Annexe 2 - Conception de haut niveau – Connexion utilisateur sans fil/réseau câblé (ITSG-41)

Mars 2013

Avant-propos

Le document Annexe 2 – Conception de haut niveau – Connexion utilisateur sans fil/réseau câblé de l’ITSG-41 est un document NON CLASSIFIÉ publié avec l’autorisation du chef du Centre de la sécurité des télécommunications Canada (CSTC).

Les propositions de modifications devraient être envoyées au représentant des Services à la clientèle du CSTC par l’intermédiaire des responsables de la sécurité des TI du ministère.

Les demandes de copies supplémentaires ou de modification de la distribution devraient être soumises au représentant des Services à la clientèle du CSTC.

Pour en savoir plus, prière de communiquer avec les Services à la clientèle de la Sécurité des TI du CSTC, par courriel à l’adresse itsclientservices@cse-cst.gc.ca, ou par téléphone au 613-991-7654.

Date d’entrée en vigueur

La présente publication entre en vigueur le 2013-03-14.

La chef adjointe, Sécurité des TI,

Signé initialement par

Toni Moffa

Table des matières

Avant-propos
Date d’entrée en vigueur
Liste des figures
Liste des tableaux
Liste des abréviations
1 Introduction
2 Conception de haut niveau - Connexion utilisateur sans fil/réseau câblé
3 Références
Remarques

Liste des figures

Figure 1 – ITSG-33, Processus d’application de la sécurité dans les systèmes d’information
Figure 2 – Zones de réseau ministériel
Figure 3 – Services du réseau ministériel
Figure 4 – Connexion non classifiée et de type Protégé A et B d’utilisateur sans fil au réseau câblé
Figure 5 - Connexion classifiée et de type Protégé C d’utilisateur sans fil au réseau câblé
Figure 6 – Types de communications des connexions non classifiées et de type Protégé A et B d’utilisateur sans fil au réseau câblé
Figure 7 – Types de communications des connexions classifiées et de type Protégé C d’utilisateur sans fil au réseau câblé
Figure 8 – Contrôles de sécurité et éléments de contrôle

Liste des tableaux

Tableau 1 – Points de mise en œuvre des connexions utilisateur sans fil/réseau câblé

Liste des abréviations

AES: Advanced Encryption Standard; norme AES
COMSEC: Sécurité des communications
Couche 2: Couche 2 du modèle de l’OSI – Couche liaison de données
Couche 3: Couche 3 du modèle de l’OSI – Couche réseau
CSTC: Centre de la sécurité des télécommunications Canada
DAC: Contrôle d’accès discrétionnaire
DHCP: Protocole DHCP (Dynamic Host Configuration Protocol)
DNS: Service de noms de domaine (Domain Name Service)
DSTI: Directeur de la sécurité des technologies de l’information
EAP: Protocole EAP (Extensible Authentification Protocol)
EAPOL: Protocole EAP pour réseaux locaux (EAPOL)
GC: Gouvernement du Canada
ICP: Infrastructure à clé publique
IEEE: Institute of Electrical and Electronics Engineers
INE: Crypteur réseau en ligne
IP: Protocole IP (Internet Protocol)
LAN: Réseau local
MPLS: Multi-Protocol Label Switching (commutation multiprotocole par étiquette)
NAS: Network-Attached Storage (stockage en réseau)
NIP: Numéro d’identification personnel
OSI: Interconnexion de systèmes ouverts (Open Systems Interconnection)
RADIUS: Protocole RADIUS (Remote Authentification Dial In User Service)
RF: Radiofréquences
SAN: Réseau de stockage SAN (Storage Area Network)
SCNet: Réseau de la Voie de communication protégée
SCT: Secrétariat du Conseil du Trésor
SDCM: Service de défense contre le code malveillant
SDI: Système de détection des intrusions
SDISF: Système de détection d’intrusions sans fil
SGC: Service de gestion des changements
TCP/IP: Protocole TCP/IP (Transmission Control Protocol/Internet Protocol)
TI: Technologie de l’information
WLAN: Réseau local sans fil

1 Introduction

1.1 But

La présente annexe vise à faciliter la spécification de la conception de haut niveau pour assurer le déploiement sécurisé des services de réseau local sans fil (WLAN) en conformité avec la norme 802.11i (802.11) [Référence 1] ^{Note de bas de page 1} de l’Institute of Electrical and Electronics Engineers (IEEE).

Le document inclut une conception de haut niveau de référence qui répond aux besoins du scénario d’utilisation opérationnelle d’utilisateur sans fil connecté à un réseau câblé suivant lequel des employés situés à l’intérieur des périmètres physiques du ministère connectent leurs postes de travail sans fil (portables, assistants numériques. etc.) au réseau ministériel en utilisant les services RL pour accéder aux services d’utilisateur du ministère. Les employés peuvent se connecter aux services RL depuis leur bureau ou en se déplaçant (sans interrompre leur session) dans des endroits du ministère où ces services sont disponibles.

La structure des conseils en matière de sécurité respecte le cadre des activités de gestion des risques liés à la sécurité des technologies de l’information (TI) définies dans le document La gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie – Aperçu (ITSG-33) [Référence 2].

Le présent document doit être utilisé durant les activités de conception de haut niveau, tel qu’illustré dans la Figure 1 de l’ITSG-33, Processus d’application de la sécurité dans les systèmes d’information, définies dans le Processus d’application de la sécurité dans les systèmes d’information (PASSI) (voir le guide ITSG-33, Annexe 2 – Activités de gestion des risques liés à la sécurité des systèmes d’information, pour plus de détails). L’utilisation du document minimise les travaux de développement. Les ministères peuvent suivre les conseils qui s’y trouvent pour développer leur propre conception de haut niveau pour le déploiement des services RL et utiliser les conceptions de haut niveau de référence comme point de départ. Le document inclut des recommandations concernant les points de mise en œuvre des éléments de contrôle techniques dans les conceptions de référence.

Les éléments de contrôle techniques sont déterminés à partir de contrôles de sécurité sélectionnés dans le guide ITSG-33 (Annexe 3 – Catalogue des contrôles de sécurité). Les contrôles de sécurité sont sélectionnés pour :

Répondre aux besoins opérationnels en matière de sécurité du déploiement des services WLAN;
Se conformer aux contrôles de sécurité exigés par le ministère en matière de déploiement des services WLAN.

Figure 1 – ITSG-33, Processus d’application de la sécurité dans les systèmes d’information

Figure 1 – ITSG-33, Processus d’application de la sécurité dans les systèmes d’information

1.2 Auditoire cible

Le présent document s’adresse aux praticiens de la sécurité et des systèmes d’information ainsi qu’aux responsables des activités de gestion des risques liés à la sécurité des TI liées à la conception et à la mise en œuvre des WLAN.

1.3 Structure de la publication

Le présent document fait partie d’une série de documents qui constituent collectivement la suite de publications ITSG-41. Les autres documents de la série sont les suivants :

ITSG-41, Exigences en matière de sécurité des réseaux locaux sans fil [Référence 3]
ITSG-41, Annexe 1 – Conception de haut niveau des points d’accès sans fil du gouvernement [Référence 4]
ITSG-41, Annexe 3 – Conception de haut niveau – Interconnexions de réseaux câblés par un pont sans fil [Référence 5]
ITSG-41, Annexe 4 – Détermination des éléments de contrôle en fonction des contrôles de sécurité [Référence 6]

2 Conception de haut niveau - Connexion utilisateur sans fil/réseau câblé

Cette section présente, dans un premier temps, la conception de haut niveau de référence d’un réseau ministériel type. La conception est ensuite complétée par les services WLAN du scénario d’utilisation opérationnelle de point d’accès sans fil du gouvernement. La section inclut également des recommandations concernant l’endroit où les éléments de contrôle techniques peuvent être appliqués dans la conception de haut niveau de référence. Le processus utilisé pour identifier les éléments de contrôle techniques à partir d’un ensemble approuvé de contrôles de sécurité est décrit à l’Annexe 4.

2.1 Conception de haut niveau de référence du réseau ministériel

La conception de haut niveau de référence du réseau ministériel utilise le concept des zones, tel que décrit dans le guide ITSG-38, Établissement des zones de sécurité dans un réseau – Considérations de conception relatives au positionnement des services dans les zones (ITSG 38) [Référence 7].

Le guide ITSG-38 décrit quatre types principaux de zone : zones publiques, zones d’accès public, zones de travail et zones d’accès restreint. Ces zones sont décrites dans les sous-sections suivantes et illustrées dans la Figure 2 – Zones du réseau ministériel (Figure 2). Un ministère peut utiliser plusieurs zones d’un même type pour séparer des services d’information qui figurent dans un même type de zone, mais dont les exigences en matière de sécurité sont différentes. Par exemple, le ministère peut utiliser deux zones d’accès public distinctes, une pour offrir des services Web publics aux utilisateurs externes de la zone publique qui ne sont pas des employés du ministère, et une pour héberger des services d’accès à distance pour les utilisateurs externes qui sont des employés du ministère (c.-à-d. des utilisateurs d’accès à distance).

Figure 2 – Zones de réseau ministériel

Figure 2 – Zones de réseau ministériel

2.1.1 Zones publiques

Les zones publiques sont des réseaux de communications non ministériels qui ne sont pas exploités par le ministère. Ils incluent le réseau Réseau de la Voie de communication protégée (SCNetE) et tout autre réseau public tel Internet. Les ministères ont normalement une interface directe avec le SCNet, qui utilise la dorsale axée sur la commutation multiprotocole par étiquette (MPLS) pour les interconnexions et offre une voie d’accès à Internet.

2.1.2 Zones d’accès public

Les attaquants qui tentent de compromettre l’hôte d’un réseau ministériel (p. ex. un serveur) ont plus de chance de réussir lorsque l’hôte est connecté directement au protocole Transmission Control Protocol/Internet Protocol (TCP/IP) plutôt que par l’intermédiaire d’un mandataire. Puisque le ministère ne contrôle pas les zones publiques, il n’est donc pas souhaitable de permettre une connectivité TCP/IP directe entre les zones publiques et les hôtes qui offrent les services d’information ministériels. Ainsi, les zones d’accès public illustrées dans la Figure 2 hébergent principalement des services de serveur mandataire et de relais qui permettent de négocier l’accès entre les services d’information du réseau ministériel accessibles de l’extérieur et les zones publiques. Les services d’information offerts dans les zones d’accès public peuvent inclure les services de serveur mandataire de courrier électronique, les services de serveur mandataire de sortie, les services de serveur mandataire d’entrée, les services d’annuaire externes, les services de noms de domaine (DNS) externes et les services d’accès à distance.

2.1.3 Zones de travail

Les zones de travail illustrées dans la Figure 2 hébergent principalement les services d’information auxquels accèdent les utilisateurs internes situés à l’intérieur des frontières de sécurité physique du ministère. Elles hébergent également les services d’information auxquels accèdent les utilisateurs externes situés à l’extérieur des frontières de sécurité physique du ministère dans les zones publiques. Ces services d’information accessibles de l’extérieur sont négociés par les services de serveur mandataire et de relais des zones d’accès public. Les services d’information offerts dans les zones de travail peuvent inclure les services de portail et Web, les services de bureautique, les services de courrier, les services DNS internes, les services de partage de fichiers, les services d’impression, etc. L’information d’utilisateur est traitée dans les zones de travail, mais n’y est pas conservée. Ces zones servent normalement au traitement des données plutôt qu’à leur stockage; les utilisateurs internes sont placés dans leur propre zone de travail. Les communications entre la zone de travail qui héberge les utilisateurs internes et celle qui héberge les services d’utilisateur sont contrôlées par un périmètre d’utilisateur interne.

2.1.4 Zones d’accès restreint

Les zones d’accès restreint illustrées dans la Figure 2 incluent les services de gestion de l’information nécessaires à la tenue à jour des données traitées par les services d’information dans les zones de travail et les zones d’accès elles-mêmes. Ces données peuvent être hébergées en recourant à des technologies de stockage d’entreprise telles les technologies de stockage en réseau (NAS) ou de réseau de stockage (SAN) et sont accessibles aux serveurs de bases de données, aux serveurs de courrier ou aux serveurs de fichiers. Ces zones incluent également les services réseau et de sécurité nécessaires au maintien des opérations et de la sécurité du réseau ministériel. Les différents services de base hébergés dans les zones d’accès restreint, décrits plus en détail ci-dessous, sont illustrés dans la Figure 3 – Services du réseau ministériel :

Service de gestion de l’information : Ce service est responsable du stockage, de la protection et de l’archivage de l’information créée, traitée et stockée dans le réseau ministériel. L’information peut inclure l’information d’utilisateur (p. ex. fichiers, courriels, etc.) ou l’information système (p. ex. fichiers de configuration, fichiers de sauvegarde, images système, enregistrements de vérification, etc.);
Service de sauvegarde et de reprise : Ce service effectue les sauvegardes de l’information d’utilisateur (p. ex. fichiers, courriels, etc.) et de l’information système (p. ex. fichiers de configuration, fichiers de sauvegarde, images système, enregistrements de vérification, etc.) dans le réseau ministériel. Cette information est conservée et mise à la disposition des opérations de reprise (le cas échéant);
Service de réseautage (protocole DHCP (Dynamic Host Configuration Protocol), services de noms de domaine (DNS), horloge, routage, commutation, surveillance): Ce service inclut les commutateurs, les routeurs, les coupe-feu et les serveurs de surveillance réseau nécessaires à l’établissement et au maintien de l’architecture en zones du réseau ministériel. Il inclut également les serveurs DHCP utilisés pour l’attribution des paramètres du protocole IP aux réseaux hôtes, les serveurs DNS utilisés pour les résolutions nom-adresse IP et les serveurs de temps réseau utilisés pour fournir des temps de référence aux réseaux hôtes aux fins de synchronisation des horloges système;
Service d’authentification et d’autorisation : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs internes, les administrateurs internes et, éventuellement, les utilisateurs externes et appliquées dans la fonction de contrôle d’accès des services du réseau ministériel auxquels ils ont accès. Le service d’authentification et d’autorisation inclut un serveur RADIUS (Remote Authentification Dial In User Service) qui permet de prendre en charge les protocoles nécessaires pour assurer l’interface entre la fonction de contrôle d’accès et de connexion des services RADIUS du réseau ministériel et le service d’authentification et d’autorisation;
Service de vérification : Ce service inclut un dépôt central servant à la réception et au stockage des enregistrements de vérification produits par les services du réseau ministériel. Il analyse également les enregistrements contenus dans le dépôt et produit des rapports sur les événements d’intérêt et informe les individus, au besoin;
Service de détection des intrusions (SDI) : Ce service permet l’analyse en temps quasi réel du contenu non chiffré des communications des utilisateurs internes et externes et de l’administrateur interne afin de déceler tout comportement non autorisé;
Service de gestion des changements (SGC) : Ce service permet de vérifier périodiquement les configurations de composant et de comparer ces configurations aux configurations approuvées dans le but de détecter tout changement non autorisé. Il permet également l’approvisionnement en configurations des services du réseau ministériel. Le service peut signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification;
Service d’intégrité des fichiers (SIF) : Ce service permet de détecter les modifications non autorisées apportées aux fichiers dans les services du réseau ministériel qui hébergent un agent SIF. Il peut signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification;
Service de défense contre le code malveillant (SDCM) : La configuration des services du réseau ministériel inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Le SDCM centralise la gestion des mécanismes de protection contre le code malveillant mis en place dans les services du réseau ministériel. Il permet de mettre automatiquement à jour les composants de son logiciel de soutien ou les définitions des signatures;
Service de remédiation : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement de ses propres rustines logicielles de services de réseau ministériel;
Service d’infrastructure à clé publique (ICP): Ce service permet la création, la révocation ou la récupération des clés cryptographiques, des identifiants et des certificats numériques utilisés au cours des opérations de chiffrement/déchiffrement de l’information ou d’authentification cryptographique.

Figure 3 – Services du réseau ministériel

Figure 3 – Services du réseau ministériel

2.1.5 Zones de gestion à accès restreint

Les administrateurs internes occupent leur propre zone de gestion à accès restreint. Les communications entre eux et les services des autres zones du réseau ministériel sont contrôlées par un périmètre d’administrateur interne ainsi que par tout autre périmètre franchi entre l’administrateur interne et le service concerné. Par exemple, un administrateur interne qui doit accéder à un service dans la zone d’accès public devra franchir le périmètre d’administrateur interne, les zones d’accès restreint et les périmètres de zone de travail. Les services du réseau ministériel doivent être mis en place en utilisant deux interfaces distinctes afin de séparer les communications de gestion utilisées pour l’administration ou la maintenance (p. ex. surveillance, journalisation, sauvegardes, mises à jour logicielles, etc.) des autres communications qui servent à appuyer les activités opérationnelles sollicitées par les utilisateurs.

2.2 Conception de haut niveau de référence des services WLAN

La conception de haut niveau de référence pour le scénario d’utilisation opérationnelle d’utilisateur sans fil connecté à un réseau câblé est différente compte tenu de la sensibilité de l’information transmise dans le WLAN par les utilisateurs sans fil internes. Les différences découlent de l’assurance accrue qu’offrent les produits axés sur la cryptographie utilisés pour sécuriser l’information classifiée et de type Protégé C. Le guide ITSG-13, Manuel sur la commande de clés cryptographiques (ITSG-13) [Référence 8] stipule que :

Seul l’équipement cryptographique de type 1 et les systèmes qui ont été homologués ou approuvés par le CST doivent être utilisés pour protéger les communications électroniques qui transmettent de l’information classifiée et PROTÉGÉ C.

Les produits offerts dans le commerce qui utilisent le protocole 802.11 ne sont pas conformes aux normes sur l'équipement cryptographique de type 1, qui exigent qu’ils soient soumis à un processus de certification rigoureux. Afin de répondre à l’exigence stipulée dans le guide ITSG 13 mentionnée ci-dessus, la conception de haut niveau de référence utilisée pour l’information non classifiée ou de type Protégé A et B inclut également les composants cryptographiques de type 1.

2.2.1 Composants

La conception de haut niveau de référence utilisée pour l’information non classifiée et de type Protégé A et B des services sans fil est illustrée dans la Figure 4 – Connexion non classifiée et de type Protégé A et B d’utilisateur sans fil au réseau câblé et inclut l’ajout des composants suivants au réseau ministériel :

Postes de travail sans fil : Ordinateurs de bureau et portables d’utilisateur sans fil interne, configurés par le ministère avec une interface réseau 802.11 et autorisés à se connecter uniquement à la zone d’utilisateur sans fil interne. Des contrôles de sécurité techniques supplémentaires (non appliqués dans le présent document) peuvent être requis lorsque les postes de travail sans fil sont autorisés à se connecter aux autres réseaux sans fil ou câblés;
Points d’accès : Points d’accès légers ou lourds déployés dans le but d’établir un secteur de service étendu pour les postes de travail sans fil. Les points d’accès lourds sont connectés à un commutateur de périmètre câblé et gérés individuellement à partir des postes de travail d’administrateur de composants sans fil situés dans la zone de l’administrateur interne. Les points d’accès légers sont tous connectés à un commutateur sans fil de périmètre et gérés centralement par l’entremise des commutateurs sans fil de périmètre des postes de travail d’administrateur de composants sans fil situés dans la zone de l’administrateur interne;
Commutateur sans fil/câblé de périmètre : Les points d’accès légers déployés sont connectés à un commutateur sans fil de périmètre. Les points d’accès lourds utilisés sont connectés à un commutateur de périmètre câblé;
Périmètre d’utilisateur sans fil interne : Ce périmètre permet de contrôler les communications entrantes et sortantes de la zone d’utilisateur sans fil interne;
Capteurs : Les capteurs du Système de détection d’intrusions sans fil (SDISF) peuvent être des capteurs spécialisés lorsque le SDISF est utilisé en mode recouvrement, ou des capteurs intégrés aux points d’accès lorsque le SDISF est utilisé en mode intégré;
Service SDISF : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), offre une analyse en temps quasi réel des événements dans la zone d’utilisateur sans fil interne, vérifie si des composants sans fil non autorisés sont présents et surveille les attaques par déni de service.

Figure 4 – Connexion non classifiée et de type Protégé A et B d’utilisateur sans fil au réseau câblé

Figure 4 – Connexion non classifiée et de type Protégé A et B d’utilisateur sans fil au réseau câblé

La conception de haut niveau de référence utilisée pour l’information des services sans fil classifiée et de type Protégé C est illustrée dans la Figure 5 – Connexion classifiée et de type Protégé C d’utilisateur sans fil au réseau câblé et inclut l’ajout des composants suivants au réseau ministériel :

Postes de travail sans fil : Ordinateurs de bureau et portables d’utilisateur interne, configurés par le ministère avec un crypteur réseau en ligne (INE) conforme aux normes relatives à l’équipement cryptographique de type 1 (selon le catalogue Produits, systèmes et services d’assurance élevée approuvés par le CSTC) et avec une interface réseau 802.11, et autorisés à se connecter uniquement à la zone d’utilisateur sans fil interne. Des contrôles de sécurité techniques supplémentaires (non appliqués dans le présent document) peuvent être requis lorsque les postes de travail sans fil sont autorisés à se connecter aux autres réseaux sans fil ou câblés;
Points d’accès non protégés : Points d’accès légers ou lourds déployés dans le but d’établir un secteur de service étendu pour les postes de travail sans fil et leurs communications chiffrées de type 1. Les points d’accès lourds sont connectés à un commutateur de périmètre câblé et gérés individuellement à partir des postes de travail d’administrateur de composants sans fil situés dans la zone de l’administrateur interne. Les points d’accès légers sont tous connectés à un commutateur sans fil de périmètre et gérés centralement par l’entremise d’un commutateur sans fil de périmètre des postes de travail d’administrateur de composants sans fil situés dans la zone de l’administrateur interne;
Capteurs non protégés : Les capteurs du SDISF peuvent être des capteurs spécialisés lorsque le SDISF est utilisé en mode recouvrement, ou des capteurs intégrés aux points d’accès lorsque le SDISF est utilisé en mode intégré;
Commutateurs sans fil/câblés de périmètre : Les points d’accès légers déployés sont connectés à un commutateur sans fil de périmètre non protégé. Les points d’accès lourds sont connectés à un commutateur câblé de périmètre non protégé;
INE de périmètre : Sert à communiquer avec les INE de poste de travail sans fil pour chiffrer/déchiffrer les communications d’utilisateur sans fil interne dans le réseau local sans fil (WLAN);
Périmètre d’utilisateur sans fil interne : Le périmètre d’utilisateur sans fil interne sert à contrôler les communications entrantes et sortantes de la zone d’utilisateur sans fil interne;
Service SDISF non protégé : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), offre une analyse en temps quasi réel des événements dans la zone d’utilisateur sans fil interne et vérifie si des composants sans fil non autorisés sont présents et surveille les attaques par déni de service.

