Sélection de la langue

Government of Canada / Gouvernement du Canada

Annexe 3 - Conception de haut niveau – Interconnexions de réseaux câblés par un pont sans fil (ITSG-41)

De : Centre canadien pour la cybersécurité

 

Format de rechange : Annexe 3 - Conception de haut niveau – Interconnexions de réseaux câblés par un pont sans fil (ITSG-41) (PDF, 2.67 Mo)

Mars 2013

Avant-propos

Le document Annexe 3 – Conception de haut niveau – Interconnexions de réseaux câblés par un pont sans fil de l’ITSG-41 est un document NON CLASSIFIÉ publié avec l’autorisation du chef du Centre de la sécurité des télécommunications Canada (CSTC).

Les propositions de modifications devraient être envoyées au représentant des Services à la clientèle du CSTC par l’intermédiaire des responsables de la sécurité des TI du ministère.

Les demandes de copies supplémentaires ou de modification de la distribution devraient être soumises au représentant des Services à la clientèle du CSTC.

Pour en savoir plus, prière de communiquer avec les Services à la clientèle de la Sécurité des TI du CSTC, par courriel à l’adresse itsclientservices@cse-cst.gc.ca, ou par téléphone au 613-991-7654.

Date d'entrée en vigueur

La présente publication entre en vigueur le 2013-03-14.

La chef adjointe, Sécurité des TI,

Signé initialement par

Toni Moffa

Table des matières

Liste des figures

Liste des tableaux

Liste des abréviations et acronymes

AES
Advanced Encryption Standard; norme AES
COMSEC
Sécurité des communications
Couche 3
Couche 3 du modèle de l'OSI - Couche réseau
CSTC
Centre de la sécurité des télécommunications Canada
DAC
Contrôle d'accès discrétionnaire
DHCP
Protocole DHCP (Dynamic Host Configuration Protocol)
DNS
Service de noms de domaine (Domain Name Service)
DSTI
Directeur de la sécurité des technologies de l'information
EAP
Protocole EAP (Extensible Authentication Protocol)
EAPOL
Protocole EAP pour réseaux locaux (EAPOL)
GC
Governement du Canada
ICP
Infrastructure à clé publique
IEEE
Institute of Electrical and Electronics Engineers
INE
Cryteur réseau en ligne
IP
Protocole IP (Internet Protocol)
ITSG
Conseils en matière de sécurité des technologies de l'information
LAN
Réseau local
MPLS
Acronyme de Multi-Protocol Label Switching (commutation multiprotocole par étiquette)
NAS
Acronyme de Network-Attached Storage (stockage en réseau)
NIP
Numéro d'identification personnel
OSI
Interconnexion de systèmes ouverts (Open Systems Interconnection)
RADIUS
Protocole RADIUS (Remote Authentication Dial In User Service)
RF
Radiofréquences
SAN
Réseau de stockage SAN (Storage Area Network)
SCNet
Réseau de la Voie de communication protégée
SCT
Secrétariat du Conseil du Trésor
SDI
Système de détection des intrusions
SDISF
Système de détection des intrusion sans fil
SGC
Service de gestion des changements
TCP/IP
Protocole TCP/IP (Transmission Control Protocol/Internet Protocol)
TI
Technologie de l'information
WLAN
Réseau local sans fil

1 Introduction

1.1 But

Le présent document vise à faciliter la spécification de la conception de haut niveau pour assurer le déploiement sécurisé des services de réseau local sans fil (WLAN) en conformité avec la norme 802.11i (802.11) [Référence 1] Note de bas de page 1 de l’Institute of Electrical and Electronics Engineers (IEEE).

Le document inclut une conception de haut niveau de référence qui répond aux besoins du scénario d’utilisation opérationnelle des interconnexions de réseaux câblés par un pont sans fil où les employés, à l’intérieur des frontières physiques du ministère, connectent leurs postes de travail câblés (ordinateurs de bureau ou portables) à un sous-réseau câblé. La connectivité entre le sous-réseau et le réseau ministériel est assurée par un pont de WLAN. Les employés accèdent aux services d’utilisateur du ministère par le sous-réseau câblé puis par le pont de WLAN.

La structure des conseils en matière de sécurité respecte le cadre des activités de gestion des risques liés à la sécurité des technologies de l’information (TI) définies dans le document La gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie (ITSG-33) [Référence 2].

Le document doit être utilisé durant les activités de conception de haut niveau, tel qu’illustré dans la Figure 1 – ITSG-33, Processus d’application de la sécurité dans les systèmes d’information, définies dans le Processus d’application de la sécurité dans les systèmes d’information (PASSI) (voir le guide ITSG-33, Annexe 2 - Activités de gestion des risques liés à la sécurité des systèmes d’information). L’utilisation du document minimise les travaux de développement. Les ministères peuvent suivre les conseils qui s’y trouvent pour développer leur propre conception de haut niveau pour le déploiement des services LAN et utiliser les conceptions de haut niveau de référence comme point de départ. Le document inclut des recommandations concernant les points de mise en œuvre des éléments de contrôle techniques dans les conceptions de référence.

Les éléments de contrôle techniques sont déterminés à partir de contrôles de sécurité sélectionnés dans le guide ITSG-33(Annexe 3 – Catalogue des contrôles de sécurité). Les contrôles de sécurité sont sélectionnés pour :

  1. Répondre aux besoins opérationnels en matière de sécurité du déploiement des services WLAN;
  2. Se conformer aux contrôles de sécurité exigés par le ministère en matière de déploiement des services WLAN.

Figure 1 - ITSG-33, Processus d’application de la sécurité dans les systèmes d’information

Figure 1 - ITSG-33, Processus d’application de la sécurité dans les systèmes d’information

1.2 Auditoire cible

Ce document s’adresse aux praticiens des systèmes d’information et de la sécurité et aux responsables des activités de gestion des risques liés à la sécurité des TI qui interviennent dans la conception et la mise en œuvre des WLAN.

1.3 Structure de la publication

Ce document fait partie d’une série de documents qui constituent collectivement la suite de publications ITSG-41. Les autres documents de la série sont les suivants :

  • ITSG-41 - Exigences de sécurité liées aux réseaux locaux sans fil [Référence 3]
  • ITSG-41 Annexe 1 - Conception de haut niveau des points d’accès sans fil du gouvernement [Référence 4]
  • ITSG-41 Annexe 2 - Conception de haut niveau – Connexion utilisateur sans fil/réseau câblé [Référence 5]
  • ITSG-41 Annexe 4 – Détermination des éléments de contrôle en fonction des contrôles de sécurité [Référence 6]

2 Conception de haut niveau – Interconnexions de réseaux câblés par un pont sans fil

Cette section présente, dans un premier temps, la conception de haut niveau de référence d’un réseau ministériel type. La conception est ensuite complétée par les services WLAN du scénario d’utilisation opérationnelle des interconnexions de réseaux câblés par un pont sans fil. La section inclut également des recommandations concernant l’endroit où les éléments de contrôle techniques peuvent être appliqués dans la conception de haut niveau de référence. Le processus utilisé pour identifier les éléments de contrôle techniques à partir d’un ensemble approuvé de contrôles de sécurité est décrit à l’Annexe 4.

2.1 Conception de haut niveau de référence du réseau ministériel

La conception de haut niveau de référence du réseau ministériel utilise le concept des zones, tel que décrit dans le guide ITSG-38, Établissement des zones de sécurité dans un réseau – Considérations de conception relatives au positionnement des services dans les zones (ITSG-38) [Référence 7].

Le guide ITSG-38 décrit quatre types principaux de zone : zones publiques, zones d’accès public, zones de travail et zones d’accès restreint. Ces zones sont décrites dans les sous-sections suivantes et illustrées dans la Figure 2 – Zones du réseau ministériel (Figure 2). Un ministère peut utiliser plusieurs zones d’un même type pour séparer des services d’information qui figurent dans un même type de zone, mais dont les exigences en matière de sécurité sont différentes. Par exemple, le ministère peut utiliser deux zones d’accès public distinctes, une pour offrir des services Web publics aux utilisateurs externes de la zone publique qui ne sont pas des employés du ministère, et une pour héberger des services d’accès à distance pour les utilisateurs externes qui sont des employés du ministère (c.-à-d. des utilisateurs d’accès à distance).

Figure 2 - Zones du réseau ministériel

Figure 2 - Zones du réseau ministériel

2.1.1 Zones publiques

Les zones publiques sont des réseaux de communications non ministériels qui ne sont pas exploités par le ministère. Ils incluent le Réseau de la Voie de communication protégée (SCNetE) et tout autre réseau public tel Internet. Les ministères ont normalement une interface directe avec le SCNet, qui utilise la dorsale axée sur la commutation multiprotocole par étiquette (MPLS) pour les interconnexions et offre une voie d’accès à Internet.

2.1.2 Zones d'accès public

Les attaquants qui tentent de compromettre l’hôte d’un réseau ministériel (p. ex. un serveur) ont plus de chance de réussir lorsque l’hôte est connecté directement au protocole Transmission Control Protocol/Internet Protocol (TCP/IP) plutôt que par l’intermédiaire d’un mandataire. Puisque le ministère ne contrôle pas les zones publiques, il n’est donc pas souhaitable de permettre une connectivité TCP/IP directe entre les zones publiques et les hôtes qui offrent les services d’information ministériels. Ainsi, les zones d’accès public illustrées dans la Figure 2 hébergent principalement des services de serveur mandataire et de relais qui permettent de négocier l’accès entre les services d’information du réseau ministériel accessibles de l’extérieur et les zones publiques. Les services d’information offerts dans les zones d’accès public peuvent inclure les services de serveur mandataire de courrier électronique, les services de serveur mandataire de sortie, les services de serveur mandataire d’entrée, les services d’annuaire externes, les services de noms de domaine (DNS) externes et les services d’accès à distance.

2.1.3 Zones de travail

Les zones de travail illustrées dans la Figure 2 hébergent principalement les services d’information auxquels accèdent les utilisateurs internes situés à l’intérieur des frontières de sécurité physique du ministère. Elles hébergent également les services d’information auxquels accèdent les utilisateurs externes situés à l’extérieur des frontières de sécurité physique du ministère dans les zones publiques. Ces services d’information accessibles de l’extérieur sont négociés par les services de serveur mandataire et de relais des zones d’accès public. Les services d’information offerts dans les zones de travail peuvent inclure les services de portail et Web, les services de bureautique, les services de courrier, les services DNS internes, les services de partage de fichiers, les services d’impression, etc. L’information d’utilisateur est traitée dans les zones de travail, mais n’y est pas conservée. Ces zones servent normalement au traitement des données plutôt qu’à leur stockage; les utilisateurs internes sont placés dans leur propre zone de travail. Les communications entre la zone de travail qui héberge les utilisateurs internes et celle qui héberge les services d’utilisateur sont contrôlées par un périmètre d’utilisateur interne.

2.1.4 Zones d'accès restreint

Les zones d’accès restreint illustrées dans la Figure 2 incluent les services de gestion de l’information nécessaires à la tenue à jour des données traitées par les services d’information dans les zones de travail et les zones d’accès elles-mêmes. Ces données peuvent être hébergées en recourant à des technologies de stockage d’entreprise telles les technologies de stockage en réseau (NAS) ou de réseau de stockage (SAN) et sont accessibles aux serveurs de bases de données, aux serveurs de courrier ou aux serveurs de fichiers. Ces zones incluent également les services réseau et de sécurité nécessaires au maintien des opérations et de la sécurité du réseau ministériel. Les différents services de base hébergés dans les zones d’accès restreint, décrits plus en détail ci-dessous, sont illustrés dans la Figure 3 – Services du réseau ministériel :

  1. Service de gestion de l’information : Ce service est responsable du stockage, de la protection et de l’archivage de l’information créée, traitée et stockée dans le réseau ministériel. L’information peut inclure l’information d’utilisateur (p. ex. fichiers, courriels, etc.) ou l’information système (p. ex. fichiers de configuration, fichiers de sauvegarde, images système, enregistrements de vérification, etc.);
  2. Service de sauvegarde et de reprise : Ce service effectue les sauvegardes de l’information d’utilisateur (p. ex. fichiers, courriels, etc.) et de l’information système (p. ex. fichiers de configuration, fichiers de sauvegarde, images système, enregistrements de vérification, etc.) dans le réseau ministériel. Cette information est conservée et mise à la disposition des opérations de reprise (le cas échéant);
  3. Service de réseautage (protocole DHCP (Dynamic Host Configuration Protocol), services de noms de domaine (DNS), horloge, routage, commutation, surveillance) : Ce service inclut les commutateurs, les routeurs, les coupe-feu et les serveurs de surveillance réseau nécessaires à l’établissement et au maintien de l’architecture en zones du réseau ministériel. Il inclut également les serveurs DHCP utilisés pour l’attribution des paramètres du protocole IP aux réseaux hôtes, les serveurs DNS utilisés pour les résolutions nom-adresse IP et les serveurs de temps réseau utilisés pour fournir des temps de référence aux réseaux hôtes aux fins de synchronisation des horloges système;
  4. Service d’authentification et d’autorisation : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs internes, les administrateurs internes et, éventuellement, les utilisateurs externes et appliquées dans la fonction de contrôle d’accès des services du réseau ministériel auxquels ils ont accès. Le service d’authentification et d’autorisation inclut un serveur RADIUS (Remote Authentification Dial In User Service) qui permet de prendre en charge les protocoles nécessaires pour assurer l’interface entre la fonction de contrôle d’accès et de connexion des services RADIUS du réseau ministériel et le service d’authentification et d’autorisation;
  5. Service de vérification : Ce service inclut un dépôt central servant à la réception et au stockage des enregistrements de vérification produits par les services du réseau ministériel. Il analyse également les enregistrements contenus dans le dépôt et produit des rapports sur les événements d’intérêt et informe les individus, au besoin;
  6. Service de détection des intrusions (SDI) : Ce service permet l’analyse en temps quasi réel du contenu non chiffré des communications des utilisateurs internes et externes et de l’administrateur interne afin de déceler tout comportement non autorisé;
  7. Service de gestion des changements (SGC) : Ce service permet de vérifier périodiquement les configurations de composant et de comparer ces configurations aux configurations approuvées dans le but de détecter tout changement non autorisé. Il permet également l’approvisionnement en configurations des services du réseau ministériel. Le service peut signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification;
  8. Service d’intégrité des fichiers (SIF) : Ce service permet de détecter les modifications non autorisées apportées aux fichiers dans les services du réseau ministériel qui hébergent un agent SIF. Il peut signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification;
  9. Service de défense contre le code malveillant (SDCM) : La configuration des services du réseau ministériel inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Le SDCM centralise la gestion des mécanismes de protection contre le code malveillant mis en place dans les services du réseau ministériel. Il permet de mettre automatiquement à jour les composants de son logiciel de soutien ou les définitions des signatures;
  10. Service de remédiation : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement de ses propres rustines logicielles de services de réseau ministériel;
  11. Service d’nfrastructure à clé publique (ICP) : Ce service permet la création, la révocation ou la récupération des clés cryptographiques, des identifiants et des certificats numériques utilisés au cours des opérations de chiffrement/déchiffrement de l’information ou d’authentification cryptographique.

Figure 3 - Services du réseau ministériel

Figure 3 - Services du réseau ministériel

2.1.5 Zones de gestion à accès restreint

Les administrateurs internes occupent leur propre zone de gestion à accès restreint. Les communications entre eux et les services des autres zones du réseau ministériel sont contrôlées par un périmètre d’administrateur interne ainsi que par tout autre périmètre franchi entre l’administrateur interne et le service concerné. Par exemple, un administrateur interne qui doit accéder à un service dans la zone d’accès public devra franchir le périmètre d’administrateur interne, les zones d’accès restreint et les périmètres de zone de travail. Les services du réseau ministériel doivent être mis en place en utilisant deux interfaces distinctes afin de séparer les communications de gestion utilisées pour l’administration ou la maintenance (p. ex. surveillance, journalisation, sauvegardes, mises à jour logicielles, etc.) des autres communications qui servent à appuyer les activités opérationnelles sollicitées par les utilisateurs.

2.2 Conception de haut niveau de référence des services WLAN

La conception de haut niveau de référence pour le scénario d’utilisation opérationnelle des interconnexions de réseaux câblés par un pont sans fil est différente compte tenu de la sensibilité de l’information transmise dans le WLAN par les utilisateurs sans fil internes. Les différences découlent de l’assurance accrue qu’offrent les produits axés sur la cryptographie utilisés pour sécuriser l’information classifiée et de type Protégé C. Le guide ITSG-13, Manuel sur la commande de clés cryptographiques (ITSG-13) [Référence 8] stipule que :

« Seuls l’équipement cryptographique de type 1 et les systèmes qui ont été homologués ou approuvés par le CSTC doivent être utilisés pour protéger les communications électroniques qui transmettent de l’information classifiée et PROTÉGÉ C ».

Les produits offerts dans le commerce qui utilisent le protocole 802.11 ne sont pas conformes aux normes sur l'équipement cryptographique de type 1, qui exigent qu’ils soient soumis à un processus de certification rigoureux. Afin de répondre à l’exigence stipulée dans le guide ITSG-13 mentionnée ci-dessus,la conception de haut niveau de référence utilisée pour l’information non classifiée ou de type Protégé A et B inclut également les composants cryptographiques de type 1.

2.2.1 Composants

La conception de haut niveau de référence utilisée pour l’information non classifiée et de type Protégé A et B des services sans fil est illustrée dans la Figure 4 – Interconnexions de réseaux câblés classifiés et protégés par un pont sans fil et inclut l’ajout des composants suivants au réseau ministériel :

  1. Postes de travail câblés : Ordinateurs de bureau et portables d’utilisateur interne, configurés par le ministère avec une interface réseau Ethernet et autorisés à se connecter uniquement à la zone d’utilisateur câblé interne;
  2. Commutateur câblé d’utilisateur : Permet de connecter les postes de travail câblés d’utilisateur interne au pont sans fil d’utilisateur;
  3. Ponts sans fil d’utilisateur et de périmètre : Le pont sans fil d’utilisateur fonctionne comme un pont non-racine en mode point d’accès pour communiquer avec le pont sans fil de périmètre, qui fonctionne comme un pont racine en mode point d’accès;
  4. Commutateur câblé de périmètre : Permet de connecter les capteurs et le pont sans fil de périmètre au périmètre d’utilisateur câblé interne;
  5. Périmètre d’utilisateur câblé interne : Ce périmètre permet de contrôler les communications entrantes et sortantes de la zone d’utilisateur câblé interne;
  6. Capteurs : Les capteurs du SDISF peuvent être des capteurs spécialisés lorsque le SDISF est utilisé en mode recouvrement, ou des capteurs intégrés aux points d’accès lorsque le SDISF est utilisé en mode intégré;
  7. Service SDISF : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), offre une analyse en temps quasi réel des événements dans la zone d’utilisateur câblé interne, vérifie si des composants sans fil non autorisés sont présents et surveille les attaques par déni de service.

Figure 4 - Interconnexions de réseaux câblés classifiés et protégés par un pont sans fil

Figure 4 - Interconnexions de réseaux câblés classifiés et protégés par un pont sans fil

La conception de haut niveau de référence utilisée pour l’information des services sans fil classifiés et de type Protégé C est illustrée dans la Figure 5 – Interconnexions de réseaux câblés classifiés et de type Protégé C par un pont sans fil etinclut l’ajout des composants suivants au réseau ministériel :

  1. Postes de travail câblés : Ordinateurs de bureau et portables d’utilisateur interne, configurés par le ministère avec une interface réseau Ethernet et autorisés à se connecter uniquement à la zone d’utilisateur câblé interne;
  2. Commutateur câblé d’utilisateur : Permet de connecter les postes de travail câblés d’utilisateur interne au crypteur réseau en ligne (INE) d’utilisateur;
  3. INE d’utilisateur : Permet de communiquer avec l’INE de périmètre pour chiffrer/déchiffrer les communications d’utilisateur câblé interne dans l’ensemble du WLAN;
  4. Ponts sans fil d’utilisateur et de périmètre non protégés : Le pont sans fil d’utilisateur non protégé fonctionne comme un pont non-racine en mode point d’accès pour communiquer avec le pont sans fil de périmètre non protégé, qui fonctionne comme un pont racine en mode point d’accès. Les communications qui traversent les ponts sans fil d’utilisateur et de périmètre non protégés sont des communications de type 1 chiffrées par les INE d’utilisateur et de périmètre;
  5. Capteurs non protégés : Les capteurs du SDISF peuvent être des capteurs spécialisés lorsque le SDISF est utilisé en mode recouvrement, ou des capteurs intégrés aux points d’accès lorsque le SDISF est utilisé en mode intégré;
  6. Commutateurs câblés non protégés de périmètre : Permettent de connecter le pont sans fil de périmètre non protégé et les capteurs non protégés au INE de périmètre et au réseau non protégé;
  7. INE de périmètre : Sert à communiquer avec les INE de poste de travail câblé pour chiffrer/déchiffrer les communications d’utilisateur câblé interne dans le réseau local sans fil (WLAN);
  8. Périmètre d’utilisateur câblé interne : Le périmètre d’utilisateur câblé interne sert à contrôler les communications entrantes et sortantes de la zone d’utilisateur câblé interne;
  9. Service SDISF non protégé : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), offre une analyse en temps quasi réel des événements dans la zone d’utilisateur câblé interne et vérifie si des composants sans fil non autorisés sont présents et surveille les attaques par déni de service.

Les INE servent à chiffrer et déchiffrer les communications entre le commutateur câblé d’utilisateur et le périmètre d’utilisateur câblé interne. Les INE répondent aux normes de chiffrement de type 1 nécessaires à la protection des communications classifiées et de type Protégé C dans le réseau local sans fil. Les communications, une fois déchiffrées par un INE, ne sont plus classifiées.

Puisque les communications entre les INE d’utilisateur et de périmètre ne sont pas classifiées, tous les composants qui traitent ce type de communications sont également jugés non classifiés (ponts sans fil non protégés d’utilisateur et de périmètre, capteurs non protégés, commutateur câblé non protégé de périmètre, service SDISF non protégé, etc.). Toutes les communications qui franchissent l’INE de périmètre vers le commutateur câblé non protégé de périmètre sont chiffrées. Ainsi, le commutateur câblé non protégé de périmètre, les ponts sans fil non protégés d’utilisateur et de périmètre, les capteurs non protégés et le commutateur câblé d’utilisateur ne peuvent communiquer avec les services de base du réseau ministériel situés derrière le périmètre de la zone d’accès restreint, et sont inaccessibles (aux fins administratives) aux administrateurs de composants sans fil situés derrière le périmètre de l’administrateur interne.

Figure 5 - Interconnexions de réseaux câblés classifiés et de type Protégé C par un pont sans fil

Figure 5 - Interconnexions de réseaux câblés classifiés et de type Protégé C par un pont sans fil

Ces composants sont plutôt administrés à partir d’un réseau non protégé distinct qui ne peut communiquer avec le réseau ministériel classifié ou de type Protégé C. Le réseau non protégé peut être soit un réseau mis en place uniquement aux fins d’administration et de tenue à jour des opérations du commutateur câblé non protégé de périmètre, des ponts sans fil non protégés d’utilisateur et de périmètre, des capteurs non protégés et du commutateur câblé d’utilisateur, soit un réseau préexistant non classifié ou de type Protégé A ou B du ministère. Le réseau non protégé héberge le service SDISF et tout service de base (service d’autorisation et d’authentification, service de vérification, etc.) nécessaires à la protection du fonctionnement du commutateur câblé non protégé de périmètre, des ponts sans fil non protégés d’utilisateur et de périmètre, des capteurs non protégés et du commutateur câblé d’utilisateur. L’INE de périmètre peut être géré à distance par un administrateur qui utilise un INE de gestion pour communiquer de manière sécuritaire avec l’INE concerné. Le commutateur câblé d’utilisateur et les postes de travail câblés sont administrés à partir de la zone d’administrateur interne lorsque celle-ci est connectée au réseau.

