissement lorsque le volume de stockage attribué aux enregistrements de vérification dans le service de gestion de l’information atteint [Affectation : pourcentage défini par l’organisation] sa capacité maximale.
|
C |
| AU-5 Intervention en cas d'échecs de vérification |
AU-5-2 Le système d'information génère une alerte en temps réel lorsque les événements d'échec de vérification suivants se produisent : [Affectation : événements d'échec de vérification définis par l'organisation qui nécessitent une alerte en temps réel]. |
Point(s) de mise en œuvre : Service de vérification
Description : Le service de vérification produit une alerte en temps réel lorsque [Affectation : événements d’échec de vérification définis par l’organisation qui nécessitent une alerte en temps réel] des événements d’échec de vérification se produisent.
|
C |
| AU-5 Intervention en cas d'échecs de vérification |
AU-5-3 Le système d'information applique des seuils de volume de trafic configurables représentant la capacité de vérification du trafic réseau et [Sélection : rejette ou retarde] le trafic au-dessus de ces seuils. |
Point(s) de mise en œuvre : Service réseau
Description : Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic réseau lié à la vérification et [Sélection : rejettent ou retardent] le trafic au-dessus de ces seuils.
|
C |
| AU-5 Intervention en cas d'échecs de vérification |
AU-5-4 Le système d'information effectue un arrêt système à la suite d'un échec de vérification, sauf lorsqu'il existe une capacité de vérification de secours. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet d’arrêter le composant dans l’éventualité d’un échec de vérification.
|
S |
| AU-6 Examen, analyse et rapports de vérification |
AU-6-3 L'organisation analyse et met en corrélation les enregistrements de vérification des différents dépôts afin d'acquérir une connaissance de sa situation globale. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de transmettre des enregistrements de vérification au service de vérification. Le service de vérification gère un dépôt central et un centre de gestion de tous les enregistrements de vérification pour être au fait de la situation à l’échelle de l’organisation.
|
S |
| AU-6 Examen, analyse et rapports de vérification |
AU-6-4 Le système d'information centralise l'examen et l'analyse des enregistrements de vérification provenant de plusieurs composants du système. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de transmettre des enregistrements de vérification au service de vérification. Le service de vérification tient à jour un dépôt central de tous les enregistrements de vérification aux fins d’examen et d’analyse.
|
S |
| AU-6 Examen, analyse et rapports de vérification |
AU-6-5 L'organisation intègre l'analyse des enregistrements de vérification à l'analyse de l'information liée au balayage des vulnérabilités, des données de rendement et de l'information sur la surveillance réseau pour accroître sa capacité d'identification les activités inappropriées ou inhabituelles. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de transmettre des enregistrements de vérification au service de vérification. Le service de vérification tient à jour un dépôt central de tous les enregistrements de vérification aux fins d’examen et d’analyse.
|
S |
| AU-7 Réduction des vérifications et génération de rapports |
AU-7-A Le système d'information offre une capacité de réduction des vérifications et de génération de rapports. |
Point(s) de mise en œuvre : Service de vérification
Description : Le service de vérification offre une capacité de réduction des vérifications et de génération de rapports.
|
C |
| AU-7 Réduction des vérifications et génération de rapports |
AU-7-1 Le système d'information permet de traiter automatiquement les enregistrements de vérification des événements d'intérêt en fonction de critères d'événement sélectionnables. |
Point(s) de mise en œuvre : Service de vérification
Description : Le service de vérification offre une fonction qui permet de traiter automatiquement les enregistrements de vérification des événements d’intérêt en fonction de critères d’événement sélectionnables.
|
C |
| AU-8 Estampilles temporelles |
AU-8-A Le système d'information utilise des horloges de système internes pour générer des estampilles temporelles pour les enregistrements de vérification. |
Point(s) de mise en œuvre : Service réseau, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de générer des estampilles temporelles pour les enregistrements de vérification transmis au service de vérification. Chaque composant peut également synchroniser son horloge en utilisant la fonction de serveur de temps centralisée du service réseau.
|
S |
| AU-8 Estampilles temporelles |
AU-8-1 Le système d'information synchronise ses horloges internes [Affectation : fréquence définie par l'organisation] en utilisant [Affectation : source de temps faisant autorité définie par l'organisation]. |
Point(s) de mise en œuvre : Service réseau, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité permettent de synchroniser leurs horloges [Affectation : fréquence définie par l’organisation] en utilisant la fonction de serveur de temps centralisée du service réseau.
|
S |
| AU-9 Protection de l'information de vérification |
AU-9-A Le système d'information protège l'information de vérification et les outils de vérification contre l'accès, la modification et la suppression non autorisés. |
Point(s) de mise en œuvre : Service de vérification, service d’authentification et d’autorisation.
Description : Les autorisations d’accès aux données et aux outils de vérification du service de vérification sont configurées dans le service d’authentification et d’autorisation et appliquées par le service de vérification.
|
C |
| AU-9 Protection de l'information de vérification |
AU-9-1 Le système d'information produit les enregistrements de vérification sur des supports matériels non réinscriptibles. |
Point(s) de mise en œuvre : Service de vérification
Description : Le service de vérification offre la capacité de produire des enregistrements de vérification sur des supports matériels non inscriptibles.
|
C |
| AU-9 Protection de l'information de vérification |
AU-9-2 Le système d'information sauvegarde les enregistrements de vérification [Affectation : fréquence définie par l'organisation] dans un système ou un support différent du système faisant l'objet de la vérification. |
Point(s) de mise en œuvre : Service de sauvegarde et de reprise
Description : Le service de sauvegarde et de reprise sauvegarde les enregistrements de vérification [Affectation : fréquence définie par l’organisation] dans un système ou un support distinct de celui qui fait l’objet de la vérification.
|
C |
| AU-9 Protection de l'information de vérification |
AU-9-3 Le système d'information utilise des mécanismes cryptographiques pour protéger l'intégrité de l'information de vérification et des outils de vérification. |
Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information.
Description : Le service de vérification utilise des mécanismes cryptographiques pour protéger l’intégrité des données de vérification stockées et gérées par le service de gestion de l’information.
|
C |
| AU-9 Protection de l'information de vérification |
AU-9-4 L'organisation (a) autorise l'exécution des commandes privilégiées et l'accès à l'information liée à la sécurité par la méthode d'accès à distance uniquement dans le cas de besoins opérationnels probants et (b) documente le motif de cet accès dans le plan de sécurité du système d'information. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification et service de gestion de l’information.
Description : Les autorisations d’accès aux données de vérification stockées par le service de vérification dans le service de gestion de l’information, et la fonction de vérification des composants sans fil, sont configurées dans le service d’authentification et d’autorisation pour s’assurer que l’accès à la fonction de gestion de la vérification soit réservé à un sous-ensemble restreint d’utilisateurs privilégiés et (b) pour protéger les enregistrements de vérification contre tout accès extérieur aux comptes privilégiés et contre l’exécution de toute fonction privilégiée.
|
C |
| AU-10 Non-répudiation |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle. Le ministère n’est pas responsable de sécuriser l’information transmise, traitée ou stockée par les utilisateurs sans fil invités, incluant la non-répudiation des opérations effectuées. |
- |
| AU-12 Génération d'enregistrements de vérification |
AU-12-A Le système d'information comprend une capacité de génération d'enregistrements de vérification pour la liste d'événements vérifiables définie au contrôle AU-2 au [Affectation : composants du système d'information définis par l'organisation]. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de produire des enregistrements de vérification et de les transmettre au service de vérification pour les événements définis en AU-2 dans [Affectation : composants de système d’information définis par l’organisation].
|
S |
| AU-12 Génération d'enregistrements de vérification |
AU-12-B Le système d'information permet au personnel désigné de l'organisation de sélectionner les événements vérifiables qui doivent être vérifiés par composant de système particulier. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité peut être configurée par les administrateurs de composants sans fil pour les événements à vérifier et à transmettre au service de vérification.
|
S |
| AU-12 Génération d'enregistrements de vérification |
AU-12-C Le système d'information génère des enregistrements de vérification pour la liste des événements vérifiés définie au contrôle AU-2 et dont le contenu est défini au contrôle AU-3. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de produire des enregistrements de vérification et de les transmettre au service de vérification pour les événements définis en AU-2 avec le contenu défini en AU-3.
|
S |
| AU-12 Génération d'enregistrements de vérification |
AU-12-1 Le système d'information compile les enregistrements de vérification provenant de [Affectation : composants du système d'information définis par l'organisation] en une piste de vérification (logique ou physique) globale qui est corrélée dans le temps, en-dedans de [Affectation : niveau de tolérance défini par l'organisation pour les relations entre les estampilles temporelles des enregistrements individuels de la piste de vérification]. |
Point(s) de mise en œuvre : Service de vérification, service réseau, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de transmettre des enregistrements de vérification au service de vérification. Chaque composant synchronise son horloge système en utilisant la fonction de serveur de temps du service réseau pour s’assurer que les enregistrements de vérification sont corrélés dans le temps en dedans de [Affectation : niveau de tolérance défini par l’organisation pour les relations entre les estampilles temporelles des enregistrements individuels de la piste de vérification].