Les INE servent à chiffrer et déchiffrer les communications entre les postes de travail sans fil et un INE de périmètre. Les INE répondent aux normes de chiffrement de type 1 nécessaires à la protection des communications classifiées et de type Protégé C dans le réseau local sans fil. Les communications, une fois déchiffrées par un INE, ne sont plus classifiées.

Figure 5 - Connexion classifiée et de type Protégé C d’utilisateur sans fil au réseau câblé

Figure 5 - Connexion classifiée et de type Protégé C d’utilisateur sans fil au réseau câblé

Puisque les communications entre les postes de travail d’utilisateur sans fil interne et l’INE de périmètre ne sont pas classifiées, tous les composants qui traitent ce type de communications sont également jugés non classifiés (points d’accès, capteurs, commutateur sans fil/câblé non protégé de périmètre, etc.). Toutes les communications qui franchissent l’INE de périmètre vers le commutateur sans fil/câblé non protégé de périmètre sont chiffrées. Ainsi, le commutateur sans fil/câblé non protégé de périmètre, les points d’accès ou les capteurs ne peuvent communiquer avec les services de base du réseau ministériel situés derrière le périmètre de la zone d’accès restreint, et sont inaccessibles (aux fins administratives) aux administrateurs de composants sans fil situés derrière le périmètre de l’administrateur interne.

Ces composants sont plutôt administrés à partir d’un réseau non protégé distinct qui ne peut communiquer avec le réseau ministériel classifié ou de type Protégé C. Le réseau non protégé peut être soit un réseau mis en place uniquement aux fins d’administration et de tenue à jour des opérations des points d’accès, des capteurs et des commutateurs sans fil/câblés non protégés de périmètre, soit un réseau préexistant non classifié ou de type Protégé A ou B du ministère. Le réseau non protégé héberge le service SDISF et tout service de base (service d’autorisation et d’authentification, service de vérification, etc.) nécessaires à la protection du fonctionnement des points d’accès, des capteurs et du commutateur sans fil/câblé non protégé de périmètre. L’INE de périmètre peut être géré à distance par un administrateur qui utilise un INE de gestion pour communiquer de manière sécuritaire avec l’INE concerné.

2.2.2 Communications

Les différentes catégories de communications du scénario d’utilisation opérationnelle d’utilisateur sans fil, non classifié ou de type Protégé A et B, connecté à un réseau câblé sont illustrées dans la Figure 6 – Types de communications des connexions non classifiées et de type Protégé A et B d’utilisateur sans fil au réseau câblé (Figure 6) et incluent :

Les communications (étiquetées « 1 » dans la Figure 6) entre les composants sans fil et les services de base du réseau ministériel, abordées à la Section 2.2.1 Composants;
Les communications d’administrateur de composants sans fil (étiquetées « 2 » dans la Figure 6) utilisées pour administrer les composants sans fil entre les postes de travail d’administrateur et les composants sans fil;
Les communications d’utilisateur sans fil invité (étiquetées « 3 » dans la Figure 6) entre le poste de travail sans fil et la zone de travail du réseau ministériel.

Figure 6 – Types de communications des connexions non classifiées et de type Protégé A et B d’utilisateur sans fil au réseau câblé

Figure 6 – Types de communications des connexions non classifiées et de type Protégé A et B d’utilisateur sans fil au réseau câblé

Les différentes catégories de communications des services sans fil du scénario d’utilisation opérationnelle d’utilisateur sans fil, classifié et de type Protégé C, connecté à un réseau câblé sont illustrées dans la Figure 7 – Types de communications des connexions classifiées et de type Protégé C d’utilisateur sans fil au réseau câblé (Figure 7) et incluent :

Les communications (étiquetées « 1a » et « 1b » dans la Figure 7) entre les composants sans fil et les services de base du réseau ministériel;
Les communications d’administrateur de composants sans fil (étiquetées « 2a » et « 2b » dans la Figure 7) utilisées pour administrer les composants sans fil entre les postes de travail d’administrateur et les composants sans fil;
Les communications d’administrateur de INE (étiquetées « 2c » dans la Figure 7) utilisées pour administrer les INE;
Les communications d’utilisateur sans fil interne (étiquetées « 3 » dans la Figure 7) entre le poste de travail sans fil et la zone de travail du réseau ministériel.

2.2.3 Concept d’opération

Les postes de travail sans fil occupent leur propre sous-zone dans la zone de travail du ministère. Cette sous-zone est désignée « zone d’utilisateur sans fil interne » et inclut son propre réseau routable. Une sous-zone permet de contrôler les communications entre la « zone d’utilisateur sans fil interne » et la zone de travail ministérielle. Ce contrôle est exercé au niveau du périmètre d’utilisateur sans fil interne.

Seuls les postes de travail sans fil autorisés peuvent se connecter à la zone d’utilisateur sans fil interne. Tous les postes de travail sans fil doivent d’abord réussir une association 802.11 et s’authentifier en utilisant le processus d’authentification 802.1X axée sur les ports. Dans ce processus, les postes de travail sans fil sont les demandeurs (supplicants); l’authentificateur est le point d’accès lorsque des points d’accès lourds sont utilisés et le commutateur sans fil lorsque des points d’accès légers sont utilisés. Les postes de travail sans fil transmettent et reçoivent leurs messages EAP (Extensible Authentification Protocol) à destination ou en provenance du commutateur sans fil du point d’accès lourd ou des points d’accès légers par l’entremise du protocole EAPOL (EAP over LANs). Les commutateurs sans fil du point d’accès lourd ou des points d’accès légers transmettent et reçoivent les messages EAP à destination ou en provenance du serveur d’authentification du service d’authentification et d’autorisation par l’entremise du protocole RADIUS. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications des postes de travail transitent par un serveur d’authentification situé dans le service d’authentification et d’autorisation de réseau non protégé.

Figure 7 – Types de communications des connexions classifiées et de type Protégé C d’utilisateur sans fil au réseau câblé

L’association réussie à la norme 802.11 offre au poste de travail sans fil uniquement une connectivité de couche 2 au point d’accès. Pour établir une connectivité de couche 3, l’interface réseau 802.11 du poste de travail sans fil doit être configurée avec des paramètres TCP/IP (adresse IP, masque réseau, serveur DNS, etc.) valables pour la zone d’utilisateur sans fil interne. Dans les postes de travail sans fil, ces paramètres peuvent être préconfigurés comme valeurs statiques ou obtenus après une association 802.11 réussie avec le protocole DHCP. Dans ce dernier cas, la fonction de serveur DHCP peut être intégrée au commutateur sans fil du point d’accès lourd ou du point d’accès léger, ou le commutateur lui-même peut être configuré de manière à transmettre les demandes et les réponses DHCP par l’entremise de la fonction DHCP du service de réseautage. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les demandes DHCP sont transférées à la fonction DHCP du service de réseautage de réseau non protégé.

Une fois qu’un poste de travail sans fil s’est authentifié uniquement au niveau du dispositif, il est doté d’une connectivité de couche 3 et peut participer aux échanges uniquement avec la couche réseau. On doit utiliser des postes de travail sans fil pour accéder aux services d’utilisateur (services de bureautique, service de courrier, services Web, etc.) dans la zone de travail du réseau ministériel. Les utilisateurs sans fil internes peuvent accéder à ces services seulement après avoir réussi à se connecter comme utilisateur avec des justificatifs d’identité de compte d’utilisateur sans fil interne configurés dans le service d’authentification et d’autorisation. Une fois la connexion établie, ils peuvent accéder aux services d’utilisateur du réseau ministériel. Leur droit d’accès est basé sur les privilèges définis dans le service d’authentification et d’autorisation et appliqués par les postes de travail sans fil et autres composants du réseau ministériel.

Aucun privilège administratif n’est accordé aux utilisateurs sans fil internes qui leur permettrait de modifier la configuration d’exploitation des postes de travail sans fil de manière à contourner les mesures et contremesures de sécurité prévues.

Les points d’accès, les capteurs, les composants de commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne doivent inclure une fonction de contrôle d’accès administrative qui autorise les administrateurs de composants sans fil à se connecter seulement après avoir réussi à effectuer le processus de connexion. Chaque composant doit pouvoir utiliser une base de données de comptes pour vérifier les justificatifs d’identité des administrateurs de composants sans fil durant le processus d’authentification. Cette base de données peut résidée dans chaque composant, ou chacun des composants peut permettre de communiquer avec une base hébergée dans un composant séparé tel un serveur d’authentification. Si les composants permettent d’utiliser une base séparée, il est alors possible d’utiliser dans le serveur d’authentification un seul compte pour toutes les connexions d’administrateur de composants sans fil. Sinon, on doit utiliser un compte différent pour chaque composant.

On présume que les comptes d’administrateur de composants sans fil sont tenus à jour dans une base de données de comptes séparée du service d’authentification et d’autorisation du réseau ministériel et que les communications entre les composants et le serveur d’authentification sont prises en charge par le protocole RADIUS. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les points d’accès non protégés, le capteur non protégé et les composants de commutateur sans fil/câblé non protégé de périmètre sont administrés par les administrateurs de composants sans fil non protégés du réseau non protégé et communiquent avec un serveur d’authentification du service d’authentification et d’autorisation de réseau non protégé.

Le périmètre d’utilisateur sans fil interne contrôle les communications entre les postes de travail sans fil, les points d’accès, les capteurs, les composants de commutateur sans fil/câblé non protégé de périmètre et les services de base du réseau ministériel. Les communications qui franchissent le périmètre d’utilisateur sans fil interne sont contrôlées en tenant compte des ports TCP/IP et des adresses IP source et de destination.

2.2.4 Surveillance

Les capteurs SDISF surveillent les supports RF (radiofréquences) 802.11 et retransmettent l’information obtenue au service SDISF du LAN câblé aux fins de traitement. Le SDISF peut être utilisé pour surveiller les supports RF et détecter les signatures des attaques ou tout comportement anormal; toutefois, son plus grand avantage est sa capacité :

D’être configuré de manière à identifier tous les points d’accès et postes autorisés du WLAN;
D’identifier l’emplacement physique de tous les points d’accès et les postes autorisés du WLAN;
De détecter et de désactiver les points d’accès non autorisés de la zone de couverture du WLAN.

Lorsque des points d’accès légers sont utilisés et que le commutateur sans fil qui les contrôle applique les fonctions du SDISF, ces fonctions peuvent être partagées par les communications du poste de traitement et la surveillance de la zone de couverture des radiofréquences. Si le commutateur n’applique pas les fonctions du SDISF, on doit utiliser un serveur SDISF distinct et des capteurs spécialisés. Un serveur SDISF distinct et des capteurs spécialisés sont également nécessaires pour appliquer les fonctions du SDISF à tout déploiement de WLAN de point d’accès lourd. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est pris en charge soit dans le commutateur sans fil non protégé de périmètre, soit par le serveur SDISF de réseau non protégé et des capteurs non protégés.

2.3 Points de mise en œuvre des éléments de contrôle techniques

Le Tableau 1 – Points de mise en œuvre des connexions utilisateur sans fil/réseau câblé (Tableau 1) précise toutes les exigences de sécurité techniques dont on doit tenir compte dans le scénario d’utilisation opérationnelle d’utilisateur sans fil connecté à un réseau câblé. Les éléments de contrôle techniques réels utilisés lors du déploiement particulier de services sans fil sont déterminés à partir de l’ensemble approuvé de contrôles de sécurité selon le processus décrit à l’Annexe 4 (illustré dans la Figure 8 – Contrôles de sécurité et éléments de contrôle). L’Annexe 4 inclut des exemples de la façon dont le processus est exécuté et utilise les profils de contrôle de sécurité Protégé A/Faible intégrité/Faible disponibilité et Protégé B/Intégrité moyenne/Disponibilité moyenne comme ensemble approuvé de contrôles de sécurité. Ces profils sont définis à l’Annexe 4 du guide ITSG-33.

Figure 8 – Contrôles de sécurité et éléments de contrôle

2.3.1 Résumés des éléments de contrôle techniques

Cette section est une introduction aux recommandations présentées dans le Tableau 1.

Le réseau ministériel permet aux utilisateurs internes d’accéder aux services d’utilisateur avec des postes de travail câblés interconnectés par des LAN câblés. On présume que tous les éléments de contrôle techniques nécessaires à la protection de ces interconnexions ont été mis en place avant le déploiement des services sans fil. Ces éléments incluent tous les contrôles techniques mis en place dans les postes de travail câblés, les services d’utilisateur et autres services du réseau ministériel. Le déploiement des services sans fil vise à doter le réseau ministériel d’outils supplémentaires pour assurer la connectivité réseau entre les utilisateurs internes et les services d’utilisateur. On présume également que la configuration de sécurité et fonctionnelle de ces postes de travail est utilisée pour la mise en œuvre des postes de travail sans fil. La configuration de chaque poste utilisé pour accéder aux services d’utilisateur est donc identique à celle des postes de travail câblés en plus d’inclure toute fonction ou élément de contrôle technique nécessaire au soutien et à la protection de la connectivité avec les WLAN. Dans le présent document, on nomme exigence de base en matière de sécurité technique pour poste de travail toute exigence de sécurité technique que l’on prévoit intégrer à la configuration des postes de travail câblés sans aucune modification de la configuration des postes de travail sans fil.

AC-2 Gestion des comptes

La gestion des comptes s’applique aux comptes d’administrateur de composants sans fil et d’administrateur de composants sans fil non protégés (appelés administrateurs de composants sans fil dans le reste de cette section) nécessaires à l’administration des composants sans fil (points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne, points d’accès non protégés, capteurs non protégés et commutateurs sans fil/câblés de périmètre). La gestion s’applique également aux comptes d’utilisateur sans fil interne utilisés pour accéder aux services d’utilisateur avec les postes de travail sans fil.

Chaque composant sans fil doit inclure une fonction de contrôle d’accès administrative qui permet de s’assurer que l’on accorde l’accès uniquement aux administrateurs de composants sans fil qui ont réussi le processus de connexion. Chaque composant doit pouvoir consulter une base de données de comptes qui permet de vérifier les justificatifs d’identité des administrateurs de composants sans fil durant l’authentification. Cette base de données peut résider dans le composant ou le composant peut permettre de communiquer avec une base distincte hébergée dans un autre composant tel un serveur d’authentification. Si tous les composants permettent d’utiliser une base de données de comptes distincte, il suffit de tenir à jour un seul compte par administrateur de composants sans fil dans le serveur d’authentification. Il est également possible d’utiliser un seul compte par administrateur de composants sans fil non protégés dans un serveur d’authentification de réseau non protégé. Sinon, on doit prévoir des comptes différents pour chaque composant.

Les utilisateurs sans fil internes s’authentifient auprès d’un seul serveur d’authentification. Cette authentification s’effectue au niveau de l’utilisateur et est différente de l’authentification 802.1X basée sur les ports effectuée par le poste de travail sans fil. Une fois qu’ils ont réussi à s’authentifier, ils peuvent accéder aux services d’utilisateur en effectuant une simple connexion, sans avoir à s’authentifier de nouveau chaque fois qu’ils accèdent à un service différent. Les comptes d’utilisateur sans fil interne sont tenus à jour dans base de données de comptes distincte du service d’authentification et d’autorisation du réseau ministériel. Ce service est également configuré de manière à accorder tous les privilèges d’utilisateur sans fil interne associés aux services d’utilisateur. On présume que les comptes d’administrateur de composants sans fil sont également tenus à jour dans une base de données de comptes distincte du service d’authentification et d’autorisation du réseau ministériel.

AC-3 Application de l’accès

L’application de l’accès pour les administrateurs de composants sans fil est assurée par les composants sans fil afin de contrôler les mesures que l’administrateur est autorisé à prendre une fois qu’il a été effectivement authentifié.

Les composants sans fil doivent tous inclure une fonction de contrôle d’accès administrative pour contrôler les mesures que les administrateurs de composants sans fil peuvent prendre conformément aux politiques de sécurité définies pour chaque composant. Ces politiques peuvent être configurées dans une base de données de politiques locale incluse dans chaque composant, ou le composant peut permettre de communiquer avec une base de données hébergée dans un composant distinct tel un serveur d’autorisation. Si les composants permettent l’utilisation d’une base distincte, toutes les politiques de sécurité peuvent être tenues à jour dans un seul endroit pour l’ensemble des administrateurs. Sinon, il faut configurer des politiques différentes dans chaque composant.

On présume que les politiques qui définissent les mesures que les administrateurs de composants sans fil sont autorisés à prendre sont tenues à jour dans une base de données de politiques distincte du service d’authentification et d’autorisation du réseau ministériel et que ces politiques sont appliquées dans les composants sans fil. Ce service est appliqué dans le réseau non protégé pour permettre l’accès d’administrateur sans fil non protégé aux composants sans fil non protégés.

Ce contrôle pour les utilisateurs sans fil internes est assuré par les postes de travail sans fil et les services d’utilisateur afin de contrôler les mesures que l’administrateur de composants sans fil est autorisé à prendre une fois qu’il a été effectivement authentifié. On présume que les politiques qui définissent les mesures que l’utilisateur sans fil interne est autorisé à prendre sont tenues à jour dans une base de données de politiques distincte du service d’authentification et d’autorisation du réseau ministériel et que ces politiques sont appliquées dans les postes de travail sans fil et les services d’utilisateur. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-4 Application des contrôles du flux d’information

Le périmètre d’utilisateur sans fil interne est configuré avec des politiques qui définissent les communications entrantes et sortantes (en fonction du port TCP/IP, de l’adresse IP source et de destination, etc.) autorisées dans la zone d’utilisateur sans fil interne. Seules les communications autorisées peuvent franchir le périmètre d’utilisateur sans fil interne. Toutes les communications non autorisées sont bloquées. Les communications qui sont autorisées à franchir le périmètre d’utilisateur sans fil interne peuvent être de type composant-service, administrateur-composant, ou utilisateur-service.

Les communications composant-service comprennent les communications auxquelles ne participe aucun poste de travail d’utilisateur sans fil interne ou d’administrateur de composants sans fil. Exemple : points d’accès qui communiquent avec un serveur d’authentification dans le service d’authentification et d’autorisation ministériel. Des communications administrateur-composant ont lieu lorsqu’un administrateur de composants sans fil se connecte à un composant sans fil à des fins administratives. Les communications utilisateur-service comprennent les communications entre les postes de travail sans fil internes et les services d’utilisateur.

AC-5 Séparation des tâches

La séparation des tâches est liée aux différents niveaux d’accès et est assurée par la configuration des politiques de sécurité relatives à l’application de l’accès du service d’authentification et d’autorisation de manière à refléter les différents groupes ou niveaux de privilèges. Un groupe ou niveau s’appuie sur un rôle distinct que doit jouer un composant sans fil ou un administrateur de composants sans fil non protégés à l’égard des composants sans fil. On attribue à chaque administrateur de composants sans fil uniquement les groupes ou niveaux de privilèges pour les rôles dont il est responsable. De plus, les groupes ou niveaux de privilèges sont définis de manière à empêcher tout administrateur individuel de composants sans fil d’obtenir le nombre de privilèges requis qui lui permettrait d’effectuer des activités frauduleuses sans collusion.

Les utilisateurs sans fil internes reçoivent moins de privilèges que les administrateurs de composants sans fil; les privilèges leur sont attribués par le service d’authentification et d’autorisation et leur permettent d’accéder uniquement aux services d’utilisateur qu’ils sont autorisés à utiliser. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-6 Droit d’accès minimal

Le droit d’accès minimal est accordé en configurant les politiques de sécurité relatives à l’application de l’accès du service d’authentification et d’autorisation de manière à attribuer à chaque administrateur interne uniquement les groupes ou les niveaux de droit d’accès pour les rôles dont il est responsable.

AC-7 Tentatives d’ouverture de session infructueuses

Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation et appliqué aux composants sans fil et aux postes de travail sans fil pour aider à prévenir tout accès non autorisé en tentant de deviner le mot de passe. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-8 Notification d’utilisation système

Des messages d’information sur l’utilisation du système sont affichés à l’intention des administrateurs de composants sans fil lors de la connexion aux composants sans fil et à l’intention des utilisateurs sans fil internes lors de la connexion aux postes de travail sans fil. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme exigence de base en matière de sécurité technique pour poste de travail.

AC-9 Notification d’ouverture de session précédente (accès)

Cette notification est configurée dans le service d’authentification et d’autorisation et appliquée dans les composants et les postes de travail sans fil pour aider à détecter tout accès non autorisé en utilisant les justificatifs d’identité d’un compte valable. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-10 Contrôle de sessions simultanées

Le nombre limite de sessions simultanées est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et les utilisateurs sans fil internes et appliqué par les composants et les postes de travail sans fil. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-11 Verrouillage de session

Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les sessions d’administrateur de composants sans fil et d’utilisateur sans fil interne et appliqué par les composants et postes de travail sans fil. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-16 Attributs de sécurité

La fonction d’étiquetage de l’information est assurée par le service de gestion de l’information pour tout renseignement créé, traité ou stocké dans le système d’information.

AC-18 Accès sans fil

L’accès d’utilisateur sans fil interne est structuré et sécurisé conformément aux directives du présent document.

AC-21 Collaboration et échange d’information entre utilisateurs

Les autorisations d’accès sont configurées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes. Cette fonction est offerte dans les postes de travail sans fil pour déterminer si une autorisation d’accès a été accordée à un autre utilisateur aux fins de collaboration et de partage d’information. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-3 Contenu des enregistrements de vérification

Le contenu d’information des enregistrements de vérification produits par les composants et les postes de travail sans fil est lié à leur capacité de vérification. La fonction de vérification des composants et des postes de travail sans fil permet de transmettre les enregistrements de vérification au service de vérification. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-4 Capacité de stockage des vérifications

Le volume de stockage nécessaire à la tenue à jour des enregistrements de vérification des composants du réseau ministériel peut être important. Normalement, la capacité de stockage du serveur central de journalisation inclus dans le service de vérification de réseau ministériel n’est pas suffisante pour contenir les enregistrements de vérification; on présume donc que le serveur utilise la capacité de stockage offerte par le service de gestion de l’information.

Si un composant sans fil n’est pas en mesure de transmettre ses enregistrements de vérification au serveur central de journalisation, on doit donc prévoir une capacité de stockage suffisante dans le composant lui-même.

AU-5 Intervention en cas d’échecs de vérification

La fonction de vérification exige de chaque composant et poste de travail sans fil qu’il produise des enregistrements de vérification et réussisse à les transmettre au serveur central de journalisation. Tout échec du processus de vérification est dû soit à l’incapacité d’un composant ou d’un poste de travail sans fil de produire ou de stocker les nouveaux enregistrements de vérification ou de les transmettre au serveur central de journalisation, soit à l’incapacité de ce dernier de stocker les enregistrements reçus. Cette défaillance entraîne une perte d’information de vérification. Le ministère doit définir une politique sur les mesures à prendre dans une telle situation. L’arrêt du système d’information est la mesure la plus draconienne que l’on puisse prendre puisqu’elle affecte la disponibilité; toutefois, dans certains cas, elle peut s’imposer lorsqu’une perte d’information de vérification est jugée intolérable. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-6 Examen, analyse et rapports de vérification

Les enregistrements de vérification sont inutiles, sauf si l’information qu’ils contiennent peut être analysée de manière efficace pour détecter l’occurrence d’événements d’intérêt. De plus, l’analyse doit être holistique et inclure collectivement les enregistrements de plusieurs composants. Le service de vérification permet de traiter automatiquement les enregistrements de composants multiples selon des critères d’événement sélectionnables.