2.2.2 Communications

Les différentes catégories de communications de services sans fil du scénario d’utilisation opérationnelle des interconnexions de réseaux câblés par un pont sans fil sont illustrées dans la Figure 6 – Types de communications des interconnexions de réseaux câblés classifiés et protégés par un pont sans fil(Figure 6) et incluent :

  1. Les communications (étiquetées « 1 » dans la Figure 6) entre les composants sans fil et les services de base du réseau ministériel, abordées à la Section 2.2.1 Composants;
  2. Les communications d’administrateur de composants sans fil (étiquetées « 2 » dans la Figure 6) utilisées pour administrer les composants sans fil entre les postes de travail d’administrateur et les composants sans fil;
  3. Les communications d’utilisateur câblé interne (étiquetées « 3 » dans la Figure 6) entre le poste de travail câblé et la zone de travail du réseau ministériel.

Les différentes catégories de communications du scénario d’utilisation opérationnelle des interconnexions de réseaux câblés classifiés et de type Protégé C par un pont sans fil sont illustrées dans la Figure 7 – Types de communications des interconnexions de réseaux câblés classifiés et de type Protégé C par un pont sans fil (Figure 7) et incluent :

  1. Les communications (étiquetées « 1a » et « 1b » dans la Figure 7) entre les composants sans fil et les services de base du réseau ministériel;
  2. Les communications d’administrateur de composants sans fil (étiquetées « 2a » et « 2b » dans la Figure 7) utilisées pour administrer les composants sans fil entre les postes de travail d’administrateur et les composants sans fil;
  3. Les communications d’utilisateur sans fil interne (étiquetées « 3 » dans la Figure 7) entre le poste de travail câblé et la zone de travail du réseau ministériel.

Figure 6 - Types de communications des interconnexions de réseaux câblés classifiés et protégés par un pont sans fil

Figure 6 - Types de communications des interconnexions de réseaux câblés classifiés et protégés par un pont sans fil

Figure 7 - Types de communications des interconnexions de réseaux câblés classifiés et de type Protégé C par un pont sans fil

Figure 7 - Types de communications des interconnexions de réseaux câblés classifiés et de type Protégé C par un pont sans fil

2.2.3 Concept d'opération

Les postes de travail câblés occupent leur propre sous-zone dans la zone de travail du ministère. Cette sous-zone est désignée « zone d’utilisateur câblé interne » et inclut son propre réseau routable. Une sous-zone permet de contrôler les communications entre la « zone d’utilisateur câblé interne » et la zone de travail ministérielle. Ce contrôle est exercé au niveau du périmètre d’utilisateur câblé interne.

Une fois qu’un poste de travail câblé s’est authentifié uniquement au niveau du dispositif, il est doté d’une connectivité de couche 3 et peut participer aux échanges uniquement avec la couche réseau. On doit utiliser des postes de travail câblés pour accéder aux services d’utilisateur (services de bureautique, service de courrier, services Web, etc.) dans la zone de travail du réseau ministériel. Les utilisateurs câblés internes peuvent accéder à ces services seulement après avoir réussi à se connecter comme utilisateur avec des justificatifs d’identité de compte d’utilisateur câblé interne configurés dans le service d’authentification et d’autorisation. Une fois la connexion établie, ils peuvent accéder aux services d’utilisateur du réseau ministériel. Leur droit d’accès est basé sur les privilèges définis dans le service d’authentification et d’autorisation et appliqués par les postes de travail câblés et autres composants du réseau ministériel.

Les ponts sans fil, les capteurs, les composants de commutateur câblé et le périmètre d’utilisateur câblé interne doivent inclure une fonction de contrôle d’accès administrative qui autorise les administrateurs de composants sans fil à se connecter seulement après avoir réussi à effectuer le processus de connexion. Chaque composant doit pouvoir utiliser une base de données de comptes pour vérifier les justificatifs d’identité des administrateurs de composants sans fil durant le processus d’authentification. Cette base de données peut résidée dans chaque composant, ou chacun des composants peut permettre de communiquer avec une base hébergée dans un composant séparé tel un serveur d’authentification. Si les composants permettent d’utiliser une base séparée, il est alors possible d’utiliser dans le serveur d’authentification un seul compte pour toutes les connexions d’administrateur de composants sans fil. Sinon, on doit utiliser un compte différent pour chaque composant. On présume que les comptes d’administrateur de composants sans fil sont tenus à jour dans une base de données de comptes séparée du service d’authentification et d’autorisation du réseau ministériel et que les communications entre les composants et le serveur d’authentification sont prises en charge par le protocole RADIUS.

Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les ponts sans fil non protégés, les capteurs non protégés et les composants de commutateur câblé non protégé de périmètre sont administrés par les administrateurs de composants sans fil non protégés du réseau non protégé et communiquent avec un serveur d’authentification du service d’authentification et d’autorisation de réseau non protégé.

Le périmètre d’utilisateur câblé interne contrôle les communications entre les postes de travail câblés, les ponts sans fil, les capteurs, les composants de commutateur câblé de périmètre et les services de base du réseau ministériel. Les communications qui franchissent le périmètre d’utilisateur câblé interne sont contrôlées en tenant compte des ports TCP/IP et des adresses IP source et de destination.

2.2.4 Surveillance

Les capteurs SDISF surveillent les supports RF (radiofréquences) 802.11 et retransmettent l’information obtenue au service SDISF du LAN câblé aux fins de traitement. Le SDISF peut être utilisé pour surveiller les supports RF et détecter les signatures des attaques ou tout comportement anormal; toutefois, son plus grand avantage est sa capacité :

  1. D’être configuré de manière à identifier tous les ponts sans fil autorisés du WLAN;
  2. D’identifier l’emplacement physique de tous les ponts sans fil autorisés du WLAN;
  3. De détecter et de désactiver les composants sans fil non autorisés de la zone de couverture du WLAN.

Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF est pris en charge par un serveur SDISF de réseau non protégé et des capteurs non protégés.

2.3 Points de mise en œuvre des éléments de contrôle techniques

Le Tableau 1 – Points de mise en œuvre des interconnexions de réseaux câblés par un pont sans fil (Tableau 1) précise toutes les exigences de sécurité techniques dont on doit tenir compte dans le scénario d’utilisation opérationnelle des interconnexions de réseaux câblés par un pont sans fil. Les éléments de contrôle techniques réels utilisés lors du déploiement particulier de services sans fil sont déterminés à partir de l’ensemble approuvé de contrôles de sécurité selon le processus décrit à l’Annexe 4 (illustré dans la Figure 8 – Contrôles de sécurité et éléments de contrôle). L’Annexe 4 inclut des exemples de la façon dont le processus est exécuté et utilise les profils de contrôle de sécurité Protégé A/Faible intégrité/Faible disponibilité et Protégé B/Intégrité moyenne/Disponibilité moyenne comme ensemble approuvé de contrôles de sécurité. Ces profils sont définis à l’Annexe 4 du guide ITSG-33.

Figure 8 - Contrôles de sécurité et éléments de contrôle

Figure 8 - Contrôles de sécurité et éléments de contrôle

2.3.1 Résumés des éléments de contrôle techniques

Cette section est une introduction aux recommandations présentées dans le Tableau 1.

Le réseau ministériel permet aux utilisateurs internes d’accéder aux services d’utilisateur avec des postes de travail câblés interconnectés par des LAN câblés. On présume que tous les éléments de contrôle techniques nécessaires à la protection de ces interconnexions ont été mis en place avant le déploiement des services sans fil. Ces éléments incluent tous les contrôles techniques mis en place dans les postes de travail câblés, les services d’utilisateur et autres services du réseau ministériel. Le déploiement des services sans fil vise à interconnecter deux segments de WLAN. On présume que les mêmes postes de travail câblés utilisés pour accéder aux services d’utilisateur par une connexion réseau aux LAN câblés servent également à la mise en œuvre des postes de travail câblés dans la zone d’utilisateur câblé interne. Dans ce document, on attribue, à tout élément de contrôle technique destiné à être appliqué dans une configuration de poste de travail câblé, le nom d’élément de contrôle technique de base pour poste de travail.

AC-2 Gestion des comptes

La gestion des comptes s’applique aux comptes d’administrateur de composants sans fil et d’administrateur de composants sans fil non protégés (appelés administrateurs de composants sans fil dans le reste de cette section) nécessaires à l’administration des composants sans fil (ponts sans fil d’utilisateur ou de périmètre, commutateurs câblés d’utilisateur ou de périmètre, capteurs, périmètre d’utilisateur câblé interne, ponts sans fil non protégés d’utilisateur ou de périmètre, capteurs non protégés et commutateur câblé non protégé de périmètre). La gestion s’applique également aux comptes d’utilisateur sans fil interne utilisés pour accéder aux services d’utilisateur avec les postes de travail câblés.

Chaque composant sans fil doit inclure une fonction de contrôle d’accès administrative qui permet de s’assurer que l’on accorde l’accès uniquement aux administrateurs de composants sans fil qui ont réussi le processus de connexion. Chaque composant doit pouvoir consulter une base de données de comptes qui permet de vérifier les justificatifs d’identité des administrateurs de composants sans fil durant l’authentification. Cette base de données peut résider dans le composant ou le composant peut permettre de communiquer avec une base hébergée dans un autre composant tel un serveur d’authentification. Si tous les composants permettent d’utiliser une base de données de comptes distincte, il suffit de tenir à jour un seul compte par administrateur de composants sans fil dans le serveur d’authentification. Il est également possible d’utiliser un seul compte par administrateur de composants sans fil non protégés dans un serveur d’authentification de réseau non protégé. Sinon, on doit prévoir des comptes différents pour chaque composant.

Les utilisateurs sans fil internes s’authentifient auprès d’un seul serveur d’authentification. Cette authentification s’effectue au niveau de l’utilisateur. Une fois qu’ils ont réussi à s’authentifier, ils peuvent accéder aux services d’utilisateur en effectuant une simple connexion, sans avoir à s’authentifier de nouveau chaque fois qu’ils accèdent à un service différent. Les comptes d’utilisateur câblé interne sont tenus à jour dans base de données de comptes distincte du service d’authentification et d’autorisation du réseau ministériel. Ce service est également configuré de manière à accorder tous les privilèges d’utilisateur câblé interne associés aux services d’utilisateur. On présume que les comptes d’administrateur de composants sans fil sont également tenus à jour dans une base de données de comptes distincte du service d’authentification et d’autorisation du réseau ministériel.

AC-3 Application de l'accès

L’application de l’accès pour les administrateurs de composants sans fil est assurée par les composants sans fil afin de contrôler les mesures que l’administrateur est autorisé à prendre une fois qu’il a été effectivement authentifié.

Les composants sans fil doivent tous inclure une fonction de contrôle d’accès administrative pour contrôler les mesures que les administrateurs de composants sans fil peuvent prendre conformément aux politiques de sécurité définies pour chaque composant. Ces politiques peuvent être configurées dans une base de données de politiques locale incluse dans chaque composant, ou le composant peut permettre de communiquer avec une base de données hébergée dans un composant distinct tel un serveur d’autorisation. Si les composants permettent l’utilisation d’une base distincte, toutes les politiques de sécurité peuvent être tenues à jour dans un seul endroit pour l’ensemble des administrateurs. Sinon, il faut configurer des politiques différentes dans chaque composant.

On présume que les politiques qui définissent les mesures que les administrateurs de composants sans fil sont autorisés à prendre sont tenues à jour dans une base de données de politiques distincte du service d’authentification et d’autorisation du réseau ministériel et que ces politiques sont appliquées dans les composants sans fil. Ce service est appliqué dans le réseau non protégé pour permettre l’accès d’administrateur sans fil non protégé aux composants sans fil non protégés.

Ce contrôle pour les utilisateurs câblés internes est assuré par les postes de travail câblés et les services d’utilisateur afin de contrôler les mesures que l’administrateur de composants sans fil est autorisé à prendre une fois qu’il a été effectivement authentifié. On présume que les politiques qui définissent les mesures que l’utilisateur câblé interne est autorisé à prendre sont tenues à jour dans une base de données de politiques distincte du service d’authentification et d’autorisation du réseau ministériel et que ces politiques sont appliquées dans les postes de travail câblés et les services d’utilisateur. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-4 Application des contrôles du flux d'information

Le périmètre d’utilisateur câblé interne est configuré avec des politiques qui définissent les communications entrantes et sortantes (en fonction du port TCP/IP, de l’adresse IP source et de destination, etc.) autorisées dans la zone d’utilisateur câblé interne. Seules les communications autorisées peuvent franchir le périmètre d’utilisateur câblé interne. Toutes les communications non autorisées sont bloquées. Les communications qui sont autorisées à franchir le périmètre d’utilisateur câblé interne peuvent être de type composant-service, administrateur-composant, ou utilisateur-service.

Les communications composant-service comprennent les communications auxquelles ne participe aucun poste de travail d’utilisateur câblé interne ou d’administrateur de composants sans fil. Exemple : pont sans fil d’utilisateur qui communique avec un serveur d’authentification dans le service d’authentification et d’autorisation ministériel. Des communications administrateur-composant ont lieu lorsqu’un administrateur de composants sans fil se connecte à un composant sans fil à des fins administratives. Les communications utilisateur-service comprennent les communications entre les postes de travail câblés internes et les services d’utilisateur.

AC-5 Séparation des tâches

La séparation des tâches est liée aux différents niveaux d’accès et est assurée par la configuration des politiques de sécurité relatives à l’application de l’accès du service d’authentification et d’autorisation de manière à refléter les différents groupes ou niveaux de privilèges. Un groupe ou niveau s’appuie sur un rôle distinct que doit jouer un administrateur de composants sans fil à l’égard des composants sans fil. On attribue à chaque administrateur de composants sans fil uniquement les groupes ou niveaux de privilèges pour les rôles dont il est responsable. De plus, les groupes ou niveaux de privilèges sont définis de manière à empêcher tout administrateur individuel de composants sans fil d’obtenir le nombre de privilèges requis qui lui permettrait d’effectuer des activités frauduleuses sans collusion.

Les utilisateurs câblés internes reçoivent moins de privilèges que les administrateurs de composants sans fil; les privilèges leur sont attribués par le service d’authentification et d’autorisation et leur permettent d’accéder uniquement aux services d’utilisateur qu’ils sont autorisés à utiliser. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-6 Droit d'accès minimal

Le droit d’accès minimal est accordé en configurant les politiques de sécurité relatives à l’application de l’accès du service d’authentification et d’autorisation de manière à attribuer à chaque administrateur interne uniquement les groupes ou les niveaux de droit d’accès pour les rôles dont il est responsable.

Les utilisateurs câblés internes reçoivent moins de privilèges que les administrateurs de composants sans fil; les privilèges leur sont attribués par le service d’authentification et d’autorisation et leur permettent d’accéder uniquement aux services d’utilisateur qu’ils sont autorisés à utiliser.

AC-7 Tentatives d'ouverture de session infructueuses

Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation et appliqué aux composants sans fil et aux postes de travail câblés pour aider à prévenir tout accès non autorisé en tentant de deviner le mot de passe. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-8 Notification d'utilisation système

Des messages d’information sur l’utilisation du système sont affichés à l’intention des administrateurs de composants sans fil lors de la connexion aux composants sans fil et à l’intention des utilisateurs câblés internes lors de la connexion aux postes de travail câblés. Dans le cas des postes de travail câblés, cette exigence est appliquée comme exigence de base en matière de sécurité technique pour poste de travail.

AC-9 Notification d'ouverture de session précédente (accès)

Cette notification est configurée dans le service d’authentification et d’autorisation et appliquée dans les composants et les postes de travail câblés pour aider à détecter tout accès non autorisé en utilisant les justificatifs d’identité d’un compte valable. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-10 Contrôle de sessions simultanées

Le nombre limite de sessions simultanées est configuré dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et les utilisateurs câblés internes et appliqué par les composants et les postes de travail câblés. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-11 Verrouillage de session

Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les sessions d’administrateur de composants sans fil et d’utilisateur câblé interne et appliqué par les composants et postes de travail câblés. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AC-16 Attributs de sécurité

La fonction d’étiquetage de l’information est assurée par le service de gestion de l’information pour tout renseignement créé, traité ou stocké dans le système d’information.

AC-18 Accès sans fil

L'accès d'utilisateur câblé interne est structuré et sécurisé conformément aux directives du présent document.

AC-21 Collaboration et échange d'information entre utilisateurs

Les autorisations d’accès sont configurées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes. Cette fonction est offerte dans les postes de travail câblés pour déterminer si une autorisation d’accès a été accordée à un autre utilisateur aux fins de collaboration et de partage d’information. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-3 Contenu des enregistrements de vérification

Le contenu d’information des enregistrements de vérification produits par les composants et les postes de travail câblés est lié à leur capacité de vérification. La fonction de vérification des composants et des postes de travail câblés permet de transmettre les enregistrements de vérification au service de vérification. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-4 Capacité de stockage des vérifications

Le volume de stockage nécessaire à la tenue à jour des enregistrements de vérification des composants du réseau ministériel peut être important. Normalement, la capacité de stockage du serveur central de journalisation inclus dans le service de vérification du réseau ministériel n’est pas suffisante pour contenir les enregistrements de vérification; on présume donc que le serveur utilise la capacité de stockage offerte par le service de gestion de l’information.

Si un composant sans fil n’est pas en mesure de transmettre ses enregistrements de vérification au serveur central de journalisation, on doit donc prévoir une capacité de stockage suffisante dans le composant lui-même.

AU-5 Intervention en cas d’échecs de vérification

La fonction de vérification exige de chaque composant et poste de travail câblé qu’il produise des enregistrements de vérification et réussisse à les transmettre au serveur central de journalisation. Tout échec du processus de vérification est dû soit à l’incapacité d’un composant ou d’un poste de travail câblé de produire ou de stocker les nouveaux enregistrements de vérification ou de les transmettre au serveur central de journalisation, soit à l’incapacité de ce dernier de stocker les enregistrements reçus. Cette défaillance entraîne une perte d’information de vérification. Le ministère doit définir une politique sur les mesures à prendre dans une telle situation. L’arrêt du système d’information est la mesure la plus draconienne que l’on puisse prendre puisqu’elle affecte la disponibilité; toutefois, dans certains cas, elle peut s’imposer lorsqu’une perte d’information de vérification est jugée intolérable. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-6 Examen, analyse et rapports de vérification

Les enregistrements de vérification sont inutiles, sauf si l’information qu’ils contiennent peut être analysée de manière efficace pour détecter l’occurrence d’événements d’intérêt. De plus, l’analyse doit être holistique et inclure collectivement les enregistrements de plusieurs composants. Le service de vérification permet de traiter automatiquement les enregistrements de composants multiples selon des critères d’événement sélectionnables.

AU-7 Réduction des vérifications et génération de rapports

Le volume d’enregistrements de vérification peut être important (jusqu’à représenter le volume le plus important de données du réseau ministériel); la fonction de production de rapports du service de vérification doit donc être en mesure de regrouper l’information contenue dans les enregistrements individuels et, ainsi, de réduire la quantité de données ou le nombre d’enregistrements à conserver en permanence ou sur une longue période.

AU-8 Estampilles temporelles

Pour permettre à l’analyse des enregistrements de vérification de détecter les événements d’intérêt, on a besoin d’une méthode de synchronisation des enregistrements des nombreux composants. La méthode utilisée consiste à inclure dans chaque composant sans fil ou poste de travail câblé une estampille temporelle qui indique l’heure et la date exactes de création de chaque enregistrement et à faire en sorte que les composants câblés synchronisent leur horloge système les uns avec les autres. Il est possible d’automatiser cette opération si chaque composant et poste de travail permet de mettre à jour son horloge système en communiquant avec un serveur de temps prévu dans le service réseau et en utilisant un protocole tel Network Time Protocol. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-9 Protection de l'information de vérification

Les enregistrements de vérification peuvent contenir de l’information qui doit être protégée sur le plan de la confidentialité (accès non autorisé), de l’intégrité (modification) ou de la disponibilité (suppression). Les autorisations d’accès à l’information et aux outils de vérification dans les composants sans fil, les postes de travail câblés et le service de vérification sont configurées dans le service d’authentification et d’autorisation. L’application de ces autorisations en vue de protéger les enregistrements doit être prise en charge par les composants sans fil et les postes de travail câblés ainsi que par le service de vérification. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-10 Non-répudiation

La non-répudiation s’applique en général aux transactions ou aux mesures opérationnelles exécutées par un utilisateur. Cette fonction est appliquée dans les postes de travail câblés pour toute information créée, traitée ou stockée par l’utilisateur câblé interne. La fonction de vérification des composants sans fil et le service de vérification surveillent les mesures prises par l’administrateur de composants sans fil. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-12 Génération d'enregistrements de vérification

Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil. La fonction de vérification des composants sans fil et des postes de travail câblés permet de produire des enregistrements de vérification sur les événements autorisés et non autorisés (liés aux utilisateurs et aux processus) qui intéressent le service de vérification. Les composants sans fil et les postes de travail câblés permettent de vérifier les événements liés aux utilisateurs et aux processus, tel que défini dans le contrôle AU-2, et de produire les enregistrements de vérification appropriés qui peuvent être transmis au serveur de journalisation (hébergé dans le service de vérification) aux fins d’analyse et de production de rapports. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

AU-14 Vérification des sessions

La vérification des sessions peut être requise si l’on est justifié de croire que des mesures administratives ou des interventions d’utilisateur inappropriées sont en cours. Le service SDI peut être utilisé pour accéder au contenu non chiffré des communications d’administrateur de composants sans fil et d’utilisateur câblé interne et en journaliser ou saisir le contenu pour le service de vérification.

CM-5 Restrictions d'accès associées aux changements

Les politiques relatives à l’application de l’accès définies dans le service d’authentification et d’autorisation sont appliquées par les composants sans fil et les postes de travail câblés pour contrôler les mesures que l’administrateur de composants sans fil ou l’utilisateur câblé interne est autorisé à prendre une fois qu’il a été effectivement authentifié. Chaque composant sans fil et poste de travail câblé doit être en mesure de vérifier l’application des restrictions d’accès et de produire les enregistrements de vérification concernés qui sont transmis au serveur central de journalisation du service de vérification. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

CM-6 Paramètres de configuration

Chaque composant sans fil ou poste de travail câblé doit être configuré de manière à fonctionner suivant un mode qui offre uniquement la fonction requise. Toute autre fonction ou tout autre service doit être désactivé.

L’application de l’accès est assurée par les composants sans fil ou les postes de travail câblés pour contrôler les droits d’accès ou de modification que possède un administrateur de composants sans fil ou un utilisateur câblé interne relativement à la configuration du composant sans fil ou du poste de travail câblé. Les autorisations d’accès aux paramètres de vérification sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des composants sans fil et des postes de travail câblés. Toute modification de la configuration d’un composant sans fil ou d’un poste de travail câblé doit être effectuée avec le SGC et signalée au service de vérification. Le service d’intégrité des fichiers peut servir à détecter les changements non autorisés apportés à la configuration du composant sans fil ou du poste de travail câblé. Dans le cas des postes de travail câblés, cette exigence est appliquée comme exigence de base en matière de sécurité technique pour poste de travail.