|
S |
| AU-12 Génération d'enregistrements de vérification |
AU-12-2 Le système d'information produit une piste de vérification (logique ou physique) globale composée d'enregistrements de vérification dans un format normalisé. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de transmettre des enregistrements de vérification au service de vérification. Les enregistrements de vérification produits par les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité sont en format normalisé ou convertis dans ce format par le service de vérification.
|
S |
| AU-14 Vérification des sessions |
AU-14-A Le système d'information permet de saisir ou d'enregistrer et de journaliser tout le contenu d'une session utilisateur. |
Point(s) de mise en œuvre : Service SDI
Description : Le service SDI peut permettre d’accéder au contenu non chiffré des communications d’administrateur de composants sans fil et de journaliser ou saisir le contenu pour le service de vérification. Le ministère n’est pas tenu de saisir/enregistrer et journaliser tout le contenu relatif à une session d’utilisateur sans fil invité.
|
C |
| AU-14 Vérification des sessions |
AU-14-B Le système d'information permet de visualiser ou d'écouter à distance et en temps réel tout le contenu d'une session utilisateur établie. |
Point(s) de mise en œuvre : Service SDI
Description : Le service SDI peut permettre d’accéder au contenu non chiffré des communications d’administrateur de composants sans fil et de visualiser ou d'écouter en temps réel tout le contenu relatif à une session établie d’utilisateur. Le ministère n’est pas tenu de visualiser ou d’écouter en temps réel tout le contenu relatif à une session établie d’utilisateur sans fil invité
|
C |
| AU-14 Vérification des sessions |
AU-14-1 Le système d'information lance les vérifications de session au démarrage du système. |
Point(s) de mise en œuvre : Service SDI
Description : Le service SDI peut permettre d’accéder au contenu non chiffré des communications d’administrateur de composants sans fil et de journaliser ou saisir le contenu pour le service de vérification. Cette exigence de contrôle de sécurité ne s’applique pas aux communications d’utilisateur sans fil invité. Le service SDI est en mesure de lancer le processus de vérification dès le démarrage du système.
|
C |
| CM-5 Restrictions d'accès associées aux changements |
CM-5-A L'organisation définit, documente, approuve et applique les restrictions d'accès logique et physique associées aux changements au système d'information. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations de changements apportés à la configuration des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité par les administrateurs de composants sans fil sont attribuées dans le service d’authentification et d’autorisation et appliquées dans les composants sans fil. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| CM-5 Restrictions d'accès associées aux changements |
CM-5-1 L'organisation utilise des mécanismes automatisés pour appliquer les restrictions d'accès et faciliter la vérification des mesures d'application. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité. La vérification de l’application de ces autorisations est également effectuée par les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| CM-5 Restrictions d'accès associées aux changements |
CM-5-3 Le système d'information empêche l'installation de [Affectation : programmes logiciels essentiels définis par l'organisation] qui ne sont pas signés à l'aide d'un certificat reconnu et approuvé par l'organisation. |
Point(s) de mise en œuvre : S.O.
Description : Le ministère n’est pas responsable de la sécurité ou de la configuration des dispositifs mobiles des utilisateurs sans fil invités.
|
- |
| CM-5 Restrictions d'accès associées aux changements |
CM-5-6 L'organisation restreint les privilèges de changement des logiciels résidents dans les bibliothèques de logiciels (y compris les programmes privilégiés). |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et permettent de définir les restrictions d’accès logique associées aux changements des logiciels résidents dans les bibliothèques de logiciels (y compris les programmes privilégiés). Les autorisations sont appliquées dans la fonction administrative locale de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’ont aucun droit d’accès au réseau ministériel ou qui n’en consultent pas les données.
|
S |
| CM-5 Restrictions d'accès associées aux changements |
CM-5-7 Le système d'information met en œuvre automatiquement [Affectation : mesures de protection et contremesures définies par l'organisation] lorsque les fonctions (ou mécanismes) de sécurité sont modifiées de manière inappropriée. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et permettent de définir les restrictions d’accès logique associées aux changements des logiciels résidents dans les bibliothèques de logiciels (y compris les programmes privilégiés). Les autorisations sont appliquées dans la fonction administrative locale de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Le système d’information met en œuvre automatiquement [Affectation : mesures de protection et contremesures définies par l’organisation] lorsque les fonctions (ou mécanismes) de sécurité sont modifiées de manière inappropriée.
|
S |
| CM-6 Paramètres de configuration |
CM-6-B L'organisation met en œuvre les paramètres de configuration. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité sont configurés avec des paramètres de configuration obligatoires les plus rigoureux.
|
S |
| CM-6 Paramètres de configuration |
CM-6-1 L'organisation utilise des mécanismes automatisés pour centraliser la gestion, l'application et la vérification des paramètres de configuration. |
Point(s) de mise en œuvre : SGC, SIF, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le SGC permet d’acquérir et de vérifier les configurations de composant des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Il est en mesure de vérifier périodiquement ces configurations et de les comparer aux configurations approuvées. Le SIF offre la possibilité de vérifier les paramètres de configuration dans les fichiers des composants dans lesquels on peut installer un agent SIF. Le SGC et le SIF peuvent signaler tout changement non autorisé détecté à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification.
|
S |
| CM-6 Paramètres de configuration |
CM-6-2 L'organisation utilise des mécanismes automatisés pour intervenir dans les cas où des changements non autorisés sont apportés aux [Affectation : paramètres définis par l'organisation de configuration]. |
Point(s) de mise en œuvre : SGC, SIF, service d’authentification et d’autorisation, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations d’accès aux paramètres de configuration sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. La fonction de contrôle d’accès signale toute tentative d’accès non autorisé au service de vérification. Elle est en mesure de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées dans le but de détecter tout changement non autorisé. Le SIF offre la possibilité de détecter les modifications non autorisées aux fichiers des composants dans lesquels on peut installer un agent SIF. Et le SGC et le SIF signalent tout changement non autorisé détecté. Ils peuvent signaler ce type de changement apporté aux [Affectation : paramètres de configuration définis par l’organisation] à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification.
|
S |
| CM-6 Paramètres de configuration |
CM-6-3 L'organisation intègre un mécanisme de détection des changements de configuration non autorisés liés à la sécurité à sa capacité d'intervention en cas d'incident pour s'assurer que de tels événements sont suivis, surveillés, corrigés et conservés à des fins historiques. |
Point(s) de mise en œuvre : SGC, SIF, service d’authentification et d’autorisation, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations d’accès aux paramètres de configuration sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. La fonction de contrôle d’accès signale toute tentative d’accès non autorisé au service de vérification. Elle est en mesure de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées dans le but de détecter tout changement non autorisé. Le SIF offre la possibilité de détecter les modifications non autorisées aux fichiers des composants dans lesquels on peut installer un agent SIF. Et le SGC et le SIF signalent tout changement non autorisé détecté. Ils peuvent signaler ce type de changement à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Les événements peuvent ensuite être acheminés vers le processus d’intervention en cas d’incident Incident réel au cours duquel un agent de menace exploite une vulnérabilité d’un bien de TI de valeur.
du ministère aux fins de suivi, de surveillance, de correction et de disponibilité à des fins historiques.
|
S |
| CM-7 Fonctionnalité minimale |
CM-7-A L'organisation configure le système d'information de manière à offrir uniquement les capacités jugées essentielles et interdit ou restreint spécifiquement l'utilisation des fonctions, ports, protocoles ou services suivants : [Affectation : liste définie par l'organisation des fonctions, ports, protocoles ou services interdits ou restreints]. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité sont configurés de manière à offrir uniquement les capacités jugées essentielles et interdit ou restreint spécifiquement l’utilisation des fonctions, ports, protocoles ou services suivants : [Affectation : liste définie par l’organisation des fonctions, ports, protocoles ou services interdits ou restreints].
|
S |
| CM-7 Fonctionnalité minimale |
CM-7-2 L'organisation utilise des mécanismes automatisés pour empêcher l'exécution des programmes conformément à [Sélection (une ou plusieurs) : liste des programmes autorisés; liste des programmes non autorisés; règles d'autorisation des modalités d'utilisation d'un programme]. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle n’inclut aucune configuration de sécurité des dispositifs mobiles.
|
- |
| CM-8 Inventaire des composants de système d'information |
CM-8-2 L'organisation utilise des mécanismes automatisés pour faciliter la tenue d'un inventaire des composants du système d'information qui soit à jour, complet, exact et facilement accessible. |
Point(s) de mise en œuvre : SGC
Description : Le SGC offre la capacité de vérifier les configurations de composant aux fins d’automatisation de l’inventaire.
|
C |
| CM-8 Inventaire des composants de système d'information |
CM-8-3 L’organisation : (a) utilise des mécanismes automatisés [Affectation : fréquence définie par l'organisation] pour détecter l'ajout de tout composant ou dispositif non autorisé au système d'information; et (b) désactive l'accès réseau de ces composants ou dispositifs ou informe les autorités responsables de l'organisation. |
Point(s) de mise en œuvre : Service SDISF, points d’accès sans fil et capteurs.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), effectue une surveillance à chaque [Affectation : fréquence définie par l’organisation] pour détecter l’ajout de tout composant ou dispositif non autorisé au système d’information et (b) désactive l’accès réseau de ces composants ou dispositifs ou informe les autorités responsables de l’organisation.
|
S |
| CP-9 Sauvegarde du système d'information |
CP-9-A L'organisation effectue des sauvegardes des données utilisateur contenues dans le système d'information [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise]. |
Point(s) de mise en œuvre : S.O.