AU-7 Réduction des vérifications et génération de rapports

Le volume d’enregistrements de vérification peut être important (jusqu’à représenter le volume le plus important de données du réseau ministériel); la fonction de production de rapports du service de vérification doit donc être en mesure de regrouper l’information contenue dans les enregistrements individuels et, ainsi, de réduire la quantité de données ou le nombre d’enregistrements à conserver en permanence ou sur une longue période.

AU-8 Estampilles temporelles

Pour permettre à l’analyse des enregistrements de vérification de détecter les événements d’intérêt, on a besoin d’une méthode de synchronisation des enregistrements des nombreux composants. La méthode utilisée consiste à inclure dans chaque composant ou poste de travail sans fil une estampille temporelle qui indique l’heure et la date exactes de création de chaque enregistrement et à faire en sorte que les composants sans fil synchronisent leur horloge système les uns avec les autres. Il est possible d’automatiser cette opération si chaque composant et poste de travail permet de mettre à jour son horloge système en communiquant avec un serveur de temps prévu dans le service réseau et en utilisant un protocole tel Network Time Protocol. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-9 Protection de l’information de vérification

Les enregistrements de vérification peuvent contenir de l’information qui doit être protégée sur le plan de la confidentialité (accès non autorisé), de l’intégrité (modification) ou de la disponibilité (suppression). Les autorisations d’accès à l’information et aux outils de vérification dans les composants sans fil, les postes de travail sans fil et le service de vérification sont configurées dans le service d’authentification et d’autorisation. L’application de ces autorisations en vue de protéger les enregistrements doit être prise en charge par les composants et les postes de travail sans fil ainsi que par le service de vérification. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-10 Non-répudiation

La non-répudiation s’applique en général aux transactions ou aux mesures opérationnelles exécutées par un utilisateur. Cette fonction est appliquée dans les postes de travail sans fil pour toute information créée, traitée ou stockée par l’utilisateur sans fil interne. La fonction de vérification des composants sans fil et le service de vérification surveillent les mesures prises par l’administrateur de composants sans fil. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-12 Génération d’enregistrements de vérification

Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. La fonction de vérification des composants et des postes de travail sans fil permet de produire des enregistrements de vérification sur les événements autorisés et non autorisés (liés aux utilisateurs et aux processus) qui intéressent le service de vérification. Les composants et les postes de travail sans fil permettent de vérifier les événements liés aux utilisateurs et aux processus, tel que défini dans le contrôle AU-2, et de produire les enregistrements de vérification appropriés qui peuvent être transmis au serveur de journalisation (hébergé dans le service de vérification) aux fins d’analyse et de production de rapports. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-14 Vérification des sessions

La vérification des sessions peut être requise si l’on est justifié de croire que des mesures administratives ou des interventions d’utilisateur inappropriées sont en cours. Le service SDI peut être utilisé pour accéder au contenu non chiffré des communications d’administrateur de composants sans fil et d’utilisateur sans fil interne et en journaliser ou saisir le contenu pour le service de vérification.

CM-5 Restrictions d’accès associées aux changements

Les politiques relatives à l’application de l’accès définies dans le service d’authentification et d’autorisation sont appliquées par les composants et les postes de travail sans fil pour contrôler les mesures que l’administrateur de composants sans fil ou l’utilisateur sans fil interne est autorisé à prendre une fois qu’il a été effectivement authentifié. Chaque composant et poste de travail sans fil doit être en mesure de vérifier l’application des restrictions d’accès et de produire les enregistrements de vérification concernés qui sont transmis au serveur central de journalisation du service de vérification. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

CM-6 Paramètres de configuration

Chaque composant ou poste de travail sans fil doit être configuré de manière à fonctionner suivant un mode qui offre uniquement la fonction requise. Toute autre fonction ou tout autre service doit être désactivé.

L’application de l’accès est assurée par les composants ou postes de travail sans fil pour contrôler les droits d’accès ou de modification que possède un administrateur de composants sans fil ou un utilisateur sans fil interne relativement à la configuration du composant ou du poste de travail sans fil. Les autorisations d’accès aux paramètres de vérification sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des composants et des postes de travail sans fil. Toute modification de la configuration d’un composant ou d’un poste de travail sans fil doit être effectuée avec le SGC et signalée au service de vérification. Le service d’intégrité des fichiers peut servir à détecter les changements non autorisés apportés à la configuration du composant ou du poste de travail sans fil. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme exigence de base en matière de sécurité technique pour poste de travail.

CM-7 Fonctionnalité minimale

Chaque composant et poste de travail sans fil doit être configuré de manière à fonctionner suivant un mode qui offre uniquement la fonction requise. Toute autre fonction ou tout autre service doit être désactivé. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

CM-8 Inventaire des composants de système d’information

Le SGC conserve l’information sur la configuration autorisée des composants et postes de travail sans fil et vérifie périodiquement les composants et postes pour s’assurer que leur configuration d’exploitation correspond à la configuration autorisée. Le service SDISF peut servir à surveiller toute connexion de composants et (ou) de dispositifs non autorisés à la zone d’utilisateur sans fil interne.

CP-9 Sauvegarde du système d’information

Le volume de stockage nécessaire au maintien des sauvegardes de l’information système et d’utilisateur du réseau ministériel peut être important. Le service de sauvegarde et de récupération utilise donc l’espace de stockage offert par le service de gestion de l’information pour conserver ces sauvegardes.

Le service de sauvegarde et de reprise accède périodiquement aux composants sans fil en utilisant des privilèges d’administrateur pour créer des sauvegardes de leur information système. Le service de sauvegarde et de reprise crée et consulte périodiquement les sauvegardes des données d’utilisateur sans fil gérées par le service de gestion de l’information.

CP-10 Reprise et reconstitution du système d’information

Le service de sauvegarde et de reprise accède, à de fins de reprise, aux sauvegardes de l’information système gérées par le service de gestion de l’information. L’information système des composants sans fil permet de ramener un composant sans fil à un état connu après une défaillance ou une compromission.

IA-2 Identification et authentification (utilisateurs organisationnels)

IA-3 Identification et authentification des dispositifs

Les postes de travail sans fil effectuent une authentification bidirectionnelle auprès des points d’accès lourds ou des commutateurs sans fil de périmètre (lorsque des points d’accès légers sont utilisés) en recourant à la cryptographie. L’authentification s’appuie sur la fonction d’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.

IA-4 Gestion des identificateurs

L’utilisation de la gestion dynamique des identificateurs, des attributs et des autorisations d’accès connexes ne s’applique pas au scénario d’utilisation opérationnelle.

IA-5 Gestion des authentifiants

La méthode d’authentification utilisée pour les administrateurs de composants sans fil et les utilisateurs sans fil internes est liée au niveau de protection requis et peut inclure les mots de passe/NIP, l’authentification multifactorielle, les mots de passe à usage unique, l’authentification axée sur les certificats ou les authentifiants de groupe. Si un mot de passe/NIP est utilisé pour les administrateurs de composants sans fil, il doit être conforme aux exigences de complexité des mots de passe. Si la méthode d’authentification utilisée pour les administrateurs de composants sans fil et les utilisateurs sans fil internes est axée sur les certificats et que ces derniers sont délivrés par le service d’ICP du réseau ministériel, le processus d’authentification :

Valide les certificats en établissant une voie de certification vers une autorité de certification fiable;
Remet à l’utilisateur le contrôle de la clé privée correspondante;
Associe l’identité authentifiée au compte de l’utilisateur. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

IA-6 Rétroaction d’authentification

Le mécanisme d’authentification des composants et postes de travail sans fil occulte l’information sur la rétroaction d’authentification durant les connexions d’administrateur de composants sans fil et d’utilisateur sans fil interne. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

IA-7 Authentification des modules cryptographiques

Si un module cryptographique est intégré à la méthode d’authentification utilisée pour les administrateurs de composants sans fil ou les utilisateurs sans fil internes, il doit satisfaire aux exigences pertinentes des directives du Gouvernement du Canada (GC) en matière d'authentification auprès d'un module cryptographique. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-2 Partitionnement des applications

Les administrateurs de composants sans fil se connectent aux composants sans fil et les administrent; quant aux utilisateurs sans fil internes, ils se connectent aux postes de travail sans fil. Les fonctionnalités de l’administrateur de composants sans fil et de l’utilisateur sans fil interne sont distinctes à la fois sur le plan de leurs capacités et de leur méthode d’accès. Le service réseau inclut une sous-zone de gestion qui permet de séparer les communications de l’administrateur de composants sans fil de celles de l’utilisateur sans fil interne.

SC-3 Isolement des fonctions de sécurité

La fonctionnalité à laquelle les utilisateurs sans fil internes ont accès (c.-à-d. l’accès aux services d’utilisateur) est séparée de la fonctionnalité de sécurité (utilisée par les administrateurs de composants sans fil) des composants sans fil. Le service réseau inclut une sous-zone de gestion qui permet de séparer les communications de l’administrateur de composants sans fil de celles de l’utilisateur sans fil interne.

SC-4 Information contenue dans les ressources partagées

Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et définissent l’information à laquelle ils sont autorisés à accéder. Ces autorisations empêchent le transfert d’information non autorisé et involontaire découlant du partage des ressources du système. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-5 Protection contre les dénis de service

Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les attaques par déni de service émanant de la zone d’utilisateur sans fil interne contre le réseau ministériel ou d’autres réseaux, tandis que le service SDI surveille ce même type d’attaque dans le reste du réseau ministériel.

SC-6 Priorité des ressources

Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic pour les types de trafic réseau afin de limiter l’utilisation des ressources selon leur priorité.

SC-7 Protection des frontières

Le périmètre d’utilisateur sans fil invité est configuré à partir de politiques qui définissent (en fonction du port TCP/IP, de l’adresse IP source, de l’adresse IP de destination, etc.) les communications qui sont autorisées à entrer et sortir de la zone d’utilisateur sans fil interne.

SC-8 Intégrité des transmissions

Les communications chiffrées sont autorisées entre les postes de travail sans fil et les points d’accès lourds (non protégés) ou les commutateurs sans fil de périmètre (non protégés) lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne.

SC-9 Confidentialité des transmissions

SC-10 Déconnexion réseau

Le périmètre d’utilisateur sans fil interne peut être configuré de manière à interrompre les connexions réseau après une période d’inactivité spécifique.

SC-11 Chemin de confiance

Les administrateurs de composants sans fil accèdent aux composants sans fil depuis leurs postes de travail situés dans la sous-zone de gestion mise en place par le service réseau. Les politiques sur les flux d’information appliquées dans la zone d’accès restreint, la zone de travail et les périmètres d’utilisateur sans fil interne veillent à ce que l’administration des composants sans fil ne puisse s’effectuer qu’à partir des postes de cette sous-zone. Cela fait en sorte d’assurer la fiabilité du chemin entre les administrateurs de composants sans fil et les composants eux-mêmes.

L’authentification et les autorisations relatives aux fonctions de sécurité sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès et de connexion des composants sans fil.

SC-12 Établissement et gestion des clés cryptographiques

La gestion des clés cryptographiques utilisées par les administrateurs de composants sans fil ou les utilisateurs sans fil internes (là où l’authentification axée sur l’ICP est utilisée) est assurée par le service d’ICP.

SC-13 Utilisation de la cryptographie

Les mécanismes cryptographiques utilisés par les administrateurs de composants sans fil ou les utilisateurs sans fil internes (là où l’authentification axée sur l’ICP est utilisée) sont assurés par le service d’ICP.

SC-18 Code mobile

La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-20 Service sécurisé de résolution de nom ou d’adresse (source autorisée)

Ce contrôle est appliqué par la fonction DNS du service réseau.

SC-21 Service sécurisé de résolution de nom ou d’adresse (résolveur récursif ou caché)

Ce contrôle est appliqué par la fonction DNS du service réseau.

SC-22 Architecture et fourniture de service de résolution de nom ou d’adresse

Ce contrôle est appliqué par la fonction DNS du service réseau.

SC-23 Authenticité des sessions

SC-24 Défaillance dans un état connu

La défaillance des composants sans fil peut s’effectuée à un état connu dans le cas de types de défaillance particulière.

SC-27 Applications indépendantes des systèmes d’exploitation

Les composants sans fil ne doivent pas utiliser d’applications indépendantes des systèmes d’exploitation puisqu’ils sont normalement sélectionnés auprès d’un fournisseur unique afin de faciliter leur intégration les uns aux autres. De plus, ces composants sont typiquement liés à des appareils qui fonctionnent avec un micrologiciel plutôt qu’avec un système d’exploitation standard. L’utilisation d’applications indépendantes peut ne pas être pratique puisque les utilisateurs sans fil internes sont normalement plus à l’aise avec une interface utilisateur unique régulière.

SC-28 Protection de l’information inactive

Les postes de travail sans fil sont configurés de manière à utiliser la cryptographie approuvée par le CSTC afin d’assurer la confidentialité des données inactives protégées et classifiées. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-29 Hétérogénéité

La sélection des diverses technologies de l’information assure l’hétérogénéité des composants sans fil. (Nota : Cette approche peut être difficile dans le cas où les composants sont sélectionnés auprès d’un fournisseur unique à des fins d’intégration).

SC-30 Techniques de virtualisation

Les composants sans fil utilisent des techniques d’abstraction pour présenter les composants de système d’information sous forme d’autres types de composants. (Nota : Ce contrôle peut être difficile à appliquer lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants).

SC-32 Partitionnement des systèmes d’information

Le service réseau effectue le partitionnement du réseau ministériel en différentes zones et les composants qui résident dans chaque zone sont assujettis aux politiques de sécurité de la zone qui les concerne. Ces zones incluent la zone d’accès restreint, la zone de travail, la zone d’accès public, la sous-zone de gestion et la zone d’utilisateur sans fil interne.

SC-33 Intégrité de la préparation des transmissions

Les composants sans fil protègent l’intégrité de l’information durant le regroupement, l’emballage et la transformation des données en vue de leur transmission.

SC-34 Programmes exécutables non modifiables

Les composants sans fil chargent et exécutent leur système d’exploitation et leurs applications à partir de supports matériels non inscriptibles.

SC-100 Authentification de la source

Les mécanismes de sécurité pour l’authentification de la source sont appliqués dans les postes de travail sans fil et les services d’utilisateur. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-2 Correction des défauts

Le service de remédiation effectue automatiquement la collecte, l’analyse et l’approvisionnement du matériel et des mises à jour logicielles des composants sans fil qui lui sont compatibles.

SI-3 Protection contre les codes malveillants

La configuration des postes de travail inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-4 Surveillance des systèmes d’information

Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), détecte les attaques et identifie toute utilisation non autorisée du système dans la zone d’utilisateur sans fil interne tandis que le service SDI surveille les attaques par déni de service dans le reste du réseau ministériel.

SI-6 Vérification de la fonctionnalité de sécurité

Les composants et postes de travail sans fil vérifient au démarrage, ou périodiquement après le démarrage, le bon fonctionnement de leurs propres fonctions de sécurité essentielles. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-7 Intégrité de l’information et des logiciels

Le SGC accède périodiquement aux composants sans fil avec les privilèges d’administrateur de composants sans fil pour obtenir la configuration d’exploitation actuelle et la comparer à la copie archivée de la configuration approuvée dans le but de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants qui utilisent un agent de ce service.

SI-8 Protection antipourriel

La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans la fonction de protection antipourriel du service de courrier, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-9 Restrictions relatives à la saisie d’information

L’application du droit d’accès, incluant la capacité de saisie d’information des administrateurs de composants sans fil et des utilisateurs sans fil internes, est assurée par les composants et les postes de travail sans fil qui autorisent les opérations que peuvent effectuer les administrateurs ou les utilisateurs sans fil internes une fois qu’ils ont réussi à s’authentifier. Ce contrôle inclut les composants auxquels les utilisateurs sans fil internes ont accès dans les services d’utilisateur. Les politiques qui définissent les opérations autorisées sont tenues à jour dans le service d’authentification et d’autorisation. Ce service est inclus dans le réseau non protégé pour permettre l’accès d’administrateur sans fil non protégé aux composants sans fil non protégés.

Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-10 Validation de la saisie d’information

L’application du droit d’accès, incluant la capacité de saisie d’information des administrateurs de composants sans fil et des utilisateurs sans fil internes, est assurée par les composants et les postes de travail sans fil qui autorisent les opérations que peuvent effectuer les administrateurs ou les utilisateurs une fois qu’ils ont réussi à s’authentifier. Ce contrôle inclut les composants auxquels les utilisateurs sans fil internes ont accès dans les services d’utilisateur. Les politiques qui définissent les opérations autorisées sont tenues à jour dans le service d’authentification et d’autorisation. Ce service est inclus dans le réseau non protégé pour permettre l’accès d’administrateur sans fil non protégé aux composants sans fil non protégés.

Les composants sans fil, les postes de travail sans fil et les services d’utilisateur vérifient l’exactitude, l’exhaustivité, la validité et l’authenticité de l’information saisie. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-11 Traitement des erreurs

Les composants et postes de travail sans fil assurent la vérification des événements, incluant les conditions d’erreur et le stockage des enregistrements de vérification dans le composant ou le poste de travail lui-même. Les composants sans fil et les postes de travail assurent également la transmission des enregistrements de vérification dans un serveur central de journalisation du service de vérification afin de permettre la gestion et l’analyse collectives des enregistrements de tous les composants. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

2.3.2 Recommandations concernant les points de mise en œuvre

La présente section inclut un tableau de recommandations concernant l’endroit où les éléments de contrôle techniques peuvent être appliqués dans la conception de haut niveau de référence. On doit tenir compte uniquement des éléments de contrôle identifiés dans les contrôles de sécurité système pour chaque scénario d’utilisation opérationnelle et non pas de tous les éléments indiqués dans chaque tableau.

Le Tableau 1 recommande des points de mise en œuvre pour le scénario d’utilisation opérationnelle pour les connexions d’utilisateurs sans fil à un réseau câblé. Il identifie également les éléments de contrôle qui peuvent être mis en œuvre comme élément système (S), commun (C) ou hybride (H). Un élément système est traité soit individuellement par les composants ajoutés au réseau ministériel en vue du déploiement des services sans fil, soit comme une combinaison des composants et des mesures de protection et contremesures qui existent dans le réseau ministériel avant le déploiement des services sans fil. Un élément commun est appliqué en utilisant une ou plusieurs des mesures de protection et contremesures qui existent dans le réseau ministériel avant le déploiement des services sans fil et qui ne requièrent aucune modification. Un élément hybride est appliqué en utilisant une ou plusieurs des mesures de protection et contremesures qui existent dans le réseau ministériel avant le déploiement des services sans fil et qui doivent être modifiées.

Tableau 1 – Points de mise en œuvre des connexions utilisateur sans fil/réseau câblé