CM-7 Fonctionnalité minimale

Chaque composant sans fil et poste de travail câblé doit être configuré de manière à fonctionner suivant un mode qui offre uniquement la fonction requise. Toute autre fonction ou tout autre service doit être désactivé. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

CM-8 Inventaire des composants de système d'information

Le SGC conserve l’information sur la configuration autorisée des composants sans fil et des postes de travail câblés et vérifie périodiquement les composants et postes pour s’assurer que leur configuration d’exploitation correspond à la configuration autorisée. Le service SDISF peut servir à surveiller toute connexion de composants et (ou) de dispositifs non autorisés à la zone d’utilisateur câblé interne.

CP-9 Sauvegarde du système d'information

Le volume de stockage nécessaire au maintien des sauvegardes de l’information système et d’utilisateur du réseau ministériel peut être important. Le service de sauvegarde et de récupération utilise donc l’espace de stockage offert par le service de gestion de l’information pour conserver ces sauvegardes.

Le service de sauvegarde et de reprise accède périodiquement aux composants sans fil en utilisant des privilèges d’administrateur pour créer des sauvegardes de leur information système. Le service de sauvegarde et de reprise crée et consulte périodiquement les sauvegardes données d’utilisateur câblé gérées par le service de gestion de l’information.

CP-10 Reprise et reconstitution du système d'information

Le service de sauvegarde et de reprise accède, à de fins de reprise, aux sauvegardes de l’information système gérées par le service de gestion de l’information. L’information système des composants sans fil permet de ramener un composant sans fil à un état connu après une défaillance ou une compromission.

IA-2 Identification et authentification (utilisateurs organisationnels)

La méthode d’authentification utilisée pour les administrateurs de composants sans fil et les utilisateurs câblés internes est liée au niveau de protection requis et peut inclure les mots de passe/NIP, l’authentification multifactorielle, les mots de passe à usage unique, l’authentification axée sur les certificats ou les authentifiants de groupe. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

IA-3 Identification et authentification des dispositifs

Le pont sans fil d’utilisateur effectue une authentification bidirectionnelle auprès du pont sans fil de périmètre en recourant à la cryptographie. L’authentification s’appuie sur la fonction d’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.

IA-4 Gestion des identificateurs

L’utilisation de la gestion dynamique des identificateurs, des attributs et des autorisations d’accès connexes ne s’applique pas au scénario d’utilisation opérationnelle.

IA-5 Gestion des authentifiants

La méthode d’authentification utilisée pour les administrateurs de composants sans fil et les utilisateurs câblés internes est liée au niveau de protection requis et peut inclure les mots de passe/NIP, l’authentification multifactorielle, les mots de passe à usage unique, l’authentification axée sur les certificats ou les authentifiants de groupe. Si un mot de passe/NIP est utilisé pour les administrateurs de composants sans fil, il doit être conforme aux exigences de complexité des mots de passe. Si la méthode d’authentification utilisée pour les administrateurs de composants sans fil et les utilisateurs câblés internes est axée sur les certificats et que ces derniers sont délivrés par le service d’ICP du réseau ministériel, le processus d’authentification :

  1. Valide les certificats en établissant une voie de certification vers une autorité de certification fiable;
  2. Remet à l’utilisateur le contrôle de la clé privée correspondante;
  3. Associe l’identité authentifiée au compte de l’utilisateur. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.
IA-6 Rétroaction d'authentification

Le mécanisme d’authentification des composants sans fil et des postes de travail câblés occulte l’information sur la rétroaction d’authentification durant les connexions d’administrateur de composants sans fil et d’utilisateur câblé interne. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

IA-7 Authentification des modules cryptographiques

Si un module cryptographique est intégré à la méthode d’authentification utilisée pour les administrateurs de composants sans fil ou les utilisateurs câblés internes, il doit satisfaire aux exigences pertinentes des directives du Gouvernement du Canada (GC) en matière d'authentification auprès d'un module cryptographique. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-2 Partitionnement des applications

Les administrateurs de composants sans fil se connectent aux composants sans fil et les administrent; quant aux utilisateurs câblés internes, ils se connectent aux postes de travail câblés. Les fonctionnalités de l’administrateur de composants sans fil et de l’utilisateur câblé interne sont distinctes à la fois sur le plan de leurs capacités et de leur méthode d’accès. Le service réseau inclut une sous-zone de gestion qui permet de séparer les communications de l’administrateur de composants sans fil de celles de l’utilisateur câblé interne.

SC-3 Isolement des fonctions de sécurité

La fonctionnalité à laquelle les utilisateurs câblés internes ont accès (c.-à-d. l’accès aux services d’utilisateur) est séparée de la fonctionnalité de sécurité (utilisée par les administrateurs de composants sans fil) des composants sans fil. Le service réseau inclut une sous-zone de gestion qui permet de séparer les communications de l’administrateur de composants sans fil de celles de l’utilisateur câblé interne.

SC-4 Information contenue dans les ressources partagées

Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et définissent l’information à laquelle ils sont autorisés à accéder. Ces autorisations empêchent le transfert d’information non autorisé et involontaire découlant du partage des ressources du système. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-5 Protection contre les dénis de service

Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les attaques par déni de service émanant de la zone d’utilisateur câblé interne contre le réseau ministériel ou d’autres réseaux, tandis que le service SDI surveille ce même type d’attaque dans le reste du réseau ministériel.

SC-6 Priorité des ressources

Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic pour les types de trafic réseau afin de limiter l’utilisation des ressources selon leur priorité.

SC-7 Protection des frontières

Le périmètre d’utilisateur câblé invité est configuré à partir de politiques qui définissent (en fonction du port TCP/IP, de l’adresse IP source, de l’adresse IP de destination, etc.) les communications qui sont autorisées à entrer et sortir de la zone d’utilisateur câblé interne.

SC-8 Intégrité des transmissions

Les communications chiffrées sont autorisées entre les ponts sans fil d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications ente les INE d’utilisateur et de périmètre sont soumises à un chiffrement supplémentaire. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne.

SC-9 Confidentialité des transmissions

Les communications chiffrées sont autorisées entre les ponts sans fil d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications ente les INE d’utilisateur et de périmètre sont soumises à un chiffrement supplémentaire. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne.

SC-10 Deconnexion réseau

Le périmètre d’utilisateur câblé interne peut être configuré de manière à interrompre les connexions réseau après une période d’inactivité spécifique.

SC-11 Chemin de confiance

Les administrateurs de composants sans fil accèdent aux composants sans fil depuis leurs postes de travail situés dans la sous-zone de gestion mise en place par le service réseau. Les politiques sur les flux d’information appliquées dans la zone d’accès restreint, la zone de travail et les périmètres d’utilisateur câblé interne veillent à ce que l’administration des composants sans fil ne puisse s’effectuer qu’à partir des postes de cette sous-zone. Cela fait en sorte d’assurer la fiabilité du chemin entre les administrateurs de composants sans fil et les composants eux-mêmes.

L’authentification et les autorisations relatives aux fonctions de sécurité sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès et de connexion des composants sans fil.

SC-12 Établissement et gestion des clés cryptographiques

La gestion des clés cryptographiques utilisées par les administrateurs de composants sans fil ou les utilisateurs câblés internes (là où l’authentification axée sur l’ICP est utilisée) est assurée par le service d’ICP.

SC-13 Utilisation de la cryptographie

Les mécanismes cryptographiques utilisés par les administrateurs de composants sans fil ou les utilisateurs câblés internes (là où l’authentification axée sur l’ICP est utilisée) sont assurés par le service d’ICP.

SC-18 Code mobile

La configuration des postes de travail câblés inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-20 Service sécurisé de résolution de nom ou d’adresse (source autorisée)

Ce contrôle est appliqué par la fonction DNS du service réseau.

SC-21 Service sécurisé de résolution de nom ou d’adresse (résolveur récursif ou caché)

Ce contrôle est appliqué par la fonction DNS du service réseau.

SC-22 Architecture et fourniture de service de résolution de nom ou d’adresse

Ce contrôle est appliqué par la fonction DNS du service réseau.

SC-23 Authenticité des sessions

Les communications chiffrées sont autorisées entre les ponts sans fil d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications ente les INE d’utilisateur et de périmètre sont soumises à un chiffrement supplémentaire. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne.

SC-24 Défaillance dans un état connu

La défaillance des composants sans fil peut s’effectuer à un état connu dans le cas de types de défaillance particulière.

SC-27 Applications indépendantes des systèmes d'exploitation

Les composants sans fil ne doivent pas utiliser d’applications indépendantes des systèmes d’exploitation puisqu’ils sont normalement sélectionnés auprès d’un fournisseur unique afin de faciliter leur intégration les uns aux autres. De plus, ces composants sont typiquement liés à des appareils qui fonctionnent avec un micrologiciel plutôt qu’avec un système d’exploitation standard. L’utilisation d’applications indépendantes peut ne pas être pratique puisque les utilisateurs câblés internes sont normalement plus à l’aise avec une interface utilisateur unique régulière.

SC-28 Protection de l'information inactive

Les postes de travail câblés sont configurés de manière à utiliser la cryptographie approuvée par le CSTCNote de bas de page 2 afin d’assurer la confidentialité des données inactives protégées et classifiées. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SC-29 Hétérogénéité

La sélection des diverses technologies de l’information assure l’hétérogénéité des composants sans fil. (Nota : Cette approche peut être difficile dans le cas où les composants sont sélectionnés auprès d’un fournisseur unique à des fins d’intégration).

SC-30 Techniques de virtualisation

Les composants sans fil utilisent des techniques d’abstraction pour présenter les composants de système d’information sous forme d’autres types de composants. (Nota : Ce contrôle peut être difficile à appliquer lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants).

SC-32 Partitionnement des systèmes d'information

Le service réseau effectue le partitionnement du réseau ministériel en différentes zones et les composants qui résident dans chaque zone sont assujettis aux politiques de sécurité de la zone qui les concerne. Ces zones incluent la zone d’accès restreint, la zone de travail, la zone d’accès public, la sous-zone de gestion et la zone d’utilisateur câblé interne.

SC-33 Intégrité de la préparation des transmissions

Les composants sans fil protègent l’intégrité de l’information durant le regroupement, l’emballage et la transformation des données en vue de leur transmission.

SC-34 Programmes exécutables non modifiables

Les composants sans fil chargent et exécutent leur système d’exploitation et leurs applications à partir de supports matériels non inscriptibles.

SC-100 Authentication de la source

Les mécanismes de sécurité pour l’authentification de la source sont appliqués dans les postes de travail sans fil et les services d’utilisateur. Dans le cas des postes de travail sans fil, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-2 Correction des défauts

Le service de remédiation effectue automatiquement la collecte, l’analyse et l’approvisionnement du matériel et des mises à jour logicielles des composants sans fil qui lui sont compatibles.

SI-3 Protection contre les codes malveillants

La configuration des postes de travail inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, qui exigent que les données soient inspectées afin de détecter et d’éradiquer tout code malveillant. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-4 Surveillance des systèmes d'information

Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), détecte les attaques et identifie toute utilisation non autorisée du système dans la zone d’utilisateur câblé interne tandis que le service SDI surveille les attaques par déni de service dans le reste du réseau ministériel.

SI-6 vérification de la fonctionnalité de sécurité

Les composants sans fil et les postes de travail câblés vérifient au démarrage, ou périodiquement après le démarrage, le bon fonctionnement de leurs propres fonctions de sécurité essentielles. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-7 Intégrité de l'information et des logiciels

Le service de gestion des changements (SGC) accède périodiquement aux composants sans fil avec les privilèges d’administrateur concernés pour obtenir la configuration d’exploitation actuelle et la comparer à la copie archivée de la configuration approuvée dans le but de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants qui utilisent un agent de ce service.

SI-8 Protection antipourriel

La configuration des postes de travail câblés inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans la fonction de protection antipourriel du service de courrier, qui exigent que les données soient inspectées afin de détecter et d’éradiquer tout code malveillant. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-9 Restrictions relatives à la saisie d'information

L’application du droit d’accès, incluant la capacité de saisie d’information des administrateurs de composants sans fil et des utilisateurs câblés internes, est assurée par les composants et postes de travail câblés qui autorisent les opérations que peuvent effectuer les administrateurs ou les utilisateurs une fois qu’ils ont réussi à s’authentifier. Ce contrôle inclut les composants auxquels les utilisateurs câblés internes ont accès dans les services d’utilisateur. Les politiques qui définissent les opérations autorisées sont tenues à jour dans le service d’authentification et d’autorisation. Ce service est inclus dans le réseau non protégé pour permettre l’accès d’administrateur sans fil non protégé aux composants sans fil non protégés.

Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-10 Validation de la saisie d'information

L’application du droit d’accès, incluant la capacité de saisie d’information des administrateurs de composants sans fil et des utilisateurs câblés internes, est assurée par les composants sans fil et les postes de travail câblés qui autorisent les opérations que peuvent effectuer les administrateurs ou les utilisateurs une fois qu’ils ont réussi à s’authentifier. Ce contrôle inclut les composants auxquels les utilisateurs sans fil internes ont accès dans les services d’utilisateur. Les politiques qui définissent les opérations autorisées sont tenues à jour dans le service d’authentification et d’autorisation. Ce service est inclus dans le réseau non protégé pour permettre l’accès d’administrateur sans fil non protégé aux composants sans fil non protégés.

Les composants sans fil, les postes de travail sans fil et les services d’utilisateur vérifient l’exactitude, l’exhaustivité, la validité et l’authenticité de l’information saisie. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

SI-11 Traitement des erreurs

Les composants sans fil et les postes de travail câblés assurent la vérification des événements, incluant les conditions d’erreur et le stockage des enregistrements de vérification dans le composant ou le poste de travail lui-même. Les composants sans fil et les postes de travail assurent également la transmission des enregistrements de vérification dans un serveur central de journalisation du service de vérification afin de permettre la gestion et l’analyse collectives des enregistrements de tous les composants. Dans le cas des postes de travail câblés, cette exigence est appliquée comme élément de contrôle technique de base pour poste de travail.

2.3.2 Recommandations concernant les points de mise en œuvre des éléments de contrôle techniques

Cette section inclut un tableau de recommandations concernant l’endroit où les éléments de contrôle techniques peuvent être appliqués dans la conception de haut niveau de référence. On doit tenir compte uniquement des éléments de contrôle identifiés dans les contrôles de sécurité système pour chaque scénario d’utilisation opérationnelle et non pas de tous les éléments identifiés dans chaque tableau.

Le Tableau 1 recommande des points de mise en œuvre pour le scénario d’utilisation opérationnelle des interconnexions de réseaux câblés par un pont sans fil. Il identifie également les éléments de contrôle qui peuvent être mis en œuvre comme élément système (S), commun (C) ou hybride (H). Un élément système est traité soit individuellement par les composants ajoutés au réseau ministériel en vue du déploiement des services sans fil, soit comme une combinaison des composants et des mesures de protection et contremesures qui existent dans le réseau ministériel avant le déploiement des services sans fil. Un élément commun est appliqué en utilisant une ou plusieurs des mesures de protection et contremesures qui existent dans le réseau ministériel avant le déploiement des services sans fil et qui ne requièrent aucune modification. Un élément hybride est appliqué en utilisant une ou plusieurs des mesures de protection et contremesures qui existent dans le réseau ministériel avant le déploiement des services sans fil et qui doivent être modifiées.

Tableau 1 - Points de mise en œuvre des interconnexions de réseaux câblés par un pont sans fil

Contrôle de sécurité Éléments de contrôle Points de mise en œuvre Type
S/C/H
AC-2 Gestion des comptes AC-2-1 L'organisation fait appel à des mécanismes automatisés pour appuyer la gestion des comptes du système d'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation

Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour gérer les comptes d’utilisateur câblé interne et d’administrateur de composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.

 C
AC-2 Gestion des comptes AC-2-2 Le système d'information supprime automatiquement les comptes temporaires et d'urgence après [Affectation : délai défini par l'organisation pour chaque type de compte].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation

Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour supprimer les comptes temporaires et d’urgence créés pour les utilisateurs câblés internes et les administrateurs de composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.

 C
AC-2 Gestion des comptes AC-2-3 Le système d'information désactive automatiquement les comptes inactifs après [Affectation : délai défini par l'organisation].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation

Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour désactiver les comptes inactifs d’utilisateur câblé interne et d’administrateur de composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.

 C
AC-2 Gestion des comptes AC-2-4 Le système d'information vérifie automatiquement les activités de création, de modification, de désactivation et de suppression de compte, et en informe les personnes concernées, le cas échéant.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de vérification

Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour signaler au service de vérification les activités de gestion des comptes pour les utilisateurs câblés internes et les administrateurs de composants sans fil. Au besoin, le service de vérification informe les individus concernés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation et le service de vérification de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.

 C
AC-2 Gestion des comptes AC-2-5 L’organisation : (a) exige des utilisateurs qu'ils ferment leur session après [Affectation : délai d'inactivité prévu ou description du moment de la fermeture de session défini par l'organisation]; (b) détermine la période du jour et la durée d'utilisation normales pour les comptes du système d'information; (c) surveille toute utilisation irrégulière des comptes du système d'information; (d) signale toute utilisation irrégulière aux responsables désignés de l'organisation.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de vérification.

Description : Des mécanismes automatisés sont mis en œuvre dans le service d’authentification et d’autorisation pour signaler au service de vérification l’heure et la durée de toute utilisation atypique des comptes d’utilisateurs câblés internes et d’administrateur de composants sans fil. Au besoin, le service de vérification informe les individus concernés toute utilisation atypique. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation et le service de vérification de réseau non protégé pour les comptes d’administrateur de composants sans fil non protégés.

 C
AC-2 Gestion des comptes AC-2-6 Le système d'information gère de manière dynamique les droits d'accès utilisateur et les autorisations d'accès connexes.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description: Les droits et autorisations d’accès sont gérés de manière dynamique dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil. Les droits et autorisations d’accès d’administrateur de composants sans fil sont appliqués dans la fonction de contrôle d’accès administrative des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et des composants de périmètre d’utilisateur câblé interne. Les droits et autorisations d’accès de l’utilisateur câblé sont appliqués dans les postes de travail câblés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-2 Gestion des comptes AC-2-7 L’organisation : (a) établit et administre les comptes utilisateur privilégiés conformément à un plan de contrôle d'accès basé sur les rôles qui regroupe les droits d'accès au réseau et au système d'information dans des rôles; (b) suit et surveille les attributions de rôles privilégiés.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les comptes d’administrateur de composants sans fil sont classés dans le service d’authentification et d’autorisation selon des rôles axés sur les droits. Ces droits sont appliqués dans la fonction de contrôle d’accès des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés. Cette exigence de contrôle de sécurité ne s’applique pas aux utilisateurs câblés internes puisqu’aucun droit n’est associé à leurs comptes.

 S
AC-3 Application de l'accès AC-3-A Le système d'information applique les autorisations approuvées pour l'accès logique au système conformément à la politique pertinente.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil. Les autorisations d’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur sans fil interne. Les autorisations d’utilisateur câblé interne sont appliquées dans la fonction de contrôle d’accès des postes de travail câblés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants sans fil non protégés, pour les comptes d’administrateur de composants câblés/sans fil non protégés.

 S
AC-3 Application de l'accès AC-3-2 Le système d'information applique une double autorisation basée sur les politiques et procédures organisationnelles concernant [Affectation : commandes privilégiées définies par l'organisation].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Des autorisations doubles pour les [Affectation : commandes privilégiées définies par l’organisation] sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil. Les autorisations d’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Les autorisations d’utilisateur câblé interne sont appliquées dans la fonction de contrôle d’accès des postes de travail câblé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-3 Application de l'accès AC-3-3 Le système d'information applique [Affectation : politiques de contrôle d'accès non discrétionnaire définies par l'organisation] aux [Affectation : ensembles d'utilisateurs et de ressources définis par l'organisation] lorsque l'ensemble de règles de chaque politique précise : (a) l'information sur le contrôle d'accès (c.-à-d. les attributs) qu'il utilise (p. ex. poste, nationalité, âge, projet, période du jour); (b) les relations obligatoires entre les éléments d'information sur le contrôle d'accès pour autoriser l'accès.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les [Affectation : politiques de contrôle d’accès non discrétionnaire définies par l’organisation] associées aux [Affectation : ensembles d’utilisateurs et de ressources définis par l’organisation] sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil. Les politiques relatives à l’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Les politiques relatives à l’utilisateur câblé interne sont appliquées dans la fonction de contrôle d’accès des postes de travail câblés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-3 Application de l'accès AC-3-4 Le système d'information applique une politique de contrôle d'accès discrétionnaire (DAC pour Discretionary Access Control) qui : (a) permet aux utilisateurs de préciser et de contrôler le partage de l'information soit avec des individus ou des groupes d'individus identifiés, ou les deux; (b) limite la propagation des droits d'accès; (c) inclut ou exclut l'accès à la granularité d'un seul utilisateur.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les politiques de contrôle d’accès discrétionnaire sont configurées dans le service d’authentification et d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail câblés (lors de l’accès aux services d’utilisateur), des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Elles sont configurées de manière à (a) permettre aux utilisateurs de préciser et de contrôler le partage d’information avec des individus ou des groupes d’individus particuliers, ou les deux, (b) à limiter la propagation des droits d’accès et (c) à inclure ou exclure l’accès à la granularité d’un seul utilisateur. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-3 Application de l'accès AC-3-5 Le système d'information empêche l'accès à [Affectation : information pertinente en matière de sécurité définie par l'organisation] sauf lorsqu'il est en état de non-fonctionnement sécurisé.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : L’accès à [Affectation : information pertinente en matière de sécurité définie par l’organisation] est attribué dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil. Les politiques d’accès d’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Les politiques d’accès d’utilisateur câblé interne sont appliquées dans la fonction de contrôle d’accès des postes de travail câblé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-3 Application de l'accès AC-3-6 L'organisation chiffre ou conserve hors ligne dans un endroit sécurisé [Affectation : information sur l'utilisateur ou le système définie par l'organisation].

Point(s) de mise en œuvre : Service de gestion de l’information

Description : L’information précisée dans [Affectation : information sur l’utilisateur ou le système définie par l’organisation] est protégée par chiffrement dans le service de gestion de l’information.

 C
AC-4 Application des contrôles du flux d'information AC-4-A Le système d'information applique des autorisations approuvées pour contrôler le flux de l'information dans le système et entre les systèmes interconnectés conformément à la politique pertinente.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne contrôle les communications entrantes et sortantes de la zone d’utilisateur sans fil interne en recourant à des coupe-feu et à la fonction de vérification de contenu, conformément aux autorisations approuvées.

 S
AC-4 Application des contrôles du flux d'information AC-4-1 Le système d'information applique le contrôle de flux d'information en utilisant des attributs de sécurité explicites, sur l'information et les objets source et de destination, comme base pour les décisions concernant le contrôle de flux.

Point(s) de mise en œuvre : S.O.

Description : L’application du contrôle de flux d’information basé sur des étiquettes explicites d’information permet de contrôler le flux d’information entre les systèmes d’information possédant des classifications différentes (p. ex. niveaux protégé et classifié); cette exigence ne s’applique pas au scénario d’utilisation opérationnelle.

 -
AC-4 Application des contrôles du flux d'information AC-4-2 Le système d'information applique le contrôle de flux d'information à l'aide de domaines de traitement protégés (p. ex. application de type domaine) comme base pour les décisions concernant le contrôle de flux.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne contrôle les communications entrantes et sortantes de la zone d’utilisateur câblé interne à l’aide de domaines de traitement protégés (p. ex. une application de type domaine).