Description : Le scénario d’utilisation opérationnelle ne prévoit aucun stockage ni sauvegarde d’information des utilisateurs sans fil invités.
|
- |
| CP-9 Sauvegarde du système d'information |
CP-9-B L'organisation effectue des sauvegardes des données système contenues dans le système d'information [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise]. |
Point(s) de mise en œuvre : Service de sauvegarde et de reprise, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le service de sauvegarde et de reprise accède aux capteurs, aux points d’accès, aux commutateurs, à la passerelle d’authentification et aux composants de périmètre d’utilisateur sans fil invité pour sauvegarder l’information système contenue dans le système d’information [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise].
|
S |
| CP-9 Sauvegarde du système d'information |
CP-9-C L'organisation effectue des sauvegardes de la documentation liée au système d'information, y compris la documentation sur la sécurité, [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise]. |
Point(s) de mise en œuvre : Service de sauvegarde et de reprise et service de gestion de l’information.
Description : Le service de sauvegarde et de reprise effectue des sauvegardes de la documentation liée au système d’information qui sont gérées par le service de gestion de l’information [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise].
|
C |
| CP-9 Sauvegarde du système d'information |
CP-9-6 L'organisation effectue la sauvegarde du système d'information en recourant à un système secondaire redondant, situé hors de l'emplacement du système opérationnel, qui peut être activé sans perte d'information ou perturbation des opérations. |
Point(s) de mise en œuvre : Tous
Description : Un système secondaire redondant est prévu pour assurer la disponibilité permanente de la fonction dans l’éventualité d’une défaillance du système principal.
|
S |
| CP-10 Reprise et reconstitution du système d'information |
CP-10-2 Le système d'information applique un processus de reprise des transactions pour les systèmes de traitement transactionnel. |
Point(s) de mise en œuvre : S.O.
Description : Les utilisateurs sans fil invités ne peuvent accéder aux applications axées sur les transactions utilisées par le ministère.
|
- |
| CP-10 Reprise et reconstitution du système d'information |
CP-10-5 L'organisation offre [Affectation : capacité de basculement définie par l'organisation pour le système d'information] en [Sélection : temps réel; temps quasi réel]. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité sont mis en œuvre de manière à appuyer [Affectation : capacité de basculement définie par l’organisation pour le système d’information] en [Sélection : temps réel; temps quasi réel].
|
S |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-A Le système d'information identifie de façon unique et authentifie les utilisateurs organisationnels (ou les processus exécutés en leur nom). |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les justificatifs d’identité de compte sont configurés dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliqués dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité.
|
S |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-1 Le système d'information utilise l'authentification multifactorielle pour l'accès réseau aux comptes privilégiés. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès au réseau des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Les utilisateurs sans fil invités ne bénéficient d’aucun droit.
|
- |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-2 Le système d'information utilise l'authentification multifactorielle pour l'accès réseau aux comptes non privilégiés. |
Point(s) de mise en œuvre : S.O.
Description : L’utilisation de l’authentification multifactorielle ne s’applique pas aux utilisateurs sans fil invités (qui n’ont aucun droit) aux fins d’accès local puisqu’on leur attribue uniquement des comptes d’utilisateur temporaires basés sur des justificatifs d’identité liés à des mots de passe.
|
- |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-3 Le système d'information utilise l'authentification multifactorielle pour l'accès local aux comptes privilégiés. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès locale des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Les utilisateurs sans fil invités ne bénéficient d’aucun droit.
|
S |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-4 Le système d'information utilise l'authentification multifactorielle pour l'accès local aux comptes non privilégiés. |
Point(s) de mise en œuvre : S.O.
Description : L’utilisation de l’authentification multifactorielle ne s’applique pas aux utilisateurs sans fil invités (qui n’ont aucun droit) aux fins d’accès local puisqu’on leur attribue uniquement des comptes d’utilisateur temporaires basés sur des justificatifs d’identité liés à des mots de passe.
|
- |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-5 L’organisation : (a) permet l'utilisation d'authentifiants de groupe seulement s'ils sont utilisés de pair avec un authentifiant individuel ou unique; et (b) exige des utilisateurs qu'ils soient authentifiés par un authentifiant individuel avant d'utiliser un authentifiant de groupe. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Si des authentifiants de groupe sont utilisés pour des comptes d’administrateur de composants sans fil, ils le sont uniquement de pair avec un authentifiant individuel/unique; les individus sont d’abord authentifiés avec un authentifiant individuel avant l’utilisation d’un authentifiant de groupe. La fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité offre ce processus d’authentification. Les authentifiants de groupe ne s’appliquent pas aux utilisateurs sans fil invités puisqu’on leur attribue uniquement des comptes d’utilisateur temporaires basés sur des justificatifs d’identité liés à des mots de passe.
|
S |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-6 Le système d'information utilise, pour l'accès réseau aux comptes privilégiés, une authentification multifactorielle où l'un des facteurs est fourni par un dispositif distinct du système d'information auquel l'utilisateur accède. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès au réseau des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Un des facteurs est fourni par un dispositif distinct du système d’information qui fait l’objet de l’accès. Les utilisateurs sans fil invités ne bénéficient d’aucun droit.
|
- |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-7 Le système d'information utilise, pour l'accès réseau aux comptes non privilégiés, une authentification multifactorielle où l'un des facteurs est fourni par un dispositif distinct du système d'information auquel l'utilisateur accède. |
Point(s) de mise en œuvre : S.O.
Description : L’utilisation de l’authentification multifactorielle ne s’applique pas aux utilisateurs sans fil invités (qui n’ont aucun droit) aux fins d’accès local puisqu’on leur attribue uniquement des comptes d’utilisateur temporaires basés sur des justificatifs d’identité liés à des mots de passe.
|
- |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-8 Le système d'information utilise [Affectation : mécanismes d'authentification résistant aux réinsertions définis par l'organisation] pour l'accès réseau aux comptes privilégiés. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La méthode d’authentification est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité utilise [Affectation : mécanismes d’authentification résistant aux réinsertions définis par l’organisation]. Les utilisateurs sans fil invités ne bénéficient d’aucun droit.
|
- |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-9 Le système d'information utilise [Affectation : mécanismes d'authentification résistant aux réinsertions définis par l'organisation] pour l'accès réseau aux comptes non privilégiés. |
Point(s) de mise en œuvre : S.O.
Description : L’utilisation de l’authentification multifactorielle ne s’applique pas aux utilisateurs sans fil invités (qui n’ont aucun droit) aux fins d’accès local puisqu’on leur attribue uniquement des comptes d’utilisateur temporaires basés sur des justificatifs d’identité liés à des mots de passe.
|
- |
| IA-2 Identification et authentification (utilisateurs organisationnels) |
IA-2-100 Le système d'information utilise l'authentification multifactorielle pour l'accès à distance aux comptes privilégiés. |
Point(s) de mise en œuvre : S.O.
Description : Les administrateurs de composants sans fil n’utilisent pas de connexions d’accès à distance pour administrer leurs composants.
|
- |
| IA-3 Identification et authentification des dispositifs |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisqu’il n’exige pas l’authentification des postes de travail d’utilisateur sans fil invité. |
- |
| IA-4 Gestion des identificateurs |
IA-4-5 Le système d'information gère de manière dynamique les identificateurs, les attributs et les autorisations d'accès connexes. |
Point(s) de mise en œuvre : S.O.
