Audit et évaluations axés sur la norme CNSSI 1253 et la norme FISMA. Appeler +1 (888) 896-7580 dès aujourd'hui !

Aperçu de la norme CNSSI 1253

Lazarus Alliance fournit une feuille de route solide pour vos exigences d'évaluation CNSSI 1253 avec notre technologie de pointe optimisée par ITAM de Continuum GRC Plateforme SaaS, couplée à notre méthodologie de service Proactive Cyber Security™.

Un système est composé de manière holistique de la technologie, des personnes, des processus et des données utilisés pour réaliser les services fournis. L'autorisation CNSSI 1253 est conçue pour assurer la sécurité sur les principes suivants décrits brièvement :

• Contrôle d'Accès : Cet environnement de contrôle mesure les fonctionnalités de sécurité de la limite du système qui contrôlent les droits d'accès et les ressources. Les domaines à examiner comprennent, sans s'y limiter : la gestion des comptes, l'application des droits d'accès, les tentatives de connexion infructueuses, la notification d'utilisation du système, les actions autorisées, les actions autorisées sans identification/autorisation, l'accès à distance, l'accès sans fil, le contrôle d'accès pour les appareils mobiles, l'utilisation de systèmes d'information externes et le contenu accessible au public.
• Sensibilisation et formation : Cet environnement de contrôle mesure la formation à la sensibilisation à la sécurité mise en place par l'organisation, par rapport à la limite du système. Les domaines à examiner comprennent, sans toutefois s'y limiter : la sensibilisation à la sécurité, la formation à la sécurité et les dossiers de formation à la sécurité.
• Audit et Responsabilité : Cet environnement de contrôle mesure les ressources en place pour mesurer et maintenir les pratiques d'audit responsables au-delà des limites du système. Les domaines à examiner comprennent, sans toutefois s'y limiter : les événements d'audit, le contenu des enregistrements d'audit, le stockage et la capacité d'audit, la réponse aux échecs de traitement d'audit, le processus de révision d'audit, les horodatages et la protection des informations d'audit, la conservation des enregistrements d'audit et la génération d'audit.
• Autorisation d'évaluation et suivi:Cet environnement de contrôle examine la manière dont les organisations évaluent les contrôles dans les systèmes et les environnements dans lesquels ces systèmes fonctionnent dans le cadre des autorisations initiales et continues, de la surveillance continue, des évaluations annuelles FISMA, de la conception et du développement du système, de l'ingénierie de la sécurité des systèmes, de l'ingénierie de la confidentialité et du cycle de vie du développement du système.
• Gestion de la configuration: Cet environnement de contrôle examine les configurations autour de la limite du système. Les domaines à examiner comprennent, sans toutefois s'y limiter : les configurations de base, l'analyse d'impact sur la sécurité, les paramètres de configuration, les fonctionnalités minimales, l'inventaire des composants du système d'information, les restrictions d'utilisation des logiciels et les logiciels installés par l'utilisateur.
• La planification d'urgence: Cet environnement de contrôle examine les processus de l'organisation en matière d'urgences. Les domaines à examiner comprennent, sans toutefois s'y limiter : le plan d'urgence, la formation aux urgences, les tests du plan, la sauvegarde du système d'information, ainsi que la récupération et la reconstitution du système d'information.
• Identification et authentification : Cette zone de contrôle examine les procédures et les outils en place pour identifier et authentifier les utilisateurs qui ont accès à la limite du système. Les zones à examiner comprennent, sans toutefois s'y limiter : l'identification et l'authentification, la gestion des identifiants, la gestion des authentificateurs, les retours d'informations des authentificateurs et l'authentification des modules cryptographiques.
• Réponse à l'incident: Ce domaine de contrôle examine le processus et les pratiques en place pour gérer et répondre aux incidents dans les limites du système. Les domaines à examiner comprennent, sans toutefois s'y limiter : la formation à la réponse aux incidents, la gestion, la surveillance, la création de rapports, l'assistance à la réponse et le plan de réponse aux incidents.
• Entretien: Ce domaine de contrôle examine les processus et procédures en place pour assurer la maintenance contrôlée au sein du système. Les aspects à examiner comprennent, sans s'y limiter : la maintenance contrôlée, la maintenance externalisée et le personnel de maintenance.