 S
AC-4 Application des contrôles du flux d'information AC-4-3 Le système d'information applique le contrôle dynamique de flux d'information en s'appuyant sur une politique qui permet ou interdit les flux d'information en fonction de conditions changeantes ou de motifs opérationnels.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne applique le contrôle dynamique de flux d'information aux communications entrantes et sortantes de la zone d’utilisateur câblé interne.

 S
AC-4 Application des contrôles du flux d'information AC-4-4 Le système d'information empêche les données chiffrées de contourner les mécanismes de vérification de contenu.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne.

Description : Le périmètre d’utilisateur câblé interne effectue la vérification de contenu et est configuré de manière à bloquer toute communication chiffrée rencontrée.

 S
AC-4 Application des contrôles du flux d'information AC-4-5 Le système d'information applique [Affectation : restrictions définies par l'organisation concernant l'intégration de types de données dans d'autres types de données].

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne vérifie le contenu et est configuré de manière à bloquer les communications qui ne répondent pas aux [Affectation : restrictions définies par l’organisation concernant l’intégration de types de données dans d’autres types de données].

 S
AC-4 Application des contrôles du flux d'information AC-4-6 Le système d'information applique le contrôle de flux d'information aux métadonnées.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne vérifie le contenu et est configuré de manière à contrôler les communications entrantes et sortantes de la zone d’utilisateur câblé interne en utilisant des métadonnées.

 S
AC-4 Application des contrôles du flux d'information AC-4-7 Le système d'information applique [Affectation : flux unidirectionnels définis par l'organisation] en utilisant des mécanismes matériels.

Point(s) de mise en œuvre : S. O.

Description : L’application de flux unidirectionnels avec des mécanismes matériels est normalement exigée pour le transfert d’information entre les systèmes d’information fonctionnant à des niveaux de sécurité différents; ne s’applique pas au scénario d’utilisation opérationnelle.

 -
AC-4 Application des contrôles du flux d'information AC-4-8 Le système d'information applique le contrôle de flux d'information en utilisant [Affectation : filtres de la politique de sécurité définis par l'organisation] comme base pour les décisions concernant le contrôle de flux.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne vérifie le contenu et est configuré pour utiliser les [Affectation : filtres de la politique de sécurité définis par l’organisation] comme base pour les décisions concernant le contrôle de flux.

 S
AC-4 Application des contrôles du flux d'information AC-4-9 Le système d'information impose une vérification manuelle de [Affectation : filtres de la politique de sécurité définis par l'organisation] lorsqu'il n'est pas en mesure de prendre de décision en matière de contrôle de flux d'information.

Point(s) de mise en œuvre : S. O.

Description : Les examens effectués par une personne sont hors de la portée du scénario d’utilisation opérationnelle.

 -
AC-4 Application des contrôles du flux d'information AC-4-10 Le système d'information permet à un administrateur privilégié d'activer ou de désactiver [Affectation : filtres de la politique de sécurité définis par l'organisation].

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne vérifie le contenu et les [Affectation : filtres de la politique de sécurité définis par l’organisation] appliqués pour la vérification peuvent être activés et désactivés par un administrateur de composants sans fil.

 S
AC-4 Application des contrôles du flux d'information AC-4-11 Le système d'information permet à un administrateur privilégié de configurer [Affectation : filtres de la politique de sécurité définis par l'organisation] pour appuyer les différentes politiques de sécurité.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne vérifie le contenu et les [Affectation : filtres de la politique de sécurité définis par l’organisation] appliqués pour la vérification peuvent être configurés par un administrateur de composants sans fil.

 S
AC-4 Application des contrôles du flux d'information AC-4-12 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, identifie les flux d'information selon la spécification du type de données et l'utilisation des données.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne identifie les flux d’information selon la spécification du type de données et l’utilisation des données.

 S
AC-4 Application des contrôles du flux d'information AC-4-13 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, décompose l'information en sous-composantes pertinentes pour la présenter aux mécanismes d'application de la politique.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne décompose l’information en sous-composantes pertinentes pour la présenter aux mécanismes d’application de la politique.

 S
AC-4 Application des contrôles du flux d'information AC-4-14 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, applique les filtres de la politique qui limitent la structure et le contenu des données selon [Affectation : exigences de la politique de sécurité de l'information définies par l'organisation].

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne applique les filtres de la politique qui limitent la structure et le contenu des données selon [Affectation : exigences de la politique de sécurité de l’information définies par l’organisation].

 S
AC-4 Application des contrôles du flux d'information AC-4-15 Le système d'information, lors du transfert d'information entre différents domaines de sécurité, détecte l'information non autorisée et en interdit le transfert, conformément à la politique de sécurité.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne détecte l’information non autorisée et en interdit le transfert, conformément à la politique de sécurité.

 S
AC-4 Application des contrôles du flux d'information AC-4-17 Le système d'information : (a) identifie de façon unique et authentifie les domaines source et destination pour le transfert de l'information; (b) lie les attributs de sécurité à l'information pour faciliter l'application de la politique sur le flux d'information; (c) suit les problèmes associés à la liaison des attributs de sécurité et au transfert de l'information.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne (a) identifie de façon unique et authentifie les domaines source et de destination pour le transfert de l’information; (b) lie les attributs de sécurité à l’information pour faciliter l’application de la politique sur le flux d’information; (c) journalise les problèmes associés à la liaison des attributs de sécurité et au transfert de l’information.

 S
AC-5 Séparation des tâches AC-5-C L'organisation met en œuvre la séparation des tâches en attribuant des autorisations d'accès aux systèmes d'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation afin d’appliquer la séparation des tâches pour les utilisateurs câblés internes et les administrateurs de composants sans fil. Les politiques relatives à l’administrateur de composants sans fil sont appliquées dans la fonction de contrôle d’accès des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Les politiques relatives à l’utilisateur câblé interne sont appliquées dans la fonction de contrôle d’accès des postes de travail câblés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-6 Droit d'accès minimal AC-6-4 Le système d'information fournit des domaines de traitement séparés pour permettre une granularité plus fine dans l'attribution des droits d'accès utilisateur.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne maintient les postes de travail câblé dans leurs propres sous-réseaux afin d’établir un domaine de traitement distinct.

 S
AC-7 Tentatives d'ouverture de session infructueuses AC-7-A Le système d'information applique une limite de [Affectation : nombre défini par l'organisation] tentatives d'ouverture de session invalides consécutives par l'utilisateur sur une période de [Affectation : durée définie par l'organisation].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Une limite de [Affectation : nombre défini par l’organisation] tentatives consécutives d’accès non valables est configurée dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliquée dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-7 Tentatives d'ouverture de session infructueuses AC-7-B Le système d'information [Sélection : verrouille le compte ou le nœud pendant (Affectation : durée définie par l'organisation); verrouille le compte ou le nœud jusqu'à ce qu'un administrateur le libère; reporte l'invite d'ouverture de session suivante selon (Affectation : algorithme de temporisation défini par l'organisation)] automatiquement lorsque le nombre maximal de tentatives infructueuses est dépassé. Le contrôle s’applique à une tentative d'ouverture de session effectuée tant à l'aide d'une connexion locale que d'une connexion réseau.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants câblés et appliqué dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. La fonction de verrouillage de compte [Sélection : verrouille le compte ou le nœud pendant [Affectation : durée définie par l’organisation] automatiquement; verrouille le compte ou le nœud jusqu’à ce qu’un administrateur le libère; reporte l’invite d’ouverture de session suivante selon [Affectation : algorithme de temporisation défini par l’organisation]] lorsque le nombre maximal de tentatives infructueuses est dépassé. Le contrôle s’applique à une tentative d’ouverture de session effectuée tant à l’aide d’une connexion locale que d’une connexion réseau. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-7 Tentatives d'ouverture de session infructueuses AC-7-1 Le système d'information verrouille automatiquement le compte ou le nœud jusqu'à ce qu'il soit libéré par un administrateur lorsque le nombre maximal de tentatives infructueuses est dépassé.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le verrouillage de compte est configuré dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants câblés et appliqué dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. La fonction de verrouillage de compte verrouille le compte ou le nœud jusqu’à ce qu’un administrateur le libère lorsque le nombre maximal de tentatives infructueuses est dépassé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-7 Tentatives d'ouverture de session infructueuses AC-7-2 Le système d'information fournit une protection supplémentaire pour les accès aux dispositifs mobiles au moyen d'une ouverture de session en éliminant l'information du dispositif après [Affectation : nombre défini par l'organisation] tentatives infructueuses d'ouverture de session sur le dispositif.

Point(s) de mise en œuvre : Postes de travail câblé

Description : Toute utilisation de dispositifs mobiles connectés aux postes de travail câblé aux fins de stockage d’information (clés USB, disques durs externes, etc.) qui requièrent une connexion pour accéder aux données ou effacer de l’information après [Affectation : nombre défini par l’organisation] tentatives consécutives d’ouverture de session infructueuses.

 S
AC-8 Notification d'utilisation système AC-8-A Le système d'information, avant d'accorder l'accès, affiche un message ou une bannière de notification d'utilisation approuvée du système, qui comprend des énoncés de confidentialité et de sécurité conformément à la Politique d'utilisation des réseaux électroniques du SCT.

Point(s) de mise en œuvre : Postes de travail câblé, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les bannières de connexion sont configurées dans les postes de travail câblés et visualisées par les utilisateurs câblés internes. Elles sont configurées dans les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne et visualisées par les administrateurs de composants sans fil. Elles sont configurées dans les composants câblés/sans fil non protégés pour les connexions d’administrateur de composants sans fil non protégés. Les bannières affichent un message de notification d’utilisation système approuvé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-8 Notification d'utilisation système AC-8-B Le système d'information continue d'afficher le message ou la bannière de notification jusqu'à ce que l'utilisateur opte d'ouvrir une session ou d'accéder au système.

Point(s) de mise en œuvre : Postes de travail câblé, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les bannières de connexion sont configurées dans les postes de travail câblés et visualisés par les utilisateurs câblés internes. Elles sont configurées dans les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne, et visualisées par les administrateurs de composants sans fil. Elles sont configurées dans les composants câblés/sans fil non protégés pour les connexions d’administrateur de composants câblés/sans fil non protégés. Le message de notification ou la bannière demeure visible jusqu’à ce que les utilisateurs décident de se connecter au système d’information ou de continuer à l’utiliser. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-8 Notification d'utilisation système AC-8-C Le système d'information, dans le cas d'un système accessible au public : (a) affiche, le cas échéant, l'information d'utilisation du système avant d'accorder l'accès; (b) affiche, au besoin, des mises en garde concernant la surveillance, l'enregistrement et la vérification conformes aux dispositions sur la protection des renseignements personnels pour de tels systèmes qui interdisent généralement ces activités; et (c) inclut dans le message de notification aux utilisateurs publics du système une description des utilisations autorisées du système.

Point(s) de mise en œuvre : S. O.

Description : L’utilisation de systèmes accessibles au public ne s’applique pas au scénario d’utilisation opérationnelle.

 -
AC-9 Notification d'ouverture de session précédente (accès) AC-9-A Le système d'information indique à l'utilisateur qui vient d'ouvrir une session la date et l'heure de sa dernière ouverture de session (dernier accès).

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La date et l’heure de la dernière notification d’ouverture de session sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et fournies à l’utilisateur par la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-9 Notification d'ouverture de session précédente (accès) AC-9-1 Le système d'information indique à l'utilisateur qui vient d'ouvrir une session la date et l'heure de sa dernière ouverture de session (dernier accès).

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La notification d’ouverture de session non réussie est produite dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et fournie à l’utilisateur dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-9 Notification d'ouverture de session précédente (accès) AC-9-2 Le système d'information indique à l'utilisateur le nombre de [Sélection : ouvertures de session/accès réussis; ouvertures de session/accès infructueux; les deux] pendant [Affectation : durée définie par l'organisation].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le nombre de [Sélection : ouvertures de session/accès réussis; ouvertures de session/accès infructueux; les deux] pendant [Affectation : durée définie par l’organisation] est conservé dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et fourni à l’utilisateur dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-9 Notification d'ouverture de session précédente (accès) AC-9-3 Le système d'information indique à l'utilisateur de [Affectation : ensemble, défini par l'organisation, des modifications liées à la sécurité apportées au compte de l'utilisateur] pendant [Affectation : durée définie par l'organisation].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La notification de [Affectation : ensemble, défini par l’organisation, des modifications liées à la sécurité apportées au compte de l’utilisateur] pendant [Affectation : durée définie par l’organisation] est appliquée dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et fournie à l’utilisateur dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-10 Contrôle des sessions simultanées AC-10-A Le système d'information limite le nombre de sessions simultanées pour chaque compte système à [Affectation : nombre défini par l'organisation].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La limite du nombre de sessions simultanées est configurée dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliquée dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-11 Verrouillage de session AC-11-A Le système d'information empêche tout autre accès au système en verrouillant la session après [Affectation : délai défini par l'organisation] d'inactivité ou à la réception d'une demande d'un utilisateur.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliqué dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés.

 S
AC-11 Verrouillage de session AC-11-B Le système d'information maintient le verrouillage de la session jusqu'à ce que l'utilisateur réinitialise l'accès en exécutant les procédures établies d'identification et d'authentification.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le verrouillage de session est configuré dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliqué dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés, pour les comptes d’administrateur de composants sans fil non protégés. Cette fonction est désactivée après une reconnexion réussie.

 S
AC-11 Verrouillage de session AC-11-1 Le mécanisme de verrouillage de session du système d'information, lorsqu'il est activé dans un dispositif doté d'un écran, affiche des motifs visibles qui permettent de masquer ce qui figurait précédemment à l'écran.

Point(s) de mise en œuvre : Postes de travail câblés

Description : La fonction de verrouillage de l’écran des postes de travail est configurée et appliquée dans les postes de travail câblés et affiche (lorsqu’elle est activée), dans l’écran concerné, un motif visible qui recouvre le contenu précédent.

 S
AC-16 Attributs de sécurité AC-16-A Le système d'information prend en charge et maintient la liaison entre [Affectation : attributs de sécurité définis par l'organisation] et l'information pendant qu'elle est stockée, traitée et transmise.

Point(s) de mise en œuvre : Service de gestion de l’information

Description : La fonction d’étiquetage de l’information est appliquée dans le service de gestion de l’information pour toute information créée, traitée ou stockée dans le système d’information.

 C
AC-16 Attributs de sécurité AC-16-1 Le système d'information reconfigure de manière dynamique les attributs de sécurité conformément à une politique de sécurité désignée au moment où l'information est créée et combinée.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information

Description : Les attributs de sécurité de l’information créée, combinée et gérée par le service de gestion de l’information sont reconfigurés dynamiquement par le service d’authentification et d’autorisation.

 C
AC-16 Attributs de sécurité AC-16-2 Le système d'information permet aux entités autorisées de modifier les attributs de sécurité.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information

Description : Les attributs de sécurité assignés par le service d’authentification et d’autorisation pour l’information traitée dans le service de gestion de l’information peuvent être modifiés par les utilisateurs autorisés.

 C
AC-16 Attributs de sécurité AC-16-3 Le système d'information maintient la liaison entre les attributs de sécurité et l'information avec un degré d'assurance suffisant pour que l'association information-attribut puisse servir de base aux opérations automatisées liées aux politiques.

Point(s) de mise en œuvre : Service de gestion de l’information

Description : La fonction d’étiquetage de l’information est appliquée dans le service de gestion de l’information pour toute information créée, traitée ou stockée dans le système d’information.

 C
AC-16 Attributs de sécurité AC-16-4 Le système d'information permet aux utilisateurs autorisés d'associer des attributs de sécurité à l'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information

Description : Les utilisateurs câblés internes et les administrateurs de composants sans fil peuvent associer les attributs de sécurité assignés par le service d’authentification et d’autorisation à l’information gérée par le service de gestion de l’information.

 C
AC-16 Attributs de sécurité AC-16-5 Le système d'information affiche sous forme lisible les attributs de sécurité de chaque objet transmis du système à ses dispositifs de sortie afin d'identifier [Affectation : ensemble d'instructions spéciales de diffusion, de traitement ou de distribution définies par l'organisation] conformément aux [Affectation : conventions d'appellation standard, en langage lisible, définies par l'organisation].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information

Description : Les attributs de sécurité assignés par le service d’authentification et d’autorisation à l’information gérée par le service de gestion de l’information sont affichés sous forme lisible dans chaque objet transmis du système à ses dispositifs de sortie afin d’identifier [Affectation : ensemble d’instructions spéciales de diffusion, de traitement ou de distribution définies par l’organisation] conformément aux [Affectation : conventions d’appellation standard, en langage lisible, définies par l’organisation].

 C
AC-18 Accès sans fil AC-18-B L'organisation surveille le système d'information pour détecter les accès sans fil non autorisés à ce dernier.

Point(s) de mise en œuvre : Service SDISF et capteurs.

Description : Le service SDISF, de pair avec ses capteurs, surveille et signale les composants sans fil non autorisés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
AC-18 Accès sans fil AC-18-C L'organisation autorise l'accès sans fil au système d'information avant la connexion.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre

Description : Le pont sans fil d’utilisateur s’authentifie de façon bidirectionnelle auprès du pont sans fil de périmètre au moyen de la cryptographie. L’authentification est prise en charge par la fonctionnalité 802.1X basée sur les ports du service d’authentification et d’autorisation.

 S
AC-18 Accès sans fil AC-18-D L'organisation applique les exigences concernant les connexions sans fil au système d'information.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre

Description : Le pont sans fil d’utilisateur s’authentifie de façon bidirectionnelle auprès du pont sans fil de périmètre au moyen de la cryptographie. L’authentification est prise en charge par la fonctionnalité 802.1X basée sur les ports du service d’authentification et d’autorisation.

 S
AC-18 Accès sans fil AC-18-1 Le système d'information protège l'accès sans fil au moyen de l'authentification et du chiffrement.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre

Description : Le pont sans fil d’utilisateur s’authentifie de façon bidirectionnelle auprès du pont sans fil de périmètre au moyen de la cryptographie. L’authentification est prise en charge par la fonctionnalité 802.1X basée sur les ports du service d’authentification et d’autorisation.

 S
AC-18 Accès sans fil AC-18-2 L'organisation surveille le système d'information pour détecter les connexions sans fil non autorisées, y compris le balayage des points d'accès sans fil non autorisés [Affectation : fréquence définie par l'organisation], et prend les mesures appropriées si une telle connexion est découverte.

Point(s) de mise en œuvre : Service SDISF et capteurs.

Description : Le service SDISF, de pair avec ses capteurs, surveille et signale les composants sans fil non autorisés, incluant la recherche de points d’accès sans fil non autorisés [Affectation : fréquence définie par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
AC-18 Accès sans fil AC-18-4 L'organisation ne permet pas aux utilisateurs de configurer eux-mêmes les capacités de réseautage sans fil.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail câblés.

Description : Les droits et autorisations d’accès sont configurés dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et appliqués dans les postes de travail câblés. Ces droits et autorisations ne permettent pas aux utilisateurs câblés internes de configurer de capacité de réseautage sans fil dans leurs postes de travail câblés.

 S
AC-18 Accès sans fil AC-18-5 L'organisation restreint les communications sans fil aux frontières qu'elle contrôle.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les supports RF de la zone d’utilisateur câblé interne sont limités aux frontières contrôlées par l’organisation

 S
AC-19 Contrôle d'accès pour les dispositifs mobiles S.O. Ce contrôle de sécurité, et ses éléments de contrôle techniques, ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque des postes de travail câblés plutôt que des dispositifs mobiles sont utilisés. -
AC-21 Collaboration et échange d'information entre utilisateurs AC-21-B L'organisation utilise [Affectation : liste définie par l'organisation des circonstances d'échange d'information et des mécanismes automatisés ou des processus manuels requis] pour aider les utilisateurs à prendre des décisions concernant l'échange d'information et la collaboration.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et service de gestion de l’information

Description : Les [Affectation : liste définie par l’organisation des circonstances d’échange d’information et des mécanismes automatisés ou des processus manuels requis] sont appliquées pour aider les utilisateurs à prendre des décisions relativement au partage d’information et à la collaboration en utilisant l’information gérée par le service de gestion de l’information avec les attributs de sécurité assignées par le service d’authentification et d’autorisation.

 C
AC-21 Collaboration et échange d'information entre utilisateurs AC-21-1 Le système d'information utilise des mécanismes automatisés pour permettre aux utilisateurs autorisés de prendre des décisions concernant l'échange d'information en tenant compte des autorisations d'accès des partenaires d'échange et des restrictions d'accès à l'information à échanger.

Point(s) de mise en œuvre : S.O.

Description : Le partage d’information avec des partenaires non organisationnels ne s’applique pas au scénario d’utilisation opérationnelle.

 -
AU-3 Contenu des enregistrements de vérification AU-3-A Le système d'information produit des enregistrements de vérification qui contiennent suffisamment d'information pour permettre, au minimum, d'établir le type d'événement qui s'est produit, la date et l'heure de l'événement, l'endroit où il s'est produit, sa source, son résultat (réussite ou échec) et l'identité de tous les utilisateurs ou sujets qui lui sont associés.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de transmettre au service de vérification des enregistrements qui contiennent suffisamment d’information pour établir : le type d’événement qui s’est produit, la date et l’heure de l’événement, l’endroit où il s’est produit, sa source, son résultat (réussite ou échec) et l’identité de tous les utilisateurs ou sujets qui lui sont associés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-3 Contenu des enregistrements de vérification AU-3-1 Le système d'information inclut [Affectation : information supplémentaire et plus détaillée définie par l'organisation] dans les enregistrements de vérification pour les événements  répartis par type, emplacement ou sujet.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de configurer [Affectation : information supplémentaire et plus détaillée définie par l’organisation] pour les événements signalés au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-3 Contenu des enregistrements de vérification AU-3-2 L'organisation centralise la gestion du contenu des enregistrements de vérification générés par [Affectation : composants de système définis par l'organisation].

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne peut transmettre des enregistrements de vérification au service de vérification. Le service tient à jour un dépôt central de tous les enregistrements de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-4 Capacité de stockage des vérifications AU-4-A The organization allocates audit record storage capacity and configures auditing to reduce the likelihood of such capacity being exceeded.

Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information.

Description : On attribue au service de vérification une capacité de stockage des enregistrements dont le service de gestion de l’information assure la tenue à jour. Le processus de vérification est configuré de manière à réduire la probabilité de dépassement de cette capacité de stockage.

 C
AU-5 Intervention en cas d'échecs de vérification AU-5-A Le système d'information avertit les responsables désignés de l'organisation dans l'éventualité d'un échec de traitement de vérification.

Point(s) de mise en œuvre : Service de vérification

Description : Le service de vérification avertit les responsables désignés de l’organisation dans l’éventualité d’un échec de traitement de vérification.

 C
AU-5 Intervention en cas d'échecs de vérification AU-5-B Le système d'information prend les mesures supplémentaires suivantes : [Affectation : mesures à prendre définies par l'organisation (p. ex. arrêt du système, écrasement des enregistrements de vérification les plus anciens, arrêt de la génération des enregistrements de vérification)].

Point(s) de mise en œuvre : Commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet d’effectuer [Affectation : mesures à prendre définies par l’organisation (p. ex. arrêt du système, écrasement des enregistrements de vérification les plus anciens, arrêt de la génération des enregistrements de vérification)] dans l’éventualité d’un échec de traitement de vérification dans le composant. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-5 Intervention en cas d'échecs de vérification AU-5-1 Le système d'information génère un avertissement lorsque le volume de stockage attribué aux enregistrements de vérification atteint [Affectation : pourcentage défini par l'organisation] de sa capacité maximale.

Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information.

Description : Le service de vérification produit un avertissement lorsque le volume de stockage attribué aux enregistrements de vérification dans le service de gestion de l’information atteint [Affectation : pourcentage défini par l’organisation] de sa capacité maximale.

 C
AU-5 Intervention en cas d'échecs de vérification AU-5-2 Le système d'information génère une alerte en temps réel lorsque les événements d'échec de vérification suivants se produisent : [Affectation : événements d'échec de vérification définis par l'organisation qui nécessitent une alerte en temps réel].

Point(s) de mise en œuvre : Service de vérification

Description : Le service de vérification produit une alerte en temps réel lorsque les événements d’échec de vérification suivants se produisent : [Affectation : événements d’échec de vérification définis par l’organisation qui nécessitent une alerte en temps réel].

 C
AU-5 Intervention en cas d'échecs de vérification AU-5-3 Le système d'information applique des seuils de volume de trafic configurables représentant la capacité de vérification du trafic réseau et [Sélection : rejette ou retarde] le trafic au-dessus de ces seuils.

Point(s) de mise en œuvre : Service réseau

Description : Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic représentant la capacité de vérification du trafic réseau et [Sélection : rejette ou retarde] le trafic au-dessus de ces seuils.

 C
AU-5 Intervention en cas d'échecs de vérification AU-5-4 Le système d'information effectue un arrêt système à la suite d'un échec de vérification, sauf lorsqu'il existe une capacité de vérification de secours.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet d’arrêter le composant dans l’éventualité d’un échec de vérification, sauf lorsqu’il existe une capacité de vérification de secours. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-6 Examen, analyse et rapports de vérification AU-6-3 L'organisation analyse et met en corrélation les enregistrements de vérification des différents dépôts afin d'acquérir une connaissance de sa situation globale.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés,  commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permettent de transmettre des enregistrements de vérification au service de vérification. Le service de vérification gère un dépôt central et un centre de gestion de tous les enregistrements de vérification pour être au fait de la situation à l’échelle de l’organisation.

 S
AU-6 Examen, analyse et rapports de vérification AU-6-4 Le système d'information centralise l'examen et l'analyse des enregistrements de vérification provenant de plusieurs composants du système.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés,  commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne peut transmettre des enregistrements de vérification au service de vérification. Le service de vérification inclut un dépôt central de tous les enregistrements de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-6 Examen, analyse et rapports de vérification AU-6-5 L'organisation intègre l'analyse des enregistrements de vérification à l'analyse de l'information liée au balayage des vulnérabilités, des données de rendement et de l'information sur la surveillance réseau pour accroître sa capacité d'identification les activités inappropriées ou inhabituelles.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés,  commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé intern peut transmettre des enregistrements de vérification au service de vérification. Le service de vérification inclut un dépôt central de tous les enregistrements de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-7 Réduction des vérifications et génération de rapports AU-7-A Le système d'information offre une capacité de réduction des vérifications et de génération de rapports.

Point(s) de mise en œuvre : Service de vérification

Description : Le service de vérification offre une capacité de réduction des vérifications et de génération de rapports.

 C
AU-7 Réduction des vérifications et génération de rapports AU-7-1 Le système d'information permet de traiter automatiquement les enregistrements de vérification des événements d'intérêt en fonction de critères d'événement sélectionnables.

Point(s) de mise en œuvre : Service de vérification

Description : Le service de vérification permet de traiter automatiquement les enregistrements de vérification des événements d’intérêt en fonction de critères d’événement sélectionnables.

 C
AU-8 Estampilles temporelles AU-8-A Le système d'information utilise des horloges de système internes pour générer des estampilles temporelles pour les enregistrements de vérification.

Point(s) de mise en œuvre : Service réseau, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de produire des estampilles temporelles pour les enregistrements de vérification transmis au service de vérification. Chaque composant peut également synchroniser son horloge en utilisant la fonction de serveur de temps centralisée du service réseau. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé, le service réseau et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-8 Estampilles temporelles AU-8-1 Le système d'information synchronise ses horloges internes [Affectation : fréquence définie par l'organisation] en utilisant [Affectation : source de temps faisant autorité définie par l'organisation].

Point(s) de mise en œuvre : Service réseau, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne permettent de synchroniser leur horloge en utilisant la fonction de serveur de temps centralisée du service réseau. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé, le service réseau et la fonction de synchronisation de l’horloge système des composants câblés/sans fil non protégés.

 S
AU-9 Protection de l'information de vérification AU-9-A Le système d'information protège l'information de vérification et les outils de vérification contre l'accès, la modification et la suppression non autorisés.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations d’utiliser l’information et les outils de vérification dans les composants sans fil, les postes de travail câblés et le service de vérification sont configurées dans le service d’authentification et d’autorisation et appliquées par le service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’autorisation et le service de vérification de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
AU-9 Protection de l'information de vérification AU-9-1 Le système d'information produit les enregistrements de vérification sur des supports matériels non réinscriptibles.

Point(s) de mise en œuvre : Service de vérification

Description : Le service de vérification permet de produire des enregistrements de vérification sur des supports matériels non inscriptibles.

 C
AU-9 Protection de l'information de vérification AU-9-2 Le système d'information sauvegarde les enregistrements de vérification [Affectation : fréquence définie par l'organisation] dans un système ou un support différent du système faisant l'objet de la vérification.

Point(s) de mise en œuvre : Service de sauvegarde et de reprise et service de vérification.

Description : Le service de sauvegarde et de reprise sauvegarde les enregistrements de vérification produits par le service de vérification [Affectation : fréquence définie par l’organisation] dans un système ou support différent de celui qui fait l’objet de la vérification.

 C
AU-9 Protection de l'information de vérification AU-9-3 Le système d'information utilise des mécanismes cryptographiques pour protéger l'intégrité de l'information de vérification et des outils de vérification.

Point(s) de mise en œuvre : Service de vérification et service de gestion de l’information.

Description : Le service de vérification utilise des mécanismes cryptographiques pour protéger l’intégrité de l’information de vérification stockée et gérée par le service de gestion de l’information.

 C
AU-9 Protection de l'information de vérification AU-9-4 L'organisation (a) autorise l'exécution des commandes privilégiées et l'accès à l'information liée à la sécurité par la méthode d'accès à distance uniquement dans le cas de besoins opérationnels probants et (b) documente le motif de cet accès dans le plan de sécurité du système d'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, service de gestion de l’information, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations d’accès aux données de vérification stockées par le service de vérification dans le service de gestion de l’information, et la fonction de vérification des commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés sont configurées dans le service d’authentification et d’autorisation pour s’assurer que l’accès à la fonction de gestion de la vérification soit réservé à un sous-ensemble restreint d’utilisateurs privilégiés et (b) pour protéger les enregistrements de vérification contre tout accès extérieur aux comptes privilégiés et contre l’exécution de toute fonction privilégiée.

 C
AU-10 Non-répudiation AU-10-A Le système d'information offre une protection contre quiconque nie faussement avoir effectué une opération particulière.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de transmettre au service de vérification des enregistrements qui identifient les mesures prises par les utilisateurs. Dans le cas des composants câblés/sans fil non protégés, l’exigence de contrôle de sécurité est appliquée dans le service de vérification de réseau non protégé et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-10 Non-répudiation AU-10-1 Le système d'information associe l'identité du producteur d'information à l'information.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur câblé interne dans le poste de travail sans fil.

 S
AU-10 Non-répudiation AU-10-2 Le système d'information valide le lien entre l'identité du producteur de l'information et l'information.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur câblé interne dans le poste de travail sans fil.

 S
AU-10 Non-répudiation AU-10-3 Le système d'information conserve, dans la chaîne de possession établie, l'identité et les justificatifs d'identité de l'examinateur ou de l'émetteur pour toute l'information examinée ou diffusée.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur câblé interne dans le poste de travail sans fil.

 S
AU-10 Non-répudiation AU-10-4 Le système d'information valide le lien entre l'identité de l'examinateur et l'information au point de transfert ou de diffusion, avant que l'information ne soit transférée ou diffusée d'un domaine de sécurité à un autre.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés incluent une fonction de non-répudiation de l’information créée, traitée ou stockée par l’utilisateur câblé interne dans le poste de travail sans fil.

 S
AU-10 Non-répudiation AU-10-5 L'organisation utilise une cryptographie conforme aux exigences du contrôle SC-13 pour mettre en œuvre les signatures numériques.

Point(s) de mise en œuvre : Postes de travail câblés

Description : La fonction de non-répudiation des postes de travail câblés utilise une cryptographie conforme aux exigences du contrôle SC-13 qui concernent l’application des signatures numériques.

 S
AU-12 Génération d'enregistrements de vérification AU-12-A Le système d'information comprend une capacité de génération d'enregistrements de vérification pour la liste d'événements vérifiables définie au contrôle AU-2 au [Affectation : composants du système d'information définis par l'organisation].

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de produire des enregistrements de vérification et de les transmettre au service de vérification pour les événements définis en AU-2 dans [Affectation : composants de système d’information définis par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-12 Génération d'enregistrements de vérification AU-12-B Le système d'information permet au personnel désigné de l'organisation de sélectionner les événements vérifiables qui doivent être vérifiés par composant de système particulier.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne peut être configurée par les administrateurs de composants sans fil pour les événements à vérifier et à transmettre au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-12 Génération d'enregistrements de vérification AU-12-C Le système d'information génère des enregistrements de vérification pour la liste des événements vérifiés définie au contrôle AU-2 et dont le contenu est défini au contrôle AU-3.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de produire des enregistrements de vérification et de les transmettre au service de vérification pour les événements définis en AU-2 avec le contenu défini en AU-3. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-12 Génération d'enregistrements de vérification AU-12-1 Le système d'information compile les enregistrements de vérification provenant de [Affectation : composants du système d'information définis par l'organisation] en une piste de vérification (logique ou physique) globale qui est corrélée dans le temps, en-dedans de [Affectation : niveau de tolérance défini par l'organisation pour les relations entre les estampilles temporelles des enregistrements individuels de la piste de vérification].

Point(s) de mise en œuvre : Service de vérification, service réseau, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permettent de transmettre des enregistrements de vérification au service de vérification. Chaque composant synchronise son horloge système en utilisant la fonction de serveur de temps du service réseau pour s’assurer que les enregistrements de vérification sont corrélés dans le temps en dedans de [Affectation : niveau de tolérance défini par l’organisation pour les relations entre les estampilles temporelles des enregistrements individuels de la piste de vérification]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé, service réseau et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-12 Génération d'enregistrements de vérification AU-12-2 Le système d'information produit une piste de vérification (logique ou physique) globale composée d'enregistrements de vérification dans un format normalisé.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permettent de transmettre des enregistrements de vérification au service de vérification. Les enregistrements de vérification produits par les composants (passerelle et serveur mandataire) de l’utilisateur externe et de l’administrateur externe sont dans un format normalisé ou convertis dans ce format par le service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification de réseau non protégé et la fonction de vérification des composants câblés/sans fil non protégés.

 S
AU-14 Vérification des sessions AU-14-A Le système d'information permet de saisir ou d'enregistrer et de journaliser tout le contenu d'une session utilisateur.

Point(s) de mise en œuvre : Service SDI

Description : Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur sans fil interne et à journaliser ou saisir le contenu du service de vérification.

 C
AU-14 Vérification des sessions AU-14-B Le système d'information permet de visualiser ou d'écouter à distance et en temps réel tout le contenu d'une session utilisateur établie.

Point(s) de mise en œuvre : Service SDI et service de vérification.

Description : Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur sans fil interne et à visualiser ou écouter à distance et en temps réel tout le contenu d’une session d’utilisateur.

 C
AU-14 Vérification des sessions AU-14-1 Le système d'information lance les vérifications de session au démarrage du système.

Point(s) de mise en œuvre : Service SDI et service de vérification.

Description : Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur câblé interne et à journaliser ou saisir le contenu du service de vérification. Le service SDI peut lancer les processus de vérification au démarrage du système.

 C
CM-5 Restrictions d'accès associées aux changements CM-5-A L'organisation définit, documente, approuve et applique les restrictions d'accès logique et physique associées aux changements au système d'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et définissent les restrictions d'accès logique associées aux changements apportés au système d’information. Ces autorisations sont appliquées dans les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
CM-5 Restrictions d'accès associées aux changements CM-5-1 L'organisation utilise des mécanismes automatisés pour appliquer les restrictions d'accès et faciliter la vérification des mesures d'application.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et appliquées dans les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne. La vérification des mesures d’application de ces autorisations est également appliquée par les dans les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, service de vérification et la fonction de vérification des composants câblés/sans fil non protégés.

 S
CM-5 Restrictions d'accès associées aux changements CM-5-3 Le système d'information empêche l'installation de [Affectation : programmes logiciels  essentiels définis par l'organisation] qui ne sont pas signés à l'aide d'un certificat reconnu et approuvé par l'organisation.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés sont configurés de manière que leur système d’information empêche l’installation de [Affectation : programmes logiciels essentiels définis par l’organisation] qui ne sont pas signés à l’aide d’un certificat reconnu et approuvé par l’organisation.

 S
CM-5 Restrictions d'accès associées aux changements CM-5-6 L'organisation restreint les privilèges de changement des logiciels résidents dans les bibliothèques de logiciels (y compris les programmes privilégiés).

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et définissent les restrictions d’accès logique associées aux changements apportés aux logiciels résidents dans les bibliothèques de logiciels (incluant les programmes privilégiés). Ces autorisations sont appliquées dans les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
CM-5 Restrictions d'accès associées aux changements CM-5-7 Le système d'information met en œuvre  automatiquement [Affectation : mesures de protection et contremesures définies par l'organisation] lorsque les fonctions (ou mécanismes) de sécurité sont modifiées de manière inappropriée.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et définissent les restrictions d’accès logique associées aux changements apportés au système d’information. Ces autorisations sont appliquées dans les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, et la fonction de contrôle d’accès des composants câblés/sans fil non protégés. Le système d’information met en œuvre automatiquement [Affectation : mesures de protection et contremesures définies par l’organisation] lorsque les fonctions (ou mécanismes) de sécurité sont modifiées de manière inappropriée.

 S
CM-6 Paramètres de configuration CM-6-B L'organisation met en œuvre les paramètres de configuration.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne composants sont configurées avec les paramètres de configuration obligatoires les plus rigoureux. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants câblés/sans fil non protégés.

 S
CM-6 Paramètres de configuration CM-6-1 L'organisation utilise des mécanismes automatisés pour centraliser la gestion, l'application et la vérification des paramètres de configuration.

Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le SGC permet la fourniture et la vérification des configurations des composants des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Le SGC permet de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées. Le service d’intégrité des fichiers (SIF) permet de vérifier les paramètres de configuration dans les fichiers des composants dans lesquels on peut installer un agent SIF. Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le SGC de réseau non protégé, le service d’intégrité des fichiers, le service d’authentification et d’autorisation, le service de vérification et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
CM-6 Paramètres de configuration CM-6-2 L'organisation utilise des mécanismes automatisés pour intervenir dans les cas où des changements non autorisés sont apportés aux [Affectation : paramètres définis par l'organisation de configuration].

Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service d’authentification et d’autorisation, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations d’accès aux paramètres de vérification sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. La fonction de contrôle d’accès signale les tentatives d’accès non autorisé au service de vérification. Le SGC permet de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers signalent tout changement non autorisé. Ils peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le SGC de réseau non protégé, le service d’intégrité des fichiers, le service d’authentification et d’autorisation, le service de vérification et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
CM-6 Paramètres de configuration CM-6-3 L'organisation intègre un mécanisme de détection des changements de configuration non autorisés liés à la sécurité à sa capacité d'intervention en cas d'incident pour s'assurer que de tels événements sont suivis, surveillés, corrigés et conservés à des fins historiques.

Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service d’authentification et d’autorisation, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations d’accès aux paramètres de vérification sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. La fonction de contrôle d’accès signale les tentatives d’accès non autorisé au service de vérification. Le SGC permet de vérifier périodiquement les configurations de composant et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers signalent tout changement non autorisé. Ils peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le SGC de réseau non protégé, le service d’intégrité des fichiers, le service d’authentification et d’autorisation, le service de vérification et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
CM-7 Fonctionnalité minimale CM-7-A L'organisation configure le système d'information de manière à offrir uniquement les capacités jugées essentielles et interdit ou restreint spécifiquement l'utilisation des fonctions, ports, protocoles ou services suivants : [Affectation : liste définie par l'organisation des fonctions, ports, protocoles ou services interdits ou restreints].

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés sont configurés de manière à offrir uniquement les capacités jugées essentielles et interdit ou restreint l’utilisation des fonctions, ports, protocoles ou services suivants : [Affectation : liste définie par l’organisation des fonctions, ports, protocoles et (ou) services interdits et (ou) restreints].

 S
CM-7 Fonctionnalité minimale CM-7-2 L'organisation utilise des mécanismes automatisés pour empêcher l'exécution des programmes conformément à [Sélection (une ou plusieurs) : liste des programmes autorisés; liste des programmes non autorisés; règles d'autorisation des modalités d'utilisation d'un programme].

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés sont configurés de manière que leur système d’exploitation empêche l’exécution des programmes conformément à [Sélection (une ou plusieurs) : liste des programmes autorisés; liste des programmes non autorisés; règles d’autorisation des modalités d’utilisation d’un programme].

 S
CM-8 Inventaire des composants de système d'information CM-8-2 L'organisation utilise des mécanismes automatisés pour faciliter la tenue d'un inventaire des composants du système d'information qui soit à jour, complet, exact et facilement accessible.

Point(s) de mise en œuvre : SGC

Description : Le SGC permet de vérifier les configurations des composants à des fins de prise d’inventaire automatisé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également appliquée au SGC de réseau non protégé.

 C
CM-8 Inventaire des composants de système d'information CM-8-3 L’organisation : (a) utilise des mécanismes automatisés [Affectation : fréquence définie par l'organisation] pour détecter l'ajout de tout composant ou dispositif non autorisé au système d'information; et (b) désactive l'accès réseau de ces composants ou dispositifs ou informe les autorités responsables de l'organisation.

Point(s) de mise en œuvre : Service SDISF, capteurs, ponts sans fil d’utilisateur et de périmètre et composants câblés/sans fil non protégés.

Description : Le pont sans fil d’utilisateur est le seul dispositif sans fil autorisé à se connecter au pont sans fil de périmètre après l’authentification basée sur les ports 802.1X prise en charge par le service d’authentification et d’autorisation. Le service SDISF, de pair avec ses capteurs, surveille les composants sans fil non autorisés. Dans le cas des composants câblés/sans fil non protégés, le contrôle de sécurité est mis en œuvre dans le service d'authentification et d'autorisation du réseau non protégé. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
CP-9 Sauvegarde du système d'information CP-9-A L'organisation effectue des sauvegardes données utilisateur contenues dans le système d'information [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise].

Point(s) de mise en œuvre : Service de sauvegarde et de reprise et service de gestion de l’information.

Description : Le service de sauvegarde et de reprise effectue des sauvegardes données d’utilisateur gérées par le service de gestion de l’information [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise].

 C
CP-9 Sauvegarde du système d'information CP-9-B L'organisation effectue des sauvegardes données système contenues dans le système d'information [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise].

Point(s) de mise en œuvre : Service de sauvegarde et de reprise, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le service de sauvegarde et de reprise accède aux postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne pour sauvegarder l’information système [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de sauvegarde et de reprise de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
CP-9 Sauvegarde du système d'information CP-9-C L'organisation effectue des sauvegardes de la documentation liée au système d'information, y compris la documentation sur la sécurité, [Affectation : fréquence définie par l'organisation et conforme aux objectifs de temps et de point de reprise].

Point(s) de mise en œuvre : Service de sauvegarde et de reprise et service de gestion de l’information.

Description : Le service de sauvegarde et de reprise effectue des sauvegardes de la documentation des systèmes d’information qui sont gérées par le service de gestion de l’information [Affectation : fréquence définie par l’organisation et conforme aux objectifs de temps et de point de reprise].

 C
CP-9 Sauvegarde du système d'information CP-9-6 L'organisation effectue la sauvegarde du système d'information en recourant à un système secondaire redondant, situé hors de l'emplacement du système opérationnel, qui peut être activé sans perte d'information ou perturbation des opérations.

Point(s) de mise en œuvre : Tous

Description : Un système secondaire redondant est prévu pour maintenir la disponibilité du service dans l’éventualité d’une défaillance du système principal.

 S
CP-10 Reprise et reconstitution du système d'information CP-10-2 Le système d'information applique un processus de reprise des transactions pour les systèmes de traitement transactionnel.

Point(s) de mise en œuvre : Service de gestion de l’information

Description : Les bases de données gérées par le service de gestion de l’information incluent un processus de reprise des transactions.

 C
CP-10 Reprise et reconstitution du système d'information CP-10-5 L'organisation offre [Affectation : capacité de basculement définie par l'organisation pour le système d'information] en [Sélection : temps réel; temps quasi réel].

Point(s) de mise en œuvre : Commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne sont appliqués de manière à offrir en [Sélection : temps réel; temps quasi réel] [Affectation : capacité de basculement définie par l’organisation pour le système d’information]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants câblés/sans fil non protégés.

 S
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-A Le système d'information identifie de façon unique et authentifie les utilisateurs organisationnels (ou les processus exécutés en leur nom).

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les justificatifs d’identité de comptes sont configurés dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliqués dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés.

 S
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-1 Le système d'information utilise l'authentification multifactorielle pour l'accès réseau aux comptes privilégiés.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès réseau des commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés.

 -
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-2 Le système d'information utilise l'authentification multifactorielle pour l'accès réseau aux comptes non privilégiés.

Point(s) de mise en œuvre : S. O.

Description : Les utilisateurs câblés internes ne se connectent pas à la passerelle d’authentification par des connexions d’accès réseau.

 -
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-3 Le système d'information utilise l'authentification multifactorielle pour l'accès local aux comptes privilégiés.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès réseau des commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés.

 S
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-4 Le système d'information utilise l'authentification multifactorielle pour l'accès local aux comptes non privilégiés.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail câblés.

Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et appliquée dans la fonction de connexion des postes de travail câblés.

 S
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-5 L’organisation : (a) permet l'utilisation d'authentifiants de groupe seulement s'ils sont utilisés de pair avec un authentifiant individuel ou unique; et (b) exige des utilisateurs qu'ils soient authentifiés par un authentifiant individuel avant d'utiliser un authentifiant de groupe.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les justificatifs d’authentifiant de groupe sont configurés dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et les utilisateurs sans fil internes. Les authentifiants de groupe sont utilisés dans la fonction de connexion des commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne pour les administrateurs de composants sans fil. Ils sont également utilisés dans la fonction de connexion des postes de travail sans fil pour les utilisateurs sans fil internes. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés pour les administrateurs de composants sans fil non protégés.

 S
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-6 Le système d'information utilise, pour l'accès réseau aux comptes privilégiés, une authentification multifactorielle où l'un des facteurs est fourni par un dispositif distinct du système d'information auquel l'utilisateur accède.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : L’authentification multifactorielle est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès réseau des commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne. Un des facteurs est fourni par un dispositif distinct du système d’information auquel l’utilisateur accède. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants sans fil non protégés.