Contrôle de sécurité	Éléments de contrôle	Points de mise en œuvre	Type S/C/H
AC-2 Gestion des comptes	AC-2-1 L'organisation fait appel à des mécanismes automatisés pour appuyer la gestion des comptes du système d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour gérer les comptes d’utilisateur sans fil interne et d’administrateur de composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.	C
AC-2 Gestion des comptes	AC-2-2 Le système d'information supprime automatiquement les comptes temporaires et d'urgence après [Affectation : délai défini par l'organisation pour chaque type de compte].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour supprimer les comptes temporaires et d’urgence créés pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.	C
AC-2 Gestion des comptes	AC-2-3 Le système d'information désactive automatiquement les comptes inactifs après [Affectation : délai défini par l'organisation].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour désactiver les comptes inactifs d’utilisateur sans fil interne et d’administrateur de composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.	C
AC-2 Gestion des comptes	AC-2-4 Le système d'information vérifie automatiquement les activités de création, de modification, de désactivation et de suppression de compte, et en informe les personnes concernées, le cas échéant.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de vérification Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour signaler au service de vérification les activités de gestion des comptes pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Au besoin, le service de vérification informe les individus concernés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation et le service de vérification de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.	C
AC-2 Gestion des comptes	AC-2-5 L’organisation : (a) exige des utilisateurs qu'ils ferment leur session après [Affectation : délai d'inactivité prévu ou description du moment de la fermeture de session défini par l'organisation]; (b) détermine la période du jour et la durée d'utilisation normales pour les comptes du système d'information; (c) surveille toute utilisation irrégulière des comptes du système d'information; (d) signale toute utilisation irrégulière aux responsables désignés de l'organisation.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de vérification. Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour signaler au service de vérification l’heure et la durée de toute utilisation atypique des comptes d’utilisateurs sans fil internes et d’administrateur de composants sans fil. Au besoin, le service de vérification informe les individus concernés toute utilisation atypique. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation et le service de vérification de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.	C
AC-2 Gestion des comptes	AC-2-6 Le système d'information gère de manière dynamique les droits d'accès utilisateur et les autorisations d'accès connexes.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur câblé interne et composants sans fil non protégés. Description : Les droits et autorisations d’accès sont gérés de manière dynamique dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Les droits et autorisations d’accès d’administrateur de composants sans fil sont appliqués dans la fonction de contrôle d’accès administrative des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et des composants de périmètre d’utilisateur sans fil interne. Les droits et autorisations d’accès de l’utilisateur sans fil interne sont appliqués dans les postes de travail sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-2 Gestion des comptes	AC-2-7 L’organisation : (a) établit et administre les comptes utilisateur privilégiés conformément à un plan de contrôle d'accès basé sur les rôles qui regroupe les droits d'accès au réseau et au système d'information dans des rôles; (b) suit et surveille les attributions de rôles privilégiés.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les comptes d’administrateur de composants sans fil sont classés dans le service d’authentification et d’autorisation selon des rôles axés sur les droits. Ces droits sont appliqués dans la fonction de contrôle d’accès des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs sans fil internes puisqu’aucun droit n’est associé à leurs comptes.	S
AC-3 Application de l'accès	AC-3-A Le système d'information applique les autorisations approuvées pour l'accès logique au système conformément à la politique pertinente.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Les autorisations d’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Les autorisations d’utilisateur sans fil interne sont appliquées dans la fonction de contrôle d’accès des postes de travail sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-3 Application de l'accès	AC-3-2 Le système d'information applique une double autorisation basée sur les politiques et procédures organisationnelles concernant [Affectation : commandes privilégiées définies par l'organisation].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Des autorisations doubles pour les [Affectation : commandes privilégiées définies par l’organisation] sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Les autorisations d’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Les autorisations d’utilisateur sans fil interne sont appliquées dans la fonction de contrôle d’accès des postes de travail sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-3 Application de l'accès	AC-3-3 Le système d'information applique [Affectation : politiques de contrôle d'accès non discrétionnaire définies par l'organisation] aux [Affectation : ensembles d'utilisateurs et de ressources définis par l'organisation] lorsque l'ensemble de règles de chaque politique précise : (a) l'information sur le contrôle d'accès (c.-à-d. les attributs) qu'il utilise (p. ex. poste, nationalité, âge, projet, période du jour); (b) les relations obligatoires entre les éléments d'information sur le contrôle d'accès pour autoriser l'accès.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les [Affectation : politiques de contrôle d’accès non discrétionnaire définies par l’organisation] associées aux [Affectation : ensembles d’utilisateurs et de ressources définis par l’organisation] sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Les politiques relatives à l’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Les politiques relatives à l’utilisateur sans fil interne sont appliquées dans la fonction de contrôle d’accès des postes de travail sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-3 Application de l'accès	AC-3-4 Le système d'information applique une politique de contrôle d'accès discrétionnaire (DAC pour Discretionary Access Control) qui : (a) permet aux utilisateurs de préciser et de contrôler le partage de l'information soit avec des individus ou des groupes d'individus identifiés, ou les deux; (b) limite la propagation des droits d'accès; (c) inclut ou exclut l'accès à la granularité d'un seul utilisateur.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les politiques de contrôle d’accès discrétionnaire sont configurées dans le service d’authentification et d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail sans fil (lors de l’accès aux services d’utilisateur), des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Elles sont configurées de manière à (a) permettre aux utilisateurs de préciser et de contrôler le partage d’information avec des individus ou des groupes d’individus particuliers, ou les deux, (b) à limiter la propagation des droits d’accès et (c) à inclure ou exclure l’accès à la granularité d’un seul utilisateur. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-3 Application de l'accès	AC-3-5 Le système d'information empêche l'accès à [Affectation : information pertinente en matière de sécurité définie par l'organisation] sauf lorsqu'il est en état de non-fonctionnement sécurisé.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : L’accès à [Affectation : information pertinente en matière de sécurité définie par l’organisation] est attribué dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Les politiques d’accès d’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Les politiques d’accès d’utilisateur sans fil interne sont appliquées dans la fonction de contrôle d’accès des postes de travail sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-3 Application de l'accès	AC-3-6 L'organisation chiffre ou conserve hors ligne dans un endroit sécurisé [Affectation : information sur l'utilisateur ou le système définie par l'organisation].	Point(s) de mise en œuvre : Service de gestion de l’information Description : L’information précisée dans [Affectation : information sur l’utilisateur ou le système définie par l’organisation] est protégée par chiffrement dans le service de gestion de l’information.	C
AC-4 Application des contrôles du flux d'information	AC-4-A Le système d'information applique des autorisations approuvées pour contrôler le flux de l'information dans le système et entre les systèmes interconnectés conformément à la politique pertinente.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne contrôle les communications entrantes et sortantes de la zone d’utilisateur sans fil interne en recourant à des coupe-feu et à la fonction de vérification de contenu, conformément aux autorisations approuvées.	S
AC-4 Application des contrôles du flux d'information	AC-4-1 Le système d'information applique le contrôle de flux d'information en utilisant des attributs de sécurité explicites, sur l'information et les objets source et de destination, comme base pour les décisions concernant le contrôle de flux.	Point(s) de mise en œuvre : S. O. Description : L’application du contrôle de flux d’information basé sur des étiquettes explicites d’information permet de contrôler le flux d’information entre les systèmes d’information possédant des classifications différentes (p. ex. niveaux protégé et classifié); cette exigence ne s’applique pas au scénario d’utilisation opérationnelle.	-
AC-4 Application des contrôles du flux d'information	AC-4-2 Le système d'information applique le contrôle de flux d'information à l'aide de domaines de traitement protégés (p. ex. application de type domaine) comme base pour les décisions concernant le contrôle de flux.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne contrôle les communications entrantes et sortantes de la zone d’utilisateur sans fil interne à l’aide de domaines de traitement protégés (p. ex. une application de type domaine).	S
AC-4 Application des contrôles du flux d'information	AC-4-3 Le système d'information applique le contrôle dynamique de flux d'information en s'appuyant sur une politique qui permet ou interdit les flux d'information en fonction de conditions changeantes ou de motifs opérationnels.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne applique le contrôle dynamique de flux d'information aux communications entrantes et sortantes de la zone d’utilisateur sans fil interne.	S
AC-4 Application des contrôles du flux d'information	AC-4-4 Le système d'information empêche les données chiffrées de contourner les mécanismes de vérification de contenu.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne. Description : Le périmètre d’utilisateur sans fil interne effectue la vérification de contenu et est configuré de manière à bloquer toute communication chiffrée rencontrée.	S
AC-4 Application des contrôles du flux d'information	AC-4-5 Le système d'information applique [Affectation : restrictions définies par l'organisation concernant l'intégration de types de données dans d'autres types de données].	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne vérifie le contenu et est configuré de manière à bloquer les communications qui ne répondent pas aux [Affectation : restrictions définies par l’organisation concernant l’intégration de types de données dans d’autres types de données].	S
AC-4 Application des contrôles du flux d'information	AC-4-6 Le système d'information applique le contrôle de flux d'information aux métadonnées.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne vérifie le contenu et est configuré de manière à contrôler les communications entrantes et sortantes de la zone d’utilisateur sans fil interne en utilisant des métadonnées.	S
AC-4 Application des contrôles du flux d'information	AC-4-7 Le système d'information applique [Affectation : flux unidirectionnels définis par l'organisation] en utilisant des mécanismes matériels.	Point(s) de mise en œuvre : S. O. Description : L’application de flux unidirectionnels avec des mécanismes matériels est normalement exigée pour le transfert d’information entre les systèmes d’information fonctionnant à des niveaux de sécurité différents; ne s’applique pas au scénario d’utilisation opérationnelle.	-
AC-4 Application des contrôles du flux d'information	AC-4-8 Le système d'information applique le contrôle de flux d'information en utilisant [Affectation : filtres de la politique de sécurité définis par l'organisation] comme base pour les décisions concernant le contrôle de flux.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne vérifie le contenu et est configuré pour utiliser les [Affectation : filtres de la politique de sécurité définis par l’organisation] comme base pour les décisions concernant le contrôle de flux.	S
AC-4 Application des contrôles du flux d'information	AC-4-9 Le système d'information impose une vérification manuelle de [Affectation : filtres de la politique de sécurité définis par l'organisation] lorsqu'il n'est pas en mesure de prendre de décision en matière de contrôle de flux d'information.	Point(s) de mise en œuvre : S. O. Description : Les examens effectués par une personne sont hors de la portée du scénario d’utilisation opérationnelle.	-
AC-4 Application des contrôles du flux d'information	AC-4-10 Le système d'information permet à un administrateur privilégié d'activer ou de désactiver [Affectation : filtres de la politique de sécurité définis par l'organisation].	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne vérifie le contenu et les [Affectation : filtres de la politique de sécurité définis par l’organisation] appliqués pour la vérification peuvent être activés et désactivés par un administrateur de composants sans fil.	S
AC-4 Application des contrôles du flux d'information	AC-4-11 Le système d'information permet à un administrateur privilégié de configurer [Affectation : filtres de la politique de sécurité définis par l'organisation] pour appuyer les différentes politiques de sécurité.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne vérifie le contenu et les [Affectation : filtres de la politique de sécurité définis par l’organisation] appliqués pour la vérification peuvent être configurés par un administrateur de composants sans fil.	S
AC-4 Application des contrôles du flux d'information	AC-4-12 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, identifie les flux d'information selon la spécification du type de données et l'utilisation des données.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne identifie les flux d’information selon la spécification du type de données et l’utilisation des données.	S
AC-4 Application des contrôles du flux d'information	AC-4-13 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, décompose l'information en sous-composantes pertinentes pour la présenter aux mécanismes d'application de la politique.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne décompose l’information en sous-composantes pertinentes pour la présenter aux mécanismes d’application de la politique.	S
AC-4 Application des contrôles du flux d'information	AC-4-14 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, applique les filtres de la politique qui limitent la structure et le contenu des données selon [Affectation : exigences de la politique de sécurité de l'information définies par l'organisation].	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne applique les filtres de la politique qui limitent la structure et le contenu des données selon [Affectation : exigences de la politique de sécurité de l’information définies par l’organisation].	S
AC-4 Application des contrôles du flux d'information	AC-4-15 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, détecte l'information non autorisée et en interdit le transfert, conformément à la politique de sécurité.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne détecte l’information non autorisée et en interdit le transfert, conformément à la politique de sécurité.	S
AC-4 Application des contrôles du flux d'information	AC-4-17 Le système d'information : (a) identifie de façon unique et authentifie les domaines source et destination pour le transfert de l'information; (b) lie les attributs de sécurité à l'information pour faciliter l'application de la politique sur le flux d'information; (c) suit les problèmes associés à la liaison des attributs de sécurité et au transfert de l'information.	Point(s) de mise en œuvre : Internal wireless user perimeter Description : Le périmètre d’utilisateur sans fil interne (a) identifie de façon unique et authentifie les domaines source et de destination pour le transfert de l’information; (b) lie les attributs de sécurité à l’information pour faciliter l’application de la politique sur le flux d’information; (c) journalise les problèmes associés à la liaison des attributs de sécurité et au transfert de l’information.	S
AC-5 Séparation des tâches	AC-5-C L'organisation met en œuvre la séparation des tâches en attribuant des autorisations d'accès aux systèmes d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation afin d’appliquer la séparation des tâches pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Les politiques relatives à l’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Les politiques relatives à l’utilisateur sans fil interne sont appliquées dans la fonction de contrôle d’accès des postes de travail sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-6 Droit d'accès minimal	AC-6-4 Le système d'information fournit des domaines de traitement séparés pour permettre une granularité plus fine dans l'attribution des droits d'accès utilisateur.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne maintient les postes de travail sans fil dans leurs propres sous-réseaux afin d’établir un domaine de traitement distinct.	S
AC-7 Tentatives d'ouverture de session infructueuses	AC-7-A Le système d'information applique une limite de [Affectation : nombre défini par l'organisation] tentatives d'ouverture de session invalides consécutives par l'utilisateur sur une période de [Affectation : durée définie par l'organisation].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Une limite de [Affectation : nombre défini par l’organisation] tentatives consécutives d’accès non valables est configurée dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliquée dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-7 Tentatives d'ouverture de session infructueuses	AC-7-B Le système d'information [Sélection : verrouille le compte ou le nœud pendant (Affectation : durée définie par l'organisation); verrouille le compte ou le nœud jusqu'à ce qu'un administrateur le libère; reporte l'invite d'ouverture de session suivante selon (Affectation : algorithme de temporisation défini par l'organisation)] automatiquement lorsque le nombre maximal de tentatives infructueuses est dépassé. Le contrôle s’applique à une tentative d'ouverture de session effectuée tant à l'aide d'une connexion locale que d'une connexion réseau.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliqué dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. La fonction de verrouillage de compte [Sélection : verrouille le compte ou le nœud pendant [Affectation : durée définie par l’organisation] automatiquement; verrouille le compte ou le nœud jusqu’à ce qu’un administrateur le libère; reporte l’invite d’ouverture de session suivante selon [Affectation : algorithme de temporisation défini par l’organisation]] lorsque le nombre maximal de tentatives infructueuses est dépassé. Le contrôle s’applique à une tentative d’ouverture de session effectuée tant à l’aide d’une connexion locale que d’une connexion réseau. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-7 Tentatives d'ouverture de session infructueuses	AC-7-1 Le système d'information verrouille automatiquement le compte ou le nœud jusqu'à ce qu'il soit libéré par un administrateur lorsque le nombre maximal de tentatives infructueuses est dépassé.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliqué dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. La fonction de verrouillage de compte verrouille le compte ou le nœud jusqu’à ce qu’un administrateur le libère lorsque le nombre maximal de tentatives infructueuses est dépassé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-7 Tentatives d'ouverture de session infructueuses	AC-7-2 Le système d'information fournit une protection supplémentaire pour les accès aux dispositifs mobiles au moyen d'une ouverture de session en éliminant l'information du dispositif après [Affectation : nombre défini par l'organisation] tentatives infructueuses d'ouverture de session sur le dispositif.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Toute utilisation de dispositifs mobiles connectés aux postes de travail sans fil aux fins de stockage d’information (clés USB, disques durs externes, etc.) qui requièrent une connexion pour accéder aux données ou effacer de l’information après [Affectation : nombre défini par l’organisation] tentatives consécutives d’ouverture de session infructueuses.	S
AC-8 Notification d'utilisation système	AC-8-A Le système d'information, avant d'accorder l'accès, affiche un message ou une bannière de notification d'utilisation approuvée du système, qui comprend des énoncés de confidentialité et de sécurité conformément à la Politique d'utilisation des réseaux électroniques du SCT.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les bannières de connexion sont configurées dans les postes de travail sans fil et visualisées par les utilisateurs sans fil internes. Elles sont configurées dans les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne et visualisées par les administrateurs de composants sans fil. Elles sont configurées dans les composants sans fil non protégés pour les connexions d’administrateur de composants sans fil non protégés. Les bannières affichent un message de notification d’utilisation système approuvé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-8 Notification d'utilisation système	AC-8-B Le système d'information continue d'afficher le message ou la bannière de notification jusqu'à ce que l'utilisateur opte d'ouvrir une session ou d'accéder au système.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les bannières de connexion sont configurées dans les postes de travail sans fil et visualisés par les utilisateurs sans fil internes. Elles sont configurées dans les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne et visualisées par les administrateurs de composants sans fil. Elles sont configurées dans les composants sans fil non protégés pour les connexions d’administrateur de composants sans fil non protégés. Le message de notification ou la bannière demeure visible jusqu’à ce que les utilisateurs décident de se connecter au système d’information ou de continuer à l’utiliser. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-8 Notification d'utilisation système	AC-8-C Le système d'information, dans le cas d'un système accessible au public : (a) affiche, le cas échéant, l'information d'utilisation du système avant d'accorder l'accès; (b) affiche, au besoin, des mises en garde concernant la surveillance, l'enregistrement et la vérification conformes aux dispositions sur la protection des renseignements personnels pour de tels systèmes qui interdisent généralement ces activités; et (c) inclut dans le message de notification aux utilisateurs publics du système une description des utilisations autorisées du système.	Point(s) de mise en œuvre : S. O. Description : L’utilisation de systèmes accessibles au public ne s’applique pas au scénario d’utilisation opérationnelle.	-
AC-9 Notification d'ouverture de session précédente (accès)	AC-9-A Le système d'information indique à l'utilisateur qui vient d'ouvrir une session la date et l'heure de sa dernière ouverture de session (dernier accès).	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La date et l’heure de la dernière notification d’ouverture de session sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et fournies à l’utilisateur par la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-9 Notification d'ouverture de session précédente (accès)	AC-9-1 Le système d'information indique à l'utilisateur qui vient d'ouvrir une session la date et l'heure de sa dernière ouverture de session (dernier accès).	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La notification d’ouverture de session non réussie est produite dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et fournie à l’utilisateur dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-9 Notification d'ouverture de session précédente (accès)	AC-9-2 Le système d'information indique à l'utilisateur le nombre de [Sélection : ouvertures de session/accès réussis; ouvertures de session/accès infructueux; les deux] pendant [Affectation : durée définie par l'organisation].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le nombre de [Sélection : ouvertures de session/accès réussis; ouvertures de session/accès infructueux; les deux] pendant [Affectation : durée définie par l’organisation] est conservé dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et fourni à l’utilisateur dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-9 Notification d'ouverture de session précédente (accès)	AC-9-3 Le système d'information indique à l'utilisateur de [Affectation : ensemble, défini par l'organisation, des modifications liées à la sécurité apportées au compte de l'utilisateur] pendant [Affectation : durée définie par l'organisation].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La notification de [Affectation : ensemble, défini par l’organisation, des modifications liées à la sécurité apportées au compte de l’utilisateur] pendant [Affectation : durée définie par l’organisation] est appliquée dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et fournie à l’utilisateur dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-10 Contrôle des sessions simultanées	AC-10-A Le système d'information limite le nombre de sessions simultanées pour chaque compte système à [Affectation : nombre défini par l'organisation].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La limite du nombre de sessions simultanées est configurée dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliquée dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-11 Verrouillage de session	AC-11-A Le système d'information empêche tout autre accès au système en verrouillant la session après [Affectation : délai défini par l'organisation] d'inactivité ou à la réception d'une demande d'un utilisateur.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliqué dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.	S
AC-11 Verrouillage de session	AC-11-B Le système d'information maintient le verrouillage de la session jusqu'à ce que l'utilisateur réinitialise l'accès en exécutant les procédures établies d'identification et d'authentification.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliqué dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés. Cette fonction est désactivée après une reconnexion réussie.	S
AC-11 Verrouillage de session	AC-11-1 Le mécanisme de verrouillage de session du système d'information, lorsqu'il est activé dans un dispositif doté d'un écran, affiche des motifs visibles qui permettent de masquer ce qui figurait précédemment à l'écran.	Point(s) de mise en œuvre : Postes de travail sans fil Description : La fonction de verrouillage de l’écran des postes de travail est configurée et appliquée dans les postes de travail sans fil et affiche (lorsqu’elle est activée), dans l’écran concerné, un motif visible qui recouvre le contenu précédent.	S
AC-16 Attributs de sécurité	AC-16-A Le système d'information prend en charge et maintient la liaison entre [Affectation : attributs de sécurité définis par l'organisation] et l'information pendant qu'elle est stockée, traitée et transmise.	Point(s) de mise en œuvre : Service de gestion de l’information Description : La fonction d’étiquetage de l’information est appliquée dans le service de gestion de l’information pour toute information créée, traitée ou stockée dans le système d’information.	C
AC-16 Attributs de sécurité	AC-16-1 Le système d'information reconfigure de manière dynamique les attributs de sécurité conformément à une politique de sécurité désignée au moment où l'information est créée et combinée.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information Description : Les attributs de sécurité de l’information créée, combinée et gérée par le service de gestion de l’information sont reconfigurés dynamiquement par le service d’authentification et d’autorisation.	C
AC-16 Attributs de sécurité	AC-16-2 Le système d'information permet aux entités autorisées de modifier les attributs de sécurité.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information Description : Les attributs de sécurité assignés par le service d’authentification et d’autorisation pour l’information traitée dans le service de gestion de l’information peuvent être modifiés par les utilisateurs autorisés.	C
AC-16 Attributs de sécurité	AC-16-3 Le système d'information maintient la liaison entre les attributs de sécurité et l'information avec un degré d'assurance suffisant pour que l'association information-attribut puisse servir de base aux opérations automatisées liées aux politiques.	Point(s) de mise en œuvre : Service de gestion de l’information Description : La fonction d’étiquetage de l’information est appliquée dans le service de gestion de l’information pour toute information créée, traitée ou stockée dans le système d’information.	C
AC-16 Attributs de sécurité	AC-16-4 Le système d'information permet aux utilisateurs autorisés d'associer des attributs de sécurité à l'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information Description : Les utilisateurs sans fil internes et les administrateurs de composants sans fil peuvent associer les attributs de sécurité assignés par le service d’authentification et d’autorisation à l’information gérée par le service de gestion de l’information.	C