• Protection des médias : Ce domaine de contrôle examine les processus et procédures mis en place pour assurer la protection adéquate des supports de stockage du système. Les aspects examinés comprennent, sans s'y limiter : l'accès aux supports, leur effacement et leur mise au rebut.
• Physique et Environnemental : Ce domaine de contrôle examine les processus et procédures en place qui assurent une protection physique et environnementale adéquate du périmètre du système. Les aspects examinés comprennent, sans s'y limiter, le contrôle et les autorisations d'accès physique, la surveillance des accès physiques, les registres d'accès des visiteurs, l'éclairage de secours, la protection incendie, la régulation de la température et de l'humidité, la protection contre les dégâts d'eau, ainsi que la livraison et l'enlèvement.
• Planification: Ce domaine de contrôle examine les processus mis en place pour une planification adéquate du périmètre du système. Les éléments examinés comprennent, sans s'y limiter : le plan de sécurité du système et les règles de conduite.
• Gestion du programme: Cet environnement de contrôle mesure l'état de l'organisation dans le développement et la mise en œuvre d'un programme de sécurité de l'information à l'échelle de l'organisation pour assurer la sécurité de l'information et des systèmes d'information qui soutiennent les opérations et les actifs de l'organisation, y compris ceux fournis ou gérés par une autre organisation, un sous-traitant ou une autre source.
• Sécurité du personnel : Ce dispositif de contrôle évalue les pratiques et les processus mis en place pour examiner, sélectionner et contrôler le personnel affecté au périmètre du système. Les domaines examinés comprennent, sans s'y limiter : l'évaluation des risques liés aux postes ; la sélection, le licenciement et la mutation du personnel ; les accords d'accès, le personnel tiers et les sanctions disciplinaires.
• Traitement et transparence des informations personnelles identifiables : Cet environnement de contrôle mesure les informations personnelles identifiables ; toute représentation d'informations permettant de déduire raisonnablement l'identité d'une personne à laquelle les informations s'appliquent, par des moyens directs ou indirects.
• L'évaluation des risques: Ce domaine de contrôle examine les processus et les procédures en place, qui mesurent les risques et les vulnérabilités de la limite du système. Les domaines à examiner comprennent, sans toutefois s'y limiter : la catégorisation de la sécurité, l'évaluation des risques et l'analyse des vulnérabilités.
• Services et acquisitions de systèmes : Cet environnement de contrôle mesure les pratiques et les processus en place pour le développement des limites du système. Les domaines à examiner comprennent, sans toutefois s'y limiter : l'allocation des ressources, le cycle de vie du développement du système, le processus d'acquisition, la documentation du système d'information et les services externes du système d'information.
• Protection du système et des communications : Ce domaine de contrôle examine les processus et procédures en place pour évaluer la protection du périmètre du système. Les aspects analysés comprennent, sans s'y limiter, la protection contre les attaques par déni de service, la protection du périmètre, l'établissement, la protection et la gestion des clés cryptographiques, les dispositifs de calcul collaboratif, les dispositifs de résolution sécurisée de noms et d'adresses, l'architecture de provisionnement et l'isolation des processus.
• Intégrité du système et de l'information : Cet environnement de contrôle mesure les pratiques et les processus en place pour garantir l'intégrité des limites du système. Les domaines à examiner comprennent, sans toutefois s'y limiter : la correction des défauts, la protection contre les codes malveillants, la surveillance du système d'information et le traitement et la conservation des informations.
• Gestion des risques de la chaîne d'approvisionnement : Cet environnement de contrôle mesure les pratiques et les processus en place pour identifier, évaluer et atténuer les risques de la chaîne d’approvisionnement des TIC à tous les niveaux de leurs organisations.

Lazarus Alliance CNSSI 1253, services clients, planifiera notre équipe pour prioriser cet engagement en fonction des besoins de nos clients et assurer la livraison en temps voulu du package de conformité requis, sous réserve de la disponibilité des ressources du client.