Description : L’utilisation de la gestion dynamique des identificateurs, attributs et autorisations d’accès connexes ne s’applique pas au scénario d’utilisation opérationnelle.
|
- |
| IA-5 Gestion des authentifiants |
IA-5-1 Authentification axée sur les mots de passe – Le système d'information : (a) applique un mot de passe de complexité minimale [Affectation : exigences définies par l'organisation concernant la sensibilité à la casse, le nombre de caractères, la combinaison minuscules-majuscules, les lettres minuscules, les chiffres et les caractères spéciaux, y compris les exigences minimales pour chaque type]; (b) applique au minimum [Affectation : nombre de caractères modifiés défini par l'organisation] lors de la création de nouveaux mots de passe; (c) chiffre les mots de passe stockés et en transit; (d) applique les restrictions minimales et maximales de durée des mots de passe, soit [Affectation : nombre défini par l'organisation pour la durée minimale ou maximale]; et (e) interdit la réutilisation des mots de passe pendant [Affectation : nombre défini par l'organisation] générations. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les comptes d’administrateur de composants sans fil sont configurés dans le service d’authentification et d’autorisation pour appuyer l’authentification axée sur les mots de passe qui (a) applique un mot de passe de complexité minimale [Affectation : exigences définies par l’organisation concernant la sensibilité à la casse, le nombre de caractères, la combinaison minuscules-majuscules, les lettres minuscules, les chiffres et les caractères spéciaux, y compris les exigences minimales pour chaque type]; (b) applique au minimum [Affectation : nombre de caractères modifiés défini par l’organisation] lors de la création de nouveaux mots de passe; (c) chiffre les mots de passe stockés et en transit; (d) applique les restrictions minimales et maximales de durée des mots de passe, soit [Affectation : nombre défini par l’organisation pour la durée minimale ou maximale]; et (e) interdit la réutilisation des mots de passe pendant [Affectation : nombre défini par l’organisation] générations. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| IA-5 Gestion des authentifiants |
IA-5-2 Authentification axée sur l'ICP – Le système : (a) valide les certificats en créant un chemin de certification avec l'information d'état vers un point d'ancrage de confiance autorisé; (b) applique la procédure d'accès autorisé à la clé privée correspondante; et (c) associe l'identité authentifiée au compte de l'utilisateur. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service ICP, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : L’authentification basée sur l’ICP est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et prise en charge par le service ICP pour (a) valider les certificats en créant un chemin de certification avec l’information d’état vers un point d’ancrage de confiance autorisé; (b) appliquer la procédure d’accès autorisé à la clé privée correspondante; et (c) associer l’identité authentifiée au compte de l’utilisateur. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| IA-6 Rétroaction d'authentification |
IA-6-A Le système d'information obscure les rétroactions d'information durant le processus d'authentification afin de protéger l'information contre de possibles exploitations ou utilisations par des personnes non autorisées. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : L’authentification appliquée dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité occulte l’information sur la rétroaction d’authentification durant le processus d’authentification. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| IA-7 Authentification des modules cryptographiques |
IA-7-A Le système d'information utilise des mécanismes d'authentification auprès d'un module cryptographique qui satisfont à l'orientation du CSTC en matière d'authentification. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les méthodes d’authentification sont configurées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction de connexion des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Ces méthodes répondent aux exigences des conseils concernés du CSTC en matière d’authentification auprès d’un module cryptographique. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités puisque leurs comptes exigent un niveau de sécurité inférieur à ceux des administrateurs de composants sans fil.
|
S |
| IA-8 Identification et authentification (utilisateurs non organisationnels) |
IA-8-A Le système d'information identifie de façon unique et authentifie les utilisateurs non organisationnels (ou les processus exécutés en leur nom). |
Point(s) de mise en œuvre : Passerelle d’authentification
Description : Les utilisateurs sans fil invités doivent réussir à s’authentifier auprès de la passerelle d’authentification avec des justificatifs d’identité de compte temporaire avant que leurs dispositifs mobiles soient autorisés à se connecter aux réseaux SCNet/Internet.
|
S |
| MA-4 Télémaintenance |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle qui n’offre pas de soutien pour les activités de télémaintenance et de télédiagnostic. |
- |
| SC-2 Partitionnement des applications |
SC-2-A Le système d'information sépare la fonctionnalité utilisateur (y compris les services d'interface utilisateur) de la fonctionnalité de gestion du système d'information. |
Point(s) de mise en œuvre : Service réseau
Description : Le réseau ministériel inclut une sous-zone de gestion mise en place par le service réseau pour séparer les services d’utilisateurs et de gestion.
|
C |
| SC-2 Partitionnement des applications |
SC-2-1 Le système d'information empêche la présentation de la fonctionnalité liée à la gestion du système d'information à une interface pour les utilisateurs généraux (c.-à-d. non privilégiés). |
Point(s) de mise en œuvre : Points d’accès, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les points d’accès, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité empêchent l’affichage d’information sur la fonction de gestion des systèmes d’information à tout point d’interface auquel ont accès les utilisateurs sans fil invités.
|
S |
| SC-3 Isolement des fonctions de sécurité |
SC-3-A Le système d'information isole les fonctions de sécurité des autres fonctions. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité isolent les fonctions de sécurité des autres fonctions.
|
S |
| SC-3 Isolement des fonctions de sécurité |
SC-3-1 Le système d'information recoure à des mécanismes sous-jacents de séparation matérielle pour faciliter l'isolement des fonctions de sécurité. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité recourent à des mécanismes sous-jacents de séparation matérielle pour faciliter l’isolement des fonctions de sécurité.
|
S |
| SC-3 Isolement des fonctions de sécurité |
SC-3-2 Le système isole, à la fois des autres fonctions de sécurité et des fonctions non liées à la sécurité, les fonctions de sécurité appliquant le contrôle de l'accès et du flux d'information. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité isolent, à la fois des autres fonctions de sécurité et des fonctions non liées à la sécurité, les fonctions de sécurité qui appliquent le contrôle de l’accès Contrôle permettant de garantir que seules les entités autorisées ont accès aux actifs (physiques et électroniques). Pour ce qui concerne les actifs physiques, le contrôle de l'accès peut s'appliquer aux installations ou aux zones d'accès limité (p. ex. filtrage des visiteurs et du matériel aux points d'entrée, escorte accompagnant les visiteurs). Pour ce qui concerne les actifs de TI, le contrôle de l'accès peut s'appliquer aux réseaux, aux systèmes ou à l'information (p. ex. restreindre le nombre des utilisateurs de certains systèmes ou limiter les autorisations d'accès attribuées à certains comptes).
et du flux d’information.
|
S |
| SC-3 Isolement des fonctions de sécurité |
SC-3-3 L'organisation recoure à un périmètre d'isolation du système d'information pour réduire le nombre de fonctions non liées à la sécurité partageant le même périmètre que les fonctions de sécurité. |
Point(s) de mise en œuvre : Service réseau et périmètre d’utilisateur sans fil invité
Description : Les dispositifs mobiles d’utilisateur sans fil invité sont limités à la zone d’utilisateur sans fil invité établie par le service réseau et au périmètre d’utilisateur sans fil invité. La zone d’utilisateur sans fil invité isole les utilisateurs sans fil invités des fonctions de sécurité du réseau ministériel.
|
S |
| SC-3 Isolement des fonctions de sécurité |
SC-3-4 L'organisation applique les fonctions de sécurité sous forme de modules essentiellement indépendants qui évitent toute interaction inutile entre eux. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité appliquent les fonctions de sécurité sous forme de modules essentiellement indépendants qui évitent toute interaction inutile entre eux.
|
S |
| SC-3 Isolement des fonctions de sécurité |
SC-3-5 L'organisation applique les fonctions de sécurité dans une structure en couches qui permet de réduire les interactions entre les couches de la conception et d'éviter que les couches inférieures soient assujetties au bon fonctionnement des couches supérieures ou de leurs fonctions. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité appliquent les fonctions de sécurité dans une structure en couches qui permet de réduire les interactions entre les couches de la conception et d’éviter que les couches inférieures soient assujetties au bon fonctionnement des couches supérieures ou de leurs fonctions.
|
S |
| SC-4 Information contenue dans les ressources partagées |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisqu’il ne fait pas appel à l’utilisation de ressources système partagées. |
- |
| SC-5 Protection contre les dénis de service |
SC-5-A Le système d'information protège contre les types d'attaques par déni de service suivants ou en limite les effets : [Affectation : liste définie par l'organisation des types d'attaques par déni de service ou renvoi à la source de la liste actuelle]. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les attaques par déni de service [Affectation : liste définie par l’organisation des types d’attaques par déni de service ou renvoi à la source de la liste actuelle] dans la zone d’utilisateur sans fil invité tandis que le service SDI surveille ce même type d'attaque [Affectation : liste définie par l’organisation des types d’attaques par déni de service ou renvoi à la source de la liste actuelle] dans le reste du réseau ministériel.
|
S |
| SC-5 Protection contre les dénis de service |
SC-5-1 Le système d'information limite la capacité des utilisateurs de lancer des attaques par déni de service contre d'autres systèmes d'information ou réseaux. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les attaques par déni de service provenant de la zone d’utilisateur sans fil invité tandis que le service SDI surveille ce même type d'attaque en provenance du reste du réseau ministériel.
|
S |
| SC-5 Protection contre les dénis de service |
SC-5-2 Le système d'information gère l'excédent de capacité et de largeur de bande, ou toute autre redondance, afin de limiter les effets d'attaques par déni de service de types inondation d'information. |
Point(s) de mise en œuvre : Service réseau
Description : Les routeurs du service réseau permettent l’attribution de seuils de volume de trafic par types de trafic réseau pour limiter les effets des attaques par déni de service de types inondation d’information.
|
C |
| SC-6 Priorité des ressources |
SC-6-A Le système d'information limite l'utilisation des ressources selon leur priorité. |
Point(s) de mise en œuvre : Service réseau
Description : Les routeurs du service réseau permettent l’attribution de seuils de volume de trafic par types de trafic réseau pour limiter l’utilisation des ressources selon la priorité associée aux types de trafic.
|
C |
| SC-7 Protection des frontières |
SC-7-A Le système d'information surveille et contrôle les communications à sa frontière externe et à ses principales frontières internes. |
Point(s) de mise en œuvre : Service réseau et périmètre d’utilisateur sans fil invité.