AC-16 Attributs de sécurité	AC-16-5 Le système d'information affiche sous forme lisible les attributs de sécurité de chaque objet transmis du système à ses dispositifs de sortie afin d'identifier [Affectation : ensemble d'instructions spéciales de diffusion, de traitement ou de distribution définies par l'organisation] conformément aux [Affectation : conventions d'appellation standard, en langage lisible, définies par l'organisation].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information Description : Les attributs de sécurité assignés par le service d’authentification et d’autorisation à l’information gérée par le service de gestion de l’information sont affichés sous forme lisible dans chaque objet transmis du système à ses dispositifs de sortie afin d’identifier [Affectation : ensemble d’instructions spéciales de diffusion, de traitement ou de distribution définies par l’organisation] conformément aux [Affectation : conventions d’appellation standard, en langage lisible, définies par l’organisation].	C
AC-18 Accès sans fil	AC-18-B L'organisation surveille le système d'information pour détecter les accès sans fil non autorisés à ce dernier.	Point(s) de mise en œuvre : Service SDISF, points d’accès sans fil et capteurs. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille et signale les composants sans fil non autorisés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
AC-18 Accès sans fil	AC-18-C L'organisation autorise l'accès sans fil au système d'information avant la connexion.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail sans fil. Description : Les postes de travail sans fil doivent réussir à créer des associations avec le protocole 802.11 en utilisant l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.	S
AC-18 Accès sans fil	AC-18-D L'organisation applique les exigences concernant les connexions sans fil au système d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail sans fil. Description : Les postes de travail sans fil doivent réussir à créer des associations avec le protocole 802.11 en utilisant l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.	S
AC-18 Accès sans fil	AC-18-1 Le système d'information protège l'accès sans fil au moyen de l'authentification et du chiffrement.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès et commutateur sans de périmètre Description : Les postes de travail sans fil utilisent l’authentification 802.1X basée sur les ports; les communications chiffrées suivant la norme AES sont autorisées entre les interfaces réseau 802.11 de poste de travail sans fil et les points d’accès lourds or le commutateur sans fil lorsque des points d’accès légers sont utilisés.	S
AC-18 Accès sans fil	AC-18-2 L'organisation surveille le système d'information pour détecter les connexions sans fil non autorisées, y compris le balayage des points d'accès sans fil non autorisés [Affectation : fréquence définie par l'organisation], et prend les mesures appropriées si une telle connexion est découverte.	Point(s) de mise en œuvre : Service SDISF, points d’accès et capteurs. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille et signale les composants sans fil non autorisés, incluant la recherche de points d’accès sans fil non autorisés [Affectation : fréquence définie par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
AC-18 Accès sans fil	AC-18-4 L'organisation ne permet pas aux utilisateurs de configurer eux-mêmes les capacités de réseautage sans fil.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail sans fil. Description : Les droits et autorisations d’accès sont configurés dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et appliqués dans les postes de travail sans fil. Ces droits et autorisations ne permettent pas aux utilisateurs sans fil internes de configurer de capacité de réseautage sans fil dans leurs postes de travail sans fil.	S
AC-18 Accès sans fil	AC-18-5 L'organisation restreint les communications sans fil aux frontières qu'elle contrôle.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les supports RF de la zone d’utilisateur sans fil interne sont limités aux frontières contrôlées par l’organisation	S
AC-19 Contrôle d'accès pour les dispositifs mobiles	S. O.	Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque des postes de travail sans fil plutôt que des dispositifs mobiles sont utilisés.	-
AC-21 Collaboration et échange d'information entre utilisateurs	AC-21-B L'organisation utilise [Affectation : liste définie par l'organisation des circonstances d'échange d'information et des mécanismes automatisés ou des processus manuels requis] pour aider les utilisateurs à prendre des décisions concernant l'échange d'information et la collaboration.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information Description : Les [Affectation : liste définie par l’organisation des circonstances d’échange d’information et des mécanismes automatisés ou des processus manuels requis] sont appliquées pour aider les utilisateurs à prendre des décisions relativement au partage d’information et à la collaboration en utilisant l’information gérée par le service de gestion de l’information avec les attributs de sécurité assignées par le service d’authentification et d’autorisation.	C
AC-21 Collaboration et échange d'information entre utilisateurs	AC-21-1 Le système d'information utilise des mécanismes automatisés pour permettre aux utilisateurs autorisés de prendre des décisions concernant l'échange d'information en tenant compte des autorisations d'accès des partenaires d'échange et des restrictions d'accès à l'information à échanger.	Point(s) de mise en œuvre : S. O. Description : Le partage d’information avec des partenaires non organisationnels ne s’applique pas au scénario d’utilisation opérationnelle.	-
AU-3 Contenu des enregistrements de vérification	AU-3-A Le système d'information produit des enregistrements de vérification qui contiennent suffisamment d'information pour permettre, au minimum, d'établir le type d'événement qui s'est produit, la date et l'heure de l'événement, l'endroit où il s'est produit, sa source, son résultat (réussite ou échec) et l'identité de tous les utilisateurs ou sujets qui lui sont associés.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de transmettre au service de vérification des enregistrements qui contiennent suffisamment d’information pour établir : le type d’événement qui s’est produit, la date et l’heure de l’événement, l’endroit où il s’est produit, sa source, son résultat (réussite ou échec) et l’identité de tous les utilisateurs ou sujets qui lui sont associés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants sans fil non protégés.	S
AU-3 Contenu des enregistrements de vérification	AU-3-1 Le système d'information inclut [Affectation : information supplémentaire et plus détaillée définie par l'organisation] dans les enregistrements de vérification pour les événements répartis par type, emplacement ou sujet.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de configurer [Affectation : information supplémentaire et plus détaillée définie par l’organisation] pour les événements signalés au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants sans fil non protégés.	S
AU-3 Contenu des enregistrements de vérification	AU-3-2 L'organisation centralise la gestion du contenu des enregistrements de vérification générés par [Affectation : composants de système définis par l'organisation].	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne peut transmettre des enregistrements de vérification au service de vérification. Le service tient à jour un dépôt central de tous les enregistrements de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants sans fil non protégés.	S
AU-4 Capacité de stockage des vérifications	AU-4-A L'organisation attribue la capacité de stockage des enregistrements de vérification et configure les vérifications de manière à réduire la probabilité de dépassement de cette capacité.	Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information. Description : On attribue au service de vérification une capacité de stockage des enregistrements dont le service de gestion de l’information assure la tenue à jour. Le processus de vérification est configuré de manière à réduire la probabilité de dépassement de cette capacité de stockage.	C
AU-5 Intervention en cas d'échecs de vérification	AU-5-A Le système d'information avertit les responsables désignés de l'organisation dans l'éventualité d'un échec de traitement de vérification.	Point(s) de mise en œuvre : Service de vérification Description : Le service de vérification avertit les responsables désignés de l’organisation dans l’éventualité d’un échec de traitement de vérification.	C
AU-5 Intervention en cas d'échecs de vérification	AU-5-B Le système d'information prend les mesures supplémentaires suivantes : [Affectation : mesures à prendre définies par l'organisation (p. ex. arrêt du système, écrasement des enregistrements de vérification les plus anciens, arrêt de la génération des enregistrements de vérification)].	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre, du périmètre d’utilisateur sans fil interne permet d’effectuer [Affectation : mesures à prendre définies par l’organisation (p. ex. arrêt du système, écrasement des enregistrements de vérification les plus anciens, arrêt de la génération des enregistrements de vérification)] dans l’éventualité d’un échec de traitement de vérification dans le composant. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans la fonction de vérification des composants sans fil non protégés.	S
AU-5 Intervention en cas d'échecs de vérification	AU-5-1 Le système d'information génère un avertissement lorsque le volume de stockage attribué aux enregistrements de vérification atteint [Affectation : pourcentage défini par l'organisation] de sa capacité maximale.	Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information. Description : Le service de vérification produit un avertissement lorsque le volume de stockage attribué aux enregistrements de vérification dans le service de gestion de l’information atteint [Affectation : pourcentage défini par l’organisation] de sa capacité maximale.	C
AU-5 Intervention en cas d'échecs de vérification	AU-5-2 Le système d'information génère une alerte en temps réel lorsque les événements d'échec de vérification suivants se produisent : [Affectation : événements d'échec de vérification définis par l'organisation qui nécessitent une alerte en temps réel].	Point(s) de mise en œuvre : Service de vérification Description : Le service de vérification produit une alerte en temps réel lorsque les événements d’échec de vérification suivants se produisent : [Affectation : événements d’échec de vérification définis par l’organisation qui nécessitent une alerte en temps réel].	C
AU-5 Intervention en cas d'échecs de vérification	AU-5-3 Le système d'information applique des seuils de volume de trafic configurables représentant la capacité de vérification du trafic réseau et [Sélection : rejette ou retarde] le trafic au-dessus de ces seuils.	Point(s) de mise en œuvre : Service réseau Description : Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic représentant la capacité de vérification du trafic réseau et [Sélection : rejette ou retarde] le trafic au-dessus de ces seuils.	C
AU-5 Intervention en cas d'échecs de vérification	AU-5-4 Le système d'information effectue un arrêt système à la suite d'un échec de vérification, sauf lorsqu'il existe une capacité de vérification de secours.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet d’arrêter le composant dans l’éventualité d’un échec de vérification, sauf lorsqu’il existe une capacité de vérification de secours. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans la fonction de vérification des composants sans fil non protégés.	S
AU-6 Examen, analyse et rapports de vérification	AU-6-3 L'organisation analyse et met en corrélation les enregistrements de vérification des différents dépôts afin d'acquérir une connaissance de sa situation globale.	Point(s) de mise en œuvre : Service de vérification, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre, du périmètre d’utilisateur sans fil interne et des composants sans fil non protégés permettent de transmettre des enregistrements de vérification au service de vérification. Le service de vérification gère un dépôt central et un centre de gestion de tous les enregistrements de vérification pour être au fait de la situation à l’échelle de l’organisation.	S
AU-6 Examen, analyse et rapports de vérification	AU-6-4 Le système d'information centralise l'examen et l'analyse des enregistrements de vérification provenant de plusieurs composants du système.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne peut transmettre des enregistrements de vérification au service de vérification. Le service de vérification inclut un dépôt central de tous les enregistrements de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants sans fil non protégés.	S
AU-6 Examen, analyse et rapports de vérification	AU-6-5 L'organisation intègre l'analyse des enregistrements de vérification à l'analyse de l'information liée au balayage des vulnérabilités, des données de rendement et de l'information sur la surveillance réseau pour accroître sa capacité d'identification les activités inappropriées ou inhabituelles.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne peut transmettre des enregistrements de vérification au service de vérification. Le service de vérification inclut un dépôt central de tous les enregistrements de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants sans fil non protégés.	S
AU-7 Réduction des vérifications et génération de rapports	AU-7-A Le système d'information offre une capacité de réduction des vérifications et de génération de rapports.	Point(s) de mise en œuvre : Service de vérification Description : Le service de vérification offre une capacité de réduction des vérifications et de génération de rapports.	C
AU-7 Réduction des vérifications et génération de rapports	AU-7-1 Le système d'information permet de traiter automatiquement les enregistrements de vérification des événements d'intérêt en fonction de critères d'événement sélectionnables.	Point(s) de mise en œuvre : Service de vérification Description : Le service de vérification permet de traiter automatiquement les enregistrements de vérification des événements d’intérêt en fonction de critères d’événement sélectionnables.	C
AU-8 Estampilles temporelles	AU-8-A Le système d'information utilise des horloges de système internes pour générer des estampilles temporelles pour les enregistrements de vérification.	Point(s) de mise en œuvre : Service réseau, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de produire des estampilles temporelles pour les enregistrements de vérification transmis au service de vérification. Chaque composant peut également synchroniser son horloge en utilisant la fonction de serveur de temps centralisée du service réseau. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé, le service réseau et la fonction de vérification des composants sans fil non protégés.	S
AU-8 Estampilles temporelles	AU-8-1 Le système d'information synchronise ses horloges internes [Affectation : fréquence définie par l'organisation] en utilisant [Affectation : source de temps faisant autorité définie par l'organisation].	Point(s) de mise en œuvre : Service réseau, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne permettent de synchroniser leur horloge en utilisant la fonction de serveur de temps centralisée du service réseau. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé, le service réseau et la fonction de synchronisation de l’horloge système des composants sans fil non protégés.	S
AU-9 Protection de l'information de vérification	AU-9-A Le système d'information protège l'information de vérification et les outils de vérification contre l'accès, la modification et la suppression non autorisés.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations d’utiliser l’information et les outils de vérification dans les composants sans fil, les postes de travail sans fil et le service de vérification sont configurées dans le service d’authentification et d’autorisation et appliquées par le service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’autorisation et le service de vérification de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés.	S
AU-9 Protection de l'information de vérification	AU-9-1 Le système d'information produit les enregistrements de vérification sur des supports matériels non réinscriptibles.	Point(s) de mise en œuvre : Service de vérification Description : Le service de vérification permet de produire des enregistrements de vérification sur des supports matériels non inscriptibles.	C
AU-9 Protection de l'information de vérification	AU-9-2 Le système d'information sauvegarde les enregistrements de vérification [Affectation : fréquence définie par l'organisation] dans un système ou un support différent du système faisant l'objet de la vérification.	Point(s) de mise en œuvre : Service de sauvegarde et de reprise et service de vérification. Description : Le service de sauvegarde et de reprise sauvegarde les enregistrements de vérification produits par le service de vérification [Affectation : fréquence définie par l’organisation] dans un système ou support différent de celui qui fait l’objet de la vérification.	C
AU-9 Protection de l'information de vérification	AU-9-3 Le système d'information utilise des mécanismes cryptographiques pour protéger l'intégrité de l'information de vérification et des outils de vérification.	Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information. Description : Le service de vérification utilise des mécanismes cryptographiques pour protéger l’intégrité de l’information de vérification stockée et gérée par le service de gestion de l’information.	C
AU-9 Protection de l'information de vérification	AU-9-4 L'organisation (a) autorise l'exécution des commandes privilégiées et l'accès à l'information liée à la sécurité par la méthode d'accès à distance uniquement dans le cas de besoins opérationnels probants et (b) documente le motif de cet accès dans le plan de sécurité du système d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, service de gestion de l’information, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations d’accès aux données de vérification stockées par le service de vérification dans le service de gestion de l’information, et la fonction de vérification des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre, du périmètre d’utilisateur sans fil interne et des composants sans fil non protégés sont configurées dans le service d’authentification et d’autorisation pour s’assurer que l’accès à la fonction de gestion de la vérification soit réservé à un sous-ensemble restreint d’utilisateurs privilégiés et (b) pour protéger les enregistrements de vérification contre tout accès extérieur aux comptes privilégiés et contre l’exécution de toute fonction privilégiée.	C
AU-10 Non-répudiation	AU-10-A Le système d'information offre une protection contre quiconque nie faussement avoir effectué une opération particulière.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de transmettre au service de vérification des enregistrements qui identifient les mesures prises par les utilisateurs. Dans le cas des composants sans fil non protégés, l’exigence de contrôle de sécurité est appliquée dans le service de vérification de réseau non protégé et la fonction de vérification des composants sans fil non protégés.	S
AU-10 Non-répudiation	AU-10-1 Le système d'information associe l'identité du producteur d'information à l'information.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur sans fil interne dans le poste de travail sans fil.	S
AU-10 Non-répudiation	AU-10-2 Le système d'information valide le lien entre l'identité du producteur de l'information et l'information.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur sans fil interne dans le poste de travail sans fil.	S
AU-10 Non-répudiation	AU-10-3 Le système d'information conserve, dans la chaîne de possession établie, l'identité et les justificatifs d'identité de l'examinateur ou de l'émetteur pour toute l'information examinée ou diffusée.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur sans fil interne dans le poste de travail sans fil.	S
AU-10 Non-répudiation	AU-10-4 Le système d'information valide le lien entre l'identité de l'examinateur et l'information au point de transfert ou de diffusion, avant que l'information ne soit transférée ou diffusée d'un domaine de sécurité à un autre.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur sans fil interne dans le poste de travail sans fil.	S
AU-10 Non-répudiation	AU-10-5 L'organisation utilise une cryptographie conforme aux exigences du contrôle SC-13 pour mettre en œuvre les signatures numériques.	Point(s) de mise en œuvre : Postes de travail sans fil Description : La fonction de non-répudiation des postes de travail sans fil utilise une cryptographie conforme aux exigences du contrôle SC-13 qui concernent l’application des signatures numériques.	S
AU-12 Génération d'enregistrements de vérification	AU-12-A Le système d'information comprend une capacité de génération d'enregistrements de vérification pour la liste d'événements vérifiables définie au contrôle AU-2 au [Affectation : composants du système d'information définis par l'organisation].	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de produire des enregistrements de vérification et de les transmettre au service de vérification pour les événements définis en AU-2 dans [Affectation : composants de système d’information définis par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants sans fil non protégés.	S
AU-12 Génération d'enregistrements de vérification	AU-12-B Le système d'information permet au personnel désigné de l'organisation de sélectionner les événements vérifiables qui doivent être vérifiés par composant de système particulier.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne peut être configurée par les administrateurs de composants sans fil pour les événements à vérifier et à transmettre au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants sans fil non protégés.	S
AU-12 Génération d'enregistrements de vérification	AU-12-C Le système d'information génère des enregistrements de vérification pour la liste des événements vérifiés définie au contrôle AU-2 et dont le contenu est défini au contrôle AU-3.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de produire des enregistrements de vérification et de les transmettre au service de vérification pour les événements définis en AU-2 avec le contenu défini en AU-3. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants sans fil non protégés.	S
AU-12 Génération d'enregistrements de vérification	AU-12-1 Le système d'information compile les enregistrements de vérification provenant de [Affectation : composants du système d'information définis par l'organisation] en une piste de vérification (logique ou physique) globale qui est corrélée dans le temps, en-dedans de [Affectation : niveau de tolérance défini par l'organisation pour les relations entre les estampilles temporelles des enregistrements individuels de la piste de vérification].	Point(s) de mise en œuvre : Service de vérification, service réseau, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permettent de transmettre des enregistrements de vérification au service de vérification. Chaque composant synchronise son horloge système en utilisant la fonction de serveur de temps du service réseau pour s’assurer que les enregistrements de vérification sont corrélés dans le temps en dedans de [Affectation : niveau de tolérance défini par l’organisation pour les relations entre les estampilles temporelles des enregistrements individuels de la piste de vérification]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé, service réseau et la fonction de vérification des composants sans fil non protégés.	S
AU-12 Génération d'enregistrements de vérification	AU-12-2 Le système d'information produit une piste de vérification (logique ou physique) globale composée d'enregistrements de vérification dans un format normalisé.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permettent de transmettre des enregistrements de vérification au service de vérification. Les enregistrements de vérification produits par les composants (passerelle et serveur mandataire) de l’utilisateur externe et de l’administrateur externe sont dans un format normalisé ou convertis dans ce format par le service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants sans fil non protégés.	S
AU-14 Vérification des sessions	AU-14-A Le système d'information permet de saisir ou d'enregistrer et de journaliser tout le contenu d'une session utilisateur.	Point(s) de mise en œuvre : Service SDI Description : Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur sans fil interne et à journaliser ou saisir le contenu du service de vérification.	C
AU-14 Vérification des sessions	AU-14-B Le système d'information permet de visualiser ou d'écouter à distance et en temps réel tout le contenu d'une session utilisateur établie.	Point(s) de mise en œuvre : Service SDI et service de vérification. Description : Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur sans fil interne et à visualiser ou écouter à distance et en temps réel tout le contenu d’une session d’utilisateur.	C
AU-14 Vérification des sessions	AU-14-1 Le système d'information lance les vérifications de session au démarrage du système.	Point(s) de mise en œuvre : Service SDI et service de vérification. Description : Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur sans fil interne et à journaliser ou saisir le contenu du service de vérification. Le service SDI peut lancer les processus de vérification au démarrage du système.	C
CM-5 Restrictions d'accès associées aux changements	CM-5-A L'organisation définit, documente, approuve et applique les restrictions d'accès logique et physique associées aux changements au système d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et définissent les restrictions d'accès logique associées aux changements apportés au système d’information. Ces autorisations sont appliquées dans les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, et la fonction de contrôle d’accès des composants sans fil non protégés.	S
CM-5 Restrictions d'accès associées aux changements	CM-5-1 L'organisation utilise des mécanismes automatisés pour appliquer les restrictions d'accès et faciliter la vérification des mesures d'application.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliquées dans les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne. La vérification des mesures d’application de ces autorisations est également appliquée par les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, service de vérification et la fonction de vérification des composants sans fil non protégés.	S
CM-5 Restrictions d'accès associées aux changements	CM-5-3 Le système d'information empêche l'installation de [Affectation : programmes logiciels essentiels définis par l'organisation] qui ne sont pas signés à l'aide d'un certificat reconnu et approuvé par l'organisation.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil sont configurés de manière que leur système d’information empêche l’installation de [Affectation : programmes logiciels essentiels définis par l’organisation] qui ne sont pas signés à l’aide d’un certificat reconnu et approuvé par l’organisation.	S
CM-5 Restrictions d'accès associées aux changements	CM-5-6 L'organisation restreint les privilèges de changement des logiciels résidents dans les bibliothèques de logiciels (y compris les programmes privilégiés).	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et définissent les restrictions d’accès logique associées aux changements apportés aux logiciels résidents dans les bibliothèques de logiciels (incluant les programmes privilégiés). Ces autorisations sont appliquées dans les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, et la fonction de contrôle d’accès des composants sans fil non protégés.	S
CM-5 Restrictions d'accès associées aux changements	CM-5-7 Le système d'information met en œuvre automatiquement [Affectation : mesures de protection et contremesures définies par l'organisation] lorsque les fonctions (ou mécanismes) de sécurité sont modifiées de manière inappropriée.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et définissent les restrictions d’accès logique associées aux changements apportés au système d’information. Ces autorisations sont appliquées dans les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, et la fonction de contrôle d’accès des composants sans fil non protégés. Le système d’information met en œuvre automatiquement [Affectation : mesures de protection et contremesures définies par l’organisation] lorsque les fonctions (ou mécanismes) de sécurité sont modifiées de manière inappropriée.	S
CM-6 Paramètres de configuration	CM-6-B L'organisation met en œuvre les paramètres de configuration.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne composants sont configurées avec les paramètres de configuration obligatoires les plus rigoureux. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants sans fil non protégés.	S
CM-6 Paramètres de configuration	CM-6-1 L'organisation utilise des mécanismes automatisés pour centraliser la gestion, l'application et la vérification des paramètres de configuration.	Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le SGC permet la fourniture et la vérification des configurations des composants des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Le SGC permet de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées. Le service d’intégrité des fichiers (SIF) permet de vérifier les paramètres de configuration dans les fichiers des composants dans lesquels on peut installer un agent SIF. Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le SGC de réseau non protégé, le service d’intégrité des fichiers, le service d’authentification et d’autorisation, le service de vérification et la fonction de contrôle d’accès des composants sans fil non protégés.	S