 -
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-7 Le système d'information utilise, pour l'accès réseau aux comptes non privilégiés, une authentification multifactorielle où l'un des facteurs est fourni par un dispositif distinct du système d'information auquel l'utilisateur accède.

Point(s) de mise en œuvre : S. O.

Description : Les utilisateurs câblés internes ne se connectent pas à la passerelle d’authentification par des connexions d’accès réseau.

 -
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-8 Le système d'information utilise [Affectation : mécanismes d'authentification résistant aux réinsertions définis par l'organisation] pour l'accès réseau aux comptes privilégiés.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La méthode d’authentification est configurée dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquée dans la fonction de connexion d’accès réseau des composants sans fil et appliquée dans la fonction de connexion d’accès réseau des commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne, utilise [Affectation : mécanismes d’authentification résistant aux réinsertions définis par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés.

 -
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-9 Le système d'information utilise [Affectation : mécanismes d'authentification résistant aux réinsertions définis par l'organisation] pour l'accès réseau aux comptes non privilégiés.

Point(s) de mise en œuvre : S. O.

Description : Les utilisateurs câblés internes ne se connectent pas à la passerelle d’authentification par des connexions d’accès réseau.

 -
IA-2 Identification et authentification (utilisateurs organisationnels) IA-2-100 Le système d'information utilise l'authentification multifactorielle pour l'accès à distance aux comptes privilégiés.

IPoint(s) de mise en œuvre : S. O.

Description : Les administrateurs de composants sans fil n’utilisent pas les connexions d’accès à distance pour administrer les composants sans fil.

 -
IA-3 Identification et authentification des dispositifs IA-3-A Le système d'information identifie de façon unique et authentifie [Affectation : liste définie de dispositifs ou types de dispositif précis] avant l'établissement d'une connexion.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail sans fil.

Description : Les postes de travail sans fil doivent réussir à créer des associations avec le protocole 802.11 en utilisant l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.

 S
IA-3 Identification et authentification des dispositifs IA-3-1 Le système d'information authentifie les dispositifs avant l'établissement des connexions réseau à distance et sans fil en utilisant une authentification bidirectionnelle entre dispositifs qui repose sur la cryptographie.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès et commutateurs sans fil de périmètre.

Description : Les postes de travail sans fil s’authentifient auprès des points d’accès lourds ou des commutateurs sans fil de périmètre (lorsque des points d’accès légers sont utilisés) en recourant à la cryptographie. L’authentification s’appuie sur l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.

 S
IA-3 Identification et authentification des dispositifs IA-3-2 Le système d'information authentifie les dispositifs avant l'établissement des connexions réseau en utilisant une authentification bidirectionnelle entre dispositifs qui repose sur la cryptographie.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail sans fil, points d’accès et commutateurs sans fil de périmètre.

Description : Les postes de travail sans fil utilisent une authentification bidirectionnelle pour s’authentifier auprès des points d’accès lourds ou des commutateurs sans fil de périmètre (lorsque des points d’accès légers sont utilisés) en recourant à la cryptographie. L’authentification s’appuie sur l’authentification 802.1X basée sur les ports du service d’authentification et d’autorisation.

 S
IA-4 Gestion des identificateurs IA-4-5 Le système d'information gère de manière dynamique les identificateurs, les attributs et les autorisations d'accès connexes.

Point(s) de mise en œuvre : S. O.

Description : Le recours à la gestion dynamique des identificateurs, des attributs et des autorisations d’accès connexes ne s’applique pas au scénario d’utilisation opérationnelle.

 -
IA-5 Gestion des authentifiants IA-5-1 Authentification axée sur les mots de passe – Le système d'information : (a) applique un mot de passe de complexité minimale [Affectation : exigences définies par l'organisation concernant la sensibilité à la casse, le nombre de caractères, la combinaison minuscules-majuscules, les lettres minuscules, les chiffres et les caractères spéciaux, y compris les exigences minimales pour chaque type]; (b) applique au minimum [Affectation : nombre de caractères modifiés défini par l'organisation] lors de la création de nouveaux mots de passe; (c) chiffre les mots de passe stockés et en transit; (d) applique les restrictions minimales et maximales de durée des mots de passe, soit [Affectation : nombre défini par l'organisation pour la durée minimale ou maximale]; et (e) interdit la réutilisation des mots de passe pendant [Affectation : nombre défini par l'organisation] générations.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les comptes d’utilisateur sans fil interne et d’administrateur de composants sans fil sont configurés dans le service d’authentification et d’autorisation qui (a) applique un mot de passe de complexité minimale [Affectation : exigences définies par l’organisation concernant la sensibilité à la casse, le nombre de caractères, la combinaison minuscules-majuscules, les lettres minuscules, les chiffres et les caractères spéciaux, y compris les exigences minimales pour chaque type]; (b) applique au minimum [Affectation : nombre de caractères modifiés défini par l’organisation] lors de la création de nouveaux mots de passe; (c) chiffre les mots de passe stockés et en transit; (d) applique les restrictions minimales et maximales de durée des mots de passe, soit [Affectation : nombre défini par l’organisation pour la durée minimale ou maximale]; (e) interdit la réutilisation des mots de passe pendant [Affectation : nombre défini par l’organisation] générations. Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne permettent les connexions axées sur la politique des mots de passe. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés.

 S
IA-5 Gestion des authentifiants IA-5-2 Authentification axée sur l'ICP – Le système : (a) valide les certificats en créant un chemin de certification avec l'information d'état vers un point d'ancrage de confiance autorisé; (b) applique la procédure d'accès autorisé à la clé privée correspondante; et (c) associe l'identité authentifiée au compte de l'utilisateur.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, service ICP, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : L’authentification axée sur l’ICP est configurée dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et les administrateurs de composants sans fil et prise en charge par le service d’ICP pour (a) valider les certificats en créant un chemin de certification avec l’information d’état vers un point d’ancrage de confiance autorisé; (b) appliquer la procédure d’accès autorisé à la clé privée correspondante; (c) associer l’identité authentifiée au compte de l’utilisateur. L’authentification axée sur l’ICP est assurée par la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, le service d’ICP et la fonction de connexion des composants câblés/sans fil non protégés.

 S
IA-6 Rétroaction d'authentification IA-6-A Le système d'information obscure les rétroactions d'information durant le processus d'authentification afin de protéger l'information contre de possibles exploitations ou utilisations par des personnes non autorisées.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne occulte l’information sur la rétroaction d’authentification durant le processus de connexion. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans la fonction de connexion des composants câblés/sans fil non protégés.

 S
IA-7 Authentification des modules cryptographiques IA-7-A Le système d'information utilise des mécanismes d'authentification auprès d'un module cryptographique qui satisfont à l'orientation du CSTC en matière d'authentification.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les méthodes d’authentification sont configurées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliquées dans la fonction de connexion des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Elles répondent aux exigences des conseils concernés du CSTC. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de connexion des composants câblés/sans fil non protégés.

 S
IA-8 Identification et authentification (utilisateurs non organisationnels) S.O. Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas à ce scénario d’utilisation opérationnelle puisque l’accès sans fil n’est pas offert aux utilisateurs externes. -
MA-4 Télémaintenance S.O. Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle qui ne prend pas en charge les activités de télémaintenance et de télédiagnostic. -
SC-2 Partitionnement des applications SC-2-A Le système d'information sépare la fonctionnalité utilisateur (y compris les services d'interface utilisateur) de la fonctionnalité de gestion du système d'information.

Point(s) de mise en œuvre : Service réseau

Description : Le service réseau inclut une sous-zone de gestion qui permet de séparer les services d’utilisateur et de gestion.

 C
SC-2 Partitionnement des applications SC-2-1 Le système d'information empêche la présentation de la fonctionnalité liée à la gestion du système d'information à une interface pour les utilisateurs généraux (c.-à-d. non privilégiés).

Point(s) de mise en œuvre : Service réseau

Description : Le service réseau inclut une sous-zone de gestion et une zone d’utilisateur sans fil interne pour séparer les fonctions de gestion de système des fonctions privilégiées (p. ex. un utilisateur externe).

 C
SC-3 Isolement des fonctions de sécurité SC-3-A Le système d'information isole les fonctions de sécurité des autres fonctions.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants câblés/sans fil non protégés.

 S
SC-3 Isolement des fonctions de sécurité SC-3-1 Le système d'information recoure à des mécanismes sous-jacents de séparation matérielle pour faciliter l'isolement des fonctions de sécurité.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne recourent à des mécanismes sous-jacents de séparation matérielle pour faciliter l’isolement des fonctions de sécurité. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants câblés/sans fil non protégés.

 S
SC-3 Isolement des fonctions de sécurité SC-3-2 Le système isole, à la fois des autres fonctions de sécurité et des fonctions non liées à la sécurité, les fonctions de sécurité appliquant le contrôle de l'accès et du flux d'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et périmètre d’utilisateur câblé interne.

Description : Les fonctions de sécurité appliquant le contrôle de l'accès et du flux d'information, différentes de celles non liées à la sécurité exécutées dans le système d’information, sont mises en œuvre dans le service d’authentification et d’autorisation et le périmètre d’utilisateur câblé interne.

 S
SC-3 Isolement des fonctions de sécurité SC-3-3 L'organisation recoure à un périmètre d'isolation du système d'information pour réduire le nombre de fonctions non liées à la sécurité partageant le même périmètre que les fonctions de sécurité.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne réduisent le nombre de fonctions non liées à la sécurité incluses dans le périmètre d'isolation qui contient les fonctions de sécurité. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants câblés/sans fil non protégés.

 S
SC-3 Isolement des fonctions de sécurité SC-3-4 L'organisation applique les fonctions de sécurité sous forme de modules essentiellement indépendants qui évitent toute interaction inutile entre eux.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne appliquent les fonctions de sécurité sous forme de modules essentiellement indépendants qui évitent toute interaction inutile entre eux. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants câblés/sans fil non protégés.

 S
SC-3 Isolement des fonctions de sécurité SC-3-5 L'organisation applique les fonctions de sécurité dans une structure en couches qui permet de réduire les interactions entre les couches de la conception et d'éviter que les couches inférieures soient assujetties au bon fonctionnement des couches supérieures ou de leurs fonctions.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne appliquent les fonctions de sécurité dans une structure en couches qui permet de réduire les interactions entre les couches de la conception et d'éviter que les couches inférieures soient assujetties au bon fonctionnement des couches supérieures ou de leurs fonctions. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans les composants câblés/sans fil non protégés.

 S
SC-4 Information contenue dans les ressources partagées SC-4-A Le système d'information empêche tout transfert d'information non autorisé et involontaire découlant du partage des ressources du système.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations, attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil, définissent l’information à laquelle les utilisateurs et les administrateurs sont autorisés à accéder. Ces autorisations sont appliquées dans la fonction de contrôle d’accès des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne et ont pour but d’empêcher tout transfert d’information non autorisé et involontaire découlant du partage des ressources du système. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
SC-4 Information contenue dans les ressources partagées SC-4-1 Le système d'information ne partage pas les ressources utilisées dans les interfaces avec les systèmes fonctionnant à des niveaux de sécurité différents.

Point(s) de mise en œuvre : S. O.

Description : Toute interface entre des systèmes d’information possédant des niveaux de sécurité différents ne s’applique pas au scénario d’utilisation opérationnelle.

 -
SC-5 Protection contre les dénis de service SC-5-A Le système d'information protège contre les types d'attaques par déni de service suivants ou en limite les effets : [Affectation : liste définie par l'organisation des types d'attaques par déni de service ou renvoi à la source de la liste actuelle].

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI.

Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), surveille les attaques par déni de service dans la zone d’utilisateur sans fil interne tandis que le service SDI surveille ce même type d'attaque dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SC-5 Protection contre les dénis de service SC-5-1 Le système d'information limite la capacité des utilisateurs de lancer des attaques par déni de service contre d'autres systèmes d'information ou réseaux.

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI.

Description : Le service SDISF, de pair avec ses capteurs, surveille les attaques par déni de service dans la zone d’utilisateur câblé interne tandis que le service SDI surveille ce même type d'attaque dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SC-5 Protection contre les dénis de service SC-5-2 Le système d'information gère l'excédent de capacité et de largeur de bande, ou toute autre redondance, afin de limiter les effets d'attaques par déni de service de types inondation d'information.

Point(s) de mise en œuvre : Service réseau

Description : Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic pour les types de trafic réseau afin de limiter les effets d’attaques par déni de service de types inondation d’information.

 C
SC-6 Priorité des ressources SC-6-A Le système d'information limite l'utilisation des ressources selon leur priorité.

Point(s) de mise en œuvre : Service réseau

Description : Les routeurs du service réseau permettent d’attribuer des seuils de volume de trafic pour les types de trafic réseau afin de limiter l’utilisation des ressources selon leur priorité.

 C
SC-7 Protection des frontières SC-7-A Le système d'information surveille et contrôle les communications à sa frontière externe et à ses principales frontières internes.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Les périmètres utilisés pour la mise en place des zones du réseau ministériel (incluant le périmètre d’utilisateur câblé interne) surveillent et contrôlent les communications entre la frontière de la zone d’utilisateur câblé interne et le réseau ministériel. La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.

 S
SC-7 Protection des frontières SC-7-B Le système d'information se connecte aux réseaux ou aux systèmes d'information externes uniquement par des interfaces gérées qui sont dotées de mécanismes de protection des frontières répartis conformément à l'architecture de sécurité de l'organisation.

Point(s) de mise en œuvre : S. O.

Description : La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.

 -
SC-7 Protection des frontières SC-7-1 L'organisation attribue physiquement les composants de système d'information accessibles au public pour séparer les sous-réseaux par des interfaces réseau physiques distinctes.

Point(s) de mise en œuvre : S. O.

Description : La sécurité des composants de système d’information accessible au public est hors de la portée du scénario d’utilisation opérationnelle.

 -
SC-7 Protection des frontières SC-7-2 Le système d'information empêche tout accès public aux réseaux internes de l'organisation sauf dans le cas où l'accès est négocié de manière appropriée par des interfaces gérées dotées de dispositifs de protection des frontières.

Point(s) de mise en œuvre : S. O.

Description : La sécurité de l’accès du public au réseau ministériel est hors de la portée du scénario d’utilisation opérationnelle.

 -
SC-7 Protection des frontières SC-7-3 L'organisation limite le nombre de points d'accès au système d'information afin d'exercer une meilleure surveillance des communications entrantes et sortantes et du trafic réseau.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Les points d’accès au réseau ministériel pour les utilisateurs câblé internes sont limités au périmètre d’utilisateur câblé interne.

 S
SC-7 Protection des frontières SC-7-4 L’organisation : (a) applique une interface gérée à chaque service de télécommunications externe; (b) établit une politique de flux de trafic pour chaque interface gérée; (c) utilise des contrôles de sécurité selon les besoins pour protéger la confidentialité et l'intégrité de l'information transmise; (d) documente chaque exception à la politique de flux de trafic en précisant le besoin de la mission ou de l'activité opérationnelle donnant lieu à l'exception et la durée de ce besoin; (e) examine les exceptions à la politique de flux de trafic [Affectation : fréquence définie par l'organisation]; et (f) supprime les exceptions à la politique de flux de trafic qui ne sont plus justifiées par un besoin explicite de la mission ou d'une activité opérationnelle.

Point(s) de mise en œuvre : S. O.

Description : La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.

 -
SC-7 Protection des frontières SC-7-5 Le système d'information, au niveau des interfaces gérées, interdit tout trafic réseau par défaut et ne l'autorise qu'exceptionnellement (c.-à-d. interdit tout trafic, permet le trafic par exception).

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne est configuré de manière à interdire tout trafic réseau par défaut et à ne l’autoriser qu’exceptionnellement (c.-à-d. interdit tout trafic, permet le trafic par exception).

 S
SC-7 Protection des frontières SC-7-6 L'organisation empêche toute diffusion d'information non autorisée hors des frontières du système d'information ou toute communication non autorisée à travers les frontières du système d'information en cas de défaillance opérationnelle des mécanismes de protection des frontières.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne tombe à l’état ouvert pour empêcher toute diffusion d’information ou toute communication non autorisée hors des frontières du système d’information en cas de défaillance opérationnelle du périmètre.

 S
SC-7 Protection des frontières SC-7-7 Le système d'information empêche les dispositifs distants, qui ont établi une connexion non distante avec le système, de communiquer à l'extérieur de cette voie de communication avec des ressources de réseaux externes.

Point(s) de mise en œuvre : S. O.

Description : L’utilisation de dispositifs éloignés ne s’applique pas au scénario d’utilisation opérationnelle.

 -
SC-7 Protection des frontières SC-7-8 Le système d'information achemine [Affectation : trafic de communications interne défini par l'organisation] vers [Affectation : réseaux externes définis par l'organisation] à travers des serveurs mandataires authentifiés dans les interfaces gérées des dispositifs de protection des frontières.

Point(s) de mise en œuvre : S. O.

Description : La sécurité des communications avec les réseaux externes est hors de la portée du scénario d’utilisation opérationnelle.

 -
SC-7 Protection des frontières SC-7-9 Le système d'information, au niveau des interfaces gérées, interdit le trafic réseau et vérifie les utilisateurs internes (ou le code malveillant) qui représentent une menace pour les systèmes d'information externes.

Point(s) de mise en œuvre : Service réseau et service de vérification.

Description : Les périmètres du service réseau utilisés pour la mise en place des zones du réseau ministériel (incluant les composants de la passerelle d’utilisateur externe et d’administrateur externe) interdisent les communications non autorisées et transmettent des enregistrements de vérification de ces communications (associées aux utilisateurs internes (ou au code malveillant) qui posent une menace pour les systèmes d'information externes) au service de vérification.

 C
SC-7 Protection des frontières SC-7-10 L'organisation empêche l'exfiltration d'information non autorisée à travers les interfaces gérées.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Les périmètres utilisés pour la mise en place des zones du réseau ministériel (incluant le périmètre d’utilisateur câblé interne) empêchent l’exfiltration non autorisée d’information.

 S
SC-7 Protection des frontières SC-7-11 Le système d'information vérifie les communications entrantes pour s'assurer qu'elles proviennent d'une source autorisée et qu'elles sont acheminées vers une destination autorisée.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Les périmètres utilisés pour la mise en place des zones du réseau ministériel (incluant le périmètre d’utilisateur câblé interne) vérifient les communications entrantes pour s’assurer qu’elles proviennent d’une source autorisée et qu’elles sont acheminées vers une destination autorisée.

 S
SC-7 Protection des frontières SC-7-12 Le système d'information applique des mécanismes de protection des frontières intégrés à l'hôte pour les serveurs, les postes de travail et les dispositifs mobiles.

Point(s) de mise en œuvre : Points d’accès, capteurs, commutateur sans fil/câblé de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés.

Description : Des mécanismes de protection des frontières intégrés à l’hôte sont appliqués aux points d’accès, aux capteurs, au commutateur sans fil/câblé de périmètre et au périmètre d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également appliquée aux composants sans fil non protégés.

 S
SC-7 Protection des frontières SC-7-13 L'organisation isole les [Affectation : outils, mécanismes et composants de soutien clés de sécurité de l'information définis par l'organisation] des autres composants internes du système d'information au moyen de sous-réseaux physiques distincts dotés d'interfaces gérées tournées vers les autres parties du système.

Point(s) de mise en œuvre : Service réseau

Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées.

 C
SC-7 Protection des frontières SC-7-15 Le système d'information achemine tous les accès réseau privilégiés à travers une interface gérée spécialisée aux fins de contrôle des accès et de vérification.

Point(s) de mise en œuvre : Commutateurs câblés de périmètre, ponts sans fil de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés de périmètre, ponts sans fil de périmètre, capteurs et périmètre d’utilisateur câblé interne utilisent une interface réseau de gestion séparée connectée à la sous-zone de gestion. Ces interfaces permettent aux administrateurs de composants sans fil d’accéder aux composants et servent au soutien du contrôle d’accès administratif et de la vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également appliquée aux composants câblés/sans fil non protégés.

 S
SC-7 Protection des frontières SC-7-16 Le système d'information empêche la découverte des composants de système particuliers (ou dispositifs) d'une interface gérée.

Point(s) de mise en œuvre : Commutateurs câblés de périmètre, ponts sans fil de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés de périmètre, ponts sans fil de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants sans fil non protégés utilisent une interface réseau de gestion séparée connectée à la sous-zone de gestion. Ces interfaces bloquent les outils ou techniques de découverte de réseau.

 S
SC-7 Protection des frontières SC-7-17 L'organisation utilise des mécanismes automatisés pour imposer le respect rigoureux des formats de protocole.

Point(s) de mise en œuvre : Service réseau

Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées. Les composants de périmètre qui séparent les zones et les sous-zones appliquent un respect rigoureux des formats de protocole et interdisent toute communication non conforme aux formats.

 C
SC-7 Protection des frontières SC-7-18 Le système d'information passe en mode de fonctionnement à sécurité intégrée (fail secure) dans l'éventualité d'une défaillance opérationnelle d'un dispositif de protection des frontières.

Point(s) de mise en œuvre : Service réseau

Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées. Les composants de périmètre qui séparent les zones et les sous-zones tombent en panne de manière sécuritaire et bloquent toute communication relative à leur état.

 C
SC-8 Intégrité des transmissions SC-8-A Le système d'information protège l'intégrité de l'information transmise.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée de type 1 par les INE d’utilisateur et de périmètre.

 S
SC-8 Intégrité des transmissions SC-8-1 L'organisation utilise des mécanismes cryptographiques pour déceler toute modification apportée à l'information durant sa transmission, sauf si elle est protégée par d'autres mesures physiques. La cryptographie doit être conforme aux exigences du contrôle SC-13.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée de type 1 par les INE d’utilisateur et de périmètre. La cryptographie utilisée dans les deux cas est conforme aux exigences de contrôle SC-13.

 S
SC-8 Intégrité des transmissions SC-8-2 Le système d'information maintient l'intégrité de l'information durant les opérations de regroupement, d'emballage et de transformation préparatoires à sa transmission.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée de type 1 par les INE d’utilisateur et de périmètre.

 S
SC-9 Confidentialité des transmissions SC-9-A Le système d'information protège la confidentialité de l'information transmise.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée de type 1 par les INE d’utilisateur et de périmètre.

 S
SC-9 Confidentialité des transmissions SC-9-1 L'organisation utilise des mécanismes cryptographiques pour déceler toute modification apportée à l'information durant sa transmission, sauf si elle est protégée par [Affectation : autres mesures physiques définies par l'organisation]. La cryptographie doit être conforme aux exigences du contrôle SC-13.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée de type 1 par les INE d’utilisateur et de périmètre. La cryptographie utilisée dans les deux cas est conforme aux exigences de contrôle SC-13.

 S
SC-9 Confidentialité des transmissions SC-9-2 Le système d'information maintient la confidentialité de l'information durant les opérations de regroupement, d'emballage et de transformation préparatoires à sa transmission.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée de type 1 par les INE d’utilisateur et de périmètre. Les ponts sans fil d’utilisateur et de périmètre et les INE d’utilisateur et de périmètre protègent la confidentialité de l’information durant le regroupement, l’emballage et la transformation des données en vue de leur transmission.

 S
SC-9 Confidentialité des transmissions SC-9-100 L’organisation fait appel à la confidentialité du trafic pour protéger les communications contre des attaques par l'analyse des flux de trafic.

Point(s) de mise en œuvre : INE d’utilisateur et de périmètre.