Description : Les périmètres utilisés pour mettre en œuvre les zones du réseau ministériel (incluant le périmètre d’utilisateur sans fil invité) surveillent et contrôlent les communications à sa frontière externe et à ses principales frontières internes.
|
S |
| SC-7 Protection des frontières |
SC-7-B Le système d'information se connecte aux réseaux ou aux systèmes d'information externes uniquement par des interfaces gérées qui sont dotées de mécanismes de protection des frontières répartis conformément à l'architecture de sécurité de l'organisation. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité négocie les accès entre les réseaux publics et la zone des utilisateurs sans fil invités.
|
S |
| SC-7 Protection des frontières |
SC-7-1 L'organisation attribue physiquement les composants de système d'information accessibles au public pour séparer les sous-réseaux par des interfaces réseau physiques distinctes. |
Point(s) de mise en œuvre : Service réseau
Description : Les composants de système d’information accessibles au public se trouvent dans la zone d’accès public créée par le service réseau.
|
C |
| SC-7 Protection des frontières |
SC-7-2 Le système d'information empêche tout accès public aux réseaux internes de l'organisation sauf dans le cas où l'accès est négocié de manière appropriée par des interfaces gérées dotées de dispositifs de protection des frontières. |
Point(s) de mise en œuvre : Service réseau et périmètre d’utilisateur sans fil invité.
Description : Les périmètres utilisés pour mettre en œuvre les zones du réseau ministériel (incluant le périmètre d’utilisateur sans fil invité) surveillent et contrôlent les communications à sa frontière externe et à ses principales frontières internes. Ces périmètres empêchent l’accès public aux réseaux internes du ministère.
|
S |
| SC-7 Protection des frontières |
SC-7-3 L'organisation limite le nombre de points d'accès au système d'information afin d'exercer une meilleure surveillance des communications entrantes et sortantes et du trafic réseau. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Les points d’accès des utilisateurs sans fil invités sont limités à la zone d’utilisateur sans fil invité.
|
S |
| SC-7 Protection des frontières |
SC-7-4 L’organisation : (a) applique une interface gérée à chaque service de télécommunications externe; (b) établit une politique de flux de trafic pour chaque interface gérée; (c) utilise des contrôles de sécurité selon les besoins pour protéger la confidentialité et l'intégrité de l'information transmise; (d) documente chaque exception à la politique de flux de trafic en précisant le besoin de la mission ou de l'activité opérationnelle donnant lieu à l'exception et la durée de ce besoin; (e) examine les exceptions à la politique de flux de trafic [Affectation : fréquence définie par l'organisation]; et (f) supprime les exceptions à la politique de flux de trafic qui ne sont plus justifiées par un besoin explicite de la mission ou d'une activité opérationnelle. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’accèdent pas à de l’information dans le réseau ministériel.
|
S |
| SC-7 Protection des frontières |
SC-7-5 Le système d'information, au niveau des interfaces gérées, interdit tout trafic réseau par défaut et ne l'autorise qu'exceptionnellement (c.-à-d. interdit tout trafic, permet le trafic par exception). |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité interdit tout trafic réseau par défaut et ne l’autorise qu’exceptionnellement.
|
S |
| SC-7 Protection des frontières |
SC-7-6 L'organisation empêche toute diffusion d'information non autorisée hors des frontières du système d'information ou toute communication non autorisée à travers les frontières du système d'information en cas de défaillance opérationnelle des mécanismes de protection des frontières. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité tombe à l'état ouvert (c.-à-d. interdit toute communication) pour empêcher toute diffusion non autorisée d’information.
|
S |
| SC-7 Protection des frontières |
SC-7-7 Le système d'information empêche les dispositifs distants, qui ont établi une connexion non distante avec le système, de communiquer à l'extérieur de cette voie de communication avec des ressources de réseaux externes. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet.
|
S |
| SC-7 Protection des frontières |
SC-7-8 Le système d'information achemine [Affectation : trafic de communications interne défini par l'organisation] vers [Affectation : réseaux externes définis par l'organisation] à travers des serveurs mandataires authentifiés dans les interfaces gérées des dispositifs de protection des frontières. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet. Les communications d’utilisateur sans fil invité ne sont pas des communications internes du réseau ministériel.
|
S |
| SC-7 Protection des frontières |
SC-7-9 Le système d'information, au niveau des interfaces gérées, interdit le trafic réseau et vérifie les utilisateurs internes (ou le code malveillant) qui représentent une menace pour les systèmes d'information externes. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications de dispositif mobile de manière à ce qu’elles accèdent uniquement aux réseaux SCNet/Internet.
|
S |
| SC-7 Protection des frontières |
SC-7-10 L'organisation empêche l'exfiltration d'information non autorisée à travers les interfaces gérées. |
Point(s) de mise en œuvre : S.O.
Description : Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil invités qui n’accèdent pas à de l’information dans le réseau ministériel.
|
- |
| SC-7 Protection des frontières |
SC-7-11 Le système d'information vérifie les communications entrantes pour s'assurer qu'elles proviennent d'une source autorisée et qu'elles sont acheminées vers une destination autorisée. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité contrôle les communications entrantes et sortantes de la zone d’utilisateur sans fil invité en tenant compte des ports TCP/IP et des adresses IP source et de destination.
|
S |
| SC-7 Protection des frontières |
SC-7-12 Le système d'information applique des mécanismes de protection des frontières intégrés à l'hôte pour les serveurs, les postes de travail et les dispositifs mobiles. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Des mécanismes de protection des frontières intégrés à l’hôte sont appliqués aux capteurs, aux points d’accès, aux commutateurs, à la passerelle d’authentification et aux composants de périmètre d’utilisateur sans fil invité.
|
S |
| SC-7 Protection des frontières |
SC-7-13 L'organisation isole les [Affectation : outils, mécanismes et composants de soutien clés de sécurité de l'information définis par l'organisation] des autres composants internes du système d'information au moyen de sous-réseaux physiques distincts dotés d'interfaces gérées tournées vers les autres parties du système. |
Point(s) de mise en œuvre : Service réseau et périmètre d’utilisateur sans fil invité.
Description : Les périmètres utilisés pour mettre en œuvre les zones du réseau ministériel (incluant le périmètre d’utilisateur sans fil invité) isolent les [Affectation : outils, mécanismes et composants de soutien clés de sécurité de l’information définis par l’organisation] des autres composants internes du système d’information.
|
S |
| SC-7 Protection des frontières |
SC-7-15 Le système d'information achemine tous les accès réseau privilégiés à travers une interface gérée spécialisée aux fins de contrôle des accès et de vérification. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité incluent une interface réseau de gestion distincte reliée à la sous-zone de gestion. Cette interface est utilisée pour permettre à l’administrateur interne d’accéder aux composants et pour appuyer le contrôle d’accès et la vérification à des fins administratives.
|
S |
| SC-7 Protection des frontières |
SC-7-16 Le système d'information empêche la découverte des composants de système particuliers (ou dispositifs) d'une interface gérée. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité incluent une interface réseau de gestion distincte reliée à la sous-zone de gestion. Cette interface ignore les outils ou techniques de détection Surveillance et analyse des événements d'un système en vue de relever les tentatives d’accès non autorisées aux ressources du système.
de réseau non autorisés.
|
S |
| SC-7 Protection des frontières |
SC-7-17 L'organisation utilise des mécanismes automatisés pour imposer le respect rigoureux des formats de protocole. |
Point(s) de mise en œuvre : Service réseau
Description : Le service réseau prévoit des zones et des sous-zones qui permettent de séparer les composants dans le réseau ministériel selon les politiques de sécurité concernées. Les composants de périmètre qui séparent les zones et les sous-zones imposent un respect rigoureux du format du protocole et interdisent toute communication qui ne s’y conforme pas.
|
C |
| SC-7 Protection des frontières |
SC-7-18 Le système d'information passe en mode de fonctionnement à sécurité intégrée (fail secure) dans l'éventualité d'une défaillance opérationnelle d'un dispositif de protection des frontières. |
Point(s) de mise en œuvre : Service réseau et périmètre d’utilisateur sans fil invité.