CM-6 Paramètres de configuration	CM-6-2 L'organisation utilise des mécanismes automatisés pour intervenir dans les cas où des changements non autorisés sont apportés aux [Affectation : paramètres définis par l'organisation de configuration].	Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service d’authentification et d’autorisation, service de vérification, postes de travail sans fil, points d'accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d'utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations d’accès aux paramètres de vérification sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. La fonction de contrôle d’accès signale les tentatives d’accès non autorisé au service de vérification. Le SGC permet de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers signalent tout changement non autorisé. Ils peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le SGC de réseau non protégé, le service d’intégrité des fichiers, le service d’authentification et d’autorisation, le service de vérification et la fonction de contrôle d’accès des composants sans fil non protégés.	S
CM-6 Paramètres de configuration	CM-6-3 L'organisation intègre un mécanisme de détection des changements de configuration non autorisés liés à la sécurité à sa capacité d'intervention en cas d'incident pour s'assurer que de tels événements sont suivis, surveillés, corrigés et conservés à des fins historiques.	Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service d’authentification et d’autorisation, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations d’accès aux paramètres de vérification sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. La fonction de contrôle d’accès signale les tentatives d’accès non autorisé au service de vérification. Le SGC permet de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers signalent tout changement non autorisé. Ils peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le SGC de réseau non protégé, le service d’intégrité des fichiers, le service d’authentification et d’autorisation, le service de vérification et la fonction de contrôle d’accès des composants sans fil non protégés.	S
CM-7 Fonctionnalité minimale	CM-7-A L'organisation configure le système d'information de manière à offrir uniquement les capacités jugées essentielles et interdit ou restreint spécifiquement l'utilisation des fonctions, ports, protocoles ou services suivants : [Affectation : liste définie par l'organisation des fonctions, ports, protocoles ou services interdits ou restreints].	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre, le périmètre d’utilisateur sans fil interne et les composants sans fil non protégés sont configurés de manière à offrir uniquement les capacités jugées essentielles et interdit ou restreint l’utilisation des fonctions, ports, protocoles ou services suivants : [Affectation : liste définie par l’organisation des fonctions, ports, protocoles et (ou) services interdits et (ou) restreints].	S
CM-7 Fonctionnalité minimale	CM-7-2 L'organisation utilise des mécanismes automatisés pour empêcher l'exécution des programmes conformément à [Sélection (une ou plusieurs) : liste des programmes autorisés; liste des programmes non autorisés; règles d'autorisation des modalités d'utilisation d'un programme].	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil sont configurés de manière que leur système d’exploitation empêche l’exécution des programmes conformément à [Sélection (une ou plusieurs) : liste des programmes autorisés; liste des programmes non autorisés; règles d’autorisation des modalités d’utilisation d’un programme].	S
CM-8 Inventaire des composants de système d'information	CM-8-2 L'organisation utilise des mécanismes automatisés pour faciliter la tenue d'un inventaire des composants du système d'information qui soit à jour, complet, exact et facilement accessible.	Point(s) de mise en œuvre: SGC Description : Le SGC permet de vérifier les configurations des composants à des fins de prise d’inventaire automatisé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également appliquée au SGC de réseau non protégé.	C
CM-8 Inventaire des composants de système d'information	CM-8-3 L’organisation : (a) utilise des mécanismes automatisés [Affectation : fréquence définie par l'organisation] pour détecter l'ajout de tout composant ou dispositif non autorisé au système d'information; et (b) désactive l'accès réseau de ces composants ou dispositifs ou informe les autorités responsables de l'organisation.	Point(s) de mise en œuvre : Service SDISF, postes de travail sans fil, point d’accès et commutateurs de périmètre sans fil et composants sans fil non protégés. Description : Les postes de travail sans fil s’authentifient auprès des points d’accès lourds ou des commutateurs sans fil de périmètre (lorsque des points d’accès légers sont utilisés) en recourant à la cryptographie. Seuls les postes qui ont réussi à s’authentifier peuvent se connecter à la zone d’utilisateur sans fil interne. Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les composants sans fil non autorisés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
CP-9 Sauvegarde du système d'information	CP-9-A L'organisation effectue des sauvegardes des données utilisateur contenues dans le système d'information [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise].	Point(s) de mise en œuvre : Service de sauvegarde et de reprise et service de gestion de l’information. Description : Le service de sauvegarde et de reprise effectue des sauvegardes des données d’utilisateur gérées par le service de gestion de l’information [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise].	C
CP-9 Sauvegarde du système d'information	CP-9-B L'organisation effectue des sauvegardes des données système contenues dans le système d'information [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise].	Point(s) de mise en œuvre : Service de sauvegarde et de reprise, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le service de sauvegarde et de reprise accède aux postes de travail sans fil, aux points d’accès, aux capteurs, au commutateur sans fil/câblé de périmètre et au périmètre d’utilisateur sans fil interne pour sauvegarder l’information système [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de sauvegarde et de reprise de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés.	S
CP-9 Sauvegarde du système d'information	CP-9-C L'organisation effectue des sauvegardes de la documentation liée au système d'information, y compris la documentation sur la sécurité, [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise].	Point(s) de mise en œuvre : Service de sauvegarde et de reprise et service de gestion de l’information. Description : Le service de sauvegarde et de reprise effectue des sauvegardes de la documentation des systèmes d’information qui sont gérées par le service de gestion de l’information [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise].	C
CP-9 Sauvegarde du système d'information	CP-9-6 L'organisation effectue la sauvegarde du système d'information en recourant à un système secondaire redondant, situé hors de l'emplacement du système opérationnel, qui peut être activé sans perte d'information ou perturbation des opérations.	Point(s) de mise en œuvre : Tous Description : Un système secondaire redondant est prévu pour maintenir la disponibilité du service dans l’éventualité d’une défaillance du système principal.	S
CP-10 Reprise et reconstitution du système d'information	CP-10-2 Le système d'information applique un processus de reprise des transactions pour les systèmes de traitement transactionnel.	Point(s) de mise en œuvre : Service de gestion de l’information Description : Les bases de données gérées par le service de gestion de l’information incluent un processus de reprise des transactions.	C
CP-10 Reprise et reconstitution du système d'information	CP-10-5 L'organisation offre [Affectation : capacité de basculement définie par l'organisation pour le système d'information] en [Sélection : temps réel; temps quasi réel].	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne sont appliqués de manière à offrir en [Sélection : temps réel; temps quasi réel] [Affectation : capacité de basculement définie par l’organisation pour le système d’information]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants sans fil non protégés.	S
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-A Le système d'information identifie de façon unique et authentifie les utilisateurs organisationnels (ou les processus exécutés en leur nom).	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les justificatifs d’identité de comptes sont configurés dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliqués dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.	S
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-1 Le système d'information utilise l'authentification multifactorielle pour l'accès réseau aux comptes privilégiés.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès réseau des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre, du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.	-
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-2 Le système d'information utilise l'authentification multifactorielle pour l'accès réseau aux comptes non privilégiés.	Point(s) de mise en œuvre : S. O. Description : Les utilisateurs sans fil internes ne se connectent pas à la passerelle d’authentification par des connexions d’accès réseau.	-
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-3 Le système d'information utilise l'authentification multifactorielle pour l'accès local aux comptes privilégiés.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.	S
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-4 Le système d'information utilise l'authentification multifactorielle pour l'accès local aux comptes non privilégiés.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail sans fil. Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et appliquée dans la fonction de connexion des postes de travail sans fil.	S
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-5 L’organisation : (a) permet l'utilisation d'authentifiants de groupe seulement s'ils sont utilisés de pair avec un authentifiant individuel ou unique; et (b) exige des utilisateurs qu'ils soient authentifiés par un authentifiant individuel avant d'utiliser un authentifiant de groupe.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les justificatifs d’authentifiant de groupe sont configurés dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et les utilisateurs sans fil internes. Les authentifiants de groupe sont utilisés dans la fonction de connexion des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne pour les administrateurs de composants sans fil. Ils sont également utilisés dans la fonction de connexion des postes de travail sans fil pour les utilisateurs sans fil internes. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés pour les administrateurs de composants sans fil non protégés.	S
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-6 Le système d'information utilise, pour l'accès réseau aux comptes privilégiés, une authentification multifactorielle où l'un des facteurs est fourni par un dispositif distinct du système d'information auquel l'utilisateur accède.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès réseau des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Un des facteurs est fourni par un dispositif distinct du système d’information auquel l’utilisateur accède. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.	-
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-7 Le système d'information utilise, pour l'accès réseau aux comptes non privilégiés, une authentification multifactorielle où l'un des facteurs est fourni par un dispositif distinct du système d'information auquel l'utilisateur accède.	Point(s) de mise en œuvre : S. O. Description : Les utilisateurs sans fil internes ne se connectent pas à la passerelle d’authentification par des connexions d’accès réseau.	-
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-8 Le système d'information utilise [Affectation : mécanismes d'authentification résistant aux réinsertions définis par l'organisation] pour l'accès réseau aux comptes privilégiés.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La méthode d’authentification est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès réseau des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne, utilise [Affectation : mécanismes d’authentification résistant aux réinsertions définis par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.	-
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-9 Le système d'information utilise [Affectation : mécanismes d'authentification résistant aux réinsertions définis par l'organisation] pour l'accès réseau aux comptes non privilégiés.	Point(s) de mise en œuvre: S. O. Description : Les utilisateurs sans fil internes ne se connectent pas à la passerelle d’authentification par des connexions d’accès réseau.	-
IA-2 Identification et authentification (utilisateurs organisationnels)	IA-2-100 Le système d'information utilise l'authentification multifactorielle pour l'accès à distance aux comptes privilégiés.	Point(s) de mise en œuvre : S. O. Description : Les administrateurs de composants sans fil n’utilisent pas les connexions d’accès à distance pour administrer les composants sans fil.	-
IA-3 Identification et authentification des dispositifs	IA-3-A Le système d'information identifie de façon unique et authentifie [Affectation : liste définie de dispositifs ou types de dispositif précis] avant l'établissement d'une connexion.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail sans fil. Description : Les postes de travail sans fil doivent réussir à créer des associations avec le protocole 802.11 en utilisant l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.	S
IA-3 Identification et authentification des dispositifs	IA-3-1 Le système d'information authentifie les dispositifs avant l'établissement des connexions réseau à distance et sans fil en utilisant une authentification bidirectionnelle entre dispositifs qui repose sur la cryptographie.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès et commutateurs sans fil de périmètre. Description : Les postes de travail sans fil s’authentifient auprès des points d’accès lourds ou des commutateurs sans fil de périmètre (lorsque des points d’accès légers sont utilisés) en recourant à la cryptographie. L’authentification s’appuie sur l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.	S
IA-3 Identification et authentification des dispositifs	IA-3-2 Le système d'information authentifie les dispositifs avant l'établissement des connexions réseau en utilisant une authentification bidirectionnelle entre dispositifs qui repose sur la cryptographie.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès et commutateurs sans fil de périmètre. Description : Les postes de travail sans fil utilisent une authentification bidirectionnelle pour s’authentifier auprès des points d’accès lourds ou des commutateurs sans fil de périmètre (lorsque des points d’accès légers sont utilisés) en recourant à la cryptographie. L’authentification s’appuie sur l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.	S
IA-4 Gestion des identificateurs	IA-4-5 Le système d'information gère de manière dynamique les identificateurs, les attributs et les autorisations d'accès connexes.	Point(s) de mise en œuvre : S. O. Description : Le recours à la gestion dynamique des identificateurs, des attributs et des autorisations d’accès connexes ne s’applique pas au scénario d’utilisation opérationnelle.	-
IA-5 Gestion des authentifiants	IA-5-1 Authentification axée sur les mots de passe – Le système d'information : (a) applique un mot de passe de complexité minimale [Affectation : exigences définies par l'organisation concernant la sensibilité à la casse, le nombre de caractères, la combinaison minuscules-majuscules, les lettres minuscules, les chiffres et les caractères spéciaux, y compris les exigences minimales pour chaque type]; (b) applique au minimum [Affectation : nombre de caractères modifiés défini par l'organisation] lors de la création de nouveaux mots de passe; (c) chiffre les mots de passe stockés et en transit; (d) applique les restrictions minimales et maximales de durée des mots de passe, soit [Affectation : nombre défini par l'organisation pour la durée minimale ou maximale]; et (e) interdit la réutilisation des mots de passe pendant [Affectation : nombre défini par l'organisation] générations.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les comptes d’utilisateur sans fil interne et d’administrateur de composants sans fil sont configurés dans le service d’authentification et d’autorisation qui (a) applique un mot de passe de complexité minimale [Affectation : exigences définies par l’organisation concernant la sensibilité à la casse, le nombre de caractères, la combinaison minuscules-majuscules, les lettres minuscules, les chiffres et les caractères spéciaux, y compris les exigences minimales pour chaque type]; (b) applique au minimum [Affectation : nombre de caractères modifiés défini par l’organisation] lors de la création de nouveaux mots de passe; (c) chiffre les mots de passe stockés et en transit; (d) applique les restrictions minimales et maximales de durée des mots de passe, soit [Affectation : nombre défini par l’organisation pour la durée minimale ou maximale]; (e) interdit la réutilisation des mots de passe pendant [Affectation : nombre défini par l’organisation] générations. Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne permettent les connexions axées sur la politique des mots de passe. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.	S
IA-5 Gestion des authentifiants	IA-5-2 Authentification axée sur l'ICP – Le système : (a) valide les certificats en créant un chemin de certification avec l'information d'état vers un point d'ancrage de confiance autorisé; (b) applique la procédure d'accès autorisé à la clé privée correspondante; et (c) associe l'identité authentifiée au compte de l'utilisateur.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service ICP, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : L’authentification axée sur l’ICP est configurée dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et prise en charge par le service d’ICP pour (a) valider les certificats en créant un chemin de certification avec l’information d’état vers un point d’ancrage de confiance autorisé; (b) appliquer la procédure d’accès autorisé à la clé privée correspondante; (c) associer l’identité authentifiée au compte de l’utilisateur. L’authentification axée sur l’ICP est assurée par la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, le service d’ICP et la fonction de connexion des composants sans fil non protégés.	S
IA-6 Rétroaction d'authentification	IA-6-A Le système d'information obscure les rétroactions d'information durant le processus d'authentification afin de protéger l'information contre de possibles exploitations ou utilisations par des personnes non autorisées.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne occulte l’information sur la rétroaction d’authentification durant le processus de connexion. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans la fonction de connexion des composants sans fil non protégés.	S
IA-7 Authentification des modules cryptographiques	IA-7-A Le système d'information utilise des mécanismes d'authentification auprès d'un module cryptographique qui satisfont à l'orientation du CSTC en matière d'authentification.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les méthodes d’authentification sont configurées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliquées dans la fonction de connexion des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Elles répondent aux exigences des conseils concernés du CSTC. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.	S
IA-8 Identification et authentification (utilisateurs non organisationnels)	S. O.	Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque l’accès sans fil n’est pas offert aux utilisateurs externes.	-
MA-4 Télémaintenance	S. O.	Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle qui ne prend pas en charge les activités de télémaintenance et de télédiagnostic.	-
SC-2 Partitionnement des applications	SC-2-A Le système d'information sépare la fonctionnalité utilisateur (y compris les services d'interface utilisateur) de la fonctionnalité de gestion du système d'information.	Point(s) de mise en œuvre : Service réseau Description : Le service réseau inclut une sous-zone de gestion qui permet de séparer les services d’utilisateur et de gestion.	C
SC-2 Partitionnement des applications	SC-2-1 Le système d'information empêche la présentation de la fonctionnalité liée à la gestion du système d'information à une interface pour les utilisateurs généraux (c.-à-d. non privilégiés).	Point(s) de mise en œuvre : Service réseau Description : Le service réseau inclut une sous-zone de gestion et une zone d’utilisateur sans fil interne pour séparer les fonctions de gestion de système des fonctions privilégiées (p. ex. un utilisateur externe).	C
SC-3 Isolement des fonctions de sécurité	SC-3-A Le système d'information isole les fonctions de sécurité des autres fonctions.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre et périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants sans fil non protégés.	S
SC-3 Isolement des fonctions de sécurité	SC-3-1 Le système d'information recoure à des mécanismes sous-jacents de séparation matérielle pour faciliter l'isolement des fonctions de sécurité.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne recourent à des mécanismes sous-jacents de séparation matérielle pour faciliter l’isolement des fonctions de sécurité. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants sans fil non protégés.	S
SC-3 Isolement des fonctions de sécurité	SC-3-2 Le système isole, à la fois des autres fonctions de sécurité et des fonctions non liées à la sécurité, les fonctions de sécurité appliquant le contrôle de l'accès et du flux d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et périmètre d’utilisateur sans fil interne. Description : Les fonctions de sécurité appliquant le contrôle de l'accès et du flux d'information, différentes de celles non liées à la sécurité exécutées dans le système d’information, sont mises en œuvre dans le service d’authentification et d’autorisation et le périmètre d’utilisateur sans fil interne.	S
SC-3 Isolement des fonctions de sécurité	SC-3-3 L'organisation recoure à un périmètre d'isolation du système d'information pour réduire le nombre de fonctions non liées à la sécurité partageant le même périmètre que les fonctions de sécurité.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne réduisent le nombre de fonctions non liées à la sécurité incluses dans le périmètre d'isolation qui contient les fonctions de sécurité. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants sans fil non protégés.	S
SC-3 Isolement des fonctions de sécurité	SC-3-4 L'organisation applique les fonctions de sécurité sous forme de modules essentiellement indépendants qui évitent toute interaction inutile entre eux.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne appliquent les fonctions de sécurité sous forme de modules essentiellement indépendants qui évitent toute interaction inutile entre eux. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants sans fil non protégés.	S
SC-3 Isolement des fonctions de sécurité	SC-3-5 L'organisation applique les fonctions de sécurité dans une structure en couches qui permet de réduire les interactions entre les couches de la conception et d'éviter que les couches inférieures soient assujetties au bon fonctionnement des couches supérieures ou de leurs fonctions.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne appliquent les fonctions de sécurité dans une structure en couches qui permet de réduire les interactions entre les couches de la conception et d'éviter que les couches inférieures soient assujetties au bon fonctionnement des couches supérieures ou de leurs fonctions. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants sans fil non protégés.	S
SC-4 Information contenue dans les ressources partagées	SC-4-A Le système d'information empêche tout transfert d'information non autorisé et involontaire découlant du partage des ressources du système.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations, attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil, définissent l’information à laquelle les utilisateurs et les administrateurs sont autorisés à accéder. Ces autorisations sont appliquées dans la fonction de contrôle d’accès des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne et ont pour but d’empêcher tout transfert d’information non autorisé et involontaire découlant du partage des ressources du système. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés.	S
SC-4 Information contenue dans les ressources partagées	SC-4-1 Le système d'information ne partage pas les ressources utilisées dans les interfaces avec les systèmes fonctionnant à des niveaux de sécurité différents.	Point(s) de mise en œuvre : S. O. Description : Toute interface entre des systèmes d’information possédant des niveaux de sécurité différents ne s’applique pas au scénario d’utilisation opérationnelle.	-
SC-5 Protection contre les dénis de service	SC-5-A Le système d'information protège contre les types d'attaques par déni de service suivants ou en limite les effets : [Affectation : liste définie par l'organisation des types d'attaques par déni de service ou renvoi à la source de la liste actuelle].	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les attaques par déni de service dans la zone d’utilisateur sans fil interne tandis que le service SDI surveille ce même type d'attaque dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SC-5 Protection contre les dénis de service	SC-5-1 Le système d'information limite la capacité des utilisateurs de lancer des attaques par déni de service contre d'autres systèmes d'information ou réseaux.	Point(s) de mise en œuvre: Service SDISF, capteurs, points d’accès et service SDI. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les attaques par déni de service dans la zone d’utilisateur sans fil interne tandis que le service SDI surveille ce même type d'attaque dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SC-5 Protection contre les dénis de service	SC-5-2 Le système d'information gère l'excédent de capacité et de largeur de bande, ou toute autre redondance, afin de limiter les effets d'attaques par déni de service de types inondation d'information.	Point(s) de mise en œuvre : Service réseau Description : Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic pour les types de trafic réseau afin de limiter les effets d’attaques par déni de service de types inondation d’information.	C
SC-6 Priorité des ressources	SC-6-A Le système d'information limite l'utilisation des ressources selon leur priorité.	Point(s) de mise en œuvre : Service réseau Description : Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic pour les types de trafic réseau afin de limiter l’utilisation des ressources selon leur priorité.	C
SC-7 Protection des frontières	SC-7-A Le système d'information surveille et contrôle les communications à sa frontière externe et à ses principales frontières internes.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Les périmètres utilisés pour la mise en place des zones du réseau ministériel (incluant le périmètre d’utilisateur sans fil interne) surveillent et contrôlent les communications entre la frontière de la zone d’utilisateur sans fil interne et le réseau ministériel. La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.	S
SC-7 Protection des frontières	SC-7-B Le système d'information se connecte aux réseaux ou aux systèmes d'information externes uniquement par des interfaces gérées qui sont dotées de mécanismes de protection des frontières répartis conformément à l'architecture de sécurité de l'organisation.	Point(s) de mise en œuvre : S. O. Description : La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.	-
SC-7 Protection des frontières	SC-7-1 L'organisation attribue physiquement les composants de système d'information accessibles au public pour séparer les sous-réseaux par des interfaces réseau physiques distinctes.	Point(s) de mise en œuvre : S. O. Description : La sécurité des composants de système d’information accessible au public est hors de la portée du scénario d’utilisation opérationnelle.	-
SC-7 Protection des frontières	SC-7-2 Le système d'information empêche tout accès public aux réseaux internes de l'organisation sauf dans le cas où l'accès est négocié de manière appropriée par des interfaces gérées dotées de dispositifs de protection des frontières.	Point(s) de mise en œuvre : S. O. Description : La sécurité de l’accès du public au réseau ministériel est hors de la portée du scénario d’utilisation opérationnelle.	-
SC-7 Protection des frontières	SC-7-3 L'organisation limite le nombre de points d'accès au système d'information afin d'exercer une meilleure surveillance des communications entrantes et sortantes et du trafic réseau.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Les points d’accès au réseau ministériel pour les utilisateurs sans fil internes sont limités au périmètre d’utilisateur sans fil interne.	S
SC-7 Protection des frontières	SC-7-4 L’organisation : (a) applique une interface gérée à chaque service de télécommunications externe; (b) établit une politique de flux de trafic pour chaque interface gérée; (c) utilise des contrôles de sécurité selon les besoins pour protéger la confidentialité et l'intégrité de l'information transmise; (d) documente chaque exception à la politique de flux de trafic en précisant le besoin de la mission ou de l'activité opérationnelle donnant lieu à l'exception et la durée de ce besoin; (e) examine les exceptions à la politique de flux de trafic [Affectation : fréquence définie par l'organisation]; et (f) supprime les exceptions à la politique de flux de trafic qui ne sont plus justifiées par un besoin explicite de la mission ou d'une activité opérationnelle.	Point(s) de mise en œuvre : S. O. Description : La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.	-
SC-7 Protection des frontières	SC-7-5 Le système d'information, au niveau des interfaces gérées, interdit tout trafic réseau par défaut et ne l'autorise qu'exceptionnellement (c.-à-d. interdit tout trafic, permet le trafic par exception).	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne est configuré de manière à interdire tout trafic réseau par défaut et à ne l’autoriser qu’exceptionnellement (c.-à-d. interdit tout trafic, permet le trafic par exception).	S