Description : Des communications chiffrées sont utilisées entre les postes de travail sans fil et les points d’accès lourds ou les commutateurs sans fil de périmètre lorsque des points d’accès légers sont utilisés. Le chiffrement protège les communications de la zone d’utilisateur sans fil interne contre l’analyse des flux de trafic.

 S
SC-10 Déconnexion réseau SC-10-A Le système d'information met un terme à toute connexion réseau associée à une session de communications à la fin de la session ou après [Affectation : durée définie par l'organisation] d'inactivité.

Point(s) de mise en œuvre : Périmètre d’utilisateur câblé interne

Description : Le périmètre d’utilisateur câblé interne est configuré de manière à couper les connexions réseau à la fin de la session ou après [Affectation : durée définie par l’organisation] d’inactivité.

 S
SC-11 Chemin de confiance SC-11-A Le système d'information établit une voie de communication de confiance entre l'utilisateur et les fonctions de sécurité de système suivantes : [Affectation : fonctions de sécurité définies par l'organisation et incluant, au minimum, l'authentification et la réauthentification du système d'information].

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, commutateurs câblés de périmètre, ponts sans fil de périmètre, périmètre d’utilisateur sans fil interne et composants sans fil non protégés.

Description : Les administrateurs de composants sans fil accèdent aux commutateurs câblés de périmètre, aux ponts sans fil de périmètre et au périmètre d’utilisateur sans fil interne en utilisant leurs postes situés dans la sous-zone de gestion du service réseau. Les politiques sur le flux d'information appliquées dans la zone d’accès restreint et la zone de travail veillent à ce que l’administration des composants sans fil soit effectuée seulement depuis les postes de travail d’administrateur situés dans la sous-zone de gestion. Le chemin entre les administrateurs internes et les composants sans fil est par conséquent fiable. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée aux composants câblés/sans fil non protégés en utilisant une sous-zone de gestion non protégée.

 S
SC-12 Établissement et gestion des clés cryptographiques SC-12-A L'organisation établit et gère les clés cryptographiques utilisées pour les opérations de cryptographie requises dans le système d'information.

Point(s) de mise en œuvre : Service ICP

Description : Le service d’ICP établit et gère les clés utilisées pour les opérations de cryptographie requises dans le système d’information.

 C
SC-12 Établissement et gestion des clés cryptographiques SC-12-2 L'organisation produit, contrôle et distribue des clés cryptographiques symétriques à l'aide d'une technologie et de processus de gestion des clés approuvésNote de bas de page 3 par le CSTC.

Point(s) de mise en œuvre : Service ICP

Description: Le service d’ICP produit, contrôle et distribue des clés cryptographiques symétriques à l’aide d’une technologie et de processus de gestion des clés approuvés par le CSTC.

 C
SC-12 Établissement et gestion des clés cryptographiques SC-12-3 L'organisation produit, contrôle et distribue des clés cryptographiques symétriques et asymétriques à l'aide d'une technologie et de processus de gestion des clés approuvés par le CSTC.

Point(s) de mise en œuvre : Service ICP

Description : Le service d’ICP produit, contrôle et distribue des clés cryptographiques symétriques et asymétriques à l’aide d’une technologie et de processus de gestion des clés approuvés par le CSTC.

 C
SC-12 Établissement et gestion des clés cryptographiques SC-12-4 L'organisation produit, contrôle et distribue des clés cryptographiques asymétriques à l'aide de certificats approuvés d'assurance de niveau moyenNote de bas de page 4 ou de matériel de chiffrement préplacé.

Point(s) de mise en œuvre : Service ICP

Description : Le service d’ICP produit, contrôle et distribue des clés cryptographiques asymétriques à l’aide de certificats d’ICP approuvés de classe 3 ou de matériel de chiffrement préplacé.

 C
SC-12 Établissement et gestion des clés cryptographiques SC-12-5 L'organisation produit, contrôle et distribue des clés cryptographiques asymétriques à l'aide de certificats approuvés d'assurance de niveau moyen ou élevé et des jetons de sécurité matériels qui protègent la clé privée de l'utilisateur.

Point(s) de mise en œuvre : Service ICP

Description : Le service d’ICP produit, contrôle et distribue des clés cryptographiques asymétriques à l’aide de certificats d’ICP approuvés de classe 3 ou 4 et de jetons de sécurité matériels qui protègent la clé privée de l’utilisateur.

 C
SC-13 Utilisation de la cryptographie SC-13-A Le système d'information met en œuvre des mécanismes cryptographiques faisant appel à des systèmes cryptographiques qui sont conformes aux lois du GC et aux politiques, directives et normes applicables du SCT.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée de type 1 par les INE d’utilisateur et de périmètre. Le processus de chiffrement est appliqué en recourant aux mécanismes de chiffrement approuvés par le CSTC et adaptés à la classification et à la sensibilité de l’information, conformément à la législation du GC et aux politiques, directives et normes applicables du SCT.

 S
SC-13 Utilisation de la cryptographie SC-13-1 L’organisation utilise, au minimum, la cryptographie validée par le PVMC pour protéger les données NON CLASSIFIÉ.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre.

Description : Le chiffrement au moyen de la norme AES est utilisé entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Il est appliqué en utilisant, au minimum, la cryptographie validée par le PVMC pour protéger les données non classifiées.

 S
SC-13 Utilisation de la cryptographie SC-13-2 L'organisation utilise une cryptographie approuvée par le CSTC pour protéger les données classifiées.

Point(s) de mise en œuvre : INE d’utilisateur et de périmètre.

Description : Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications entre les INE d’utilisateur et de périmètre sont chiffrées. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Il est appliqué en utilisant la cryptographie approuvée par le CSTC pour protéger les données classifiées.

 S
SC-13 Utilisation de la cryptographie SC-13-3 L'organisation utilise, au minimum, une cryptographie validée par le PVMC pour protéger les données lorsque lesdites données doivent être mises hors de la portée des personnes qui possèdent la cote de sécurité appropriée mais non les autorisations d'accès requises.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne utilisent, au minimum, la cryptographie validée par le PVMC pour protéger les données lorsque lesdites données doivent être mises hors de la portée des personnes qui possèdent la cote de sécurité appropriée, mais non les autorisations d’accès requises.

 S
SC-13 Utilisation de la cryptographie SC-13-4 L'organisation utilise une cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] pour l'application des signatures numériques.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Des communications chiffrées sont utilisées entre les ponts sans fil d’utilisateur et de périmètre. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est également chiffrée par les INE d’utilisateur et de périmètre. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur câblé interne. Ces composants utilisent la cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] afin d’utiliser les signatures numériques requises pour les communications chiffrées.

 S
SC-13 Utilisation de la cryptographie SC-13-100 L'organisation utilise une cryptographie validée par le PVMC pour protéger les données PROTÉGÉ A en transit.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre

Description : Des communications chiffrées sont utilisées entre les ponts sans fil d’utilisateur et de périmètre pour les données de type Protégé A. Le chiffrement utilise la cryptographie validée par le PVMC pour protéger les données de type Protégé A durant la transmission.

 S
SC-13 Utilisation de la cryptographie SC-13-101 L'organisation utilise une cryptographie validée par le PVMC pour protéger les données PROTÉGÉ B en transit.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre.

Description : Des communications chiffrées sont utilisées entre les ponts sans fil d’utilisateur et de périmètre pour les données de type Protégé B. Le chiffrement utilise la cryptographie validée par le PVMC pour protéger les données de type Protégé B durant la transmission.

 S
SC-13 Utilisation de la cryptographie SC-13-102 L'organisation utilise une cryptographie approuvée par le CSTC pour protéger les données PROTÉGÉ C en transit.

Point(s) de mise en œuvre : INE d’utilisateur et de périmètre.

Description : Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, les communications entre les INE d’utilisateur et de périmètre sont chiffrées. Le chiffrement protège l’intégrité et la confidentialité de l’information transmise dans la zone d’utilisateur sans fil interne. Le chiffrement utilise la cryptographie approuvée par le CSTC pour protéger les données de type Protégé C durant la transmission.

 S
SC-13 Utilisation de la cryptographie SC-13-103 L’organisation utilise une cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] pour protéger les [Sélection : données définies par l’organisation] PROTÉGÉ inactives.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés sont configurés à l’aide de mécanismes cryptographiques pour protéger l’intégrité et la confidentialité de leur information protégée inactive. Une cryptographie [Sélection : validée par le PVMC; approuvée par le CSTC] est utilisée pour protéger les [Sélection : données définies par l’organisation] protégées inactives.

 -
SC-13 Utilisation de la cryptographie SC-13-104 L’organisation utilise l’équipement COMSEC conformément aux Directives pour l’application de la sécurité des communications au sein du gouvernement du Canada (ITSD-01) du CSTC.

Point(s) de mise en œuvre : INE d’utilisateur et de périmètre.

Description : Les INE d’utilisateur et de périmètre sont utilisés en conformité avec le guide ITSD-01, Directives pour l’application de la sécurité des communications au sein du gouvernement du Canada, du CSTC.

 S
SC-14 Protection de l'accès public S.O. Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, qui ne prévoit pas la protection de l’intégrité et de la disponibilité de l’information et des applications accessibles au public. -
SC-16 Transmission des attributs de sécurité S.O. Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque l’échange d’information entre des systèmes d’information séparés (p. ex. le réseau ministériel et un autre système quelconque) et les attributs de sécurité qui leur sont associés ne s’appliquent également pas au scénario d’utilisation opérationnelle. -
SC-18 Code mobile SC-18-C L'organisation autorise, surveille et contrôle l'utilisation du code mobile dans le système d'information.

Point(s) de mise en œuvre : SDCM et postes de travail câblés.

Description : La configuration des postes de travail câblés fil inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées.

 S
SC-18 Code mobile SC-18-1 Le système d'information met en œuvre des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices, le cas échéant.

Point(s) de mise en œuvre : SDCM, postes de travail câblés et périmètre d’utilisateur sans fil interne.

Description : La configuration des postes de travail câblés inclut des agents de défense contre le code malveillant, conformes aux politiques définies dans le SDCM qui prévoient des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices. Le périmètre d’utilisateur câblé interne surveille les communications entrantes et sortantes de la zone d’utilisateur câblé interne pour inspecter les données et détecter tout code mobile non autorisé et prendre les mesures correctrices appropriées.

 S
SC-18 Code mobile SC-18-3 Le système d'information empêche le téléchargement et l'exécution de tout code mobile interdit.

Point(s) de mise en œuvre : SDCM et postes de travail câblés.

Description : La configuration des postes de travail câblés inclut des agents de défense contre le code malveillant, conformes aux politiques définies dans le SDCM qui prévoient des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices.

 S
SC-18 Code mobile SC-18-4 Le système d'information empêche l'exécution automatique de code mobile dans [Affectation : applications logicielles définies par l'organisation] et exige que [Affectation : mesures définies par l'organisation] soient prises avant d'exécuter le code.

Point(s) de mise en œuvre : SDCM et postes de travail câblés.

Description : La configuration des postes de travail câblés inclut des agents de défense contre le code malveillant, conformes aux politiques définies dans le SDCM qui prévoient des mécanismes de détection et d'inspection pour identifier le code mobile non autorisé et prendre des mesures correctrices.

 S
SC-20 Service sécurisé de résolution de nom ou d'adresse (source autorisée) SC-20-A Le système d'information fournit des éléments additionnels d'information sur l'origine et l'intégrité des données en plus des données faisant autorité qu'il retourne en réponse aux requêtes de résolution de nom ou d'adresse.

Point(s) de mise en œuvre : Service réseau

Description : La fonction DNS du service réseau offre un service de résolution de nom et d’adresse et fournit des éléments additionnels d’information sur l’origine et l’intégrité des données en plus des données faisant autorité qu’elle retourne en réponse aux requêtes de résolution de nom ou d’adresse.

 C
SC-20 Service sécurisé de résolution de nom ou d'adresse (source autorisée) SC-20-1 Le système d'information, lorsqu'il est utilisé dans un espace de nom hiérarchique distribué, offre des moyens d'indiquer l'état de sécurité des sous-espaces enfants et (si l'enfant prend en charge des services sécurisés de résolution) de vérifier l'existence d'une chaîne de confiance entre les domaines parents et enfants.

Point(s) de mise en œuvre : Service réseau

Description : La fonction DNS du service réseau, lorsqu'utilisée dans un espace de nom hiérarchique distribué, offre des moyens d’indiquer l’état de sécurité des sous-espaces enfants et (si l’enfant prend en charge des services sécurisés de résolution) de vérifier l’existence d’une chaîne de confiance entre les domaines parents et enfants.

 C
SC-21 Service sécurisé de résolution de nom ou d'adresse (résolveur récursif ou cache) SC-21-A Le système d'information authentifie l'origine et vérifie l'intégrité des données des réponses de résolution de nom et d'adresse qu'il reçoit de sources autorisées suite à des requêtes de systèmes clients.

Point(s) de mise en œuvre : Service réseau

Description : La fonction DNS du service réseau authentifie l’origine et vérifie l’intégrité des données uniquement suite à des requêtes d’utilisateur sans fil interne.

 C
SC-21 Service sécurisé de résolution de nom ou d'adresse (résolveur récursif ou cache) SC-21-1 Le système d'information authentifie l'origine et vérifie l'intégrité des données de toutes les réponses de résolution, que les requêtes de service proviennent explicitement ou non de clients locaux.

Point(s) de mise en œuvre : Service réseau

Description : La fonction DNS du service réseau effectue toujours l’authentification de l’origine et la vérification de l’intégrité des données.

 C
SC-22 Architecture et fourniture de service de résolution de nom ou d'adresse SC-22-A Les systèmes d'information qui offrent collectivement des services de résolution de nom et d'adresse pour une organisation sont tolérants aux pannes et appliquent une séparation des rôles internes et externes.

Point(s) de mise en œuvre : Service réseau

Description : La fonction DNS du service réseau est tolérante aux pannes et applique une séparation des rôles.

 C
SC-23 Authenticité des sessions SC-23-A Le système d'information prévoit des mécanismes pour protéger l'authenticité des sessions de communications.

Point(s) de mise en œuvre : Ponts sans fil d’utilisateur et de périmètre, INE d’utilisateur et de périmètre.

Description : Des communications chiffrées sont utilisées entre les ponts sans fil d’utilisateur et de périmètre. Le chiffrement protège l’authenticité des sessions de communications dans la zone d’utilisateur sans fil interne. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’information transmise est chiffrée par les INE d’utilisateur et de périmètre. Le processus de chiffrement est appliqué en recourant aux mécanismes de chiffrement approuvés par le CSTC et adaptés à la classification et à la sensibilité de l’information, conformément au document ITSA-11D, Algorithmes cryptographiques approuvés par le CSTC pour la protection des renseignements sensibles et pour les applications d’authentification et d’autorisation électroniques au sein du gouvernement du Canada.

 S
SC-23 Authenticité des sessions SC-23-1 Le système d'information invalide les identificateurs de session lorsque l'utilisateur ferme sa session ou lorsque la session est terminée autrement.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne invalident les identificateurs de session lorsque l’utilisateur ferme sa session ou lorsque la session est terminée autrement. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-23 Authenticité des sessions SC-23-2 Le système d'information prévoit une capacité de fermeture de session facilement observable lorsque l'authentification est utilisée pour accéder à des pages Web.

Point(s) de mise en œuvre : Commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés

Description : Si l’un ou l’autre des commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs ou périmètre d’utilisateur câblé interne requiert une authentification effectuée par l’entremise d’une page Web, la page doit inclure une capacité de fermeture de session facilement observable. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-23 Authenticité des sessions SC-23-3 Le système d'information génère un identificateur de session unique pour chaque session et reconnaît uniquement les identificateurs qu'il a générés.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne utilisent un identificateur de session unique pour chaque session et reconnaissent uniquement les identificateurs produits par le système. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-23 Authenticité des sessions SC-23-4 Le système d'information génère des identificateurs de session uniques en se fondant sur [Affectation : exigences définies par l'organisation concernant le caractère aléatoire des identificateurs].

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne produisent des identificateurs de session uniques en se fondant sur [Affectation : exigences définies par l’organisation concernant le caractère aléatoire des identificateurs]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-24 Défaillance dans un état connu SC-24-A Le système d'information tombe à l'état [Affectation : état connu défini par l'organisation] pour [Affectation : types de défaillance définis par l'organisation] et conserve [Affectation : information sur l'état du système définie par l'organisation] durant la défaillance.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne tombe à l’état [Affectation : état connu défini par l’organisation] pour [Affectation : types de défaillance définis par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-25 Noeuds légers S.O. Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque l’utilisation de nœuds légers ne fait pas partie de la portée du scénario. -
SC-26 Pièges à pirates S.O. Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas au scénario d’utilisation opérationnelle, puisque l’utilisation de pièges à pirates ne fait pas partie de la portée du scénario. -
SC-27 Applications indépendantes des systèmes d'exploitation SC-27-A Le système d'information comprend : [Affectation : applications définies par l'organisation qui sont indépendantes des systèmes d'exploitation].

Point(s) de mise en œuvre : S. O.

Description : La sécurité des applications auxquelles accèdent les utilisateurs câblés internes ne fait pas partie de la portée du scénario d’utilisation opérationnelle.

 S
SC-28 Protection de l'information inactive SC-28-A Le système d'information protège la confidentialité et l'intégrité de l'information inactive.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Les postes de travail câblés sont configurés de manière à protéger la confidentialité et l’intégrité de leur information inactive.

 S
SC-28 Protection de l'information inactive SC-28-1 L'organisation utilise des mécanismes cryptographiques pour empêcher la divulgation et la modification non autorisées de l'information inactive qui n'est pas déjà protégée par d'autres mesures physiques. La cryptographie est conforme aux exigences du contrôle SC-13.

Point(s) de mise en œuvre : Postes de travail câblés

Description : La configuration des postes de travail câblés inclut des mécanismes cryptographiques afin de protéger la confidentialité et l’intégrité de leur information inactive. La cryptographie est conforme aux exigences du contrôle SC-13.

 S
SC-29 Hétérogénéité SC-29-A L'organisation utilise diverses technologies de l'information pour la mise en œuvre du système d'information.

Point(s) de mise en œuvre : Commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne utilisent des technologies de l’information diverses. Toutefois, cela peut être impossible lorsque les composants sans fil sont achetés d’un même fournisseur pour faciliter leur intégration mutuelle. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants sans fil non protégés.

 S
SC-30 Techniques de virtualisation SC-30-A L'organisation utilise des techniques de virtualisation pour présenter les composants du système d'information sous forme d'autres types de composants ou de composants possédant des configurations différentes.

Point(s) de mise en œuvre : Commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne utilisent des techniques de visualisation. Toutefois, cela peut être impossible lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-30 Techniques de virtualisation SC-30-1 L'organisation utilise des techniques de virtualisation pour faciliter le déploiement de divers systèmes d'exploitation et applications qui sont changés [Affectation : fréquence définie par l'organisation].

Point(s) de mise en œuvre : Commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne utilisent des techniques de visualisation. Toutefois, cela peut être impossible lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-30 Techniques de virtualisation SC-30-2 L'organisation utilise une approche aléatoire pour la mise en œuvre des techniques de virtualisation.

Point(s) de mise en œuvre : Commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs et périmètre d’utilisateur câblé interne utilisent une approche aléatoire pour la mise en œuvre des techniques de virtualisation pour présenter les composants du système d’information sous forme d’autres types de composants. Toutefois, cela peut être impossible lorsque les composants sans fil sont des dispositifs pilotés par micrologiciel plutôt que par un système d’exploitation. Normalement, les premiers offrent sur le plan de la configuration moins de souplesse que les composants basés sur un système d’exploitation et peuvent faire en sorte qu’il soit impossible de configurer les dispositifs de manière à ce qu’ils se présentent comme d’autres types de composants. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-32 Partitionnement des systèmes d'information SC-32-A L'organisation partitionne au besoin le système d'information en composants hébergés dans des domaines (ou environnements) physiques distincts.

Point(s) de mise en œuvre : Service réseau

Description : Le service réseau met en place des zones et des sous-zones qui servent à séparer les composants du réseau ministériel en conformité avec les politiques de sécurité concernées.

 C
SC-33 Intégrité de la préparation des transmissions SC-33-A Le système d'information protège l'intégrité de l'information durant le processus de regroupement, d'emballage et de transformation des données en vue de leur transmission.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne protègent l’intégrité de l’information durant le processus de regroupement, d’emballage et de transformation des données en vue de leur transmission. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-34 Programmes exécutables non modifiables SC-34-A Le système d'information, au niveau de [Affectation : composants de système d'information définies par l'organisation], charge et exécute l'environnement d'exploitation à partir de supports non inscriptibles mis en œuvre par matériel.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne identifiés dans [Affectation : composants du système d’information définis par l’organisation] chargent et exécutent leur environnement d’exploitation à partir de supports matériels non inscriptibles. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SC-34 Programmes exécutables non modifiables SC-34-B Le système d'information, au niveau de [Affectation : composants de système d'information définis par l'organisation], charge et exécute [Affectation : applications définies par l'organisation] à partir de supports non inscriptibles mis en œuvre par matériel.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne qui figurent parmi les [Affectation : composants du système d’information définis par l’organisation] chargent et exécutent les [Affectation : applications définies par l’organisation] à partir de supports matériels non inscriptibles.

 S
SC-34 Programmes exécutables non modifiables SC-34-1 L'organisation utilise [Affectation : composants de système d'information définis par l'organisation] avec des dispositifs de stockage qui demeurent non inscriptibles à chaque redémarrage du composant ou lors des mises sous tension et hors tension.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne qui figurent parmi les [Affectation : composants du système d’information définis par l’organisation] sont configurés avec des dispositifs de stockage qui demeurent non inscriptibles à chaque redémarrage du composant ou lors des mises sous tension et hors tension.

 S
SC-100 Authentification de la source SC-100-A Le système d'information permet au destinataire d'un message de vérifier l'identificateur présumé de la source dans un message.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Le système d’exploitation et les applications des postes de travail câblés offrent une fonction de vérification de l’identificateur présumé de la source dans un message.

 -
SC-100 Authentification de la source SC-100-1 L'authentification de l'identificateur présumé du message repose sur la cryptographie.

Point(s) de mise en œuvre : Postes de travail câblés

Description : Le système d’exploitation et les applications des postes de travail câblés offrent une fonction de vérification, basée sur la cryptographie, de l’identificateur présumé de la source dans un message.

 -
SC-100 Authentification de la source SC-100-2 L'organisation utilise la cryptographie validée par le PVMC pour la génération et la vérification des signatures numériques. Voir le contrôle SC-13.  

Point(s) de mise en œuvre : Postes de travail câblés

Description : Le système d’exploitation et les applications des postes de travail câblés offrent une fonction de vérification de l’identificateur présumé de la source dans un message ; cette fonction utilise la cryptographie validée par le PVMC pour la génération et la vérification des signatures numériques.

 -
SC-100 Authentification de la source SC-100-3 L'organisation utilise la cryptographie et les protocoles approuvés par le CSTC pour effectuer l'authentification. Voir le contrôle SC-13.   

Point(s) de mise en œuvre : Postes de travail câblés

Description : Le système d’exploitation et les applications des postes de travail câblés offrent une fonction de vérification de l’identificateur présumé de la source dans un message ; cette fonction utilise la cryptographie et les protocoles approuvés par le CSTC pour effectuer l’authentification.

 -
SC-101 Systèmes de télécommunications non classifiés dans les installations sécurisées S.O. Ce contrôle de sécurité et ses éléments de contrôle techniques ne s’appliquent pas, puisque l’utilisation de systèmes de télécommunications non classifiés dans les installations sécurisées ne s’applique pas au scénario d’utilisation opérationnelle. -
SI-2 Correction des défauts SI-2-1 L'organisation centralise la gestion du processus de correction des défauts et installe les mises à jour logicielles automatiquement.