Description : Le service réseau et le périmètre d’utilisateur sans fil invité offrent des zones et des sous-zones qui permettent de séparer les composants dans le réseau ministériel selon les politiques de sécurité concernées. Les composants de périmètre qui séparent les zones et les sous-zones cessent de fonctionner de manière sécuritaire et interdisent toute communication durant leur état d’échec.
|
C |
| SC-8 Intégrité des transmissions |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’est pas responsable de la sécurité des communications d’utilisateur sans fil invité. |
- |
| SC-9 Confidentialité des transmissions |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’est pas responsable de la sécurité des communications d’utilisateur sans fil invité. |
- |
| SC-10 Déconnexion réseau |
SC-10-A Le système d'information met un terme à toute connexion réseau associée à une session de communications à la fin de la session ou après [Affectation : durée définie par l'organisation] d'inactivité. |
Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil invité
Description : Le périmètre d’utilisateur sans fil invité est configuré de manière à interrompre les connexions réseau à la fin d’une session ou après [Affectation : période définie par l’organisation] d’inactivité.
|
S |
| SC-11 Chemin de confiance |
SC-11-A Le système d'information établit une voie de communication de confiance entre l'utilisateur et les fonctions de sécurité de système suivantes : [Affectation : fonctions de sécurité définies par l'organisation et incluant, au minimum, l'authentification et la réauthentification du système d'information]. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les administrateurs de composants sans fil accèdent aux capteurs, aux points d’accès, aux commutateurs, à la passerelle d’authentification et aux composants de périmètre d’utilisateur sans fil invité depuis leurs postes de travail situés dans la sous-zone de gestion créée par le service réseau. Les politiques sur les flux d’information appliquées dans la zone d’accès restreint et la zone de travail font en sorte que les [Affectation : fonctions de sécurité définies par l’organisation et incluant, au minimum, l’authentification et la réauthentification du système d’information] peuvent seulement être exécutées depuis les postes de travail d’administrateur interne situés dans la sous-zone de gestion. Le chemin entre les administrateurs internes et les composants sans fil est par conséquent fiable.
|
S |
| SC-12 Établissement et gestion des clés cryptographiques |
SC-12-A L'organisation établit et gère les clés cryptographiques utilisées pour les opérations de cryptographie requises dans le système d'information. |
Point(s) de mise en œuvre : Service ICP
Description : Le service ICP établit et gère les clés cryptographiques utilisées pour les opérations de cryptographie Étude des techniques permettant de chiffrer l’information pour la rendre inintelligible ou de rendre lisible une information chiffrée.
requises dans le système d’information.
|
C |
| SC-12 Établissement et gestion des clés cryptographiques |
SC-12-2 L'organisation produit, contrôle et distribue des clés cryptographiques symétriques à l'aide d'une technologie et de processus de gestion des clés approuvés par le CSTC. |
Point(s) de mise en œuvre : Service ICP
Description : Le service ICP produit, contrôle et distribue des clés cryptographiques symétriques à l’aide d’une technologie et de processus de gestion des clés approuvés par le CSTC.
|
C |
| SC-12 Établissement et gestion des clés cryptographiques |
SC-12-3 L'organisation produit, contrôle et distribue des clés cryptographiques symétriques et asymétriques à l'aide d'une technologie et de processus de gestion des clés approuvés par le CSTC. |
Point(s) de mise en œuvre : Service ICP
Description : Le service ICP produit, contrôle et distribue des clés cryptographiques symétriques et asymétriques à l’aide d’une technologie et de processus de gestion des clés approuvés par le CSTC.
|
C |
| SC-12 Établissement et gestion des clés cryptographiques |
SC-12-4 L'organisation produit, contrôle et distribue des clés cryptographiques asymétriques à l'aide de certificats approuvés d'assurance de niveau moyen ou de matériel de chiffrement préplacé. |
Point(s) de mise en œuvre : Service ICP
Description : Le service ICP produit, contrôle et distribue des clés cryptographiques asymétriques à l’aide de certificats ICP approuvés de classe 3 ou de matériel de chiffrement préplacé.
|
C |
| SC-12 Établissement et gestion des clés cryptographiques |
SC-12-5 L'organisation produit, contrôle et distribue des clés cryptographiques asymétriques à l'aide de certificats approuvés d'assurance de niveau moyen ou élevé et des jetons de sécurité matériels qui protègent la clé privée de l'utilisateur. |
Point(s) de mise en œuvre : Service ICP
Description : Le service ICP produit, contrôle et distribue des clés cryptographiques asymétriques à l’aide de certificats ICP approuvés de classe 3 ou 4 et des jetons de sécurité matériels qui protègent la clé privée de l’utilisateur.
|
C |
| SC-13 Utilisation de la cryptographie |
S.O. |
Ce contrôle de sécurité ne s’applique pas au scénario d’utilisation opérationnelle puisque le ministère n’est pas responsable de sécuriser l’information transmise par les utilisateurs sans fil invités. |
- |
| SC-14 Protection de l'accès public |
S.O. |
Ce contrôle de sécurité ne s’applique pas au scénario d’utilisation opérationnelle, qui ne couvre pas la protection de l’intégrité et de la disponibilité de l’information et des applications offertes au public. |
- |
| SC-16 Transmission des attributs de sécurité |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle. L’échange d’information et les attributs de sécurité qui lui sont associés entre les différents systèmes d’information (c.-à-d. le réseau ministériel et certains autres systèmes d’information) ne sont pas pris en charge par le scénario d’utilisation opérationnelle. |
- |
| SC-18 Code mobile |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’est pas responsable de la sécurité des communications d’utilisateur sans fil invité ou de l’information qu’elles traitent ou stockent. |
- |
| SC-20 Service sécurisé de résolution de nom ou d'adresse (source autorisée) |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’offre pas de services DNS pour les utilisateurs sans fil invités. Les dispositifs mobiles sont plutôt configurés à l’aide du protocole DHCP par le service réseau avec des adresses IP pour les serveurs DNS publics principal et secondaire.Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’offre pas de services DNS pour les utilisateurs sans fil invités. Les dispositifs mobiles sont plutôt configurés à l’aide du protocole DHCP par le service réseau avec des adresses IP pour les serveurs DNS publics principal et secondaire. |
- |
| SC-21 Service sécurisé de résolution de nom ou d'adresse (résolveur récursif ou cache) |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’offre pas de services DNS pour les utilisateurs sans fil invités. Les dispositifs mobiles sont plutôt configurés à l’aide du protocole DHCP par le service réseau avec des adresses IP pour les serveurs DNS publics principal et secondaire. |
- |
| SC-22 Architecture et fourniture de service de résolution de nom ou d'adresse |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’offre pas de services DNS pour les utilisateurs sans fil invités. Les dispositifs mobiles sont plutôt configurés à l’aide du protocole DHCP par le service réseau avec des adresses IP pour les serveurs DNS publics principal et secondaire. |
- |
| SC-23 Authenticité des sessions |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque le ministère n’est pas responsable de la sécurité des communications d’utilisateur sans fil invité. |
- |
| SC-24 Défaillance dans un état connu |
SC-24-A Le système d'information tombe à l'état [Affectation : état connu défini par l'organisation] pour [Affectation : types de défaillance définis par l'organisation] et conserve [Affectation : information sur l'état du système définie par l'organisation] durant la défaillance. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateur sans fil et périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, le commutateur sans fil et le périmètre d’utilisateur sans fil invité tombent à l’état [Affectation : état connu défini par l’organisation] pour [Affectation : types de défaillance définis par l’organisation] et conserve [Affectation : information sur l’état du système définie par l’organisation] durant la défaillance.
|
S |
| SC-25 Noeuds légers |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas puisque l’utilisation de nœuds légers n’est pas prise en charge par le scénario d’utilisation opérationnelle. |
- |
| SC-26 Pièges à pirates |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas puisque l’utilisation de pièges à pirates n’est pas prise en charge par le scénario d’utilisation opérationnelle. |
- |
| SC-27 Applications indépendantes des systèmes d'exploitation |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas au scénario d’utilisation opérationnelle puisque les utilisateurs sans fil invités n’accèdent à aucune application ministérielle. |
- |
| SC-28 Protection de l'information inactive |
|
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas au scénario d’utilisation opérationnelle puisque le ministère n’est pas responsable de la sécurité de l’information inactive des utilisateurs sans fil invités. |
- |
| SC-29 Hétérogénéité |
SC-29-A L'organisation utilise diverses technologies de l'information pour la mise en œuvre du système d'information. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateur sans fil et périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs sans fil et le périmètre d’utilisateur sans fil invité sont mis en œuvre en utilisant différentes technologies de l’information. Cette approche peut ne pas convenir lorsque les composants sans fil sont achetés d’un même fournisseur pour faciliter leur intégration mutuelle.