SC-7 Protection des frontières	SC-7-6 L'organisation empêche toute diffusion d'information non autorisée hors des frontières du système d'information ou toute communication non autorisée à travers les frontières du système d'information en cas de défaillance opérationnelle des mécanismes de protection des frontières.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne tombe à l’état ouvert pour empêcher toute diffusion d’information ou toute communication non autorisée hors des frontières du système d’information en cas de défaillance opérationnelle du périmètre.	S
SC-7 Protection des frontières	SC-7-7 Le système d'information empêche les dispositifs distants, qui ont établi une connexion non distante avec le système, de communiquer à l'extérieur de cette voie de communication avec des ressources de réseaux externes.	Point(s) de mise en œuvre : S. O. Description : L’utilisation de dispositifs éloignés ne s’applique pas au scénario d’utilisation opérationnelle.	-
SC-7 Protection des frontières	SC-7-8 Le système d'information achemine [Affectation : trafic de communications interne défini par l'organisation] vers [Affectation : réseaux externes définis par l'organisation] à travers des serveurs mandataires authentifiés dans les interfaces gérées des dispositifs de protection des frontières.	Point(s) de mise en œuvre : S. O. Description : La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.	-
SC-7 Protection des frontières	SC-7-9 Le système d'information, au niveau des interfaces gérées, interdit le trafic réseau et vérifie les utilisateurs internes (ou le code malveillant) qui représentent une menace pour les systèmes d'information externes.	Point(s) de mise en œuvre : Service réseau et service de vérification. Description : Les périmètres du service réseau utilisés pour la mise en place des zones du réseau ministériel (incluant les composants de la passerelle d’utilisateur externe et d’administrateur externe) interdisent les communications non autorisées et transmettent des enregistrements de vérification de ces communications (associées aux utilisateurs internes (ou au code malveillant) qui posent une menace pour les systèmes d'information externes) au service de vérification.	C
SC-7 Protection des frontières	SC-7-10 L'organisation empêche l'exfiltration d'information non autorisée à travers les interfaces gérées.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Les périmètres utilisés pour la mise en place des zones du réseau ministériel (incluant le périmètre d’utilisateur sans fil interne) empêchent l’exfiltration non autorisée d’information.	S
SC-7 Protection des frontières	SC-7-11 Le système d'information vérifie les communications entrantes pour s'assurer qu'elles proviennent d'une source autorisée et qu'elles sont acheminées vers une destination autorisée.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Les périmètres utilisés pour la mise en place des zones du réseau ministériel (incluant le périmètre d’utilisateur sans fil interne) vérifient les communications entrantes pour s’assurer qu’elles proviennent d’une source autorisée et qu’elles sont acheminées vers une destination autorisée.	S
SC-7 Protection des frontières	SC-7-12 Le système d'information applique des mécanismes de protection des frontières intégrés à l'hôte pour les serveurs, les postes de travail et les dispositifs mobiles.	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Des mécanismes de protection des frontières intégrés à l’hôte sont appliqués aux points d’accès, aux capteurs, au commutateur sans fil/câblé de périmètre et au périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également appliquée aux composants sans fil non protégés.	S
SC-7 Protection des frontières	SC-7-13 L'organisation isole les [Affectation : outils, mécanismes et composants de soutien clés de sécurité de l'information définis par l'organisation] des autres composants internes du système d'information au moyen de sous-réseaux physiques distincts dotés d'interfaces gérées tournées vers les autres parties du système.	Point(s) de mise en œuvre : Service réseau Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées.	C
SC-7 Protection des frontières	SC-7-15 Le système d'information achemine tous les accès réseau privilégiés à travers une interface gérée spécialisée aux fins de contrôle des accès et de vérification.	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne utilisent une interface réseau de gestion séparée connectée à la sous-zone de gestion. Ces interfaces permettent aux administrateurs de composants sans fil d’accéder aux composants et servent au soutien du contrôle d’accès administratif et de la vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également appliquée aux composants sans fil non protégés.	S
SC-7 Protection des frontières	SC-7-16 Le système d'information empêche la découverte des composants de système particuliers (ou dispositifs) d'une interface gérée.	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre, le périmètre d’utilisateur sans fil interne et les composants sans fil non protégés utilisent une interface réseau de gestion séparée connectée à la sous-zone de gestion. Ces interfaces bloquent les outils ou techniques de découverte de réseau.	S
SC-7 Protection des frontières	SC-7-17 L'organisation utilise des mécanismes automatisés pour imposer le respect rigoureux des formats de protocole.	Point(s) de mise en œuvre : Service réseau Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées. Les composants de périmètre qui séparent les zones et les sous-zones appliquent un respect rigoureux des formats de protocole et interdisent toute communication non conforme aux formats.	C
SC-7 Protection des frontières	SC-7-18 Le système d'information passe en mode de fonctionnement à sécurité intégrée (fail secure) dans l'éventualité d'une défaillance opérationnelle d'un dispositif de protection des frontières.	Point(s) de mise en œuvre : Service réseau Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées. Les composants de périmètre qui séparent les zones et les sous-zones tombent en panne de manière sécuritaire et bloquent toute communication relative à leur état.	C
SC-8 Intégrité des transmissions	SC-8-A Le système d'information protège l'intégrité de l'information transmise.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre.	S
SC-8 Intégrité des transmissions	SC-8-1 L'organisation utilise des mécanismes cryptographiques pour déceler toute modification apportée à l'information durant sa transmission, sauf si elle est protégée par d'autres mesures physiques. La cryptographie doit être conforme aux exigences du contrôle SC-13.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. La cryptographie utilisée est conforme aux exigences du contrôle SC-13.	S
SC-8 Intégrité des transmissions	SC-8-2 Le système d'information maintient l'intégrité de l'information durant les opérations de regroupement, d'emballage et de transformation préparatoires à sa transmission.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre.	S
SC-9 Confidentialité des transmissions	SC-9-A Le système d'information protège la confidentialité de l'information transmise.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre.	S
SC-9 Confidentialité des transmissions	SC-9-1 L'organisation utilise des mécanismes cryptographiques pour déceler toute modification apportée à l'information durant sa transmission, sauf si elle est protégée par [Affectation : autres mesures physiques définies par l'organisation]. La cryptographie doit être conforme aux exigences du contrôle SC-13.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. La cryptographie utilisée est conforme aux exigences du contrôle SC-13.	S
SC-9 Confidentialité des transmissions	SC-9-2 Le système d'information maintient la confidentialité de l'information durant les opérations de regroupement, d'emballage et de transformation préparatoires à sa transmission.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès et commutateur sans de périmètre Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Les postes de travail sans fil, les points d’accès et les commutateurs sans fil de périmètre protègent la confidentialité de l’information durant le regroupement, l’emballage et la transformation des données en vue de leur transmission.	S
SC-9 Confidentialité des transmissions	SC-9-100 L’organisation fait appel à la confidentialité du trafic pour protéger les communications contre des attaques par l'analyse des flux de trafic.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès et commutateur sans de périmètre Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège les communications de la zone d’utilisateur sans fil interne contre l’analyse des flux de trafic.	S
SC-10 Déconnexion réseau	SC-10-A Le système d'information met un terme à toute connexion réseau associée à une session de communications à la fin de la session ou après [Affectation : durée définie par l'organisation] d'inactivité.	Point(s) de mise en œuvre : Périmètre d’utilisateur sans fil interne Description : Le périmètre d’utilisateur sans fil interne est configuré de manière à couper les connexions réseau à la fin de la session ou après [Affectation : durée définie par l’organisation] d’inactivité.	S
SC-11 Chemin de confiance	SC-11-A Le système d'information établit une voie de communication de confiance entre l'utilisateur et les fonctions de sécurité de système suivantes : [Affectation : fonctions de sécurité définies par l'organisation et incluant, au minimum, l'authentification et la réauthentification du système d'information].	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les administrateurs de composants sans fil accèdent aux points d’accès, aux capteurs, au commutateur sans fil/câblé de périmètre et au périmètre d’utilisateur sans fil interne en utilisant leurs postes situés dans la sous-zone de gestion du service réseau. Les politiques sur le flux d'information appliquées dans la zone d’accès restreint et la zone de travail veillent à ce que l’administration des composants sans fil soit effectuée seulement depuis les postes de travail d’administrateur situés dans la sous-zone de gestion. Le chemin entre les administrateurs internes et les composants sans fil est par conséquent fiable. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée aux composants sans fil non protégés en utilisant une sous-zone de gestion non protégée.	S
SC-12 Établissement et gestion des clés cryptographiques	SC-12-A L'organisation établit et gère les clés cryptographiques utilisées pour les opérations de cryptographie requises dans le système d'information.	Point(s) de mise en œuvre : Service ICP Description : Le service d’ICP établit et gère les clés utilisées pour les opérations de cryptographie requises dans le système d’information.	C
SC-12 Établissement et gestion des clés cryptographiques	SC-12-2 L'organisation produit, contrôle et distribue des clés cryptographiques symétriques à l'aide d'une technologie et de processus de gestion des clés approuvés par le CSTC.	Point(s) de mise en œuvre : Service ICP Description : Le service d’ICP produit, contrôle et distribue des clés cryptographiques symétriques à l’aide d’une technologie et de processus de gestion des clés approuvés par le CSTC.	C
SC-12 Établissement et gestion des clés cryptographiques	SC-12-3 L'organisation produit, contrôle et distribue des clés cryptographiques symétriques et asymétriques à l'aide d'une technologie et de processus de gestion des clés approuvés par le CSTC.	Point(s) de mise en œuvre : Service ICP Description : Le service d’ICP produit, contrôle et distribue des clés cryptographiques symétriques et asymétriques à l’aide d’une technologie et de processus de gestion des clés approuvés par le CSTC.	C
SC-12 Établissement et gestion des clés cryptographiques	SC-12-4 L'organisation produit, contrôle et distribue des clés cryptographiques asymétriques à l'aide de certificats approuvés d'assurance de niveau moyen ou de matériel de chiffrement préplacé.	Point(s) de mise en œuvre : Service ICP Description : Le service d’ICP produit, contrôle et distribue des clés cryptographiques asymétriques à l’aide de certificats d’ICP approuvés de classe 3 ou de matériel de chiffrement préplacé.	C
SC-12 Établissement et gestion des clés cryptographiques	SC-12-5 L'organisation produit, contrôle et distribue des clés cryptographiques asymétriques à l'aide de certificats approuvés d'assurance de niveau moyen ou élevé et des jetons de sécurité matériels qui protègent la clé privée de l'utilisateur.	Point(s) de mise en œuvre : Service ICP Description : Le service d’ICP produit, contrôle et distribue des clés cryptographiques asymétriques à l’aide de certificats d’ICP approuvés de classe 3 ou 4 et de jetons de sécurité matériels qui protègent la clé privée de l’utilisateur.	C
SC-13 Utilisation de la cryptographie	SC-13-A Le système d'information met en œuvre des mécanismes cryptographiques faisant appel à des systèmes cryptographiques qui sont conformes aux lois du GC et aux politiques, directives et normes applicables du SCT.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Le processus de chiffrement est appliqué en recourant aux mécanismes de chiffrement approuvés par le CSTC et adaptés à la classification et à la sensibilité de l’information, conformément à la législation du GC et aux politiques, directives et normes applicables du SCT.	S
SC-13 Utilisation de la cryptographie	SC-13-1 L’organisation utilise, au minimum, la cryptographie validée par le PVMC pour protéger les données NON CLASSIFIÉ.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès et commutateur sans de périmètre Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Il est appliqué en utilisant, au minimum, la cryptographie validée par le PVMC pour protéger les données non classifiées.	S
SC-13 Utilisation de la cryptographie	SC-13-2 L'organisation utilise une cryptographie approuvée par le CSTC pour protéger les données classifiées.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès et commutateur sans de périmètre Description : Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications entre les INE d’utilisateur et de périmètre sont chiffrées. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Il est appliqué en utilisant la cryptographie approuvée par le CSTC pour protéger les données classifiées.	S
SC-13 Utilisation de la cryptographie	SC-13-3 L'organisation utilise, au minimum, une cryptographie validée par le PVMC pour protéger les données lorsque lesdites données doivent être mises hors de la portée des personnes qui possèdent la cote de sécurité appropriée mais non les autorisations d'accès requises.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre et périmètre d’utilisateur sans fil interne. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne utilisent, au minimum, la cryptographie validée par le PVMC pour protéger les données lorsque lesdites données doivent être mises hors de la portée des personnes qui possèdent la cote de sécurité appropriée, mais non les autorisations d’accès requises.	S
SC-13 Utilisation de la cryptographie	SC-13-4 L'organisation utilise une cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] pour l'application des signatures numériques.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Ces composants utilisent la cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] afin d’utiliser les signatures numériques requises pour les communications chiffrées.	S
SC-13 Utilisation de la cryptographie	SC-13-100 L'organisation utilise une cryptographie validée par le PVMC pour protéger les données PROTÉGÉ A en transit.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès et commutateur sans de périmètre Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Le chiffrement utilise la cryptographie validée par le PVMC pour protéger les données de type Protégé A durant la transmission.	-
SC-13 Utilisation de la cryptographie	SC-13-101 L'organisation utilise une cryptographie validée par le PVMC pour protéger les données PROTÉGÉ B en transit.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès et commutateur sans de périmètre Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Le chiffrement utilise la cryptographie validée par le PVMC pour protéger les données de type Protégé B durant la transmission.	-
SC-13 Utilisation de la cryptographie	SC-13-102 L'organisation utilise une cryptographie approuvée par le CSTC pour protéger les données PROTÉGÉ C en transit.	Point(s) de mise en œuvre : INE d’utilisateur et de périmètre. Description : Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications entre les INE d’utilisateur et de périmètre sont chiffrées. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Le chiffrement utilise la cryptographie approuvée par le CSTC pour protéger les données de type Protégé C durant la transmission.	-
SC-13 Utilisation de la cryptographie	SC-13-103 L’organisation utilise une cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] pour protéger les [Sélection : données définies par l’organisation] PROTÉGÉ inactives.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil sont configurés à l’aide de mécanismes cryptographiques pour protéger l’intégrité et la confidentialité de leur information protégée inactive. Une cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] est utilisée pour protéger les [Sélection : données définies par l’organisation] protégées inactives.	-
SC-13 Utilisation de la cryptographie	SC-13-104 L’organisation utilise l’équipement COMSEC conformément aux Directives pour l’application de la sécurité des communications au sein du gouvernement du Canada (ITSD-01) du CSTC.	Point(s) de mise en œuvre : INE d’utilisateur et de périmètre. Description : Les INE d’utilisateur et de périmètre sont utilisés en conformité avec le guide ITSD-01, Directives pour l’application de la sécurité des communications au sein du gouvernement du Canada, du CSTC.	-
SC-14 Protection de l'accès public	S. O.	Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, qui ne prévoit pas la protection de l’intégrité et de la disponibilité de l’information et des applications accessibles au public.	-
SC-16 Transmission des attributs de sécurité	S. O.	Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque l’échange d’information entre des systèmes d’information séparés (p. ex. le réseau ministériel et un autre système quelconque) et les attributs de sécurité qui leur sont associés ne s’appliquent également pas au scénario d’utilisation opérationnelle.	-
SC-18 Code mobile	SC-18-C L'organisation autorise, surveille et contrôle l'utilisation du code mobile dans le système d'information.	Point(s) de mise en œuvre : SDCM et postes de travail sans fil. Description : La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées.	S
SC-18 Code mobile	SC-18-1 Le système d'information met en œuvre des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices, le cas échéant.	Point(s) de mise en œuvre : SDCM, postes de travail sans fil et périmètre d’utilisateur sans fil interne. Description : La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant, conformes aux politiques définies dans le SDCM qui prévoient des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices. Le périmètre d’utilisateur sans fil interne surveille les communications entrantes et sortantes de la zone d’utilisateur sans fil interne pour inspecter les données et détecter tout code mobile non autorisé et prendre les mesures correctrices appropriées.	S
SC-18 Code mobile	SC-18-3 Le système d'information empêche le téléchargement et l'exécution de tout code mobile interdit.	Point(s) de mise en œuvre : SDCM et postes de travail sans fil. Description : La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant, conformes aux politiques définies dans le SDCM qui prévoient des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices.	S
SC-18 Code mobile	SC-18-4 Le système d'information empêche l'exécution automatique de code mobile dans [Affectation : applications logicielles définies par l'organisation] et exige que [Affectation : mesures définies par l'organisation] soient prises avant d'exécuter le code.	Point(s) de mise en œuvre : SDCM et postes de travail sans fil. Description : La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant, conformes aux politiques définies dans le SDCM qui prévoient des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices.	S
SC-20 Service sécurisé de résolution de nom ou d'adresse (source autorisée)	SC-20-A Le système d'information fournit des éléments additionnels d'information sur l'origine et l'intégrité des données en plus des données faisant autorité qu'il retourne en réponse aux requêtes de résolution de nom ou d'adresse.	Point(s) de mise en œuvre : Service réseau Description : La fonction DNS du service réseau offre un service de résolution de nom et d’adresse et fournit des éléments additionnels d’information sur l’origine et l’intégrité des données en plus des données faisant autorité qu’elle retourne en réponse aux requêtes de résolution de nom ou d’adresse.	C
SC-20 Service sécurisé de résolution de nom ou d'adresse (source autorisée)	SC-20-1 Le système d'information, lorsqu'il est utilisé dans un espace de nom hiérarchique distribué, offre des moyens d'indiquer l'état de sécurité des sous-espaces enfants et (si l'enfant prend en charge des services sécurisés de résolution) de vérifier l'existence d'une chaîne de confiance entre les domaines parents et enfants.	Point(s) de mise en œuvre : Service réseau Description : La fonction DNS du service réseau, lorsqu'utilisée dans un espace de nom hiérarchique distribué, offre des moyens d’indiquer l’état de sécurité des sous-espaces enfants et (si l’enfant prend en charge des services sécurisés de résolution) de vérifier l’existence d’une chaîne de confiance entre les domaines parents et enfants.	C
SC-21 Service sécurisé de résolution de nom ou d'adresse (résolveur récursif ou cache)	SC-21-A Le système d'information authentifie l'origine et vérifie l'intégrité des données des réponses de résolution de nom et d'adresse qu'il reçoit de sources autorisées suite à des requêtes de systèmes clients.	Point(s) de mise en œuvre : Service réseau Description : La fonction DNS du service réseau authentifie l’origine et vérifie l’intégrité des données uniquement suite à des requêtes d’utilisateur sans fil interne.	C
SC-21 Service sécurisé de résolution de nom ou d'adresse (résolveur récursif ou cache)	SC-21-1 Le système d'information authentifie l'origine et vérifie l'intégrité des données de toutes les réponses de résolution, que les requêtes de service proviennent explicitement ou non de clients locaux.	Point(s) de mise en œuvre : Service réseau Description : La fonction DNS du service réseau effectue toujours l’authentification de l’origine et la vérification de l’intégrité des données.	C
SC-22 Architecture et fourniture de service de résolution de nom ou d'adresse	SC-22-A Les systèmes d'information qui offrent collectivement des services de résolution de nom et d'adresse pour une organisation sont tolérants aux pannes et appliquent une séparation des rôles internes et externes.	Point(s) de mise en œuvre: Service réseau Description : La fonction DNS du service réseau est tolérante aux pannes et applique une séparation des rôles.	C
SC-23 Authenticité des sessions	SC-23-A Le système d'information prévoit des mécanismes pour protéger l'authenticité des sessions de communications.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, commutateurs sans fil de périmètre, INE d’utilisateur et de périmètre et composants sans fil non protégés. Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège l’authenticité des sessions de communications dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est chiffrée par les INE d’utilisateur et de périmètre. Le processus de chiffrement est appliqué en recourant aux mécanismes de chiffrement approuvés par le CSTC et adaptés à la classification et à la sensibilité de l’information, conformément au document ITSA-11D, Algorithmes cryptographiques approuvés par le CSTC pour la protection des renseignements sensibles et pour les applications d’authentification et d’autorisation électroniques au sein du gouvernement du Canada.	S
SC-23 Authenticité des sessions	SC-23-1 Le système d'information invalide les identificateurs de session lorsque l'utilisateur ferme sa session ou lorsque la session est terminée autrement.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne invalident les identificateurs de session lorsque l’utilisateur ferme sa session ou lorsque la session est terminée autrement. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-23 Authenticité des sessions	SC-23-2 Le système d'information prévoit une capacité de fermeture de session facilement observable lorsque l'authentification est utilisée pour accéder à des pages Web.	Point(s) de mise en œuvre : Serveur mandataire et composants d’utilisateur externe et d’administrateur externe. Description : Si l’un ou l’autre des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre ou du périmètre d’utilisateur sans fil interne requiert une authentification effectuée par l’entremise d’une page Web, la page doit inclure une capacité de fermeture de session facilement observable. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-23 Authenticité des sessions	SC-23-3 Le système d'information génère un identificateur de session unique pour chaque session et reconnaît uniquement les identificateurs qu'il a générés.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne utilisent un identificateur de session unique pour chaque session et reconnaissent uniquement les identificateurs produits par le système. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-23 Authenticité des sessions	SC-23-4 Le système d'information génère des identificateurs de session uniques en se fondant sur [Affectation : exigences définies par l'organisation concernant le caractère aléatoire des identificateurs].	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne produisent des identificateurs de session uniques en se fondant sur [Affectation : exigences définies par l’organisation concernant le caractère aléatoire des identificateurs]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-24 Défaillance dans un état connu	SC-24-A Le système d'information tombe à l'état [Affectation : état connu défini par l'organisation] pour [Affectation : types de défaillance définis par l'organisation] et conserve [Affectation : information sur l'état du système définie par l'organisation] durant la défaillance.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne tombe à l’état [Affectation : état connu défini par l’organisation] pour [Affectation : types de défaillance définis par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-25 Noeuds légers	S. O.	Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque l’utilisation de nœuds légers ne fait pas partie de la portée du scénario.	-
SC-26 Pièges à pirates	S. O.	Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque l’utilisation de pièges à pirates ne fait pas partie de la portée du scénario.	-
SC-27 Applications indépendantes des systèmes d'exploitation	SC-27-A Le système d'information comprend : [Affectation : applications définies par l'organisation qui sont indépendantes des systèmes d'exploitation].	Point(s) de mise en œuvre : S. O. Description : La sécurité des applications auxquelles accèdent les utilisateurs sans fil internes ne fait pas partie de la portée du scénario d’utilisation opérationnelle.	S
SC-28 Protection de l'information inactive	SC-28-A Le système d'information protège la confidentialité et l'intégrité de l'information inactive.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Les postes de travail sans fil sont configurés de manière à protéger la confidentialité et l’intégrité de leur information inactive.	S
SC-28 Protection de l'information inactive	SC-28-1 L'organisation utilise des mécanismes cryptographiques pour empêcher la divulgation et la modification non autorisées de l'information inactive qui n'est pas déjà protégée par d'autres mesures physiques. La cryptographie est conforme aux exigences du contrôle SC-13.	Point(s) de mise en œuvre : Postes de travail sans fil Description : La configuration des postes de travail sans fil inclut des mécanismes cryptographiques afin de protéger la confidentialité et l’intégrité de leur information inactive. La cryptographie est conforme aux exigences du contrôle SC-13.	S
SC-29 Hétérogénéité	SC-29-A L'organisation utilise diverses technologies de l'information pour la mise en œuvre du système d'information.	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les composants des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne utilisent des technologies de l’information diverses. Toutefois, cela peut être impossible lorsque les composants sans fil sont achetés d’un même fournisseur pour faciliter leur intégration mutuelle. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-30 Techniques de virtualisation	SC-30-A L'organisation utilise des techniques de virtualisation pour présenter les composants du système d'information sous forme d'autres types de composants ou de composants possédant des configurations différentes.	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne utilisent des techniques de visualisation. Toutefois, cela peut être impossible lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-30 Techniques de virtualisation	SC-30-1 L'organisation utilise des techniques de virtualisation pour faciliter le déploiement de divers systèmes d'exploitation et applications qui sont changés [Affectation : fréquence définie par l'organisation].	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne utilisent des techniques de visualisation. Toutefois, cela peut être impossible lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-30 Techniques de virtualisation	SC-30-2 L'organisation utilise une approche aléatoire pour la mise en œuvre des techniques de virtualisation.	Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre, le périmètre d’utilisateur sans fil interne utilisent une approche aléatoire pour la mise en œuvre des techniques de virtualisation pour présenter les composants du système d’information sous forme d’autres types de composants. Toutefois, cela peut être impossible lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-32 Partitionnement des systèmes d'information	SC-32-A L'organisation partitionne au besoin le système d'information en composants hébergés dans des domaines (ou environnements) physiques distincts.	Point(s) de mise en œuvre : Service réseau Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées.	C