Point(s) de mise en œuvre : Service de remédiation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement des rustines logicielles des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne qui lui sont compatibles. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le réseau non protégé offre ce service pour les composants câblés/sans fil non protégés.

 S
SI-2 Correction des défauts SI-2-2 L'organisation utilise des mécanismes automatisés [Affectation : fréquence définie par l'organisation] pour déterminer l'état des composants du système d'information en ce qui concerne la correction des défauts.

Point(s) de mise en œuvre : Service de remédiation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le service de remédiation automatise [Affectation : fréquence définie par l’organisation] l’analyse de l’état des composants du système d’information en ce qui concerne la correction des défauts. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans le service de remédiation de réseau non protégé pour les composants câblés/sans fil non protégés.

 S
SI-2 Correction des défauts SI-2-4 L'organisation utilise des outils automatisés de gestion des correctifs pour faciliter la correction des défauts des [Affectation : composants du système d'information définis par l'organisation].

Point(s) de mise en œuvre : Service de remédiation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le service de remédiation automatise la collecte, l’analyse et l’approvisionnement des rustines logicielles des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne qui lui sont compatibles. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le réseau non protégé offre ce service pour les composants câblés/sans fil non protégés.

 S
SI-3 Protection contre les codes malveillants SI-3-A L'organisation utilise des mécanismes de protection contre les codes malveillants aux points d'entrée et de sortie du système d'information et dans les postes de travail, les serveurs ou les dispositifs d'informatique mobile connectés au réseau afin de détecter et d'éradiquer les codes malveillants : (a) transmis par messagerie électronique, par des pièces jointes à des messages électroniques, par l'accès à des sites Web, par des supports amovibles ou par d'autres moyens courants; ou (b) inséré par l'exploitation des vulnérabilités du système d'information.

Point(s) de mise en œuvre : SDCM, postes de travail câblés et périmètre d’utilisateur câblé interne.

Description : La configuration des postes de travail câblés inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Le périmètre d’utilisateur câbléinterne surveille les communications entrantes et sortantes de la zone d’utilisateur câbléinterne selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées.

 S
SI-3 Protection contre les codes malveillants SI-3-C L'organisation configure les mécanismes de protection contre les codes malveillants de manière à : (a) effectuer des analyses périodiques du système d'information [Affectation : fréquence définie par l'organisation] et des balayages en temps réel des fichiers de sources externes lors de leur téléchargement, de leur ouverture ou de leur exécution, conformément à sa politique de sécurité; et (b) [Sélection (un ou plusieurs): bloque le code malveillant; met le code malveillant en quarantaine, envoie une alerte à l'administrateur; [Affectation : mesure définie par l'organisation action]] lors de la détection d'un code malveillant.

Point(s) de mise en œuvre : SDCM, postes de travail câblés et périmètre d’utilisateur câblé interne.

Description : La configuration des postes de travail câblé inclut des agents de défense (contre le code malveillant), assujettis aux politiques définies dans le SDCM, qui effectuent des analyses périodiques du système d’information [Affectation : fréquence définie par l’organisation] et des balayages en temps réel des fichiers de sources externes lors de leur téléchargement, de leur ouverture ou de leur exécution, conformément à la politique de sécurité, et [Sélection (un ou plusieurs) : bloque le code malveillant; met le code malveillant en quarantaine, envoie une alerte à l’administrateur; [Affectation : mesure définie par l’organisation action]] lors de la détection d’un code malveillant.

 S
SI-3 Protection contre les codes malveillants SI-3-1 L'organisation centralise la gestion des mécanismes de protection contre les codes malveillants.

Point(s) de mise en œuvre : SDCM, postes de travail câblés et périmètre d’utilisateur câbléinterne.

Description : Le SDCM centralise la gestion des mécanismes de protection contre le code malveillant dans les postes de travail sans fil et le périmètre d’utilisateur câblé interne.

 S
SI-3 Protection contre les codes malveillants SI-3-2 Le système d'information met automatiquement à jour les mécanismes de protection contre les codes malveillants (y compris les définitions de signature).

Point(s) de mise en œuvre : SDCM

Description : Le SDCM permet de mettre automatiquement à jour les composants de son logiciel de soutien ou les définitions des signatures.

 C
SI-3 Protection contre les codes malveillants SI-3-3 Le système d'information empêche les utilisateurs non privilégiés de contourner les mécanismes de protection contre les codes malveillants.

Point(s) de mise en œuvre : SDCM, service d’authentification et d’autorisation et postes de travail câblés.

Description : La configuration des postes de travail câblés inclut des agents de défense contre le code malveillant qui relèvent des politiques, définies dans le SDCM, selon lesquelles on doit inspecter les données pour détecter tout code malveillant et prendre des mesures appropriées. Les autorisations de configuration des agents sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs sans fil internes et sont appliquées dans la fonction de contrôle d’accès des postes de travail câblés pour empêcher le contournement des mécanismes de protection du système hôte contre les capacités d’utilisation de codes malveillants.

 S
SI-3 Protection contre les codes malveillants SI-3-4 Le système d'information met à jour les mécanismes de protection contre les codes malveillants uniquement lorsqu'un utilisateur privilégié le demande.

Point(s) de mise en œuvre : SDCM

Description : Le SDCM permet de mettre automatiquement à jour les composants de son logiciel de soutien ou les définitions des signatures lorsqu’un administrateur possédant les privilèges appropriés le demande.

 C
SI-4 Surveillance des systèmes d'information SI-4-A L'organisation surveille les événements liés au système d'information conformément à [Affectation : objectifs de surveillance définis par l'organisation] et détecte les attaques contre le système.

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI

Description : Le service SDISF, de pair avec ses capteurs, surveille les événements liés au système d’information conformément à [Affectation : objectifs de surveillance définis par l’organisation] et détecte les attaques contre le système dans la zone d’utilisateur câblé interne tandis que le service SDI surveille les attaques par déni de service dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-C L'organisation déploie dans le système d'information des dispositifs de surveillance à la fois (a) stratégiquement pour collecter l'information qu'elle juge essentielle et (b) de manière aléatoire pour faire le suivi des types de transaction qui l'intéressent particulièrement.

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI

Description : Le service SDISF, de pair avec ses capteurs, est déployé dans la zone d’utilisateur câblé interne à la fois (i) stratégiquement pour collecter l’information qu’il juge essentielle et (ii) de manière aléatoire pour faire le suivi des types de transaction qui intéressent particulièrement l’organisation. Le service SDI surveille les attaques par déni de service dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-1 L'organisation utilise des protocoles communs pour interconnecter et configurer les outils individuels de détection d'intrusion en un système unique.

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI

Description : Le service SDISF, de pair avec ses capteurs, s’intègre au service SDI pour offrir un système unique de détection d’intrusions. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé et ne peut s’intégrer au service SDI.

 S
SI-4 Surveillance des systèmes d'information SI-4-2 L'organisation utilise des outils automatisés pour prendre en charge l'analyse des événements en temps quasi réel.

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI

Description : Le service SDISF, de pair avec ses capteurs, offre une analyse en temps quasi réel des événements dans la zone d’utilisateur câblé interne tandis que le service SDI remplit la même fonction dans le reste du réseau ministériel. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-3 L'organisation utilise des outils automatisés pour intégrer les outils de détection d'intrusion aux mécanismes de contrôle d'accès et de flux afin de permettre la reconfiguration de ces mécanismes en vue d'isoler et d'éliminer rapidement les attaques.

Point(s) de mise en œuvre : Service SDISF, capteurs et périmètre d’utilisateur câblé interne.

Description : Le service SDISF, de pair avec ses capteurs, s’intègre au périmètre d’utilisateur câblé interne pour contrôler le flux d’information et permettre d’isoler et d’éliminer les attaques. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-4 Le système d'information surveille les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée.

Point(s) de mise en œuvre : Service SDISF, capteurs et périmètre d’utilisateur câblé interne.

Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le périmètre d’utilisateur sans fil interne surveillent les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-5 Le système d'information produit des alertes en temps quasi réel lorsque les indications de compromission réelle ou potentielle suivantes se présentent : [Affectation : liste des indicateurs de compromission définie par l'organisation].

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI.

Description : Le service SDISF, de pair avec ses capteurs, détecte les événements dans la zone d’utilisateur câblé interne et produit des alertes en temps réel lorsque les indications de compromission réelle ou potentielle suivantes se présentent : [Affectation : liste des indicateurs de compromission définie par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-6 Le système d'information empêche les utilisateurs non privilégiés de contourner les capacités de détection et de prévention des intrusions.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation et postes de travail câblés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et appliquées dans la fonction de contrôle d’accès des postes de travail câblés pour empêcher les utilisateurs câblés internes de contourner les capacités de détection et de prévention des intrusions.

 S
SI-4 Surveillance des systèmes d'information SI-4-7 Le système d'information informe [Affectation : liste définie par l'organisation des employés (identifiés par nom ou rôle) chargés d'intervenir en cas d'incident] des événements suspects et prend les [Affectation : liste définie par l'organisation des mesures les moins perturbatrices visant à mettre fin aux événements suspects].

Point(s) de mise en œuvre : Service SDISF, service SDI et service de vérification.

Description : Le service SDISF, le service SDI et le service de vérification informent [Affectation : liste définie par l’organisation des employés chargés d’intervenir en cas d’incident] des événements suspects et prend les [Affectation : liste définie par l’organisation des mesures les moins perturbatrices visant à mettre fin aux événements suspects]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, le service SDISF et le service de vérification sont appliqués dans le réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-8 L'organisation protège l'information obtenue des outils de surveillance des intrusions contre tout accès non autorisé et toute modification et suppression.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès des services SDISF et SDI. Ces autorisations font en sorte de protéger l’information obtenue des outils de surveillance des intrusions contre tout accès non autorisé et toute modification et suppression. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, elles sont attribuées dans le service d’authentification et d’autorisation de réseau non protégé pour les administrateurs de composants sans fil non protégés et appliquées dans la fonction de contrôle d’accès du service SDISF non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-10 L'organisation prend les mesures nécessaires pour rendre le trafic chiffré visible aux outils de surveillance du système d'information.

Point(s) de mise en œuvre: Service SDI

Description : Le contenu de tout utilisateur sans fil interne peut être affiché, écouté ou saisi en temps réel pour autant qu’il ne soit pas chiffré. Les communications de l’utilisateur sans fil interne entre le poste et les points d’accès (lorsque des points d’accès lourds sont utilisés) or le commutateur sans fil (lorsque des points d’accès légers sont utilisés) sont chiffrées. Le service SDI peut servir à accéder au contenu non chiffré du périmètre d’utilisateur sans fil interne.

 C
SI-4 Surveillance des systèmes d'information SI-4-11 L'organisation analyse le trafic des communications sortantes à la frontière externe du système (c.-à-d. à son périmètre) et, le cas échéant, à certains de ses points intérieurs (p. ex. sous-réseaux, sous-systèmes) pour découvrir des anomalies.

Point(s) de mise en œuvre : Service SDISF, capteurs et périmètre d’utilisateur câblé interne.

Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), et le périmètre d’utilisateur câblé interne surveillent les communications entrantes et sortantes pour détecter toute activité ou condition inhabituelle ou non autorisée. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-12 L'organisation utilise des mécanismes automatisés pour alerter le personnel de sécurité des répercussions potentielles des activités inhabituelles ou inappropriées suivantes : [Affectation : liste définie par l'organisation des activités inhabituelles ou inappropriées qui déclenchent des alertes].

Point(s) de mise en œuvre : Service SDISF, capteurs, service SDI et périmètre d’utilisateur câblé interne.

Description : Le service SDISF, de pair avec ses capteurs (SDISF en mode recouvrement) ou ses points d’accès (SDISF en mode intégré), le service SDI et le périmètre d’utilisateur câblé interne alertent le personnel de sécurité des répercussions potentielles des activités inhabituelles ou inappropriées suivantes : [Affectation : liste définie par l’organisation des activités inhabituelles ou inappropriées qui déclenchent des alertes]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-13 L’organisation : (a) analyse le trafic des communications ou la tendance des événements pour le système d'information; (b) développe des profils représentant les modèles de trafic ou les événements communs; et (c) Utilise les profils pour calibrer les dispositifs de surveillance afin de réduire le nombre de faux positifs à [Affectation : mesure des faux positifs définie par l'organisation] et le nombre de faux négatifs à [Affectation : mesure des faux négatifs définie par l'organisation].

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI.

Description : Le service SDISF, de pair avec ses capteurs et le service SDI, (a) analyse le trafic des communications ou la tendance des événements pour le système d’information; (b) développe des profils représentant les modèles de trafic ou les événements communs; (c) utilise les profils pour calibrer les dispositifs de surveillance afin de réduire le nombre de faux positifs à [Affectation : mesure des faux positifs définie par l’organisation] et le nombre de faux négatifs à [Affectation : mesure des faux négatifs définie par l’organisation]. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-14 L'organisation utilise un système de détection d'intrusions sans fil pour identifier les dispositifs sans fil indésirables et détecter les tentatives d'attaque et les compromissions ou infractions potentielles liées au système d'information.

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI.

Description : Le service SDISF, de pair avec ses capteurs, surveille les communications sans fil pour identifier les dispositifs sans fil indésirables et détecter les tentatives d’attaque et les compromissions ou infractions potentielles liées au système d’information. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-4 Surveillance des systèmes d'information SI-4-15 L'organisation utilise un système de détection d'intrusions pour surveiller le trafic de communications sans fil lorsqu'il passe d'un réseau sans fil à un réseau filaire.

Point(s) de mise en œuvre : Service SDISF, capteurs et service SDI.

Description : Le service SDISF, de pair avec ses capteurs, surveille le trafic de communications sans fil lorsqu’il passe d’un réseau sans fil à un réseau filaire. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, ce contrôle de sécurité est mis en œuvre dans le service SDISF et les capteurs du réseau non protégé.

 S
SI-6 Vérification de la fonctionnalité de sécurité SI-6-A Le système d'information vérifie le bon fonctionnement des fonctions de sécurité [Sélection (un ou plusieurs) : [Affectation : états transitionnels du système définis par l'organisation]; à la demande d'un utilisateur qui possède les privilèges appropriés; périodiquement tous les [Affectation : période définie par l'organisation] et [Sélection (un ou plusieurs): informe l'administrateur de système; arrête le système; redémarre le système; [Affectation : autre(s) mesure(s) définie(s) par l'organisation]] lorsque des anomalies sont relevées.

Point(s) de mise en œuvre : Postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne vérifient le bon fonctionnement des fonctions de sécurité [Sélection (un ou plusieurs) : [Affectation : états transitionnels du système définis par l’organisation]; à la demande d’un utilisateur qui possède les privilèges appropriés; périodiquement tous les [Affectation : période définie par l’organisation] et Sélection (un ou plusieurs) : informe l’administrateur de système; arrête le système; redémarre le système; [Affectation : autre(s) mesure(s) définie(s) par l’organisation]] lorsque des anomalies sont relevées. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans les composants câblés/sans fil non protégés.

 S
SI-6 Vérification de la fonctionnalité de sécurité SI-6-1 Le système d'information fournit des notifications d'échec des tests de sécurité automatisés.

Point(s) de mise en œuvre : Service de vérification, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne transmettent au service de vérification des enregistrements de vérification qui indiquent les échecs de tests de sécurité automatisés. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, cette exigence de contrôle de sécurité est appliquée dans le service de vérification de réseau non protégé et composants câblés/sans fil non protégés.

 S
SI-6 Vérification de la fonctionnalité de sécurité SI-6-2 Le système d'information offre un soutien automatisé pour la gestion des tests de sécurité distribués.

Point(s) de mise en œuvre : Service de vérification, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne vérifient le bon fonctionnement de leurs fonctions de sécurité essentielles et communiquent les résultats des tests dans des enregistrements de vérification transmis au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est appliquée dans le service de vérification de réseau non protégé et les composants câblés/sans fil non protégés.

 S
SI-7 Intégrité de l'information et des logiciels SI-7-A Le système d'information détecte les changements non autorisés apportés aux logiciels et à l'information.

Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service d’authentification, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations d’accès au logiciel, à l’information et aux fonctions sont configurées dans le service d’autorisation et appliquées dans la fonction de contrôle d’accès des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Toute opération non autorisée sera signalée au service de vérification par la fonction de vérification des composants. Le SGC permet de vérifier périodiquement les configurations de logiciel et d’information des composants et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est prise en charge par le SGC de réseau non protégé, le service d’intégrité des fichiers et le service de vérification des composants câblés/sans fil non protégés.

 S
SI-7 Intégrité de l'information et des logiciels SI-7-2 L'organisation utilise des outils automatisés qui notifient les employés désignés lors de la découverte d'écarts durant la vérification de l'intégrité.

Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est prise en charge par le SGC de réseau non protégé et le service d’intégrité des fichiers des composants câblés/sans fil non protégés

 S
SI-7 Intégrité de l'information et des logiciels SI-7-3 L'organisation utilise des outils de vérification de l'intégrité gérés centralement.

Point(s) de mise en œuvre : SGC, service d’intégrité des fichiers, service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Le SGC permet de vérifier périodiquement les configurations de logiciel et d’information des composants et de les comparer aux configurations approuvées en vue de détecter tout changement non autorisé. Le service d’intégrité des fichiers permet de détecter les modifications non autorisées apportées aux fichiers des composants dans lesquels on peut installer un agent de service d’intégrité des fichiers. Le SGC et le service d’intégrité des fichiers peuvent signaler tout changement non autorisé à l’individu concerné soit directement (p. ex. courriel de notification) ou indirectement en transmettant des rapports au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également prise en charge par le SGC de réseau non protégé, le service d’intégrité des fichiers et le service de vérification des composants câblés/sans fil non protégés.

 S
SI-8 Protection antipourriel SI-8-A L'organisation utilise des mécanismes de protection antipourriel aux points d'entrée et de sortie du système d'information et dans les postes de travail, les serveurs ou les dispositifs d'informatique mobile sur le réseau pour détecter (et intervenir, le cas échéant) les messages non sollicités transmis par la messagerie électronique, les pièces jointes aux messages électroniques, les accès Web ou d'autres moyens courants.

Point(s) de mise en œuvre : Service de courrier

Description : Des mécanismes de protection antipourriel sont intégrés au service de courrier auquel ont accès les postes de travail câblés.

 C
SI-8 Protection antipourriel SI-8-1 L'organisation centralise la gestion des mécanismes de protection antipourriel.

Point(s) de mise en œuvre : Service de courrier

Description : Le système assure la gestion centrale des produits logiciels antipourriel du service de courrier et de leur configuration.

 C
SI-8 Protection antipourriel SI-8-2 Le système d'information met automatiquement à jour les mécanismes de protection antipourriel (y compris les définitions de signature).

Point(s) de mise en œuvre : Service de courrier

Description : Les produits logiciels antipourriel du service de courrier, incluant les définitions de signatures, offrent la possibilité de mises à jour automatiques.

 C
SI-9 Restrictions relatives à la saisie d'information SI-9-A L'organisation limite au personnel autorisé la capacité d'entrer de l'information dans le système d'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès des postes de travail câblés (lors de l’accès aux services d’utilisateur), des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Ces autorisations limitent au seul personnel autorisé la capacité d’entrer de l’information dans le système. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
SI-10 Validation de la saisie d'information SI-10-A Le système d'information vérifie la validité des entrées d'information.

Point(s) de mise en œuvre : Service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations sont attribuées dans le service d’authentification et d’autorisation pour les utilisateurs câblés internes et les administrateurs de composants sans fil et appliquées dans la fonction de contrôle d’accès des postes de travail câblés (lors de l’accès aux services d’utilisateur sans fil interne), des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne. Ces autorisations limitent au seul personnel autorisé la capacité d’entrer de l’information dans le système. Le composant dans lequel l’information est saisie en vérifie l’exactitude, l’exhaustivité, la validité et l’authenticité. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S
SI-11 Traitement des erreurs SI-11-A Le système d'information identifie les conditions d'erreur potentielles liées à la sécurité.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de signaler les conditions d’erreur au service de vérification. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants câblés/sans fil non protégés.

 S
SI-11 Traitement des erreurs SI-11-B Le système d'information produit des messages d'erreur qui fournissent l'information nécessaire sur les mesures correctrices sans révéler [Affectation : information sensible ou potentiellement préjudiciable définie par l'organisation] contenue dans les journaux d'erreurs et les messages administratifs qui pourrait être exploitée par des adversaires.

Point(s) de mise en œuvre : Service de vérification, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : La fonction de vérification des postes de travail câblés, des commutateurs câblés d’utilisateur et de périmètre, des ponts sans fil d’utilisateur et de périmètre, des capteurs et du périmètre d’utilisateur câblé interne permet de configurer le type d’événement signalé au service de vérification qui ne contient aucune information potentiellement préjudiciable susceptible d’être exploitée par des adversaires. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service de vérification des réseaux non protégés et la fonction de vérification des composants câblés/sans fil non protégés.

 S
SI-11 Traitement des erreurs SI-11-C Le système d'information révèle les messages d'erreur seulement au personnel autorisé.

Point(s) de mise en œuvre : Service de vérification, service d’authentification et d’autorisation, postes de travail câblés, commutateurs câblés d’utilisateur et de périmètre, ponts sans fil d’utilisateur et de périmètre, capteurs, périmètre d’utilisateur câblé interne et composants câblés/sans fil non protégés.

Description : Les autorisations d’accès pour le personnel autorisé à utiliser l’information et les outils de vérification dans le service de vérification sont configurées dans le service d’authentification et d’autorisation et appliquées par le service de vérification. Ces mêmes autorisations dans les postes de travail câblés, les commutateurs câblés d’utilisateur et de périmètre, les ponts sans fil d’utilisateur et de périmètre, les capteurs et le périmètre d’utilisateur câblé interne sont configurées dans le service d’authentification et d’autorisation et appliquées par la fonction de contrôle d’accès des composants sans fil. Dans le cas des déploiements de services sans fil classifiés et de type Protégé C, l’exigence de contrôle de sécurité est également mise en œuvre dans le service d’authentification et d’autorisation de réseau non protégé, service de vérification et la fonction de contrôle d’accès des composants câblés/sans fil non protégés.

 S

3 Références

[Référence 1]
The IEEE Standards Association (standards.iee.org)
[Référence 2]
ITSG-33, La gestion des risques liés à la sécurité des TI : Une méthode axée sur le cycle de vie – Aperçu; CSTC (nov. 2012)
[Référence 3]
ITSG-41, Exigences de sécurité liées aux réseaux locaux sans fil; CSTC (mars 2013)
[Référence 4]
ITSG-41, Annexe 1 – Conception de haut niveau des points d’accès sans fil du gouvernement; CSTC (mars 2013)
[Référence 5]
ITSG-41, Annexe 2 – Conception de haut niveau – Connexion utilisateur sans fil/réseau câblé; CSTC (mars 2013)
[Référence 6]
ITSG-41, Annexe 4 – Détermination des éléments de contrôle en fonction des contrôles de sécurité; CSTC (mars 2013)
[Référence 7]
ITSG-38, Établissement des zones de sécurité dans un réseau – Considérations de conception relatives au positionnement des services dans les zones; CSTC (mai 2009)
[Référence 8]
ITSG-13, Manuel sur la commande de clés cryptographiques; CSTC (mai 2006).

Remarques

Date de modification :