|
S |
| SC-30 Techniques de virtualisation |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle puisque les utilisateurs sans fil invités n’accèdent à aucun service ministériel qui doit être protégé par des techniques de virtualisation. |
- |
| SC-32 Partitionnement des systèmes d'information |
SC-32-A L'organisation partitionne au besoin le système d'information en composants hébergés dans des domaines (ou environnements) physiques distincts. |
Point(s) de mise en œuvre : Service réseau
Description : Le service réseau et le périmètre d’utilisateur sans fil invité créent des zones et des sous-zones qui servent à séparer les composants dans le réseau ministériel en fonction de leurs politiques de sécurité.
|
C |
| SC-33 Intégrité de la préparation des transmissions |
S.O. |
Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas au scénario d’utilisation opérationnelle puisque le ministère n’est pas responsable de la sécurité des communications d’utilisateur sans fil invité. |
- |
| SC-34 Programmes exécutables non modifiables |
SC-34-A Le système d'information, au niveau de [Affectation : composants de système d'information définies par l'organisation], charge et exécute l'environnement d'exploitation à partir de supports non inscriptibles mis en œuvre par matériel. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité identifiés dans [Affectation : composants de système d’information définis par l’organisation] chargent et exécutent leur environnement d’exploitation à partir de supports matériels non inscriptibles.
|
S |
| SC-34 Programmes exécutables non modifiables |
SC-34-B Le système d'information, au niveau de [Affectation : composants de système d'information définis par l'organisation], charge et exécute [Affectation : applications définies par l'organisation] à partir de supports non inscriptibles mis en œuvre par matériel. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité identifiés dans [Affectation : composants de système d’information définis par l’organisation] chargent et exécutent [Affectation : applications définies par l’organisation] à partir de supports matériels non inscriptibles.
|
S |
| SC-34 Programmes exécutables non modifiables |
SC-34-1 L'organisation utilise [Affectation : composants de système d'information définis par l'organisation] avec des dispositifs de stockage qui demeurent non inscriptibles à chaque redémarrage du composant ou lors des mises sous tension et hors tension. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité identifiés dans [Affectation : composants de système d’information définis par l’organisation] sont configurés avec des dispositifs de stockage qui demeurent non inscriptibles à chaque redémarrage du composant ou lors des mises sous tension et hors tension.
|
S |
| SC-100 Authentification de la source |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque le ministère n’est pas responsable de protéger l’information transmise, traitée ou stockée par les utilisateurs sans fil invités, incluant l’authentification de la source des messages. |
- |
| SC-101 Systèmes de télécommunications non classifiés dans les installations sécurisées |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas, puisque l’utilisation de systèmes de télécommunications n’est pas prise en charge par le scénario d’utilisation opérationnelle. |
- |
| SI-2 Correction des défauts |
SI-2-1 L'organisation centralise la gestion du processus de correction des défauts et installe les mises à jour logicielles automatiquement. |
Point(s) de mise en œuvre : Service de remédiation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement des rustines logicielles des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité qui lui sont compatibles.
|
S |
| SI-2 Correction des défauts |
SI-2-2 L'organisation utilise des mécanismes automatisés [Affectation : fréquence définie par l'organisation] pour déterminer l'état des composants du système d'information en ce qui concerne la correction des défauts. |
Point(s) de mise en œuvre : Service de remédiation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement des rustines logicielles des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité qui lui sont compatibles.
|
S |
| SI-2 Correction des défauts |
SI-2-4 L'organisation utilise des outils automatisés de gestion des correctifs pour faciliter la correction des défauts des [Affectation : composants du système d'information définis par l'organisation]. |
Point(s) de mise en œuvre : Service de remédiation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement des rustines logicielles des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité qui lui sont compatibles.
|
S |
| SI-3 Protection contre les codes malveillants |
|
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque le ministère n’est pas responsable de la sécurité de l’information des utilisateurs sans fil invités. |
- |
| SI-4 Surveillance des systèmes d'information |
SI-4-A L'organisation surveille les événements liés au système d'information conformément à [Affectation : objectifs de surveillance définis par l'organisation] et détecte les attaques contre le système. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les événements conformément à [Affectation : objectifs de surveillance définis par l’organisation] et détecte les attaques contre le système.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-C L'organisation déploie dans le système d'information des dispositifs de surveillance à la fois (a) stratégiquement pour collecter l'information qu'elle juge essentielle et (b) de manière aléatoire pour faire le suivi des types de transaction qui l'intéressent particulièrement. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), assure une capacité de surveillance dans la zone d’utilisateur sans fil invité tandis que le service SDI offre la même capacité dans le reste du réseau ministériel.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-1 L'organisation utilise des protocoles communs pour interconnecter et configurer les outils individuels de détection d'intrusion en un système unique. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), s’intègre au service SDI pour offrir un système global de détection d’intrusions.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-2 L'organisation utilise des outils automatisés pour prendre en charge l'analyse des événements en temps quasi réel. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), assure une analyse en temps quasi réel des événements dans la zone d’utilisateur sans fil invité tandis que le service SDI offre le même service dans le reste du réseau ministériel.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-3 L'organisation utilise des outils automatisés pour intégrer les outils de détection d'intrusion aux mécanismes de contrôle d'accès et de flux afin de permettre la reconfiguration de ces mécanismes en vue d'isoler et d'éliminer rapidement les attaques. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et périmètre d’utilisateur sans fil invité.
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), s’intègre au périmètre d’utilisateur sans fil invité pour assurer le contrôle du flux d’information en vue d’isoler et d’éliminer les attaques.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-4 Le système d'information surveille les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et périmètre d’utilisateur sans fil invité.
Description : Le service SDISF, incluant ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le périmètre d’utilisateur sans fil invité surveillent les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-5 Le système d'information produit des alertes en temps quasi réel lorsque les indications de compromission réelle ou potentielle suivantes se présentent : [Affectation : liste des indicateurs de compromission définie par l'organisation]. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI
Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), détectent les événements dans la zone d’utilisateur sans fil invité et produisent des alertes en temps réel lorsque les indications de compromission réelle ou potentielle suivantes se présentent : [Affectation : liste des indicateurs de compromission définie par l’organisation].
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-6 Le système d'information empêche les utilisateurs non privilégiés de contourner les capacités de détection et de prévention des intrusions. |
Point(s) de mise en œuvre : S.O.
Description : Les utilisateurs sans fil invités n’ont pas accès au réseau ministériel et ne peuvent donc contourner les capacités de détection et de prévention d’intrusions.
|
- |
| SI-4 Surveillance des systèmes d'information |
SI-4-7 Le système d'information informe [Affectation : liste définie par l'organisation des employés (identifiés par nom ou rôle) chargés d'intervenir en cas d'incident] des événements suspects et prend les [Affectation : liste définie par l'organisation des mesures les moins perturbatrices visant à mettre fin aux événements suspects]. |
Point(s) de mise en œuvre : Service SDISF, points d’accès sans fil, capteurs, service SDI et service de vérification.
Description : Le service SDISF (incluant les capteurs (SDISF en mode recouvrement) ou les points d’accès (SDISF en mode intégré)), le service SDI et le service de vérification informent [Affectation : liste définie par l’organisation des employés (identifiés par nom ou rôle) chargés d’intervenir en cas d’incident] des événements suspects et prend les [Affectation : liste définie par l’organisation des mesures les moins perturbatrices visant à mettre fin aux événements suspects].
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-8 L'organisation protège l'information obtenue des outils de surveillance des intrusions contre tout accès non autorisé et toute modification et suppression. |
Point(s) de mise en œuvre : Service d’authentification et d’autorisation, Service SDISF et service SDI.
Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès des services SDISF et SDI. Elles font en sorte que l’information obtenue des outils de surveillance des intrusions est protégée contre les accès, les modifications et les suppressions non autorisés.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-10 L'organisation prend les mesures nécessaires pour rendre le trafic chiffré visible aux outils de surveillance du système d'information. |
Point(s) de mise en œuvre : S.O.
Description : Le ministère n’a aucun contrôle sur les communications d’utilisateur sans fil invité et ne peut faire en sorte que le service SDISF puisse prendre connaissance du trafic chiffré.
|
- |
| SI-4 Surveillance des systèmes d'information |
SI-4-11 L'organisation analyse le trafic des communications sortantes à la frontière externe du système (c.-à-d. à son périmètre) et, le cas échéant, à certains de ses points intérieurs (p. ex. sous-réseaux, sous-systèmes) pour découvrir des anomalies. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et périmètre d’utilisateur sans fil invité.