SC-33 Intégrité de la préparation des transmissions	SC-33-A Le système d'information protège l'intégrité de l'information durant le processus de regroupement, d'emballage et de transformation des données en vue de leur transmission.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne protègent l’intégrité de l’information durant le processus de regroupement, d’emballage et de transformation des données en vue de leur transmission. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-34 Programmes exécutables non modifiables	SC-34-A Le système d'information, au niveau de [Affectation : composants de système d'information définies par l'organisation], charge et exécute l'environnement d'exploitation à partir de supports non inscriptibles mis en œuvre par matériel.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne identifiés dans [Affectation : composants du système d’information définis par l’organisation] chargent et exécutent leur environnement d’exploitation à partir de supports matériels non inscriptibles. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SC-34 Programmes exécutables non modifiables	SC-34-B Le système d'information, au niveau de [Affectation : composants de système d'information définis par l'organisation], charge et exécute [Affectation : applications définies par l'organisation] à partir de supports non inscriptibles mis en œuvre par matériel.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne qui figurent parmi les [Affectation : composants du système d’information définis par l’organisation] chargent et exécutent les [Affectation : applications définies par l’organisation] à partir de supports matériels non inscriptibles.	S
SC-34 Programmes exécutables non modifiables	SC-34-1 L'organisation utilise [Affectation : composants de système d'information définis par l'organisation] avec des dispositifs de stockage qui demeurent non inscriptibles à chaque redémarrage du composant ou lors des mises sous tension et hors tension.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne qui figurent parmi les [Affectation : composants du système d’information définis par l’organisation] sont configurés avec des dispositifs de stockage qui demeurent non inscriptibles à chaque redémarrage du composant ou lors des mises sous tension et hors tension.	S
SC-100 Authentification de la source	SC-100-A Le système d'information permet au destinataire d'un message de vérifier l'identificateur présumé de la source dans un message.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Le système d’exploitation et les applications des postes de travail sans fil offrent une fonction de vérification de l’identificateur présumé de la source dans un message.	-
SC-100 Authentification de la source	SC-100-1 L'authentification de l'identificateur présumé du message repose sur la cryptographie.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Le système d’exploitation et les applications des postes de travail sans fil offrent une fonction de vérification, basée sur la cryptographie, de l’identificateur présumé de la source dans un message.	-
SC-100 Authentification de la source	SC-100-2 L'organisation utilise la cryptographie validée par le PVMC pour la génération et la vérification des signatures numériques. Voir le contrôle SC-13.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Le système d’exploitation et les applications des postes de travail sans fil offrent une fonction de vérification de l’identificateur présumé de la source dans un message ; cette fonction utilise la cryptographie validée par le PVMC pour la génération et la vérification des signatures numériques.	-
SC-100 Authentification de la source	SC-100-3 L'organisation utilise la cryptographie et les protocoles approuvés par le CSTC pour effectuer l'authentification. Voir le contrôle SC-13.	Point(s) de mise en œuvre : Postes de travail sans fil Description : Le système d’exploitation et les applications des postes de travail sans fil offrent une fonction de vérification de l’identificateur présumé de la source dans un message ; cette fonction utilise la cryptographie et les protocoles approuvés par le CSTC pour effectuer l’authentification.	-
SC-101 Systèmes de télécommunications non classifiés dans les installations sécurisées	S. O.	Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas, puisque l’utilisation de systèmes de télécommunications non classifiés dans les installations sécurisées ne s’applique pas au scénario d’utilisation opérationnelle.	-
SI-2 Correction des défauts	SI-2-1 L'organisation centralise la gestion du processus de correction des défauts et installe les mises à jour logicielles automatiquement.	Point(s) de mise en œuvre : Service de remédiation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement des rustines logicielles des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne qui lui sont compatibles. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le réseau non protégé offre ce service pour les composants sans fil non protégés.	S
SI-2 Correction des défauts	SI-2-2 L'organisation utilise des mécanismes automatisés [Affectation : fréquence définie par l'organisation] pour déterminer l'état des composants du système d'information en ce qui concerne la correction des défauts.	Point(s) de mise en œuvre : Service de remédiation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le service de remédiation automatise [Affectation : fréquence définie par l’organisation] l’analyse de l’état des composants du système d’information en ce qui concerne la correction des défauts. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans le service de remédiation de réseau non protégé pour les composants sans fil non protégés.	S
SI-2 Correction des défauts	SI-2-4 L'organisation utilise des outils automatisés de gestion des correctifs pour faciliter la correction des défauts des [Affectation : composants du système d'information définis par l'organisation].	Point(s) de mise en œuvre : Service de remédiation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement des rustines logicielles des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne qui lui sont compatibles. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le réseau non protégé offre ce service pour les composants sans fil non protégés.	S
SI-3 Protection contre les codes malveillants	SI-3-A L'organisation utilise des mécanismes de protection contre les codes malveillants aux points d'entrée et de sortie du système d'information et dans les postes de travail, les serveurs ou les dispositifs d'informatique mobile connectés au réseau afin de détecter et d'éradiquer les codes malveillants : (a) transmis par messagerie électronique, par des pièces jointes à des messages électroniques, par l'accès à des sites Web, par des supports amovibles ou par d'autres moyens courants; ou (b) inséré par l'exploitation des vulnérabilités du système d'information.	Point(s) de mise en œuvre : SDCM, postes de travail sans fil et périmètre d’utilisateur sans fil interne. Description : La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Le périmètre d’utilisateur sans fil interne surveille les communications entrantes et sortantes de la zone d’utilisateur sans fil interne selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées.	S
SI-3 Protection contre les codes malveillants	SI-3-C L'organisation configure les mécanismes de protection contre les codes malveillants de manière à : (a) effectuer des analyses périodiques du système d'information [Affectation : fréquence définie par l'organisation] et des balayages en temps réel des fichiers de sources externes lors de leur téléchargement, de leur ouverture ou de leur exécution, conformément à sa politique de sécurité; et (b) [Sélection (un ou plusieurs): bloque le code malveillant; met le code malveillant en quarantaine, envoie une alerte à l'administrateur; [Affectation : mesure définie par l'organisation action]] lors de la détection d'un code malveillant.	Point(s) de mise en œuvre : SDCM, postes de travail sans fil et périmètre d’utilisateur sans fil interne. Description : La configuration des postes de travail sans fil inclut des agents de défense (contre le code malveillant), assujettis aux politiques définies dans le SDCM, qui effectuent des analyses périodiques du système d’information [Affectation : fréquence définie par l’organisation] et des balayages en temps réel des fichiers de sources externes lors de leur téléchargement, de leur ouverture ou de leur exécution, conformément à la politique de sécurité, et [Sélection (un ou plusieurs) : bloque le code malveillant; met le code malveillant en quarantaine, envoie une alerte à l’administrateur; [Affectation : mesure définie par l’organisation action]] lors de la détection d’un code malveillant.	S
SI-3 Protection contre les codes malveillants	SI-3-1 L'organisation centralise la gestion des mécanismes de protection contre les codes malveillants.	Point(s) de mise en œuvre : SDCM, postes de travail sans fil et périmètre d’utilisateur sans fil interne. Description : Le SDCM centralise la gestion des mécanismes de protection contre le code malveillant dans les postes de travail sans fil et le périmètre d’utilisateur sans fil interne.	S
SI-3 Protection contre les codes malveillants	SI-3-2 Le système d'information met automatiquement à jour les mécanismes de protection contre les codes malveillants (y compris les définitions de signature).	Point(s) de mise en œuvre : SDCM Description : Le SDCM permet de mettre automatiquement à jour les composants de son logiciel de soutien ou les définitions des signatures.	C
SI-3 Protection contre les codes malveillants	SI-3-3 Le système d'information empêche les utilisateurs non privilégiés de contourner les mécanismes de protection contre les codes malveillants.	Point(s) de mise en œuvre : SDCM, service d’authentification et d’autorisation et postes de travail sans fil. Description : La configuration des postes de travail sans fil inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Les autorisations de configuration des agents sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et sont appliquées dans la fonction de contrôle d’accès des postes de travail sans fil pour empêcher le contournement des mécanismes de protection du système hôte contre les capacités d’utilisation de codes malveillants.	S
SI-3 Protection contre les codes malveillants	SI-3-4 Le système d'information met à jour les mécanismes de protection contre les codes malveillants uniquement lorsqu'un utilisateur privilégié le demande.	Point(s) de mise en œuvre: SDCM Description : Le SDCM permet de mettre automatiquement à jour les composants de son logiciel de soutien ou les définitions des signatures lorsqu’un administrateur possédant les privilèges appropriés le demande.	C
SI-4 Surveillance des systèmes d'information	SI-4-A L'organisation surveille les événements liés au système d'information conformément à [Affectation : objectifs de surveillance définis par l'organisation] et détecte les attaques contre le système.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les événements liés au système d’information conformément à [Affectation : objectifs de surveillance définis par l’organisation] et détecte les attaques contre le système dans la zone d’utilisateur sans fil interne tandis que le service SDI surveille les attaques par déni de service dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-C L'organisation déploie dans le système d'information des dispositifs de surveillance à la fois (a) stratégiquement pour collecter l'information qu'elle juge essentielle et (b) de manière aléatoire pour faire le suivi des types de transaction qui l'intéressent particulièrement.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), est déployé dans la zone d’utilisateur sans fil interne à la fois (i) stratégiquement pour collecter l’information qu’il juge essentielle et (ii) de manière aléatoire pour faire le suivi des types de transaction qui intéressent particulièrement l’organisation. Le service SDI surveille les attaques par déni de service dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-1 L'organisation utilise des protocoles communs pour interconnecter et configurer les outils individuels de détection d'intrusion en un système unique.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), s’intègre au service SDI pour offrir un système unique de détection d’intrusions. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré) et ne peut s’intégrer au service SDI.	S
SI-4 Surveillance des systèmes d'information	SI-4-2 L'organisation utilise des outils automatisés pour prendre en charge l'analyse des événements en temps quasi réel.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), offre une analyse en temps quasi réel des événements dans la zone d’utilisateur sans fil interne tandis que le service SDI remplit la même fonction dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-3 L'organisation utilise des outils automatisés pour intégrer les outils de détection d'intrusion aux mécanismes de contrôle d'accès et de flux afin de permettre la reconfiguration de ces mécanismes en vue d'isoler et d'éliminer rapidement les attaques.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et périmètre d’utilisateur sans fil interne. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), s’intègre au périmètre d’utilisateur sans fil interne pour contrôler le flux d’information et permettre d’isoler et d’éliminer les attaques. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-4 Le système d'information surveille les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et périmètre d’utilisateur sans fil interne. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le périmètre d’utilisateur sans fil interne surveillent les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-5 Le système d'information produit des alertes en temps quasi réel lorsque les indications de compromission réelle ou potentielle suivantes se présentent : [Affectation : liste des indicateurs de compromission définie par l'organisation].	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), détecte les événements dans la zone d’utilisateur sans fil interne et produit des alertes en temps réel lorsque les indications de compromission réelle ou potentielle suivantes se présentent : [Affectation : liste des indicateurs de compromission définie par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-6 Le système d'information empêche les utilisateurs non privilégiés de contourner les capacités de détection et de prévention des intrusions.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail sans fil. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et appliquées dans la fonction de contrôle d’accès des postes de travail sans fil pour empêcher les utilisateurs sans fil internes de contourner les capacités de détection et de prévention des intrusions.	S
SI-4 Surveillance des systèmes d'information	SI-4-7 Le système d'information informe [Affectation : liste définie par l'organisation des employés (identifiés par nom ou rôle) chargés d'intervenir en cas d'incident] des événements suspects et prend les [Affectation : liste définie par l'organisation des mesures les moins perturbatrices visant à mettre fin aux événements suspects].	Point(s) de mise en œuvre : Service SDISF, service SDI et service de vérification. Description : Le service SDISF, le service SDI et le service de vérification informent [Affectation : liste définie par l’organisation des employés chargés d’intervenir en cas d’incident] des événements suspects et prend les [Affectation : liste définie par l’organisation des mesures les moins perturbatrices visant à mettre fin aux événements suspects]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF et le service de vérification sont appliqués dans le réseau non protégé.	S
SI-4 Surveillance des systèmes d'information	SI-4-8 L'organisation protège l'information obtenue des outils de surveillance des intrusions contre tout accès non autorisé et toute modification et suppression.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès des services SDISF et SDI. Ces autorisations font en sorte de protéger l’information obtenue des outils de surveillance des intrusions contre tout accès non autorisé et toute modification et suppression. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, elles sont attribuées dans le service d’authentification et d’autorisation de réseau non protégé pour les administrateurs de composants sans fil non protégés et appliquées dans la fonction de contrôle d’accès du service SDISF non protégé.	S
SI-4 Surveillance des systèmes d'information	SI-4-10 L'organisation prend les mesures nécessaires pour rendre le trafic chiffré visible aux outils de surveillance du système d'information.	Point(s) de mise en œuvre : Service SDI Description : Le contenu de tout utilisateur sans fil interne peut être affiché, écouté ou saisi en temps réel pour autant qu’il ne soit pas chiffré. Les communications de l’utilisateur sans fil interne entre le poste et les points d’accès (lorsque des points d’accès lourds sont utilisés) or le commutateur sans fil (lorsque des points d’accès légers sont utilisés) sont chiffrées. Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur sans fil interne.	C
SI-4 Surveillance des systèmes d'information	SI-4-11 L'organisation analyse le trafic des communications sortantes à la frontière externe du système (c.-à-d. à son périmètre) et, le cas échéant, à certains de ses points intérieurs (p. ex. sous-réseaux, sous-systèmes) pour découvrir des anomalies.	Point(s) de mise en œuvre : Service SDISF, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le périmètre d’utilisateur sans fil interne surveillent les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-12 L'organisation utilise des mécanismes automatisés pour alerter le personnel de sécurité des répercussions potentielles des activités inhabituelles ou inappropriées suivantes : [Affectation : liste définie par l'organisation des activités inhabituelles ou inappropriées qui déclenchent des alertes].	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès, service SDI et périmètre d’utilisateur sans fil interne. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), le service SDI et le périmètre d’utilisateur sans fil interne alertent le personnel de sécurité des répercussions potentielles des activités inhabituelles ou inappropriées suivantes : [Affectation : liste définie par l’organisation des activités inhabituelles ou inappropriées qui déclenchent des alertes]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-13 L’organisation : (a) analyse le trafic des communications ou la tendance des événements pour le système d'information; (b) développe des profils représentant les modèles de trafic ou les événements communs; et (c) Utilise les profils pour calibrer les dispositifs de surveillance afin de réduire le nombre de faux positifs à [Affectation : mesure des faux positifs définie par l'organisation] et le nombre de faux négatifs à [Affectation : mesure des faux négatifs définie par l'organisation].	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le service SDI (a) analysent le trafic des communications ou la tendance des événements pour le système d’information; (b) développent des profils représentant les modèles de trafic ou les événements communs; (c) utilisent les profils pour calibrer les dispositifs de surveillance afin de réduire le nombre de faux positifs à [Affectation : mesure des faux positifs définie par l’organisation] et le nombre de faux négatifs à [Affectation : mesure des faux négatifs définie par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-14 L'organisation utilise un système de détection d'intrusions sans fil pour identifier les dispositifs sans fil indésirables et détecter les tentatives d'attaque et les compromissions ou infractions potentielles liées au système d'information.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les communications sans fil pour identifier les dispositifs sans fil indésirables et détecter les tentatives d’attaque et les compromissions ou infractions potentielles liées au système d’information. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-4 Surveillance des systèmes d'information	SI-4-15 L'organisation utilise un système de détection d'intrusions pour surveiller le trafic de communications sans fil lorsqu'il passe d'un réseau sans fil à un réseau filaire.	Point(s) de mise en œuvre : Service SDISF, capteurs, points d’accès et service SDI. Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille le trafic de communications sans fil lorsqu’il passe d’un réseau sans fil à un réseau filaire. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est mis en œuvre dans le réseau non protégé en utilisant des capteurs non protégés (SDISF en mode recouvrement) ou des points d’accès non protégés (SDISF en mode intégré).	S
SI-6 Vérification de la fonctionnalité de sécurité	SI-6-A Le système d'information vérifie le bon fonctionnement des fonctions de sécurité [Sélection (un ou plusieurs) : [Affectation : états transitionnels du système définis par l'organisation]; à la demande d'un utilisateur qui possède les privilèges appropriés; périodiquement tous les [Affectation : période définie par l'organisation] et [Sélection (un ou plusieurs): informe l'administrateur de système; arrête le système; redémarre le système; [Affectation : autre(s) mesure(s) définie(s) par l'organisation]] lorsque des anomalies sont relevées.	Point(s) de mise en œuvre : Postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne vérifient le bon fonctionnement des fonctions de sécurité [Sélection (un ou plusieurs) : [Affectation : états transitionnels du système définis par l’organisation]; à la demande d’un utilisateur qui possède les privilèges appropriés; périodiquement tous les [Affectation : période définie par l’organisation] et Sélection (un ou plusieurs) : informe l’administrateur de système; arrête le système; redémarre le système; [Affectation : autre(s) mesure(s) définie(s) par l’organisation]] lorsque des anomalies sont relevées. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.	S
SI-6 Vérification de la fonctionnalité de sécurité	SI-6-1 Le système d'information fournit des notifications d'échec des tests de sécurité automatisés.	Point(s) de mise en œuvre : Service de vérification, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne transmettent au service de vérification des enregistrements de vérification qui indiquent les échecs de tests de sécurité automatisés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans le service de vérification de réseau non protégé et composants sans fil non protégés.	S
SI-6 Vérification de la fonctionnalité de sécurité	SI-6-2 Le système d'information offre un soutien automatisé pour la gestion des tests de sécurité distribués.	Point(s) de mise en œuvre : Service de vérification, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne vérifient le bon fonctionnement de leurs fonctions de sécurité essentielles et communiquent les résultats des tests dans des enregistrements de vérification transmis au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est appliquée dans le service de vérification de réseau non protégé et les composants sans fil non protégés.	S
SI-7 Intégrité de l'information et des logiciels	SI-7-A Le système d'information détecte les changements non autorisés apportés aux logiciels et à l'information.	Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service d’authentification, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations d’accès au logiciel, à l’information et aux fonctions sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Toute opération non autorisée sera signalée au service de vérification par la fonction de vérification des composants. Le SGC permet de vérifier périodiquement les configurations de logiciel et d’information des composants et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est prise en charge par le SGC de réseau non protégé, le service d’intégrité des fichiers et le service de vérification des composants sans fil non protégés.	S
SI-7 Intégrité de l'information et des logiciels	SI-7-2 L'organisation utilise des outils automatisés qui notifient les employés désignés lors de la découverte d'écarts durant la vérification de l'intégrité.	Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est prise en charge par le SGC de réseau non protégé et le service d’intégrité des fichiers des composants sans fil non protégés	S
SI-7 Intégrité de l'information et des logiciels	SI-7-3 L'organisation utilise des outils de vérification de l'intégrité gérés centralement.	Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Le SGC permet de vérifier périodiquement les configurations de logiciel et d’information des composants et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également prise en charge par le SGC de réseau non protégé, le service d’intégrité des fichiers et le service de vérification des composants sans fil non protégés.	S
SI-8 Protection antipourriel	SI-8-A L'organisation utilise des mécanismes de protection antipourriel aux points d'entrée et de sortie du système d'information et dans les postes de travail, les serveurs ou les dispositifs d'informatique mobile sur le réseau pour détecter (et intervenir, le cas échéant) les messages non sollicités transmis par la messagerie électronique, les pièces jointes aux messages électroniques, les accès Web ou d'autres moyens courants.	Point(s) de mise en œuvre : Service de courrier Description : Des mécanismes de protection antipourriel sont intégrés au service de courrier auquel ont accès les postes de travail sans fil.	C
SI-8 Protection antipourriel	SI-8-1 L'organisation centralise la gestion des mécanismes de protection antipourriel.	Point(s) de mise en œuvre : Service de courrier Description : Le système assure la gestion centrale des produits logiciels antipourriel du service de courrier et de leur configuration.	C
SI-8 Protection antipourriel	SI-8-2 Le système d'information met automatiquement à jour les mécanismes de protection antipourriel (y compris les définitions de signature).	Point(s) de mise en œuvre : Service de courrier Description : Les produits logiciels antipourriel du service de courrier, incluant les définitions de signatures, offrent la possibilité de mises à jour automatiques.	C
SI-9 Restrictions relatives à la saisie d'information	SI-9-A L'organisation limite au personnel autorisé la capacité d'entrer de l'information dans le système d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès des postes de travail sans fil (lors de l’accès aux services d’utilisateur), des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Ces autorisations limitent au seul personnel autorisé la capacité d’entrer de l’information dans le système. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés.	S
SI-10 Validation de la saisie d'information	SI-10-A Le système d'information vérifie la validité des entrées d'information.	Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès des postes de travail sans fil (lors de l’accès aux services d’utilisateur sans fil interne), des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne. Ces autorisations limitent au seul personnel autorisé la capacité d’entrer de l’information dans le système. Le composant dans lequel l’information est saisie en vérifie l’exactitude, l’exhaustivité, la validité et l’authenticité. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés.	S
SI-11 Traitement des erreurs	SI-11-A Le système d'information identifie les conditions d'erreur potentielles liées à la sécurité.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de signaler les conditions d’erreur au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants sans fil non protégés.	S
SI-11 Traitement des erreurs	SI-11-B Le système d'information produit des messages d'erreur qui fournissent l'information nécessaire sur les mesures correctrices sans révéler [Affectation : information sensible ou potentiellement préjudiciable définie par l'organisation] contenue dans les journaux d'erreurs et les messages administratifs qui pourrait être exploitée par des adversaires.	Point(s) de mise en œuvre : Service de vérification, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : La fonction de vérification des postes de travail sans fil, des points d’accès, des capteurs, du commutateur sans fil/câblé de périmètre et du périmètre d’utilisateur sans fil interne permet de configurer le type d’événement signalé au service de vérification qui ne contient aucune information potentiellement préjudiciable susceptible d’être exploitée par des adversaires. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants sans fil non protégés.	S
SI-11 Traitement des erreurs	SI-11-C Le système d'information révèle les messages d'erreur seulement au personnel autorisé.	Point(s) de mise en œuvre : Service de vérification, service d’authentification et d’autorisation, postes de travail sans fil, points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés. Description : Les autorisations d’accès pour le personnel autorisé à utiliser l’information et les outils de vérification dans le service de vérification sont configurées dans le service d’authentification et d’autorisation et appliquées par le service de vérification. Ces mêmes autorisations dans les postes de travail sans fil, les points d’accès, les capteurs, le commutateur sans fil/câblé de périmètre et le périmètre d’utilisateur sans fil interne sont configurées dans le service d’authentification et d’autorisation et appliquées par la fonction de contrôle d’accès des composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, service de vérification et la fonction de contrôle d’accès des composants sans fil non protégés.	S

3 Références

[Référence 1]: The IEEE Standards Association (standards.iee.org)
[Référence 2]: ITSG-33, La gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie; CSTC (nov. 2012)
[Référence 3]: ITSG-41, Exigences de sécurité liées aux réseaux locaux sans fil; CSTC (mars 2013)
[Référence 4]: ITSG-41, Annexe 1 – Conception de haut niveau des points d’accès sans fil du gouvernement; CSTC (mars 2013)
[Référence 5]: ITSG-41, Annexe 3 – Conception de haut niveau – Interconnexions de réseaux câblés par un pont sans fil; CSTC (mars 2013)
[Référence 6]: ITSG-41, Annexe 4 – Détermination des éléments de contrôle en fonction des contrôles de sécurité, CSTC (mars 2013)
[Référence 7]: ITSG-38, Établissement des zones de sécurité dans un réseau – Considérations de conception relatives au positionnement des services dans les zones; CSTC (mai 2009)
[Référence 8]: ITSG-13, Manuel sur la commande de clés cryptographiques; CSTC (mai 2006).