IREX - Référentiels pour évaluer la conformité sécurité de la plateforme ACRA

La sécurité ne se résume pas au feeling, sa compromission donnerait un accès et une connaissant détaille a un intrus, elle doit se reposer sur des normes, des critères de références.

 · 1 min read
Référentiels open source pour évaluer la conformité sécurité de la plateforme ACRA

Référentiels open source pour évaluer la conformité sécurité de la plateforme ACRA

Plateforme de surveillance réseau : sélection et justification des référentiels

SOMMAIRE :
Introduction
Distinguer standard, cadre, guide et benchmark
Méthode de sélection
Annexe

Image conformite
  1. Introduction
    2.

    La conformité de sécurité consiste à respecter des cadres, standards et bonnes pratiques établis, conçus pour protéger les données et les systèmes d’information. Les référentiels fournissent une liste d’exigences objectives, issues de l’expérience d’une communauté d’experts. Ils rendent l’évaluation mesurable et reproductible, et permettent de prioriser les décisions. Ils servent aussi de base aux tests d’hacking éthique : chaque test vérifie une exigence précise.

  2. Distinguer standard, cadre, guide et benchmark

    3. Dans le langage courant, on parle de « normes de sécurité » pour tout document de référence. Ces documents diffèrent pourtant par leur statut, leur portée et leur usage. Dans la suite, « référentiel » désigne tout document servant de critère d'évaluation.

    Type Définition Exemples retenus Rôle dans l'évaluation Cadre ou guide officiel Publié par une agence pour structurer une démarche ou une méthode NIST CSF 2.0, NIST SP 800-92, NIST SP 800-95, NIST SP 800-115, guide ANSSI sur TLS Cadrer la démarche et la méthode de test Standard communautaire Produit et mis à jour de façon ouverte par une communauté OWASP ASVS 5.0, OWASP WSTG 4.2, OWASP Top 10 CI/CD Fournir les exigences et les risques à contrôler, et la méthode pour les tester Profil de durcissement Réglages précis pour une technologie, avec contrôle SCAP Security Guide, exécuté avec OpenSCAP Vérifier les configurations Base de connaissances Catalogue de techniques d'attaque, sans exigences MITRE ATT&CK Imaginer les attaques à tester

    Figure 1 — Typologie des référentiels

  3. Méthode de sélection

    1. Critères N° Critère Question posée Éliminatoire C2 Couverture Couvre-t-il une couche ou un composant d'ACRA ? Oui C3 Testabilité Ses exigences peuvent-elles être vérifiées, avec une preuve à la clé ? Non, départage C4 Maintien actif Est-il à jour et maintenu ? Non, à signaler

      Figure 2 — Critères de sélection (C2 éliminatoire, C3 départage, C4 à signaler).

    2. Principe d'assemblage Rôle Règle Nombre Cadre Organiser la démarche et le vocabulaire 1 Couche technique Applicatif, serveurs, journalisation 1 par couche Risque spécifique Chaîne de déploiement 1 par risque Méthode et menaces Guide de test et base d'attaques pour l'article 2 1 + 1

      Figure 3 — Principe d'assemblage des référentiels.

      Un référentiel n'est ajouté que s'il couvre une couche qu'aucun autre ne couvre, ou s'il apporte un niveau de détail testable.

    Voir plus

  4. Comprendre la fédération d'identité : concepts et enjeux
  5. Comparaison des solutions pour l'implémentation d'une CA privée
  6. Cryptographie Post-Quantique

Published on
Ali FAdel DJANGOURI
No comments yet

No comments yet. Start a new discussion.

Add Comment