Description : Le service SDISF, incluant ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le périmètre d’utilisateur sans fil invité surveillent les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-12 L'organisation utilise des mécanismes automatisés pour alerter le personnel de sécurité des répercussions potentielles des activités inhabituelles ou inappropriées suivantes : [Affectation : liste définie par l'organisation des activités inhabituelles ou inappropriées qui déclenchent des alertes]. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès, service SDI et service de vérification.
Description : Le service SDISF, incluant ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), le service SDI et le service de vérification alertent le personnel de sécurité des répercussions potentielles des activités inhabituelles ou inappropriées suivantes : [Affectation : liste définie par l’organisation des activités inhabituelles ou inappropriées qui déclenchent des alertes].
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-13 L’organisation : (a) analyse le trafic des communications ou la tendance des événements pour le système d'information; (b) développe des profils représentant les modèles de trafic ou les événements communs; et (c) Utilise les profils pour calibrer les dispositifs de surveillance afin de réduire le nombre de faux positifs à [Affectation : mesure des faux positifs définie par l'organisation] et le nombre de faux négatifs à [Affectation : mesure des faux négatifs définie par l'organisation]. |
Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI.
Description : Le service SDISF, incluant ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le service SDI analysent le trafic des communications ou la tendance des événements pour le système d’information; (b) développent des profils représentant les modèles de trafic ou les événements communs; et (c) utilisent les profils pour calibrer les dispositifs de surveillance afin de réduire le nombre de faux positifs à [Affectation : mesure des faux positifs définie par l’organisation] et le nombre de faux négatifs à [Affectation : mesure des faux négatifs définie par l’organisation].
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-14 L'organisation utilise un système de détection d'intrusions sans fil pour identifier les dispositifs sans fil indésirables et détecter les tentatives d'attaque et les compromissions ou infractions potentielles liées au système d'information. |
Point(s) de mise en œuvre : Service SDISF, capteurs et points d’accès.
Description : Le service SDISF, incluant ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), identifie les dispositifs sans fil indésirables et détecter les tentatives d’attaque et les compromissions ou infractions potentielles liées au système d’information.
|
S |
| SI-4 Surveillance des systèmes d'information |
SI-4-15 L'organisation utilise un système de détection d'intrusions pour surveiller le trafic de communications sans fil lorsqu'il passe d'un réseau sans fil à un réseau filaire. |
Point(s) de mise en œuvre : Service SDISF, points d’accès sans fil, capteurs et service SDI.
Description : Le service SDISF (incluant ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré)), et le service SDI surveillent le trafic de communications sans fil lorsqu’il passe d’un réseau sans fil à un réseau filaire.
|
S |
| SI-6 Vérification de la fonctionnalité de sécurité |
SI-6-A Le système d'information vérifie le bon fonctionnement des fonctions de sécurité [Sélection (un ou plusieurs) : [Affectation : états transitionnels du système définis par l'organisation]; à la demande d'un utilisateur qui possède les privilèges appropriés; périodiquement tous les [Affectation : période définie par l'organisation] et [Sélection (un ou plusieurs): informe l'administrateur de système; arrête le système; redémarre le système; [Affectation : autre(s) mesure(s) définie(s) par l'organisation]] lorsque des anomalies sont relevées. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité vérifient le bon fonctionnement des fonctions de sécurité [Sélection (un ou plusieurs): [Affectation : états transitionnels du système définis par l’organisation]; à la demande d’un utilisateur qui possède les droits appropriés; périodiquement tous les [Affectation : période définie par l’organisation] et [Sélection (un ou plusieurs): informe l’administrateur de système; arrête le système; redémarre le système; [Affectation : autre(s) mesure(s) définie(s) par l’organisation]] lorsque des anomalies sont relevées.
|
S |
| SI-6 Vérification de la fonctionnalité de sécurité |
SI-6-1 Le système d'information fournit des notifications d'échec des tests de sécurité automatisés. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité utilisent des mécanismes automatisés pour fournir des notifications d’échec des tests de sécurité automatisés.
|
S |
| SI-6 Vérification de la fonctionnalité de sécurité |
SI-6-2 Le système d'information offre un soutien automatisé pour la gestion des tests de sécurité distribués. |
Point(s) de mise en œuvre : Capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité vérifient le bon fonctionnement de leurs fonctions de sécurité essentielles et communiquent les résultats de ces tests dans des enregistrements de vérification transmis au service de vérification.
|
S |
| SI-7 Intégrité de l'information et des logiciels |
SI-7-A Le système d'information détecte les changements non autorisés apportés aux logiciels et à l'information. |
Point(s) de mise en œuvre : SGC, SIF, service d’authentification et d’autorisation, service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations d’accès au logiciel, à l’information et aux fonctions sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité. Toute mesure non autorisée est signalée par la fonction de vérification des composants au service de vérification. Le SGC permet de vérifier périodiquement les configurations du logiciel et de l’information des composants et de comparer ces résultats aux configurations approuvées dans le but de détecter tout changement non autorisé. Le SIF permet de détecter les modifications non autorisées aux fichiers des composants dans lesquels on peut installer un agent SIF. Le SGC et le SIF peuvent signaler tout changement inapproprié détecté à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification.
|
S |
| SI-7 Intégrité de l'information et des logiciels |
SI-7-2 L'organisation utilise des outils automatisés qui notifient les employés désignés lors de la découverte d'écarts durant la vérification de l'intégrité. |
Point(s) de mise en œuvre : SGC et SIF.
Description : Le SGC et le SIF peuvent signaler tout changement inapproprié détecté à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification.
|
C |
| SI-7 Intégrité de l'information et des logiciels |
SI-7-3 L'organisation utilise des outils de vérification de l'intégrité gérés centralement. |
Point(s) de mise en œuvre : SGC, SIF et service de vérification.
Description : Le SGC permet de vérifier périodiquement les configurations du logiciel et de l’information des composants et de comparer ces résultats aux configurations approuvées dans le but de détecter tout changement non autorisé. Le SIF permet de détecter les modifications non autorisées aux fichiers des composants dans lesquels on peut installer un agent SIF. Le SGC et le SIF peuvent signaler tout changement inapproprié détecté à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification.
|
C |
| SI-8 Protection antipourriel |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque les utilisateurs sans fil invités n’ont accès à aucun service de courriel ministériel. |
- |
| SI-9 Restrictions relatives à la saisie d'information |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque les utilisateurs sans fil invités n’ont accès à aucun service d’information du réseau ministériel. |
- |
| SI-10 Validation de la saisie d'information |
S.O. |
Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque les utilisateurs sans fil invités n’ont accès à aucun service d’information du réseau ministériel. |
- |
| SI-11 Traitement des erreurs |
SI-11-A Le système d'information identifie les conditions d'erreur potentielles liées à la sécurité. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de signaler au service de vérification toute condition d’erreur potentielle liée à la sécurité.
|
S |
| SI-11 Traitement des erreurs |
SI-11-B Le système d'information produit des messages d'erreur qui fournissent l'information nécessaire sur les mesures correctrices sans révéler [Affectation : information sensible ou potentiellement préjudiciable définie par l'organisation] contenue dans les journaux d'erreurs et les messages administratifs qui pourrait être exploitée par des adversaires. |
Point(s) de mise en œuvre : Service de vérification, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : La fonction de vérification des capteurs, des points d’accès, des commutateurs, de la passerelle d’authentification et des composants de périmètre d’utilisateur sans fil invité permet de configurer le type de messages d’erreur (p. ex. les enregistrements de vérification) communiqués au service de vérification pour fournir l’information nécessaire sur les mesures correctrices sans révéler [Affectation : information sensible ou potentiellement préjudiciable définie par l’organisation] contenue dans les journaux d’erreurs et les messages administratifs qui pourrait être exploitée par des adversaires.
|
S |
| SI-11 Traitement des erreurs |
SI-11-C Le système d'information révèle les messages d'erreur seulement au personnel autorisé. |
Point(s) de mise en œuvre : Service de vérification, service d’authentification et d’autorisation, capteurs, points d’accès, commutateurs, passerelle d’authentification et composants de périmètre d’utilisateur sans fil invité.
Description : Les autorisations d’accès aux données et aux outils de vérification (incluant les messages d’erreur) accordées au personnel autorisé du service de vérification sont configurées dans le service d’authentification et d’autorisation et appliquées par le service de vérification. Les autorisations d’accès du personnel autorisé à vérifier l’information dans les capteurs, les points d’accès, les commutateurs, la passerelle d’authentification et les composants de périmètre d’utilisateur sans fil invité sont configurées dans le service d’authentification et d’autorisation et appliquées par la fonction de contrôle d’accès des composants.
|
S |
